Çerez Politikası ve Çerez Bandı Nasıl Hazırlanır? KVKK Rehberine Göre Adım Adım

Önce çerçeve: Kriter A ve Kriter B

6698 sayılı Kanun çerezleri ayrıca düzenlemez; çerez yoluyla kişisel veri işleniyorsa Kanunun genel hükümleri, özellikle md. 4 (genel ilkeler), md. 5 (işleme şartları) ve md. 10 (aydınlatma) uygulanır. Rehber, 5809 sayılı Elektronik Haberleşme Kanunu md. 51/3'ün yalnızca elektronik haberleşme işletmecilerini kapsadığını, sıradan site sahiplerinin bu kapsamda olmadığını belirtir ve veri sorumlularına iki ölçüt önerir:

• Kriter A: Çerezin sadece iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması (örneğin yük dengeleme).
• Kriter B: Çerez kullanımının, kullanıcının açıkça talep ettiği bilgi toplumu hizmeti için kesinlikle gerekli olması (örneğin giriş yapmış kullanıcının oturumu, alışveriş sepeti).

Rehberin yaklaşımına göre veri sorumlusu önce işlemenin açık rıza dışındaki bir hukuki sebebe (md. 5/2) dayanıp dayanmadığını değerlendirmeli; hiçbirini karşılamıyorsa açık rızaya (md. 5/1) başvurmalıdır. Kriter A ve B kapsamındaki çerezler genellikle açık rıza gerektirmez; ancak aydınlatma her durumda gerekir.

Adım 1: Sitenizin hangi çerezleri yazdığını tespit edin

Rehberin ekindeki kontrol listesinin ilk maddeleri de budur: hangi çerezleri kullandığınızı bilmeden ne bant ne politika doğru yazılabilir. En pratik yöntem tarayıcının geliştirici araçlarıdır (Chrome DevTools: View, add, edit, and delete cookies):

• Chrome'da sitenizi gizli pencerede açın; böylece eski çerezler ve önceki tercihler karışmaz.
• Banda henüz hiçbir şey tıklamadan F12 ile DevTools'u açın ve Application > Storage > Cookies bölümüne gidin.
• Soldaki listede her köken (origin) ayrı görünür. Kendi alan adınız dışındaki kökenler, sayfaya gömülü üçüncü taraf bileşenlerden gelir.
• Tabloda Name, Domain, Expires / Max-Age, HttpOnly, Secure, SameSite sütunlarını not edin. Süre ve alan adı, politikada yazacağınız bilgilerin temelidir.
• Şimdi “Reddet” deyip sayfayı yenileyin ve listeyi tekrar kontrol edin; ardından aynısını “Kabul et” ile yapın. Reddettikten sonra hâlâ analitik veya reklam çerezi görüyorsanız bandınız işini yapmıyordur.
• Birkaç farklı sayfa şablonunu (ana sayfa, ürün, iletişim, ödeme) ayrı ayrı test edin; video, harita ve sosyal medya gömmeleri genellikle belirli sayfalarda çerez bırakır.

Adım 2: Çerezleri sınıflandırın

Rehber çerezleri süresine (oturum/kalıcı), tarafına (birinci/üçüncü) ve amacına göre (zorunlu, işlevsel, performans-analitik, reklam/pazarlama) ayırır. Aşağıdaki tablo rehberdeki kullanım senaryolarını özetler; sizin durumunuzdaki değerlendirme somut kurulumunuza bağlıdır.

