Çerez politikası nasıl hazırlanır? Zorunlu mu, içinde ne olmalı.
6698 sayılı Kanunda «çerez politikası» adında ayrı bir belge şartı yok; ama çerezle kişisel veri işleyen her site, ziyaretçiyi siteye girerken aydınlatmak zorunda. Kişisel Verileri Koruma Kurumu bu aydınlatmada her çerezin adının, amacının, süresinin ve birinci mi üçüncü taraf mı olduğunun açıkça yazılmasını tavsiye ediyor; çerez politikası bu bilginin düzenli durduğu yerdir.
«Çerez politikası zorunlu mu?» sorusunun kısa cevabı: belgenin adı zorunlu değil, içeriği zorunlu. Bu rehber o içeriği, tablonun hangi sütunlardan oluşacağını, çerez bandının ne zaman gerektiğini ve en sık yapılan hataları anlatıyor. Kaynak, Kurumun Temmuz 2025’te güncellenen Çerez Uygulamaları Hakkında Rehberi ve Kurulun yaptırım kararları. Buradaki bilgiler hukuki görüş değildir.
Çerez politikası zorunlu mu?
6698 sayılı Kanunda «çerez» kelimesi geçmez. Kanunun 10. maddesi ise kişisel veri elde edilirken ilgili kişinin aydınlatılmasını ister. Kurumun çerez rehberine göre site ziyaretiyle birlikte kişisel veri işlenmeye başlıyorsa aydınlatma siteye giriş aşamasında yapılmalıdır; girişte bir bilgilendirme sunulmazsa aydınlatma yükümlülüğüne aykırılık gündeme gelebilir. Rehber ayrıca aydınlatma metninde çerezin adı, kullanım amacı ve süresi ile birinci mi üçüncü taraf mı olduğunun açıkça yazılmasını tavsiye eder.
Bu bilgiyi aydınlatma metninin bir bölümünde ya da ayrı bir «çerez politikası» sayfasında tutabilirsiniz; Rehber yerini değil içeriğini tarif eder. Çerez kullanmayan bir site için de kısa bir sayfa yararlıdır: «çerez yok» demek ve tarayıcıda tutulan diğer kayıtları listelemek, ziyaretçinin sorusunu baştan cevaplar.
Çerez politikası ile aydınlatma metni arasındaki fark ne?
Aydınlatma metni sitenin bütün kişisel veri işlemesini anlatır: veri sorumlusunun kimliği, amaç, verinin kimlere aktarıldığı, toplama yöntemi ve hukuki sebep, ilgili kişinin hakları. Çerez politikası bunun çerez ve tarayıcı kayıtlarıyla ilgili bölümünü ayrıntılandırır. Hangi metnin hangi durumda gerektiğini web sitesinde olması gerekenler rehberinde topladık.
İki ayrım önemli. Rehbere göre aydınlatma metni ile çerez yönetim paneli birbirinden ayrılmalıdır. Reklam çerezleri için açık rıza da kullanım koşulları ya da «gizlilik bildirimi» gibi belgelerin içine gömülemez; rıza ayrı ve bilinçli bir eylemle alınır.
Tabloda hangi sütunlar olmalı?
Rehberin saydığı dört bilgi (ad · amaç · süre · taraf) tablonun çekirdeğidir. Uygulamada şu sütunlar ziyaretçinin sorusunu eksiksiz cevaplar:
- Ad · çerezin ya da kaydın teknik adı
- Tür · çerez, yerel depolama, oturum depolaması
- Ne zaman yazılır · ilk ziyarette mi, bir eylemden sonra mı
- Amaç · ziyaretçinin anlayacağı dille ne işe yaradığı
- Süre · oturum sonunda mı, kaç gün ya da ay sonra mı silinir
- Taraf · birinci taraf mı, üçüncü tarafsa hangi şirketin
- Hukuki sebep · Kanundaki şartın adıyla; açık rıza gerekip gerekmediği
- Yurt dışı · veri yurt dışındaki bir sağlayıcıya gidiyorsa
Hukuki sebebin «Kanundaki şartın adıyla» yazılması Aydınlatma Tebliğinin 5. maddesinden gelir: genel ve muğlak ifade kullanılmaz. Yurt dışı sütunu Rehberin Temmuz 2025 güncellemesiyle daha önemli hâle geldi: yurt dışındaki bir çerez sağlayıcısına aktarım Kanunun 9. maddesindeki aktarım kurallarına tabidir.
Örnek: bu sitenin tablosundan üç satır
Kendi çerez ve tarayıcı depolama politikamız her kaydı bu mantıkla listeler. Üç satırı şöyle:
- mt.bilgi · yerel depolama · «Anladım»a basınca · bilgi bandının yeniden çıkmaması · 12 ay · birinci taraf
- kt-son · yerel depolama · «Son okunan yazı» açıksa · son okunan yazıyı işaretlemek · özellik kapanınca silinir · birinci taraf
- __cf_bm · çerez (hcaptcha.com) · iletişim formuna dokununca · insan ile botu ayırmak · en çok bir gün · üçüncü taraf
İlk ikisi ziyaretçinin kendi isteğiyle yazılır; üçüncüsü yalnız forma dokunulduğunda yüklenen bir üçüncü taraf hizmetinden gelir. Tabloda üçü de aynı ayrıntıyla durur.
