E-Ticaret Siteleri İçin KVKK Uyum Süreci (2026)
E-ticaret sitelerinde KVKK uyum süreci; üyelik, sipariş, ödeme ve kargo aşamalarında toplanan müşteri verilerinin 6698 sayılı Kanun’a uygun işlenmesini, saklanmasını ve silinmesini kapsar. Şirketler resmi ticaret unvanlarıyla veri sorumlusu sıfatı taşır ve site genelinde doğru aydınlatma metinleri, açık rıza mekanizmaları ile teknik güvenlik tedbirlerini hayata geçirmek zorundadır.
Uyum Sürecinin Temel Adımları
- Veri Envanteri Çıkarma: Üyelik, sepet, ödeme, kargo, fatura ve iade süreçlerinde hangi verilerin toplandığını belirleyin.
- Açık Rıza ve Aydınlatma Ayrımı: Sözleşmenin ifası (kargo, fatura) için rıza gerekmezken; pazarlama, SMS/e-posta gönderimi ve profilleme için ayrı açık rıza alın.
- Çerez (Cookie) Yönetimi: Siteye gelen ziyaretçiler için analitik ve reklam çerezlerini yasalara uygun şekilde tercihe bağlı hale getirin.
- Teknik ve İdari Tedbirler: SSL sertifikası kullanın, ödeme alt yapısının güvenliğini sağlayın ve yönetici girişlerini koruyun.
- VERBİS Kaydı: Yasal şartları sağlıyorsanız kayıt işlemlerini tamamlayın.
Aydınlatma Metninde Bulunması Gerekenler
KVKK m. 10’a göre hazırlanan metin şu unsurları içermelidir:
- Veri Sorumlusu Kimliği: Şirketin tam ticaret unvanı ve adresi.
- İşleme Amaçları: Siparişin teslimi, fatura kesilmesi gibi net ifadeler.
- Veri Aktarımı: Verilerin paylaşıldığı kargo ve ödeme kuruluşları.
- Hukuki Sebepler: Kanunlarda öngörülmesi veya sözleşmenin kurulması.
- Haklar: Müşterinin bilgi talep etme ve silme hakkı.
Bu Yazıda Neler Var
- KVKK uyumu neden sadece “gizlilik politikası” değildir?
- Veri envanteri: hangi veriler toplanıyor?
- Her veri kalemi için hukuki sebep belirlenmeli
- Aydınlatma ile açık rıza birbirinden ayrılmalı
- VERBİS kaydı gerekli mi?
- Çerez (cookie) yönetimi nasıl kurulmalı?
- Saklama ve imha politikası
- Veri güvenliği tedbirleri
- Üçüncü kişilerle paylaşım: kargo, ödeme, CRM
- Yurt dışına veri aktarımı söz konusuysa
- Aydınlatma metninde bulunması gerekenler
- İşlem bazlı aydınlatma: tek metin yeterli mi?
- En sık yapılan hatalar
- Veri ihlali bildirimi
- Ticari elektronik ileti ve İYS kaydı
- Pratik uyum adımları
- Sık sorulan sorular
KVKK Uyumu Neden Sadece “Gizlilik Politikası” Değildir?
E-ticaret siteleri bakımından KVKK uyumu, yalnızca bir gizlilik politikası yayınlamak meselesi değildir. Hukuken bu süreç, hangi kişisel verilerin hangi amaçla işlendiğinin belirlenmesi, işleme şartının tespiti, aydınlatma yükümlülüğünün doğru kurulması, açık rıza gereken alanların ayrıştırılması, veri güvenliği tedbirlerinin uygulanması, saklama-imha politikasının hazırlanması ve başvuru mekanizmasının oluşturulması gibi birden fazla katmandan oluşur.
E-ticaret ortamında bu süreç ayrıca 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile de kesişir çünkü alışveriş işlemi sırasında alıcıya teknik adımlar, saklama, hata düzeltme ve gizlilik kuralları gibi bilgilerin verilmesi gerekir. KVKK boyutunda ise aydınlatma yükümlülüğü ve veri güvenliği öne çıkar.
Veri Envanteri: Hangi Veriler Toplanıyor?
İlk adım, sitede hangi kişisel verilerin işlendiğini tespit etmektir:
- Ad, soyad,
- E-posta, telefon numarası,
- Teslimat ve fatura adresi,
- IP adresi, cihaz bilgisi,
- Ödeme bilgileri, sipariş geçmişi,
- İade/şikayet kayıtları, üyelik hareketleri,
- Çerez verileri, pazarlama izinleri,
- Çağrı merkezi kayıtları.