Adım 3: Çerez bandını rehberdeki kurallara göre tasarlayın

Rehberin “Özgür İradeyle Açıklanması” bölümü (7.3) ile EK-2, EK-3 ve EK-5'teki iyi ve kötü örnekler, bant tasarımı için şu somut ölçüleri verir:

• Panel siteye girildiği anda çıkmalı; pop-up veya bant olabilir.
• “Kabul et”, “Reddet” ve “Tercihler” butonları renk, büyüklük ve punto açısından eşit derecede sunulmalı. Sadece “Tümünü kabul et” butonu olan bant rehberde kötü örnek olarak gösteriliyor (EK-5, Kötü Örnek 1 ve 2).
• Açık rızaya tabi çerezler tercih panelinde ilk elde pasif (kapalı) gelmeli. Anahtarları önceden açık gelen panel rehberde opt-out mantığı nedeniyle kötü örnek (EK-5, Kötü Örnek 3).
• “Sitemizi kullanarak çerez kullanımına izin vermektesiniz” gibi ifadeler rıza yerine geçmez. Rehbere ve Kurulun 27.02.2020 tarihli, 2020/173 sayılı kararına göre açık rıza aktif bir eylemle verilir; siteye girmek rıza değildir (EK-5, Kötü Örnek 4).
• Farklı amaçlar (analitik, reklam, sosyal medya) için ayrı ayrı rıza verilebilmeli; tek bir “Kabul ediyorum” ile hepsini toplamak önerilmiyor.
• Bantta kullanılan çerezlerin amaçları ve birinci/üçüncü taraf olup olmadıkları kısaca belirtilmeli; aydınlatma metnine giden bağlantı, ayar paneli bağlantısıyla karışmayacak şekilde açıkça adlandırılmalı.
• Zorunlu çerezler için rıza istemeyin. Kriter A veya B kapsamındaki bir çerez için açık rıza almak, rehbere göre “hukuka ve dürüstlük kuralına uygun olma” ilkesiyle bağdaşmaz.
• Reklam çerezi rızası Kullanım Koşulları veya Gizlilik Bildirimi içine gömülemez ve bir sözleşmenin ön koşulu olarak dayatılamaz.
• Çerez duvarı, yani tüm çerezler kabul edilmeden içeriği göstermemek, rehbere göre özgür iradeyi sakatlayabilir; her olay ayrıca değerlendirilir.
• Her ziyarette yeniden sormayın. Rehber “rıza yorgunluğu”na dikkat çekiyor ve tercihin, çerezin ömrüyle orantılı aralıklarla hatırlatılmasını uygun görüyor.

Adım 4: Rızanın geri alınmasını kolaylaştırın

Kanunda tanımlanan açık rıza (md. 3/1-a) dilediği zaman geri alınabilir olmalı. Rehber bunun için çerez yönetim paneline her zaman erişilebilmesini istiyor ve iyi örnek olarak panelin, sayfanın bir köşesinde içeriği engellemeyen küçük bir simge veya bant olarak kalmasını gösteriyor. Teknik olarak geri alma şunları yapmalı:

• Kaydedilen tercihi güncellemek ve ilgili kategorideki kodların bir sonraki sayfa yüklemesinden itibaren çalışmamasını sağlamak.
• Kendi alan adınızda o kategoriye ait çerezleri silmek. Üçüncü taraf alan adlarının çerezlerini sitenizden silemezsiniz; bu yüzden en önemli tedbir, kodların bir daha yüklenmemesidir.
• Kullanıcıyı sayfayı yenilemeye yönlendirmek. Rehberin örnek metni de ayarların etkinleşmesi için sayfanın yenilenmesini söylüyor.
• Rıza kaydını uygun bir süre saklamak. EK-1 kontrol listesinde bu da bir madde olarak yer alıyor; ispat yükünün kimde olduğunu unutmayın.

Adım 5: Analitik ve reklam kodlarını rızadan önce yüklemeyin

Rehber, açık rızanın çerez yerleştirilmeden önce alınmasını istiyor. Uygulamada en sık görülen hata, bandın görünmesi ama analitik ve reklam etiketlerinin sayfa açılır açılmaz zaten çalışmasıdır. Genel çözüm, rızaya bağlı kodları tarayıcının çalıştırmayacağı biçimde sayfaya koymak ve yalnızca ilgili kategori onaylanınca etkinleştirmektir:

<!-- Rıza gelene kadar tarayıcı bu kodu ne indirir ne çalıştırır -->
<script type="text/plain" data-cerez="analitik" src="https://analitik.ornek.com/etiket.js"></script>
<script type="text/plain" data-cerez="reklam">
  /* reklam etiketi kodu */
</script>

