Web sitelerinde kullanılan çerezler yoluyla IP adresi, cihaz bilgisi ve davranış verisi işlenmesi KVKK kapsamındadır. Kurul'un çerez rehberi uyarınca temel kural şudur: sitenin çalışması için zorunlu çerezler rıza gerektirmez; reklam, analitik ve pazarlama çerezleri ise açık rızaya tabidir. Rıza alınmadan bu çerezlerin çalıştırılması — 'önceden işaretli kutular' veya 'siteye devam ederek kabul etmiş sayılırsınız' yaklaşımı — hukuka aykırıdır.
Çerezler Neden KVKK Kapsamında?
Çerezler aracılığıyla işlenen IP adresi, cihaz tanımlayıcıları, gezinme geçmişi ve davranışsal profiller, kimliği belirlenebilir gerçek kişiye ait veri niteliğindedir. Kurul'un yayımladığı çerez uygulamaları rehberi, bu alandaki belirsizliği büyük ölçüde gidermiş ve site sahiplerine somut yükümlülükler getirmiştir.
Uygulamada sitelerin büyük bölümü iki temel hatadan birini yapmaktadır: ya hiç çerez yönetimi bulunmamakta ya da hukuken geçersiz bir 'bilgilendirme bandı' ile yetinilmektedir.
Çerez Kategorileri ve Rıza Matrisi
Kritik ayrıntı: açık rıza alınmadan analitik ve reklam çerezleri tarayıcıya yüklenmemelidir. Yaygın hata, banner görünürken arka planda çerezlerin zaten çalışıyor olmasıdır — bu, rıza öncesi işleme anlamına gelir ve banner'ın varlığı hukuka aykırılığı gidermez.
| Çerez türü | Örnek | Rıza gerekir mi? |
|---|---|---|
| Kesinlikle zorunlu | Oturum çerezi, sepet bilgisi, güvenlik doğrulama | Hayır — aydınlatma yeterli |
| İşlevsel | Dil tercihi, tema seçimi | Duruma göre; profilleme yoksa genellikle hayır |
| Performans / analitik | Google Analytics, Hotjar | Evet — açık rıza |
| Reklam / pazarlama | Meta Pixel, Google Ads remarketing, DoubleClick | Evet — açık rıza |
Hukuka Uygun Çerez Banner'ının 6 Şartı
- 1. Eşit görünürlük: 'Kabul Et' ve 'Reddet' seçenekleri aynı adımda, eşit kolaylıkta sunulmalı — reddi zorlaştıran karanlık tasarımlar (dark patterns) rızayı sakatlar
- 2. Granüler tercih: Kullanıcı çerez kategorilerini ayrı ayrı açıp kapatabilmeli
- 3. Önceden işaretsiz: Zorunlu olmayan hiçbir kategori varsayılan olarak açık gelmemeli
- 4. Rıza öncesi engelleme: Rıza verilmeden analitik/reklam skriptleri yüklenmemeli
- 5. Geri alınabilirlik: Kullanıcı rızasını en az verdiği kolaylıkla geri alabilmeli (kalıcı ayar linki)
- 6. Kayıt: Verilen rızalar, tarih ve kapsamıyla ispat edilebilir şekilde loglanmalı
Google Analytics, Meta Pixel ve Yurt Dışı Aktarım Boyutu
Sık gözden kaçan nokta: analitik ve reklam araçlarının çoğu, veriyi yurt dışındaki sunucularda işler. Bu, çerez rızasından bağımsız olarak Madde 9 kapsamında yurt dışına veri aktarımı değerlendirmesi gerektirir. Sitenizin çerez envanterini çıkarırken her aracın veri işleme lokasyonunu da not edin ve aktarım mekanizmanızı (standart sözleşme, sağlayıcının Türkiye uyum dokümanları) belirleyin.
Ayrıca çerez aydınlatma metni, genel site aydınlatma metninden ayrı ve çerezlere özgü olmalıdır: kullanılan her çerezin adı, amacı, süresi ve sağlayıcısı listelenmelidir. Bu envanter, sitenize eklenen her yeni pazarlama aracıyla birlikte güncellenmelidir.
Sıkça Sorulan Sorular
'Siteye devam ederek çerezleri kabul etmiş sayılırsınız' ifadesi geçerli mi?
Hayır. Açık rıza aktif bir irade beyanı gerektirir; sitede gezinmeye devam etmek rıza sayılmaz. Bu yaklaşım Kurul rehberine açıkça aykırıdır.
Sadece Google Analytics kullanıyorum; banner gerekli mi?
Evet. Analitik çerezler açık rızaya tabidir. Rıza alınmadan Analytics kodunun çalışması hukuka aykırıdır. Alternatif olarak çerezsiz/rıza gerektirmeyen ölçüm modlarını değerlendirebilirsiniz.
Çerez rızasını ne kadar süreyle saklamalıyım?
Rıza kayıtları, işleme devam ettiği sürece ve olası bir denetimde ispat için makul bir süre saklanmalıdır. Rıza tercihinin periyodik olarak (örneğin yıllık) yenilenmesi iyi uygulamadır.
Reddeden kullanıcıya siteyi kapatabilir miyim?
Zorunlu olmayan çerezlerin reddi halinde temel hizmetin engellenmesi (cookie wall), rızanın özgürce verilmesi ilkesini zedelediği için risklidir. Temel içerik, reddeden kullanıcıya da sunulmalıdır.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu'nun çerez uygulamaları rehberi (kvkk.gov.tr).