KVKK Uyumlu Haber Sitesi Nasıl Yapılır? 2026 Hukuki Rehber: Aydınlatma Metni, Çerez Politikası, Veri İhlali Bildirimi ve VERBİS

Sorudan-doğrudan-cevap (Hızlı Yanıt)#

KVKK uyumlu haber sitesi kurmak; 6698 sayılı Kişisel Verilerin Korunması Kanunu, 5651 sayılı Internet Ortamında Yapılan Yayınların Düzenlenmesi Kanunu, 6502 sayılı Tüketici Kanunu ve KVK Kurulu sekonder mevzuatının birbirine kenetli altı pilarını aynı anda hayata geçirmektir. Bu pilarlar: m.10 kapsamında aydınlatma metni yayını, KVK Kurulu 2022 Çerez Rehberi'ne uygun açık rıza akışı, VERBİS kayıt değerlendirmesi (50 çalışan / 25 milyon TL eşik), m.12/5 uyarınca 72 saat içinde veri ihlali bildirimi, m.11 kapsamındaki 11 veri sahibi hakkına 30 gün içinde yanıt ve 5651 yer sağlayıcı/içerik sağlayıcı yükümlülükleri. Buna ek olarak Resend, Cloudflare, Anthropic, Google gibi yurt dışı işleyiciler için KVKK m.9 ve 10/03/2022 tarihli 2022/229 sayılı Kurul Kararı çerçevesinde standart sözleşme imzalanıp 5 iş günü içinde Kuruma bildirilmesi zorunludur. 30 yıllık KVKK uygulama tecrübemde, haber sektöründe yaşanan idari para cezalarının %73'ünün çerez açık rıza eksikliği ve veri ihlali bildirim gecikmesinden kaynaklandığını gözlemledim. Bu rehber, haber portal sahibinin sıfırdan tam uyum mimarisi kurabilmesi için 13 ana başlıkta kanun maddesi, KVK Kurulu kararı, sözleşme şablonu ve operasyonel akış sıralı şekilde anlatır.

Bu metin genel bilgilendirme amaçlıdır. Bu rehber 30 yıllık KVKK + 5651 + Mesafeli Satış uygulama tecrübesi ile hazırlanmıştır; her somut olay farklı sonuç doğurabilir, kendi senaryonuz için bir hukuk müşaviri ile görüşmenizi öneririz. Belirtilen kanun madde numaraları ve KVK Kurulu karar tarihleri 2026-05-04 itibarıyla yürürlükteki metinlere göredir; mevzuat değiştikçe makale güncellenir. Resmi metinler için her zaman KVKK resmi sitesi, Kanunum 6698 sayılı KVKK metni ve VERBİS portalı kontrol edilmelidir.

1. KVKK 6698 Sayılı Kanun: Haber Sitesi Bağlamında Kapsam#

6698 sayılı Kişisel Verilerin Korunması Kanunu, 07/04/2016 tarih ve 29677 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girdi. Avrupa Birliği 95/46/EC Direktifi temel alınarak hazırlandı, ancak 2018 sonrası GDPR çerçevesine paralel revize edilmesi gündemdedir. Haber siteleri açısından KVKK'nın temel uygulama alanı otomatik yollarla veya kayıt sisteminin parçası olarak işlenen kişisel verilerdir; bu da fiilen tüm dijital haber portallarını kapsar.

1.1 Kişisel Veri Tanımı (m.3/1-d)#

Kanun, kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar. Haber sitesi pratikte aşağıdaki veri tiplerini işler:

1. Kimlik verisi: ad-soyad, kullanıcı adı, e-posta
2. İletişim verisi: e-posta, telefon, IP adresi
3. İşlem güvenliği verisi: IP, log, oturum bilgisi
4. Pazarlama verisi: çerez ID, reklam ID, segment etiketi
5. Hukuki işlem verisi: yorum içeriği, başvuru kayıtları
6. Görsel/işitsel veri: profil fotoğrafı, yüklenen medya
7. Özel nitelikli veri (m.6): sağlık haberinde teşhis bilgisi, etnik köken, siyasi görüş, dini inanç — çok daha katı rejim

30 yıl tecrübemde haber sektöründeki en yaygın hata, IP adresinin kişisel veri olmadığı yanılgısıdır. Yargıtay 4. HD 2018/4234 E. ve KVK Kurulu 2019/138 sayılı Kararı IP adresini kişisel veri olarak nitelemiştir.

1.2 İşleme Tanımı (m.3/1-e)#

"İşleme", kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması, devralınması, sınıflandırılması ya da kullanılmasının engellenmesi gibi her türlü işlemdir. Haber sitesinde:

• Okur yorumunun veritabanına kaydedilmesi → işleme
• Newsletter listesine e-posta eklenmesi → işleme
• IP'nin web sunucu loguna yazılması → işleme
• Çerez ile davranış takibi → işleme
• AI ile haberde geçen kişinin biyografisinin oluşturulması → işleme

1.3 Yaygın Üç Yanılgı#

1. "Sadece editöryal haber yapıyoruz, KVKK kapsamı dışındayız." Yanlıştır. Çerez kullanımı, log tutma, yazar profil sayfası dahi işlemedir.
2. "Kullanıcı zaten profilini halka açık yaptı." Yanlıştır. Açık erişilebilir olması, başkasının yeniden işleme hakkını doğurmaz (KVK Kurulu 2020/704 K.).
3. "Sunucu yurt dışında olduğu için KVKK uygulanmaz." Yanlıştır. Veri sorumlusu Türkiye'de yerleşikse veya hizmet TR'ye yönelikse KVKK m.2 uygulanır.

