Bir derneğin ya da vakfın web sitesini yönetiyorsanız bu cümleyi büyük ihtimalle duymuşsunuzdur: “Biz kâr amacı gütmüyoruz, KVKK bizi o kadar bağlamıyor.” Bu yanlış anlaşılmanın kaynağı gerçek bir karar. Ama kararın kapsamı, sanıldığından çok daha dar. Bu yazıda neyin muaf olduğunu, neyin olmadığını ve sitenizde bugün neyi düzeltmeniz gerektiğini, Eylül 2026 itibarıyla geçerli mevzuata göre anlatıyoruz.
Muafiyet sanılan şey: VERBİS kayıt istisnası
Kişisel Verileri Koruma Kurulu, 2018/32 sayılı kararıyla dernek, vakıf ve sendikaları Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) kayıt olma yükümlülüğünden istisna tuttu. Kurul bu istisnayı 9 Mayıs 2020’de daralttı. Bugünkü hâliyle istisna yalnızca şu kuruluşlara uygulanıyor:
- Türkiye’de yerleşik olan,
- kişisel veriyi ilgili mevzuata ve kendi amaçlarına uygun işleyen,
- veri işlemesini faaliyet alanıyla sınırlı tutan dernek, vakıf ve sendikalar.
Kurum ayrıca dernek, vakıf ve sendikalara ait iktisadi işletmelerin bu istisnadan yararlanamayacağını ayrı bir duyuruyla açıkladı. Bağış mağazası işleten, ücretli eğitim ya da etkinlik satan, ürün satışı yapan bir kuruluşun iktisadi işletmesi VERBİS’e kaydolmak zorunda.
KVKK’nın gerçek istisnaları çerezleri kapsıyor mu?
KVKK’nın 28. maddesi, Kanun’un hiç uygulanmadığı ya da kısmen uygulandığı durumları sayar. Bu istisnalar kurum türüne göre değil, faaliyetin niteliğine göre tanımlanır. Örneğin kişinin yalnızca kendisi ve aile fertleri için yaptığı işlemler, resmi istatistik amacıyla anonimleştirilmiş veriler, sanat, tarih ve bilimsel araştırma amaçlı işlemeler ya da yargı ve infaz işlemleri bu kapsamdadır.
Bir derneğin web sitesinin ziyaretçileri Google Analytics ile ölçmesi, Meta Pixel ile reklam kitlesi oluşturması ya da YouTube videosu gömmesi bu istisnaların hiçbirine girmez. Kanun’un idari para cezası hükümleri de “gerçek ve tüzel kişiler” için geçerlidir. Dernek ve vakıflar tüzel kişidir.
Dernek ve vakıf sitesinde geçerli çerez kuralları
| Konu | Ne yapmanız gerekiyor? |
|---|---|
| Zorunlu çerezler | Oturum, güvenlik, form ve bağış akışı gibi sitenin çalışması için şart olan çerezler rıza gerektirmez. Yine de çerez politikasında anlatılmalıdır. |
| Analitik ve pazarlama çerezleri | Google Analytics, Meta Pixel, reklam etiketleri ve gömülü video gibi servisler önceden açık rıza gerektirir. Rıza gelmeden bu betikler yüklenmemelidir. |
| Banner tasarımı | “Kabul et”, “Reddet” ve “Tercihler” butonları renk, boyut ve punto bakımından eşit ağırlıkta sunulmalıdır. Kutular önceden işaretli olmamalıdır. |
| Örtülü onay | “Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız” ifadesi geçerli bir açık rıza değildir. |
| Aydınlatma | Aydınlatma metni ve çerez politikası ayrı olmalı, açık rıza metninin içine gömülmemelidir. |
| Yurt dışına aktarım | Google ve Meta servisleri veriyi yurt dışına aktarır. Kurul yeterlilik kararı yoksa uygun güvence gerekir. Standart sözleşme kullanıldıysa imzadan itibaren 5 iş günü içinde Kurum’a bildirilmelidir. |
| Rızanın geri alınması | Ziyaretçi verdiği rızayı aynı kolaylıkla geri alabilmelidir. Sitede kalıcı bir “Çerez tercihleri” bağlantısı bulunmalıdır. |
Dernek ve vakıflar neden daha hassas bir konumda?
