Çerez konusu, KVKK uyumunda en çok yanlış yapılan alanlardan biri. İki uçta iki hata var: bir kesim hiç çerez bildirimi koymuyor, diğer kesim ise sitesine devasa bir onay bandı koyup her çerezi zorunluymuş gibi çalıştırmaya devam ediyor. İkisi de yanlış.
Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Önce temel soru: çerez kişisel veri midir?
Her çerez değil. Ayrım, çerezin kişiyi doğrudan veya dolaylı olarak belirlenebilir kılıp kılmadığına bakar.
- Oturum kimliği, dil tercihi, sepet içeriği gibi çerezler genellikle sitenin çalışması için gereklidir.
- Reklam kimliği, davranış takibi, çapraz site izleme yapan çerezler kişiyi profilleyebildiği için kişisel veri kapsamındadır.
Bu ayrım, bandın ne söylemesi gerektiğini de belirler.
Zorunlu çerez ile isteğe bağlı çerez
| Zorunlu (teknik) çerez | İsteğe bağlı çerez | |
|---|---|---|
| Örnek | Oturum, güvenlik, sepet, dil tercihi | Analitik, reklam, sosyal medya piksel |
| Olmazsa ne olur | Site çalışmaz | Site çalışır, ölçüm/reklam eksilir |
| Açık rıza gerekir mi | Hayır | Evet |
| Kullanıcı reddedebilir mi | Hayır (zaten hizmetin parçası) | Evet, ve reddetmek hizmeti engellememeli |
En sık hata burada: analitik ve reklam çerezlerini zorunlu kategoriye koymak. Google Analytics gibi araçlar çerez kullanır ve isteğe bağlı kategoridedir; onay alınmadan çalıştırılmamalıdır.
Çerez bandı ne zaman gerekir?
Siteniz yalnızca teknik çerez kullanıyorsa onay bandı gerekmez; çerez politikanızı yayınlamanız ve aydınlatma metninizde belirtmeniz yeterlidir.
Analitik, reklam veya sosyal medya çerezi kullanıyorsanız bandın üç şartı sağlaması gerekir:
- Onay alınmadan isteğe bağlı çerezler yüklenmemelidir. Band çıkarken piksel çoktan çalıştıysa onay anlamsızdır.
- Reddetmek en az kabul etmek kadar kolay olmalıdır. Sadece "Kabul et" butonu olan band geçerli bir onay üretmez.
- Ön işaretli kutucuk kullanılamaz. Onay kutuları varsayılan olarak boş gelmelidir.
Çerez politikasında bulunması gerekenler
- Hangi çerezleri kullandığınız, kategori bazında (zorunlu / analitik / reklam / işlevsel)
- Her kategorinin ne işe yaradığı
- Üçüncü taraf çerezler ve hangi sağlayıcılara ait oldukları
- Saklama süreleri
- Tarayıcıdan çerez silme/engelleme yolu
- Onayın nasıl geri alınacağı
- İlgili kişinin Kanun m.11 hakları ve başvuru kanalı
Üçüncü taraf listesi çoğu zaman eksik yazılır. Sitenizde bir video gömüsü, harita, sohbet widget'ı veya reklam kodu varsa bunlar da çerez bırakır ve politikada görünmelidir.
Kurul kararlarında çerez: üç ceza, tek kalıp
Çerez, "küçük teknik detay" sanıldığı için ihmal ediliyor; Kurul ise onu doğrudan kişisel veri işleme olarak ele alıp ceza kesiyor. Yayımlanmış karar özetlerinden derlediğimiz 313 kararın 8'i doğrudan çerezle ilgili:
| Karar | Tarih | Ne oldu? | Ceza |
|---|---|---|---|
| 2020/173 | 27.02.2020 | Çerez, aydınlatma ve yurt dışı aktarım yükümlülüklerinin birlikte ihlali | 1.100.000 TL |
| 2022/229 | 10.03.2022 | Site ve mobil uygulamada çerezler aracılığıyla hukuka aykırı veri işleme | 800.000 TL |
| 2022/1358 | 23.12.2022 | Çerezlere ilişkin aydınlatma ve açık rıza metinlerinin hiç sunulmaması | 300.000 TL |
Üç kararda da aynı kalıp var: çerez, kullanıcı bir şey seçmeden çalışmaya başlamış. Karşılaştığınız risk şu üç noktada yoğunlaşıyor:
- Ön yükleme. Zorunlu olmayan çerezler sayfa açılır açılmaz set ediliyorsa, sonradan gösterilen bant hukuki durumu düzeltmez. Rıza öncesinde hiçbir analitik veya reklam çerezi çalışmamalıdır.
- Örtülü kabul. "Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" ifadesi geçerli rıza değildir; rıza aktif bir eylem ister.
- Ret kolaylığı. Kabul et butonu büyük ve renkli, reddet seçeneği üç tık ötede bir menüde ise özgür irade tartışmaya açılır. Reddetmek en az kabul etmek kadar kolay olmalı.
