Çerez aydınlatması olmayan oyun sitesi: 2022/1358 kararı

Karar 2022/1358 · 23 Aralık 2022 · KOBİ özeti: Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kurul, kesinlikle gerekli çerezler dışındaki işlevsel, analitik ve reklam çerezlerinin ancak kullanıcının aktif seçimiyle (opt-in) çalıştırılabileceğini; çerezler için ayrı aydınlatma gerektiğini ve üyelik formundaki genel aydınlatmanın Tebliğ'deki asgari unsurları taşımadığını tespit etti. 300.000 TL idari para cezası.

Uyarı: Bu sayfa, Kişisel Verileri Koruma Kurulu'nun kamuya açık karar özetinin işletme diliyle yeniden anlatımıdır; hukuki görüş veya danışmanlık değildir. Kararın resmî metni için kvkk.gov.tr kaynağına gidin; kendi durumunuz için bir hukukçuya danışın.

Olay

Bir kullanıcı, oyun platformunun web sitesine girildiğinde çerezlerle ilgili hiçbir bilgilendirme yapılmadığını ve reklam çerezlerinin rızası alınmadan çalıştığını şikâyet etti. Üyelik formunda bir aydınlatma metni linki vardı; ancak metin, verilerin yurt dışındaki sunuculara aktarıldığını söylemekle birlikte aktarımın hangi şarta dayandığını ve ilgili kişinin haklarını açıklamıyordu.

Şirket savunmasında çerezlerin site işleyişi için gerekli olduğunu ve üyelik sözleşmesinde genel bir bilgilendirmenin bulunduğunu belirtti.

Kurul ne dedi?

Kurul, çerezleri iki gruba ayırdı. Oturum, güvenlik ve sepet gibi 'kesinlikle gerekli' çerezler sitenin çalışması için zorunludur; bunlar için rıza gerekmez ama aydınlatma yine gerekir. İşlevsel, performans-analitik ve reklam/hedefleme çerezleri ise kullanıcının aktif bir hareketiyle onay vermesinden önce çalıştırılamaz. Önceden işaretli kutu, 'siteyi kullanmaya devam ederek kabul etmiş olursunuz' cümlesi veya yalnız 'tamam' düğmesi rıza sayılmaz.

Aydınlatma tarafında Kurul, üyelik formundaki metnin Aydınlatma Tebliği'nin 5. maddesindeki asgari unsurları (veri sorumlusunun kimliği, amaç, hukuki sebep, aktarım ve haklar) tam olarak taşımadığını tespit etti. Yurt dışına aktarımın hangi şarta dayandığının yazılmaması özellikle vurgulandı; o dönemde geçerli olan 9. madde rejimine göre aktarım için açık rıza ya da Kurul izni gerekiyordu.

Sonuç: veri güvenliği yükümlülüğünün ihlali nedeniyle 300.000 TL idari para cezası; çerez aydınlatma metni hazırlanması, rıza yönetim mekanizmasının kurulması ve genel aydınlatma metninin Tebliğ'e uygun hâle getirilerek Kurul'a bildirilmesi talimatı.

Dayanak

• KVKK m. 5/1 — Zorunlu olmayan çerezler için açık rıza şartı.
• KVKK m. 10 ve Aydınlatma Tebliği m. 5 — Aydınlatmanın asgari içeriği; çerezler için ayrı ve anlaşılır bilgilendirme.
• KVKK m. 9 — Yurt dışına aktarımın dayanağının açıklanması.
• KVKK m. 12 ve m. 18/1-b — İdari para cezasının dayanağı.

KOBİ için üç ders

1. Çerez paneli 'reddet' düğmesi olmadan eksiktir

   Kabul et / reddet / özelleştir üçlüsü şart. Zorunlu olmayan çerezleri kullanıcı seçim yapana kadar yüklemeyin; çoğu rıza yönetim aracı bunu 'önceden engelleme' ayarıyla yapar.

2. Çerezler için ayrı bir aydınlatma metni yazın

   Hangi çerez, hangi amaçla, ne kadar süre, hangi üçüncü taraf? Bu tabloyu genel aydınlatma metninin içine gömmek yerine ayrı bir çerez politikası olarak yayımlayın.

3. Yurt dışı sunucu kullanıyorsanız dayanağını yazın

   Analitik, e-posta veya bulut sağlayıcınız yurt dışındaysa bu bir aktarımdır. Aydınlatma metninde aktarımın hangi şarta dayandığı açıkça yer almalı.

Bu kararla ilgili belge ve araçlar

• KVKK çerez politikası nasıl hazırlanır — çerez tablosu örneğiyle
• Aydınlatma metni nasıl hazırlanır
• Yazılım ve SaaS şirketleri için veri envanteri
• E-ticaret için veri envanteri

Sık sorulan sorular