KVKK Çerez Politikası
Çerez konusu, KVKK uyumunda en çok yanlış yapılan alanlardan biri. İki uçta iki hata var: bir kesim hiç çerez bildirimi koymuyor, diğer kesim ise sitesine devasa bir onay bandı koyup her çerezi zorunluymuş gibi çalıştırmaya devam ediyor. İkisi de yanlış.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Önce temel soru: çerez kişisel veri midir?
Her çerez değil. Ayrım, çerezin kişiyi doğrudan veya dolaylı olarak belirlenebilir kılıp kılmadığına bakar.
- Oturum kimliği, dil tercihi, sepet içeriği gibi çerezler genellikle sitenin çalışması için gereklidir.
- Reklam kimliği, davranış takibi, çapraz site izleme yapan çerezler kişiyi profilleyebildiği için kişisel veri kapsamındadır.
Bu ayrım, bandın ne söylemesi gerektiğini de belirler.
Zorunlu çerez ile isteğe bağlı çerez
| Zorunlu (teknik) çerez | İsteğe bağlı çerez | |
|---|---|---|
| Örnek | Oturum, güvenlik, sepet, dil tercihi | Analitik, reklam, sosyal medya piksel |
| Olmazsa ne olur | Site çalışmaz | Site çalışır, ölçüm/reklam eksilir |
| Açık rıza gerekir mi | Hayır | Evet |
| Kullanıcı reddedebilir mi | Hayır (zaten hizmetin parçası) | Evet, ve reddetmek hizmeti engellememeli |
En sık hata burada: analitik ve reklam çerezlerini zorunlu kategoriye koymak. Google Analytics gibi araçlar çerez kullanır ve isteğe bağlı kategoridedir; onay alınmadan çalıştırılmamalıdır.
Çerez bandı ne zaman gerekir?
Siteniz yalnızca teknik çerez kullanıyorsa onay bandı gerekmez; çerez politikanızı yayınlamanız ve aydınlatma metninizde belirtmeniz yeterlidir.
Analitik, reklam veya sosyal medya çerezi kullanıyorsanız bandın üç şartı sağlaması gerekir:
- Onay alınmadan isteğe bağlı çerezler yüklenmemelidir. Band çıkarken piksel çoktan çalıştıysa onay anlamsızdır.
- Reddetmek en az kabul etmek kadar kolay olmalıdır. Sadece "Kabul et" butonu olan band geçerli bir onay üretmez.
- Ön işaretli kutucuk kullanılamaz. Onay kutuları varsayılan olarak boş gelmelidir.
Çerez politikasında bulunması gerekenler
- Hangi çerezleri kullandığınız, kategori bazında (zorunlu / analitik / reklam / işlevsel)
- Her kategorinin ne işe yaradığı
- Üçüncü taraf çerezler ve hangi sağlayıcılara ait oldukları
- Saklama süreleri
- Tarayıcıdan çerez silme/engelleme yolu
- Onayın nasıl geri alınacağı
- İlgili kişinin Kanun m.11 hakları ve başvuru kanalı
Üçüncü taraf listesi çoğu zaman eksik yazılır. Sitenizde bir video gömüsü, harita, sohbet widget'ı veya reklam kodu varsa bunlar da çerez bırakır ve politikada görünmelidir.
En sık yapılan 4 hata
- Bandı koyup çerezleri onay öncesi çalıştırmak. Teknik olarak en yaygın uyumsuzluk. Onay yönetimi kurulmadan konan band, uyum sağlamaz — yalnızca uyumluymuş gibi görünmenizi sağlar, ki bu daha kötüdür.
- "Siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz" ifadesi. Bu bir onay değildir; açık rıza aktif bir eylem gerektirir.
- Yalnızca "Kabul et" butonu koymak. Reddetme seçeneği aynı ekranda ve aynı kolaylıkta olmalıdır.
- Çerez politikasını aydınlatma metninin içine gömüp geçmek. İkisi farklı belgelerdir; çerez politikası kategori bazında ayrıntı ister.
Kendi sitemizde ne yaptık?
Bu sitede analitik olarak Cloudflare Web Analytics kullanıyoruz; çerez kullanmayan bir ölçüm yöntemi. Bu yüzden onay bandımız yok — çünkü onay gerektiren bir çerez çalıştırmıyoruz.
Bunu bir tavsiye olarak da söyleyebiliriz: çerezsiz bir analitik aracı seçmek, çerez uyumu probleminin büyük kısmını baştan ortadan kaldırır. Uyum sağlamanın en ucuz yolu, çoğu zaman yükümlülüğü hiç doğurmamaktır.
Sık sorulan sorular
Çerez politikası zorunlu mu?
Kişisel veri işleyen çerez kullanıyorsanız, bu işlemeyi aydınlatma yükümlülüğü kapsamında açıklamanız gerekir. Yalnızca teknik çerez kullanan bir sitede bile şeffaflık açısından politika yayınlamak doğru uygulamadır.
Google Analytics için onay almalı mıyım?
Analitik çerezler isteğe bağlı kategoridedir; onay alınmadan çalıştırılmamalıdır. Çerezsiz bir analitik aracı kullanıyorsanız bu yükümlülük doğmaz.
Kullanıcı reddederse siteyi kullanamaz mı?
Kullanabilmelidir. İsteğe bağlı çerezleri reddetmek hizmete erişimi engellememelidir; aksi hâlde rıza özgür iradeyle verilmiş sayılmaz.
Çerez onayını ne kadar süre saklamalıyım?
Onayın kendisi ispat için saklanır; tercihin geçerlilik süresi ise makul bir dönemle sınırlanmalı ve sonunda kullanıcıya yeniden sorulmalıdır.
Çerez politikası ile aydınlatma metni aynı şey mi?
Hayır. Aydınlatma metni tüm veri işleme faaliyetlerini kapsar; çerez politikası ise özel olarak çerezleri kategori bazında açıklar. İkisi birbirine referans vermelidir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Kurul ilke kararları
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
İlgili belgeler: Site genelindeki aydınlatma yükümlülüğü için aydınlatma metni rehberi · rıza gereken işlemler için açık rıza metni · hazır şablonlar için belge şablonları · mevcut durumunuzu görmek için KVKK uyum testi.
