Aydınlatma Metni, Açık Rıza ve Çerezler: 7 KVKK Hatası

Bir web sitesini KVKK açısından incelerken bakılacak ilk yer altbilgideki “KVKK” bağlantısı değil, formlardır. İletişim formu, üyelik ekranı, bülten kutusu, iş başvuru sayfası, canlı destek penceresi — kişisel verinin içeri girdiği kapılar bunlardır. Ve incelediğimiz sitelerin büyük çoğunluğunda bu kapıların tamamında aynı kalıp vardır: gönder butonunun üstünde tek bir kutu, yanında “KVKK metnini okudum, kabul ediyorum”.

Bu kutu iyi niyetle konur ve neredeyse her zaman yanlıştır. Neden yanlış olduğunu anlamak için iki kavramı birbirinden ayırmak gerekiyor.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir.

Aydınlatma ve Açık Rıza Aynı Şey Değildir

Aydınlatma bir bilgilendirmedir. Veriyi topladığınız anda ilgili kişiye kim olduğunuzu, veriyi hangi amaçla işlediğinizi, kimlere hangi amaçla aktarabileceğinizi, toplama yöntemini ve hukuki sebebi, ve kanundaki haklarını söylemek zorundasınız. Bu yükümlülük her işleme faaliyetinde vardır; hukuki sebebiniz ne olursa olsun. Aydınlatmanın “kabul edilmesi” gerekmez — tek taraflı bir bildirimdir.

Açık rıza ise bir hukuki sebeptir ve yalnızca başka bir hukuki sebebe dayanamadığınızda gerekir. Geçerli olması için üç şart aranır: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması.

Bu ayrımdan çıkan pratik sonuçlar:

İletişim formundan gelen talebi yanıtlamak için rızaya ihtiyacınız yoktur; aydınlatma yeterlidir.
Aynı e-postayı pazarlama bültenine eklemek istiyorsanız, bu ayrı bir amaçtır ve ayrı bir onay gerektirir.
Aydınlatma metni ile açık rıza beyanı ayrı ayrı sunulmalıdır. Kurum’un aydınlatma yükümlülüğüne ilişkin tebliği bunu açıkça düzenler.

Web Sitelerinde En Sık Gördüğümüz 7 Hata

1. “Okudum, kabul ediyorum” kutusu

Aydınlatma metni kabul edilecek bir sözleşme değildir. Doğrusu, formun yanında görünür bir “Kişisel verilerinizin işlenmesine ilişkin aydınlatma metni” bağlantısı sunmak ve onay kutusunu yalnızca gerçekten rıza gereken işlemler için kullanmaktır. İsterseniz “okudum” beyanı alabilirsiniz; ama “kabul ediyorum” ifadesi aydınlatmayı rızayla karıştırdığınızı gösterir.

2. Hizmeti rızaya bağlamak

“Üye olmak için pazarlama iletilerine onay vermelisiniz.” Hizmetin sunulması rıza şartına bağlandığında rıza özgür iradeyle verilmiş sayılmaz ve geçersizdir. Kurul’un bu yönde çok sayıda kararı var.

3. Önceden işaretlenmiş kutular

Varsayılan olarak işaretli gelen onay kutusu açık rıza değildir. Rıza, kişinin aktif bir eylemiyle verilmelidir.

4. Tek kutuda torba onay

“Verilerimin işlenmesini, üçüncü kişilerle paylaşılmasını, yurt dışına aktarılmasını ve tarafıma ticari ileti gönderilmesini kabul ediyorum.” Rıza belirli bir konuya ilişkin olmalıdır. Her amaç için ayrı kutu, ayrı karar.

5. Başka hukuki sebep varken rıza istemek

Siparişi teslim etmek için adres, fatura kesmek için vergi numarası işliyorsanız hukuki sebebiniz sözleşmenin ifası ve hukuki yükümlülüktür. Bunun için rıza istemek kişiyi yanıltır: rızasını geri aldığında verisinin işlenmeyeceğini düşünür, ama siz işlemeye devam etmek zorundasınızdır.

6. Her yere aynı genel metni koymak

İş başvuru formundaki aday ile e-ticaret müşterisinin verileri farklı amaçlarla, farklı sürelerle, farklı alıcılara aktarılarak işlenir. Tek bir “KVKK Aydınlatma Metni” bunların hepsini doğru anlatamaz. İlgili kişi grubu başına ayrı, kısa ve o bağlama özgü metinler hazırlayın ve ilgili formun yanında sunun.

7. Rızayı kayıt altına almamak

İspat yükü veri sorumlusundadır. Rızanın alındığını gösteremiyorsanız, alınmamış sayılır. Aşağıda buna teknik olarak nasıl yaklaşılacağını anlattık.

Kurum’un 2022’de yayımladığı Çerez Uygulamaları Hakkında Rehber, tabloyu netleştirdi:

Çerez türü	Açık rıza gerekir mi?
Zorunlu çerezler (oturum, sepet, güvenlik, yük dengeleme, dil tercihi)	Hayır — aydınlatma yeterli
Analitik çerezler (üçüncü taraf analiz araçları dahil)	Evet
Reklam, yeniden hedefleme ve profilleme çerezleri	Evet
Sosyal medya eklentisi çerezleri	Evet

Buna göre uyumlu bir çerez yönetimi şunları sağlar:

Rızadan önce script yüklenmez. En yaygın ihlal budur: banner ekranda durur ama analitik ve reklam etiketleri sayfa açılır açılmaz çalışmaya başlamıştır. Banner’ın var olması değil, etiketlerin rızaya kadar beklemesi önemlidir.
“Reddet” seçeneği “Kabul et” kadar görünürdür. Aynı katmanda, aynı büyüklükte, aynı kolaylıkta. Reddetmeyi üç tıklamanın arkasına saklamak rızayı sakatlar.
Kategoriler varsayılan olarak kapalı gelir.
Kullanıcı tercihini sonradan değiştirebilir. Altbilgide kalıcı bir “çerez tercihleri” bağlantısı olmalıdır.
“Siteyi kullanmaya devam ederek kabul etmiş olursunuz” geçerli değildir. Sayfayı kaydırmak aktif bir irade beyanı sayılmaz.

