SMMM İletişim Formu ve KVKK: Aydınlatma Neleri Kapsar?

Bir SMMM bürosunun sitesindeki iletişim formu ad, telefon ya da e-posta ve kısa bir konu satırıyla sınırlı kalmalı; formun hemen yanında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 10. maddesindeki beş bilgiyi taşıyan bir aydınlatma metni durmalıdır. Bu verinin sorumlusu büronun kendisidir. Vergi kimlik numarası, beyanname, bordro ya da e-defter dosyası iletişim formundan alınmaz: bunlar mükellefle sözleşme kurulduktan sonra, ayrı bir aydınlatmayla ve şifreyle korunan bir kanaldan işlenir. Aydınlatma metni de "verileriniz yasal amaçlarla işlenebilir" gibi genel bir cümle değil, formun gerçekte ne yaptığını anlatan sade bir metin olmalıdır.

Metin, büro sitesinin teknik ve hukuki kurulumunu anlatır; mükellef bulmak, büroyu tanıtmak ya da arama sonuçlarında öne çıkarmak konumuz değildir. Burada aktarılan maddeler 2 Kasım 2026'da Resmî Gazete ve Mevzuat Bilgi Sistemi'ndeki metinlerden okundu. Hukuki görüş yerine geçmez; tereddüt ettiğiniz noktada kayıtlı olduğunuz odaya ya da bir veri koruma hukukçusuna danışın.

İletişim talebi ile mükellef dosyası aynı şey değildir

Muhasebe bürosunda kişisel veri iki ayrı kapıdan girer. Birincisi sitedeki form: henüz müşteri olmamış biri adını, telefonunu ve "şirket kuruluşu için görüşmek istiyorum" gibi bir cümleyi bırakır. İkincisi sözleşmeden sonraki dosya: kimlik ve vergi numarası, banka hesap hareketleri, çalışan bordroları, kira sözleşmeleri, e-fatura ve e-defter kayıtları.

İki kapının amacı, hukuki sebebi ve saklama süresi farklıdır. Sorun, ikisi aynı formda birleştirildiğinde başlar. "Hızlansın" diye forma vergi numarası ya da belge yükleme alanı eklendiğinde, büro henüz bir sözleşme ilişkisi kurmadığı bir kişiden ikinci kapının verisini almış olur; üstelik bu veri, büronun belge düzeninde değil, formun e-posta bildiriminde ve form servisinin sunucusunda durur.

Bu yüzden kurulumdaki ilk karar teknik değil, sınırla ilgilidir: form yalnızca görüşme talebini alır, mükellef dosyası başka bir yoldan gelir. Mali müşavir web sitesi kurulumunda formu bu ayrıma göre kurmamızın nedeni de budur.

Veri sorumlusu kim: serbest büro, ortaklık, mesleki şirket

Kanun'un 3. maddesi veri sorumlusunu "kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi" olarak tanımlar. Formda hangi alanın olacağına, iletinin kime düşeceğine ve ne kadar tutulacağına karar veren taraf bürodur.

Büronun hukuki biçimi bu cümlenin öznesini değiştirir:

• Serbest çalışan bir SMMM'de veri sorumlusu meslek mensubunun kendisidir; aydınlatma metninde adı, unvanı ve büro adresi yazılır.
• Mesleki şirkette tüzel kişilik veri sorumlusudur; metinde tescilli unvan ve adres yer alır.
• Ortaklık bürolarında kimin veri sorumlusu olarak yazılacağı ortaklığın hukuki yapısına bağlıdır. Bunu sözleşmeyi bilen bir hukukçuyla netleştirmek, metni sonradan değiştirmekten kolaydır.

Siteyi kuran ajans, form servisi ve barındırma sağlayıcısı ise büronun verdiği yetkiyle ve onun adına veri işleyen konumundadır. Kanun'un 12. maddesi veri sorumlusunu, verinin kendi adına başkası tarafından işlendiği durumda güvenlik tedbirleri bakımından bu kişilerle "müştereken sorumlu" tutar. Yani "formu ajans kurdu" demek büronun yükünü taşımaz; büro hangi hizmeti kullandığını bilmek zorundadır.

Avukat bürolarında mesleki sır kuralı formu daha da daraltır; bu ayrımı avukat sitesindeki KVKK bölümü için ayrıca yazdık; muhasebe bürosunu ayıran nokta, iletişim talebinin kısa sürede yoğun bir mali veri akışına dönüşmesidir.

Formda hangi alan olmalı, hangisi olmamalı?

