KVKK Uyumlu E-Ticaret Sitesi Nasıl Kurulur: Çerez Politikası ve Aydınlatma Metni

Kişisel Verileri Koruma Kurumu'nun (KVKK) resmi tutar tablosuna göre 2026 yılında yalnızca aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL arasında idari para cezasına yol açabiliyor; veri güvenliği ihlallerinde üst limit 17.092.242 TL'ye kadar çıkıyor. Bu rakamlar e-ticaret siteleri için soyut bir hukuk konusu değil, doğrudan işletme riski anlamına geliyor. Çünkü bir online mağaza; ad, soyad, adres, telefon, sipariş geçmişi, ödeme bilgisi ve çerezlerle toplanan gezinme verisini aynı anda işliyor. Bu yazının tezi net: KVKK uyumu, e-ticaret sitesi yayına girdikten sonra eklenen bir "hukuki metin" değil, sitenin kurulum aşamasında checkout akışıyla, üyelik formuyla ve çerez banner'ıyla birlikte tasarlanması gereken bir bileşendir. Upjen olarak e-ticaret projelerinde çerez ve aydınlatma metnini tasarımdan ayrı bir ek olarak değil, teknik kurulumun parçası olarak ele almamızın nedeni de budur; sonradan yamanan bir metin, gerçek bir uyum sağlamıyor.\n\n## KVKK E-Ticaret Siteleri İçin Neden Ayrı Bir Risk Alanı\n\nBir kurumsal tanıtım sitesi genelde yalnızca iletişim formu üzerinden kişisel veri toplar. E-ticaret sitesi ise çok daha fazla veri noktasına sahiptir: üyelik formu, checkout sayfası, fatura/teslimat adresi, ödeme altyapısı entegrasyonu, sepet terk e-postaları, bülten aboneliği, yorum-puanlama sistemi ve reklam/analitik çerezleriyle toplanan davranışsal veri. Bu çok katmanlı yapı, KVKK Kurulu'nun e-ticaret sektörünü ayrıca mercek altına almasına yol açıyor. Kurul'un yayımladığı karar özetleri arasında bir e-ticaret platformunun Kurula intikal ettirdiği veri ihlali bildirimine ilişkin 2024/1385 sayılı karar da bulunuyor; bu da sektörün Kurul gündeminde somut biçimde yer aldığını gösteriyor. Dolayısıyla e-ticaret sitesi kurarken "küçük işletmeyiz, bize bakmazlar" varsayımı yanlış bir güvenlik hissi yaratıyor.\n\n## Aydınlatma Metni: KVKK Madde 10'un İstediği Unsurlar\n\nAydınlatma metni, KVKK'nın 10. maddesine dayanan ve veri toplanmadan önce kullanıcıya sunulması gereken zorunlu bir bilgilendirmedir. KVKK'nın kendi kamuoyu duyurusunda vurguladığı gibi, veri sorumlusu kullanıcıyı veri toplama anında ve her veri toplama noktasında ayrı ayrı bilgilendirmelidir. Bir e-ticaret sitesinde aydınlatma metninin somut olarak içermesi gereken unsurlar şunlardır:\n\n- Veri sorumlusunun kimliği (şirket unvanı, adres, varsa KEP adresi)\n- Hangi kişisel verilerin toplandığı (ad-soyad, adres, telefon, e-posta, sipariş ve ödeme verisi, IP ve çerez verisi)\n- Verilerin hangi amaçla işlendiği (sipariş teslimatı, fatura düzenleme, müşteri hizmetleri, yasal saklama yükümlülüğü)\n- Verilerin kimlere ve hangi amaçla aktarılabileceği (kargo firması, ödeme kuruluşu, muhasebe programı, varsa yurt dışı sunucu)\n- Verilerin toplanma yöntemi ve hukuki sebebi (sözleşmenin kurulması, kanuni yükümlülük, meşru menfaat, açık rıza)\n- İlgili kişinin KVKK'nın 11. maddesinde sayılan hakları (bilgi talep etme, düzeltme, silme, itiraz)\n- Bu hakların nasıl ve nereye başvurularak kullanılacağı\n\nKVKK'nın kararlarında sık tekrarlanan bir hata, "hukuki sebep" ile "işleme amacı"nın karıştırılması ya da hukuki sebebe hiç yer verilmemesidir. Pratikte bu, checkout sayfasında "Kişisel verileriniz sipariş sürecinde kullanılacaktır" gibi tek cümlelik, hukuki sebebi belirtmeyen metinlerin yetersiz sayılması anlamına gelir.