Çerez politikası ve çerez bandı: zorunlu mu, KVKK ne istiyor?

Bu yazı genel bilgilendirme içindir, hukuki danışmanlık değildir. Kurallar ve Kurul kararları değişebilir; kendi durumunuz için bir hukukçuya danışın.

Çerez bandı her site için zorunlu değildir: sitenizde yalnızca çalışması için gereken çerezler varsa ziyaretçiden onay istemeniz gerekmez, onu yalnızca bilgilendirirsiniz. Google Analytics, Meta Pixel gibi analiz ve reklam araçları kullanıyorsanız durum değişir; bu araçların çerezleri ziyaretçi açık rıza vermeden çalışmamalıdır. Bu rızayı almanın pratik yolu, "Reddet" seçeneğinin "Kabul et" kadar kolay olduğu bir çerez bandıdır. Kuralların kaynağı KVKK ve Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberidir.

Çerezler neden KVKK konusu?

Çerez, siteyi ziyaret ettiğinizde tarayıcınıza kaydedilen küçük bir dosyadır. Bir çerez ziyaretçiyi tanımaya, onu siteler arasında izlemeye yarıyorsa, onunla işlenen bilgi kişisel veridir. Türkiye'de çerezlere özel bir kanun yoktur; Kurum'un rehberine göre Elektronik Haberleşme Kanunu'ndaki çerez hükmü yalnızca haberleşme işletmecilerini kapsar, diğer siteler için 6698 sayılı KVKK uygulanır.

Rehber ilk kez 2022'de yayımlandı, Temmuz 2025'te güncellendi (KVKK Yayınları No: 69). Güncellemede esas olarak yurt dışına aktarım bölümü, 2024'teki kanun değişikliğine göre yeniden yazıldı. Rehber tavsiye niteliğindedir; ancak Kurul'un çerez kararları aynı çizgidedir ve onaysız çerez kullanan siteler idari para cezası almıştır.

Hangi çerezler onaysız kullanılabilir?

Rehber iki ölçüt koyar. Kriter A: çerez yalnızca iletişimin ağ üzerinden sağlanması için kullanılıyor. Kriter B: çerez, ziyaretçinin açıkça istediği hizmet için kesinlikle gerekli. Bu ölçütlere giren çerezler için açık rıza aranmaz; dayanak genellikle sözleşmenin ifası (md. 5/2-c) ya da meşru menfaattir (md. 5/2-f). Rehberin örnekleri:

• Sepet ve form gibi kullanıcı girdisini tutan çerezler,
• Oturum açmayı sağlayan kimlik doğrulama çerezleri (oturum süresince; kalıcı giriş için "beni hatırla" kutusu önerilir),
• Güvenlik çerezleri,
• Video oynatıcının oturum çerezleri,
• Yük dengeleme çerezleri,
• Dil gibi arayüz tercihleri,
• Ziyaretçinin çerez tercihini hatırlayan çerez,
• Belirli şartlarla birinci taraf analitik çerezler (aşağıda).

Bu çerezler için onay istemeyin ama onları da anlatın: rehber, zorunlu çerezler için rıza istemenin dürüstlük kuralıyla bağdaşmayacağını belirtir. Tersine bir hata da var: Kurul 2023/1645 sayılı kararında, yurt dışındaki üçüncü taraf sağlayıcıların çerezlerini "gerekli çerezler" arasında gösteren bir siteyi cezalandırdı. Bir çereze "zorunlu" demek onu zorunlu yapmaz.

Hangi çerezler açık rıza ister?

Çerez türü	Örnek	Onay gerekir mi?
Zorunlu	Sepet, oturum, güvenlik	Hayır, yalnızca bilgilendirme
Birinci taraf analitik (şartları sağlıyorsa)	Kendi sunucunuzda anonim sayım	Rehbere göre hayır
Üçüncü taraf analiz	Google Analytics 4	Evet
Davranışsal reklam	Meta Pixel, TikTok Pixel, yeniden pazarlama etiketleri	Evet
Sosyal eklenti takip çerezleri	Gömülü paylaşım ve beğen modülleri	Evet

Google Analytics 4 neden onay ister? Rehber birinci taraf analitiği onaysız kullanılabilecek çerezler arasında sayar, ama şartlarıyla: yalnızca anonim istatistik üretmesi, ziyaretçiyi siteler arasında izlememesi, ömrünün makul olması ve toplanan verilerin üçüncü taraflara iletilmemesi. GA4'ün çerezi sizin alan adınızda oluşsa da veriler Google'a gider; son şart karşılanmaz. Kurul da 2022/229 sayılı kararında reklam, pazarlama ve performans amacıyla çalışan çerezleri açık rızaya bağlı saydı, "opt-in" yani önceden onay mekanizması istedi ve 800.000 TL idari para cezası verdi.