Yurt dışı boyutunu da atlamayın: Google Analytics, Meta Pixel, TikTok Pixel gibi araçlar veriyi yurt dışına taşır. 2020/173 ve 2022/229'da bu boyut ayrıca değerlendirilmiştir (yurt dışına veri aktarımı).
Çerez envanteri: tabloyu doldurmadan bant yazmayın
Çerez politikası, çerez envanterinin özetidir. Önce sitenizde fiilen hangi çerezlerin çalıştığını çıkarın (tarayıcı geliştirici araçlarında Application → Cookies sekmesi yeterlidir):
| Çerez adı | Kaynak | Kategori | Amaç | Süre | Yurt dışı? |
|---|---|---|---|---|---|
sid |
Kendi alan adınız | Zorunlu | Oturum yönetimi | Oturum | Hayır |
_ga, _ga_* |
Google Analytics | Analitik | Ziyaretçi ölçümü | 2 yıl | Evet |
_fbp |
Meta Pixel | Reklam | Yeniden hedefleme | 90 gün | Evet |
cookie_onay |
Kendi alan adınız | Zorunlu | Onay tercihinin saklanması | 6-12 ay | Hayır |
Politikada bu tablonun gerçek hâli yer almalı. Kullanmadığınız bir çerezi listelemek de, kullandığınızı gizlemek kadar hatalıdır — ikisi de yanlış beyandır.
Onay kaydında ne saklanmalı?
Rızayı ispat yükü sizdedir. Onay bandı sadece bir kutucuk değil, bir kayıt mekanizmasıdır:
- Hangi kategorilerin kabul/ret edildiği (analitik ayrı, reklam ayrı)
- Onay tarih-saati ve banttaki metnin sürümü
- Kullanıcının tercihi değiştirebileceği kalıcı bir bağlantı (footer'da "Çerez tercihleri")
- Onay süresi dolduğunda tekrar sorma (uygulamada 6-12 ay yaygın)
Kategori bazlı seçim sunmuyorsanız — yani tek bir "Kabul et" butonundan ibaretse — 2022/229'daki tabloya yaklaşırsınız.
En sık yapılan 4 hata
- Bandı koyup çerezleri onay öncesi çalıştırmak. Teknik olarak en yaygın uyumsuzluk. Onay yönetimi kurulmadan konan band, uyum sağlamaz — yalnızca uyumluymuş gibi görünmenizi sağlar, ki bu daha kötüdür.
- "Siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz" ifadesi. Bu bir onay değildir; açık rıza aktif bir eylem gerektirir.
- Yalnızca "Kabul et" butonu koymak. Reddetme seçeneği aynı ekranda ve aynı kolaylıkta olmalıdır.
- Çerez politikasını aydınlatma metninin içine gömüp geçmek. İkisi farklı belgelerdir; çerez politikası kategori bazında ayrıntı ister.
Kendi sitemizde ne yaptık?
Bu sitede analitik olarak Cloudflare Web Analytics kullanıyoruz; çerez kullanmayan bir ölçüm yöntemi. Bu yüzden onay bandımız yok — çünkü onay gerektiren bir çerez çalıştırmıyoruz.
Bunu bir tavsiye olarak da söyleyebiliriz: çerezsiz bir analitik aracı seçmek, çerez uyumu probleminin büyük kısmını baştan ortadan kaldırır. Uyum sağlamanın en ucuz yolu, çoğu zaman yükümlülüğü hiç doğurmamaktır.
Sık sorulan sorular
Çerez politikası zorunlu mu?
Kişisel veri işleyen çerez kullanıyorsanız, bu işlemeyi aydınlatma yükümlülüğü kapsamında açıklamanız gerekir. Yalnızca teknik çerez kullanan bir sitede bile şeffaflık açısından politika yayınlamak doğru uygulamadır.
Google Analytics için onay almalı mıyım?
Analitik çerezler isteğe bağlı kategoridedir; onay alınmadan çalıştırılmamalıdır. Çerezsiz bir analitik aracı kullanıyorsanız bu yükümlülük doğmaz.
Kullanıcı reddederse siteyi kullanamaz mı?
Kullanabilmelidir. İsteğe bağlı çerezleri reddetmek hizmete erişimi engellememelidir; aksi hâlde rıza özgür iradeyle verilmiş sayılmaz.
Çerez onayını ne kadar süre saklamalıyım?
Onayın kendisi ispat için saklanır; tercihin geçerlilik süresi ise makul bir dönemle sınırlanmalı ve sonunda kullanıcıya yeniden sorulmalıdır.
Çerez politikası ile aydınlatma metni aynı şey mi?
Hayır. Aydınlatma metni tüm veri işleme faaliyetlerini kapsar; çerez politikası ise özel olarak çerezleri kategori bazında açıklar. İkisi birbirine referans vermelidir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Kurul ilke kararları
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
İlgili belgeler: Site genelindeki aydınlatma yükümlülüğü için aydınlatma metni rehberi · rıza gereken işlemler için açık rıza metni · hazır şablonlar için belge şablonları · mevcut durumunuzu görmek için KVKK uyum testi.
