Bir web sitesine Google Analytics, reklam etiketi ya da sohbet aracı eklediğiniz anda ziyaretçilerin cihazına çerez yerleştirmeye başlarsınız. Türkiye'de bu konudaki en somut yol haritası, Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehber'i. Kurum rehberin güncel sürümünü Temmuz 2025'te yayımladı (KVKK). Bu yazıda web sitelerinde KVKK ve çerez uyumunun temel kurallarını rehbere dayanarak pratik bir kontrol listesine çeviriyoruz.
Hangi çerezler için açık rıza gerekmiyor?
Rehber, rıza gerektirmeyen çerezler için iki ölçüt tanımlıyor:
- Ölçüt A: Yalnızca elektronik iletişim ağı üzerinden iletişimi gerçekleştirmek için kullanılan çerezler.
- Ölçüt B: Kullanıcının açıkça talep ettiği bir hizmeti sunmak için kesinlikle gerekli olan çerezler.
Bu ölçütleri karşılayan çerezler kural olarak açık rıza gerektirmiyor. Oturum açma, form doldurma ya da kullanıcının çerez tercihini hatırlama gibi işlevler için kullanılan zorunlu çerezler bu gruba giriyor. Rehber, bu çerezlerin pazarlama amacıyla kullanılmaması gerektiğini de vurguluyor.
Hangi çerezler için açık rıza gerekiyor?
- Davranışsal reklam çerezleri rehbere göre açık rıza gerektiriyor. Yeniden pazarlama etiketleri ve reklam pikselleri bu kapsamda değerlendirilmeli.
- Üye olmayan ziyaretçileri izleyen üçüncü taraf sosyal medya eklentileri muafiyetten yararlanamıyor ve bu ziyaretçilere gösterilen sayfalara varsayılan olarak yerleştirilmemeli.
- Analiz çerezleri için rehber daha ayrıntılı bir çizgi çekiyor. Yalnızca sitenin işletilmesi ve iyileştirilmesiyle sınırlı birinci taraf analizler, IP maskeleme gibi veri en aza indirme önlemleriyle muafiyet kapsamında değerlendirilebiliyor. Analiz verisinin farklı siteler ve uygulamalar arasında çapraz takip için kullanılmaması gerekiyor.
Pratikte, Google Analytics gibi verileri üçüncü taraf bir hizmet sağlayıcıya gönderen ve reklam araçlarıyla birlikte çalışabilen araçlarda en güvenli yol, bu araçları ancak açık rızadan sonra çalıştırmak. Biz de kendi sitemizde ve müşteri projelerinde Google Analytics'i yalnızca ziyaretçi "Kabul et" dedikten sonra yüklüyoruz.
Çerez bandı nasıl tasarlanmalı?
Rehberin en somut olduğu bölüm burası:
- Açık rıza aktif bir eylem gerektirir. Siteyi ziyaret etmek ya da gezinmeye devam etmek rıza sayılmaz. "Sitemizi kullanarak çerezleri kabul etmiş olursunuz" metni geçerli bir rıza yöntemi değil.
- Kabul, ret ve tercih seçenekleri eşit görünmeli. Rehber renk, büyüklük ve punto açısından eşitlik istiyor. Büyük ve renkli bir "Kabul et" düğmesinin yanında küçük, gri bir "Reddet" bağlantısı bu ilkeye uymuyor.
- Rıza gerektiren çerezler varsayılan olarak kapalı gelmeli. Tercih panelinde analiz ve reklam çerezleri baştan pasif olmalı; sistem kullanıcının bilinçli eylemiyle, yani "opt-in" mantığıyla çalışmalı.
- Çerez duvarı risklidir. İçeriği yalnızca çerezleri kabul edenlere açan yapılar, adil bir alternatif sunulmadıkça rızayı geçersiz kılabilir.
- Rıza başka metinlere gömülmemeli. Kullanım koşulları ya da gizlilik politikasıyla birlikte toplu olarak kabul ettirilen rıza geçerli sayılmıyor.
Aydınlatma metni ve çerez politikası
Aydınlatma yükümlülüğü, açık rızanın gerekip gerekmediğinden bağımsız olarak her durumda var. KVKK'nın 10. maddesine göre kişisel veri elde edilirken veri sorumlusunun kimliği, verinin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları anlatılmalı (KVKK). Çerezler özelinde rehber ayrıca şunları öneriyor:
- Aydınlatma kolay bulunur ve anlaşılır olmalı; genel bir gizlilik metni tek başına yeterli değil.
- Her çerezin adı, amacı, süresi ve birinci ya da üçüncü taraf olup olmadığı belirtilmeli.
- Açık rıza gereken durumlarda aydınlatma ve rıza alma ayrı ayrı yürütülmeli.
Pratik karşılığı şu: Sitede çerezleri tek tek listeleyen bir çerez politikası bölümü ve çerez bandında bu bölüme giden bir bağlantı.
Rızayı geri alma
Kullanıcı açık rızasını her zaman geri alabilir. Bu yüzden çerez tercihini değiştirmek, rıza vermek kadar kolay olmalı. Rehber, içeriği engellemeyen küçük ve sürekli erişilebilir bir simge ya da bant öneriyor. Sitenin alt kısmındaki "Çerez ayarları" bağlantısı bunun en yaygın çözümü. Rehber ayrıca tercihlerin çerezin ömrüyle orantılı aralıklarla yeniden sorulabileceğini, ama kullanıcıyı sürekli soruyla yormamak gerektiğini belirtiyor.
Teknik kontrol listesi
- Sitenizde hangi çerezlerin çalıştığını tarayıcı geliştirici araçlarından listeleyin.
- Her çerezi zorunlu, analiz, reklam ve sosyal medya olarak sınıflandırın.
- Zorunlu olmayan scriptleri (analiz araçları, reklam etiketleri, pikseller) rıza alınana kadar hiç yüklemeyin. Bandı göstermek yetmez; script rızadan önce çalışmamalı.
- Bantta "Kabul et" ve "Reddet" seçeneklerini aynı boyut ve görünürlükte sunun.
- Çerez politikasında her çerezin adını, amacını, süresini ve sağlayıcısını yazın.
- Her sayfadan ulaşılabilen bir "Çerez ayarları" bağlantısı ekleyin.
- Siteye yeni bir araç eklediğinizde listeyi ve politikayı güncelleyin.
İletişim formları da kapsamda
Çerezler kadar sık gözden kaçan bir nokta iletişim formları. Formdan gelen ad, telefon ve e-posta da kişisel veri. Formun yanında aydınlatma metnine bağlantı bulunmalı ve formda yalnızca gerçekten gerekli alanlar istenmeli. Sağlık bilgisi gibi özel nitelikli kişisel veriler söz konusuysa koşullar daha da sıkı; klinikler için ayrıntıları klinik web sitesi sayfamızda anlattık.
Sitenizin çerez bandını, formlarını ve hangi scriptlerin rızadan önce çalıştığını ücretsiz site analizi kapsamında teknik açıdan kontrol edebiliriz. Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir; sitenize özel değerlendirme için bir avukata danışın.