Çerez politikası, internet sitesinde çerezlerle hangi kişisel verilerin, hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle işlendiğini anlatan aydınlatma belgesidir. KVKK'nın 10. maddesine göre metinde veri sorumlusunun kimliği, işleme amaçları, aktarım bilgisi, toplama yöntemi, hukuki sebep ve ilgili kişi hakları yer almalıdır. Kurum'un çerez rehberi ayrıca her çerezin adını, amacını, süresini ve birinci ya da üçüncü taraf olduğunu yazmayı tavsiye eder.
Çerez Politikası Neden Çoğu Sitede Eksik Kalır?
Pek çok şirket çerez politikasını hazır bir şablondan alır ve bir daha açmaz. Sitede yeni bir analitik aracı, reklam etiketi ya da canlı destek modülü devreye girdiğinde metin aynı kalır. Sonuçta politika, sitede gerçekten çalışan çerezleri anlatmaz: ziyaretçi hangi verisinin işlendiğini öğrenemez, şirket de aydınlatma yaptığını gösteremez.
Bu yazıda Kişisel Verileri Koruma Kurumu'nun Temmuz 2025'te yayımladığı Çerez Uygulamaları Hakkında Rehber'i (KVKK Yayınları No: 69) ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu (KVKK) temel alarak bir çerez politikasının nasıl hazırlanacağını anlatıyoruz. Rehber kendisini yol gösterici ve tavsiye niteliğinde bir doküman olarak tanımlar; Kanun'un 10. maddesindeki aydınlatma yükümlülüğü ise bağlayıcıdır. Yazı boyunca hangi beklentinin nereden geldiğini belirtiyoruz.
Çerez Politikası, Aydınlatma Metni ve Çerez Paneli Arasındaki Fark
Rehber çerezi, internet sitesi operatörlerinin kullanıcının cihazına yerleştirdiği ve HTTP(S) talebinin bir parçası olarak aktarılan bir tür metin dosyası olarak tanımlar. Çerez aracılığıyla kimliği belirli veya belirlenebilir bir kişiye ilişkin bilgi işleniyorsa bu işlem KVKK kapsamındadır.
“Çerez politikası” ifadesi Kanun'da geçmez. Kanun'un aradığı şey aydınlatmadır: md. 10, kişisel veriler elde edilirken veri sorumlusunun ilgili kişiyi bilgilendirmesini zorunlu tutar. Uygulamada çerezlere ilişkin aydınlatma, çerez politikası ya da çerez aydınlatma metni adlı bir sayfada yapılır. Rehber'in Ek-4'te verdiği örnek metnin adı da “Çerez Aydınlatma Metni”dir.
Çerez paneli (banner) ise ayrı bir araçtır: açık rıza gerektiren çerezler için tercihin alındığı yerdir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5. maddesi, işleme açık rızaya dayanıyorsa aydınlatmanın ve açık rıza alınmasının ayrı ayrı yapılmasını ister. Bu yüzden politika metni rızanın yerine geçmez, panel de aydınlatmanın yerine geçmez. Panelin nasıl kurgulanacağını çerez onay ekranı kontrol listesi yazımızda ayrıntılı ele aldık.
Üç Unsurun Görev Dağılımı
| Unsur | Ne işe yarar | Dayanak |
|---|---|---|
| Çerez politikası (çerez aydınlatma metni) | Hangi çerezle hangi verinin, hangi amaç ve hukuki sebeple, ne kadar süre işlendiğini anlatır | KVKK md. 10; Aydınlatma Tebliği; Rehber bölüm 9 |
| Çerez yönetim paneli | Zorunlu olmayan çerezler için kabul, ret ve tercih seçeneklerini sunar; tercihin sonradan değiştirilmesine izin verir | KVKK md. 3/1-a ve md. 5/1 (açık rıza); Rehber bölüm 7 |
| Gizlilik politikası | Sitenin genel veri işleme faaliyetlerini anlatır; karmaşık ve pek çok konuyu içeren bir bildirim tek başına çerez aydınlatması sayılmaz | Rehber bölüm 9 ve 10 (Kurul'un 2020/173 sayılı kararı) |
Çerezlere Hangi Mevzuat Uygulanır?