Bu verilerin her biri aynı hukuki sebebe dayanmaz. Bu nedenle “toplu bir veri işleme” değil, amaç bazlı ayrıştırma gerekir.
Her Veri Kalemi İçin Hukuki Sebep Belirlenmelidir
6698 Sayılı KVKK Madde 5 (Özet)
Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Ancak kanunlarda öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması, bir hakkın tesisi veya korunması için zorunlu olması ya da veri sorumlusunun meşru menfaati için zorunlu olması hallerinde açık rıza aranmaz.
E-ticaret sitelerinde çok sayıda veri, açık rıza olmaksızın işlenebilir çünkü siparişin alınması, ürünün teslim edilmesi, fatura düzenlenmesi, iade işlemleri, ödeme güvenliği ve zorunlu muhasebe kayıtları gibi işlemler çoğu durumda sözleşme veya hukuki yükümlülük kapsamında yürür. Buna karşılık pazarlama, profil çıkarma, kampanya analizi, yeniden hedefleme, ticari elektronik ileti gönderimi ve üçüncü taraf reklam çerezleri gibi işlemler için açık rıza veya başka bir geçerli hukuki sebebin bulunup bulunmadığı ayrı ayrı değerlendirilmelidir.
Aydınlatma ile Açık Rıza Birbirinden Ayrılmalıdır
Bu, konunun en kritik noktalarından biridir. Aydınlatma yükümlülüğü ile açık rıza aynı şey değildir:
Aydınlatma
Veri sahibine neyin, neden, kime, hangi hukuki sebeple işlendiğini söylemektir. Kanunda ayrıca öngörülen bir yükümlülüktür ve ilgili kişinin talebine bağlı değildir.
Açık Rıza
Belirli bir veri işleme faaliyetine özgü, özgür iradeyle verilen onaydır. Aydınlatma yapılmış olması, açık rızanın da alındığı anlamına gelmez. İkisi ayrı ayrı yürütülmelidir.
Bu iki işlem aynı kutuya sıkıştırılamaz. Aydınlatma metni açık, sade, belirli ve meşru amaçlı olmalı; açık rıza alınacaksa bu rıza metinden ayrı kurulmalıdır. “Her şey için açık rıza” yaklaşımı hatalıdır; sözleşme ifası için gerekli veriler sırf “rıza kutusu”na bağlanmamalıdır.
VERBİS Kaydı Gerekli mi?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı, belirli kriterleri (yıllık çalışan sayısı ve mali bilanço büyüklüğü gibi) karşılayan veri sorumluları için zorunludur. Ancak VERBİS kaydı yükümlülüğü bulunmasa dahi, bir “kişisel veri işleme envanteri” hazırlamak her e-ticaret işletmesi için pratik olarak zorunludur. Uyum sürecinin temel belgesi budur. VERBİS kaydı gerekliliğinin güncel eşiklerini teyit etmek için Kişisel Verileri Koruma Kurumu’nun resmi duyurularının takip edilmesi önerilir.
Çerez (Cookie) Yönetimi Nasıl Kurulmalı?
E-ticaret sitelerinde sık yapılan bir hata, zorunlu çerezler ile pazarlama çerezlerini aynı kategori gibi sunmaktır. Hukuken bu ikisi farklı değerlendirilir:
- Zorunlu çerezler: sitenin çalışması için gerekli olabilir, kullanıcı onayı aranmaksızın kullanılabilir.
- Analitik / reklam / kişiselleştirme çerezleri: ayrıca değerlendirilmeli ve kullanıcıya seçim hakkı tanınmalıdır.
Bu ayrım, kullanıcıya sunulan çerez paneli ve aydınlatma metninde açıkça gösterilmelidir. Önceden işaretlenmiş rıza kutucukları kullanmak geçersiz kabul edilir.
Saklama ve İmha Politikası
6698 Sayılı KVKK Madde 7 (Özet)
Kanuna uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.
E-ticaret sitelerinde bu, özellikle üyeliği kapanan kullanıcı verileri, işlem tamamlandıktan sonra saklanması gerekmeyen kampanya verileri, pazarlama izinleri, iş başvuruları ve iade/şikayet kayıtları için önemlidir. Bu nedenle bir saklama ve imha politikası ile her veri kategorisi için süreler belirlenmelidir; ilgili amaç için gerekli süreden daha uzun saklama, kanunun temel ilkeleriyle çelişebilir.
Veri Güvenliği Tedbirleri
6698 Sayılı KVKK Madde 12 (Özet)
Veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişilmesini önlemek ve muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almak zorundadır.
