Rehber

KVKK çerez rehberi: Siteler neye dikkat etmeli?

Kişisel Verileri Koruma Kurumu'nun çerez rehberine göre zorunlu ve rıza gerektiren çerezleri ayırma, rıza panelini kurma, aydınlatmayı ayırma ve uyumu test etme.

Fratres Editör · 11 Kasım 2026

KVKK açısından çerez, internet sitesinin ziyaretçinin cihazına yerleştirdiği ve kişisel veri işleyebilen küçük bir metin dosyasıdır. Kişisel Verileri Koruma Kurumu'nun Temmuz 2025'te güncellenen rehberine göre sitenin çalışması için kesinlikle gerekli çerezler açık rıza olmadan kullanılabilir. Reklam ve davranış takibi yapan çerezler için ise önceden alınmış, aktif bir onay gerekir. Aydınlatma her iki durumda da siteye girişte yapılır.

Rehber neyi kapsıyor, bağlayıcı mı?

6698 sayılı Kişisel Verilerin Korunması Kanunu çerezi ayrıca düzenlemiyor. Kurum'un rehberi bu boşlukta tavsiye niteliğinde, yol gösterici bir belge. Bağlayıcı olan Kanun'un kendisi ve Kurul kararları. Rehber, Kurul'un bu konudaki yaklaşımını okumanın en kısa yolu.

Rehberin kapsamında üç ayrıntı var:

Masaüstü ve mobil web siteleri ile web uygulamaları kapsamda.
Piksel, tarayıcı parmak izi, yerel depolama (local storage) ve işaretçi (beacon) gibi benzer teknolojiler için ayrıca yönlendirme yapılmıyor. Bu, onların serbest olduğu anlamına gelmez. Kişisel veri işleniyorsa Kanun yine uygulanır.
5809 sayılı Elektronik Haberleşme Kanunu yalnız elektronik haberleşme işletmecilerini ilgilendiriyor. Diğer site sahipleri için ölçü 6698 sayılı Kanun.

Hangi çerez rıza ister, hangisi istemez?

Rehber iki ölçüt koyuyor. Kriter A, çerezin yalnız iletişimin şebeke üzerinden sağlanması için kullanılması. Örneği yük dengeleme çerezi. Kriter B, çerezin kullanıcının açıkça istediği hizmet için kesinlikle gerekli olması. Bu iki ölçütten birine giren çerezler için açık rıza dışındaki işleme şartlarına, örneğin sözleşmenin ifasına veya meşru menfaate dayanılabilir. Meşru menfaat için kişinin hakları ile şirketin menfaati arasında bir denge testi yapılması öneriliyor.

Rehberin örneklerine göre ayrım şöyle:

Rıza gerektirmeyebilir: Sepet ve form çerezleri, oturum açma çerezleri, başarısız giriş denemelerini izleyen güvenlik çerezleri, video oynatıcı oturum çerezleri, rıza tercihinin hatırlanması için kullanılan çerez.
Koşullu: Birinci taraf analitik çerezler. Amaç yalnız sitenin kitlesini ve performansını ölçmekse Kriter B içinde değerlendirilebilir. Koşullar: gereksiz verinin anonimleştirilmesi (IP adresinin maskelenmesi gibi), siteler arası takip yapılmaması, makul bir çerez ömrü ve verinin üçüncü taraflara iletilmemesi.
Rıza gerektirir: Davranışsal reklam çerezleri, sosyal ağ eklentilerinin takip çerezleri ve reklam amacıyla kullanılan frekans, tıklama sahtekârlığı veya pazar araştırması çerezleri.

İki istisna dikkat ister. Tarayıcı kapandıktan sonra da oturumu açık tutan kalıcı kimlik doğrulama çerezi Kriter B dışında kalıyor. Rehber bunun için "beni hatırla" gibi ayrı bir kutucuk öneriyor. İkincisi, analitik verinin bir hizmet sağlayıcıya gittiği kurulumlarda yukarıdaki koşulların nasıl karşılandığını hukuk ekibinizle değerlendirin.

