6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016'da yürürlüğe giren ve Türkiye'deki tüm veri işleme faaliyetlerini düzenleyen temel yasal çerçevedir. Ancak pek çok e-ticaret işletmecisi, KVKK uyumunu hâlâ bir web sitesinin altına eklenmiş birkaç politika metninden ibaret sanmaktadır. Bu yaklaşım hem yasal açıdan yetersizdir hem de Kişisel Verileri Koruma Kurumu'nun (KVKK) denetimlerinde işletmeleri zor durumda bırakır.
Bu rehber, e-ticaret işletmenizi gerçek anlamda KVKK uyumlu hale getirmek için atmanız gereken somut adımları anlatmaktadır.
KVKK'nın E-Ticaret İşletmeleri İçin Önemi
E-ticaret işletmeleri doğası gereği büyük miktarda kişisel veri işler: ad, soyad, e-posta, telefon numarası, teslimat adresi, ödeme bilgileri, IP adresi, davranışsal veriler ve çok daha fazlası. Bu verilerin her birinin işlenme amacı, yasal dayanağı ve saklama süresi ayrı ayrı tanımlanmak zorundadır.
KVKK ihlalleri ağır yaptırımlarla sonuçlanabilir:
- İdari para cezaları: 2026 itibarıyla güncel para cezaları yeniden değerleme oranlarıyla her yıl artmaktadır.
- Veri işleme faaliyetinin durdurulması.
- Kamuoyu ilanı yoluyla itibar kaybı.
- Hukuki tazminat davaları.
Adım 1: Veri Haritalama (Data Mapping)
Uyumluluk sürecinin ilk ve en kritik adımı, işletmenizin hangi kişisel verileri topladığını, nereden topladığını, ne amaçla işlediğini, kimlerle paylaştığını ve ne kadar süre sakladığını belgelemektir.
VERBİS Kaydı
Kişisel verileri işleyen veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmakla yükümlüdür. Yıllık çalışan sayısı 50'nin veya yıllık mali bilanço toplamı 25 milyon TL'nin üzerinde olan işletmeler bu yükümlülüğü yerine getirmek zorundadır. VERBİS kaydında aşağıdaki bilgiler beyan edilir:
- Kişisel veri kategorileri (kimlik, iletişim, finansal, davranışsal, vb.)
- İşleme amacı
- Aktarım yapılan kişi grupları ve ülkeler
- Saklama süreleri
Veri Envanteri Oluşturma
VERBİS kaydının temelini veri envanteri oluşturur. Envanter tablosunda her veri akışı için şu bilgiler yer almalıdır:
| Veri Kategorisi | Toplama Noktası | İşleme Amacı | Yasal Dayanak | Saklama Süresi | Aktarılan Taraflar |
|---|---|---|---|---|---|
| Ad-Soyad, E-posta | Kayıt formu | Hesap oluşturma | Sözleşmenin ifası | Hesap silinene dek | Yok |
| Adres | Ödeme sayfası | Kargo teslimatı | Sözleşmenin ifası | 10 yıl (vergi mevzuatı) | Kargo firması |
| IP adresi | Sunucu log | Güvenlik, dolandırıcılık önleme | Meşru menfaat | 1 yıl | Yok |
| Davranışsal veri | Çerezler | Kişiselleştirme, analitik | Açık rıza | 1 yıl | Google Analytics |
Adım 2: Yasal İşleme Dayanaklarını Belirleyin
KVKK, kişisel verilerin işlenebilmesi için aşağıdaki yasal dayanaklardan birinin varlığını gerektirir:
- Açık rıza: Kişi, verilerinin işlenmesine özgürce, belirli bir konuya yönelik, bilgilendirilmiş şekilde onay vermiştir.
- Kanunlarda açıkça öngörülmüş olma: Bir kanun hükmü işlemeyi zorunlu kılıyorsa rıza aranmaz.
- Sözleşmenin kurulması veya ifası: Müşterinin sipariş vermesi için adres bilgisinin işlenmesi gibi.
- Veri sorumlusunun hukuki yükümlülüğü: Vergi mevzuatı kapsamında fatura bilgilerinin tutulması gibi.
- Kişinin kendisinin alenileştirmesi.
- Bir hakkın tesisi, kullanılması veya korunması.
- Meşru menfaat: İşletmenin meşru çıkarı ile kişinin temel hakları dengelenerek işleme yapılabilir (örneğin dolandırıcılık önleme).
Adım 3: Aydınlatma Yükümlülüğü
KVKK'nın 10. maddesi, veri işleme öncesinde veya en geç işleme anında kişilerin bilgilendirilmesini zorunlu kılar. Bu yükümlülük web sitenizdeki her veri toplama noktasında ayrı ayrı yerine getirilmelidir.
Aydınlatma Metni Neleri İçermelidir?
- Veri sorumlusunun kimliği ve iletişim bilgileri
- İşlenen kişisel veri kategorileri
- Kişisel verilerin işlenme amacı
- Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
- Kişisel veri toplamanın yöntemi ve yasal dayanağı
- Kişisel veri sahiplerinin hakları (KVKK m. 11)
Aydınlatma Nerede ve Nasıl Yapılmalı?
- Kayıt formu: Form göndermeden önce aydınlatma metnine bağlantı içeren onay kutusu.
- Ödeme sayfası: Ödeme verilerinin işlenmesine ilişkin aydınlatma.
- İletişim formu: İletişim amacıyla işlenen verilere ilişkin aydınlatma.
- Çerez banner'ı: Çerez yoluyla toplanan verilere ilişkin aydınlatma.
