Üyelik ve Sipariş Formlarında Hangi Veriler İstenebilir? Veri Minimizasyonu

Formdaki Her Alan Bir Taahhüttür

Bir e-ticaret sitesinin üyelik formu çoğu zaman yıllar içinde büyür. Pazarlama ekibi doğum günü kampanyası için doğum tarihini, kişiselleştirme için cinsiyeti, muhasebe “ileride lazım olur” diyerek T.C. kimlik numarasını ekletir. Sonunda müşteri bir tişört almak için on beş alan dolduran, her alanın zorunlu işaretlendiği bir formla karşılaşır.

Üyelik formu KVKK uyumunun en görünür parçasıdır ve veri minimizasyonu ilkesinin doğrudan uygulandığı yerdir. Bu rehberde veri minimizasyonu ilkesini, zorunlu ve isteğe bağlı alanların nasıl ayrılacağını, doğum tarihi, cinsiyet ve TCKN sorununu, misafir alışveriş seçeneğini ve form metinleri ile onay kutularının nasıl kurgulanacağını ele alıyoruz. Sonda mevcut formlarınızı denetlemeniz için bir kontrol listesi bulacaksınız.

Veri minimizasyonu ilkesi

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 4. maddesi, kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesini ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Avrupa Birliği mevzuatında “veri minimizasyonu” olarak adlandırılan bu ilke, KVKK'da “sınırlı ve ölçülü olma” ifadesiyle karşılık bulur.

Form tasarımında ilkenin anlamı basittir: her alan bir amaca bağlanabilmeli ve o amaç için gerçekten gerekli olmalıdır. “İleride kullanabiliriz” ya da “rakiplerimiz de soruyor” bir amaç değildir. Bir alan sipariş için gerekli değilse ya formdan çıkarılmalı ya da açıkça isteğe bağlı hâle getirilmelidir.

Kişisel Verileri Koruma Kurulu'nun 17.02.2022 tarihli ve 2022/137 sayılı karar özeti bu yaklaşımın somut bir örneğidir. Kurul, online bir alışveriş sitesine üyelik için T.C. kimlik numarası ve senetli alışveriş için e-Devlet şifresi alınmasını incelemiş; alınan verilerin sözleşmenin gerektirdiği nitelikteki verileri aştığını ve hizmetin bu verilere bağlanmasının kişiye gerçek bir seçim hakkı tanımadığını değerlendirmiştir.

Minimizasyonun güvenlik tarafı da vardır: toplanmayan veri sızdırılamaz. Bir veri ihlalinde etkilenen veri kategorileri ne kadar azsa, ilgili kişilere ve Kurul'a yapılacak bildirimin kapsamı ve itibar riski de o kadar sınırlı kalır.

Zorunlu ve isteğe bağlı alanlar

Alanları ayırırken her birinin hangi işlem için gerektiğini sormak yeterlidir. Aşağıdaki tablo, tipik bir e-ticaret sitesi için başlangıç önerisidir; satılan ürüne ve iş modeline göre uyarlanmalıdır.

Önemli bir ayrım da üyelik ile sipariş arasındadır. Üyelik anında teslimat adresi veya telefon istemek gerekmez; bu bilgiler ilk sipariş verilirken alınabilir. Formu adımlara bölmek hem veri toplama anını amaca yaklaştırır hem de dönüşüm oranını olumsuz etkileyen uzun formların önüne geçer.

İsteğe bağlı alanlar formda gerçekten isteğe bağlı görünmelidir: zorunlu alanlar işaretlenir, isteğe bağlı alanlar “isteğe bağlı” notuyla gösterilir ve boş bırakıldığında form hata vermez. Kurum'un bir denetiminde en hızlı fark edilen eksiklerden biri, aydınlatma metninde “isteğe bağlı” denilen bir alanın formda zorunlu olmasıdır.

Üyelik ve Sipariş Formu Alanları

Doğum tarihi, cinsiyet ve TCKN sorunu

Doğum tarihi: Doğum tarihi en sık “doğum günü indirimi” gerekçesiyle istenir. Bu bir pazarlama amacıdır ve sipariş için gerekli değildir; bu nedenle zorunlu alan olmamalı, kampanya iletişimine ilişkin izinle birlikte isteğe bağlı olarak sorulmalıdır. Kampanya için tam doğum tarihi yerine yalnızca gün ve ay istemek de ölçülülüğe daha uygundur. Satılan ürün için mevzuattan doğan bir yaş sınırı varsa, yaş doğrulamasının hangi yöntemle yapılacağı ayrıca değerlendirilmelidir.

Cinsiyet: Cinsiyet bilgisi çoğu zaman yalnızca ürün önerisi veya hitap biçimi için istenir. Bu amaçlar için zorunlu bir alan gerekmez; kişiselleştirme, kullanıcının gezinme tercihleriyle veya isteğe bağlı bir tercih alanıyla sağlanabilir.

T.C. kimlik numarası: TCKN, tek başına kişiyi kesin biçimde tanımlayan ve kötüye kullanıldığında dolandırıcılık riskini artıran bir veridir. Kurul'un yukarıda anılan 2022/137 sayılı kararı, üyelik için TCKN istenmesini ölçüsüz bulmuştur. TCKN yalnızca belirli bir yasal yükümlülük doğuran işlemde ve o işlemle sınırlı olarak istenmelidir; örneğin fatura düzenleme kurallarının, yurt dışından gönderimde gümrük işlemlerinin veya belirli ürün gruplarına özgü düzenlemelerin gerektirdiği durumlar. Hangi işlemde gerçekten zorunlu olduğu, mali müşavir ve hukuk danışmanıyla teyit edilmelidir. Zorunluluk yoksa alan kaldırılmalı ya da açıkça isteğe bağlı bırakılmalıdır.

