E-ticaret işletmeleri 6698 sayılı KVKK, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve KVKK Çerez Uygulamaları Hakkında Rehber ile çok katmanlı veri koruma yükümlülüğüne tabidir. 2024 ile birlikte yurt dışı veri aktarımında standart sözleşme/BCR rejimi de uygulanmaktadır.
İçindekiler
- Mevzuat Haritası
- Aydınlatma ve Açık Rıza
- Çerez Yönetimi
- VERBİS Kaydı
- Yurt Dışı Veri Aktarımı (m.9 yeni rejim)
- Veri İhlali Yönetimi
- Sıkça Sorulan Sorular
Mevzuat Haritası
Temel kaynaklar: 6698 sayılı KVKK m.4-5-10-11-12-15-18, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, Çerez Uygulamaları Hakkında Rehber (güncel sürüm: Temmuz 2025), Yurt Dışına Veri Aktarımı Hakkında Rehber (2024) ve 6563 sayılı Kanun m.6 (ticari elektronik ileti). İYS (İleti Yönetim Sistemi) kaydı zorunludur.
Aydınlatma ve Açık Rıza
KVKK m.10 aydınlatma yükümlülüğü ile m.5/2 hukuki sebepler ayrı katmanlardır. Sözleşmenin ifası için zorunlu veriler (kargo adresi, sipariş bilgisi) açık rıza gerektirmez (m.5/2-c). Pazarlama amaçlı işleme, profilleme ve hassas veri işleme için ayrı, opsiyonel ve geri alınabilir açık rıza gerekir.
Çerez Yönetimi
Rehber uyarınca kesin gerekli olmayan çerezler (analitik, pazarlama, sosyal medya) için opt-in şarttır. Bu nedenle ‘Tüm çerezleri kabul et’ butonunun öne çıkarılıp ‘reddet’ butonunun gizlendiği tasarımlardan kaçınılmalıdır. Kişisel Verileri Koruma Kurumunca yayımlanan Çerez Uygulamaları Hakkında Rehber, çerez yönetim panelinde “kabul et”, “reddet” ve “tercihler” butonlarının renk, büyüklük ve punto bakımından eşit derecede sunulmasını iyi uygulama örneği olarak gösterir; açık rızaya dayanan çerezlerin panelde ilk anda pasif gelmesi de önem taşır.
VERBİS Kaydı
KVKK m.16 uyarınca süresinde kayıt yapılmaması idari para cezasına tabidir (m.18/1-ç).
Yurt Dışı Veri Aktarımı (m.9 yeni rejim)
2024 yılında yürürlüğe giren değişiklikle: (i) yeterlilik kararı, (ii) uygun güvenceler (Kurulca ilan edilen standart sözleşme, Kurulca onaylanan bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arasındaki anlaşma) ve (iii) arızi aktarım için m.9/6 istisnaları sıralı olarak uygulanır. Yeterlilik kararı bulunmayan hâllerde yurt dışındaki hizmet sağlayıcılarına aktarımda uygun güvencelerden biri sağlanır; standart sözleşme imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir (m.9/5).
Veri İhlali Yönetimi
KVKK m.12/5 uyarınca veri sorumlusu ihlali en kısa sürede ilgilisine ve Kurula bildirir; Kurula bildirim, 2019/10 sayılı Kurul Kararı uyarınca ihlalin öğrenilmesinden itibaren 72 saat içinde yapılır.
Sıkça Sorulan Sorular
Tek kişilik e-ticaret işletmesi VERBİS’e kaydolmak zorunda mı?
Çalışan sayısı 50 altı ve mali bilanço 100M TL altı ise kural olarak muafdır; ancak hassas veri işliyorsa Kurul kararıyla kayıt zorunlu olabilir.
Sipariş bilgisi için açık rıza alınmalı mı?
Hayır. Sözleşmenin ifası (m.5/2-c) hukuki sebebine dayanır; ek pazarlama için ayrı açık rıza gerekir.
İYS kaydı KVKK ile aynı şey mi?
Hayır. İYS 6563 sayılı Kanun kapsamında ticari elektronik ileti onayını yönetir; KVKK uyumunu ikame etmez.
İlgili Rehberler
Yasal Uyarı: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Türkiye Barolar Birliği Reklam Yasağı Yönetmeliği m.4 uyarınca somut olay değerlendirmesi için baroya kayıtlı bir avukatla görüşülmelidir. Tarih: 08.05.2026.