Bu makalede incelenen hukuki süreçler genel bilgilendirme amaçlıdır. Somut davanızın delil durumu, hak düşürücü yasal süreler ve güncel Yargıtay içtihatları dikkate alınmadan yürütülen işlemler davanızın usulden reddine ve telafisi güç tazminat kayıplarına yol açabilir.
Bir uygulama canlıya çıktığı anda iki hukuki ilişki başlar: kullanıcılarla kurulan sözleşme ilişkisi ve onların kişisel verilerinin işlenmesi. Startup’lar bu iki alanı çoğu zaman başka sitelerden uyarlanmış metinlerle geçiştirir. Oysa veri güvenliği yükümlülüğünün ihlali için 2026’da öngörülen idari para cezasının üst sınırı on yedi milyon lirayı aşıyor; tüketici sözleşmelerindeki haksız şartlar ise kesin hükümsüz sayılıyor.
Serinin dördüncü bölümünde bir ürünün veri akışını, aydınlatma ile açık rıza arasındaki farkı, yurt dışı sunucu kullanımını, veri ihlalinde ilk 72 saati ve kullanıcı sözleşmelerinde en sık görülen haksız şartları; diyagramlar, örnek ekranlar ve bir karar ağacıyla ele alıyoruz.
- Veri akışı haritasıKullanıcıdan buluta her adımın hukuki yükümlülüğü
- Aydınlatma ve açık rızaDoğru ve yanlış onay ekranı örnekleri
- 72 saatVeri ihlalinde bildirim zaman çizelgesi ve 2026 cezaları
- Kullanıcı sözleşmesiGeçerli onay yöntemi ve en sık görülen haksız şartlar
Bir uygulamanın veri akışı: Hukuki yükümlülükler nerede doğar?
KVKK uyumu, verinin nereden gelip nereye gittiğini bilmekle başlar. Tipik bir mobil uygulamada kişisel veri kayıt ekranında toplanır, uygulama sunucusunda işlenir, bulut altyapısında saklanır ve ödeme, analiz, e-posta gibi hizmet sağlayıcılarla paylaşılır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından her adım ayrı bir yükümlülük doğurur.
Aydınlatma ve açık rıza: Aynı kutuda olmamalı
KVKK iki farklı kavramı birbirinden ayırır. Aydınlatma yükümlülüğü (m. 10), veri sorumlusunun kişiyi bilgilendirmesidir ve her durumda yerine getirilir; kişinin onayına bağlı değildir. Açık rıza (m. 5 ve 6) ise belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır ve yalnızca kanundaki diğer işleme şartlarından hiçbiri bulunmadığında aranır.
Uygulamada en sık yapılan hata, aydınlatma metni ile açık rızanın tek bir onay kutusunda birleştirilmesi ya da hizmetin kullanımının, gerekli olmayan bir veri işleme için verilecek rızaya bağlanmasıdır. Sözleşmenin kurulması veya ifası için zorunlu veriler kanundaki işleme şartlarından biriyle (m. 5/2-c) işlenebilir; bunlar için ayrıca rıza istemek gereksizdir ve kişiyi yanıltabilir.
- Kutu önceden işaretli
- Aydınlatma, sözleşme, rıza ve ileti onayı tek kutuda
- Rıza, hizmetin ön şartı hâline getirilmiş
- Aydınlatma ayrı ve onaya bağlı değil
- Kutular boş; kullanıcı kendisi işaretler
- İsteğe bağlı onay hizmetin şartı değil
Yurt dışındaki sunucular: 2024 değişikliğinden sonra yeni düzen
Startup’ların büyük bölümü verilerini yurt dışında bulunan bulut hizmetlerinde saklar ve bu, hukuken bir yurt dışına aktarımdır. 12 Mart 2024’te yayımlanan 7499 sayılı Kanunla KVKK’nın 9. maddesi yeniden düzenlendi ve 1 Haziran 2024’ten itibaren yurt dışına aktarım kademeli bir sisteme bağlandı.