Rehber'e göre çerezler KVKK'da ayrıca düzenlenmez. 5809 sayılı Elektronik Haberleşme Kanunu'nun 51. maddesinin üçüncü fıkrası, haberleşmenin sağlanması dışındaki amaçlarla kullanıcının cihazında bilgi saklanmasını ya da saklanan bilgiye erişilmesini bilgilendirme ve açık rıza şartına bağlar. Ancak bu hüküm yalnızca elektronik haberleşme hizmeti sunan veya şebeke işleten işletmecileri kapsar.
Rehber, Kurum'un kendi sitesi dahil diğer internet sitesi operatörlerinin bu kapsamda olmadığını, bu sitelerde çerezlerle yapılan kişisel veri işlemeye KVKK'nın uygulanacağını belirtir. Dolayısıyla bir sanayi şirketinin, e-ticaret sitesinin ya da kurumsal tanıtım sitesinin çerez politikası KVKK'nın genel ilkelerine (md. 4), işleme şartlarına (md. 5 ve 6), yurt dışına aktarım kuralına (md. 9) ve aydınlatma yükümlülüğüne (md. 10) göre hazırlanır.
Rehber iki kriter tanımlar. Kriter A, çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılmasıdır. Kriter B, çerezin kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olmasıdır. Veri sorumlusu önce işlemenin açık rıza dışındaki bir şarta, örneğin sözleşmenin kurulması veya ifasına (md. 5/2-c) ya da meşru menfaate (md. 5/2-f) dayanıp dayanamayacağını değerlendirir; dayanamıyorsa açık rıza alır. Meşru menfaate dayanılacaksa Rehber, kişinin temel hak ve özgürlükleriyle veri sorumlusunun menfaatini karşılaştıran bir denge testi yapılmasını tavsiye eder.
Çerez Politikasında Bulunması Gereken Bölümler
Veri sorumlusunun kimliği: Şirketin unvanı ve varsa temsilcisinin kimliği yazılır (KVKK md. 10/1-a). Rehber'in örnek metni de ilk paragrafta veri sorumlusunu tanıtır.
Metnin amacı ve toplama yöntemi: Metnin hangi site veya uygulama için geçerli olduğu ve çerezlerle otomatik yolla elde edilen verileri anlattığı belirtilir. Toplama yöntemi md. 10/1-ç'nin gereğidir; Tebliğ de verinin otomatik yolla mı elde edildiğinin açıkça yazılmasını ister.
Çerez türleri: Süresine göre oturum ve kalıcı çerezler, kullanım amacına göre zorunlu, işlevsel, performans-analitik ve reklam-pazarlama çerezleri, tarafına göre birinci ve üçüncü taraf çerezler açıklanır. Bu sınıflandırma Rehber'in 2.2 bölümündedir.
Amaçlar ve hukuki sebepler: Her çerez grubunun hangi amaçla kullanıldığı ve hangi hukuki sebebe dayandığı ayrı ayrı yazılır (md. 10/1-b ve ç). Tebliğ, işleme amacının belirli, açık ve meşru olmasını ve hukuki sebebin açıkça belirtilmesini ister.
Aktarım ve yurt dışı: Verilerin kimlere ve hangi amaçla aktarılabileceği belirtilir (md. 10/1-c). Üçüncü taraf çerezler veriyi yurt dışındaki bir sağlayıcıya gönderiyorsa Rehber, aktarımın Kanun'un 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olmasını ister.
Çerez tablosu: Rehber, aydınlatma metninde çerezin adının, kullanım amacının, kullanım süresinin ve birinci ya da üçüncü taraf olup olmadığının açıkça yazılmasını tavsiye eder. Bu bilgilerin en okunur hâli bir tablodur.