Kanun'un 4. maddesi verinin "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmasını şart koşar. İletişim formunun amacı geri dönüş yapmaktır; alan listesi bu amaçtan türetilir.

Serbest metin kutusu en zor alandır. Ziyaretçi "geçen yılki beyannamemde şu hata var" diye başlayıp rakam, isim ve kimlik numarası yazabilir. Kutuyu kaldırmak bir seçenektir; kaldırılmıyorsa kısa tutmak ve hemen altına uyarı koymak gerekir. Uyarı veri girişini tamamen engellemez, ama büronun en az veriyle çalışmayı amaçladığını belgeler.

Aynı ölçülülük sorusu başka mesleklerde başka alanlarda düğümlenir. Sigorta acentelerinde tartışma kimlik numarası ve sağlık bilgisi etrafında döner; sigorta teklif formundaki veri alanları branş branş bu ayrımı yapıyor. Muhasebe bürosunda ise hassas olan, mali durumun kendisidir.

Aydınlatma metninin beş başlığı bir SMMM formunda nasıl dolar?

Kanun'un 10. maddesine göre aydınlatma beş konuyu kapsar. Başlıkları ezberlemek kolaydır; zor olan, her birini formun gerçek davranışıyla doldurmaktır.

Kişisel Verileri Koruma Kurumu'nun Aydınlatma Yükümlülüğü Tebliği bu başlıkların nasıl yazılacağını da düzenler. Tebliğ'in 5. maddesi işleme amacının "belirli, açık ve meşru" olmasını ister ve "genel nitelikte ve muğlak ifadelere" yer verilmemesini söyler. "Faaliyetlerimizin yürütülmesi" ya da "yasal yükümlülüklerimiz" gibi her şeyi kapsayan cümleler bu yüzden yetersiz kalır.

Aynı maddeye göre hukuki sebep de açıkça yazılır; Tebliğ "hukuki sebep" ile Kanun'un 5. ve 6. maddelerindeki işleme şartlarından hangisine dayanıldığını kasteder. Bir iletişim talebi için hangi şartın seçileceği büronun değerlendirmesidir; sözleşmenin kurulmasıyla doğrudan ilgili işleme (md. 5/2-c) ve meşru menfaat (md. 5/2-f) bu bağlamda tartışılan iki seçenektir. Seçim yapıldıktan sonra metin o şartın adını taşır, "ilgili mevzuat" gibi bir genellemeyi değil.

Metin formun neresinde durur, onay kutusu ne işe yarar?

Aydınlatma, Kanun'un ifadesiyle verinin "elde edilmesi sırasında" yapılır. Pratikte bunun anlamı, metnin gönder düğmesine basılmadan önce görülebilmesidir: formun hemen üstünde iki üç satırlık bir özet ve tam metne giden bağlantı. Sayfanın en altındaki genel bir bağlantı, formu dolduran kişinin o anda metne ulaştığını göstermekte zayıf kalır.

Tebliğ üç kuralı daha koyar:

1. Aydınlatma, ilgili kişinin talebine bağlı değildir; "isteyene gönderilir" denemez.
2. Aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır.
3. İşleme açık rızaya dayanıyorsa aydınlatma ve açık rıza "ayrı ayrı" yerine getirilir.

İspat kuralı küçük bir teknik alışkanlık gerektirir: aydınlatma metninin hangi tarihte hangi sürümünün yayında olduğunu kayıt altında tutmak. Metin değiştiğinde eski sürüm silinmez, tarihiyle arşivlenir.

Onay kutusu ise kolayca yanlış yerde kullanılır. "Aydınlatma metnini okudum, onaylıyorum" kutusu aydınlatmanın yerine geçmez; bilgi verilmiş olması, kişinin bir şeyi onaylamasını gerektirmez. Talebe dönmek için açık rızaya dayanılmıyorsa kutuya gerek olmayabilir. Ayrı bir amaç için, örneğin büronun mevzuat duyurularını e-postayla göndermek için izin isteniyorsa, o izin ayrı ve işaretlenmemiş bir kutuyla, aydınlatmadan bağımsız istenir. Sitede sohbet robotu da varsa, chatbot için aydınlatma ve rıza ayrımı robotun ilk mesajına da taşınmalıdır.

Talep sözleşmeye dönüşünce aydınlatma yeniden yapılır

Ön görüşme olumlu geçti ve sözleşme imzalandı. Büro artık iletişim talebinin amacının çok ötesinde veri işleyecek: mükellefin kimlik ve vergi bilgileri, gelir ve gider belgeleri, banka hareketleri. Tebliğ'in 5. maddesi bu anı doğrudan düzenler: işleme amacı değiştiğinde, veri işleme faaliyetinden önce bu amaç için aydınlatma "ayrıca" yapılır.

Bu yüzden sitedeki form metni, mükellef ilişkisinin aydınlatmasını üstlenmeye çalışmamalıdır. Sözleşme aşamasında mükellefe ayrı bir metin verilir; bu metin hangi belgelerin hangi amaçla işlendiğini, verinin hangi kurumlara ve hizmet sağlayıcılara aktarıldığını ve ne kadar saklandığını söyler. Formun metni kısa kalır, sözleşme metni ayrıntılı olur.

İkinci bir durum mükellefin çalışanlarıdır. Bordro hazırlayan büro, çalışanların verisini çalışandan değil işverenden alır. Tebliğ'in 6. maddesi, verinin ilgili kişiden elde edilmediği durumda aydınlatmanın ne zaman yapılacağını sayar: veri elde edildikten sonra makul bir süre içinde, veri iletişim için kullanılacaksa ilk iletişimde, aktarılacaksa en geç ilk aktarımda. Çalışanı kimin aydınlatacağı, büro ile mükellef arasındaki rol paylaşımına bağlıdır ve hizmet sözleşmesinde yazılması gereken konulardan biridir.

Belge akışının kendisi de bu aşamada kurulur. Beyanname hazırlığı ve belge sınıflandırmasında yapay zekâ araçları kullanılacaksa, mali müşavirler için otomasyon seçenekleri değerlendirilirken aracın belgeleri hangi sunucuda işlediği, aydınlatma metnindeki alıcı gruplarıyla birlikte düşünülmelidir.

Müşteri girişi alanı: 22. maddenin şifreli "sanal ofis" cümlesi

TÜRMOB'un SMMM ve YMM haksız rekabet yönetmeliği, internet sitesi hükmünde bir müşteri alanını açıkça öngörür. Yönetmeliğin 22. maddesinin ikinci fıkrası şöyle der: meslek mensupları "İnternet sitesi üzerinden mesleki faaliyetini yürütürken, mesleğin ilke ve kurallarına, meslek unvanlarının gerektirdiği saygı ve güvene aykırı olmamak şartı ve gerekli güvenlik tedbirlerini alarak sır saklama yükümlülüğüne uygun davranmak kaydı ile internetin kendine özgü araçlarını ve sadece ilgili kişinin ulaşabileceği, şifre-algoritma ile korunan internet sitesinin geri planında kişiselleştirilmiş sanal ofis benzeri uygulamaları kullanabilir. Bu uygulamalar ilgilisinin dışındakilerin kullanımına açılamaz."

Bu cümlede üç şart var: güvenlik tedbiri, sır saklamaya uygunluk ve erişimin yalnızca ilgili kişiyle sınırlı olması. Kanun'un 12. maddesi de veri sorumlusundan hukuka aykırı erişimi önleyecek "teknik ve idari tedbirleri" ister. İkisi birlikte okunduğunda, mükellef belgesinin dolaştığı yer iletişim formu değil, bu şartları taşıyan bir alan olur.

Bu alanı sıfırdan yazmak gerekmez; kullanılan muhasebe ya da belge yönetim yazılımının müşteri portalı siteye bağlanabilir. Kurulum sırasında sorulacaklar şunlardır:

• Her mükellefin ayrı hesabı var mı, ortak bir şifre paylaşılıyor mu?
• Girişte ikinci bir doğrulama adımı açılabiliyor mu?
• Sözleşme bittiğinde hesap kapatılıyor ve belgeler kararlaştırılan sürede siliniyor mu?
• Portal hangi ülkedeki sunucuda çalışıyor, aydınlatma metni bunu söylüyor mu?
• Büroda kim hangi mükellefin klasörünü görebiliyor?

Portal yoksa, belgeleri e-posta ekinde düz dosya olarak almak yerine şifreli bir paylaşım bağlantısı kullanmak, aynı ilkeye daha yakın durur. Hangi yol seçilirse seçilsin, sitedeki iletişim formu bu alanın yerine kullanılmaz.

Form iletisinin yolculuğu ve saklama süresi

Gönder düğmesine basıldığında veri tek bir yerde kalmaz. Form servisinin panelinde bir kayıt oluşur, büronun e-posta kutusuna bir bildirim düşer, telefonda açılan posta uygulaması bir kopya tutar, yedekleme sistemi de bunu saklar. Aydınlatma metnindeki alıcı grupları bu yolculuğun haritası olmalıdır.