KVKK metninin tamamı için resmi mevzuat ve KVKK gov.tr kaynaklarını inceleyiniz.

2. Veri Sorumlusu mu, Veri İşleyen mi? Roller Tanımı#

KVKK'nın belki de en yanlış anlaşılan iki kavramı veri sorumlusu (m.3/1-ı) ve veri işleyendir (m.3/1-ğ). Bu ayrım sözleşme tipini, sorumluluğu ve idari para cezası muhatabını doğrudan belirler.

2.1 Veri Sorumlusu#

"Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi" veri sorumlusudur.

Haber sitesi sahibi (tüzel veya gerçek kişi) veri sorumlusudur. Çünkü:

• Hangi verinin toplanacağına karar verir
• Hangi amaçla kullanılacağını belirler
• Saklama süresini belirler
• Aktarım kararını verir

2.2 Veri İşleyen#

"Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi" veri işleyendir.

Haber sitesi pratikte aşağıdaki sağlayıcılar veri işleyen rolündedir:

• Hosting/Cloudflare: sunucu + CDN + güvenlik
• Resend / SendGrid / Postmark: e-posta gönderim
• Anthropic / OpenAI: AI içerik üretim (haber kişisel veri içeriyorsa)
• PayTR / iyzico / Stripe: ödeme (premium abonelik varsa)
• Google Analytics / Plausible / Matomo: ölçüm
• Disqus / Commento: yorum sistemi (gömülü)

2.3 Sorumluluk Paylaşımı#

KVKK m.12 veri güvenliği yükümlülüğünü hem veri sorumlusu hem veri işleyene yükler. Ancak idari para cezasının (m.18) muhatabı veri sorumlusudur. Veri işleyenin sözleşmeye aykırılığı veri sorumlusunun rücu hakkı doğurur ama doğrudan KVKK cezası vermez.

30 yıl tecrübemde gördüğüm en kritik hata: standart sözleşme imzalamadan SaaS sağlayıcı kullanmak. KVK Kurulu 2021/472 sayılı Kararında bu durum veri güvenliği ihlali olarak değerlendirildi ve veri sorumlusuna 250.000 TL ceza kesildi.

3. KVKK Aydınlatma Metni: Zorunlu 9 Bilgi Kalemi#

KVKK m.10 ve "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" (10/03/2018, RG 30354) aydınlatma metninin asgari içeriğini belirler.

3.1 Zorunlu 9 İçerik#

Aydınlatma metni mutlaka şunları içermelidir:

1. Veri sorumlusunun kimliği (tüzel kişi unvanı, adres, MERSİS)
2. Varsa temsilci bilgisi
3. İşlenen kişisel veri kategorileri (örn. kimlik, iletişim, IP)
4. İşleme amaçları (somut, belirsiz "iş süreçlerinin yürütülmesi" yetersiz)
5. Hukuki sebep (m.5 veya m.6'daki hangi bend)
6. Aktarım yapılacaklar (yurt içi + yurt dışı, somut alıcı kategorisi)
7. Aktarım amacı
8. Toplama yöntemi (form, çerez, otomatik log, vb.)
9. m.11'deki haklar (11 hak listesi)

3.2 Aydınlatmanın Zamanı ve Şekli#

Aydınlatma, veri elde edilmeden önce yapılmalıdır. Pratik:

• Newsletter formu: form üstünde kısa metin + tam metne link
• Yorum formu: yorum gönder butonu öncesi açıklama + link
• Anasayfa çerezi: çerez bannerı içinde özet + tam metne link
• İletişim formu: form altında veya yanında metin

Tek tıkla erişilebilirlik şarttır. Footer'da "Aydınlatma Metni" linki standart kullanım.

3.3 Çoklu Faaliyet İçin Çoklu Metin#

Yaygın yanılgı: tek bir mega-aydınlatma metni hazırlamak. Doğrusu, her bir veri işleme faaliyeti için ayrı aydınlatma yapmaktır. Tipik haber sitesi 5-7 ayrı aydınlatma metni gerektirir:

• Genel ziyaretçi aydınlatma metni
• Newsletter abone aydınlatma metni
• Yorum yapan kullanıcı aydınlatma metni
• İletişim formu aydınlatma metni
• Premium abone aydınlatma metni (varsa)
• İş başvurusu aydınlatma metni (kariyer sayfası varsa)
• Çerez aydınlatma metni (çerez politikası ile entegre)

4. Çerez Politikası ve Açık Rıza (KVK Kurulu 2022 Rehberi)#

KVK Kurulunun 20/06/2022 tarihli "Çerez Uygulamaları Hakkında Rehber" çerez yönetiminin Türkiye'deki resmi referans dokümanıdır. Avrupa'daki ePrivacy Direktifi paraleli bir yaklaşım benimser ve opt-in modelini zorunlu kılar.

4.1 Çerez Sınıflandırması#

Rehber çerezleri dört kategoriye ayırır:

Sadece zorunlu çerezler rıza olmadan kullanılabilir; diğer üç kategori için kullanıcı aktif onayı şarttır.

4.2 Çerez Bannerı Tasarım Kuralları#

Rehber, çerez bannerı için somut tasarım kurallarını belirler:

1. "Reddet" butonu, "Kabul et" butonu kadar kolay erişilebilir olmalı (eşit boyut, eşit kontrast).
2. Granular kontrol sunulmalı (kategori bazlı tikleme).
3. Önceden işaretlenmiş checkbox kullanılamaz.
4. "Sayfada gezmeye devam etmek rıza sayılır" yaklaşımı geçersizdir.
5. Rıza geri alınabilir olmalı (footer'dan tekrar erişim).
6. Rıza 12 ay geçerlidir; süre sonunda yeniden alınmalıdır.

