E-Ticaret KVKK Yükümlülükleri: 2026 Rehberi
E-ticaret sitelerinin KVKK yükümlülükleri: aydınlatma, açık rıza, VERBİS, veri güvenliği ve 2026 idari para cezaları tek rehberde.
E-ticaret siteleri KVKK kapsamında veri sorumlusudur ve müşteri kişisel verilerini işlediği her aşamada 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun getirdiği yükümlülükleri yerine getirmek zorundadır. Bu yükümlülükler beş temel başlıkta toplanır: veri işlemeyi bir hukuki sebebe dayandırmak, kişisel veri elde edilirken aydınlatma yükümlülüğünü yerine getirmek, gereken hallerde açık rıza almak, teknik ve idari veri güvenliği tedbirlerini uygulamak ve eşiği aşan işletmeler için Veri Sorumluları Sicili'ne (VERBİS) kayıt olmak. Bu yazı, bir e-ticaret sitesinin uyum için atması gereken somut adımları ve bunlara aykırılığın 2026 yılı için güncellenmiş idari para cezalarını sıralar.
Bir e-ticaret sitesi; üyelik oluşturma, sipariş verme, ödeme, teslimat, iade, iletişim formu ve pazarlama gibi süreçlerde ad-soyad, iletişim, adres, ödeme ve sipariş geçmişi gibi çok sayıda kişisel veriyi işler. KVKK'nın temel mantığı, her işleme faaliyetinin Kanun'un 5. maddesindeki bir işleme şartına dayanması gerektiğidir. Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla, sözleşmenin taraflarına ait veriler (sipariş adresi, teslimat bilgisi) açık rıza olmaksızın işlenebilir. Aynı şekilde fatura düzenleme gibi hukuki yükümlülükler ve yasal saklama süreleri kapsamında işlenen veriler, kanunlarda açıkça öngörülme sebebine dayanır. Buna karşılık pazarlama amaçlı profilleme, üçüncü taraflarla ticari amaçlı veri paylaşımı ve zorunlu olmayan çerezler gibi faaliyetler çoğunlukla açık rıza gerektirir.
Aydınlatma yükümlülüğü, kişisel verinin elde edildiği her durumda ve verinin ilk toplandığı anda yerine getirilmelidir. KVKK'nın 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatma metni; veri sorumlusunun ve varsa temsilcisinin kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplanma yöntemi ile hukuki sebebini ve ilgili kişinin Kanun'un 11. maddesindeki haklarını içermek zorundadır. Metin, genel geçer ifadelerle değil her işleme faaliyetine özgü ve anlaşılır bir dille hazırlanmalıdır. E-ticaret sitesinde bu metin; verinin toplandığı üyelik, sipariş ve iletişim formu adımlarında kullanıcının erişebileceği şekilde sunulmalıdır.
KVKK Kurulu'nun 26.07.2018 tarihli ve 2018/90 sayılı kararında belirtildiği üzere, aydınlatma yükümlülüğü ile açık rıza alma süreçleri ayrı ayrı yerine getirilmelidir. E-ticaret sitelerinde en sık yapılan hatalardan biri budur: aydınlatma metnini onaylatan tek bir kutucuk, açık rıza yerine geçmez. İlgili kişi aydınlatma metniyle bilgilendirilir ancak o metinde yazılanlara rıza vermek zorunda değildir. Uygulamada bu iki işlem ayrı arayüz öğeleriyle ayrıştırılmalı; aydınlatma yalnızca bilgilendirme amacıyla sunulurken, ticari elektronik ileti veya pazarlama gibi rıza gerektiren işlemler için ayrı, önceden işaretlenmemiş ve kullanıcının özgür iradesiyle işaretlediği onay kutuları kullanılmalıdır.
Ticari elektronik ileti göndermek isteyen e-ticaret siteleri için KVKK'nın yanında 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İleti Yönetim Sistemi (İYS) yükümlülükleri de devreye girer. Reklam, kampanya ve promosyon içeren SMS, e-posta ve arama gibi iletiler için alıcının önceden onayı gerekir ve bu onaylar İYS üzerinde kayıt altına alınmalıdır. Onay her zaman ret hakkıyla birlikte sunulmalı, alıcı dilediği anda ileti almayı ücretsiz reddedebilmelidir. Bu onay, KVKK anlamında pazarlama amaçlı veri işlemeye ilişkin açık rızadan ayrı bir gerekliliktir; her iki mevzuatın da birlikte karşılanması gerekir.
