Web sitenizdeki iletişim formu KVKK'ya uygun mu?

Neredeyse her sitede bir iletişim formu var. Çoğunun altında da “KVKK metnini okudum, onaylıyorum” yazan bir onay kutusu var. Bu kutu, çoğu sitede olması gerektiği gibi kurulmamış. Şubat 2026'da yayımlanan ilke kararından sonra durum daha da netleşti. Bu yazıda formun arkasında ne olması gerektiğini, neyin gerekmediğini ve kendi formunuzu nasıl kontrol edeceğinizi anlatıyoruz.

Form, bir sitede kişisel veri toplanan ilk ve çoğu zaman tek yerdir. Ad, telefon, e-posta ve serbest metin alanına yazılan her şey kişisel veridir. Yani form koyduğunuz anda veri sorumlusu sıfatı kazanırsınız; bunun sitenin büyüklüğüyle ya da şirket olup olmamanızla ilgisi yoktur.

Buna rağmen pratikte iki uçtan biri görülüyor: ya formun altında hiçbir şey yok, ya da kopyalanmış bir metin ve yanlış kurgulanmış bir onay kutusu var. İkincisi birincisinden daha tehlikeli, çünkü iş yapılmış gibi görünüyor.

Önce ölçtük: sahadaki durum

Türkiye'de 129 hukuk bürosu sitesini taradığımız çalışmamızda bu başlığa ayrı baktık. Sonuçlar, konunun istisnai bir ihmal değil yaygın bir boşluk olduğunu gösteriyor.

• Formu olan sitelerin %81,8'inde formun yanında herhangi bir KVKK veya aydınlatma metni yok.
• Formu olan sitelerin %81,8'inde onay kutusu hiç yok.
• Sitelerin %89,1'inde çerez bildirimi görünmedi.
• Sitelerin %49,6'sında gizlilik veya KVKK sayfasına giden bir bağlantı bulunamadı.

Bunlar hukuki uyum ölçümü değil, dışarıdan görünen halin taraması. Yine de tabloyu anlatmaya yetiyor: veri toplanıyor, karşılığında ilgili kişiye söylenen bir şey yok.

Karıştırılan iki şey: aydınlatma ve açık rıza

Bütün mesele bu ikisinin aynı şey sanılmasından çıkıyor. Halbuki hukuki nitelikleri birbirinden tamamen farklı.

Aydınlatma, 6698 sayılı Kanun'un 10 uncu maddesinden doğan bir yükümlülüktür: kim olduğunuzu, veriyi hangi amaçla işlediğinizi, kime aktardığınızı ve ilgili kişinin haklarını söylersiniz. Karşı tarafın bunu onaylaması diye bir şey yoktur, çünkü bilgilendirme onaya bağlanamaz.

Açık rıza ise Kanun'un 5 inci maddesinde sayılan işleme şartlarından yalnızca biridir. Yani her veri işleme açık rıza gerektirmez; aksine açık rıza, elde başka hukuki sebep kalmadığında başvurulan seçenektir.

2026/347 sayılı ilke kararı ne getirdi

Kişisel Verileri Koruma Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı 24.03.2026 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girdi. Kurul, aydınlatma metni ile açık rıza metninin tek metin içinde birleştirilmesini veya iç içe geçirilmesini uygulamada en sık karşılaşılan aykırılıklardan biri olarak tespit etti ve bu uygulamayı hukuka aykırı saydı.

Karardan çıkan pratik sonuç açık: iki metin ayrı ayrı düzenlenecek. Aynı sayfada yer alabilirler, ancak farklı başlıklar altında ve iki metin için ayrı beyanlarda bulunulacak şekilde sunulmaları gerekiyor. Kurul ayrıca aydınlatmanın hukuki niteliğini netleştirdi: aydınlatma ilgili kişiyi bilgilendirmeye yönelik bir yükümlülüktür ve herhangi bir onay ya da rıza mekanizmasına bağlanamaz. Hükümlere uyulmaması halinde Kanun'un 18 inci maddesi kapsamında işlem yapılacağı belirtiliyor.

Aslında bu yeni bir kural değil, mevcut kuralın altının çizilmesi. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in (RG 10.03.2018/30356) 5 inci maddesinin birinci fıkrasının (f) bendi, açık rızaya dayanılan hallerde aydınlatma ile açık rıza alma işlemlerinin ayrı ayrı yerine getirileceğini zaten söylüyordu. İlke kararı, sekiz yıldır uygulanmayan bu hükmü yaptırım ihtimaliyle birlikte gündeme geri koydu.

İletişim formu için açık rıza gerekiyor mu

Buradaki cevap çoğu site sahibini şaşırtıyor: standart bir iletişim formu için genellikle gerekmiyor.

Ziyaretçi size ulaşmak için kendi iradesiyle adını ve telefonunu yazıyor ve tek beklentisi geri dönülmesi. Bu veriyi yalnızca o talebe cevap vermek için kullanıyorsanız, dayanağınız açık rıza değildir. Rıza kutusu koymak, dayanağınız o değilken varmış gibi göstermeye çalışmaktır; üstelik rıza her zaman geri alınabildiği için dayanağınızı gereksiz yere kırılgan hale getirir.

Açık rıza asıl şu üç durumda gündeme gelir ve o zaman gerçekten ayrı bir kutu ister:

1. 1Ticari elektronik ileti. Formdan aldığınız e-postaya bülten, kampanya veya duyuru göndermek isterseniz bu ayrı bir izindir ve Ticari İletişim Mevzuatı kapsamında İYS kaydı da gerektirir.
2. 2Talebin dışında kullanım. Gelen kişiyi müşteri adayı listesine eklemek, sonradan aramak veya reklam hedeflemede kullanmak ilk amacın dışına çıkmaktır.
3. 3Özel nitelikli veri. Sağlık, din, ceza mahkûmiyeti gibi veriler serbest metin alanına düşebiliyorsa (klinikler ve hukuk büroları için gerçek bir ihtimal) tablo tamamen değişir, bunlar için ayrı ve açık rıza gerekir.

