Aydınlatma metnini kendim yazabilir miyim?

Evet. Kanun belirli bir biçim istemez; md. 10'daki bilgileri doğru, sade ve eksiksiz vermeniz yeterlidir. Hukuki sebepler ve yurt dışına aktarım bölümlerini bir hukukçuya kontrol ettirmek hata riskini azaltır.

Aydınlatma kutusunu formun zorunlu alanı yapabilir miyim?

Evet. Kutu yalnızca metnin okunduğunu beyan ettiriyorsa rıza sayılmaz; ispat yükü sizde olduğu için bilgilendirmeyi yaptığınızın kaydı olarak işe yarar. Zorunlu yapılmaması gereken, ayrı bir açık rıza kutusudur.

Şahıs şirketiyim, veri sorumlusu olarak kimi yazmalıyım?

Şahıs işletmesinin ayrı bir tüzel kişiliği olmadığından veri sorumlusu işletme sahibidir. Metne adınızı, varsa işletme adınızı ve iletişim bilgilerinizi yazarsınız.

Müşteri verilerinin silinmesini isterse ne yapmalıyım?

Talebi en geç 30 gün içinde ücretsiz sonuçlandırmanız gerekir (KVKK md. 13). Fatura gibi kanunen saklamanız gereken kayıtları süre dolana kadar tutabilirsiniz; kalan verileri silip kişiye yazılı ya da elektronik ortamda cevap verirsiniz.

KVKK aydınlatma metni nedir, web sitesine nasıl hazırlanır?

Bu yazı genel bilgilendirme içindir, hukuki danışmanlık değildir. Kurallar ve Kurul kararları değişebilir; kendi durumunuz için bir hukukçuya danışın.

KVKK aydınlatma metni, kişisel veri toplayan bir işletmenin, verisini aldığı kişiye "verinizi kim, hangi amaçla ve hangi hukuki sebeple işliyor, kime aktarıyor, nasıl topluyor ve haklarınız neler" sorularının cevabını verdiği metindir. Web sitenizde iletişim formu, teklif formu, üyelik ya da sipariş varsa aydınlatma yapmanız gerekir; yükümlülük 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesinden gelir. Aydınlatma bir bilgilendirmedir: kişinin onayına bağlanmaz ve açık rızayla aynı şey değildir.

Kanun aydınlatma metninde ne istiyor?

KVKK md. 10'a göre veri sorumlusu, yani verilerin neden ve nasıl işleneceğine karar veren kişi ya da şirket, kişisel verileri elde ederken ilgili kişiye şunları bildirmek zorundadır:

Veri sorumlusunun ve varsa temsilcisinin kimliği,
Kişisel verilerin hangi amaçla işleneceği,
İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
Veri toplamanın yöntemi ve hukuki sebebi,
Kanun'un 11. maddesinde sayılan haklar.

Bunun nasıl yapılacağını Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (Resmî Gazete, 10 Mart 2018, sayı 30356) ayrıntılandırır. Tebliğ'in 5. maddesindeki başlıca kurallar şunlardır:

Aydınlatma kişinin istemesine bağlı değildir; veriyi işleyen işletme kendiliğinden yapar.
Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır.
Amaç belirli, açık ve meşru olur. "İleride başka amaçlarla da kullanılabilir" izlenimi veren genel ve muğlak ifadeler kullanılmaz.
Hangi hukuki sebebe dayandığınız açıkça yazılır.
Dil anlaşılır, açık ve sadedir; eksik, yanıltıcı ya da yanlış bilgi verilmez.
İşleme amacı değişirse, yeni amaç için veri işlemeden önce yeniden aydınlatma yapılır.
İşleme açık rızaya dayanıyorsa aydınlatma ile açık rıza ayrı ayrı yapılır.

Kurala uymamanın idari para cezası da vardır. KVKK md. 18'deki tutarlar her yıl yeniden değerleme oranıyla güncellenir; Kurum'un yayımladığı tabloya göre aydınlatma yükümlülüğüne aykırılığın cezası 2026 için 85.437 TL ile 1.709.200 TL arasındadır.

Aydınlatma ile açık rıza arasındaki fark

İkisi sık karıştırılır ama farklı işlerdir:

	Aydınlatma	Açık rıza
Nedir?	Bilgilendirme	Kişinin belirli bir konuda, bilgilendirilmiş olarak ve özgür iradesiyle verdiği izin
Ne zaman gerekir?	Her veri toplamada, hukuki sebep ne olursa olsun	Yalnızca işleme açık rızaya dayanıyorsa
Kişinin beyanı	Yalnızca okuduğunu belirtir	Aktif bir beyanla "veriyorum" der
Geri alınır mı?	Geri alınacak bir izin yoktur	Evet, dilediği zaman

Küçük bir işletmenin sitesinde verilerin çoğu açık rıza gerektirmez. KVKK md. 5/2, açık rıza aranmadan veri işlemeye izin veren şartları sayar; sitelerde en sık dayanılanlar şunlardır:

Sözleşmenin kurulması veya ifası (md. 5/2-c): Siparişi teslim etmek için ad, adres ve telefon.
Hukuki yükümlülük (md. 5/2-ç): Fatura bilgilerini vergi mevzuatı gereği saklamak.
Meşru menfaat (md. 5/2-f): Site güvenliği için işlem kayıtları; kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla.