Çerez bandı ne zaman gerekir?
Rehber çerezleri amaçlarına göre ayırır. İletişimin kurulması için gereken (Kriter A) ve kullanıcının açıkça istediği bir hizmet için kesinlikle gerekli olan (Kriter B) çerezler açık rıza gerektirmez: oturum, form, sepet, güvenlik, kullanıcının seçtiği arayüz tercihi gibi. Rehberin kötü örnekler ekine göre sitenin temel işlevi bu kapsamdayken açık rıza istemek «hukuka ve dürüstlük kuralına uygun olma» ilkesiyle bağdaşmaz. Yalnız zorunlu çerez kullanan bir site rıza bandı değil, girişte bir bilgilendirme gösterir.
Rıza gereken yerde ise Rehber açıktır: ilk katmanda «Hepsini Kabul Et», «Hepsini Reddet» ve «Tercihler» eşit sunulur; farklı amaçlar için ayrı rıza alınır; rıza gerektiren çerezler panelde ilk elde kapalı gelir; siteye erişimi rızaya bağlayan bir «çerez duvarı» özgür iradeyi sakatlayabilir; «siteyi kullanarak çerezlere izin vermiş sayılırsınız» cümlesi geçerli bir rıza değildir.
Analitik çerezler rıza ister mi?
Duruma göre. Rehber, birinci taraf analitik çerezlerin Kriter B kapsamında değerlendirilebileceğini söyler; şartı, amacın sitenin kendi kitlesini ve performansını ölçmekle sınırlı kalması, yalnız anonim istatistik üretilmesi, siteler arası izleme yapılmaması ve verinin üçüncü taraflara iletilmemesidir. Rehber IP adresinin maskelenmesini örnek bir önlem olarak verir.
Bu şartların dışına çıkan analitik rıza ister. Kurul 2024/1361 sayılı kararında kesinlikle gerekli olmayan bir analitik çerezin ilk girişte rıza mekanizması olmadan kullanılmasını yaptırıma bağladı (250.000 TL, aydınlatma eksikliği için ayrıca 15.000 TL). 2022/1358 sayılı kararda reklam ve istatistik amaçlı zorunlu olmayan çerezler için rıza alınmadığı için 300.000 TL ceza verildi.
Yerel depolama ve diğer kayıtlar ne olacak?
Kurumun rehberi yalnız kişisel veri işleyen çerezleri kapsar; yerel depolama, piksel ve parmak izi gibi teknikler için ayrıca yönlendirme yapmaz. AB kuralları daha geniştir: Avrupa Veri Koruma Kurulunun 2/2023 sayılı rehberine göre cihazda tutulan her kayıt, yerel depolama dahil, ePrivacy kuralının kapsamındadır. Sitenizin AB’den ziyaretçisi varsa politikayı çerezle sınırlamamak, tarayıcıda tutulan her kaydı listelemek daha güvenlidir.
En sık yapılan hatalar neler?
- Şablon kopyası · sitede olmayan çerezleri anlatıp olanları atlamak
- Örtük rıza · «siteyi kullanarak kabul etmiş sayılırsınız»
- Tek düğme · yalnız «Kabul et», «Reddet» yok ya da sönük
- Gömülü rıza · rızayı politika ya da koşullar metninin içine koymak
- Unutulan üçüncü taraf · eklentinin bıraktığı çerezi yazmamak
- Eksik süre · çerezin ne zaman silineceğini belirtmemek
Üçüncü taraf çerezinde site sahibi de sorumludur: Rehbere göre hem site sahibi hem üçüncü taraf, kullanıcının bilgilendirilmesini ve rızasının alınmasını sağlamakla yükümlüdür.
Politika nasıl güncel tutulur?
Çerez politikası bir kez yazılıp bırakılırsa ilk eklenti değişikliğinde yanlış olur. Her yeni eklenti, etiket ya da gömülü içerikten sonra tarayıcının geliştirici araçlarında «Uygulama» sekmesine bakıp tabloyu karşılaştırın; kontrolü bir formu doldurduktan sonra tekrarlayın. Biz bu karşılaştırmayı test süitine bağladık: kodun yazdığı her depolama anahtarı tabloda yoksa test kırmızı verir. Ayrıntısı KVKK uyumlu web sitesi yazımızda.
Sitenizin tarayıcıda gerçekte ne bıraktığını birlikte ölçmek isterseniz bize yazın.
Bu soruların cevabını kendi sitenizde görmek isterseniz kurumsal web tasarım tasarımı, kodu ve teknik SEO’yu aynı elden, ölçülebilir bir bütçeyle teslim eder.