Çerez onayı KVKK açısından ancak belirli koşullarla geçerli olur. Kesinlikle gerekli çerezler rıza beklemeden çalışabilir; reklam ve kullanıcıyı siteler arası izleyen çerezler ise açık rıza ister. Ekranda kabul ve reddet seçenekleri eşit görünürlükte sunulmalı, rıza gerektiren etiketler onay verilmeden çalışmamalı, verilen onay kayıt altına alınmalı ve kolayca geri çekilebilmelidir.
Çerez Ekranı Bir Rıza Sürecidir
Pek çok sitede çerez ekranı, tasarım ekibinin son anda eklediği bir açılır pencereden ibarettir: büyük ve renkli bir “Kabul et” düğmesi, gri bir “Ayarlar” bağlantısı ve arka planda sayfa açılır açılmaz çalışmaya başlayan reklam etiketleri. Bu kurgu, çerez onayı KVKK beklentilerini karşılamaktan uzaktır ve şikâyet hâlinde pazarlama ekibinin topladığı verinin hukuki dayanağını tartışmalı hâle getirir.
Bu yazıda Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi'ni temel alarak, uyumlu bir çerez onay ekranının nasıl kurgulanacağını adım adım anlatıyoruz. Yazının sonundaki kontrol listesiyle kendi ekranınızı pazarlama, yazılım ve hukuk ekipleriyle birlikte değerlendirebilirsiniz.
Kurul'un Çerez Rehberinin Temel Beklentileri
Çerezler 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (KVKK) ayrıca düzenlenmez. Rehber, 5809 sayılı Elektronik Haberleşme Kanunu'nun 51. maddesinin yalnızca elektronik haberleşme işletmecileri için sınırlı bir uygulama alanı bulduğunu, diğer internet siteleri bakımından ise çerezler aracılığıyla yapılan kişisel veri işlemeye KVKK'nın uygulanacağını belirtir.
Rehber'in yaklaşımı iki kritere dayanır. Kriter A, çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılmasıdır. Kriter B ise çerezin, kullanıcının açıkça talep ettiği bir hizmet için kesinlikle gerekli olmasıdır. Bu kriterlere girmeyen çerezlerde veri sorumlusu, işlemenin açık rıza dışındaki bir hukuki sebebe dayanıp dayanamayacağını değerlendirir; dayanamıyorsa açık rıza alır.
Kurul'un 10.03.2022 tarihli ve 2022/229 sayılı kararı da bu yaklaşımı somutlaştırır. Bir e-ticaret sitesine ilişkin bu kararda Kurul, pazarlama ve performans analitiği amaçlı çerezler için açık rıza gerektiğine, varsayılan ayarda bu çerezlerin çalışmadığı ve kullanıcının aktif onayıyla devreye girdiği bir sistem kurulmasına hükmetmiştir. Kararın özetine Kurum'un sitesinden ulaşabilirsiniz.
Rehberin Pazarlama Ekipleri İçin Öne Çıkan Beklentileri
Belirli konuya ilişkin rıza: Rıza alınırken çerezin kullanım amacı, amaçla ölçülü belirlenmiş süresi ve birinci ya da üçüncü taraf olup olmadığı belirtilmelidir. “Kişisel verilerimin işlenmesini kabul ediyorum” gibi belirsiz bir ifade açık rıza sayılmaz.
Ayrı aydınlatma: Aydınlatma, çerez yönetim panelinde ya da panele konan bir bağlantıyla kolayca erişilebilir olmalıdır. Karmaşık ve pek çok başka konuyu içeren bir gizlilik bildirimi tek başına yeterli kabul edilmez.
Sözleşmeye iliştirme yok: Reklam çerezleri için açık rıza, kullanım koşulları veya gizlilik bildirimi gibi belgelerin içine iliştirilerek alınamaz ve hizmetin ön koşulu olarak dayatılamaz.
Üçüncü taraflarla birlikte sorumluluk: Siteye üçüncü taraf çerezi yerleştirildiğinde hem site sahibi hem üçüncü taraf, kullanıcının bilgilendirilmesini ve rızasının alınmasını sağlamakla yükümlü görülür.
Zorunlu ve Zorunlu Olmayan Çerez Ayrımı
Uyumlu bir çerez ekranının ilk adımı ekranın kendisi değil, envanterdir. Sitenizde hangi çerezlerin ve hangi üçüncü taraf etiketlerin çalıştığını bilmeden hangilerinin rıza gerektirdiğine karar veremezsiniz. Envanter çıkarılırken her çerez için adı, sağlayıcısı, amacı, süresi ve birinci ya da üçüncü taraf olduğu kaydedilir.