Açık rıza, bu şartların karşılamadığı işlemler içindir. Ziyaretçiyi izleyen analiz ve reklam çerezleri tipik örnektir; ayrıntısı çerez politikası ve çerez bandı rehberinde. Kurul'un 2026 ilke kararı da açıkça söyler: işleme açık rıza dışındaki bir şarta dayanıyorsa yalnızca aydınlatma yapılır, ayrıca açık rıza metni sunulmaz. Kişi rızasını geri aldığında zaten durdurmayacağınız bir işlem için rıza istemek, ona olmayan bir seçim hakkı varmış gibi göstermektir.

Kampanya e-postası ve SMS için 6563 sayılı Kanun'a göre ayrıca ticari elektronik ileti onayı gerekir. Bu da aydınlatmadan ayrı bir onaydır; nasıl yönetildiğini İYS rehberinde anlattık.

"Okudum, onaylıyorum" neden hatalı?

Kişisel Verileri Koruma Kurulu, 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararında (Resmî Gazete, 24 Mart 2026) uygulamada en sık gördüğü hataları sıraladı. Kararın özü şu:

Aydınlatma metinleri sözleşme niteliği taşımaz. Bu yüzden metnin sonuna "okudum ve kabul ediyorum", "okudum ve onaylıyorum" ya da "okudum ve açık rıza veriyorum" yazmak hatalıdır.
Kişiden yalnızca metni okuduğunu ve bilgi edindiğini beyan etmesi istenebilir. Kurul, "okudum ve anladım" biçimindeki bir beyanı hukuka uygun kullanım olarak gösteriyor.
Açık rıza gerekiyorsa aydınlatma metni ile açık rıza metni farklı başlıklar altında, ayrı metinler olarak hazırlanır. Aynı sayfada olacaklarsa alt alta durur ve her biri için ayrı beyan alınır.
Başka bir işletmenin metnini olduğu gibi kullanmak, çok uzun ve karmaşık metinler, "verileriniz Kanun'un 5. ve 6. maddelerindeki şartlar kapsamında işlenir" gibi muğlak cümleler ve yurt dışına aktarım yokken varmış izlenimi veren ifadeler de hatalı bulunan uygulamalar arasında.

Sebep basit: "onaylıyorum" sözcüğü kişinin bir şeye izin verdiği izlenimini doğurur. Aydınlatma ise izin istemez; kişinin onaylamaması aydınlatma yükümlülüğünü de ortadan kaldırmaz. İki işi tek kutuda birleştirdiğinizde elinizde ne düzgün bir bilgilendirme ne de geçerli bir rıza kalır.

Form kutusu için örnekler:

Hatalı: "Aydınlatma metnini okudum, kabul ediyorum."
Doğru: "Kişisel verilerimin işlenmesine ilişkin aydınlatma metnini okudum ve anladım."
Açık rıza gerekiyorsa ayrı bir başlık ve ayrı bir seçimle: "Kampanya duyuruları amacıyla kişisel verilerimin işlenmesine açık rıza veriyorum / vermiyorum." Bu seçim önceden işaretli gelmez ve rıza vermeyen kişi de formu gönderebilir; aksi halde rıza özgür iradeyle verilmiş sayılmaz.

Sitede nerede gösterilir?

Aydınlatma en geç veri elde edilirken yapılır. Pratikte bu, veri toplanan her noktada metne tek tıkla ulaşılabilmesi demektir:

İletişim, teklif ve randevu talep formları: Gönder düğmesinin hemen üstünde kısa bir not ve metnin bağlantısı.
Üyelik ekranı: Hesap oluşturulurken.
Ödeme adımı: Adres ve iletişim bilgileri alınırken. Bu bağlantı, ön bilgilendirme formu ve mesafeli satış sözleşmesi onayından ayrı durur; sözleşme onaylanır, aydınlatma yalnızca okunur.
Bülten kaydı: E-posta kutusunun yanında.
Sayfa altı: Her sayfadan ulaşılabilen kalıcı bir "KVKK Aydınlatma Metni" bağlantısı.
İlk ziyaret: Çerezlerle veri işleniyorsa siteye girişte çerez bandıyla.