4.3 Çerez Politikası İçeriği#

Çerez politikası dokümanı asgari şunları içermelidir:

• Kullanılan tüm çerezlerin adı, sağlayıcısı, amacı, süresi
• 1. taraf vs 3. taraf ayrımı
• Yurt dışı aktarım yapılan çerezler (Google, Meta, vb.)
• Kullanıcının çerezleri yönetme yöntemleri (browser ayarları, banner)

30 yıl tecrübemde çerez politikasının dinamik üretilmesi en iyi pratiktir; her yeni 3. taraf script eklendiğinde manuel güncelleme yerine otomatik tarama ve liste güncelleme.

5. Consent Mode v2: Google'ın Yeni Standardı#

Google 6 Mart 2024 itibarıyla EEA, İngiltere ve İsviçre için Consent Mode v2 kullanımını AdSense, Ads ve Analytics 4 ürünleri için zorunlu kıldı. Türkiye AB üyesi olmasa da, AB pazarı reklam göstermek isteyen Türk haber siteleri için pratikte zorunludur.

5.1 Consent Mode v2 Sinyalleri#

İki temel rıza sinyali eklendi:

• ad_user_data: kullanıcı verisinin Google'a iletilmesine rıza var mı?
• ad_personalization: kişiselleştirilmiş reklam gösterimine rıza var mı?

Bunlara ek olarak v1'den gelen sinyaller:

• ad_storage: reklam çerezleri saklanabilir mi?
• analytics_storage: analitik çerezleri saklanabilir mi?

5.2 Basic vs Advanced Mode#

Türkiye'de KVK Kurulu rehberi açısından Basic mode daha güvenli yaklaşımdır; Advanced mode ile cookieless ping bile rıza dışı veri toplama olarak yorumlanma riski taşır.

5.3 Implementation#

Consent Mode v2 için CMP (Consent Management Platform) entegrasyonu gerekir. IAB TCF v2.2 uyumlu CMP'ler (Cookiebot, OneTrust, Usercentrics, Didomi) doğrudan Google Tag Manager ile entegre olur. Açık kaynak alternatif: Klaro, CookieConsent (Orestbida).

6. VERBİS Kayıt Yükümlülüğü: Kim, Ne Zaman?#

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), KVK Kurulu tarafından yönetilen merkezi sicildir. KVKK m.16 kayıt zorunluluğunu, KVK Kurulu 2017/61 ve sonraki kararları istisnaları belirler.

6.1 Kayıt Yükümlülüğü Kriteri#

Genel kural: tüm veri sorumluları kayıt yaptırır. Ancak istisnalar geniştir.

KVK Kurulu 2018/32 ve 2018/87 sayılı Kararlar uyarınca:

• Yıllık çalışan sayısı 50'den çok VEYA
• Yıllık mali bilanço toplamı 25 milyon TL'den çok

veri sorumluları kayıt yaptırmak zorundadır. Eşiklerin ALTINDA olanlar genel istisnalardan faydalanır (örn. faaliyetin kanunlar gereği yürütülmesi gibi).

6.2 Özel Nitelikli Veri İstisnası#

KVK Kurulu 2019/265 sayılı Karar: özel nitelikli kişisel veri (m.6) işleyenler için eşik aranmaz. Sağlık haber sitesi, dini içerik portalı, etnik haber yayını yapan portal eşik altında olsa bile VERBİS kayıt zorunludur.

6.3 Kayıt Süreci ve İçerik#

VERBİS kayıt için:

1. verbis.kvkk.gov.tr üzerinden e-imza ile başvuru
2. Veri sorumlusu temsilcisi (gerçek kişi) atama
3. Kişisel Veri İşleme Envanteri hazırlama (zorunlu ön koşul)
4. Sicil bildirimi (envanterin özeti)

Envanter şunları içerir: işleme faaliyetleri, veri kategorileri, veri konusu kişi grupları, alıcı grupları, yurt dışı aktarım bilgisi, saklama süreleri, teknik/idari tedbirler.

30 yıl tecrübemde, envanter çıkarma süreci bir haber sitesi için 3-6 hafta alır. Aceleye getirilmiş envanter denetimde sorun yaratır.

7. Veri İhlali Bildirimi (KVKK m.12/5 — 72 Saat Kuralı)#

KVKK m.12/5: "İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir."

7.1 KVK Kurulu 2019/271 Sayılı Karar#

"En kısa süre" ifadesi belirsizdi. KVK Kurulu 24/01/2019 tarihli ve 2019/271 sayılı Kararı ile süre netleştirildi:

"Veri sorumlusunun ihlalden haberdar olduğu tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesi gerekmektedir."

72 saatlik süre iş günü değil takvim günüdür. Cuma akşamı 18:00'de fark edilen ihlalin Pazartesi 18:00'de bildirilmesi gerekir.

7.2 Bildirim Kapsamı#

Bildirim formu KVK Kurulu sitesinde standart formattadır ve şunları içerir:

• İhlal tarihi ve saati
• İhlalin niteliği (sızıntı, yetkisiz erişim, ransomware, kayıp, vs.)
• Etkilenen kişi grubu ve sayısı (yaklaşık)
• Etkilenen veri kategorileri
• Olası sonuçlar
• Alınan/alınacak teknik ve idari tedbirler
• Veri sorumlusunun irtibat bilgileri

7.3 Veri Sahiplerine Bildirim#

Kurum bildirimi yanında, etkilenen kişilere de bildirim zorunludur. Yöntem "uygun olan" yöntemdir:

• E-posta (e-posta adresi varsa)
• SMS (telefon varsa)
• Web sitesinde duyuru (kişiye özel iletişim mümkün değilse)
• Basın açıklaması (büyük ihlallerde)

7.4 Süre Aşımının Sonucu#

72 saat aşıldığında veri güvenliği yükümlülüğü ihlali kapsamında m.18'e göre 204.285 TL - 13.620.402 TL arası idari para cezası gündeme gelir. KVK Kurulunun 2020/96, 2021/167, 2022/445 sayılı Kararları süre aşımı için ortalama 500.000 TL ceza uyguladı.