\n\nSomut bir örnek vermek gerekirse: bir moda e-ticaret sitesinin checkout sayfasında "Adres ve telefon bilgileriniz, siparişinizin kargoya verilmesi amacıyla anlaşmalı kargo firmasıyla, yalnızca teslimat süresince paylaşılır; kredi kartı bilgileriniz Upjen'in veya site sahibinin sunucularında tutulmaz, doğrudan ödeme kuruluşunun güvenli altyapısında işlenir" şeklinde bir cümle, hem hukuki sebebi (sözleşmenin ifası) hem amacı (kargo teslimatı) hem de veri akışının kime gittiğini tek seferde açıklar. Bu düzeyde somutluk, genel geçer "verileriniz üçüncü kişilerle paylaşılabilir" ifadesinden çok daha güçlü bir uyum göstergesidir ve kullanıcı güvenini de artırır.\n\n## Çerez Politikası: Zorunlu, Analitik ve Pazarlama Çerezlerini Ayırmak\n\nÇerez politikası, aydınlatma metninden ayrı ama onunla bağlantılı bir belgedir ve hangi çerezin hangi amaçla, ne kadar süre çalıştığını anlatır. KVKK'nın çerezlere dair yayımladığı aydınlatma metni örneğinde de vurgulandığı gibi, kullanıcı siteye ilk girdiği anda bu konuda bilgilendirilmelidir. E-ticaret sitelerinde çerezler üç kategoride toplanır:\n\n- Zorunlu çerezler: sepet içeriğinin hatırlanması, oturum yönetimi, güvenlik. Bunlar için açık rıza gerekmez çünkü hizmetin sunulması için teknik olarak zorunludur.\n- Analitik çerezler: sayfa görüntüleme, dönüşüm oranı, kullanıcı davranışı ölçümü (örneğin Google Analytics).\n- Pazarlama/reklam çerezleri: yeniden pazarlama reklamları, sosyal medya piksel entegrasyonları.\n\nSomut bir kurulum senaryosu şöyle olmalıdır: kullanıcı siteye ilk girdiğinde ekranın altında ya da ortasında bir çerez banner'ı çıkar; banner'da "Kabul Et", "Reddet" ve "Ayarları Yönet" seçenekleri eşit görsel ağırlıkla yer alır. "Reddet" butonunun "Kabul Et"ten küçük, soluk renkli ya da gizli bir menünün arkasında olması KVKK denetiminde sorun teşkil eder; Kurul'un kararlarında sıkça karşılaşılan bir ihlal türü de kullanıcıyı örtük biçimde rızaya yönlendiren arayüz tasarımlarıdır. Teknik tarafta ise analitik ve pazarlama script'lerinin sayfa yüklendiği anda değil, kullanıcı rıza verdikten sonra tetiklenmesi gerekir; bu, çerez banner'ının yalnızca görsel değil aynı zamanda teknik bir bileşen olduğu anlamına gelir.