Sık yapılan hata, bir aracı “zorunlu” kategorisine yalnızca iş açısından önemli olduğu için koymaktır. Reklam ölçümü pazarlama ekibi için vazgeçilmez olabilir, ancak bu kullanıcının talep ettiği hizmet için kesinlikle gerekli olduğu anlamına gelmez. Sınıflandırmada belirsizlik varsa çerez rıza gerektiren grupta değerlendirilmeli ve karar gerekçesiyle kayda alınmalıdır.
Çerez Türleri ve Hukuki Dayanak
| Çerez türü | Rehber'deki değerlendirme | Pratik sonuç |
|---|---|---|
| Oturum, sepet, form girdisi, kimlik doğrulama | Kullanıcının talep ettiği hizmet için kesinlikle gerekli (Kriter B) | Rıza beklemeden çalışabilir; aydınlatma yine yapılır |
| Güvenlik ve yük dengeleme | Hizmetin güvenli ve kesintisiz sunulması için gerekli (Kriter A veya B) | Rıza beklemeden çalışabilir |
| Rıza tercihini saklayan çerez | Rıza yönetim platformunun çalışması için gerekli (Kriter B) | Rıza beklemeden çalışabilir |
| Birinci taraf analitik | Yalnızca sitenin işleyişi ve hedef kitlenin ölçümüyle sınırlıysa Kriter B kapsamında değerlendirilebilir | IP maskeleme, anonim istatistik ve siteler arası takip yapılmaması şartıyla; aksi hâlde rıza gerekir |
| Sosyal eklenti takip çerezleri | Açık rıza gerektiren senaryolar arasında | Onaydan önce çalışmamalı |
| Davranışsal reklam ve yeniden pazarlama | Açık rıza gerektirir; gösterim sıklığı, tıklama sahtekârlığı tespiti gibi reklama bağlı amaçlar da dahil | Onaydan önce çalışmamalı |
Kabul ve Reddin Eşit Görünürlüğü
Rehber, siteye girildiğinde bir çerez yönetim panelinin açılmasını ve panelde “kabul et”, “reddet” ve “tercihler” seçeneklerinin renk, büyüklük ve punto açısından eşit derecede sunulmasını iyi uygulama örneği olarak gösterir. Ayrıca açık rızayla işlenmesi gereken çerezlerin yönetim panelinde ilk açıldığında pasif, yani seçili olmayan biçimde gelmesinin önemine dikkat çeker.
Ekran Tasarımında Bakılacak Noktalar
Reddetme ilk katmanda: “Reddet” seçeneği, ikinci bir ekrana veya ayarlar menüsünün içine gizlenmemeli; “Kabul et” ile aynı katmanda yer almalıdır.
Görsel denge: Bir düğmenin dolgu renkli, diğerinin soluk metin bağlantısı olması kullanıcıyı yönlendirir. Düğmeler aynı biçimde tasarlanmalıdır.
Önceden işaretli kutu yok: Tercihler ekranında analitik, reklam veya sosyal medya kategorileri varsayılan olarak açık gelmemelidir.
Sessizlik onay değildir: Sayfayı kaydırmak, siteyi kullanmaya devam etmek veya paneli kapatmak aktif bir onay beyanı değildir; bu davranışlar rıza olarak kaydedilmemelidir.
Çerez duvarına dikkat: Rehber'e göre içeriğe erişim yalnızca tüm çerezlerin kabulüne bağlanırsa, bu durum özgür iradeyi sakatlayabilir ve alınan rıza geçerli olmayabilir. Adil alternatif sunulup sunulmadığı olay bazında değerlendirilir.
Rıza yorgunluğu: Kullanıcıya her ziyarette yeniden sorulmamalı; Rehber, tercihin çerez ömrüyle orantılı aralıklarla hatırlatılmasını uygun görür.
Onay Öncesi Çalışan Etiketlerin Engellenmesi
Ekran ne kadar doğru tasarlanırsa tasarlansın, reklam ve takip etiketleri sayfa yüklenir yüklenmez çalışıyorsa alınan onayın bir anlamı kalmaz. Kurul'un 2022/229 sayılı kararındaki “varsayılan olarak çalışmama” beklentisi, teknik kurulumda doğrudan karşılığı olan bir gerekliliktir.