İlgili kişi hakları ve başvuru yolu: KVKK md. 11'deki haklar ve başvurunun nasıl yapılacağı yazılır (md. 10/1-d). Rehber'in örnek metni başvurunun yazılı olarak adrese ya da sistemde kayıtlı e-posta üzerinden iletilebileceğini gösterir.
Tercih yönetimi ve rızanın geri alınması: Ziyaretçinin çerez tercihini nereden değiştirebileceği ve tarayıcı ayarlarıyla neyi kontrol edebileceği anlatılır. Rehber, verilen açık rızanın geri alınabilir olmasını ve çerez yönetim paneline erişimin sağlanmasını ister.
Yürürlük ve güncelleme tarihi: Mevzuat bu bilgiyi ayrıca saymaz. Ancak Rehber'in Ek-1 kontrol listesi çerez kullanımının belgelenmesini ve bir gözden geçirme periyodu belirlenmesini önerir; metne yürürlük ve son güncelleme tarihini yazmak bu gözden geçirmeyi izlenebilir kılar.
Örnek Çerez Tablosu Yapısı
Aşağıdaki satırlar yapıyı göstermek için hazırlanmıştır. Çerez adları temsilîdir; süreler Rehber'in Ek-4'teki örnek metninden alınmıştır. Kendi sitenizde gerçekten çalışan çerezleri ve süreleri yazın.
| Çerez adı | Sağlayıcı | Amaç | Süre | Tür | Hukuki sebep |
|---|---|---|---|---|---|
| oturum_id (örnek) | Birinci taraf (site) | Üye girişinin oturum boyunca sürmesi | Oturum süresince | Oturum çerezi · zorunlu | KVKK md. 5/2-c veya 5/2-f |
| form_girdi (örnek) | Birinci taraf (site) | Doldurulan form bilgisinin sayfalar arasında kaybolmaması | Oturum süresince | Oturum çerezi · zorunlu | KVKK md. 5/2-c veya 5/2-f |
| riza_tercihi (örnek) | Birinci taraf (site) | Çerez tercihlerinin hatırlanması | 365 gün (Rehber örneği) | Kalıcı çerez · zorunlu | KVKK md. 5/2-c veya 5/2-f |
| analitik_id (örnek) | Birinci taraf (site) | Ziyaretçi sayımı ve trafik ölçümü; yalnızca anonim istatistik | 180 gün (Rehber örneği) | Kalıcı çerez · performans-analitik | Rehber'in birinci taraf analitik koşulları sağlanıyorsa md. 5/2-c veya 5/2-f; sağlanmıyorsa açık rıza |
| reklam_id (örnek) | Üçüncü taraf (reklam ortağı) | İlgi alanına göre profil çıkarma ve reklam gösterme | 365 gün (Rehber örneği) | Kalıcı çerez · reklam-pazarlama | Açık rıza (md. 5/1) |
| tercih_dil (örnek) | Birinci taraf (site) | Kişisel tercihlerin sonraki ziyarette hatırlanması | 90 gün (Rehber örneği) | Kalıcı çerez · işlevsel | Açık rıza (md. 5/1) |
Tabloyu Doldururken Dikkat Edilecekler
Süre sütununa yalnızca “kalıcı” yazmak yetmez; çerezin ne zaman silindiği yazılmalıdır. Rehber, açık rızanın belirli bir konuya ilişkin olması için çerezin amacının, amaçla ölçülü belirlenmiş süresinin ve birinci ya da üçüncü taraf olup olmadığının belirtilmesini gerekli görür. Süreler belirlenirken Kanun'un 4. maddesindeki ilkeler, özellikle amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi esas alınır.