Çerez veriyi yurt dışına taşıyorsa

Rehber, Türkiye'de faaliyet gösteren sitelerin yurt dışında yerleşik şirketler aracılığıyla çerez kullandığı durumu ayrıca ele alıyor. Bu çerezlerle veri yurt dışına çıkıyorsa bu bir aktarımdır ve Kanun'un 9. maddesine uyması gerekir. Madde 2/3/2024 tarihli değişiklikle yeniden yazıldı. Aktarım yeterlilik kararına, uygun güvencelere veya sınırlı arızi hallere dayanabiliyor. Usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan yönetmelikte. Standart sözleşmeyle aktarım yapanlar, sözleşmeyi imzadan itibaren beş iş günü içinde Kurum'a bildirmek zorunda.

Geçerli bir rıza paneli nasıl görünür?

Açık rıza Kanun'da belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanıyor. Rehber bunu panel tasarımına şöyle çeviriyor:

Siteye girmek rıza değildir. Rıza, kullanıcının bir düğmeye basması gibi aktif bir eylemle alınır ve çerez yerleştirilmeden önce alınır.
Seçenekler eşit sunulur. "Kabul et", "Reddet" ve "Tercihler" düğmelerinin renk, büyüklük ve punto açısından eşit olması iyi uygulama sayılıyor.
Rıza isteyen çerezler kapalı gelir. Tercihler katmanında bu çerezlerin ilk hâli pasif olmalı.
Rıza koşullara gömülmez. Kullanım koşullarına veya gizlilik bildirimine iliştirilen rıza geçerli sayılmıyor. Rıza, hizmetin ön koşulu da yapılamaz.
Çerez duvarı sorunludur. Tüm çerezleri kabul etmeden içeriği göstermeyen bir duvar özgür iradeyi sakatlayabilir. Rehber, olaya göre adil alternatiflerin sunulabileceğini not ediyor.
Geri almak kolay olmalı. Sayfanın köşesinde küçük bir simge veya bant iyi örnek olarak gösteriliyor.
Her girişte sorulmaz. Sık soru rıza yorgunluğu yaratır. Tercih, çerezin ömrüyle orantılı aralıklarla hatırlatılabilir.

Üçüncü taraf çerezlerde sorumluluk paylaşılıyor. Site sahibi de çerezi yerleştiren şirket de kullanıcıyı bilgilendirmek ve rıza almakla yükümlü. Rehber, bu konunun iki taraf arasındaki sözleşmeye yazılmasını öneriyor.

Aydınlatma metni neden ayrı olmalı?

Kanun'un 10. maddesi, veri elde edilirken kişiye beş konuda bilgi verilmesini istiyor: veri sorumlusunun kimliği, işleme amacı, verinin kime ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, kişinin hakları. Rehber buna çerez özelinde çerezin adını, amacını, süresini ve birinci mi üçüncü taraf mı olduğunu ekliyor.

Rıza gereken işlemlerde aydınlatma ile rıza ayrı ayrı yapılır. Rehberin aktardığı 27.02.2020 tarihli ve 2020/173 sayılı Kurul kararında, siteyi ziyaret eden kişinin gizlilik bildirimindeki uygulamaları kabul etmiş sayıldığını söyleyen bir ifade ne aydınlatma ne de rıza olarak kabul edildi. Kurul, kişinin sonradan vazgeçebildiği otomatik onay yerine, önceden ve bilinçli onay veren (opt-in) bir sistem istedi.

Kurul kararları ve cezalar ne gösteriyor?

İki karar, çerez eksiklerinin hangi maddeden cezalandırıldığını gösteriyor. 23/12/2022 tarihli 2022/1358 sayılı kararda zorunlu olmayan çerezler için açık rıza almayan bir oyun platformuna 300.000 TL ceza verildi. Ceza, Kanun'un 18/1-b bendiyle, yani veri güvenliği yükümlülüğü üzerinden kesildi. İlk ziyarette aydınlatma yapılmaması için ise eksikliğin giderilmesi talimatı verildi. 08/08/2024 tarihli 2024/1361 sayılı kararda çerez paneli olmayan ve reklam verimliliğini ölçen bir analitik çerezi rızasız çalıştıran siteye 18/1-b'den 250.000 TL, aydınlatma eksikliği için 18/1-a'dan 15.000 TL ceza verildi.