Adım 4: Açık Rıza Yönetimi
Açık rıza, KVKK'da özel bir yere sahiptir. Aşağıdaki koşulların tamamının sağlanması gerekmektedir:
- Özgür: Rıza, hizmetin sunulmasına koşul olarak bağlanamaz.
- Belirli: Her işleme amacı için ayrı rıza alınmalıdır.
- Bilgilendirilmiş: Kişi ne için rıza verdiğini anlamış olmalıdır.
- Açık irade beyanı: Önceden işaretli kutular, sessiz kalma veya varsayılan onay geçerli değildir.
Pratik Uygulama
Kayıt formunuzdaki pazarlama onay kutusunu şu şekilde düzenleyin:
Yanlış: "Üyelik sözleşmesini ve gizlilik politikasını okudum, onaylıyorum, ticari ileti almak istiyorum." (Tek kutuda çok sayıda onay) Doğru:- ☐ Üyelik sözleşmesini ve aydınlatma metnini okudum.
- ☐ Kampanya ve tanıtım amaçlı ticari e-posta almak istiyorum. (Ayrı kutu)
- ☐ Kişiselleştirilmiş reklamlar için davranışsal verilerimin işlenmesine izin veriyorum. (Ayrı kutu)
Alınan rızaları zaman damgası, IP adresi ve onay metniyle birlikte kayıt altına alın. Rıza geri çekme işlemini de kaydedin.
Adım 5: Veri Saklama Politikası
"Gelecekte lazım olabilir" mantığıyla sonsuz süre veri saklamak KVKK'ya aykırıdır. Her veri kategorisi için saklama süresini belirleyin:
| Veri Türü | Saklama Süresi | Yasal Dayanak |
|---|---|---|
| Sipariş ve fatura bilgileri | 10 yıl | Vergi Usul Kanunu |
| Kargo adresi bilgileri | 10 yıl | Türk Ticaret Kanunu |
| Kullanıcı hesap bilgileri | Hesap silinene dek + 3 yıl | Tüketici mevzuatı |
| Pazarlama rızası | Rıza çekilene dek | KVKK |
| Log kayıtları (IP) | 1 yıl | 5651 sayılı Kanun |
| Müşteri hizmetleri yazışmaları | 3 yıl | Tüketici mevzuatı |
Belirlediğiniz süreler dolduğunda ilgili verilerin otomatik olarak silinmesi veya anonim hale getirilmesi için teknik önlemler alın.
Adım 6: Veri Sahibi Hakları ve Başvuru Süreci
KVKK'nın 11. maddesi kapsamında kişiler aşağıdaki hakları kullanabilir:
- Kişisel veri işlenip işlenmediğini öğrenme
- İşlenmişse buna ilişkin bilgi talep etme
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
- Yurt içinde veya dışında aktarıldığı üçüncü kişileri öğrenme
- Eksik veya yanlış işlenmiş ise düzeltilmesini isteme
- Yasal dayanakların ortadan kalkması halinde silinmesini isteme
- Düzeltme ve silme işlemlerinin aktarılan üçüncü kişilere bildirilmesini isteme
- Yalnızca otomatik işlemlerle aleyhine sonuç doğmasına itiraz etme
- Kanuna aykırı işleme nedeniyle zararın giderilmesini talep etme
Başvuru Sürecini Otomatize Edin
Sitenizde kolayca bulunabilir bir "Kişisel Veri Başvurusu" formu oluşturun. Başvurular 30 gün içinde yanıtlanmak zorundadır. Yanıt karmaşıksa bu süre 30 gün daha uzatılabilir, ancak bu uzatma kişiye bildirilmelidir.
Adım 7: Veri İşleyen Sözleşmeleri
Müşteri verilerini üçüncü taraflarla (e-posta servis sağlayıcısı, kargo firması, ödeme kuruluşu, analitik araç) paylaşıyorsanız, bu taraflarla veri işleyen sözleşmesi imzalamanız gerekir. Bu sözleşmeler şunları içermelidir:
- İşlenecek kişisel veri kategorileri
- İşleme amacı ve süresi
- Tarafların güvenlik yükümlülükleri
- Alt işleyen kullanımı koşulları
- Veri ihlali bildirim yükümlülükleri
Adım 8: Teknik ve İdari Güvenlik Önlemleri
KVKK, kişisel verilerin güvenliğinin sağlanması için uygun teknik ve idari önlemlerin alınmasını zorunlu kılar.
Teknik önlemler:- Kişisel veri içeren veritabanlarının şifrelenmesi
- Erişim günlüklerinin tutulması
- Güvenlik testlerinin periyodik yapılması
- Çalışan cihazlarında tam disk şifreleme
- Çalışanlara KVKK eğitimi verilmesi
- Gizlilik taahhütnameleri imzalatılması
- Veri işleme prosedürlerinin dokümante edilmesi
- Düzenli iç denetim yapılması
Sonuç
KVKK uyumu, bir kez yapılıp unutulan bir proje değildir. Ürün kataloğunuz, pazarlama araçlarınız veya veri işleme süreçleriniz değiştikçe uyumluluk çalışmalarınız da güncellenmek zorundadır.
Sürece veri haritalama ile başlayın, yasal işleme dayanaklarınızı netleştirin, aydınlatma yükümlülüklerini her temas noktasında yerine getirin ve veri sahibi hakkı taleplerini zamanında yanıtlayacak bir sistem kurun. Bu adımlar hem yasal güvencenizi hem de müşteri güveninizi pekiştiren bir temel oluşturur.