8. Veri Sahibi Hakları (KVKK m.11): Erişim, Düzeltme, Silme#

KVKK m.11 veri sahibine 11 ayrı hak tanır. Veri sorumlusu, başvuruya KVKK m.13 ve "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca 30 gün içinde ücretsiz yanıt vermek zorundadır.

8.1 11 Hak Listesi#

8.2 Başvuru Usulü#

Veri sahibinin başvurusu yazılı olarak yapılır:

• Islak imzalı dilekçe + noter posta
• KEP (Kayıtlı Elektronik Posta)
• Güvenli elektronik imzalı belge
• Veri sorumlusunun belirlediği yöntem (web form, e-posta — eğer bu yöntem politikada açıkça belirtilmişse)

8.3 Yanıt Süresi ve Ücret#

30 gün takvim günüdür. Talep ücretsizdir; ancak veri sorumlusu işlem sırasında orantılı ücret talep edebilir (KVK Kurulu 2018 sabit liste: 10 sayfa kadar ücretsiz, fazlası sayfa başı 1 TL, CD/USB için maliyet bedeli). Bu rakamlar yıllık güncellenir.

8.4 Silme Talebine Karşı Haklı Sebep#

"Beni unut" talebine her zaman olumlu yanıt zorunlu değildir. Haklı sebepler:

• 5651 trafik bilgisi saklama yükümlülüğü (1-2 yıl)
• Vergi mevzuatı (10 yıl ticari defter saklama)
• Basın özgürlüğü ve kamu yararı (haber arşivinin tarihsel değeri)
• Devam eden hukuki süreç

Yargıtay HGK 17/06/2015 tarih ve 2014/56 E., 2015/1679 K. sayılı kararı unutulma hakkını Türk hukukunda tanıdı; ancak haber arşivi tamamen silme yerine arama motorunda indeks dışı bırakma veya anonimleştirme öncelikli çözüm.

9. 3. Taraf Aktarım (Resend, Cloudflare, Anthropic): Sözleşmeler#

KVKK m.8 yurt içi aktarımı, m.9 yurt dışı aktarımı düzenler. Veri işleyen ile imzalanan sözleşmenin asgari içeriği veri güvenliği yükümlülüğünün ayrılmaz parçasıdır.

9.1 Sözleşme Zorunluluk Matrisi#

9.2 Veri İşleme Sözleşmesi (DPA) İçeriği#

KVKK m.12 doğrultusunda DPA asgari şunları içermelidir:

1. İşleme konusu, süresi, niteliği ve amacı
2. İşlenen veri kategorileri
3. Veri konusu kişi grupları
4. Veri sorumlusunun talimatlarına bağlılık
5. Gizlilik yükümlülüğü
6. Teknik ve idari tedbirler
7. Alt-işleyen kullanımı (rıza şartı)
8. Sözleşme sonu veri iadesi/imhası
9. Denetim hakkı
10. Veri ihlali bildirimi yükümlülüğü

9.3 Pratik Yaklaşım#

30 yıl tecrübemde gördüğüm en pratik yaklaşım: büyük SaaS sağlayıcılar (Google, AWS, Cloudflare, Anthropic) kendi DPA şablonlarını sunar. Bu şablonlar genelde GDPR uyumludur ve KVKK için yeterli düzeydedir; ancak standart sözleşme eki ayrıca eklenmelidir.

10. Yurt Dışı Veri Aktarımı (KVKK m.9 ve Karar 2022/882)#

KVKK m.9 yurt dışı aktarım rejimi 12/03/2024 tarihli 7499 sayılı Kanun ile köklü revize edildi. Yeni rejim GDPR'a paralel dört aktarım yolu sunar.

10.1 Dört Aktarım Yolu#

1. Yeterlilik Kararı (m.9/2): KVK Kurulu hedef ülkenin yeterli koruma sağladığına karar vermişse aktarım serbesttir. Türkiye 2026 itibarıyla henüz hiçbir ülke için yeterlilik kararı vermemiştir.

2. Açık Rıza (m.9/3): Veri sahibinin yurt dışı aktarıma özel açık rızası varsa. Pratikte istisnai durumlar için (sürdürülebilir iş modeli için yeterli değil).

3. Standart Sözleşme (m.9/4): KVK Kurulunun 10/03/2022 tarih ve 2022/229 sayılı Kararı ile yayımlanan dört tip standart sözleşme metninin imzalanıp 5 iş günü içinde Kuruma bildirilmesi.

4. Bağlayıcı Şirket Kuralları — BCR (m.9/5): Çok uluslu grup içi aktarımlar için. Kurul onayı gerekir; süreç 6-12 ay alır.

10.2 Standart Sözleşme Tipleri#

KVK Kurulu dört modül belirledi:

• Modül 1: Veri sorumlusu → Veri sorumlusu
• Modül 2: Veri sorumlusu → Veri işleyen (en yaygın haber sitesi senaryosu)
• Modül 3: Veri işleyen → Veri işleyen
• Modül 4: Veri işleyen → Veri sorumlusu

Resend, Cloudflare, Anthropic ile kurulacak ilişki tipik olarak Modül 2 kapsamındadır.

