Çerez politikası zorunlu mu sorusunun kısa cevabı şudur: Kanunda "çerez politikası" adıyla sayılmış bir belge yoktur; ancak internet siteniz çerezler aracılığıyla ziyaretçilerin kişisel verilerini işliyorsa 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 10. maddesi uyarınca aydınlatma yapmak, zorunlu olmayan çerezler için de ziyaretçinin açık rızasını almak zorundasınız. Uygulamada bu yükümlülükler çerez politikası (çerez aydınlatma metni) ve çerez yönetim paneliyle yerine getirildiğinden, kişisel veri işleyen hemen her ticari site için çerez politikası fiilen zorunludur.
Kişisel Verileri Koruma Kurumu'nun Temmuz 2025'te güncellediği Çerez Uygulamaları Hakkında Rehber, hangi çerezlerin rıza gerektirdiğini, çerez bandının nasıl tasarlanacağını ve aydınlatmanın nasıl yapılacağını ayrıntılı biçimde açıklamaktadır. Bu yazıda çerez türleri, açık rıza gerektirmeyen çerezler, geçerli bir çerez onayının şartları, çerez politikasında bulunması gerekenler, üçüncü taraf çerezler ile yurt dışına aktarım ve yaptırımlar anlatılmaktadır.
Çerez Nedir, Hangi Türleri Vardır?
Çerez (cookie), bir internet sitesini ziyaret ettiğinizde tarayıcınıza yerleştirilen ve siteye tekrar girdiğinizde okunabilen küçük metin dosyasıdır. Çerezler çoğu zaman bir kimlik numarası, IP adresi veya gezinme davranışı gibi bilgilerle kişiyi belirlenebilir kıldığından kişisel veri işlenmesine yol açar. Rehber çerezleri üç açıdan sınıflandırır:
| Sınıflandırma | Türler | Örnek |
| Süreye göre | Oturum çerezleri ve kalıcı çerezler | Tarayıcı kapanınca silinen sepet çerezi; dil tercihini uzun süre saklayan çerez |
| Tarafa göre | Birinci taraf ve üçüncü taraf çerezler | Sitenin kendi yerleştirdiği çerez; reklam ağının veya analitik hizmet sağlayıcısının çerezi |
| Amaca göre | Zorunlu, işlevsel, analitik (performans) ve reklam (hedefleme) çerezleri | Oturum açma, tercihlerin hatırlanması, ziyaret istatistikleri, davranışsal reklam |
Çerez kuralları, site sahibinin KVKK kapsamındaki yükümlülüklerinin yalnızca bir parçasıdır; diğer yükümlülükler için KVKK yükümlülükleri nelerdir yazımıza bakabilirsiniz.
Hangi Çerezler İçin Açık Rıza Gerekmez?
5809 sayılı Elektronik Haberleşme Kanunu'nun çerezlerle ilgili hükmü (m.51/3) yalnızca Bilgi Teknolojileri ve İletişim Kurumu yetkilendirmesine tabi işletmecileri kapsar. Bu nedenle internet sitelerinin büyük çoğunluğunda çerez kullanımı KVKK'ya göre değerlendirilir. Rehber, Avrupa Birliği uygulamasına paralel iki ölçüt öngörür:
- Kriter A: Çerezin yalnızca elektronik haberleşme ağı üzerinden iletimin gerçekleştirilmesi amacıyla kullanılması. Örneğin ziyaretçiyi yük dengeleme sistemindeki sabit bir sunucuya yönlendiren oturum çerezi.
- Kriter B: Çerezin, kullanıcının açıkça talep ettiği hizmetin sunulması için kesinlikle gerekli olması. Alışveriş sepeti ve form verisi çerezleri, oturum açma çerezleri, başarısız giriş denemelerini tespit eden güvenlik çerezleri, çerez tercihini saklayan çerezler ve dil seçimi gibi oturumla sınırlı arayüz tercihleri bu gruba girer.
Bu çerezler için açık rıza gerekmez; hukuki sebep çoğunlukla sözleşmenin kurulması veya ifası (KVKK m.5/2-c) ya da meşru menfaattir (m.5/2-f). Ancak aydınlatma yükümlülüğü bu çerezler için de devam eder. Tarayıcı kapandıktan sonra da oturumu açık tutan kalıcı giriş çerezleri ise Rehber'e göre kendiliğinden bu kapsamda sayılmaz.
Rehber, birinci taraf analitik çerezlerin de sınırlı koşullarla Kriter B kapsamında değerlendirilebileceğini kabul eder: Yalnızca sitenin performansını ölçmek ve gezinme sorunlarını gidermek amacıyla kullanılmalı, IP adresi gibi gereksiz veriler maskelenmeli, yalnızca anonim istatistik üretilmeli, kullanıcı başka sitelerde takip edilmemeli ve veriler üçüncü kişilerle paylaşılmamalıdır. Davranışsal reklam ve hedefleme çerezleri ise her durumda açık rıza gerektirir.
