Web Sitesinde KVKK ve Çerez Bandı: Neye Dikkat Edilmeli?

Çerez bandı çoğu sitede sonradan eklenen bir eklentidir ve çoğu zaman yalnız "Kabul et" butonu gösteren, arka planda tüm etiketleri sayfa açılır açılmaz çalıştıran bir kutudan ibarettir. Kişisel Verileri Koruma Kurumu'nun rehberi ise bandın nasıl görünmesi gerektiğinden çok, arkasındaki mantığı tarif eder: hangi çerez hangi hukuki sebebe dayanıyor, rıza ne zaman ve nasıl alınıyor, kullanıcı fikrini nasıl değiştiriyor. Bu yazıda rehberin güncel sürümünü ve Google'ın izin modu dokümanını temel alıyoruz.

Hangi kurallar geçerli?

Çerezler 6698 sayılı Kanun'da ayrıca düzenlenmiyor. Kurum'un rehberi, çerezler aracılığıyla kişisel veri işlenmesine 6698 sayılı Kanun'un uygulanabileceğini ve Kurul'un 27/02/2020 tarihli, 2020/173 sayılı kararının dikkate alınabileceğini belirtiyor 1. Rehberin kullandığımız sürümü, Kurum'un "KVKK Yayınları No: 69" olarak Temmuz 2025'te yayımladığı güncel metindir 1.

Rehberin temel yaklaşımı şu: veri sorumlusu önce çerezle yapılan işlemenin Kanun'un 5. ve 6. maddelerinde sayılan açık rıza dışındaki şartlardan birine dayanıp dayanmadığını değerlendirmeli; hiçbirine dayanmıyorsa işleme açık rızaya dayanmalıdır 1. Hangi şarta dayanılırsa dayanılsın, verinin elde edildiği anda aydınlatma yapılması Kanun'un 10. maddesinden gelen ayrı bir yükümlülüktür 2.

Zorunlu ve zorunlu olmayan çerezler

Rehber, açık rıza aranmayabilecek çerezler için iki kriter tanımlıyor. Kriter A, çerezin yalnız iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılmasıdır. Kriter B, çerezin kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olmasıdır 1. Bu kriterlere giren çerezlerde örneğin sözleşmenin kurulması veya meşru menfaat şartına dayanılabileceği değerlendiriliyor 1.

Analitik satırındaki "koşullu" ifadesi önemli. Rehber, birinci taraf analitik çerezlerin Kriter B kapsamında değerlendirilebilmesi için amacın sitenin hedef kitlesini ölçmekle sınırlı olmasını, yalnız anonim istatistik üretilmesini, siteler arası çapraz takip yapılmamasını öneriyor; IP maskelemeyi, makul çerez ömrünü ve verilerin üçüncü taraflara iletilmemesini de alınabilecek önlemler arasında sayıyor 1. Verileri yurt dışındaki bir şirkete aktaran bir hizmet kullanıyorsanız, rehber bu aktarımın ayrıca Kanun'un 9. maddesine ve yurt dışı aktarım yönetmeliğine uygun yapılması gerektiğini hatırlatıyor 1. Sunucu ve veri konumu konusunu hosting seçimi yazısında ele aldık.

Reklam tarafında rehber nettir: davranışsal reklamcılık çerezleri, gösterim sıklığı, reklam ortaklığı, tıklama sahteciliğini algılama ve pazar analizi gibi amaçlarla kullanılanlar dahil, açık rıza gerektirir 1.

Açık rıza nasıl alınmalı?

Rehbere göre açık rıza, ilgili kişinin neye onay verdiği konusunda spesifik ve ayrı biçimde bilgilendirilmesiyle ve aktif, olumlayıcı bir eylemle alınmalıdır. Siteye girilmiş olması, sitedeki çerezlere rıza verildiği anlamına gelmez 1. Üç unsur aranır 1:

• Belirli bir konuya ilişkin olma: çerezin amacı, süresi ve birinci veya üçüncü taraf olup olmadığı belirtilmeli. "Kişisel verilerimin işlenmesini kabul ediyorum" gibi genel bir ifade açık rıza sayılmaz.
• Bilgilendirmeye dayanma: rıza, aydınlatmadan sonra ve ondan ayrı alınmalı.
• Özgür irade: rıza her zaman geri alınabilmeli; reklam çerezlerine rıza kullanım koşullarına veya gizlilik bildirimine iliştirilemez ve hizmetin ön şartı yapılamaz.

Rehber çerez duvarlarını da ayrıca ele alıyor: tüm çerezlere onay verilmedikçe içeriğe erişimi engelleyen bir duvar, rızayı hizmetin ön koşulu hâline getiriyorsa alınan rıza geçerli sayılmayabilir 1.

Aydınlatma metni, çerez politikası ve açık rıza farkı

Bu üç kavram sık karıştırılır. Aralarındaki fark, sitede nerede durduklarını da belirler.