Bu testler bir kez yapılıp bırakılmamalıdır. Kampanya dönemlerinde yeni piksellerin eklenmesi, rıza kurgusunu sessizce bozmanın en yaygın yoludur. Yeni etiket eklenmeden önce pazarlama ve yazılım ekipleri arasında kısa bir onay adımı tanımlamak bu riski azaltır.
Etiketleri Rızaya Bağlamak İçin Teknik Adımlar
Etiketleri rızaya bağlayın: Etiket yöneticisi (tag manager) kullanılıyorsa her etiketin hangi rıza kategorisi verildiğinde tetikleneceği tanımlanmalıdır. Sayfa koduna doğrudan gömülü pikseller, etiket yöneticisinin kontrolü dışında kaldığı için ayrıca taranmalıdır.
İlk yüklemeyi test edin: Tarayıcı önbelleği ve çerezler temizlenmiş bir oturumda site açılır, hiçbir seçim yapılmadan tarayıcının geliştirici araçlarında yerleştirilen çerezler ve üçüncü taraf istekleri incelenir. Bu aşamada yalnızca kesinlikle gerekli çerezler görünmelidir.
Reddi test edin: “Reddet” seçildikten sonra sayfalar arasında gezinilerek reklam ve analitik isteklerinin gönderilmediği doğrulanır.
Mobil uygulamayı unutmayın: Uygulama içi reklam ve analitik kütüphaneleri de aynı mantıkla rızaya bağlanmalıdır; 2022/229 sayılı karar mobil uygulamaları da kapsamaktadır.
Yurt dışı aktarımı kontrol edin: Etiketler veriyi yurt dışındaki sağlayıcılara gönderiyorsa, Rehber'in de hatırlattığı gibi aktarım KVKK md. 9 ve Yurt Dışı Aktarım Yönetmeliği'ne uygun olmalıdır.
Onay Kaydı ve Geri Çekme
Rıza, ihtilaf anında gösterilebildiği ölçüde değerlidir. Rehber, aydınlatma yükümlülüğünün yerine getirildiğinin ispatının veri sorumlusuna ait olduğunu hatırlatır; rızaya dayanan işlemelerde de rızanın alındığını gösterebilmek veri sorumlusunun yararınadır. Bu nedenle onay yönetim platformunun her tercih için anlamlı bir kayıt tutması gerekir.
Kayıtta genellikle şu bilgiler yer alır: tercihin tarihi ve saati, verilen veya reddedilen kategoriler, o sırada gösterilen panel metninin ve çerez politikasının sürümü ve tercihi tarayıcıyla eşleştiren anonim bir tanımlayıcı. Kaydı kişiyi gereksiz yere tanımlayan verilerle zenginleştirmemek, veri minimizasyonu ilkesinin gereğidir.
Geri çekme, rızanın verilmesi kadar kolay olmalıdır. Rehber, rıza yönetim platformunun sayfanın bir köşesinde içeriği engellemeyecek küçük bir simge veya bant olarak erişilebilir kalmasını iyi örnek olarak gösterir. Kullanıcı rızasını geri çektiğinde ilgili etiketlerin çalışması durdurulmalı ve daha önce yerleştirilen rıza gerektiren çerezler mümkün olduğunca temizlenmelidir.
Çerez rızası ile ticari elektronik ileti onayı birbirinin yerine geçmez. Çerez ekranında verilen bir onay, kişiye kampanya e-postası veya SMS göndermek için dayanak olmaz; bu konuyu İYS izni yazımızda ayrıntılı ele aldık.
Kontrol Listesi (İndirilebilir)
Aşağıdaki liste, çerez ekranınızı yayına almadan önce ve her önemli site değişikliğinden sonra gözden geçirmeniz için hazırlandı. İndirilebilir sürümde her madde için kanıt sütunu ve sorumlu birim alanı bulunur.