Geçerli Çerez Onayının Şartları
Açık rıza, KVKK m.3'te belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. Rehber'e göre çerez bandı ve tercih paneli şu ölçütlere göre değerlendirilir:
| Uygulama | Rehber'e göre değerlendirme |
| "Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" ifadesi | Geçerli rıza değildir; siteye girmek veya gezinmek onay anlamına gelmez. |
| Önceden işaretlenmiş kutucuklar | Geçerli değildir; zorunlu olmayan çerezler tercih panelinde varsayılan olarak kapalı görünmelidir. |
| Büyük ve renkli "Kabul Et" butonunun yanında silik bir "Reddet" bağlantısı | "Kabul Et", "Reddet" ve "Tercihler" seçenekleri boyut, renk ve yazı tipi bakımından eşit görünürlükte olmalıdır. |
| Tüm çerezler için tek bir onay | İşlevsel, analitik ve reklam gibi her amaç için ayrı tercih imkânı sunulmalıdır. |
| Çerez duvarı (çerezler kabul edilmeden siteye erişimin engellenmesi) | Özgür iradeyi zedelediğinden kural olarak geçerli rıza sayılmaz; adil bir alternatif sunulup sunulmadığı somut olayda değerlendirilir. |
| Rızanın geri alınması | Rıza vermek kadar kolay olmalıdır; sayfada her zaman görünen küçük bir simge veya bağlantı önerilir. |
Rıza gerektiren çerezler, ziyaretçi onay vermeden etkinleştirilmemelidir. Rızanın her ziyarette yeniden istenmesi de doğru değildir; Rehber, "rıza yorgunluğu" oluşturmamak için çerezin ömrüyle orantılı aralıklarla hatırlatma yapılmasını ve verilen rızaların uygun bir süre kayıt altında tutulmasını önerir.
Çerez Politikasında Neler Bulunmalı?
Çerez politikası, çerezler yoluyla yapılan veri işlemeye ilişkin aydınlatma metnidir. Aydınlatma, kişisel veriler elde edilirken, yani ziyaretçi siteye girdiği anda yapılmalıdır. Rehber'e göre açık rızaya dayanan işlemelerde aydınlatma ile açık rıza ayrı ayrı alınmalıdır; uzun ve genel bir gizlilik metni içine gömülmüş bilgilendirme yeterli sayılmaz. Uygulamada ilk katmanda kısa bir çerez bandı, ikinci katmanda ayrıntılı çerez politikası bulunan katmanlı yöntem tercih edilir. Çerez politikasında en az şu bilgiler yer almalıdır:
- Veri sorumlusunun kimliği: Siteyi işleten gerçek veya tüzel kişi ve iletişim bilgileri.
- Çerez listesi: Her çerezin adı, amacı, saklama süresi ve birinci taraf mı üçüncü taraf mı olduğu.
- Hukuki sebep: Zorunlu çerezlerde KVKK m.5/2'deki sebep, diğer çerezlerde açık rıza.
- Aktarım bilgisi: Verilerin aktarıldığı alıcı grupları ve yurt dışına aktarım yapılıp yapılmadığı.
- Haklar ve tercih yönetimi: KVKK m.11'deki haklar ile ziyaretçinin çerez tercihlerini nasıl değiştirebileceği.
Aydınlatma metninin genel yapısı, zorunlu unsurları ve sık yapılan hatalar için KVKK aydınlatma metni nasıl hazırlanır yazımıza bakabilirsiniz. Başka bir siteden veya yabancı bir şablondan kopyalanan çerez politikası, sitenizde fiilen çalışan çerezleri yansıtmadığı için çoğu zaman bu yükümlülüğü karşılamaz.
Üçüncü Taraf Çerezler ve Yurt Dışına Aktarım
Analitik, reklam veya sosyal medya eklentisi gibi hizmetler için yerleştirilen üçüncü taraf çerezlerde hem site işleteni hem de çerezi yerleştiren üçüncü taraf aydınlatma ve rıza yükümlülükleri bakımından sorumluluk taşır. Ziyaretçinin muhatabı çoğunlukla site işleteni olduğundan Rehber, tarafların iş birliği yapmasını ve görev paylaşımını aralarındaki sözleşmeyle düzenlemesini önerir. Rehber masaüstü sitelerin yanında mobil siteler ve web tabanlı uygulamalar için de yol gösterir.
Bu hizmetlerin sunucuları çoğu zaman yurt dışındadır. 2024 yılında değişen KVKK m.9 uyarınca yurt dışına aktarım; yeterlilik kararı, standart sözleşme gibi uygun güvenceler veya arızi aktarım hâllerinden birine dayanmalıdır. Standart sözleşme kullanılıyorsa sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurum'a bildirilmesi gerekir. Aktarımın usul ve esasları 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan yönetmelikte düzenlenmiştir.