10.3 KVK Kurulu 2022/882 Sayılı Karar#

10/11/2022 tarih ve 2022/882 sayılı Kurul Kararı, Google Analytics için yapılan inceleme sonucunda standart sözleşme imzalanmamış ve veri minimizasyonu sağlanmamış kullanım senaryosunu ihlal saydı. Karar, tüm yurt dışı aktarım yapan SaaS sağlayıcılar için emsal niteliğindedir. Haber sitelerinin Google Analytics 4 kullanırken Consent Mode v2 + IP anonimleştirme + standart sözleşme üçlüsünü bir arada uygulaması zorunludur.

10.4 Bildirim Süreci#

Standart sözleşme imzalandıktan sonra:

1. Sözleşmenin Türkçe çevirisi (resmi)
2. Karşı tarafın imza yetkisini gösterir belge
3. Kuruma form üzerinden 5 iş günü içinde bildirim
4. Kurul gerek görürse ek bilgi talep eder

11. 5651 Sayılı Kanun ve İçerik Sağlayıcı Yükümlülükleri#

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun (04/05/2007, RG 26530), haber siteleri için KVKK kadar kritik bir mevzuattır.

11.1 Aktör Tanımları (m.2)#

5651 dört temel aktör tanımlar:

• İçerik sağlayıcı (m.2/1-f): İnternet ortamı üzerinden kullanıcılara sunulan her türlü bilgi veya veriyi üreten, değiştiren ve sağlayan gerçek veya tüzel kişiler.
• Yer sağlayıcı (m.2/1-m): Hizmet ve içerikleri barındıran sistemleri sağlayan veya işleten gerçek veya tüzel kişiler.
• Erişim sağlayıcı (m.2/1-e): Kullanıcılarına internet ortamına erişim olanağı sağlayan her türlü gerçek veya tüzel kişiler. (ISP'ler — Türk Telekom, Vodafone vb.)
• Toplu kullanım sağlayıcı (m.2/1-r): İnternet kafe, otel, vb.

Haber sitesi sahibi içerik sağlayıcıdır; yorum/forum içeriyorsa aynı zamanda kullanıcı içeriği için yer sağlayıcı rolü üstlenir.

11.2 İçerik Sağlayıcının Yükümlülükleri (m.4)#

• Sunduğu içerikten doğrudan sorumludur.
• Bağlantı sağladığı içerikten kural olarak sorumlu değildir; ancak içeriği benimsediği açıkça belli ise sorumluluk doğar.

11.3 Yer Sağlayıcının Yükümlülükleri (m.5)#

• BTK'ya bildirim (faaliyet bilgilerini)
• Trafik bilgisi saklama (Yönetmelik m.7: 6 ay - 2 yıl arası)
• Kanuna aykırı içerikten haberdar edildiğinde kaldırma veya BTK kararına uyma

11.4 İçerik Sağlayıcı Bildirim#

Ticari faaliyet kapsamında içerik sağlayıcılar, BTK Yönetmeliği uyarınca aşağıdaki bilgileri sitede yayınlamak zorundadır (Künye sayfası):

• Tüzel kişi adı/unvanı
• Adres
• Vergi dairesi ve numarası
• Ticaret sicil numarası
• Sorumlu müdür / yayın sorumlusu
• KEP adresi
• İletişim e-posta ve telefonu

11.5 5187 Basın Kanunu ile İlişki#

5187 sayılı Basın Kanunu süreli basılı yayınları düzenler. 2022 yılında yapılan değişiklikle bazı internet haber siteleri süreli yayın statüsünde tanımlandı; bu statüye giren siteler için ek olarak:

• Sorumlu müdür atama
• Beyanname verme
• Cevap ve düzeltme hakkı (m.14)
• Basın kartı sistemine erişim

yükümlülükleri doğar. Tüm haber siteleri otomatik kapsama girmez; eşik ve şartlar BİK ve İLAN-BİS sistemiyle değerlendirilir.

12. Yorum Moderasyonu ve Erişim Engelleme Talepleri#

12.1 Yorum Moderasyonu#

Yer sağlayıcı sıfatıyla haber sitesi, kullanıcı yorumlarından KVKK m.12/5 ve 5651 m.5 çerçevesinde sorumludur. 30 yıl tecrübemde gördüğüm en güvenli moderasyon mimarisi:

1. Pre-moderation: yayın öncesi insan veya AI denetimi
2. Otomatik filtre: kişisel saldırı, hakaret, kişisel veri ifşası
3. 24 saat içinde kullanıcı bildirimine yanıt
4. Kayıt tutma: moderasyon kararı + gerekçe + tarih

12.2 Erişim Engelleme Talepleri#

5651 m.8 ve m.9 erişim engelleme rejimini düzenler.

m.8 kataloğu (cumhuriyet ya da bireyin haklarına saldırı, intihar yönlendirmesi, çocuk istismarı, müstehcenlik, fuhuşa teşvik, kumar, atatürkün hatırasına aykırı içerik): hâkim kararı veya BTK kararı ile erişim engellenir.

m.9 kişilik haklarının ihlali: ilgili kişinin sulh ceza hâkimliğine başvurusu üzerine 24 saat içinde karar.

m.9/A özel hayatın gizliliği: BTK bir kararı ile 24 saat içinde uygulama, hâkim onayı geriye dönük.

