Kısa cevap: Kişisel Verileri Koruma Kurumu’nun “Çerez Uygulamaları Hakkında Rehber”i Temmuz 2025’te güncellenen hâliyle yayında. Rehbere göre form, oturum ve güvenlik gibi sitenin çalışması için gereken çerezlerde açık rıza aranmıyor; davranışsal reklam ve sosyal medya takip çerezleri ise açık rıza istiyor. Pratikte siteye girişte bir bilgilendirme göstermek, “Kabul et”, “Reddet” ve “Tercihler” düğmelerini eşit sunmak ve rıza isteyen çerezleri ilk açılışta kapalı tutmak gerekiyor.

Rehberin güncel hâli ne diyor?

Kurum çerez rehberini ilk kez 2022’de yayımlamıştı. Bugün kvkk.gov.tr’de duran sürümün künyesinde “KVKK Yayınları No: 69, Temmuz 2025” yazıyor. Metin kendini bir öneriler bütünü olarak tanımlıyor: çerezlerle kişisel veri işleyen site sahiplerine 6698 sayılı Kanun kapsamında nasıl davranmaları gerektiğini anlatıyor.

Rehberin bütün sınıflandırması iki kritere dayanıyor. Kriter A, çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden kurulması için kullanılması. Kriter B, çerezin kullanıcının açıkça istediği hizmet için kesinlikle gerekli olması. Bu iki kritere giren çerezlerde açık rıza yerine Kanun’daki diğer işleme şartlarına, örneğin meşru menfaate dayanılabiliyor. Girmeyen çerezlerde açık rıza şart.

Bir notu baştan düşelim: bu yazı genel bilgilendirme amaçlı, hukuki tavsiye değil. Sitenizde hangi çerezin hangi şarta dayanacağına bir KVKK avukatıyla birlikte karar vermeniz en sağlıklısı.

Hangi çerez açık rıza ister, hangisi istemez?

Rehber açık rıza gerektirmeyebilecek senaryoları tek tek sayıyor. Küçük bir işletme sitesinde karşınıza çıkacak olanlar şunlar:

Analitik maddesinde koşullar var. Rehbere göre birinci taraf analitik çerezler yalnızca anonim istatistik üretiyor, ziyaretçiyi başka siteler arasında takip etmiyor ve toplanan veri üçüncü taraflara iletilmiyorsa Kriter B içinde değerlendirilebiliyor. IP adresini maskelemek ve çerez ömrünü makul tutmak da önerilen tedbirler arasında.

Açık rıza isteyen iki başlık ise net: sosyal eklenti takip çerezleri ve çevrim içi davranışsal reklam çerezleri. Reklam tarafında rıza; gösterim sıklığı, reklam ortaklığı, tıklama sahtekârlığını tespit, pazar analizi gibi reklama bağlı bütün amaçları kapsıyor.

Rehberde Google Analytics ya da Meta Pixel gibi bir ürün adı geçmiyor, bu yüzden aşağıdaki bizim kendi uygulamamız. Meta Pixel gibi reklam ölçüm betiklerini rıza alınmadan hiç yüklemiyoruz. Google Analytics gibi veriyi yurt dışındaki bir şirkete gönderen araçların, rehberin tarif ettiği birinci taraf analitik koşullarını karşılayıp karşılamadığı tartışmalı; biz bunları da rıza sonrasına bırakmayı daha güvenli buluyoruz.

Çerez bandı nasıl olmalı?

Rehber iyi uygulamayı oldukça somut anlatıyor. Bir bandı kontrol ederken baktığımız noktalar şunlar:

Rehberin özellikle uyardığı iki uygulama daha var. Birincisi çerez duvarı: tüm çerezlere onay verilmedikçe siteyi göstermeyen yapı. Rehbere göre bu durumda verilen rıza özgür iradeye dayanmadığı için geçersiz sayılabilir. İkincisi, reklam çerezlerine rızanın kullanım koşullarının ya da gizlilik bildiriminin içine gömülerek alınması. Rehber bunun mümkün olmadığını açıkça yazıyor.

Aydınlatma metni ve iletişim formu

Aydınlatma yükümlülüğü, hangi işleme şartına dayandığınızdan bağımsız olarak veri elde edildiği anda yerine getirilmeli. Rehber, siteye ilk kez giren biri için bunun giriş aşamasında yapılması gerektiğini söylüyor. Çerez aydınlatmasında her çerezin adı, kullanım amacı, süresi ve birinci ya da üçüncü taraf olup olmadığı açıkça yazılmalı. İçinde onlarca başka konu bulunan uzun ve karışık bir gizlilik bildirimi, rehbere göre aydınlatma yapıldı anlamına gelmiyor.

İletişim formunda da aynı mantık işliyor. Formun hemen yanında aydınlatma metnine bağlantı olmalı. Açık rızaya dayanan bir işleme varsa, Aydınlatma Tebliği aydınlatmanın ve açık rızanın ayrı ayrı yapılmasını istiyor; rehber de bu hükmü hatırlatıyor. Dolayısıyla “okudum ve onaylıyorum” diyen tek bir kutu ikisini birden karşılamıyor. Formda işinize yaramayacak bilgiyi de istemeyin. Kanun’un 4’üncü maddesindeki “amaçla bağlantılı, sınırlı ve ölçülü” olma ilkesi bunu gerektiriyor. Kurumsal alıcıların sitenizdeki KVKK düzenine neden baktığını Ankara kurumsal web tasarım yazımızda anlatmıştık.

VERBİS ve yurt dışına aktarım ne olacak?