<script>
function rizaUygula(kategoriler) {
  document.querySelectorAll('script[type="text/plain"][data-cerez]').forEach(function (eski) {
    if (kategoriler.indexOf(eski.dataset.cerez) === -1) return;
    var yeni = document.createElement("script");
    if (eski.src) { yeni.src = eski.src; } else { yeni.textContent = eski.textContent; }
    eski.replaceWith(yeni);
  });
}
// Örnek: kullanıcı panelde yalnızca analitiği açtıysa
// rizaUygula(["analitik"]);
</script>

• Tercihi birinci taraf bir çerezde (örneğin cerez_tercih) saklayın ve her sayfa yüklemesinde önce bu tercihi okuyun. Bu çerez, rehbere göre Kriter B kapsamında rıza gerektirmez (bölüm 5.8).
• YouTube, harita veya sosyal medya gömmeleri de çerez bırakabilir. Bunları rıza gelene kadar bir yer tutucu görsel ve “içeriği yüklemek için tıklayın” düğmesiyle gösterebilir, iframe adresini ancak onaydan sonra atayabilirsiniz.
• Bir etiket yöneticisi kullanıyorsanız etiketlerin tetikleyicilerini rıza durumuna bağlayın; aksi hâlde yukarıdaki düzen etiket yöneticisi içinden atlanabilir.
• Her değişiklikten sonra Adım 1'deki DevTools testini tekrarlayın.

Adım 6: Çerez politikasında (çerez aydınlatma metninde) neler olmalı?

Rehberin 9. bölümü, çerezler için aydınlatmanın md. 10 ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ (RG 10.03.2018/30356) hükümlerine uygun yapılmasını, kolay erişilebilir ve fark edilebilir olmasını ister. Karmaşık ve pek çok başka konuyu içeren bir “Gizlilik Bildirimi”nin aydınlatma yerine geçmeyeceğini de açıkça söyler. Rehberin EK-4'teki örnek çerez aydınlatma metni ve md. 10'a göre metnin şu bilgileri içermesi gerekir:

• Veri sorumlusunun kimliği (unvan, adres, iletişim bilgileri).
• Çerezlerin hangi amaçlarla kullanıldığı, kategori kategori.
• Her kategori için hukuki sebep: md. 5/2'nin ilgili bendi ya da md. 5/1 kapsamında açık rıza.
• Toplama yöntemi: çerezler aracılığıyla otomatik yolla.
• Verilerin kimlere ve hangi amaçla aktarıldığı (alıcı grupları; yurt dışındaki sağlayıcılar varsa bu da).
• md. 11'deki haklar ve başvuru yolu.
• Bir çerez tablosu: rehber her çerezin adı, kullanım amacı, süresi ve birinci/üçüncü taraf olup olmadığının açıkça yazılmasını tavsiye ediyor.
• Tercihlerin nasıl değiştirileceği (panel simgesi) ve tarayıcı ayarlarından çerez yönetimi.

Aşağıdaki başlık yapısı bir örnektir; rehberin EK-4'ü ve md. 10 esas alınarak hazırlanmıştır. Kendi envanterinize göre doldurmanız ve uyarlamanız gerekir; tek başına uyum garantisi vermez.

ÖRNEK BAŞLIK YAPISI (uyarlayın)
1. Bu metni kim hazırladı? (veri sorumlusu: unvan, adres, e-posta)
2. Çerez nedir, sitemizde hangi tür çerezler var?
   - Süresine göre: oturum / kalıcı
   - Tarafına göre: birinci taraf / üçüncü taraf
   - Amacına göre: zorunlu / işlevsel / analitik / reklam
3. Hangi amaçla ve hangi hukuki sebeple işliyoruz? (kategori bazında)
4. Verileri kimlere, hangi amaçla aktarıyoruz? (yurt dışı dâhil)
5. Çerez tablosu: Ad | Amaç | Birinci/üçüncü taraf | Süre
6. Tercihlerinizi nasıl değiştirirsiniz? (panel + tarayıcı ayarları)
7. 6698 md. 11 kapsamındaki haklarınız ve başvuru yolu

Çerez metnini sitenizin genel aydınlatma metinlerinden ayrı bir sayfa olarak hazırlamak, bantta doğrudan ona bağlantı vermeyi kolaylaştırır. Genel aydınlatma metninin nasıl kurgulanacağını web sitesi aydınlatma metni rehberinde anlattık.

