Çerez Politikası Zorunlu mu? KVKK Kapsamında Web Sitesi Rehberi

Kısaca

Web siteniz zorunlu olmayan çerez kullanıyorsa — analitik, reklam, sosyal medya pikselleri gibi — çerez politikası yayınlamanız ve ziyaretçiden önceden açık rıza almanız gerekir. Yalnızca sitenin çalışması için zorunlu çerezler kullanıyorsanız (oturum çerezi, sepet çerezi, güvenlik çerezi) rıza gerekmez, ancak bilgilendirme yine de beklenir.

Pratikte bu şu anlama gelir: sitenizde Google Analytics veya Meta Pixel varsa, çerez politikası ve onay mekanizması zorunludur.

“Zorunlu çerez” ile “zorunlu olmayan çerez” farkı

Ayrım, çerezin sitenin işlevi için gerekli olup olmadığına göre yapılır.

Rıza gerektirmeyen çerezler:

• Oturum yönetimi (kullanıcının giriş yapmış kalması)
• Alışveriş sepeti içeriği
• Güvenlik ve bot koruması
• Yük dengeleme
• Kullanıcının kendi seçtiği dil veya tema tercihi

Rıza gerektiren çerezler:

• Google Analytics, Yandex Metrica gibi analitik araçlar
• Meta Pixel, Google Ads dönüşüm etiketleri, TikTok Pixel
• YouTube, Vimeo gibi gömülü içeriklerin bıraktığı çerezler
• A/B test ve ısı haritası araçları
• Chat widget’larının pazarlama amaçlı çerezleri

Sık yapılan hata, Google Analytics’i “zorunlu” saymaktır. Analitik, sitenin çalışması için gerekli değildir; işletmenin ölçüm ihtiyacı içindir. Bu ayrım denetimlerde belirleyicidir.

Çerez politikası metninde neler bulunmalı

Metin, hukuk şablonu kopyalayarak değil, sitenizin gerçekte kullandığı çerezlere göre yazılmalıdır. En az şunları içermelidir:

1. Çerez nedir — kısa, teknik olmayan bir açıklama
2. Hangi çerezleri kullanıyorsunuz — isim, sağlayıcı, amaç, saklama süresi içeren bir tablo
3. Üçüncü taraf çerezler — Google, Meta gibi sağlayıcıların ayrı listelenmesi
4. Yasal dayanak — hangi çerez için rıza, hangisi için meşru menfaat
5. Rızanın geri alınması — kullanıcının tercihini nasıl değiştireceği
6. İlgili kişi hakları — KVKK kapsamındaki haklar ve başvuru kanalı
7. Güncelleme tarihi

Çerez tablosunu doldurmak için sitenizi bir tarayıcıda açıp geliştirici araçlarındaki Application → Cookies bölümünü incelemek yeterlidir. Çoğu sitede beklenenden fazla çerez çıkar — özellikle Google Tag Manager üzerinden eklenmiş, kimsenin hatırlamadığı etiketler. Randevu formu, canlı destek ve gömülü harita çalıştıran klinik web sitelerinde bu liste daha da uzar.

Banner tasarımında kritik nokta: önceden onay

En sık yapılan teknik hata, banner’ı göstermek ama çerezleri zaten yüklemiş olmaktır. Sayfa açılır açılmaz Google Analytics çalışıyor ve altta “çerezleri kabul ediyorum” yazıyorsa, o banner hukuki olarak bir işe yaramaz.

Doğru akış şudur:

1. Sayfa açılır, yalnızca zorunlu çerezler yüklenir
2. Kullanıcı tercihini belirtir
3. Onay verilen kategoriler için ilgili scriptler o anda yüklenir

Google Tag Manager kullanıyorsanız bu, etiketlerin “Consent Initialization” tetikleyicisine bağlanması ve Google Consent Mode ile yönetilmesi anlamına gelir. Consent Mode, onay verilmediğinde ölçümü tamamen kesmek yerine anonim sinyal göndermeye devam eder; bu sayede raporlarınız tamamen kararmaz.

Banner’da bulunması gerekenler:

• Reddet seçeneği kabul kadar görünür olmalı. Yalnızca “Kabul Et” butonu olan, reddetmek için ayarlara girmeyi gerektiren tasarımlar sorunludur.
• Kategori bazlı seçim sunulmalı: zorunlu, analitik, pazarlama.
• Sayfayı kullanmayı engelleyen, kapatılamayan tam ekran duvarlar kullanılmamalı.