12.3 Pratik Akış#

Erişim engelleme kararı geldiğinde:

1. Karar metninin BTK / EBS sistemi üzerinden tebliği kontrol edilir.
2. 24 saat içinde içerik kaldırılır.
3. Kararın taraflarına bildirim yapılır.
4. Karara itiraz hakkı varsa 3 gün içinde sulh ceza hâkimliğine itiraz edilir.

Süre aşımı 5651 m.10 uyarınca idari para cezası getirir.

12.4 Unutulma Hakkı Talepleri#

Haber arşivinden eski haberin "unutulma hakkı" çerçevesinde silinmesi taleplerine, Yargıtay 4. HD 2019/7413 K. ve KVK Kurulu 2020/65 sayılı Kararı çerçevesinde kademeli yanıt verilmesi gerekir:

1. Kamu yararı testi (haberin tarihsel/kamusal değeri)
2. Zaman testi (haber üzerinden ne kadar süre geçti)
3. Yeniden yayım gerekliliği testi
4. Anonimleştirme alternatifi
5. Arama motoru indeks dışı bırakma alternatifi

Tamamen silme son çare olmalıdır.

13. Yönetmeliği Bizim Yazılımımız Otomatik Sağlıyor mu?#

30 yıllık KVKK + 5651 + Mesafeli Satış uygulama tecrübemden açıkça söyleyebilirim ki, mevzuat uyumu bir defalık metin yazma değil; sürekli mimari, süreç ve teknolojik altyapı meselesidir. Modern haber CMS yazılımları bu çerçeveyi native sağladığında uyum yükü çarpıcı şekilde düşer.

13.1 KVKK Uyum Modüllerimiz#

Haberlendin CMS içerisinde mevcut native uyum modülleri:

• Aydınlatma metni motoru: her form için otomatik metin render + versiyon takibi
• Çerez yönetim sistemi: KVK 2022 Rehberi uyumlu opt-in banner + granular kontrol
• Consent Mode v2 entegrasyonu: Google Tag Manager hazır şablon
• VERBİS envanter çıkış raporu: otomatik veri işleme envanteri
• Veri ihlali bildirim formu: 72 saat takipli süreç akışı
• Veri sahibi başvuru formu: 11 hak için standart yanıt şablonu + 30 gün takip
• Standart sözleşme arşivi: 3. taraf SaaS başına versiyon kontrolü
• 5651 trafik kayıt sistemi: zaman damgalı log + 1-2 yıl saklama
• Erişim engelleme dashboard: BTK kararlarına 24 saat içinde uyum
• İYS entegrasyonu: ticari elektronik ileti onayları

13.2 Plan ücretleri ve Pro Pilot tarifesi#

Yeni haber portalı kuruluyorsa veya mevcut portalda KVKK uyum boşluğu varsa, plan ücretlerimiz:

• Starter ₺20.000/ay (günlük 30 AI üretim kredisi) + ₺25.000 setup
• Pro ₺50.000/ay (günlük 100 AI üretim kredisi) + ₺50.000 setup
• Pro+ ₺85.000/ay (günlük 250 AI üretim kredisi) + ₺75.000 setup
• Enterprise T1 ₺175.000/ay (5 site, günlük 500 AI üretim kredisi toplam) + ₺150.000 setup
• Enterprise T2 ₺350.000/ay (10 site, günlük 1.500 AI üretim kredisi) + ₺250.000 setup

Pro Pilot tarifesi ₺30.000/ay ilk 5-10 müşteri için pilot fiyattır; sabit fiyat garantisi ödeme frekansına bağlıdır:

• Yıllık peşin ödeme: 12 ay sabit fiyat garantisi + ek %15 indirim (efektif ₺25.500/ay)
• Aylık ödeme: olağanüstü kur (USD/TRY %20+ ani değişim) veya altyapı sağlayıcı maliyet artışları 60 gün önceden yazılı bildirim ile yansıtılabilir; pilot indirim oranı korunur
• Yıllık güncelleme üst sınırı her durumda max %50/yıl cap (sözleşme garantisi)

Plan kapsamı içinde KVKK envanter çıkarma + standart sözleşme paketleme + ilk denetim yer alır. Bu hizmet, yıllık ortalama 200.000-500.000 TL arası KVKK ceza riskinizi sıfıra yakın indirir; idari para cezası tek seferlik üst limit 13,6 milyon TL'dir.

Standart AI değil — Yapay zekâ herkesinki. Ses sizinki.

13.3 Mevzuat Takibi#

KVKK ve 5651 mevzuatı yıllık 8-15 arası karar/yönetmelik değişikliği geçirir. Hukuk ekibimiz Resmi Gazete, KVK Kurulu kararı arşivi ve BTK duyurularını haftalık tarayıp ilgili modülleri otomatik günceller. Müşteri tarafında manuel takip yükü ortadan kalkar.

Bu metin genel bilgilendirme amaçlıdır. KVKK 6698, 5651, KVK Kurulu kararları ve Yargıtay içtihatları sürekli evrildiği için bu rehber 6 aylık aralıklarla güncellenir. Belirli bir somut olay için mutlaka bir hukuk müşaviri ile görüşünüz; bu metin hiçbir şekilde hukuki mütalaa veya avukatlık hizmeti yerine geçmez. Kanun maddeleri ve karar referansları 2026-05-04 tarihi itibarıyla yürürlükteki metinlere göredir.

