Web sitesi güvenliği ve KVKK uyumu 2026 yılında birbirinden ayrılamaz iki zorunluluktur: siteniz teknik olarak ne kadar güvenli olursa kişisel verileriniz o kadar korunur, yasal uyum da ancak sağlam güvenlik altyapısıyla mümkün olur. Bu rehberde SSL'den aydınlatma metnine, çerez yönetiminden veri ihlali sürecine kadar tüm başlıkları uygulanabilir bir kontrol listesi halinde ele alıyoruz.
Web Sitesi Güvenliği ve KVKK Uyumu Neden Birlikte Ele Alınmalı?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri sorumlularına kişisel verileri "her türlü hukuka aykırı işleme ve erişime karşı" korumak için uygun teknik ve idari tedbirleri alma yükümlülüğü getirir. Yani bir iletişim formu, üyelik sistemi ya da e-ticaret altyapısı çalıştıran her web sitesi aynı zamanda bir veri işleme ortamıdır. Sitenizin güvenliği zayıfsa, veri ihlali sadece bir siber güvenlik sorunu değil aynı zamanda idari para cezasına yol açabilecek bir hukuki risktir.
2026 itibarıyla Kişisel Verileri Koruma Kurulu'nun yayımladığı rehberler ve karar örnekleri, en sık cezalandırılan sebeplerden birinin "yeterli teknik tedbir alınmaması" olduğunu göstermektedir. Bu nedenle güvenlik ve uyumu iki ayrı proje gibi değil, tek bir bütün olarak planlamak en doğru yaklaşımdır.
Teknik Güvenlik Kontrol Listesi
İlk savunma hattınız altyapınızdır. Aşağıdaki başlıklar, çoğu web sitesi için asgari teknik güvenlik seviyesini oluşturur:
- Güncel SSL/TLS sertifikası: Tüm site trafiği HTTPS üzerinden şifrelenmeli, HTTP istekleri otomatik olarak HTTPS'e yönlendirilmelidir. Modern TLS sürümleri (1.2 ve 1.3) tercih edilmeli, eski protokoller kapatılmalıdır.
- Yazılım ve eklenti güncellemeleri: WordPress, tema, eklenti veya özel yazılım fark etmeksizin tüm bileşenler düzenli güncellenmelidir. Bilinen güvenlik açıklarının büyük çoğunluğu güncellenmemiş yazılımlardan kaynaklanır.
- Güçlü kimlik doğrulama: Yönetici panellerinde karmaşık parolalar ve iki faktörlü doğrulama (2FA) kullanılmalı, varsayılan "admin" kullanıcı adları değiştirilmelidir.
- Web uygulama güvenlik duvarı (WAF): SQL enjeksiyonu, XSS ve brute-force gibi yaygın saldırıları filtreleyen bir güvenlik duvarı devrede olmalıdır.
- Düzenli yedekleme: Otomatik, şifrelenmiş ve farklı bir lokasyonda tutulan yedekler, hem fidye yazılımı hem de veri kaybı senaryolarında hayat kurtarır. Yedeklerin geri yükleme testi de periyodik yapılmalıdır.
- Güvenlik başlıkları: HSTS, Content-Security-Policy, X-Frame-Options ve X-Content-Type-Options gibi HTTP güvenlik başlıkları yapılandırılmalıdır.
- Erişim ve yetki yönetimi: Her kullanıcıya yalnızca ihtiyaç duyduğu yetki verilmeli, ayrılan personelin erişimi zamanında kapatılmalıdır.
KVKK Uyumu için Web Sitesinde Bulunması Gereken Belgeler
Teknik tedbirler kadar, ziyaretçilere sunulan hukuki metinler de zorunludur. Bir web sitesinin KVKK açısından tam sayılabilmesi için genellikle şu belgeler bulunmalıdır:
- Aydınlatma Metni: Hangi verilerin, hangi amaçla, hangi hukuki sebeple işlendiğini ve kimlerle paylaşıldığını açıklayan, veri toplandığı anda erişilebilir olması gereken temel metindir.