E-ticaret siteleri bakımından bu tedbirler özellikle şunları içerir: güçlü parola ve yetki yönetimi, iki aşamalı doğrulama, log kayıtları, erişim yetkisi kısıtlaması, yedekleme, SSL/TLS, güvenli ödeme altyapısı, çalışan eğitimleri, veri işleyen sözleşmeleri, sızma testi/güvenlik taraması ve olay müdahale planı.
Üçüncü Kişilerle Paylaşım: Kargo, Ödeme, CRM
E-ticaret operasyonunda kişisel veriler çoğu zaman kargo şirketi, ödeme kuruluşu, sanal POS sağlayıcısı, muhasebe hizmeti, CRM/ERP yazılım sağlayıcısı, çağrı merkezi, bulut sunucusu, pazarlama ajansı ve yurt dışı altyapı sağlayıcısı gibi taraflarla paylaşılır. Bu paylaşımların her biri için aktarım amacı, alıcı grubu, hukuki sebep ve yurt dışı aktarım olup olmadığı ayrı ayrı belirlenmelidir. Veri işleyenlerle yapılan sözleşmeler, veri güvenliği tedbirlerinin kim tarafından ne şekilde alınacağını da düzenlemelidir.
Yurt Dışına Veri Aktarımı Söz Konusuysa
Kullanılan sunucular veya bulut hizmetleri Türkiye dışındaysa, KVKK’nın yurt dışına aktarıma ilişkin hükümleri gereği güvenli ülke statüsü veya uygun taahhütname gibi ek şartlar devreye girer. Bu durum, küresel altyapı kullanan veya yurt dışı pazarlara açılan e-ticaret siteleri için özellikle önemlidir. Yasal riskleri azaltmak için veri işleme sözleşmelerinin (DPA) usulüne uygun imzalanmış olması gerekir.
Aydınlatma Metninde Bulunması Gerekenler
Aydınlatma Metninde Bulunması Gerekenler
6698 Sayılı KVKK Madde 10 (Özet)
Kişisel verilerin elde edilmesi sırasında veri sorumlusu, ilgili kişilere; kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ve hukuki sebebini ve ilgili kişinin haklarını bildirmekle yükümlüdür.
Aydınlatma metni asgari olarak şu bilgileri içermelidir:
- Veri sorumlusunun kimliği,
- İşlenen kişisel veriler,
- İşleme amaçları,
- Kişisel verilerin kimlere ve hangi amaçla aktarılacağı,
- Toplama yöntemi ve hukuki sebep,
- İlgili kişinin KVKK m. 11 kapsamındaki hakları.
Aydınlatma metni açık ve sade bir dil kullanmalı, muğlak olmayan ifadeler taşımalı, amaç bazlı ayrım içermeli, açık rızadan bağımsız olarak kurulmalı ve güncel, erişilebilir bir formatta sunulmalıdır.
İşlem Bazlı Aydınlatma: Tek Metin Yeterli mi?
En sağlıklı uygulama, tek bir genel metin yazıp geçmek değil, işlem bazlı aydınlatmadır. Örneğin şu alanlar için ayrı aydınlatma metinleri hazırlanabilir:
- Üyelik aydınlatması,
- Sipariş ve teslimat aydınlatması,
- Ödeme ve faturalama aydınlatması,
- Çerez aydınlatması,
- Kampanya/pazarlama aydınlatması,
- İletişim formu aydınlatması,
- Müşteri hizmetleri aydınlatması,
- İade ve şikayet aydınlatması,
- İş başvurusu aydınlatması.
Bu ayrım hem şeffaflığı artırır hem de denetim açısından metni güçlendirir.
En Sık Yapılan Hatalar
Aydınlatma metni hazırlanırken sık karşılaşılan riskler: “her şey için açık rıza” yaklaşımı (sözleşme ifası için gerekli veriler rıza kutusuna bağlanmamalıdır), genel ve belirsiz amaç ifadeleri (“size daha iyi hizmet sunmak için” gibi muğlak cümleler), aktarım alıcılarının belirsiz bırakılması (“kamu kurumları ve iş ortaklarımız” gibi somutlaştırılmamış ifadeler), çerez ve pazarlama metinlerinin karıştırılması ve veri saklama süresinin hiç belirtilmemesi. Ayrıca üyelik sözleşmesi içine aydınlatma metnini gömmek de hatalıdır; ikisi ayrı sunulmalıdır.
Veri İhlali Bildirimi
6698 Sayılı KVKK Madde 12/5
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.