- Yeterlilik kararıKurul’un yeterli koruma bulunduğuna karar verdiği ülke veya sektörlere aktarım
- Uygun güvenceKarar yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname
- Kurum’a bildirimStandart sözleşme, imzadan itibaren beş iş günü içinde bildirilir
- Arızi aktarımAçık rıza gibi istisnai hâller; düzenli aktarım için kullanılmaz
VERBİS: Kayıt yükümlülüğü sizde mi?
Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt, Kurul kararlarıyla belirlenen istisnalar dışında zorunludur. Yurt içinde yerleşik ve ana faaliyeti özel nitelikli kişisel veri işlemek olmayan girişimler için ölçüt, yıllık çalışan sayısı ile yıllık mali bilanço toplamıdır. Ana faaliyeti özel nitelikli veri işlemek olan girişimler, örneğin bir sağlık teknolojisi uygulaması, için 2025’te alınan Kurul kararıyla daha düşük eşikler belirlendi.
Veri ihlali: İlk 72 saat
Bir siber saldırı, yanlış yapılandırılmış bir bulut klasörü ya da kaybolan bir dizüstü bilgisayar, kişisel veri ihlaline yol açabilir. Kanun, veri sorumlusunun ihlali en kısa sürede ilgilisine ve Kurul’a bildirmesini öngörür (KVKK m. 12/5). Kurul bu süreyi, ihlalin öğrenilmesinden itibaren en geç 72 saat olarak belirlemiştir. Etkilenen kişilere bildirim ise kişilerin tespit edilmesinden sonra makul en kısa sürede yapılmalıdır.
- 0. saatİhlalin öğrenilmesiOlay kaydı açılır, sorumlu ekip ve hukuk danışmanı devreye girer. Süre bu andan itibaren işler.
- 0–12. saatSınırlamaYetkisiz erişim kapatılır, parolalar ve anahtarlar yenilenir, kanıtlar korunur.
- 12–48. saatDeğerlendirmeEtkilenen veri kategorileri, kişi sayısı, olası sonuçlar ve alınan önlemler belirlenir.
- En geç 72. saatKurul’a bildirimKurul’un ihlal bildirim formuyla yapılır. Bilgiler eksikse ilk bildirim yapılır, kalan bilgiler gecikmeksizin tamamlanır; gecikme varsa nedeni açıklanır.
- SonrasıKişilere bildirim ve iyileştirmeEtkilenen kişilere açık ve anlaşılır bildirim yapılır; müdahale planı ve güvenlik önlemleri güncellenir.
Yemek siparişi platformu Yemeksepeti’nde 2021’de yaşanan veri ihlalinde, yaklaşık 21,5 milyon kullanıcının ad-soyad, telefon, e-posta ve adres gibi bilgileri ile şifrelenmiş parolalarının yetkisiz kişilerce ele geçirildiği açıklandı.
Kişisel Verileri Koruma Kurulu, veri güvenliğine ilişkin teknik ve idari tedbirlerin yeterli olmadığı sonucuna vararak şirkete 1,9 milyon TL idari para cezası verdi. Ceza, o dönemki üst sınıra yakındı; aynı ihlal için 2026’da öngörülen üst sınır ise on yedi milyon lirayı aşıyor.
2026’da KVKK idari para cezaları
KVKK’daki idari para cezaları her yıl yeniden değerleme oranında artırılır. 2026 için uygulanan oran %25,49’dur. Aşağıdaki grafik, bir startup’ın en sık karşılaşabileceği yükümlülük ihlalleri için 2026 üst sınırlarını karşılaştırır.
- Aydınlatma yükümlülüğü
85.437 – 1.709.200 TL1,7 M TL - Standart sözleşme bildirimi
90.308 – 1.806.377 TL1,8 M TL - Veri güvenliği
256.357 – 17.092.242 TL17,1 M TL - VERBİS kayıt ve bildirim
341.809 – 17.092.242 TL17,1 M TL - Kurul kararlarına aykırılık
427.263 – 17.092.242 TL17,1 M TL
Kullanıcı sözleşmesi: Onay nasıl alınmalı?