\n\n## Aydınlatma ile Açık Rıza Farkı: Kurul'un Sık Cezalandırdığı Hata\n\nE-ticaret sitelerinde en sık karşılaşılan hatalardan biri, aydınlatma yükümlülüğü ile açık rıza şartının birbirine karıştırılmasıdır. KVKK Kurulu'nun 2022/1358 sayılı kararı, bir internet sitesinde çerezlere ilişkin aydınlatma ve açık rıza metinlerinin hiç sunulmamasını konu alırken, 2023/1041 sayılı kararı ise bir veri sorumlusunun aydınlatma yükümlülüğünü usulüne uygun yerine getirmeden hizmeti açık rıza şartına bağlamasını ihlal olarak değerlendirmiştir. Bu iki karar birlikte okunduğunda çıkan sonuç şudur: zorunlu olmayan bir çerez veya işleme faaliyeti için kullanıcının siteyi kullanabilmesini rıza vermesi şartına bağlamak ("çerezleri kabul etmezseniz siteyi kullanamazsınız" gibi) başlı başına bir ihlal nedenidir. Bir e-ticaret sitesinde ödeme ve teslimat için zorunlu olan veri işleme faaliyetleri ile pazarlama amaçlı isteğe bağlı işleme faaliyetlerinin net biçimde ayrılması, hem hukuki hem kullanıcı deneyimi açısından zorunludur.\n\n## E-Ticaret Sitesi Kurulurken Adım Adım Uygulama\n\nKVKK uyumunu sonradan eklemek yerine kurulum sürecine dahil etmek isteyenler için somut bir sıralama şöyle olabilir:\n\n1. Veri envanterini çıkarın: hangi formda (üyelik, checkout, bülten, iletişim) hangi verinin toplandığını ve nereye aktığını (kargo firması, ödeme kuruluşu, e-posta pazarlama aracı) listeleyin.\n2. Her veri toplama noktası için ayrı aydınlatma metni linki ekleyin: üyelik formunun altında, checkout sayfasında ve bülten kayıt kutusunda kullanıcı, o forma özel aydınlatma metnine tek tıkla ulaşabilmelidir.\n3. Çerez banner'ını teknik olarak doğru kurun: rıza öncesi yalnızca zorunlu çerezler çalışsın, analitik ve pazarlama script'leri rıza sonrası yüklensin, kullanıcı tercihini daha sonra değiştirebilsin.\n4. Kullanıcının haklarını kullanabileceği bir başvuru kanalı (form veya e-posta) sitede görünür şekilde yer alsın.\n5. VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğünüz olup olmadığını kontrol edin; yıllık çalışan sayısı ve veri işleme hacmine göre bu yükümlülük değişir.\n\nBu adımların çoğu, sitenin ilk kurulumu sırasında bilgi mimarisine ve form yapısına doğrudan etki eder; bu yüzden e-ticaret sitesi kurulumu sürecinde KVKK gereksinimlerini en başta netleştirmek, sonradan tüm formları ve banner yapısını yeniden inşa etmekten çok daha az maliyetlidir.\n\n## Üçüncü Taraf Entegrasyonları: Ödeme, Kargo ve Pazarlama Araçları\n\nBir e-ticaret sitesi neredeyse hiçbir zaman tek başına çalışmaz; ödeme kuruluşu, kargo firması, muhasebe entegrasyonu, e-posta pazarlama aracı ve reklam platformları verinin bir kısmını devralır. Bu noktada gözden kaçan bir ayrıntı, aydınlatma metninde "üçüncü kişilerle paylaşılabilir" gibi genel bir ifadeyle yetinilmesidir; oysa metinde hangi kategori verinin (isim-adres, sipariş tutarı, kart bilgisi değil ödeme referans numarası gibi) hangi amaçla hangi tür alıcı grubuna (ödeme kuruluşu, kargo firması, e-posta pazarlama sağlayıcısı) aktarıldığının belirtilmesi beklenir. Sunucusu veya kullandığı SaaS aracı yurt dışında barınan e-ticaret siteleri için ayrıca bir husus daha var: veri yurt dışına aktarılıyorsa bu durumun aydınlatma metninde ayrıca belirtilmesi ve aktarımın kanunun öngördüğü güvence mekanizmalarından birine dayanması gerekir. Örneğin sepet