VERBİS’e kayıt ayrı bir yükümlülük. Kurul kararına göre yıllık çalışan sayısı 50’den ve yıllık mali bilanço toplamı 100 milyon TL’den az olan, ana faaliyeti özel nitelikli veri işlemek olmayan veri sorumluları kayıttan muaf. Kurul’un 2025/1572 sayılı kararıyla, ana faaliyeti özel nitelikli veri işlemek olanlar için de 10 çalışan ve 10 milyon TL eşiği getirildi; bu karar bir klinik ya da muayenehane için önemli. Bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısına bakılıyor. Kurum’un VERBİS rehberi, kayıttan muaf olmanın Kanun’daki diğer yükümlülüklerden muaf olmak anlamına gelmediğini ayrıca vurguluyor; çerez ve aydınlatma kuralları herkes için geçerli.

Çerezler üzerinden yurt dışındaki bir şirkete veri gidiyorsa Kanun’un 9’uncu maddesi ve 10 Temmuz 2024’te Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik devreye giriyor. Rehber bu durumu da ayrıca anıyor.

Küçük işletme sitesi için kontrol listesi

  1. Sitenizin kullandığı bütün çerezlerin ve üçüncü taraf betiklerin listesini çıkarın.
  2. Her birini zorunlu, analitik, reklam ve sosyal medya diye gruplayın.
  3. Reklam ve takip betiklerinin rıza verilmeden yüklenmediğini test edin.
  4. Çerez bandındaki üç düğmeyi görsel olarak eşitleyin.
  5. Çerez aydınlatma metnini çerezin adı, amacı, süresi ve tarafıyla güncelleyin.
  6. İletişim formunun yanına aydınlatma bağlantısını koyun, gereksiz alanları çıkarın.
  7. Rızanın geri alınabildiği küçük bir ikon ya da bağlantı ekleyin.
  8. VERBİS durumunuzu son bilançonuza ve çalışan sayınıza göre kontrol edin.

Bu hafta beş dakikanızı ayırın: sitenizi tarayıcıda gizli pencerede açın, çerez bandına hiç dokunmadan geliştirici araçlarındaki çerez listesine bakın. Orada bir reklam ya da sosyal medya çerezi görüyorsanız ilk düzeltilecek yer orası. Çerez yönetimini sitenin kuruluşundan itibaren nasıl ele aldığımızı web tasarım sayfamızda bulabilirsiniz.

Bu yazıyı hazırlayan ekiple çalışmak isterseniz: web tasarım hizmetimiz. Kapsam, süre ve başlangıç fiyatları bu sayfada; diğer şehirler için hizmet bölgelerimize bakabilirsiniz.

Sık sorulan sorular

Sitemde yalnızca iletişim formu var, yine de çerez bandı gerekir mi?

Sitenizde yalnızca formun ve sitenin çalışması için gereken çerezler varsa açık rıza gerekmeyebilir, ama aydınlatma yükümlülüğü yine geçerli. Reklam, sosyal medya eklentisi ya da koşulları karşılamayan bir analitik aracı eklediğinizde rıza yönetimi de gündeme gelir.

Çerez bandında yalnızca “Tamam” düğmesi olması yeterli mi?

Rehberin iyi uygulama olarak tarif ettiği yapı “Kabul et”, “Reddet” ve “Tercihler” düğmelerinin eşit sunulması. Tek düğmeli bir bilgilendirme, rıza isteyen çerezler için seçim imkânı vermediğinden bu tarife uymaz.

Hazır bir çerez yönetim eklentisi kullanmak yeterli mi?

Eklenti bir araçtır, ayarları doğru yapılmazsa reklam betikleri yine rızadan önce yüklenebilir. Kurulumdan sonra gizli pencerede siteyi açıp hangi çerezlerin rıza öncesinde oluştuğunu mutlaka test edin.

Gizlilik politikam var, ayrıca çerez aydınlatma metni gerekir mi?

Rehber, karmaşık ve pek çok konuyu bir arada anlatan gizlilik bildirimlerinin aydınlatma için yeterli sayılmayacağını söylüyor. Çerezlerin adını, amacını, süresini ve tarafını açıkça gösteren ayrı ve kolay erişilen bir metin daha güvenli bir yoldur.

Çerez rehberi bağlayıcı mı?

Rehber kendini, 6698 sayılı Kanun kapsamında site sahiplerine yönelik öneriler içeren bir doküman olarak tanımlıyor. Yine de Kurum’un kuralları nasıl yorumladığını gösterdiği için sitenizi ona göre düzenlemek mantıklı; emin olmadığınız noktada avukatınıza danışın.

Kaynaklar

Kişisel Verileri Koruma Kurumu, Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69, Temmuz 2025): https://kvkk.gov.tr/Icerik/7353/Cerez-Uygulamalari-Hakkinda-Rehber

KVKK, 04.09.2025 tarihli ve 2025/1572 sayılı Kurul Kararının uygulama esaslarına ilişkin kamuoyu duyurusu: https://www.kvkk.gov.tr/Icerik/8577/kisisel-verileri-koruma-kurulunun-04-09-2025-tarihli-ve-2025-1572-sayili-kararinin-uygulama-esaslarina-iliskin-kamuoyu-duyurusu

KVKK, Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularının VERBİS istisna kriteri hakkında kamuoyu duyurusu: https://www.kvkk.gov.tr/Icerik/8388/KAMUOYU-DUYURUSU

KVKK, Sorularla VERBİS: https://verbis.kvkk.gov.tr/sharedFolder/sorularla-verbis.pdf

Yayın tarihi: