Varsayılan açık çerezler ve 14 yurt dışı sağlayıcı: e-ticaret çerez kararı (2022/229)

Karar 2022/229 · 10 Mart 2022 · KOBİ özeti: Muhammet Çay · Yayın 2026-09-02

Kısa cevap: Kurul, yalnızca sitenin çalışması için zorunlu çerezlerin açık rızasız (m. 5/2-f) kullanılabileceğini; işlevsel, analitik ve reklam çerezlerinin ise kullanıcının aktif onayına (opt-in) bağlı olduğunu belirtti. Sadece bilgilendirme pop-up'ı göstermek rıza değildir. 800.000 TL idari para cezası ve 30 gün içinde çerez yönetimi, yurt dışı aktarım dayanağı ve çerez politikasının düzeltilmesi talimatı.

Uyarı: Bu sayfa, Kişisel Verileri Koruma Kurulu'nun kamuya açık karar özetinin işletme diliyle yeniden anlatımıdır; hukuki görüş veya danışmanlık değildir. Kararın resmî metni için kvkk.gov.tr kaynağına gidin; kendi durumunuz için bir hukukçuya danışın.

Olay

Bir kullanıcı, e-ticaret sitesinin ve mobil uygulamalarının çerez politikasının anlaşılmaz ve eksik olduğunu, çerezlerle profilleme yapıldığını ve yurt dışına aktarım için rıza alınmadığını ileri sürerek Kurul'a başvurdu.

İncelemede sitede işlevsel, performans-analitik ve reklam/pazarlama çerezlerinin varsayılan olarak etkin olduğu, ziyaretçiye yalnızca bir bilgilendirme pop-up'ı gösterildiği ve aktif onay mekanizmasının bulunmadığı görüldü. Analitik ve reklam çerezleri üzerinden 14 yurt dışı sağlayıcıya veri aktarılıyor, bu aktarım için taahhütname veya açık rıza bulunmuyordu.

Kurul ne dedi?

Kurul çerezleri ikiye ayırdı. Sitenin düzgün çalışması için kesinlikle gerekli çerezler, veri sorumlusunun meşru menfaati kapsamında (m. 5/2-f) rızasız kullanılabilir. İşlevsel, analitik ve reklam çerezleri ise bu kapsama girmez; bunlar için ilgili kişinin belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıkladığı rızası gerekir. Varsayılan çalışan çerez, rıza alınmış çerez değildir.

Yurt dışındaki analitik ve reklam sağlayıcılarına aktarım m. 9 şartlarını taşımıyordu. Çerez politikası da m. 10 ve Aydınlatma Tebliği'nin aradığı içerikten uzaktı: her çerez türü için amaç, hukuki sebep ve saklama süresi belirtilmemişti. Kullanıcının m. 11 kapsamındaki bilgi talebine verilen cevap ise yeterli bulundu.

Sonuç: 18/1-b uyarınca 800.000 TL idari para cezası. Ayrıca 30 gün içinde: zorunlu olmayan çerezler için giriş anında aktif onay mekanizması, yurt dışı aktarımın m. 9'a uygun hâle getirilmesi, gizlilik politikasından çerez politikasına doğrudan bağlantı, çerez politikasının her çerez türü için amaç/hukuki sebep/saklama süresi içerecek şekilde yeniden yazılması ve 'kullanıcı tercihi' çerezlerinin gerçekten zorunlu olup olmadığının gözden geçirilmesi.

Dayanak

• KVKK m. 5/2-f — Yalnızca kesinlikle gerekli çerezler için meşru menfaat dayanağı.
• KVKK m. 5/1 ve m. 3 — Zorunlu olmayan çerezler için aktif, bilgilendirilmiş, özgür açık rıza.
• KVKK m. 9 — Yurt dışındaki analitik/reklam sağlayıcılarına aktarımın şartları.
• KVKK m. 10 ve Aydınlatma Tebliği — Çerez politikasının asgari içeriği.
• KVKK m. 12/1 ve m. 18/1-b — İdari para cezasının dayanağı.

KOBİ için üç ders

1. Bannerda 'Kabul' kadar görünür bir 'Reddet' olsun

   Zorunlu olmayan çerezler onay gelmeden yüklenmemeli; kategori bazlı seçim sunulmalı. Yalnızca 'Anladım' butonlu bilgilendirme, bu karara göre rıza sayılmaz.

2. Çerez politikasını tablo yapın

   Her çerez için ad, sağlayıcı, amaç, hukuki sebep, saklama süresi ve yurt içi/yurt dışı bilgisi. Kurul'un istediği içerik tam olarak bu; ayrıntı çerez politikası yazımızda.

3. Kullandığınız her analitik ve reklam aracını sayın

   Bu kararda 14 sağlayıcı vardı; çoğu işletme kendi sitesinde kaç üçüncü taraf çerezi olduğunu bilmez. Tarayıcı geliştirici araçlarıyla ya da bir çerez tarayıcısıyla listeyi çıkarın, envantere işleyin.

Bu kararla ilgili belge ve araçlar

• KVKK çerez politikası nasıl hazırlanır
• Karar 2022/1358: çerezlerde açık rıza ve aydınlatma eksikliği — 300.000 TL'lik benzer karar
• E-ticaret için veri envanteri
• KVKK uyum rehberi

Sık sorulan sorular