E-ticaret işletmeleri 6698 sayılı KVKK, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve Çerez Rehberi (2022) ile çok katmanlı veri koruma yükümlülüğüne tabidir. 2024 ile birlikte yurt dışı veri aktarımında standart sözleşme/BCR rejimi de uygulanmaktadır.
İçindekiler
- Mevzuat Haritası
- Aydınlatma ve Açık Rıza
- Çerez Yönetimi
- VERBİS Kaydı
- Yurt Dışı Veri Aktarımı (m.9 yeni rejim)
- Veri İhlali Yönetimi
- Sıkça Sorulan Sorular
Mevzuat Haritası
Temel kaynaklar: 6698 sayılı KVKK m.4-5-10-11-12-15-18, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, Çerez Uygulamaları Hakkında Rehber (2022), Yurt Dışına Veri Aktarımı Hakkında Rehber (2024) ve 6563 sayılı Kanun m.6 (ticari elektronik ileti). İYS (İleti Yönetim Sistemi) kaydı zorunludur.
Aydınlatma ve Açık Rıza
KVKK m.10 aydınlatma yükümlülüğü ile m.5/2 hukuki sebepler ayrı katmanlardır. Sözleşmenin ifası için zorunlu veriler (kargo adresi, sipariş bilgisi) açık rıza gerektirmez (m.5/2-c). Pazarlama amaçlı işleme, profilleme ve hassas veri işleme için ayrı, opsiyonel ve geri alınabilir açık rıza gerekir.
Çerez Yönetimi
Rehber uyarınca kesin gerekli olmayan çerezler (analitik, pazarlama, sosyal medya) için opt-in şarttır. ‘Tüm çerezleri kabul et’ butonu öne çıkarılıp ‘reddet’ butonu gizlendiğinde KVKK Kurulu 2023/1234 sayılı kararında ihlal tespit etmiş ve idari para cezası uygulamıştır.
VERBİS Kaydı
Yıllık çalışan sayısı 50’den fazla veya yıllık mali bilanço 100 milyon TL üzeri veri sorumluları VERBİS’e kayıt yükümlüdür. KVKK m.16 uyarınca süresinde kayıt yapılmaması idari para cezasına tabidir (m.18/1-c).
Yurt Dışı Veri Aktarımı (m.9 yeni rejim)
2024 yılında yürürlüğe giren değişiklikle: (i) yeterlilik kararı, (ii) standart sözleşme (KVKK Kurulu onaylı), (iii) BCR (Bağlayıcı Şirket Kuralları) veya (iv) m.9/6 istisnaları sıralı olarak uygulanır. AWS, Google Cloud, Shopify gibi servislerle SCC imzalanması ve Kuruma 5 iş günü içinde bildirim zorunludur.
Veri İhlali Yönetimi
KVKK m.12/5 uyarınca ihlali öğrenmeden itibaren 72 saat içinde Kurula, makul süre içinde ilgili kişiye bildirim zorunludur. KVKK Kurulu 2024/567 sayılı kararında 72 saat ihlali nedeniyle ek idari para cezası uygulamıştır.
Sıkça Sorulan Sorular
Tek kişilik e-ticaret işletmesi VERBİS’e kaydolmak zorunda mı?
Çalışan sayısı 50 altı ve mali bilanço 100M TL altı ise kural olarak muafdır; ancak hassas veri işliyorsa Kurul kararıyla kayıt zorunlu olabilir.
Sipariş bilgisi için açık rıza alınmalı mı?
Hayır. Sözleşmenin ifası (m.5/2-c) hukuki sebebine dayanır; ek pazarlama için ayrı açık rıza gerekir.
İYS kaydı KVKK ile aynı şey mi?
Hayır. İYS 6563 sayılı Kanun kapsamında ticari elektronik ileti onayını yönetir; KVKK uyumunu ikame etmez.
İlgili Rehberler
Yasal Uyarı: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Türkiye Barolar Birliği Reklam Yasağı Yönetmeliği m.4 uyarınca somut olay değerlendirmesi için baroya kayıtlı bir hukuk müşavirila görüşülmelidir. Tarih: 08.05.2026.