Kimlik doğrulama çerezlerinde Rehber önemli bir ayrım yapar: tarayıcı oturumları arasında kimlik bilgisini saklayan kalıcı çerezler Kriter B kapsamında değerlendirilmez. “Beni hatırla” gibi bir kutucukla kullanıcının bu hizmeti açıkça talep etmesi sağlanabilir.
Birinci taraf analitik çerezlerin açık rıza beklemeden kullanılabilmesi için Rehber; verilerin yalnızca anonim istatistik üretmek için kullanılmasını, kişilerin siteler arasında çapraz takip edilmemesini ve toplanan verilerin üçüncü taraflara iletilmemesini öne çıkarır. IP bilgisinin maskelenmesi, Rehber'in kimlik belirleme riskini azaltan teknik olarak verdiği örnektir.
Çerez Politikası Hazırlama Adımları
Metni yazmaya en son geçin. Rehber'in Ek-1'deki kontrol listesi de aynı sırayı izler: önce çerezleri anlamak ve denetlemek, sonra aydınlatma, ardından açık rıza mekanizması, en sonda belgeleme ve gözden geçirme.
Envanter çıkarılırken siteye gömülü üçüncü taraf hizmetleri ayrıca listeleyin; harita, video oynatıcı, canlı destek ve sosyal medya eklentileri kendi çerezlerini yerleştirebilir. Reklam etiketlerinin rıza alınmadan çalışmasının yarattığı riski Meta pikseli ve Google etiketleri yazımızda ele aldık. Etiketler veriyi yurt dışındaki sağlayıcılara gönderiyorsa yurt dışına veri aktarımı kurallarını da değerlendirin.
Altı Adımda Çerez Politikası
1. Envanter çıkarın: Sitede çalışan tüm çerezleri adı, sağlayıcısı, süresi ve hangi alan adından geldiğiyle listeleyin. İhtiyaç duyulmayan çerezleri kaldırın; Rehber'in kontrol listesi bunu ayrı bir madde olarak sayar.
2. Sınıflandırın: Her çerezi süresine (oturum veya kalıcı), amacına (zorunlu, işlevsel, analitik, reklam) ve tarafına (birinci veya üçüncü) göre işaretleyin. Kesinlikle gerekli olanları gerekçesiyle ayırın.
3. Hukuki sebebi belirleyin: Kriter A veya B'ye giren çerezler için açık rıza dışındaki şartı yazın; girmeyenler için açık rıza alın. Rehber'e göre reklam amaçlı çerezlerde gösterim sıklığı ve tıklama sahtekârlığını algılama gibi reklama bağlı amaçlar da açık rıza gerektirir.
4. Metni yazın: Yukarıdaki bölümleri açık, sade ve anlaşılır bir dille yazın. Tebliğ eksik, yanıltıcı ve yanlış bilgiye yer verilmemesini ister. Ürün veya hizmet çocuklara yönelikse Rehber, onların algı düzeyine uygun bir dil kullanılmasını önerir.
5. Paneli ve metni bağlayın: Rehber'e göre aydınlatma siteye giriş aşamasında yapılmalıdır. Çerez paneline politikanın bağlantısını koyun; açık rıza gerektiren çerezleri panelde ilk açılışta pasif getirin.
6. Belgeleyin ve gözden geçirin: Çerez açık rıza kayıtlarını uygun bir süre saklayın, yaptığınız sınıflandırmayı belgeleyin ve bir gözden geçirme periyodu belirleyin. Siteye yeni bir etiket eklendiğinde tabloyu da güncelleyin.
Sık Yapılan Hatalar
Siteyi kullanmayı onay saymak: “Sitemizi kullanarak çerez kullanımına izin vermektesiniz” ifadesi Rehber'in Ek-5'inde kötü örnek olarak gösterilir. Açık rıza aktif bir olumlayıcı eylem ister; yalnızca siteye girmek rıza anlamına gelmez.