Kanun'un 4. maddesi verinin "işlendikleri amaç için gerekli olan süre kadar" muhafaza edilmesini, 7. maddesi de işleme sebebi ortadan kalktığında verinin resen ya da talep üzerine silinmesini, yok edilmesini veya anonim hâle getirilmesini ister. Sözleşmeye dönüşmeyen bir görüşme talebinin ne kadar tutulacağına büro karar verir; önemli olan bu sürenin yazılı olması ve gerçekten uygulanmasıdır. Form servisindeki kayıtların belirli aralıklarla temizlenmesi, takvime bağlanmazsa unutulmaya açıktır.

Talepleri bir müşteri takip sistemine aktarma kararı büronun hacmine ve KOBİ CRM eşiği sorusuna bağlıdır; izin alanları da o sistemde ayrı tutulur. Takip sistemi de aydınlatma metnine bir alıcı grubu olarak eklenir.

Kanun'un 12. maddesi ayrıca veri sorumlusu ve veri işleyenlerin öğrendikleri veriyi Kanun'a aykırı biçimde açıklayamayacağını ve amaç dışında kullanamayacağını, bu yükümlülüğün görevden ayrıldıktan sonra da sürdüğünü söyler. Formdan gelen iletinin büro içinde kimlere iletildiği bu yüzden bir yetki listesine bağlanmalıdır.

Sicil kaydı sorusu: Kanun ne diyor, istisna nereden okunur?

Site kurulurken gündeme gelen sorulardan biri Veri Sorumluları Sicili'ne (VERBİS) kayıt zorunluluğudur. Kanun'un 16. maddesi kişisel veri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce sicile kaydolmasını şart koşar; aynı maddeye göre Kurul, verinin niteliği, sayısı, işlemenin kanundan kaynaklanması ya da üçüncü kişilere aktarılma durumu gibi objektif kriterlere bakarak bu zorunluluğa istisna getirebilir.

İstisnanın kimleri kapsadığı Kanun'da değil, Kurul kararlarında yazılıdır ve bu kararlar zaman içinde değiştirilmiştir. Bu yüzden büronun kayıt yükümlülüğü, ikinci el bir özetten değil Kurum'un güncel kararından kontrol edilmelidir. Kayıt yükümlülüğü varsa Tebliğ'in 5. maddesi, aydınlatma metninde verilen bilgilerin sicile bildirilen bilgilerle uyumlu olmasını ister; sitedeki metin ile sicil kaydı aynı alıcı gruplarını ve aynı amaçları anlatmalıdır.

Siteyi kuran ekiple yazılı olması gerekenler

Büro sitesini dışarıdan bir ekibe kurdurduğunda, form ve veri konusunu sözleşmeye taşımak sonradan doğacak belirsizliği azaltır. Asgari olarak şu satırlar yazılı olmalıdır:

• Form servisi hesabı ve e-posta hesapları büro adına açılır, ekip yalnızca yetkili kullanıcıdır.
• Ekip, büronun yazılı onayı olmadan forma alan, siteye takip betiği ya da üçüncü taraf eklenti eklemez.
• Veri işleyen sıfatıyla alınacak güvenlik tedbirleri ve bir ihlalde büroya bildirimin nasıl yapılacağı.
• İlişki bittiğinde erişim bilgilerinin ve yedeklerin teslimi.

Hesapların devri ayrıntılı bir konu; alan adı ve hesap devri sırasında neyin kimin adına kayıtlı kalacağı sözleşmeden önce netleşmelidir. Yayından sonraki güncellemelerin kim tarafından ve hangi onayla yapılacağı da bakım sözleşmesinin kapsamı belirlenirken karara bağlanır.

TÜRMOB yönetmeliğinin 23. maddesi, meslek mensubunun üçüncü kişilerin kendisi için reklam sayılabilecek eylemlerine izin vermemesini ister. Bu hüküm form konusundan ayrı görünse de aynı sözleşme satırına bağlanır: ekip, büro adına hiçbir metni, rozeti ya da bağlantıyı onay almadan yayına koymaz.