Kullanıcı sözleşmesi, ürünü kullanan kişiyle kurulan hukuki ilişkinin temelidir: hizmetin kapsamı, ücret, hesap kuralları, fikrî haklar, sorumluluğun sınırları ve sözleşmenin sona ermesi burada düzenlenir. Sözleşmenin bağlayıcı olabilmesi için kullanıcının onu gördüğünün ve kabul ettiğinin ispatlanabilmesi gerekir.
- Sayfanın en altında küçük bir “Kullanım koşulları” bağlantısı
- Kullanıcının metni gördüğü ve kabul ettiği ispatlanamaz
- Onay anı, metin sürümü ve kullanıcı kaydı tutulmaz
- Kayıt veya ödeme anında boş bir onay kutusu ve metne bağlantı
- Kullanıcı kutuyu kendisi işaretlemeden devam edemez
- Onay tarihi, metin sürümü ve kullanıcı kaydı saklanır
Yatırım uygulaması Robinhood, Mart 2020’deki piyasa dalgalanması sırasında art arda sistem kesintileri yaşadı; kullanıcılar uzun süre işlem yapamadı. ABD’de aracı kurumları denetleyen FINRA, 2021’de şirkete; yanıltıcı müşteri bilgilendirmeleri, sistem kesintilerine ilişkin denetim eksiklikleri ve opsiyon işlemlerine onay sürecindeki zaafları gerekçesiyle 57 milyon dolar para cezası verdi ve yaklaşık 12,6 milyon dolarlık müşteri iadesi öngördü.
Tüketici sözleşmelerinde en sık görülen haksız şartlar
Ürün tüketicilere (B2C) sunuluyorsa 6502 sayılı Tüketicinin Korunması Hakkında Kanun devreye girer. Tüketiciyle müzakere edilmeden sözleşmeye konulan ve tarafların hak ve yükümlülüklerinde dürüstlük kuralına aykırı biçimde tüketici aleyhine dengesizliğe yol açan şartlar haksız şarttır ve kesin hükümsüzdür (TKHK m. 5). Başka sitelerden kopyalanan metinlerde en sık karşılaşılan örnekler şunlardır:
| Kopyalanan madde | Sorun | Daha doğru yaklaşım |
|---|---|---|
| “Şirket hiçbir şekilde sorumlu değildir.” | Ağır kusurdan sorumluluğu önceden kaldıran kayıt kesin hükümsüzdür (TBK m. 115). | Sorumluluk makul biçimde sınırlanır; kast ve ağır ihmal hariç tutulur. |
| “Sözleşmeyi dilediğimiz zaman tek taraflı değiştirebiliriz.” | Tek taraflı esaslı değişiklik tüketici aleyhine dengesizlik yaratır. | Değişiklik önceden bildirilir; esaslı değişiklikte yeni onay veya fesih hakkı tanınır. |
| “Uyuşmazlıklarda yabancı mahkemeler yetkilidir.” | Tüketici, kendi yerleşim yerindeki tüketici hakem heyetine veya mahkemesine başvurabilir. | Türk tüketicisine yönelik metinde tüketici yargı yolları esas alınır. |
| “Abonelik iptal edilemez, ücret iade edilmez.” | Mesafeli sözleşmelerde cayma hakkına ve aboneliğin sona erdirilmesine ilişkin emredici kurallar vardır. | Cayma hakkı ve istisnaları ön bilgilendirmede açıkça gösterilir. |
Ücretli dijital hizmetlerde Mesafeli Sözleşmeler Yönetmeliği uyarınca ön bilgilendirme formu ve mesafeli sözleşme ayrıca sunulmalıdır. Tüketici kural olarak 14 gün içinde cayabilir; tüketicinin onayıyla ifasına anında başlanan dijital içerik gibi istisnalardan yararlanmak için bu durumun ön bilgilendirmede açıkça belirtilmesi gerekir.
Ürün canlıya çıkmadan kontrol listesi
Sıkça Sorulan Sorular
Her kullanıcıdan açık rıza almak zorunda mıyım?