Rehber, aydınlatmanın siteye giriş aşamasında yapılması gerektiğini ve karmaşık, pek çok konuyu bir arada anlatan gizlilik bildirimlerinin aydınlatma yükümlülüğünün yerine getirildiği şeklinde yorumlanamayacağını belirtiyor 1. Metinlerin içeriği hukuk danışmanınızın işidir; sitenin görevi bu metinleri doğru anda ve kolay erişilir biçimde göstermektir.

Çerez bandının tasarım ilkeleri

Rehberde bandın tasarımına doğrudan değinen ifadeler şunlar 1:

• Siteye girildiği anda bir çerez yönetim paneli açılması ve panelde "kabul et", "reddet" ve "tercihler" butonlarının renk, büyüklük ve punto açısından eşit sunulması iyi uygulama örneğidir.
• Açık rızaya tabi çerezler panelde ilk açılışta pasif gelmelidir.
• Panelde çerezlerle veri işlemeye dair bir açıklama ya da bağlantı bulunmalıdır.
• Rızanın kolayca geri alınabilmesi için panel, içeriği engellemeyecek küçük bir ikon veya bant olarak sayfanın bir köşesinde erişilebilir kalmalıdır.
• Rıza her girişte yeniden istenmemeli, rıza yorgunluğuna yol açmamalıdır; tercih, çerezin ömrüyle orantılı aralıklarla hatırlatılabilir.

Bunlara erişilebilirlik açısından iki not ekleyelim: panel klavyeyle kullanılabilmeli ve ekran okuyucular tarafından okunabilmeli; butonlar yalnız renk farkıyla ayrışmamalıdır. Aksi hâlde kullanıcıların bir kısmı tercih yapamaz.

Etiketler rızadan önce çalışmamalı: Google izin modu

Bandın görünüşü doğru olsa bile, reklam ve analitik etiketleri sayfa açıldığı anda çalışıyorsa rıza mekanizması işlevsizdir. Rehber, açık rızanın çerezler yerleştirilmeden önce alınması gerektiğini vurguluyor 1.

Google'ın izin modu bu noktada etiketlerin davranışını yönetir. İzin modu, reklam ve analitik amaçlı veri toplamayı kullanıcının iznine göre kontrol etmenizi sağlar; ad_storage, analytics_storage, ad_user_data ve ad_personalization izin türlerini kullanır; önce varsayılan izin durumunun ayarlanmasını, ardından kullanıcının seçimine göre güncellenmesini ister 4. Google, izin modunun kendisinin bir bant sunmadığını; kendi izin çözümünü yöneten geliştiriciler için olduğunu ya da bir izin yönetim platformu kullanılabileceğini belirtiyor 4.

İki uygulama biçimi var 3:

1. Temel mod: Google etiketleri, kullanıcı izin bandıyla etkileşime girene kadar yüklenmez; bu aşamada Google'a izin durumu dahil hiçbir veri gitmez.
2. Gelişmiş mod: etiketler sayfa açılınca yüklenir, varsayılan izinler reddedilmiş olarak ayarlanır ve izin reddedildiğinde etiketler çerez kullanmadan ölçüm gönderir.

Rehberin "rıza öncesi çerez yerleştirilmemeli" ilkesine en doğrudan karşılık gelen yapı temel moddur. Gelişmiş modda rıza öncesi gönderilen çerezsiz ölçümlerin KVKK açısından değerlendirmesini danışmanınızla yapın. Google da sitede kullanıcı izninin alınmasından sitenin sorumlu olduğunu açıkça yazıyor 3.

Adım adım uygulama

1. Sitedeki tüm çerezleri ve etiketleri listeleyin: adı, amacı, süresi, birinci veya üçüncü taraf olduğu 1.
2. Her çerezi Kriter A, Kriter B ya da açık rıza grubuna yerleştirin; analitik için rehberdeki koşulları tek tek kontrol edin 1.
3. Yurt dışına veri aktaran hizmetleri işaretleyin ve aktarım dayanağını danışmanınızla belirleyin 1.
4. Aydınlatma metni ve çerez politikasını hukuk danışmanınızla hazırlayın 2.
5. Bandı eşit görünürlükte üç seçenekle, rızaya tabi çerezler kapalı başlayacak şekilde tasarlayın 1.
6. Etiket yöneticisinde varsayılan izinleri reddedilmiş olarak ayarlayın ve kullanıcı seçimini izin moduna aktarın 4.
7. Yayından önce tarayıcının geliştirici araçlarında, hiçbir seçim yapılmadan hangi çerezlerin yazıldığını kontrol edin.
8. Rıza değiştirme ikonunun her sayfada erişilebilir olduğunu doğrulayın.

Çerez bandı, yeni bir site kurulurken etiket mimarisiyle birlikte tasarlandığında en az sorun çıkarır. Kurumsal sitelerde bu kurguyu nasıl ele aldığımızı kurumsal web sitesi hizmet sayfamızda; e-ticaret sitelerindeki diğer yükümlülükleri e-ticaret sitesi yasal yükümlülükler yazısında bulabilirsiniz. Yayından önceki son kontroller için web sitesi yayına alma kontrol listesi yazısına da bakabilirsiniz.