Teknik olarak en temiz çözüm, zorunlu olmayan tüm etiketleri bir rıza durumuna bağlamaktır:

<!-- Rıza verilene kadar çalışmaz -->
<script type="text/plain" data-consent="analytics"
        data-src="https://analytics.example.com/tag.js"></script>

<script>
  function applyConsent(granted) {
    document.querySelectorAll('script[data-consent]').forEach((el) => {
      if (!granted.includes(el.dataset.consent)) return;
      const s = document.createElement('script');
      s.src = el.dataset.src;
      document.head.appendChild(s);
    });
  }
</script>

Ayrıca analitik aracınızın sunucuları yurt dışındaysa, çerezle topladığınız veri aynı zamanda bir yurt dışına veri aktarımıdır.

Ticari Elektronik İleti: KVKK Rızası Yetmez

E-posta, SMS ve arama yoluyla pazarlama, KVKK’nın yanında 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun’a tabidir. Bireysel alıcılara ticari ileti göndermek için önceden onay almanız ve bu onayları İleti Yönetim Sistemi’ne (İYS) kaydetmeniz gerekir. Her iletide kolay ve ücretsiz bir ret imkânı sunmak da zorunludur.

Bu iki onay birbirinin yerine geçmez. Bülten formunuzda pazarlama amaçlı işleme için aydınlatma ve ticari ileti onayı birlikte ama açıkça kurgulanmalıdır.

Mobil Uygulamalarda Durum

Web için söylenenlerin tamamı mobil uygulamalar için de geçerlidir; üstüne birkaç başlık eklenir:

SDK’lar. Analitik, reklam, çökme raporlama ve push bildirim SDK’larının her biri veri toplar. Hangisinin ne topladığını ve nereye gönderdiğini bilmeden doğru aydınlatma yazamazsınız.
Cihaz izinleri. Konum, rehber, kamera ve fotoğraflar için yalnızca gerçekten gereken izni, gereken anda isteyin. İşletim sisteminin izin penceresi KVKK aydınlatmasının yerine geçmez.
Mağaza beyanları. App Store ve Google Play’deki veri güvenliği beyanlarınız, aydınlatma metninizle ve uygulamanın gerçek davranışıyla tutarlı olmalıdır.
Hesap silme. Kullanıcı hesabını uygulama içinden silebilmeli ve silme işlemi arka uçta gerçekten veri imhasını tetiklemelidir.

Mobil projelerde bunları tasarım aşamasında ele almak, yayın sonrası düzeltmekten çok daha ucuzdur — mobil strateji yazımızda değindiğimiz gibi.

Rızayı Kanıtlayabilmek

Bir şikâyette “bu kişi rıza verdi” demeniz yetmez; göstermeniz gerekir. Rıza kaydı en az şunları içermelidir:

{
  "subject_id": "u_48213",
  "purpose": "marketing_email",
  "granted": true,
  "text_version": "consent-marketing-v3",
  "channel": "web_signup_form",
  "timestamp": "2026-09-02T09:41:12Z",
  "ip": "203.0.113.24"
}

Kritik alan text_version’dır: kişinin o gün ekranda hangi metni gördüğünü kanıtlayabilmeniz gerekir. Metinlerinizi sürümleyin, eski sürümleri saklayın. Geri alma işlemlerini de aynı tabloya ayrı kayıt olarak yazın — üzerine yazarak değil — ve geri alınan rızanın pazarlama araçlarınıza ve İYS’ye otomatik yansıdığından emin olun.

15 Dakikalık Öz Denetim

Sitenizdeki her formun yanında o forma özgü bir aydınlatma metni var mı?
“Kabul ediyorum” kutuları yalnızca gerçekten rıza gereken amaçlar için mi?
Önceden işaretli ya da hizmet şartı yapılmış onay kutusu var mı?
Tarayıcınızın ağ sekmesini açın, sayfayı gizli pencerede yükleyin: çerez banner’ına dokunmadan analitik veya reklam isteği gidiyor mu?
“Reddet” butonu ilk ekranda mı?
Bir kullanıcının rızasını hangi tarihte, hangi metinle verdiğini gösterebiliyor musunuz?

Dördüncü madde beş dakikanızı alır ve incelediğimiz sitelerin çoğu bu testten geçemiyor.

Birlikte Bakalım

Aydınlatma ve rıza metinlerini yazmak işin yarısı; diğer yarısı formların, çerez yönetiminin, rıza kayıtlarının ve geri alma akışlarının bu metinlerin söylediğini gerçekten yapması. IWWOMI olarak iki tarafı birlikte ele alıyoruz: sitenizin ve uygulamanızın veri toplama noktalarını denetliyor, metinleri gerçek veri akışına göre kurguluyor ve teknik tarafı uyguluyoruz. Sitenizin mevcut durumunu görmek isterseniz bize ulaşın.

Uyumun bütününü merak ediyorsanız 8 adımlık KVKK yol haritamıza göz atın.

Kaynaklar: Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ · Çerez Uygulamaları Hakkında Rehber — KVKK · İleti Yönetim Sistemi

Aydınlatma Metni, Açık Rıza ve Çerezler: Web Sitenizdeki 7 KVKK Hatası