E-ticaret sitesi KVKK için ne yapmalı?

6698 sayılı Kişisel Verilerin Korunması Kanunu, mağazanın müşteri, ziyaretçi ve başvuru sahibiyle ilgili kişisel veri işlemlerine uygulanır. Siparişte alınan ad, adres ve iletişim bilgisi; üyelik kayıtları, destek yazışmaları ve kişiyi belirleyebilen ziyaret verileri süreç bazında incelenmelidir. Kanun md. 4; hukuka uygunluk, doğruluk, belirli ve meşru amaç, ölçülülük ve gerekli süreyle sınırlı saklama ilkelerini getirir. Veri toplamak teknik olarak mümkün diye bütün alanları zorunlu yapmayın.

İlk işiniz gerçek veri akışını çıkarmaktır. Hangi bilgiyi hangi ekrandan aldığınızı, ne amaçla kullandığınızı, kime ilettiğinizi ve ne kadar tuttuğunuzu yazın. Veri sorumlusu ile kendi adına işlem yapan hizmet sağlayıcının rolünü sözleşme ve fiilî işleme göre değerlendirin. Hazır bir metindeki firma adını değiştirmek bu incelemenin yerini tutmaz. Sipariş, fatura, teslimat, destek ve reklam faaliyetlerini ayrı kayıtlar halinde ele almak hatalı bir genel rızaya dayanmayı önler.

Kanun md. 5/2, açık rıza aranmadan işleme yapılabilecek şartları sayar. Sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli taraf verileri md. 5/2-c kapsamında değerlendirilebilir. Hukuki yükümlülük, kanunda açıkça öngörülme veya bir hakkın korunması gibi diğer şartlar da kendi koşullarıyla uygulanır. Her veri alanına otomatik olarak “sözleşme” gerekçesi yazmayın; o bilginin o faaliyet için gerçekten gerekli olup olmadığını belirleyin.

Açık rıza, Kanun md. 3’te belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. Siparişin yürütülmesiyle ilgisiz reklam veya profil oluşturma işlemlerini satın alma şartına dönüştürmeyin. Rıza gerekiyorsa kapsamı belirli bir seçim oluşturun; önceden işaretli veya bütün gelecek amaçları kapsayan genel bir kabul düzeni kurmayın. Rıza geri alındığında hangi faaliyetin duracağı ile başka hukuki sebeple tutulan kayıtları ayırın.

Özel nitelikli kişisel veriler Kanun md. 6’da ayrı düzenlenir; bu madde de 2024’te değişmiştir. Örneğin müşteri destek formundan sağlık raporu istemeyi sıradan iletişim bilgisi toplamak gibi değerlendirmeyin. Gerçek gerekliliği, güncel md. 6/3’teki şartı ve yeterli önlemleri ayrıca inceleyin. Satın alınan ürünün niteliği veya müşterinin gönderdiği ek belge nedeniyle hassas veri işlenip işlenmediğini kontrol edin; gereksiz belge toplamaktan kaçının.

Kanun md. 10’a göre veri elde edilirken veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, alıcılar ve aktarım amaçları, toplama yöntemi, hukuki sebep ve md. 11’deki haklar açıklanır. Aydınlatma, müşterinin talep etmesine bağlı değildir. Rıza dışındaki bir işleme şartına dayanılması da bu görevi kaldırmaz. KVKK aydınlatma örneğini kendi gerçek veri akışınızla doldurun.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ md. 5, anlaşılır dil ve açık hukuki sebep ister; muğlak ve yanıltıcı açıklamalara izin vermez. Aynı maddenin f bendi, rızaya dayalı faaliyette aydınlatma ile rızanın ayrı yerine getirilmesini düzenler. Bilgi metninin sunulmasıyla isteğe bağlı amaç için olumlu tercih alınmasını tek bir zorunlu kutuda birleştirmeyin. Amaç değişirse yeni faaliyetten önce ayrıca aydınlatın.

Üyelik, misafir siparişi, iletişim ve iş başvurusu gibi farklı ekranları ayrı kontrol edin. Metne yalnız alt bilgiden erişilebilmesi, bütün veri toplama anlarının uygun tasarlandığını tek başına göstermez. Tebliğ md. 5/e uyarınca aydınlatmanın yapıldığının ispatı veri sorumlusundadır. Sunulan sürümü ve ilgili işlemle bağını kaydedin; metindeki alıcı grupları, amaç ve hukuki sebepler gerçekte uygulananlarla uyuşsun.

Yurt içindeki alıcılara aktarım Kanun md. 8 yönünden ayrıca incelenir. Teslimat için gereken bilgiyi kargo sürecine iletirken amaç ve veri kapsamını belirleyin; tüm müşteri dosyasını her alıcıya göndermeyin. Pazaryeri, ödeme, muhasebe ve destek hizmetlerinin rolünü ayrı değerlendirin. Verinin aynı ülkede işlenmesi, aktarım şartlarının veya güvenlik tedbirlerinin otomatik karşılandığı anlamına gelmez.

Çerez ve benzer izleme araçlarıyla kişisel veri işleniyorsa Kanun md. 4–5 ve 10 kapsamında amaç, işleme şartı ve aydınlatmayı değerlendirin. Rızaya dayalı bir aracı kullanıcı seçmeden başlatmayın. Sepetin çalışması için gerekli işlevle reklam takibini aynı başlıkta birleştirmeyin; çerez politikası örneğinde gerçek araç envanterini doldurun. SMS veya e-posta reklam izninin ayrıca tabi olduğu süreç için İYS rehberine bakın.