Bu kontrol listesi farkındalık ve öz değerlendirme amacıyla hazırlanmıştır, hukuki değerlendirmenin yerini tutmaz. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Çerez Onay Ekranı Kontrol Listesi
| # | Kontrol noktası | Dayanak / not |
|---|---|---|
| 1 | Sitedeki tüm çerez ve üçüncü taraf etiketlerin güncel envanteri var mı? | Sınıflandırmanın ön koşulu |
| 2 | Her çerez için amaç, süre ve birinci/üçüncü taraf bilgisi belirlendi mi? | Rehber: belirli konuya ilişkin rıza |
| 3 | Kesinlikle gerekli çerezler gerekçesiyle ayrıldı mı? | Kriter A ve B |
| 4 | Panelin ilk katmanında kabul, reddet ve tercihler seçenekleri eşit görünürlükte mi? | Rehber: renk, büyüklük, punto eşitliği |
| 5 | Rıza gerektiren kategoriler varsayılan olarak kapalı mı? | Rehber; Kurul kararı 2022/229 |
| 6 | Sayfa kaydırma veya paneli kapatma rıza olarak kaydedilmiyor mu? | Açık rıza aktif beyan gerektirir |
| 7 | Hiçbir seçim yapılmadan yalnızca kesinlikle gerekli çerezlerin yüklendiği test edildi mi? | Onay öncesi engelleme |
| 8 | Reddet seçildiğinde reklam ve analitik isteklerinin durduğu doğrulandı mı? | Rızanın anlamlı olması |
| 9 | Panelden çerez aydınlatma metnine erişilebiliyor mu? | KVKK md. 10; Aydınlatma Tebliği |
| 10 | Rıza tercihleri tarih, kategori ve metin sürümüyle kayıt altına alınıyor mu? | İspat |
| 11 | Kullanıcı tercihini sonradan kolayca değiştirebiliyor mu? | Rızanın geri alınabilirliği |
| 12 | Yurt dışındaki sağlayıcılara aktarım için md. 9 değerlendirmesi yapıldı mı? | KVKK md. 9; Yurt Dışı Aktarım Yönetmeliği |
Sonuç ve Sonraki Adım
Çerez onayı KVKK açısından üç sorunun cevabına dayanır: Hangi çerez gerçekten zorunlu? Kullanıcı rızasını özgürce verip reddedebiliyor mu? Rıza gerektiren etiketler onaydan önce gerçekten durduruluyor mu? Ekran tasarımı, teknik kurulum ve kayıt düzeni bu üç soruya birlikte cevap verdiğinde uyumlu bir yapıdan söz edilebilir.
İlk adım olarak sitenizi temiz bir tarayıcı oturumunda açıp hiçbir seçim yapmadan hangi çerezlerin yüklendiğine bakın. Bu beş dakikalık test çoğu zaman en önemli boşluğu gösterir. Çevrim içi satış yapan şirketler için diğer KVKK başlıklarını e-ticaret siteleri için KVKK rehberimizde, kapsamlı bir uyum çalışmasının adımlarını ise KVKK danışmanlığı sayfamızda inceleyebilirsiniz.
Sık Sorulan Sorular
Uygulamada çerezlere ilişkin aydınlatma çoğunlukla “çerez politikası” adlı sayfada yapılır. Önemli olan belgenin adı değil, KVKK md. 10 ve Aydınlatma Tebliği'ndeki unsurları açık ve sade biçimde içermesi ve rıza metninden ayrı tutulmasıdır.
AB'deki kişilere mal veya hizmet sunuyor ya da onların davranışlarını izliyorsanız GDPR ve AB'nin e-gizlilik kuralları da gündeme gelebilir. Hedef pazarınıza göre somut olay özelinde hukuki değerlendirme alınmalıdır.
Hayır. Platform yalnızca bir araçtır; çerezlerin doğru sınıflandırılması, etiketlerin rızaya bağlanması ve metinlerin güncel tutulması veri sorumlusunun sorumluluğundadır. Platform sağlayıcısının verileri nerede barındırdığı da ayrıca değerlendirilmelidir.
Mevzuatta sabit bir süre yoktur. Rehber, her girişte rıza istenmesinin rıza yorgunluğuna yol açabileceğini belirtir ve tercihin çerez ömrüyle orantılı aralıklarla hatırlatılmasını uygun görür.
Çerez ekranınızı kontrol listesiyle değerlendirin
Çerez envanterinden onay kaydına kadar pazarlama ekiplerinin KVKK sorumluluklarını departman sayfamızda inceleyin ve kontrol listesini ücretsiz indirin.
Kontrol listesini ücretsiz indirinKaynaklar
- Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69) — Kişisel Verileri Koruma Kurumu (2025-07)
- Kurul'un 10.03.2022 tarihli ve 2022/229 sayılı karar özeti (e-ticaret sitesinde çerezler aracılığıyla veri işlenmesi) — Kişisel Verileri Koruma Kurumu (2022-03-10)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ — Resmî Gazete (2018-03-10)