terk hatırlatma e-postaları yurt dışında sunucusu bulunan bir pazarlama otomasyon aracıyla gönderiliyorsa, bu aracın hangi ülkede veri sakladığı ve hangi hukuki dayanakla kullanıldığı da uyum değerlendirmesinin bir parçasıdır. Bu konu sitenin teknoloji seçimiyle doğrudan ilişkili olduğu için, hangi ödeme altyapısının ve hangi pazarlama aracının kullanılacağına karar verilirken KVKK etkisinin de değerlendirilmesi, kurulumdan sonra entegrasyon değiştirmekten çok daha pratik bir yaklaşımdır.\n\n## 2026'da KVKK İhlalinin Bedeli: Güncel Ceza Tablosu\n\nKVKK'nın 6698 sayılı Kanun kapsamındaki idari para cezası tutarları tablosuna göre 2026 yılı için ihlal türlerine göre alt limitler şöyledir: aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL, Veri Sorumluları Siciline (VERBİS) kayıt ve bildirim yükümlülüğüne aykırılık 341.809 TL, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 256.357 TL, Kurul kararlarının yerine getirilmemesi ise 427.263 TL'den başlıyor. Üst limitler ihlal türüne göre 1,7 milyon TL ile 17 milyon TL arasında değişiyor. Bu tutarlar her yıl Vergi Usul Kanunu'ndaki yeniden değerleme oranına göre otomatik artıyor, dolayısıyla "küçük bir ceza" beklentisiyle uyumu ertelemek, önümüzdeki yıllarda daha da maliyetli hale geliyor.\n\n## Sık Yapılan Hatalar\n\nE-ticaret sitelerinde denetimde en çok karşılaşılan hata kalıpları şunlardır:\n\n- Aydınlatma metninin yalnızca site altbilgisinde tek bir genel link olarak durması, checkout ya da üyelik formuna özel bir metin sunulmaması. Kullanıcı verisini nerede verdiyse, aydınlatmayı da orada görmelidir.\n- Çerez banner'ında "Reddet" seçeneğinin bulunmaması ya da menünün derinliklerine gizlenmesi; bu, görünürde rıza alınmış gibi ama fiilen kullanıcının tercihine kapalı bir tasarım anlamına gelir.\n- Pazarlama ve analitik script'lerinin kullanıcı rıza vermeden önce, sayfa yüklenir yüklenmez çalışmaya başlaması. Bu genelde bir tasarım hatası değil, geliştirme sürecinde script yönetiminin banner mantığıyla entegre edilmemesinden kaynaklanır.\n- E-bülten aboneliğinin üyelik sözleşmesiyle aynı onay kutusuna bağlanarak ayrıştırılamaz hale getirilmesi; kullanıcı üye olmak isterken istemeden pazarlama iletişimine de rıza vermiş oluyor.\n- KVKK başvuru kanalının sitede hiç bulunmaması ya da bulunması gereken bir sayfada değil, ulaşılması güç bir yerde saklanması.\n- Aydınlatma metninin bir defa yazılıp yıllarca güncellenmemesi; site yeni bir ödeme sağlayıcısına geçtiğinde veya yeni bir reklam pikseli eklendiğinde metnin buna paralel güncellenmemesi, metin ile fiili uygulama arasında tutarsızlık yaratır.\n\n## Sıkça Sorulan Sorular\n\nHer e-ticaret sitesinin VERBİS'e kayıt olması zorunlu mudur?\nHayır, zorunluluk yıllık çalışan sayısı ve yıllık mali bilanço büyüklüğü gibi kriterlere bağlıdır; küçük ölçekli bazı işletmeler istisna kapsamına girebilir. Ancak istisna kapsamında olmak, aydınlatma metni ve açık rıza yükümlülüğünü ortadan kaldırmaz; VERBİS ayrı, aydınlatma yükümlülüğü ayrı bir konudur.