Kişi grupları farklıysa metinleri ayırın. Müşteriler, iş başvurusu yapanlar ve bülten aboneleri için işlenen veriler ve amaçlar farklıdır; her süreç için kısa bir metin, her şeyi anlatan tek bir uzun metinden daha anlaşılırdır. Kurul'un örnek şablonu da tek bir süreç için yazılmıştır: "giyim mağazalarımızdan alışveriş yapan müşteriler".

İyi bir aydınlatma metninin bölümleri

Kurul'un 2026 kararına eklediği iyi uygulama şablonu beş başlıktan oluşur. Aşağıda her başlığı, örneğin Kadıköy'de randevuyla çalışan bir kuaförün sitesi için yazılmış kısa cümlelerle anlatıyoruz. Bu cümleler kopyalanacak bir şablon değil, yönü gösteren örneklerdir.

1. Veri sorumlusunun kimliği

Unvan ya da ad soyad, varsa MERSİS numarası, adres, telefon, e-posta ve varsa KEP adresi. Şahıs işletmesinde veri sorumlusu işletme sahibidir.

Örnek: "Bu metin, kişisel verilerinizi işleyen veri sorumlusu Ayşe Yılmaz (Moda Saç Tasarım, Kadıköy/İstanbul) tarafından hazırlanmıştır."

2. İşlenen veriler, amaç ve hukuki sebep

Her veri grubunu amacı ve hukuki sebebiyle birlikte yazın. Tablo okumayı kolaylaştırır:

Veri	Amaç	Hukuki sebep (örnek)
Ad soyad, telefon	Randevu talebinize dönmek	Sözleşmenin kurulması, md. 5/2-c
E-posta	İstediğiniz fiyat bilgisini göndermek	Sözleşmenin kurulması, md. 5/2-c
IP adresi, işlem kayıtları	Formun kötüye kullanılmasını önlemek	Meşru menfaat, md. 5/2-f

Örnek: "Randevu formunda verdiğiniz ad ve telefon bilgilerinizi, talebinize dönüş yapmak amacıyla, sözleşmenin kurulmasıyla doğrudan ilgili olması hukuki sebebine (KVKK md. 5/2-c) dayanarak işliyoruz."

Hangi hukuki sebebin sizin işinize uyduğunu bir hukukçuyla netleştirmek en çok bu bölümde işe yarar.

3. Aktarım: kimlere, hangi amaçla

Tek tek şirket adı yerine alıcı grupları yazılabilir: kargo firması, ödeme kuruluşu, mali müşaviriniz, site altyapısını sağlayan firma, talep halinde yetkili kamu kurumları. Yurt dışına aktarım varsa bunu ve dayanağını ayrıca belirtin (aşağıda).

Örnek: "Siparişinizi teslim edebilmek için ad, adres ve telefon bilginizi anlaşmalı kargo firmamıza aktarıyoruz."

4. Toplama yöntemi

Örnek: "Verileriniz, sitemizdeki randevu formu aracılığıyla elektronik ortamda ve otomatik yollarla toplanır."

5. Haklarınız ve başvuru yolu

Kurul, md. 11'deki hakların tamamını tek tek kopyalamanın metni gereksiz uzattığını belirtiyor; "Kanun'un 11. maddesi kapsamındaki haklarınız" demek yeterli. Önemli olan başvurunun nereye ve nasıl yapılacağıdır. Veri sorumlusu başvuruyu en geç 30 gün içinde ücretsiz sonuçlandırır (md. 13).

Örnek: "KVKK'nın 11. maddesi kapsamındaki taleplerinizi yazılı olarak adresimize ya da sistemimizde kayıtlı e-posta adresinizden bize iletebilirsiniz."

Metnin sonuna bir güncelleme tarihi ekleyin. Saklama süresi md. 10'daki zorunlu başlıklar arasında yok; yine de "verimi ne kadar tutuyorsunuz" sorusunu baştan cevaplamak metni netleştirir.

VERBİS'e kayıt olmanız gerekir mi?

VERBİS, KVKK md. 16'daki Veri Sorumluları Sicili'nin bilgi sistemidir. Kanun'a göre kural kayıttır; ancak Kurul objektif ölçütlerle istisna getirebilir. Kurul'un 2018/87 sayılı kararı, en son 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararla değişti (Resmî Gazete, 1 Ekim 2025). Ekim 2026 itibarıyla şu veri sorumluları kayıttan istisnadır:

İşletme	İstisna şartı
Ana faaliyeti özel nitelikli kişisel veri işleme olmayanlar	Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az
Ana faaliyeti özel nitelikli kişisel veri işleme olanlar (örneğin sağlık verisi işleyen bir muayenehane)	Yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az

Kurul'un 25 Aralık 2025 tarihli ve 2025/2393 sayılı kararına göre (Kurum duyurusu, 12 Ocak 2026), bilanço esasına göre defter tutmayanlarda, örneğin işletme hesabı esasında defter tutan bir işletmede, yalnızca çalışan sayısına bakılır. Buna göre işletme hesabıyla çalışan ve 12 çalışanı olan bir diş muayenehanesi kayıt yaptırır; 4 kişinin çalıştığı bir butik genellikle istisnadır.