- Gizlilik Politikası: Veri işleme ilkelerinizi ve kullanıcı haklarını daha kapsamlı biçimde anlatan belgedir.
- Çerez Politikası: Sitenizde kullanılan çerez türlerini, amaçlarını ve sürelerini şeffaf biçimde listeler.
- Açık Rıza Metni: Yalnızca açık rıza gerektiren durumlarda (örneğin ticari elektronik ileti veya belirli pazarlama faaliyetleri) ayrı ve özgür iradeyle alınmalıdır.
- İlgili Kişi Başvuru Formu: Kullanıcıların verilerine erişim, düzeltme veya silme taleplerini iletebilecekleri bir kanal sunulmalıdır.
Önemli bir ayrım: KVKK, aydınlatma yükümlülüğü ile açık rızayı karıştırmamanızı ister. Bir hizmetin sunulması için gerekli veri işleme, sözleşmenin ifası gibi bir hukuki sebebe dayanıyorsa açık rıza almanız gerekmez; ancak her durumda aydınlatma yapmanız zorunludur.
Çerez Yönetimi ve Onay Bandı Doğru Nasıl Kurulur?
2026'da yalnızca "Kabul Et" butonlu bir çerez bandı yeterli görülmez. Kişisel Verileri Koruma Kurulu'nun çerez uygulamalarına ilişkin rehberi doğrultusunda, zorunlu olmayan çerezlerin (analitik, pazarlama, hedefleme) ancak kullanıcının açık onayıyla çalıştırılması beklenir. Doğru bir çerez yönetimi için şunlara dikkat edin:
- Kategori bazlı onay: Kullanıcı; zorunlu, işlevsel, analitik ve pazarlama çerezlerini ayrı ayrı seçebilmelidir.
- Reddetme kolaylığı: "Reddet" seçeneği en az "Kabul Et" kadar erişilebilir olmalı, karanlık desen (dark pattern) kullanılmamalıdır.
- Ön işaretleme yasağı: Onay kutuları varsayılan olarak işaretli gelmemelidir.
- Onay öncesi bekletme: Kullanıcı seçim yapana kadar zorunlu olmayan çerezler ve üçüncü taraf izleme kodları yüklenmemelidir.
- Onayın saklanması ve geri alınabilmesi: Verilen onay kayıt altına alınmalı, kullanıcı istediğinde ayarlarını kolayca değiştirebilmelidir.
VERBIS Kaydı ve Veri Sorumlusu Yükümlülükleri
Belirli kriterleri aşan veri sorumlularının Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBIS) kayıt olması gerekir. Çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi ölçütler kayıt zorunluluğunu belirler; özel nitelikli kişisel veri (sağlık, biyometrik veri vb.) işleyenler için eşikler daha düşüktür. İşletmenizin kapsamda olup olmadığını netleştirmek için güncel Kurul kriterlerini kontrol etmek önemlidir.
VERBIS kaydının yanında her veri sorumlusunun bir kişisel veri işleme envanteri hazırlaması, saklama ve imha politikası oluşturması ve verilerin süresi dolduğunda düzenli olarak silinmesini, yok edilmesini ya da anonim hale getirilmesini sağlaması beklenir. Bu belgeler, olası bir denetimde "hesap verebilirlik" ilkesini kanıtlayan en önemli dayanaklardır.
Veri İhlali Durumunda Ne Yapılmalı?
En iyi önlemlere rağmen bir ihlal yaşanabilir. KVKK, kişisel verilerin hukuka aykırı biçimde ele geçirilmesi halinde veri sorumlusunun bu durumu en kısa sürede Kurula bildirmesini öngörür; Kurul kararları bu süreyi genellikle ihlalin öğrenilmesinden itibaren 72 saat olarak uygular. Etkilenen kişilere de makul en kısa sürede bilgi verilmelidir. Hazır bulunmak için şu adımları önceden planlayın:
- İhlali tespit, sınırlandırma ve kanıtları koruma prosedürünü yazılı hale getirin.
