Çerez nedir, neden izin gerekir?
Çerezler, bir web sitesinin ziyaretçinin tarayıcısına bıraktığı küçük veri dosyalarıdır. Oturumu açık tutmak, sepeti hatırlamak gibi işler için gereklidirler. Ancak aynı teknoloji ziyaretçiyi siteler arasında tanımak, davranışını ölçmek ve reklam hedeflemek için de kullanılır. Bu ikinci grup, çoğu zaman kişisel veri işlemek anlamına gelir.
Kişisel Verileri Koruma Kurumu, konuyu 20 Haziran 2022'de yayımladığı Çerez Uygulamaları Hakkında Rehber ile ayrıntılandırdı. Rehberin ana fikri basit: çerezle kişisel veri işleniyorsa bunun 6698 sayılı Kanun'daki bir hukuki sebebe dayanması gerekir. Analitik ve pazarlama çerezlerinde bu sebep pratikte çoğunlukla açık rızadır.
Hangi çerezler izinsiz kullanılabilir?
Rehber, zorunlu çerezleri iki ölçütle tarif ediyor. Çerez ya yalnızca elektronik ağ üzerinden iletişimi gerçekleştirmek için kullanılmalı ya da kullanıcının açıkça talep ettiği bir hizmetin sunulması için kesinlikle gerekli olmalı. Bu çerçevede genellikle şunlar zorunlu sayılır:
- Oturum ve giriş durumunu tutan çerezler
- Alışveriş sepeti ve form adımlarını hatırlayan çerezler
- Güvenlik ve yük dengeleme çerezleri
- Ziyaretçinin çerez tercihini saklayan çerez
Ziyaret istatistiği tutan analitik araçlar, reklam pikselleri, yeniden pazarlama etiketleri ve ısı haritası araçları bu tanımın dışında kalır. Bunlar için ziyaretçi seçim yapmadan önce çalışmamaları gerekir.
Pratik ölçü: Çerezi kaldırdığınızda ziyaretçinin istediği hizmet çalışmaz hâle geliyorsa muhtemelen zorunludur. Yalnızca sizin ölçüm ya da pazarlama ihtiyacınız eksik kalıyorsa zorunlu değildir.
Aydınlatma ve açık rıza ayrı olmalı
KVK Kurulu'nun 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı (Resmî Gazete, 24 Mart 2026) bu konuyu netleştirdi. Kararın çerez banner'ları için önemli sonuçları şöyle özetlenebilir:
- Aydınlatma metni ile açık rıza metni ayrı düzenlenmeli ve ayrı adımlarla sunulmalı.
- Aydınlatma bilgilendirme amaçlıdır; bir onay mekanizmasına bağlanamaz. "Okudum, kabul ediyorum" gibi kalıplar karara göre hukuka aykırıdır.
- Başka bir sitenin metnini olduğu gibi kullanmak, muğlak ya da gereksiz uzun metinler de aynı kapsamda değerlendirildi.
Çerez banner'ında bu, "çerez politikamızı okudum ve kabul ediyorum" gibi tek bir onay yerine iki ayrı şey anlamına gelir: ziyaretçiyi bilgilendiren bir bağlantı ya da metin, ve kategori bazında verilen, gerçekten özgür bir izin.
İyi bir çerez banner'ı nasıl olur?
Banner'ın amacı ziyaretçiye gerçek bir seçim sunmaktır. Uygulamada iyi bir banner'ın ortak özellikleri şunlardır:
- Kabul ve ret eşit ağırlıkta. Reddetmek, kabul etmek kadar kolay ve görünür olmalı; ret seçeneği ikinci bir ekrana saklanmamalı.
- Önceden işaretli kutu yok. Analitik ve pazarlama kategorileri varsayılan olarak kapalı başlamalı.
- Kategori bazında seçim. Ziyaretçi analitiğe izin verip pazarlamayı reddedebilmeli.
- Sonradan değiştirilebilir. Sayfanın bir köşesinde ya da altbilgide tercihleri yeniden açan kalıcı bir bağlantı olmalı.
- Ziyaretçinin dilinde. Yabancı ziyaretçi alan sitelerde banner, ziyaretçinin anladığı dilde açılmalı.
- Kısa ve açık metin. Hangi amaçla izin istendiği tek bakışta anlaşılmalı; ayrıntı aydınlatma metnine bırakılmalı.
Asıl mesele: sitenin gerçek davranışı
Pek çok sitede banner vardır ama analitik ve reklam etiketleri sayfa açılır açılmaz zaten yüklenmiştir. Ziyaretçi "Reddet"e bastığında bir şey değişmez. Dışarıdan bakınca her şey yolunda görünür; sorun ancak tarayıcının ağ trafiğine bakıldığında ortaya çıkar.
Bu yüzden uyumun ikinci yarısı tekniktir:
- Envanter: Sitede hangi çerezlerin, yerel depolama alanlarının ve üçüncü taraf etiketlerin çalıştığını sayfa sayfa çıkarın.