Kimlik belgesinin kopyasını istemek ise TCKN'den de ileri gider. Konaklama sektöründe kimlik fotokopisi alınmasına ilişkin düzenlemeyi otellerde kimlik fotokopisi yasağı yazımızda ele almıştık; e-ticarette de kimlik görüntüsü istemek, ancak açık bir yasal dayanakla mümkün olmalıdır.

Fatura ve vergi mevzuatı kapsamında nihai tüketiciden TCKN alınmasının hangi hâllerde zorunlu olduğu, güncel vergi düzenlemeleri ve Gelir İdaresi uygulaması dikkate alınarak değerlendirilmelidir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Misafir alışveriş seçeneği

Misafir alışveriş, müşterinin hesap oluşturmadan yalnızca siparişin gerektirdiği bilgilerle alışveriş yapmasıdır. KVKK'da açık bir “misafir alışveriş zorunluluğu” yoktur; ancak bu seçenek veri minimizasyonunun en etkili uygulamalarından biridir. Kalıcı bir hesap açmak istemeyen müşterinin verisi, hesap ve tercih bilgileri olmadan yalnızca sipariş için işlenir.

Misafir alışverişte dikkat edilmesi gerekenler:

Gizli üyelik oluşturmamak: Misafir siparişinden sonra müşterinin bilgisi olmadan otomatik bir hesap açılmamalıdır. Hesap açılması öneriliyorsa, sipariş sonrasında tek tıkla ve isteğe bağlı olarak sunulmalıdır.

Pazarlama listesine eklememek: Misafir müşterinin e-posta adresi, ayrı bir ileti onayı vermedikçe kampanya listesine eklenmemelidir. Terk edilmiş sepet hatırlatmaları açısından bu ayrımı terk edilmiş sepet hatırlatması yazımızda inceledik.

Saklama süresini ayırmak: Misafir siparişine ait veriler, fatura ve tüketici mevzuatındaki saklama yükümlülüklerine tabidir; ancak hesap verisi olmadığı için bu süre sonunda tamamen imha edilebilir.

Sipariş takibi: Misafir müşterinin sipariş durumunu görmesi, hesap yerine sipariş numarası ve e-posta doğrulamasıyla sağlanabilir.

Form metinleri ve onay kutuları

Formun hemen altında yer alan metinler ve kutular, KVKK uyumunun en sık hata yapılan kısmıdır. Doğru kurgu dört ayrı unsurdan oluşur:

Aydınlatma metni bağlantısı: Aydınlatma bir bilgilendirmedir ve onaylanmaz. Formun yanında “Kişisel verilerinizin işlenmesine ilişkin aydınlatma metnini okumak için tıklayın” gibi bir bağlantı yeterlidir; “Aydınlatma metnini okudum, onaylıyorum” kutusu gereksizdir ve aydınlatmayı rızayla karıştırır.

Üyelik sözleşmesi ve mesafeli satış metinleri: Sözleşmenin kurulmasına ilişkin onaylar, kişisel veri rızasından ayrı tutulur.

Ticari elektronik ileti onayı: SMS, e-posta ve arama izni ayrı, önceden işaretlenmemiş bir kutuyla alınır; üyeliğin veya siparişin şartı yapılmaz. Onaylar İleti Yönetim Sistemi'ne (İYS) iletilir.

Açık rıza gerektiren işlemler: Yalnızca başka hukuki sebebe dayanmayan işlemler (ör. belirli profilleme veya yurt dışı aktarım senaryoları) için ayrı, işaretsiz ve konuya özgü bir rıza kutusu kullanılır.

Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı, aydınlatma ve açık rıza metinlerinin ayrı ayrı düzenlenmesi gerektiğini vurgular. Bu ayrımın uygulamadaki karşılığını aydınlatma ile açık rızayı karıştıran şirketler yazımızda, İYS onaylarının nasıl yönetileceğini ise İYS onayı olmadan gönderilen iletiler yazımızda anlattık.

Form metinlerinde dil de önemlidir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, aydınlatmanın anlaşılır, açık ve sade bir dille yapılmasını ister. Bir mobil ekranda okunamayacak kadar uzun, hukuki terimlerle dolu bir metin bu şartı karşılamaz; katmanlı aydınlatma (kısa özet ve ayrıntılı metne bağlantı) iyi bir çözümdür.

Form denetim listesi

Sitenizdeki her formu (üyelik, sipariş, iletişim, bülten, iade talebi) aşağıdaki sorularla denetleyin:

Bu liste, kapsamlı bir uyum denetiminin yerini tutmaz; ancak en görünür riskleri hızla ortaya çıkarır. Formların bir KVKK denetiminde nasıl incelendiğini KVKK denetimi neleri kapsar yazımızda özetledik.

Form Denetim Listesi

Sonuç ve Sonraki Adım

Üyelik formu KVKK açısından küçük bir ekran ama büyük bir taahhüttür: formda istenen her veri, aydınlatma metninde açıklanmayı, güvenle saklanmayı ve süresi gelince imha edilmeyi gerektirir. Zorunlu alanları sözleşme ve yasal yükümlülükle sınırlamak, doğum tarihi, cinsiyet ve TCKN'yi gerekçesiz istememek, misafir alışveriş sunmak ve onay kutularını ayrıştırmak, veri minimizasyonunu somut hâle getirir.

Formlarınızı denetim listesine göre gözden geçirdikten sonra bulduğunuz açıkları önceliklendirmek için e-ticaret departmanı için KVKK sayfamızı inceleyebilir, ücretsiz ön görüşme için 444 4 908'i arayabilirsiniz. Bağımsız bir değerlendirme isterseniz KVKK denetimi hizmetimize göz atabilirsiniz.

Sık Sorulan Sorular