Sık Sorulan Sorular

Sitemde yalnızca zorunlu çerezler var. Bant gerekir mi?

Rehbere göre Kriter A veya B kapsamındaki çerezler için açık rıza gerekmez, dolayısıyla “Kabul et / Reddet” sormanız da gerekmez. Ancak bu çerezler kişisel veri işliyorsa md. 10 kapsamında aydınlatma yine gereklidir ve rehber, siteye girişte veri işlenmeye başlanıyorsa aydınlatmanın da giriş aşamasında yapılmasını ister. Bu durumda rıza istemeyen, çerez metnine bağlantı veren sade bir bilgilendirme yeterli bir yaklaşım olabilir.

Google Analytics veya benzeri bir araç için rıza şart mı?

Rehber birinci taraf analitik için Kriter B yolunu açık tutuyor ama koşullara bağlıyor: anonim istatistik, çapraz takip yapılmaması, makul çerez ömrü ve verilerin üçüncü taraflara iletilmemesi. Verinin harici bir sağlayıcıya gönderildiği ve sağlayıcının kendi amaçlarıyla da kullanabildiği kurulumlarda bu koşulların sağlandığını göstermek zordur; yurt dışına aktarım da ayrıca değerlendirilmelidir. Bu nedenle genellikle rızaya bağlamak daha güvenli bir tercihtir; kendi kurulumunuz için bir avukata danışın. Ölçüm farklarıyla ilgili teknik tarafı GA4 ve Search Console veri farkı yazısında bulabilirsiniz.

Çerez duvarı kullanabilir miyim?

Rehber, tüm çerezler kabul edilmeden siteye erişimi engelleyen çerez duvarlarının, rızayı hizmetin ön koşulu hâline getirdiği durumlarda özgür iradeyi sakatlayabileceğini ve bu şekilde alınan rızanın geçerli olmayabileceğini söylüyor. Her olayın ayrıca değerlendirileceğini ve adil alternatifler sunulabileceğini de ekliyor. Kesin bir izin veya yasak yerine, vaka bazlı değerlendirme söz konusu.

Kullanıcının tercihini ne kadar süre saklamalıyım?

Rehber sabit bir süre vermiyor; tercih çerezinin ömrünün md. 4'teki genel ilkeler gözetilerek belirlenmesini ve tercihin bu ömürle orantılı aralıklarla hatırlatılmasını öneriyor. EK-4'teki örnek metinde tercih çerezi için 365 gün yazıyor, ancak bu yalnızca bir örnek; kendi gerekçenizi belgeleyin.

Üçüncü taraf çerezlerden ben de sorumlu muyum?

Rehbere göre üçüncü taraf çerez yerleştirildiğinde hem site sahibi hem de üçüncü taraf, kullanıcının bilgilendirilmesini ve rızanın alınmasını sağlamakla yükümlüdür. Kullanıcılar şikâyet için genellikle siteyi işletene başvurur; rehber bu konuda sağlayıcılarla yapılan sözleşmelere hüküm eklenebileceğini de belirtiyor. Ayrıca Kanun md. 12/2 uyarınca sizin adınıza veri işleyenlerle veri güvenliği tedbirlerinden müştereken sorumlusunuz.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: Çerez onayı zorunlu mu? · Web sitesi aydınlatma metni nasıl hazırlanır · Web sitesi KVKK uyumu kontrol listesi · Yurt dışı sunucu ve KVKK veri aktarımı · İletişim formunda aydınlatma ve açık rıza · Cloudflare nedir, nasıl kurulur