Kanun md. 9, 1 Haziran 2024’te yürürlüğe giren değişiklikle aşamalı bir yurt dışı aktarım rejimi getirir. İlk olarak md. 5 veya 6’daki işleme şartıyla birlikte uygulanabilir yeterlilik kararı değerlendirilir. Yeterlilik yoksa md. 9/4’teki şartlarla uygun güvence yollarına bakılır. Standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları ve Kurul izni gerektiren diğer yollar birbirinden farklıdır. Alıcının yabancı bir hizmet sağlayıcı olması, tek başına hangi yolun kullanılacağını belirlemez.

Standart sözleşme seçilirse Kanun md. 9/5 uyarınca imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir. Md. 9/6’daki istisnalar ise yeterlilik ve uygun güvence bulunamadığında arızi aktarımlar içindir; riskler hakkında bilgilendirilmiş açık rıza da bu sınırlı rejimdeki yollardan biridir. Sürekli bulut, destek veya reklam akışını yalnız genel bir rıza cümlesiyle arızi aktarım saymayın. Gerçek alıcı, erişim yeri ve sonraki aktarımı inceleyin.

Kanun md. 12, hukuka aykırı işleme ve erişimi önleyecek, veriyi koruyacak teknik ve idari tedbirleri ve gerekli denetimleri zorunlu kılar. İşletme için erişimleri görevle sınırlamak, ayrılan çalışanın yetkisini kapatmak, güçlü kimlik doğrulama, yedekleme ve olay kaydı oluşturmak uygulanabilecek tedbir örnekleridir. Bunları her mağaza için yeterli ve tamamlanmış bir liste gibi görmeyin; sistem ve risklere göre belirleyin. Hizmet sağlayıcı kullanmak müşterek güvenlik sorumluluğunu ortadan kaldırmaz.

Kanun md. 4/2-d ve 7’ye göre veriler gerekli veya mevzuatta öngörülen süreyle sınırlı tutulur; işleme sebepleri kalkınca silme, yok etme veya anonimleştirme değerlendirilir. Bütün müşteri bilgilerine tek bir saklama süresi atamayın. Fatura ve yükümlülük kayıtları, rıza kayıtları ve gereksiz destek eklerinin amaçlarını ayrı değerlendirin. Başka bir hukukî saklama gerekçesi sürüyorsa üyeliğin kapanması her kaydın o anda yok edilmesi anlamına gelmeyebilir.

Kanun md. 11’de bilgi alma, alıcıları öğrenme, düzeltme, şartları varsa silme/yok etme ve diğer haklar bulunur. Md. 13’e göre başvurular niteliğine göre en kısa sürede, en geç otuz günde sonuçlandırılır; kural olarak ücretsizdir, ayrıca maliyet halinde Kurul tarifesi uygulanabilir. KVKK başvuru formunu gerçek kanallarınıza uyarlayın. Kimlik doğrularken de gereksiz kişisel veri istemeyin; talep, değerlendirme ve yanıt tarihini takip edin.

Veri ihlalinde Kanun md. 12/5 ve Kurulun 2019/10 sayılı kararı birlikte uygulanır. Kurula bildirim, öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde yapılır; haklı gecikme gerekçesi bildirimle açıklanır. Etkilenen kişiler belirlendikten sonra onlara da makul en kısa sürede uygun yöntemle bildirim yapılır. İlgili kişiye bildirim için aynı 72 saati ayrı bir kesin süre gibi yazmayın. Olayın etkisi, önlemler ve bildirim sorumlusu kayıt altına alınmalıdır.

Aşağıdaki alt ve üst sınırlar, Kurumun 2017–2026 yıllarını gösteren resmî tablosunun 2026 sütunundan alınmıştır. Kanun’un 18. maddesindeki eski başlangıç tutarları güncel yıl cezası diye kullanılmamalıdır. Bunlar belirli bir mağaza için otomatik toplam değildir; somut ihlal, sorumluluk ve uygulanacak bent değerlendirilir. Adli suçlar veya diğer düzenlemeler yönünden ayrıca sonuç doğabilir.

Kaynak: Kişisel Verileri Koruma Kurumu, 6698 sayılı Kanun kapsamındaki idari para cezaları tablosu; 2026 sütunu, 24 Ekim 2026 kontrolü.

1. Veri envanterini sipariş, fatura, teslimat, üyelik, destek ve reklam akışlarına ayırın; veri, amaç, hukuki sebep, alıcı ve saklama gerekçesini yazın.
2. Aydınlatmayı veri toplama anına yerleştirin. Gerekli açık rızayı ayrı amaç ve özgür seçimle alın; ekranın gerçekten nasıl çalıştığını deneyin.
3. Hizmet sağlayıcıların ülke, erişim ve sonraki aktarımını inceleyin. Yurt dışı mekanizmasını ve gerekiyorsa standart sözleşme bildirim tarihini belgeleyin.
4. Yetkileri, güvenliği, saklama ve imhayı denetleyin. Başvuru ve ihlal halinde kimlerin hangi süreyi takip edeceğini belirleyin.
5. Kanun md. 16 kapsamındaki kayıt istisnasını ayrıca inceleyin; VERBİS kaydı rehberine bakın. Sicil istisnasını bütün KVKK görevlerinden muafiyet saymayın.

• Çerez kuralları: KVKK, açık rıza ve bant tasarımı
• Küçük e-ticaret satıcısının VERBİS kaydı zorunlu mu?