Yayına almadan önce formu sınamak

Metinler yazıldı, form kuruldu. Yayın öncesi on dakikalık bir deneme, kâğıt üzerindeki düzenin gerçekte çalışıp çalışmadığını gösterir:

1. Formu bir deneme adıyla doldurup gönderin; iletinin büronun e-posta kutusuna düştüğünü ve başka bir adrese kopya gitmediğini görün.
2. Form servisinin panelinde kaydın nerede durduğunu ve silme ayarının neye bağlı olduğunu kontrol edin.
3. Aydınlatma bağlantısının gönder düğmesinden önce göründüğünü telefon ekranında da doğrulayın.
4. Metindeki alıcı gruplarını, kullandığınız servislerin listesiyle karşılaştırın; listede olmayan bir servis varsa metin eksiktir.
5. Formda vergi numarası, belge yükleme ya da ayrıntılı serbest metin alanı kalmadığını görün.
6. Eski sitede çalışmaya devam eden ve unutulmuş bir form sayfası olup olmadığını arayın.
7. Aydınlatma metninin yayın tarihini ve sürümünü kayda geçirin.

Bu listeyi birlikte gözden geçirmek isterseniz bir ön görüşme planlayabiliriz; son karar, her zaman verinin sorumlusu olan büronundur.

Sıkça Sorulan Sorular

SMMM iletişim formunda hangi veri istenmeli?

Bir SMMM bürosunun iletişim formu ad soyad, telefon ya da e-postadan biri ve kısa bir konu seçimiyle yetinmelidir. 6698 sayılı Kanun'un 4. maddesi verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasını ister; formun amacı görüşme talebine geri dönmek olduğu için vergi kimlik numarası, ciro bilgisi, beyanname ya da belge yükleme alanı bu amaca gerekli değildir. Serbest metin kutusu kullanılıyorsa kısa tutulmalı ve altına mali bilgi ile belge yazılmaması gerektiğini söyleyen bir not konmalıdır.

Aydınlatma metni formun neresinde yer almalı?

Aydınlatma, Kanun'un 10. maddesine göre veri elde edilirken yapılır; bu yüzden metin, gönder düğmesine basılmadan önce görülebilecek bir yerde, formun hemen üstünde kısa bir özet ve tam metne giden bağlantı olarak durmalıdır. Sayfanın altındaki genel bir bağlantı bu işlevi zayıf karşılar. Aydınlatma Yükümlülüğü Tebliği ispat yükünü veri sorumlusuna verdiği için metnin hangi tarihte hangi sürümle yayımlandığı da kayıt altında tutulmalıdır.

Mükellef verisi formla alınırsa veri sorumlusu kim olur?

Veri sorumlusu, formda hangi alanların olacağına, iletinin kime ulaşacağına ve ne kadar saklanacağına karar veren büronun kendisidir: serbest çalışan meslek mensubu ya da mesleki şirketin tüzel kişiliği. Siteyi kuran ajans, form servisi ve barındırma sağlayıcısı büro adına veri işleyen konumundadır; Kanun'un 12. maddesi güvenlik tedbirleri bakımından büroyu bu kişilerle birlikte sorumlu tutar. Mükellef dosyasına ait veriler ise iletişim formundan değil, sözleşmeden sonra ayrı bir aydınlatmayla alınmalıdır.

Sitede müşteri girişi alanı olacaksa gizlilik nasıl sağlanır?

TÜRMOB'un haksız rekabet yönetmeliğinin 22. maddesi, meslek mensubunun yalnızca ilgili kişinin ulaşabileceği ve şifre-algoritma ile korunan sanal ofis benzeri uygulamalar kullanabileceğini, bunların ilgilisi dışındakilere açılamayacağını söyler. Bu yüzden her mükellefin ayrı hesabı olmalı, ortak şifre paylaşılmamalı, mümkünse ikinci doğrulama adımı açılmalı ve sözleşme bitince hesap kapatılmalıdır. Portalın hangi sunucuda çalıştığı ve büroda kimin hangi klasörü gördüğü de aydınlatma metniyle uyumlu olmalıdır.

İletişim formundan gelen talepte belge ve kimlik numarası istenebilir mi?

İletişim formu aşamasında belge ve kimlik numarası istemek önerilmez, çünkü görüşme talebine dönmek için bu verilere ihtiyaç yoktur ve Kanun ölçülülük ilkesini şart koşar. Kimlik ve vergi bilgileri, beyanname ya da bordro gibi belgeler sözleşme kurulduktan sonra istenir. Aydınlatma Yükümlülüğü Tebliği işleme amacı değiştiğinde aydınlatmanın ayrıca yapılmasını istediği için bu aşamada mükellefe ayrı bir metin verilir ve belgeler şifreyle korunan bir portal ya da şifreli paylaşım yoluyla alınır.