Çerezler ve web izleme teknolojileri, e-ticaret uyumunun ayrı bir başlığıdır. Sitenin çalışması için zorunlu olan çerezler açık rıza gerektirmez; buna karşılık analitik, hedefleme ve pazarlama amaçlı çerezler için kullanıcıdan onay alınmalıdır. KVKK'nın yayımladığı Çerez Uygulamaları Hakkında Rehber, çerez aydınlatmasının katmanlı bir yapıda sunulmasını ve zorunlu olmayan çerezlerin kullanıcı onayı alınmadan çalıştırılmamasını beklemektedir. Bu nedenle sitenin açılışında görünen çerez bildiriminde reddetme seçeneği kabul seçeneğiyle aynı kolaylıkta sunulmalı ve reddedildiğinde zorunlu olmayan çerezler yüklenmemelidir.
Veri güvenliği, KVKK'nın 12. maddesi kapsamında e-ticaret siteleri için en yüksek risk taşıyan alandır. Site; kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun teknik ve idari tedbirleri almakla yükümlüdür. Uygulamada bu, verilerin şifrelenmesi, yetki ve erişim matrisleri, güçlü kimlik doğrulama, düzenli sızma testleri, güncel yazılım altyapısı ve veri işleyenlerle (ödeme kuruluşu, kargo firması, bulut sağlayıcı) imzalanan yazılı veri işleme sözleşmeleri anlamına gelir. Bir veri ihlali gerçekleştiğinde veri sorumlusu, durumu en kısa sürede ve Kurul'un belirlediği usulde ilgili kişilere ve Kurul'a bildirmekle yükümlüdür.
Yurt dışında konumlanmış bulut, e-posta veya pazarlama hizmetleri kullanan e-ticaret siteleri için yurt dışına veri aktarımı kuralları önem taşır. 7499 sayılı Kanun ile KVKK'nın 9. maddesi değiştirilmiş ve bu düzenleme 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ise 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Yeni sistemde, yeterlilik kararı bulunmayan ülkelere aktarımda standart sözleşme ve bağlayıcı şirket kuralları gibi uygun güvenceler öngörülmüştür. Standart sözleşme kullanan veri sorumluları ve veri işleyenler, sözleşmeyi imza tarihinden itibaren beş iş günü içinde Kurul'a bildirmek zorundadır; bu bildirimin yapılmaması ayrı bir kabahat olarak düzenlenmiştir.
VERBİS kayıt yükümlülüğü her e-ticaret sitesi için otomatik değildir; belirli eşiklere bağlıdır. Yıllık çalışan sayısı 50'den çok olan veya yıllık mali bilanço toplamı 100 milyon TL'yi aşan veri sorumluları ile ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları VERBİS'e kayıt olmakla yükümlüdür. Bu eşiklerin altında kalan çok sayıda küçük ölçekli e-ticaret işletmesi kayıttan istisna tutulabilir; ancak istisna; aydınlatma, açık rıza, veri güvenliği ve ilgili kişi başvurularını yanıtlama gibi diğer tüm KVKK yükümlülüklerini ortadan kaldırmaz. Bu ayrımı doğru yapmak, gereksiz yükten kaçınırken zorunlu kaydı da atlamamak açısından kritiktir.
Bu yükümlülüklere aykırılığın maliyeti 2026 yılında yükselmiştir. Yeniden değerleme oranının yüzde 25,49 uygulanmasıyla güncellenen tutarlara göre; aydınlatma yükümlülüğünün ihlali için idari para cezası 85.437 TL ile 1.709.200 TL, veri güvenliği yükümlülüklerinin ihlali için 256.357 TL ile 17.092.242 TL, Kurul kararlarının yerine getirilmemesi için 427.263 TL ile 17.092.242 TL ve VERBİS kayıt yükümlülüğünün ihlali için 341.809 TL ile 17.092.242 TL arasında uygulanır. Standart sözleşmenin süresinde Kurul'a bildirilmemesi için öngörülen ceza ise 90.308 TL ile 1.806.177 TL aralığındadır. Bu tutarlar, uyum maliyetinin ihlal maliyetinin çok altında kaldığını somut biçimde gösterir.
E-ticaret sitenizin aydınlatma metinleri, açık rıza ve İYS akışları, çerez bildirimi, veri güvenliği tedbirleri ve VERBİS kayıt durumu mevcut mevzuata uygun mu öğrenmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunar. Veri işleme süreçlerinizi gözden geçirip öncelikli uyum eksiklerinizi belirlemek için bizimle iletişime geçebilirsiniz.