Çerezler (cookies), web sitelerinin ziyaretçinin cihazına yerleştirdiği küçük metin dosyalarıdır. Bir çerez ziyaretçiyi tanımlıyor veya izliyorsa, içerdiği bilgi kişisel veri sayılır ve KVKK kapsamına girer. Bu nedenle çerez kullanımı için doğru bilgilendirme ve gerektiğinde açık rıza şarttır.
Bu rehberde çerez türlerini, hangi çerezler için rıza gerektiğini ve KVKK'ya uygun bir çerez politikası/banner'ının nasıl olması gerektiğini açıklıyoruz.
Çerez Nedir?
Çerez, bir web sitesinin tarayıcı aracılığıyla ziyaretçinin cihazında sakladığı küçük veri parçasıdır. Oturum yönetimi, tercih hatırlama, analitik ölçüm ve reklam hedefleme gibi amaçlarla kullanılır. Kişiyi tekil olarak tanımlayan çerez kimlikleri kişisel veri olduğundan, çerez uygulamaları hem KVKK'ya hem de Kişisel Verileri Koruma Kurulu'nun çerez rehberine uygun olmalıdır.
Çerez Türleri Nelerdir?
- Zorunlu (teknik) çerezler: Sitenin çalışması için gereklidir (oturum, güvenlik, sepet). Bunlar için kural olarak rıza aranmaz.
- İşlevsel çerezler: Dil, tema gibi tercihleri hatırlar.
- Analitik/performans çerezleri: Ziyaretçi davranışını ölçer (ör. Google Analytics).
- Reklam/hedefleme çerezleri: Profilleme ve reklam kişiselleştirmesi yapar.
Hangi Çerezler İçin Açık Rıza Gerekir?
Sitenin çalışması için zorunlu olmayan çerezler (analitik, reklam, hedefleme) kural olarak ilgili kişinin açık rızasıyla çalıştırılmalıdır. Rıza; önceden onay kutuları işaretli gelmeyecek şekilde, açık, özgür iradeye dayalı ve reddi kabul kadar kolay olacak biçimde alınmalıdır. Zorunlu teknik çerezler ise sitenin işlevi için gerekli olduğundan rıza gerektirmez.
KVKK'ya Uygun Çerez Politikası Nasıl Olmalı?
Uygun bir çerez yönetimi şu unsurları içerir:
- Kullanılan çerezleri kategori, amaç ve saklama süresiyle listeleyen bir çerez politikası,
- Kabul, ret ve ayrıntılı tercih seçeneği sunan bir çerez banner'ı/tercih merkezi,
- Zorunlu olmayan çerezlerin rıza alınana kadar bekletilmesi,
- Verilen rızanın geri alınabilmesi ve bu tercihin kaydı,
- Aydınlatma metniyle bağlantı ve üçüncü taraf çerezlerinin açıklanması.
Sıkça Sorulan Sorular
Sadece "Kabul Et" butonlu banner yeterli mi?
Hayır. Rızanın özgür olması için reddetme seçeneği de en az kabul kadar kolay sunulmalıdır. Yalnızca "Kabul Et" içeren banner, geçerli rıza sağlamaz.
Google Analytics çerezleri için rıza gerekir mi?
Analitik çerezler zorunlu olmadığından, kural olarak açık rıza alınmadan çalıştırılmamalıdır.
Çerez politikası ile aydınlatma metni aynı şey mi?
Hayır. Çerez politikası çerez kullanımını, aydınlatma metni ise tüm veri işleme faaliyetini açıklar; birbirine atıf yaparlar ama ayrı belgelerdir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Kaynak: 6698 sayılı Kanun ve Kişisel Verileri Koruma Kurumu çerez rehberi (kvkk.gov.tr).