Meta Pixel neden onay ister? Rehbere göre davranışsal reklamcılık çerezleri açık rıza gerektirir. Pixel, ziyaretçinin sitedeki hareketlerini reklam hedeflemesi için Meta'ya gönderir.

Sitenizde bant gerekir mi? Üç örnek

• Yalnızca tanıtım ve iletişim formu olan bir kafe sitesi, örneğin Moda'da bir kafe: menü, fotoğraflar, iletişim formu, çerezsiz ziyaret sayımı. Onay istemeniz gerekmez. Yine de rehber, site ziyaretiyle veri işleniyorsa aydınlatmanın siteye giriş aşamasında yapılmasını ister; onay düğmesi olmayan kısa bir bilgilendirme notu ve her sayfadan ulaşılan bir çerez politikası bağlantısı bu işi görür.
• Aynı site, Google Analytics 4 eklenince: Artık onay bandı gerekir. GA4, ziyaretçi Kabul et demeden yüklenmez; Reddet diyen ziyaretçide hiç çalışmaz.
• Bir giyim mağazası: Sepet ve üye girişi çerezleri zorunludur ve onay istemez. GA4 ve Meta Pixel ise farklı amaçlara hizmet eder; bantta Tercihler düğmesiyle "analiz" ve "reklam" ayrı ayrı seçilebilmelidir.

Geçerli bir onay nasıl alınır?

Rehber ve Kurul kararlarından çıkan kurallar şunlardır:

• Önce onay, sonra çerez. Onaya tabi çerezler ziyaretçi seçim yapmadan yüklenmez. Etiket kodunu sayfaya koyup bandı sonra göstermek yetmez.
• Siteye girmek ya da gezinmek onay değildir. Rıza aktif bir eylemle verilir. Rehber, "sitemizi kullanarak çerez kullanımına izin vermektesiniz" türü bir metni kötü örnek olarak gösterir; sayfayı kaydırmak ya da gezinmeye devam etmek de siteyi kullanmaktır.
• Düğmeler eşit olur. Rehbere göre iyi uygulama, siteye girildiğinde açılan bir panelde "Kabul et", "Reddet" ve "Tercihler" düğmelerini renk, büyüklük ve punto açısından eşit sunmaktır. Reddet'i soluk bir bağlantı yapıp Kabul et'i büyük renkli bir düğme yapmak bu eşitliği bozar.
• Önceden işaretli kutu yoktur. Tercih panelinde onaya tabi kategoriler ilk açılışta kapalı gelir.
• Her amaç için ayrı seçim. Analiz ve reklam farklı amaçlardır; ziyaretçi birine izin verip diğerini reddedebilmelidir. Kurul 2023/1645 sayılı kararında yalnızca "sadece gerekli çerezler" ve "tüm çerezlere izin ver" seçeneklerini sunan bir bandın aldığı rızayı geçersiz saydı ve 750.000 TL ceza verdi.
• Çerez duvarı yok. Tüm çerezleri kabul etmeden içeriği göstermemek rızayı hizmet şartına bağlar; rehbere göre bu durumda alınan rıza geçerli olmayabilir.
• Geri almak kolay olur. Verilen rıza geri alınabilir olmalıdır. Rehber, sayfanın köşesinde içeriği kapatmayan küçük bir simge ya da bandı iyi örnek olarak gösterir; sayfa altındaki bir "Çerez tercihleri" bağlantısı da aynı işi görür.
• Kullanım koşullarına iliştirilmez. Reklam çerezlerine rıza, üyelik sözleşmesi ya da kullanım koşulları içine gömülerek alınamaz.

Kimin, ne zaman, neye izin verdiğinin kaydını tutun: rızanın alındığını ispat etmek veri sorumlusunun işidir.

Çerez bandı metni ve çerez politikası

İkisi farklı işler görür. Bant ilk katmandır: kısa olur, amaçları ve tarafları söyler, ayrıntı için politikaya bağlantı verir. Rehberin kötü örneklerinden biri, amaçları (analitik, reklam) ve tarafları (birinci, üçüncü) bantta hiç söylemeyen bir metindir.

Örnek bant metni: "Sitemizin çalışması için zorunlu çerezler kullanıyoruz. İzin verirseniz ziyaretleri ölçmek için Google Analytics, reklamlarımızın etkisini ölçmek için Meta Pixel çerezleri de çalışır; bu hizmetler verileri yurt dışında işler. Ayrıntılar çerez politikamızda."