Aydınlatmayı gizlilik bildirimine gömmek: Kurul'un 27.02.2020 tarihli ve 2020/173 sayılı kararına konu sitede gizlilik bildirimi, siteyi ziyaret etmeyi bildirimin kabulü sayıyordu; girişte ise bilgilendirme ve izin istemi yoktu. Kurul bu durumu hem aydınlatma yükümlülüğüne hem açık rıza şartına aykırı bulmuştur. Karar, Rehber'in 10. bölümünde özetlenir.
Yalnızca “Kabul et” düğmesi: Rehber, panelde “kabul et”, “reddet” ve “tercihler” seçeneklerinin renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama sayar. Yalnızca kabul düğmesi bulunan bant, Ek-5'teki kötü örneklerdendir.
Varsayılan olarak açık kategoriler: Rehber opt-out değil, kişinin bilinçli eylemiyle onay verdiği opt-in sistemi ister. Açık rıza gerektiren kategorilerin tercih ekranında önceden seçili gelmesi bu beklentiyle bağdaşmaz.
Farklı amaçlar için tek rıza: Sosyal medya eklentisi ile kişiselleştirilmiş reklam farklı amaçlardır. Rehber, her farklı amaç için ayrı açık rıza verilebilecek bir mekanizma kurulmasını ister.
Rızayı hizmet şartına bağlamak: Reklam çerezleri için açık rıza kullanım koşullarına iliştirilemez ve sözleşmenin ön koşulu yapılamaz. Tüm çerezler kabul edilmeden içeriğe erişim vermeyen çerez duvarları da özgür iradeyi sakatlayabilir; Rehber bunun olay bazında değerlendirileceğini belirtir.
Zorunlu çerezler için rıza istemek: Rehber'e göre sitenin temel işlevselliği için kullanılan ve Kriter A veya B'ye giren çerezlerde açık rıza istemek, hukuka ve dürüstlük kuralına uygunluk ilkesiyle bağdaşmaz. Bu çerezler için aydınlatma yapılır, rıza istenmez.
Sitedeki gerçeği yansıtmayan tablo: Şablondan kopyalanan, sitede olmayan çerezleri sayan ya da yeni eklenen etiketleri içermeyen bir tablo, Tebliğ'in yasakladığı eksik ve yanıltıcı bilgi riskini doğurur.
Yayın Öncesi Kontrol Listesi
Aşağıdaki liste, Rehber'in Ek-1'deki kontrol listesini yukarıdaki bölümlerle birleştirir. Politikayı yayına almadan önce ve sitede her önemli değişiklikten sonra kullanabilirsiniz.
Bu kontrol listesi farkındalık ve öz değerlendirme amacıyla hazırlanmıştır, hukuki değerlendirmenin yerini tutmaz. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Çerez Politikası Kontrol Listesi
| # | Kontrol noktası | Dayanak |
|---|---|---|
| 1 | Sitede çalışan tüm çerezlerin güncel envanteri var mı? | Rehber Ek-1 |
| 2 | Her çerez için ad, sağlayıcı, amaç, süre ve birinci/üçüncü taraf bilgisi yazıldı mı? | Rehber bölüm 7.1 ve 9 |
| 3 | Veri sorumlusunun kimliği metinde yer alıyor mu? | KVKK md. 10/1-a |
| 4 | Her çerez grubunun amacı ve hukuki sebebi ayrı ayrı belirtildi mi? | KVKK md. 10/1-b ve ç; Tebliğ md. 5 |
| 5 | Aktarım yapılan alıcı grupları ve aktarım amacı yazıldı mı? | KVKK md. 10/1-c |
| 6 | Yurt dışına aktarım varsa md. 9 değerlendirmesi yapıldı mı? | KVKK md. 9; Rehber bölüm 8 |
| 7 | İlgili kişi hakları ve başvuru yolu anlatıldı mı? | KVKK md. 10/1-d ve md. 11 |
| 8 | Politikaya siteye girişte açılan çerez panelinden erişilebiliyor mu? | Rehber bölüm 7.3 ve 9 |
| 9 | Açık rıza gerektiren çerezler panelde ilk açılışta pasif mi? | Rehber bölüm 7.3 ve 10 |
| 10 | Politika metni rıza beyanı içermiyor mu; aydınlatma ile rıza ayrı mı? | Tebliğ md. 5/1-f |
| 11 | Tercihi değiştirme ve rızayı geri alma yolu anlatıldı mı? | Rehber bölüm 7.3 |
| 12 | Yürürlük ve güncelleme tarihi ile gözden geçirme periyodu belirlendi mi? | Rehber Ek-1 |
Sonuç ve Sonraki Adım
İyi bir çerez politikası; sitede gerçekten çalışan çerezleri anlatan, Kanun'un 10. maddesindeki bilgileri eksiksiz veren ve rıza panelinden ayrı tutulan bir aydınlatma belgesidir. Rehber'in Ek-4'teki örnek metni iyi bir başlangıç yapısı sunar, ancak Rehber'in kendi notuna göre örnek mahiyetindedir; her sitenin kendi çerezlerine göre uyarlanması gerekir.