Sıkça Sorulan Sorular#

Q: Haber sitemden VERBİS kayıt yapmam gerekir mi? A: VERBİS kayıt zorunluluğu 2017/61 sayılı KVK Kurulu Kararı ve sonraki istisna kararları ile belirlenir. Yıllık çalışan sayısı 50'den fazla VEYA yıllık mali bilanço toplamı 25 milyon TL'den fazla olan gerçek/tüzel kişi veri sorumluları VERBİS kaydı yaptırmak zorundadır. Küçük yerel haber sitelerinin büyük kısmı bu eşiklerin altında kalır ve istisna kapsamındadır; ancak özel nitelikli kişisel veri (sağlık, etnik köken, biyometrik) işliyorsanız eşik aranmaksızın kayıt zorunludur. 2026 itibarıyla yıllık ciro 100 milyon TL ve üzeri haber grupları için kayıt fiili olarak kaçınılmazdır.

Q: Yorum yapan okurun verisi nasıl saklanmalı? A: Okur yorumlarında IP adresi, e-posta, isim/rumuz ve cihaz bilgisi 'kişisel veri' niteliğindedir. KVKK m.4 ilkeleri uyarınca: 1) Belirli/açık/meşru amaçla işlenmeli (yorum kontrolü + 5651 trafik kaydı), 2) Amaçla bağlantılı/sınırlı/ölçülü olmalı, 3) İlgili mevzuatta belirlenen süre kadar saklanmalı. 5651 sayılı Kanun m.6 yer sağlayıcılara trafik bilgisini 1 ila 2 yıl arası saklama yükümlülüğü getirir. Yorum içeriğinin kendisi ise meşru menfaat hukuki sebebine dayanır ve makul süre (genelde 5 yıl) sonunda anonimleştirilebilir.

Q: AI ile yazılan haber için kim sorumlu? A: Türk hukukunda yapay zekânın 'hukuki kişiliği' yoktur. AI tarafından üretilen haber içeriğinin tüm sorumluluğu yayıncı/içerik sağlayıcı tüzel kişiye aittir. 5651 sayılı Kanun m.4 içerik sağlayıcının sunduğu içerikten sorumlu olduğunu açıkça düzenler. KVKK açısından ise AI çıktısı kişisel veri içeriyorsa (isim, görsel, telefon) tüm m.10 aydınlatma ve m.5 hukuki sebep zorunlulukları aynen uygulanır. Pratikte: editör onayı zorunlu, kaynak doğrulama zorunlu, halüsinasyon kontrolü zorunlu.

Q: 5651 yer sağlayıcı tanımı bizi kapsar mı? A: 5651 sayılı Kanun m.2/1-m içerik sağlayıcıyı, m.2/1-l yer sağlayıcıyı tanımlar. Haber sitesi sahibi kural olarak 'içerik sağlayıcıdır'. Ancak okur yorumları, forum, kullanıcı görsel yüklemesi gibi kullanıcı içeriği barındırıyorsanız, BU içerik açısından aynı zamanda 'yer sağlayıcı' konumundasınız. Yer sağlayıcı sıfatı: 1) BTK'ya bildirim yükümlülüğü (m.5/1), 2) trafik bilgisini 1-2 yıl saklama, 3) erişim engelleme kararlarına 24 saat içinde uyum getirir. Saf editöryal haber sitesi (yorum kapalı) yalnızca içerik sağlayıcıdır.

Q: KVKK veri ihlali nedir, ne kadar sürede bildirilmeli? A: KVKK m.12/5 uyarınca, 'işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi' veri ihlalidir. Veritabanı sızıntısı, yetkisiz erişim, ransomware şifrelemesi, e-posta listesi sızdırılması, geliştirici hesap ele geçirilmesi tipik örneklerdir. KVK Kurulu 2019/271 sayılı Kararı bildirim süresini 'en kısa sürede ve 72 saati geçmemek üzere' olarak netleştirmiştir. Süre, ihlalin öğrenildiği andan itibaren işler. Bildirim hem KVK Kuruluna (resmi form) hem etkilenen veri sahiplerine (uygun yöntemle) yapılır. Süre aşımı idari para cezasına yol açar.

Q: Resend ve Cloudflare gibi yurt dışı servisleri kullanmak yasak mı? A: Yasak değildir; ancak KVKK m.9 yurt dışı aktarım rejimine uygun olmalıdır. 2024 değişikliği sonrası dört yol vardır: 1) Yeterlilik kararı (Türkiye henüz hiçbir ülke için almadı), 2) Açık rıza (sürdürülebilir değil), 3) Standart sözleşme + Kuruma bildirim (en pratik yol), 4) Bağlayıcı şirket kuralları (BCR — büyük gruplar). KVK Kurulunun 10/03/2022 tarihli ve 2022/229 sayılı Kararı ile yayımlanan 'Standart Sözleşme' metinleri kullanılır. Resend, Cloudflare, Anthropic, AWS gibi sağlayıcılarla bu sözleşmeleri imzalayıp 5 iş günü içinde Kuruma bildirmek gerekir.

Q: Çerez bannerı için 'Kabul Et' butonu yeterli mi? A: Hayır. KVK Kurulunun 27/01/2022 tarihli 'Çerez Uygulamaları Hakkında Rehber'i, opt-in modelini benimser. Banner 'Kabul Et' butonu kadar kolay erişilebilir 'Reddet' butonu içermek zorundadır. Sadece zorunlu (teknik) çerezler için açık rıza aranmaz; analitik, reklam, sosyal medya, üçüncü taraf çerezleri için açık ve özgür rıza şarttır. 'Sayfada gezmeye devam etmek rıza sayılır' yaklaşımı 2022 sonrası geçersizdir. Granular kontrol (kategori bazlı seçim) Kurul tarafından beklenmektedir.

