E-ticaret sitesinde KVKK uyumu: aydınlatma, rıza, çerezler

E-ticaret sitesinde KVKK uyumu için ne gerekir?

Bir e-ticaret sitesi, kişisel veriyi toplarken 6698 sayılı Kişisel Verilerin Korunması Kanununun 10. maddesine uygun aydınlatma yapmalı, her işleme için 5. maddedeki bir hukuki sebebe dayanmalı, açık rızayı yalnızca gerekli olduğunda ve aydınlatmadan ayrı almalı, zorunlu olmayan çerezler için rıza yönetimi kurmalı ve verileri 12. madde uyarınca korumalıdır.

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Atıflar, Ekim 2026 itibarıyla mevzuat.gov.tr ve kvkk.gov.tr'deki güncel metinlere dayanır (son güncelleme: Ekim 2026). Metinlerinizi bir KVKK uzmanına veya avukata kontrol ettirin.

E-ticaret, kişisel verinin en yoğun işlendiği alanlardan biridir: üyelik, sipariş, teslimat adresi, ödeme, müşteri hizmetleri, e-posta listesi, reklam pikselleri. Her biri farklı bir hukuki sebebe ve farklı bir bilgilendirmeye ihtiyaç duyar.

Hangi veriler hangi hukuki sebeple işlenir?

6698 sayılı Kanunun 5. maddesi, kişisel verilerin kural olarak açık rıza olmadan işlenemeyeceğini söyler, ama ikinci fıkrada rıza aranmayan şartları sayar. E-ticarette en sık kullanılanlar şunlardır:

İşleme faaliyeti (örnek)	Olası hukuki sebep	Açık rıza gerekir mi?
Sipariş, teslimat adresi, fatura bilgisi	Sözleşmenin kurulması veya ifası (md. 5/2-c)	Hayır
Fatura ve kayıtların saklanması	Hukuki yükümlülük (md. 5/2-ç)	Hayır
Dolandırıcılık önleme, site güvenliği	Meşru menfaat (md. 5/2-f), temel hak ve özgürlüklere zarar vermemek kaydıyla	Genellikle hayır
Reklam ve hedefleme çerezleri, pikseller	Çerez Rehberine göre açık rıza	Evet
Özel nitelikli veri (örneğin sağlık bilgisi)	Md. 6'daki sınırlı şartlar	Çoğunlukla evet

Tablo, hangi sebebin seçileceğini her durumda belirlemez; kendi veri envanterinizi çıkararak her faaliyeti tek tek değerlendirmeniz gerekir. Önemli bir uyarı: Sözleşmenin ifası gibi başka bir hukuki sebep varken "her şey için açık rıza" almak, rızanın özgür iradeyle verilmesi ilkesini zayıflatır ve iyi uygulama değildir.

Aydınlatma metninde neler olmalı?

Kanunun 10. maddesine göre kişisel veriler elde edilirken ilgili kişiye şunlar bildirilmelidir:

1. Veri sorumlusunun ve varsa temsilcisinin kimliği,
2. Verilerin hangi amaçla işleneceği,
3. Verilerin kimlere ve hangi amaçla aktarılabileceği,
4. Veri toplamanın yöntemi ve hukuki sebebi,
5. Kanunun 11. maddesinde sayılan haklar (bilgi talep etme, düzeltme, silme, itiraz ve zararın giderilmesini isteme gibi).

KVKK'nın Mart 2025 tarihli Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğin 5. maddesine atıfla önemli bir kuralı hatırlatır: İşleme açık rızaya dayanıyorsa aydınlatma ile açık rızanın alınması ayrı ayrı yapılmalıdır. Yani "aydınlatma metnini okudum ve kabul ediyorum" şeklinde tek bir kutu, iki işi birden yapmaya çalıştığı için risklidir.

E-ticarette pratik çözüm, aydınlatmayı veri toplanan her noktada (üyelik formu, checkout, bülten kaydı, iletişim formu) kısa bir bağlantıyla erişilebilir kılmaktır.

Açık rıza nasıl alınmalı?

Kanunun 3. maddesi açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar. Buradan e-ticaret için şu pratik kurallar çıkar:

• Belirli konu: Her amaç için ayrı onay (örneğin reklam çerezleri ile yurt dışı aktarım tek kutuda toplanmamalı).
• Bilgilendirme: Onaydan önce kısa ve anlaşılır açıklama.
• Özgür irade: Onay, siparişin veya üyeliğin ön şartı yapılmamalı; kutular önceden işaretli olmamalı.
• İspat: Kim, ne zaman, hangi metin sürümüne onay verdi; kayıt altına alın.

Ticari elektronik ileti (e-posta, SMS) izinleri ise ayrı bir rejime, 6563 sayılı Kanunun 6. maddesine tabidir. Pazarlama otomasyonlarınızı kurarken bu ayrımı korumak gerekir; otomasyon tarafı için e-posta otomasyonları rehberimize göz atabilirsiniz.