Onay kaydını saklamak

Rıza aldığınızı ispat edebilmeniz gerekir. Bu yüzden onay kaydının saklanması sadece iyi bir pratik değil, gerekliliktir. Saklanması gereken bilgi:

• Onayın verildiği tarih ve saat
• Hangi kategorilere onay verildiği
• Gösterilen banner metninin sürümü
• Anonim bir oturum tanımlayıcısı

Metin versiyonunu saklamak önemlidir: politikanızı altı ay sonra güncellediğinizde, eski onayların hangi metne verildiğini bilmeniz gerekir. Politika esaslı biçimde değişirse onayların yenilenmesi gerekir.

Sık yapılan altı hata

Hata	Neden sorun
İnternetten kopyalanmış şablon metin	Sitenizde olmayan çerezleri listeler, olanları atlar
Banner var ama scriptler önceden yükleniyor	Onay mekanizması işlevsiz
Yalnızca “Kabul Et” butonu	Rıza özgür iradeyle verilmiş sayılmaz
Onay kaydı tutulmuyor	İspat yükümlülüğü karşılanamaz
Çerez politikası ile gizlilik politikası aynı sayfada karışık	Kullanıcı hangi bilginin nerede olduğunu bulamaz
Güncelleme tarihi yok	Metnin güncel olup olmadığı anlaşılamaz

Çok dilli sitelerde durum

Antalya’da yabancı ziyaretçiye hitap eden siteler ve İngilizce öncelikli ihracat siteleri için ek bir katman var: çerez politikası, sitenin sunulduğu her dilde erişilebilir olmalı. Rusça veya Almanca gezinen bir kullanıcıya Türkçe onay metni göstermek, “bilgilendirilmiş rıza” şartını karşılamaz.

Ayrıca AB’de yerleşik kullanıcılara hizmet veriyorsanız GDPR de devreye girer. GDPR’ın çerez konusundaki yaklaşımı KVKK’ya yakındır ancak ceza rejimi ve bazı ispat yükümlülükleri farklıdır. Alman veya Hollandalı müşteriye satış yapan bir e-ticaret sitesi bu ayrımı gözetmelidir.

Uygulama sırası

Sıfırdan kuruyorsanız işi şu sırayla yapmak en az sürtünme yaratır:

1. Sitedeki tüm çerezleri envanterleyin (geliştirici araçları + GTM etiket listesi)
2. Her çerezi kategorilere ayırın
3. Envantere dayalı çerez politikası metnini yazdırın — hukuk desteği alın
4. Banner’ı kurun ve scriptleri onaya bağlayın
5. Onay kaydı saklamayı devreye alın
6. Tarayıcıyı temiz bir profille açıp onay vermeden önce hangi çerezlerin düştüğünü test edin

Kurulumların çoğu bu testte kalıyor. Satış yapan bir siteyseniz çerez onayını e-ticarette zorunlu olan diğer sayfalarla birlikte planlayın; ikisi de aynı yayın öncesi kontrolün parçası.

Sık sorulan sorular

Sadece iletişim formu olan tanıtım sitesi için de gerekli mi? Analitik veya reklam çerezi yoksa rıza gerekmez. Ancak form üzerinden kişisel veri topluyorsanız KVKK aydınlatma metni ayrıca gereklidir.

Hazır çerez banner eklentileri yeterli mi? Eklenti banner’ı gösterir ama scriptleri otomatik olarak durdurmaz. Etiketlerin onaya bağlanması ayrı bir kurulum işidir; en sık atlanan adım budur.

Politikayı ne sıklıkla güncellemeliyim? Yeni bir araç eklediğinizde. Sitenize bir chat widget’ı veya yeni bir reklam pikseli eklemek, çerez envanterini değiştirir.

Google Consent Mode kullanmak zorunda mıyım? Zorunlu tutulmuyor. Ancak Google reklam ve analitik ürünlerini kullanıyorsanız ölçüm kaybını azalttığı için pratik bir çözüm.

---

Sitenizin çerez ve KVKK uyumunu birlikte gözden geçirmek isterseniz web geliştirme hizmetlerimiz kapsamında teknik kurulumu üstleniyoruz. Hukuki metinlerin bir avukat tarafından hazırlanmasını öneririz; biz o metnin teknik olarak doğru çalışmasını sağlarız.