İstisna yalnızca sicile kayıt yükümlülüğünü kaldırır; aydınlatma, veri güvenliği ve başvurulara cevap verme yükümlülükleri sürer. Bazı meslek ve kuruluş grupları için ayrıca istisnalar vardır; güncel listeyi Kurum'un sitesindeki "Veri Sorumluları Siciline Kayıt İstisnaları" sayfasından kontrol edin.

Yurt dışında bir araç kullanıyorsanız: 2024 değişikliği

Yurt dışına aktarımı düzenleyen KVKK md. 9, 7499 sayılı Kanun'la (Resmî Gazete, 12 Mart 2024) yeniden yazıldı ve 1 Haziran 2024'te yürürlüğe girdi. Eski "açık rızayla aktarım" kuralı 1 Eylül 2024'e kadar yenisiyle birlikte uygulandı; o tarihten beri yalnızca yeni sistem geçerli. Yeni sistemde sıra şöyledir:

Yeterlilik kararı: Kurul'un bir ülke ya da sektör için verdiği karar. Kurum'un sitesine göre Ekim 2026 itibarıyla henüz böyle bir belirleme yapılmamıştır.
Uygun güvenceler: Küçük işletme için en uygulanabilir olanı, Kurul'un ilan ettiği standart sözleşmedir. Dört türü vardır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir. Bildirmemenin cezası 2026 için 90.308 TL ile 1.806.177 TL arasındadır. Bağlayıcı şirket kuralları ve Kurul izniyle yazılı taahhütname diğer güvencelerdir.
Arızi aktarım: Bunlar sağlanamıyorsa, yalnızca arızi olmak kaydıyla bazı istisnalar uygulanır; örneğin kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesi. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (Resmî Gazete, 10 Temmuz 2024) arızi aktarımı "düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan" aktarım diye tanımlar.

Bu neden sizi ilgilendirir? Form yanıtlarını yurt dışındaki bir form aracında topluyor, müşteri listenizi yurt dışındaki bir e-posta pazarlama hizmetinde tutuyor ya da sitenizde yurt dışına veri gönderen analiz ve reklam araçları kullanıyorsanız, bu aktarım işin olağan akışında süreklidir. Kurum'un Yurt Dışına Aktarım Rehberi, olağan faaliyet akışındaki aktarımların istisnai aktarıma konu edilemeyeceğini belirtir. Yapmanız gerekenler:

Kullandığınız hizmetlerin verileri nerede tuttuğunu listeleyin.
Sağlayıcının Türkiye standart sözleşmesi imzalayıp imzalamadığını ya da hangi güvenceyi sunduğunu sorun.
Aydınlatma metninizde yurt dışına aktarımı, amacını ve dayanağını yazın.

Sık yapılan hatalar

Başka bir işletmenin metnini kopyalayıp adını değiştirmek.
"Okudum, onaylıyorum" ya da "kabul ediyorum" kutusu koymak.
Aydınlatma ile açık rızayı tek metinde, tek kutuda birleştirmek.
Açık rıza kutusunu önceden işaretli getirmek ya da formu göndermenin şartı yapmak.
Hukuki sebebi hiç yazmamak ya da "Kanun'un 5. ve 6. maddeleri kapsamında" deyip geçmek.
Yurt dışına aktarım varken yazmamak, yokken varmış gibi yazmak.
Metni yalnızca sayfa altına koyup formun yanında bağlantı vermemek.
Yeni bir araç ya da form eklediğinizde metni güncellememek.

Mağaza açıyorsanız aydınlatma, satıcının yasal yükümlülüklerinden yalnızca biridir; tamamını e-ticarette yasal yükümlülükler yazısında topladık.

Panasis'te nasıl?

Panasis formlarında KVKK onay kutusu ve aydınlatma metni bağlantısı hazır gelir. Kutunun hazır metni "…aydınlatma metnini okudum" biçimindedir; yani metnin onaylanmasını değil, okunduğunu beyan ettirir. Mağazalarda gizlilik, çerez, iade ve teslimat sayfaları hazır gelir; bunlar yasal şablondur, kendi işinize uygunluğunu bir hukukçuya kontrol ettirmenizi öneririz. Çerez bandı, verilerin dışa aktarılması ve hesabın silinmesi gibi KVKK araçları da Panasis web sitesi özellikleri arasındadır.