Çerez Politikası Zorunlu mu? KVKK Çerez Rehberine Göre Web Sitesi Kontrol Listesi

Son güncelleme: 29.10.2026

Web siteniz çerez kullanıyorsa ziyaretçiyi bilgilendirmeniz gerekir; analitik ve reklam çerezleri için ayrıca çerezler yerleştirilmeden önce açık rıza alınmalıdır. Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehber'i, sitenin çalışması için kesinlikle gerekli çerezlerin açık rıza dışındaki hukuki sebeplere dayanabileceğini, diğerlerinin ise çoğunlukla rıza gerektirdiğini anlatır. Bu yazı teknik bir kontrol listesidir; hukuki görüş yerine geçmez.

Hangi çerez rıza ister?

Google Analytics, Meta pikseli ve benzeri üçüncü taraf araçlar analitik veya reklam sınıfındadır. Bu araçların verisi yurt dışındaki sunuculara gittiği için KVKK'nın yurt dışına aktarım kuralları da değerlendirilmelidir.

Çerez politikası zorunlu mu?

KVKK'nın 10. maddesindeki aydınlatma yükümlülüğü, kişisel veri her toplandığında geçerlidir. Çerezler aracılığıyla kişisel veri işleniyorsa ziyaretçiye hangi çerezin hangi amaçla, ne kadar süre kullanıldığı anlatılmalıdır. Uygulamada bu bilgi "çerez politikası" veya "çerez aydınlatma metni" adıyla ayrı bir sayfada verilir ve çerez panelinden bu sayfaya bağlantı konur.

Sitenizde yalnız kesinlikle gerekli çerezler varsa çerez onayı almanız gerekmez, ancak bilgilendirme yine yapılmalıdır.

Çerez paneli nasıl olmalı?

Rehber, çerez yönetim paneli için şu ilkeleri ortaya koyar:

• Rıza aktif bir eylemle verilir. Rehbere göre yalnız siteye girmiş olmak, çerezlere rıza verildiği anlamına gelmez. "Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" metni bu yüzden yeterli değildir.
• Kabul et, Reddet ve Tercihler eşit sunulur. Rehber, bu üç düğmenin renk, büyüklük ve yazı boyutu açısından eşit gösterilmesini iyi uygulama örneği olarak verir.
• Rıza gerektiren çerezler kapalı başlar. Tercihler ekranında analitik ve reklam kutuları önceden işaretli gelmemelidir.
• Rıza geri alınabilir. Panel, sayfanın köşesinde küçük bir simge veya bant olarak her zaman erişilebilir kalmalıdır.
• Rıza başka metne iliştirilmez. Reklam çerezleri için rıza, kullanım koşulları veya gizlilik bildirimi kabulüne eklenemez.
• Çerez duvarına dikkat. Tüm çerezleri kabul etmeden içeriği göstermeyen "çerez duvarı", Rehbere göre özgür iradeyi sakatlayabilir ve alınan rızayı geçersiz kılabilir.
• Her girişte sorulmaz. Rehber, sık sık rıza istemenin "rıza yorgunluğu" yaratabileceğini belirtir; tercih çerezin ömrüyle orantılı aralıklarla hatırlatılabilir.

En sık gördüğümüz teknik hata

Birçok sitede çerez paneli vardır ama işlevi yoktur: Google Analytics ve reklam etiketleri, ziyaretçi henüz bir düğmeye basmadan çalışmaya başlar. Panel görünüşte uyumludur, teknik olarak değildir.

Kendiniz kontrol etmek için:

1. Tarayıcıda gizli (özel) bir pencere açın ve sitenize girin.
2. Çerez paneline dokunmadan geliştirici araçlarını açın (F12), Uygulama (Application) sekmesinde Çerezler bölümüne bakın.
3. _ga, _gid, _fbp gibi adlarla başlayan çerezler görüyorsanız analitik veya reklam etiketleri rızadan önce çalışıyor demektir.
4. "Reddet"e basıp sayfayı yenileyin; bu çerezlerin yeniden oluşmaması gerekir.

Google etiketleri kullanıyorsanız Google'ın İzin Modu (Consent Mode), etiketlerin ziyaretçinin tercihine göre çalışmasını sağlar.

Çerez politikasında neler yer almalı?

• Veri sorumlusunun (şirketinizin) unvanı ve iletişim bilgisi,
• Kullanılan çerezlerin listesi: adı, türü, birinci veya üçüncü taraf olduğu, amacı, süresi,
• Her türün dayandığı hukuki sebep,
• Verinin aktarıldığı taraflar ve yurt dışına aktarım varsa bilgisi,
• Rızanın nasıl geri alınacağı ve tarayıcıdan çerezlerin nasıl silineceği,
• KVKK 11. maddedeki haklar ve başvuru yolu.

Hazır şablondan kopyalanan politikalar çoğu zaman sitede olmayan çerezleri anlatır, gerçekte çalışanları atlar. Liste sitenizin gerçek taramasından çıkarılmalıdır.

Kontrol listesi

Uygulamayı kim yapar?

Çerez politikası ve aydınlatma metinlerinin hukuki içeriği hukuk danışmanınızın işidir. Sitedeki çerezlerin taranması, panelin kurulması ve etiketlerin rızaya bağlanması ise teknik iştir. Web sitesi KVKK uyumu hizmetimizde bu teknik kısmı yapar, hukuk danışmanınızın metinlerini siteye yerleştiririz. Şirketinizin genel durumunu görmek için KVKK uyum skoru aracımızı ve KVKK denetim hazırlık listemizi kullanabilirsiniz.

Sık Sorulan Sorular

Çerez onayı olmayan siteye ceza verilir mi?

KVKK'ya aykırı veri işleme idari para cezasına konu olabilir. Kurul'un çerezlerle ilgili değerlendirmesi somut olaya göre yapılır; bu yüzden riskin büyüklüğü sitenin hangi veriyi hangi amaçla işlediğine bağlıdır.

Google Analytics kullanmak için rıza gerekir mi?

Google Analytics üçüncü taraf bir analitik aracıdır ve veriyi yurt dışındaki sunuculara gönderir. Rehberdeki istisna yalnız anonim istatistik üreten birinci taraf analitik için tanımlandığından, Google Analytics için açık rıza alınması genel uygulamadır.

Sadece "Kabul et" düğmesi olan bant yeterli mi?

Rehber, Kabul et, Reddet ve Tercihler düğmelerinin eşit sunulmasını iyi uygulama olarak gösterir. Reddetme seçeneği olmayan bant, rızanın özgür iradeyle verildiğini göstermekte zorlanır.

Hazır çerez paneli eklentisi yeterli mi?

Panel eklentisi işin görünen kısmıdır. Etiketler rızaya bağlanmadıysa eklenti kurulu olsa bile çerezler onaydan önce çalışır. Kurulumdan sonra yukarıdaki gizli pencere testini yapın.

Çerez politikası ile gizlilik politikası aynı metin olabilir mi?

Aynı sayfada verilebilir, ancak çerezlere ilişkin bilgi açık ve ayrı bir bölümde olmalıdır. Reklam çerezleri için rıza, gizlilik politikasının kabulüne iliştirilemez.

Kaynaklar

• KVKK: Çerez Uygulamaları Hakkında Rehber
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Google Analytics Yardım: İzin Modu (Consent Mode)