Çerez banner'ı KVKK'ya göre nasıl olmalı?

KVKK'nın Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehberi (KVKK Yayınları No: 69) e-ticaret siteleri için en somut kaynaktır. Rehberden öne çıkanlar:

• Zorunlu çerezler (oturum, sepet, güvenlik, rıza tercihlerinin hatırlanması gibi) açık rıza dışındaki işleme şartlarına dayanabilir; ancak pazarlama amacıyla kullanılmamalıdır.
• Reklam ve davranışsal hedefleme çerezleri ile sosyal ağ takip çerezleri için açık rıza gerekir.
• Birinci taraf analitik çerezler, yalnızca sitenin işleyişi ve ölçümüyle sınırlıysa rehberde açık rıza dışı şartlar kapsamında değerlendirilebileceği belirtilir; IP maskeleme gibi önlemler önerilir. Üçüncü taraf analitik araçları için durumu ayrıca değerlendirin.
• Siteye girildiği anda çıkan panelde "kabul et", "reddet" ve "tercihler" butonlarının renk, büyüklük ve punto açısından eşit sunulması iyi uygulama örneği olarak gösterilir.
• Çerez aydınlatması, rıza panelinden ayrıştırılmış ve kolay erişilebilir olmalıdır.

Reddedilen çerezlerin gerçekten yüklenmemesi gerekir; bu da etiket yöneticinizin rıza durumuna göre tetiklenmesi demektir. Reddi tercih eden kullanıcıların ölçümde bıraktığı boşluğu azaltmak için sunucu taraflı izleme ve Conversions API yazımız faydalı olacaktır, ancak sunucu taraflı kurulumun da aynı rıza kararlarına uyması gerekir.

VERBİS kaydı e-ticaret siteleri için zorunlu mu?

Kanunun 16. maddesi veri sorumlularının Veri Sorumluları Siciline (VERBİS) kaydını düzenler, ancak Kurul bazı istisnalar belirlemiştir. Kurulun 06.07.2023 tarihli ve 2023/1154 sayılı kararıyla, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıttan istisnadır. Kurulun 04.09.2025 tarihli ve 2025/1572 sayılı kararıyla, ana faaliyeti özel nitelikli veri işleme olup yıllık çalışan sayısı 10'dan ve mali bilanço toplamı 10 milyon TL'den az olanlar da istisna kapsamına alınmıştır. Bu eşiklerin üzerindeyseniz VERBİS kaydı gerekir.

Yurt dışındaki araçlara veri aktarımı ne olacak?

E-ticaret sitelerinin çoğu yurt dışında barındırılan altyapı, e-posta ve reklam araçları kullanır. Kanunun 9. maddesi 2024'te 7499 sayılı Kanunla değişti. Yeni sisteme göre aktarım; 5. veya 6. maddedeki bir şartın varlığı ve yeterlilik kararı ile, yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerle yapılabilir. Standart sözleşme imzalandığında beş iş günü içinde Kuruma bildirilmelidir; bildirmemek 18. maddede ayrı bir idari para cezası sebebidir.

KVKK uyumu için adım adım yol haritası

1. Veri envanteri çıkarın: hangi veri, hangi amaç, hangi hukuki sebep, nerede saklanıyor.
2. Aydınlatma metinlerini veri toplanan her noktaya göre güncelleyin.
3. Açık rıza gereken faaliyetleri ayırın ve ayrı onay akışları kurun.
4. Çerez envanteri çıkarın, rıza yönetim platformunu eşit butonlarla yapılandırın.
5. Etiketlerin rıza durumuna göre tetiklendiğini test edin.
6. Yurt dışı aktarımları listeleyin, standart sözleşmeleri imzalayıp süresinde bildirin.
7. VERBİS eşiğini kontrol edin; gerekiyorsa kaydı yapın.
8. 12. madde kapsamında erişim yetkileri, şifreleme ve log kontrollerini belgeleyin.

Uyumlu bir ölçüm altyapısıyla reklam performansını korumak mümkün. Bunu birlikte kurgulamak isterseniz iletişim sayfamızdan ücretsiz büyüme analizi talep edebilirsiniz; Performetic ekibi ölçüm ve reklam tarafını sizinle ele alır.

Özet

• Her işleme faaliyeti için 6698 md. 5 veya 6'daki bir hukuki sebep belirleyin.
• Aydınlatma md. 10'daki beş unsuru içermeli; açık rızaya dayanan işlemlerde aydınlatma ile rıza ayrı alınmalı.
• Açık rıza belirli, bilgilendirilmiş ve özgür olmalı; ön işaretli kutu kullanılmamalı.
• KVKK Çerez Rehberi (Temmuz 2025): reklam çerezleri için rıza, eşit ağırlıkta kabul et ve reddet butonları.
• VERBİS istisnası: 50'den az çalışan ve 100 milyon TL'den az bilanço (özel nitelikli veri ana faaliyet değilse).
• Yurt dışı aktarımda standart sözleşme beş iş günü içinde Kuruma bildirilir.