- Engelleme: Zorunlu olmayan etiketler, izin gelene kadar hiç yüklenmemeli. Yalnızca çerezi silmek yetmez; etiketin kendisi çalışmamalıdır.
- İzin sinyali: Google Consent Mode v2 gibi mekanizmalarla ziyaretçinin seçimi reklam ve analitik platformlarına doğru iletilmeli. Böylece izin veren ziyaretçide ölçüm eksiksiz devam eder.
- Düzenli kontrol: Siteye yeni bir eklenti ya da etiket eklendiğinde envanter güncellenmeli. Uyum bir kez yapılıp bırakılan bir iş değildir.
Kayıt ve kanıt
Açık rızaya dayanan işlemede rızanın alındığını gösterebilmek veri sorumlusuna düşer. İyi bir kayıt en az şunları içerir: seçimin tarihi ve saati, ziyaretçiye gösterilen metnin sürümü, kategori bazında verilen karar ve kaydı kişiyle doğrudan eşleştirmeyen bir tanımlayıcı. IP adresinin maskelenmesi ve ad, e-posta gibi bilgilerin tutulmaması, kaydın kendisinin gereksiz kişisel veri barındırmasını önler.
Kayıtların sonradan değiştirilmediğini göstermek için nitelikli zaman damgası kullanılabilir. Türkiye'de bu hizmeti veren kuruluşlardan biri, TÜBİTAK bünyesindeki Kamu Sertifikasyon Merkezi'dir (Kamu SM).
Kontrol listesi
| Kontrol | Nasıl anlaşılır? |
|---|---|
| İzin öncesi analitik ve reklam etiketi çalışmıyor | Gizli pencerede siteyi açın, banner'a dokunmadan tarayıcının ağ sekmesine bakın. |
| Ret, kabul kadar kolay | İlk ekranda iki düğme eşit boyut ve görünürlükte mi? |
| Kategoriler varsayılan kapalı | Tercih panelini açın; analitik ve pazarlama kapalı mı başlıyor? |
| Aydınlatma ile rıza ayrı | "Okudum, kabul ediyorum" gibi birleşik bir onay var mı? |
| Tercih sonradan değiştirilebiliyor | Altbilgide ya da köşede tercihleri açan bağlantı var mı? |
| Çerez politikası güncel | Politikadaki liste ile sitede gerçekten çalışan çerezler örtüşüyor mu? |
| Kayıt tutuluyor | Belirli bir tarihteki bir izni, gösterilen metinle birlikte gösterebiliyor musunuz? |
Sitenizi 30 saniyede kontrol edin.
Ücretsiz test sitenizi gerçek bir ziyaretçi gibi açar; izin vermeden önce hangi çerez ve etiketlerin yüklendiğini sağlayıcısıyla birlikte gösterir.
Ücretsiz Test EtDemo Talep EdinSık sorulan sorular
Google Analytics için izin gerekir mi?
Ziyaretçiyi tanıyan ve davranışını ölçen analitik çerezler zorunlu çerez tanımına girmez. Bu nedenle genellikle ziyaretçinin izni alınmadan çalıştırılmamalıdır. Google Consent Mode v2 ile izin vermeyen ziyaretçide çerez yazılmadan çalışma da mümkündür.
Sadece "Kabul et" düğmesi olan banner yeterli mi?
Hayır. Ziyaretçiye gerçek bir seçim sunulmalı; reddetmek kabul etmek kadar kolay olmalıdır. Yalnızca bilgilendirip devam etmeyi kabul sayan banner'lar özgür iradeye dayalı bir izin sağlamaz.
Çerez politikası ile aydınlatma metni aynı şey mi?
Çerez politikası genellikle aydınlatmanın çerezlere ilişkin kısmıdır: hangi çerezlerin hangi amaçla, ne süreyle kullanıldığını anlatır. Açık rıza ise ziyaretçinin banner'da verdiği ayrı bir beyandır ve aydınlatma metnine bağlanmamalıdır.
Yurt dışından ziyaretçi alıyorum, GDPR de geçerli mi?
Avrupa Birliği'ndeki kişilere hizmet sunan ya da onların davranışını izleyen siteler GDPR kapsamına da girebilir. Pratikte iki düzenlemenin çerez beklentileri büyük ölçüde örtüşür: izin öncesi engelleme, eşit seçenekler ve kayıt.
Kaynaklar
- Kişisel Verileri Koruma Kurumu: Çerez Uygulamaları Hakkında Rehber (20.06.2022)
- KVK Kurulu, Veri Sorumluları Tarafından Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Gerektiği Hakkında İlke Kararı, 18.02.2026, 2026/347 (Resmî Gazete, 24.03.2026, sayı 33203)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 5 ve 10
Bu rehber genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Sitenize özel değerlendirme için bir hukukçuya danışmanızı öneririz.