\n\nÇerez banner'ında sadece "Kabul Ediyorum" butonu olması yeterli mi?\nHayır. Kullanıcının çerezleri reddedebilmesi ya da kategori bazında özelleştirebilmesi gerekir; yalnızca kabul seçeneği sunan ve reddetme imkânı vermeyen banner'lar KVKK denetiminde geçerli bir rıza mekanizması olarak kabul edilmez.\n\nAydınlatma metni ile gizlilik politikası aynı belge midir?\nHayır, farklı amaçlara hizmet ederler. Aydınlatma metni KVKK'nın 10. maddesine dayanan yasal bir zorunluluktur ve belirli asgari unsurları içermek zorundadır; gizlilik politikası ise genellikle daha geniş kapsamlı, siteye özgü veri işleme pratiklerini anlatan bir belgedir. Bir e-ticaret sitesinde ikisinin birlikte, birbirine link vererek kullanılması yaygın ve doğru bir uygulamadır.\n\nKVKK uyumu tek seferlik bir kurulum mu, yoksa sürekli mi takip edilmeli?\nSürekli takip gerekir. Siteye yeni bir entegrasyon (örneğin yeni bir reklam pikseli, yeni bir e-posta pazarlama aracı) eklendiğinde, hem çerez politikasının hem aydınlatma metninin güncellenmesi gerekir; aksi halde metin ile sitenin fiilen topladığı veriler arasında tutarsızlık oluşur ve bu da denetimde ayrı bir ihlal nedeni olabilir.\n\nÇerez banner'ı kullanıcı deneyimini bozar mı, dönüşüm oranını düşürür mü?\nDoğru kurgulandığında hayır. Zorunlu çerezler zaten rıza gerektirmediği için sepet ve oturum işlevleri banner kapatılmadan önce de çalışmaya devam eder; kullanıcı yalnızca analitik ve pazarlama çerezleri için tercih belirtir. Banner'ın sayfayı tamamen kaplamaması, tek tıkla kapanabilmesi ve mobilde de aynı netlikte görünmesi, hem uyumu sağlar hem de kullanıcı deneyimini bozmaz; sorun banner'ın varlığında değil, kötü tasarlanmış ya da kullanıcıyı yönlendiren banner'larda ortaya çıkar.\n\n## Sonuç\n\nKVKK uyumu, e-ticaret sitesi için isteğe bağlı bir ekleme değil, kurulumun ayrılmaz bir parçasıdır. 2026 yılı itibarıyla resmi ceza tutarlarının 85 bin TL'den başlayıp 17 milyon TL'ye kadar çıkabildiği bir ortamda, aydınlatma metnini ve çerez banner'ını sonradan yapıştırılan bir hukuki metin olarak görmek yerine, checkout akışının, üyelik formunun ve pazarlama script'lerinin çalışma mantığının bir parçası olarak tasarlamak gerekir. Bu yazıda anlatılan adımlar genel bir çerçeve sunar; sitenizin topladığı veri türleri, kullandığınız ödeme ve kargo entegrasyonları ile yurt dışı veri aktarımı gibi konularda kesin hukuki durum için bir hukukçuya danışmanız, genel bilgilendirmenin ötesinde bağlayıcı bir görüş almanızı sağlayacaktır.\n\n## Kaynaklar\n\n- KVKK - Çerezlere Dair Aydınlatma Metni\n- KVKK - Aydınlatma Yükümlülüğünün Yerine Getirilmesi Hakkında Kamuoyu Duyurusu\n- KVKK Kurulu Kararı 2022/1358 - Çerezlere İlişkin Aydınlatma ve Açık Rıza Metinlerinin Sunulmaması\n- KVKK Kurulu Kararı 2023/1041 - Aydınlatma Yükümlülüğü ve Açık Rıza Şartına Bağlama\n- KVKK - 6698 Sayılı Kanun Kapsamında İdari Para Cezası Tutarları\n- KVKK Kurulu Kararı 2024/1385 - Bir E-Ticaret Platformunun Veri İhlal Bildirimi