Formunuzun altında ne olmalı

Sade bir iletişim formu için doğru kurgu şu:

• Form alanlarının hemen altında, aydınlatma metnine giden görünür bir bağlantı. Küçük punto kabul edilebilir ama gri üstüne açık gri olmamalı.
• Metnin kendisi ayrı bir sayfada dursun. Açılır kutu içinde gösterilecekse de tam metin erişilebilir olmalı.
• Bülten veya sonradan arama gibi ek bir amaç varsa, onun için ayrı ve boş gelen bir onay kutusu. Önceden işaretli kutu geçerli rıza sayılmaz.
• Bu onay kutusunun etiketi aydınlatmadan bahsetmesin, sadece izin verdiği şeyi söylesin.
• Gönder butonunun yanında toplanan verinin ne kadar süre saklanacağı yazılıysa iyi olur, zorunlu değil ama güven verir.
• Sitenin alt kısmında gizlilik ve KVKK sayfalarına kalıcı bağlantı.

Son satır önemli. Kopyalanan metinlerde çoğu zaman başka bir şirketin unvanı, olmayan bir çağrı merkezi veya hiç yapmadığınız bir aktarım kalemi kalıyor. Aydınlatma metni sizin veri işleme pratiğinizi anlatır, bir şablon dosyası değildir.

Gözden kaçan teknik taraf: form verisi nereye gidiyor

Metinler doğru olsa bile veri akışı çoğu zaman hiç düşünülmüyor. Formu dolduran kişinin verisi sitenizde durmaz; bir yere gider. Şu üç soruyu cevaplayabiliyor olmanız gerekir.

• Veri nerede duruyor? Sunucuda bir veri tabanında mı, yoksa doğrudan e-posta kutunuza mı düşüyor? E-posta kutusu da bir saklama ortamıdır ve yıllarca birikir.
• Araya kim giriyor? Hazır form servisleri, sohbet balonları ve rezervasyon araçları veriyi kendi sunucularında işler. Bu sunucu yurt dışındaysa yurt dışına aktarım kuralları devreye girer ve aydınlatma metninde belirtilmesi gerekir.
• Ne kadar süre kalıyor? Kanunun aradığı şey verinin amaç için gerekli süreyle sınırlı tutulması. Beş yıl önceki bir teklif talebini saklamanın savunulabilir bir gerekçesi yoktur.

Buradaki en yaygın sürpriz üçüncü taraf araçlar. Site sahibi formu kendi sitesinde sanıyor, oysa gömülü bir hizmet üzerinden yabancı bir sunucuya gidiyor. Kendi sitenizde hangi dış servislerin çalıştığını bilmiyorsanız, aydınlatma metniniz eksik demektir.

Çerez bildirimi ayrı bir başlık

Form ile çerez sık sık aynı torbaya atılıyor ama farklı konular. Sitenizde analiz veya reklam amaçlı çerez çalışıyorsa, bunlar için ziyaretçinin rızası gerekir ve bu rıza çerezler çalışmadan önce alınmalıdır. Zorunlu çerezler bu kapsamda değildir.

Pratik ölçü şu: çerez bildirimindeki reddetme seçeneği kabul etme seçeneğiyle aynı kolaylıkta olmalı. Sadece “Kabul et” butonu olan, kapatılamayan ya da reddedince bir işe yaramayan bildirimler rıza üretmez. Ayrıca reddedildiğinde ölçüm kodlarının gerçekten durması gerekir; bunun teknik karşılığı Google tarafında rıza modu ayarlarıdır ve çoğu sitede hiç kurulmamıştır.

Kendi formunuzu beş dakikada kontrol edin

1. 1Formun yanında aydınlatma metnine giden bir bağlantı var mı, tıklayınca gerçekten açılıyor mu?
2. 2Metinde sizin unvanınız mı yazıyor, başka bir şirketin adı kalmış mı?
3. 3Tek bir kutuda hem aydınlatma hem rıza birleştirilmiş mi?
4. 4Onay kutusu önceden işaretli geliyor mu?
5. 5Kutuyu işaretlemeden form gönderilebiliyor mu, gönderilemiyorsa bunun gerçek bir sebebi var mı?
6. 6Form verisi kime gidiyor, araya bir dış servis giriyor mu?
7. 7Çerez bildiriminde reddetme seçeneği kabul etmeyle aynı kolaylıkta mı?

Bu yedi sorudan üçüne rahat cevap veremiyorsanız formunuz kâğıt üzerinde uyumlu görünüyor ama değil. İyi haber, bunların çoğu içerik ve kurgu meselesi; teknik olarak büyük bir iş değil.

Özetle

İletişim formunun KVKK tarafı, sanıldığı kadar karmaşık değil. Aydınlatma her durumda yapılır ve onay istemez. Açık rıza sadece talebin dışında bir amaç varsa istenir ve ayrı bir beyanla alınır. 2026/347 sayılı ilke kararından sonra bu ikisinin tek metinde birleştirilmesi açıkça aykırılık sayılıyor.

Sitenizde çerez bildirimi, gizlilik sayfası ve sertifika gibi temellerin durumu için web sitesi yaptırırken nelere dikkat edilmeli yazımıza, hukuk büroları özelinde sık rastlanan eksikler için bu yazıya bakabilirsiniz.