Çerez politikası, çerezlere özel aydınlatma metnidir. Rehberin örnek metnine ve aydınlatma kurallarına göre şunları içerir:

1. Veri sorumlusunun kimliği ve iletişim bilgileri,
2. Kullanılan çerez türleri ve her birinin amacı,
3. Her tür için hukuki sebep: zorunlular için sözleşme ya da meşru menfaat, diğerleri için açık rıza,
4. Bir tablo: çerezin adı, amacı, birinci mi üçüncü taraf mı olduğu ve süresi,
5. Verilerin kimlere aktarıldığı, yurt dışına aktarım varsa hangi hizmetle ve hangi dayanakla,
6. Tercihlerin nasıl değiştirileceği ve tarayıcıdan çerezlerin nasıl silineceği,
7. KVKK md. 11'deki haklar ve başvuru yolu,
8. Güncelleme tarihi.

Rehber, karmaşık ve pek çok konuyu bir arada anlatan bir gizlilik bildiriminin aydınlatma yerine geçmeyeceğini de söyler. Çerez metnini ayrı ve bulunması kolay tutun; genel aydınlatma metniyle ilişkisini KVKK aydınlatma metni rehberinde anlattık.

Yurt dışına aktarım notu

Google Analytics, Meta Pixel, TikTok Pixel ya da yurt dışındaki bir canlı destek aracı kullandığınızda ziyaretçi verisi yurt dışına gider. 2025 tarihli rehbere göre bu aktarımın KVKK md. 9'a ve 10 Temmuz 2024 tarihli Yurt Dışına Aktarım Yönetmeliği'ne uygun yapılması gerekir. Kısaca:

• Ekim 2026 itibarıyla Kurul'un hiçbir ülke için yeterlilik kararı yoktur.
• Öncelikli yol standart sözleşme gibi uygun güvencelerdir; standart sözleşme imzadan itibaren beş iş günü içinde Kurum'a bildirilir.
• Açık rızayla aktarım artık yalnızca arızi, yani düzenli olmayan aktarımlar için bir istisnadır. Her ziyarette çalışan bir analiz aracı ise işin olağan akışındadır.

Kurul, 2023/1645 sayılı kararında yurt dışındaki sağlayıcıların çerezleriyle yapılan aktarımı md. 9'a aykırı buldu. Kullandığınız aracın hangi güvenceyi sunduğunu sağlayıcıdan öğrenin ve çerez politikanızda yazın.

Kontrol listesi

1. Sitenizdeki bütün çerezleri ve etiketleri listeleyin; tarayıcının geliştirici araçlarındaki çerez listesi iyi bir başlangıçtır.
2. Zorunlu olanları ayırın; üçüncü taraf analiz ve reklam çerezlerini "zorunlu" diye etiketlemeyin.
3. Gizli pencerede sitenizi açın ve banda dokunmadan çerezlere bakın: analiz ve reklam çerezi görmemelisiniz.
4. Kabul et, Reddet ve Tercihler düğmelerinin aynı boyutta ve aynı renkte olduğunu kontrol edin.
5. Tercih panelinde onaya tabi kategoriler kapalı gelsin; analiz ve reklam ayrı ayrı seçilebilsin.
6. "Siteyi kullanarak çerezleri kabul etmiş sayılırsınız" cümlesini kaldırın.
7. Her sayfadan tercihleri değiştirme yolu bırakın.
8. Çerez politikanızda ad, amaç, taraf ve süre tablosu ile yurt dışına aktarım bilgisi olsun.
9. Yeni bir etiket ya da araç eklediğinizde bandı ve politikayı güncelleyin.

Mağaza açıyorsanız çerezler, satıcının yükümlülüklerinden yalnızca biridir; diğerlerini e-ticarette yasal yükümlülükler yazısında bulabilirsiniz.

Panasis'te nasıl?

Panasis web sitelerinde çerez bandı vardır; Reddet düğmesi Kabul et ile yan yana ve aynı boyutta durur. Google Analytics 4, Tag Manager ve Meta Pixel'i bağlayabilirsiniz; bunlar yalnızca ziyaretçi bantta onay verince çalışır. Panasis'in kendi ziyaret sayımı çerez kullanmaz, bu yüzden bu sayım için onay istenmez. Panasis mağazalarında çerez politikası sayfası hazır gelir; bu metin yasal bir şablondur, kendi sitenize uygunluğunu bir hukukçuya kontrol ettirmenizi öneririz.