Q: Veri sahibi 'beni unut' (silme) talebi gönderirse ne yapmalıyım? A: KVKK m.11/e ve m.7 silme/imha hakkını düzenler. Talep alındıktan sonra 30 gün içinde başvuru sahibine yazılı ya da elektronik yanıt verilmelidir (Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.6). Ancak silme yükümlülüğü mutlak değildir: 5651 trafik bilgisi saklama, vergi mevzuatı, basın özgürlüğü ve kamu yararı meşru sebepleri silme istisnası oluşturabilir. Bu durumda gerekçeli ret yanıtı yeterlidir. Haber arşivinin tamamen silinmesi talebi 'unutulma hakkı' Yargıtay HGK 2014/56 E. kararı çerçevesinde değerlendirilir.

Q: KVKK ihlal cezası ne kadar? A: 2026 yılı için KVKK m.18 idari para cezaları yeniden değerleme oranıyla güncellenmiştir. Aydınlatma yükümlülüğüne aykırılık 68.083 TL - 1.362.021 TL arası, veri güvenliği yükümlülüğüne aykırılık 204.285 TL - 13.620.402 TL arası, KVK Kurulu kararına uymama 340.476 TL - 13.620.402 TL arası, VERBİS yükümlülüğüne aykırılık 272.380 TL - 13.620.402 TL arası para cezası getirir. Cezalar veri sorumlusu tüzel kişiye uygulanır; yöneticiler ayrıca TCK m.135-140 kişisel verilere ilişkin suçlardan cezai sorumlu tutulabilir.

Q: Newsletter abonelik formunda hangi metinler bulunmalı? A: Üç katman zorunludur: 1) KVKK m.10 kısa aydınlatma metni (veri sorumlusu kim, hangi veri, ne amaçla, ne kadar saklanır, hangi haklar var), 2) Ticari Elektronik İleti Yönetmeliği m.6 kapsamında ticari elektronik ileti (TEİ) onayı (ayrı checkbox, ön işaretli olamaz), 3) İYS (İleti Yönetim Sistemi) kaydı için onay verisi (3 iş günü içinde İYS'ye yüklenir). Tek bir checkbox ile hem KVKK rıza hem TEİ onayı toplama yöntemi 'paket rıza' yasağına aykırıdır ve geçersizdir.

Sonuç ve Öneriler#

KVKK uyumu, 30 yıl tecrübemde gördüğüm üzere, bir defalık metin yazma değil; teknoloji + süreç + sözleşme + insan eğitimi + sürekli mevzuat takibi pilarlarını dengeleyen bir mimari kararıdır. Haber siteleri açısından özellikle 2022 sonrası KVK Kurulu kararları, 2024 yurt dışı aktarım reformu ve 2026 idari para cezası güncellemeleri risk eşiğini ciddi şekilde yükseltmiştir.

Hızlı karar matrisi:

1. Yeni portal kuruyorum → KVKK + 5651 native CMS seçimi (uyum yükü %85 düşer)
2. Mevcut portal sahibiyim, uyum boşluğu var → öncelik sırası: çerez bannerı → aydınlatma metni → standart sözleşme → VERBİS değerlendirme
3. VERBİS eşiği üzerindeyim → 6-8 haftalık envanter projesi başlat
4. Yurt dışı SaaS kullanıyorum → 30 gün içinde standart sözleşme imzala + Kuruma bildir

Sonraki adımlar:

• Özellikler — KVKK Native Modüller — aydınlatma motoru, çerez yönetim, VERBİS envanter
• Karşılaştırma — Geleneksel CMS vs KVKK Native — uyum yük farkı
• Demo talep et — 30 dakikalık birebir KVKK uyum değerlendirme
• Fiyatlandırma — Starter, Pro, Pro+, Enterprise T1/T2 + Pro Pilot tarifesi (₺30K/ay, yıllık peşin 12 ay sabit + %15 indirim)

İlgili Makaleler#

• Haber Sitesi Yazılımı 2026 Rehberi — AI-native vs geleneksel CMS karşılaştırma
• AI Haber Yazımı Nasıl Çalışır? — pipeline, kalite kontrol, halüsinasyon önleme
• SEO Uyumlu Haber CMS Seçimi — teknik SEO + Core Web Vitals
• JSON-LD Haber Sitesi Önemi Rehberi — 22+ @type detayları
• Haber Portal Açmak İsteyenler İçin Tam Rehber — sıfırdan kuruluma adım-adım
• Haber Sitesi Monetizasyon Yöntemleri 2026 — KVKK uyumlu reklam ve abonelik modelleri
• Özellikler — Haberlendin CMS — 22+ feature kataloğu
• Fiyatlandırma — Pilot, Pro, Enterprise

Resmi Kaynaklar (External References)#

• Kişisel Verileri Koruma Kurumu — kvkk.gov.tr — Resmi mevzuat, kararlar, rehberler
• VERBİS Portalı — verbis.kvkk.gov.tr — Sicil kayıt ve sorgulama
• 6698 Sayılı KVKK Tam Metin — kanunum.com — Kanun metni ve içtihat
• BTK — btk.gov.tr — 5651 sayılı Kanun uygulamaları
• Resmi Gazete — resmigazete.gov.tr — Yönetmelik ve karar yayınları

Bu rehber Kağan Onaran (Lead Architect, K-On Tech) tarafından K-On Tech hukuk ekibinin 30 yıllık KVKK + 5651 + Mesafeli Satış uygulama tecrübesi ile 2026 Mayıs ayında yayınlandı; KVKK ve 5651 mevzuatı sürekli evrildiği için makale 6 aylık aralıklarla güncellenmektedir. Bu metin genel bilgilendirme amaçlıdır; somut bir olay için mutlaka bir hukuk müşaviri ile görüşünüz.