Hayır. Açık rıza, kanundaki diğer işleme şartlarından hiçbiri bulunmadığında aranır. Sözleşmenin kurulması veya ifası için zorunlu veriler, hukuki yükümlülük ya da meşru menfaat gibi şartlara dayanılarak rıza olmadan işlenebilir. Gereksiz yere rıza istemek, rıza geri alındığında işlemenin dayanağını da tartışmalı hâle getirir.
Verilerimi yurt dışındaki bir bulut hizmetinde saklayabilir miyim?
Saklayabilirsiniz; ancak bu bir yurt dışı aktarımdır. Aktarılan ülke için yeterlilik kararı yoksa, Kurul’un ilan ettiği standart sözleşmelerden biri imzalanmalı ve imzadan itibaren beş iş günü içinde Kurum’a bildirilmelidir. Bildirimin yapılmaması ayrıca idari para cezası gerektirir.
Veri ihlalini kamuoyuna duyurmak zorunda mıyım?
Kanun, Kurul’a ve etkilenen kişilere bildirimi öngörür. Kurul gerekli görürse ihlali kendi internet sitesinde veya başka yollarla ilan edebilir. Kişilere yapılan bildirimin açık, anlaşılır ve alınması gereken önlemleri içerecek biçimde olması gerekir.
Kullanıcı sözleşmesini değiştirdim; eski kullanıcılar için de geçerli mi?
Esaslı değişikliklerde kullanıcıya bildirim yapılması ve yeniden onay alınması ya da sözleşmeyi sona erdirme imkânı tanınması gerekir. Hangi kullanıcının hangi sürümü ne zaman onayladığının kaydı tutulmalıdır.
Ücretli abonelikte cayma hakkı var mı?
Mesafeli sözleşmelerde tüketici kural olarak 14 gün içinde gerekçe göstermeden cayabilir. Tüketicinin onayıyla ifasına anında başlanan dijital içerik gibi istisnalar vardır; bunlardan yararlanmak için ön bilgilendirmede açıkça belirtilmeleri gerekir.
Tüketici uyuşmazlıkları için tahkim şartı koyabilir miyim?
Tüketiciyi kanuni yargı yollarından yoksun bırakan şartlar haksız şart sayılabilir. Tüketici, parasal sınırlara göre tüketici hakem heyetine veya tüketici mahkemesine başvurur; hakem heyeti sınırını aşan uyuşmazlıklarda dava açmadan önce arabulucuya başvurmak zorunludur.
Yasal dayanaklar
- 6698 s. KVKK m. 5, 6, 9, 10, 12, 16, 18
- 7499 s. Kanun (2024)
- Yurt Dışına Aktarım Yönetmeliği (2024)
- Kurul’un 2019/10 sayılı kararı
- VERBİS istisna kararları
- 6502 s. TKHK m. 5, 48, 73
- Mesafeli Sözleşmeler Yönetmeliği
- 6098 s. TBK m. 115
- 6563 s. Kanun (ticari ileti)
Bu yazı genel bilgilendirme amacı taşır ve 8 Eylül 2026 tarihindeki mevzuata göre hazırlanmıştır. Ceza tutarları ve VERBİS eşikleri Kurul kararlarıyla değişebileceğinden güncel durum ayrıca kontrol edilmelidir.
Bu Makaleyle İlgili Resmi Dilekçe ve Sözleşme Taslakları
Yukarıdaki hukuki süreçlerde kullanabileceğiniz, doğrudan panoya kopyalanabilir ve kurumsal antetli indirilebilir resmi taslaklar:
Web Sitesi Gizlilik Politikası
**Web Sitesi Gizlilik Politikası**, bir internet sitesini (veya mobil uygulamayı) ziyaret eden kullanıcıların; siteye...
Web Sitesi Kullanım Kosullari
**Web Sitesi Kullanım Koşulları ve Üyelik Sözleşmesi**, bir internet sitesinin (haber sitesi, e-ticaret platformu,...
Hukuki Sorularınız İçin Avukat Uğur Çakmak'a Danışın
Konuya ilişkin somut davanız, şirket süreçleriniz ve sözleşme riskleriniz için doğrudan Avukat Uğur Çakmak ile iletişime geçebilirsiniz.