- Kimlerin bilgilendirileceğini ve bildirim şablonlarını hazır tutun.
- İhlal kayıt defteri oluşturun ve her olayı belgeleyin.
- Olay sonrası kök neden analizi yaparak aynı açığın tekrarını önleyin.
Bildirim yükümlülüğünü zamanında yerine getirmemek, ihlalin kendisinden bağımsız olarak ayrı bir yaptırım sebebi olabilir. Bu yüzden hız ve dokümantasyon kritiktir.
2026 için Hızlı Uyum Kontrol Listesi
Aşağıdaki özet listeyi, sitenizin durumunu değerlendirmek için kullanabilirsiniz:
- HTTPS ve güncel TLS aktif mi?
- Tüm yazılım, tema ve eklentiler güncel mi?
- Yönetici hesaplarında 2FA ve güçlü parola var mı?
- Otomatik ve test edilmiş yedekleme mevcut mu?
- Aydınlatma metni, gizlilik ve çerez politikaları yayında mı?
- Kategori bazlı, reddedilebilir çerez onay bandı çalışıyor mu?
- İlgili kişi başvuru kanalı tanımlı mı?
- VERBIS kayıt durumu netleştirildi mi?
- Saklama-imha politikası ve veri envanteri hazır mı?
- Veri ihlali müdahale planı yazılı mı?
Bu maddelerin çoğuna "hayır" diyorsanız, önceliklendirilmiş bir yol haritasıyla ilerlemek en verimli çözümdür. Güvenlik ve uyum tek seferlik bir iş değil, düzenli tekrarlanması gereken bir döngüdür.
Sıkça Sorulan Sorular
KVKK uyumu için web sitesinde sadece çerez bandı yeterli mi?
Hayır. Çerez bandı önemli bir parçadır ancak tek başına yeterli değildir. Aydınlatma metni, gizlilik politikası, ilgili kişi başvuru kanalı ve gerekli durumlarda açık rıza gibi belgelerle birlikte, arka planda teknik güvenlik tedbirleri de alınmalıdır. Uyum, belge ve teknik önlemlerin bir bütün olarak sağlanmasıyla gerçekleşir.
SSL sertifikası KVKK açısından zorunlu mu?
KVKK, ismen SSL şartı koymasa da kişisel verilerin güvenli biçimde işlenmesini ve iletilmesini zorunlu kılan bir kanundur. İletişim formu, üyelik veya ödeme bilgisi toplayan bir sitede verilerin şifresiz iletilmesi "uygun teknik tedbir alınmaması" sayılabilir. Bu nedenle HTTPS/SSL, pratikte zorunlu kabul edilmelidir.
Küçük bir işletmenin web sitesi de KVKK kapsamında mı?
Evet. İşletme büyüklüğünden bağımsız olarak, kişisel veri işleyen her web sitesi KVKK kapsamındadır. VERBIS'e kayıt zorunluluğu belirli eşiklere bağlı olsa da; aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve ilgili kişi haklarına saygı gibi temel yükümlülükler küçük işletmeler için de geçerlidir.
Veri ihlalini Kurul'a bildirmek için ne kadar sürem var?
Kurul kararları doğrultusunda, ihlalin öğrenildiği andan itibaren gecikmeksizin ve makul olarak en geç 72 saat içinde bildirim yapılması beklenir. Bu süreye hazırlıklı olmak için önceden yazılı bir müdahale planı ve bildirim şablonları hazırlamak büyük önem taşır.
Web sitesi güvenliği ve KVKK uyumu, doğru kurgulandığında hem markanızı yasal risklerden korur hem de kullanıcılarınızın güvenini artırır. Sitenizin teknik altyapısını, hukuki metinlerini ve süreçlerini uçtan uca gözden geçirmek istiyorsanız Dijital Çözüm Merkezi ekibi yanınızda. Ücretsiz ön değerlendirme ve uyum yol haritası için bize 0539 830 58 89 numarasından ulaşabilir veya dijitalcozummerkezi.com.tr adresini ziyaret edebilirsiniz.