KVKK’nın 6. maddesi dernek, vakıf ya da sendika üyeliğini özel nitelikli kişisel veriler arasında sayar. Sağlık, din, siyasi düşünce ve felsefi inanç da aynı listededir. Bu, bir STK sitesindeki takip kodunun ticari bir siteye göre daha ağır sonuç doğurabileceği anlamına gelir.
Somut bir örnek düşünün. “Üye ol” ya da “Bağış yap” sayfanızda bir reklam pikseli çalışıyorsa, o sayfayı ziyaret eden kişinin sizin kuruluşunuzla ilişkisi reklam ağına bir sinyal olarak gider. Kuruluşunuz sağlık, inanç ya da siyasi görüş alanında çalışıyorsa bu sinyal, kişinin en hassas bilgilerinden birini dolaylı yoldan açığa çıkarabilir.
Sitenizi uyumlu hâle getirmek için 4 adım
Bu adımların en çok zorlayanı genellikle ikincisidir. Çoğu çerez banner’ı görünüşte onay ister ama Google Analytics ya da reklam etiketi, ziyaretçi daha karar vermeden yüklenmiş olur. Uyum, banner’ın görünmesiyle değil, betiklerin gerçekten beklemesiyle sağlanır.
Dernek ya da vakıf sitenizde çerez uyumunu tek eklentiyle kurun.
Websel Çerez Pro; eşit ağırlıklı Kabul et ve Reddet banner’ı, onay gelene kadar kilitli kalan betikler, otomatik çerez taraması, hazır KVKK çerez politikası ve onay kayıtlarıyla WordPress sitenizi uyumlu hâle getirir.
Sıkça Sorulan Sorular
Dernek ve vakıflar KVKK çerez kurallarından muaf mı?
Hayır. KVKK’da kurum türüne dayalı bir çerez muafiyeti yoktur. Web sitesinde analitik veya pazarlama çerezi kullanan dernek ve vakıflar, bu çerezler için önceden açık rıza almak ve aydınlatma yükümlülüğünü yerine getirmek zorundadır.
Derneğimiz VERBİS’e kayıt olmak zorunda değil. Bu çerez yükümlülüğünü de kaldırır mı?
Hayır. VERBİS istisnası yalnızca sicile kayıt olma yükümlülüğünü kaldırır. Aydınlatma, açık rıza, veri güvenliği ve yurt dışına aktarım yükümlülükleri aynen devam eder.
İktisadi işletmesi olan vakıf VERBİS istisnasından yararlanabilir mi?
Hayır. Kurum, dernek, vakıf ve sendikalara ait iktisadi işletmelerin VERBİS kayıt istisnasından yararlanamayacağını açıklamıştır. İktisadi işletmenin kişisel veri işleme faaliyetleri VERBİS’e kaydedilmelidir.
Zorunlu çerezler için de onay almam gerekir mi?
Sitenin çalışması için kesinlikle gerekli olan oturum, güvenlik ve form çerezleri için açık rıza gerekmez. Ancak bu çerezler de çerez politikasında ziyaretçiye anlatılmalıdır.
Google Analytics kullanan bir dernek sitesi neye dikkat etmeli?
Analytics betiği ziyaretçi onay verene kadar yüklenmemelidir. Veri yurt dışına aktarıldığı için uygun güvence sağlanmalı, standart sözleşme kullanıldıysa imzadan itibaren 5 iş günü içinde Kurum’a bildirilmelidir. Üyelik ve bağış sayfalarında ek dikkat gerekir, çünkü dernek ve vakıf üyeliği özel nitelikli kişisel veridir.
Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kendi durumunuza özel yükümlülükler için ilgili mevzuatın güncel metnini ve gerekiyorsa bir hukuk danışmanının görüşünü esas alın. Kaynaklar: 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanun ile yapılan 2024 değişiklikleri dahil), Kişisel Verileri Koruma Kurulu’nun 2018/32 sayılı kararı ve 9 Mayıs 2020 tarihli değişikliği, KVKK duyurusu “Dernek, Vakıf ve Sendikalara Ait İktisadi İşletmelerin VERBİS’e Kayıt Yükümlülüğü Hakkında”, KVKK Çerez Uygulamaları Hakkında Rehber. Yazı 18 Eylül 2026 itibarıyla geçerli mevzuata göre hazırlanmıştır.