Kişisel Verileri Koruma Kurulu’nun ilgili kararı uyarınca, veri ihlalinin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılması beklenir. Bu nedenle e-ticaret sitesinde yazılı bir olay müdahale ve bildirim prosedürünün önceden hazır bulundurulması önemlidir.
Ticari Elektronik İleti ve İYS Kaydı
6563 Sayılı Kanun Madde 3 (Özet)
Hizmet sağlayıcı, elektronik iletişim araçlarıyla bir sözleşmenin yapılmasından önce tanıtıcı bilgilerini, sözleşmenin kurulabilmesi için izlenecek teknik adımları, veri girişindeki hataların düzeltilmesine ilişkin araçları ve uygulanan gizlilik kurallarını alıcıya sunmakla yükümlüdür.
Müşterilere kampanya, indirim veya bülten amaçlı ticari elektronik ileti (SMS, e-posta, arama) gönderebilmek için İleti Yönetim Sistemi (İYS) kaydının bulunması ve izinli bir veritabanının kullanılması gerekir. Bu, KVKK’daki açık rıza şartından ayrı, elektronik ticaret mevzuatının getirdiği ek bir yükümlülüktür. İkisi birlikte değerlendirilmelidir.
Pratik Uyum Adımları
- Veri haritası çıkarın,
- Hukuki sebep matrisi hazırlayın,
- İşlem bazlı aydınlatma metinlerini oluşturun,
- Açık rıza gereken alanları ayırın,
- Çerez panelini hukuka uygun kurun,
- İletişim ve başvuru kanalı belirleyin,
- Saklama-imha politikası oluşturun,
- Üçüncü taraf sözleşmelerini gözden geçirin,
- Veri güvenliği tedbirlerini uygulayın,
- Veri ihlali prosedürünü yazılı hale getirin,
- Çalışan eğitimi ve denetimini yapın,
- Periyodik iç denetim yapın.
E-ticaret sitenizin KVKK uyum sürecinin ve aydınlatma metinlerinizin somut veri akışınıza göre doğru kurgulanması hem idari para cezası riskini azaltır hem de müşteri güvenini korur.
Sık Sorulan Sorular
E-ticaret sitesi için tek bir aydınlatma metni yeterli midir?
Mümkün olsa da önerilmez. En sağlıklı uygulama, üyelik, sipariş, ödeme, çerez ve pazarlama gibi işlem türlerine göre ayrı aydınlatma metinleri hazırlamaktır; bu hem şeffaflığı artırır hem denetimde metni güçlendirir.
Kargo adresini almak için açık rıza gerekir mi?
Hayır. Sipariş ve teslimat için gerekli veriler, sözleşmenin ifasıyla doğrudan ilgili olduğundan açık rıza aranmaksızın işlenebilir.
Pazarlama e-postası göndermek için ne gerekir?
Hem KVKK kapsamında ayrı bir açık rıza hem de 6563 sayılı Kanun kapsamında İYS’ye kayıtlı izinli bir veri tabanı gereklidir.
VERBİS’e kayıt olmak zorunda mıyım?
Bu, yıllık çalışan sayınız ve mali bilanço büyüklüğünüz gibi kriterlere bağlıdır. Kayıt yükümlülüğünüz olmasa dahi, kişisel veri işleme envanteri hazırlamanız önerilir.
Önceden işaretlenmiş rıza kutucuğu kullanabilir miyim?
Hayır, bu geçersiz kabul edilir. Açık rıza, özgür iradeyle ve aktif bir işlemle (kutucuğun bizzat işaretlenmesiyle) verilmelidir.
Veri ihlali yaşarsam ne kadar sürede bildirim yapmalıyım?
Öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirim yapılması beklenir; ayrıca etkilenen kişilere de bildirim yapılmalıdır.
Yazar Hakkında
Bu içerik, Av. Melisa Ezgi Aslan tarafından 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 4, 5, 7, 10, 11, 12, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun m. 3 hükümleri esas alınarak hazırlanmıştır. E-ticaret siteleri için KVKK uyum süreci ve aydınlatma metni hazırlığı hakkında detaylı ve işletmenize özel bilgi için hukuki danışmanlık alınması önerilir.
Av. Melisa Ezgi Aslan, İzmir merkezli hukuk hizmetlerinin yanı sıra Konak, Karşıyaka, Bornova, Buca, Bayraklı, Çiğli, Gaziemir ve Karabağlar ilçelerinde e-ticaret hukuku, KVKK uyum süreçleri ve ticaret hukuku alanlarında müvekkillerine hukuki destek sunmaktadır.