KVKK uyumlu web sitesi ve yazılım için teknik kontrol listesi
6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen herkese aydınlatma, hukuki sebep, veri minimizasyonu ve güvenlik yükümlülüğü getirir. Bir web sitesi için bu; formlarda aydınlatma metni, gerekli olmayan alanların sorulmaması, çerezlerde onay, HTTPS, erişim yetkisi ayrımı, kayıt (log) tutma ve saklama süresi demektir. Yurt dışındaki bir sunucuya veri aktarılıyorsa 2024'te yürürlüğe giren aktarım rejimi ayrıca değerlendirilmelidir. Bu yazı teknik bir kontrol listesidir, hukuki görüş değildir.
- Toplamadığınız veri, korumak zorunda olmadığınız veridir
- Aydınlatma ile açık rıza aynı şey değildir
- Güvenlik tedbirleri yazılı ve uygulanabilir olmalıdır
- Yurt dışına aktarımın kendi kuralları vardır
Kişisel veri nedir?
6698 sayılı Kanun'a göre kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Ad, telefon, e-posta, IP adresi, konum ve çalışan giriş-çıkış kaydı bu kapsamdadır. Bir web sitesindeki iletişim formu, tek başına bile veri işleme faaliyetidir.
Web sitesi için asgari liste
- Aydınlatma metni: Kim, hangi veriyi, hangi amaçla, hangi hukuki sebeple işliyor; ne kadar saklıyor, kime aktarıyor. Form sayfasından erişilebilir olmalıdır.
- Açık rıza yalnızca gerektiğinde: Sözleşmenin kurulması için zorunlu olan veri, rıza olmadan da işlenebilir. Rıza, pazarlama gibi ek amaçlar için istenir ve ayrı, işaretlenmemiş bir kutu olmalıdır.
- Veri minimizasyonu: Teklif formunda T.C. kimlik numarası sormayın. İhtiyaç duymadığınız alan, sızdığında sorumlu olduğunuz alandır.
- Çerezler: Zorunlu olmayan çerezler (ölçümleme, reklam) için onay alınmalı ve onay verilmeden çalışmamalıdır.
- Güvenli iletim: Site baştan sona HTTPS olmalı; form verisi e-posta ile düz metin olarak dolaşmamalıdır.
- Saklama ve silme: Formdan gelen kayıtların ne kadar saklanacağı belirlenmeli ve süresi gelenler gerçekten silinmelidir.
Yazılım tarafında teknik tedbirler
Kurum, veri sorumlularının alması beklenen teknik ve idari tedbirleri rehberlerinde toplamıştır; kvkk.gov.tr üzerinden yayımlanan bu rehberler pratik bir çerçeve sunar. Yazılım tarafında en çok karşılaştığımız eksikler şunlardır:
- Yetki ayrımı: Her kullanıcı her kaydı görmemeli. Rol bazlı yetkilendirme, sızıntıların büyüklüğünü belirleyen tek tedbirdir.
- Kayıt (log) tutma: Kim, ne zaman, hangi kaydı gördü ya da değiştirdi? İz yoksa, olayın kapsamı da bilinemez.
- Şifreleme: Parolalar geri döndürülemez biçimde saklanmalı; yedekler de şifrelenmelidir.
- Güncelleme: Kullanılan kütüphanelerin bilinen açıkları düzenli taranmalı. Tedarik zinciri, OWASP'ın 2025 listesinde ayrı bir başlık hâline geldi.
- Test verisi: Test ortamında gerçek müşteri verisi kullanılmamalıdır.
Yurt dışına aktarım
Sunucunuz ya da kullandığınız bir SaaS yurt dışındaysa, veri yurt dışına aktarılıyor demektir. Kanun'un 9. maddesi 7499 sayılı Kanun'la değişti ve yeni rejim 1 Haziran 2024'te yürürlüğe girdi; usul ve esasları düzenleyen yönetmelik ise 10 Temmuz 2024'te Resmî Gazete'de yayımlandı. Kurumun yurt dışına aktarım sayfası, yeterlilik kararı, uygun güvenceler ve istisnalar sıralamasını açıklar. Pratikte bu, sağlayıcıyla imzalanan standart sözleşmenin ve bildirimin takip edilmesi anlamına gelir.
Sık yapılan hatalar
- Aydınlatma metnini başka bir siteden kopyalayıp şirket adını değiştirmek.
- Onay kutusunu önceden işaretli getirmek.
- Reklam ve ölçümleme kodlarını onaydan önce yüklemek.
- Formdan gelen e-postaları yıllarca bir gelen kutusunda biriktirmek.
- Panelde herkese yönetici yetkisi vermek.
KVKK uyumu bir belge işi değil, bir tasarım işidir: hangi veriyi hiç toplamayacağınıza karar verdiğiniz anda işin yarısı biter.
Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş yerine geçmez. Kurumsal süreçleriniz için avukatınızla çalışmanız gerekir.
Kaynaklar
- Kişisel Verileri Koruma Kurumu, kvkk.gov.tr
- Kişisel Verileri Koruma Kurumu, Yurt Dışına Aktarım
- OWASP, OWASP Top 10:2025
Sık sorulan sorular
Küçük bir işletmenin de KVKK yükümlülüğü var mı?
Evet. Yükümlülük şirketin büyüklüğüne değil, kişisel veri işleyip işlemediğine bağlıdır. VERBİS kaydı gibi bazı yükümlülüklerde ise eşikler vardır.
Google Analytics kullanmak sorun mu?
Ölçümleme çerezleri zorunlu çerez değildir; kullanıcı onayından önce çalışmamalıdır. Ayrıca verinin nereye aktarıldığı değerlendirilmelidir.
Form verisini e-postayla almak yeterli mi?
Çalışır ama iyi bir çözüm değildir. Kayıtların saklama süresi, erişim yetkisi ve silinmesi bir gelen kutusunda yönetilemez.
Veri ihlali olursa ne yapmalıyım?
Kanun, ihlalin öğrenilmesinden itibaren en kısa sürede Kurula ve ilgili kişilere bildirim yapılmasını öngörür. Bu yüzden log tutmak ve kapsamı hızlı tespit edebilmek kritiktir.