Tutarlar her yıl yeniden değerleme oranıyla artıyor. Kurum'un 31 Aralık 2025 duyurusuna bağlı 2026 tablosunda artış oranı %25,49. Aydınlatma yükümlülüğüne aykırılığın cezası 85.437 TL ile 1.709.200 TL, veri güvenliği yükümlülüğüne aykırılığınki 256.357 TL ile 17.092.242 TL arasında.

Uygulama adımları

Envanter çıkarın. Siteyi tarayıcının geliştirici araçlarıyla ve etiket yöneticisinden tarayın. Her çerez için ad, sağlayıcı, amaç, süre ve taraf bilgisini tek tabloya yazın.
Sınıflandırın. Her çerezi Kriter A, Kriter B veya rıza gerektiren gruba koyun. Kararın gerekçesini aynı satıra not edin.
Gereksizleri silin. Rehberin ekindeki kontrol listesi, ihtiyaç duyulmayan çerezlerin kaldırılmasını ilk adımlardan sayıyor. Eski kampanyalardan kalan etiketler genellikle bu gruptadır.
Paneli kurun. Eşit düğmeler, kapalı varsayılan ve ayrıntılı tercihler katmanı. Panelde aydınlatma metnine bağlantı olsun.
Etiketleri rızaya bağlayın. Rıza vermeyen ziyaretçide reklam etiketleri hiç çalışmamalı. Google araçlarındaki teknik karşılığı Consent Mode rehberinde anlattık.
Metinleri ayırın. Çerez aydınlatma metni, açık rıza metni ve genel gizlilik bildirimi ayrı belgeler olsun.
Sağlayıcıları kontrol edin. Yurt dışına veri aktaran her araç için aktarım dayanağını ve sözleşmesini dosyalayın.
Kayıt tutun ve yineleyin. Rıza kayıtlarını uygun süre saklayın. Siteye yeni bir etiket eklendiğinde envanteri güncelleyin.

Etiket yönetimi tarafını GA4 ve GTM kurulumunda, panel ve metinlerin siteye yerleşimini kurumsal web sitesi geliştirme sürecinde ele almak, işi tek seferde bitirir.

Sık yapılan hatalar

"Siteyi kullanarak çerezleri kabul edersiniz" bandı. Kurul kararlarına göre bu rıza değildir.
Yalnız "Kabul et" düğmesi. Reddetmek için tercihler menüsüne girmeyi zorunlu kılmak, seçenekleri eşit sunma ilkesine uymaz.
Panel var, etiket bağlı değil. Kullanıcı reddettiği hâlde reklam etiketi ilk yüklemede çalışıyorsa panel süsten ibarettir.
Tek metinde her şey. Aydınlatmayı, rızayı ve kullanım koşullarını tek belgede toplamak Kurul'un ayırdığı işlemleri birleştirir.
Pikseli kapsam dışı saymak. Rehberin pikselden söz etmemesi, piksel ile işlenen kişisel verinin Kanun dışında kaldığı anlamına gelmez.

Uyumu nasıl test edersiniz?

Rıza öncesi test: Siteyi gizli pencerede açın, panelde hiçbir şeye basmayın. Ağ sekmesinde reklam ve analitik isteği, çerez sekmesinde zorunlu olmayan çerez var mı, bakın.
Ret sonrası test: "Reddet"e basıp sayfaları gezin. Reklam çerezi oluşuyorsa etiket bağlantısı hatalıdır.
Geri alma testi: Verilen rızayı simgeden geri alın ve çerezlerin durduğunu kontrol edin.
Envanter karşılaştırması: Tarayıcıda gördüğünüz çerez listesini aydınlatma metnindeki listeyle eşleştirin. Metinde olmayan her çerez bir açıktır.
Rıza oranı: Kabul, ret ve tercih oranlarını ayrı izleyin. Ret oranının sıfıra yakın olması panelin seçenekleri eşit sunmadığının işareti olabilir.

Bu yazı genel bilgi verir, hukuki danışmanlık yerine geçmez.

Yarın on dakikalık bir test yapın

Sitenizi gizli pencerede açın ve panelde hiçbir şeye dokunmadan geliştirici araçlarındaki çerez listesini kaydedin. Ardından "Reddet"e basıp aynı listeyi yeniden alın. İki liste arasında zorunlu olmayan bir çerez görüyorsanız envanter ve etiket bağlantısı işine oradan başlayın.