İlk adım olarak sitenizi temiz bir tarayıcı oturumunda açın ve yüklenen çerezleri mevcut politikanızdaki tabloyla karşılaştırın. Şirketinizin genel uyum düzeyini görmek için ücretsiz KVKK testi ile başlayabilirsiniz. Çerez politikası dahil aydınlatma ve açık rıza metinlerinin hazırlanmasını kapsayan hizmet için Standart KVKK Uyum Paketi sayfasını, kapsamlı bir uyum çalışması için KVKK danışmanlığı sayfasını inceleyebilirsiniz.
Sık Sorulan Sorular
Kanun “çerez politikası” adında bir belge saymaz. Ancak site çerezlerle kişisel veri işliyorsa KVKK md. 10 uyarınca veri elde edilirken aydınlatma yapılması gerekir. Rehber bu aydınlatmanın siteye giriş aşamasında yapılmasını ister; uygulamada bu bilgiler çerez politikası sayfasında verilir.
Evet, aydınlatma gerekir. Rehber ve Aydınlatma Tebliği'ne göre aydınlatma, hangi hukuki sebebe dayanıldığından bağımsız olarak kişisel verinin işlendiği her durumda yapılır. Zorunlu çerezler için açık rıza gerekmez, ancak bilgilendirme yine yapılır.
Rehber'in Ek-4'teki örnek metni, kendi notuna göre örnek mahiyetindedir ve her olay özelinde değerlendirme yapılmasını tavsiye eder. Yapıyı başlangıç olarak kullanabilirsiniz; tablo ve hukuki sebepler ise sitenizde gerçekten çalışan çerezlere göre yazılmalıdır. Rehber'in künyesi, içeriğin bireysel kullanım dışında izin alınmadan kopyalanamayacağını da belirtir.
Rehber; piksel, kullanıcı parmak izi, local storage ve beacon gibi benzer teknolojiler hakkında yönlendirme içermediğini açıkça belirtir. Bu teknolojilerle kişisel veri işleniyorsa Kanun'un genel hükümleri ve aydınlatma yükümlülüğü geçerliliğini korur. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Mevzuatta sabit bir süre yoktur. Rehber'in kontrol listesi uygun bir gözden geçirme periyodu belirlenmesini önerir. Pratikte siteye yeni bir çerez, etiket veya üçüncü taraf hizmeti eklendiğinde tablo da güncellenmelidir.
Çerez politikanızı uyum programının parçası yapın
Standart KVKK Uyum Paketi; veri işleme envanteri, aydınlatma ve açık rıza metinleri ile çerez politikasını tek programda ele alır.
Standart uyum paketini inceleyinKaynaklar
- Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69) — Kişisel Verileri Koruma Kurumu (2025-07)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ — Resmî Gazete (2018-03-10)