Çerez Kurallarına Uyulmazsa Ne Olur?
Çerez politikasının hiç bulunmaması veya eksik olması aydınlatma yükümlülüğüne aykırılık oluşturur. Açık rıza alınmadan zorunlu olmayan çerezlerle veri işlenmesi ise kişisel verilerin hukuka aykırı işlenmesini önleme yükümlülüğünün, yani veri güvenliği yükümlülüğünün ihlali olarak değerlendirilebilir. KVKK m.18'deki tutarlar her yıl yeniden değerleme oranında artırılır; 2026 yılı için öngörülen aralıklar şöyledir:
| Aykırılık | 2026 idari para cezası |
| Aydınlatma yükümlülüğüne aykırılık (m.18/1-a) | 85.437 TL - 1.709.200 TL |
| Veri güvenliği yükümlülüğüne aykırılık (m.18/1-b) | 256.357 TL - 17.092.242 TL |
| Standart sözleşmenin Kurum'a bildirilmemesi (m.18/1-d) | 90.308 TL - 1.806.377 TL |
Ziyaretçiler de önce veri sorumlusuna başvurabilir, başvurusu reddedilir veya cevaplanmazsa Kurul'a şikâyette bulunabilir. Ceza miktarı somut olaya göre belirlenir ve tutarlar her yıl güncellendiğinden Kurum duyurularının takip edilmesi gerekir.
Sık Sorulan Sorular
Çerez politikası zorunlu mu, küçük bir site için de gerekir mi?
Sitenizde kişisel veri işleyen çerez varsa sitenin büyüklüğü fark etmez; aydınlatma yapmanız gerekir. Yalnızca zorunlu çerezler kullanıyorsanız açık rıza almanız gerekmez, ancak bu çerezler hakkında da bilgilendirme yapmalısınız. Analitik veya reklam çerezi kullanıyorsanız ayrıca çerez bandıyla açık rıza almalısınız.
Üçüncü taraf analitik araçları için açık rıza gerekir mi?
Rehber, yalnızca belirli koşulları taşıyan birinci taraf analitik çerezleri rıza gerektirmeyen çerezler arasında sayabilmektedir. Verileri hizmet sağlayıcıyla paylaşan, kullanıcıyı farklı sitelerde izleyen veya reklam amacıyla kullanılan analitik çerezler için kural olarak açık rıza alınmalı ve yurt dışına aktarım şartları ayrıca sağlanmalıdır.
Çerez bandında "Reddet" butonu bulunması zorunlu mu?
Rehber'e göre "Kabul Et", "Reddet" ve "Tercihler" seçenekleri eşit görünürlükte sunulmalıdır. Reddetme seçeneğinin gizlendiği veya hiç sunulmadığı bir bantta verilen onay, özgür iradeye dayanmadığı için geçerli rıza sayılmayabilir.
Çerez politikası ile aydınlatma metni aynı şey mi?
Çerez politikası, çerezler yoluyla yapılan veri işlemeye özgü bir aydınlatma metnidir. Genel aydınlatma metninizde çerezlere değinmeniz tek başına yeterli değildir; kullanılan çerezlerin adı, amacı, süresi ve tarafı açıkça gösterilmeli, açık rıza ise aydınlatmadan ayrı alınmalıdır.
Çerez onayı ne kadar süre geçerlidir?
Rehber sabit bir süre belirlememiştir. Rızanın her ziyarette yeniden istenmemesi, çerezin ömrüyle orantılı aralıklarla hatırlatılması ve verilen rızaların ispat amacıyla kayıt altında tutulması önerilmektedir.
Özet
- Kanunda "çerez politikası" adı geçmez; ancak çerezlerle kişisel veri işleyen site aydınlatma yapmak zorundadır (KVKK m.10).
- Kesinlikle gerekli çerezler (Kriter A ve B) açık rıza gerektirmez; hukuki sebep çoğunlukla m.5/2-c veya m.5/2-f'dir.
- Reklam, hedefleme ve kural olarak üçüncü taraf analitik çerezleri açık rıza gerektirir (KVKK m.5/1).
- Önceden işaretli kutucuk, "devam ederek kabul edersiniz" ifadesi ve çerez duvarı geçerli rıza sağlamaz.
- Yurt dışındaki sunuculara veri aktaran çerezlerde aktarım şartları ayrıca sağlanmalıdır (KVKK m.9).
- 2026 yılı için aydınlatma aykırılığında 85.437 TL - 1.709.200 TL, veri güvenliği aykırılığında 256.357 TL - 17.092.242 TL ceza öngörülmüştür (KVKK m.18).
Hangi çerezin hangi hukuki sebebe dayanacağı, sitenizde fiilen çalışan çerezlerin ve kullanılan üçüncü taraf hizmetlerin teknik olarak tespit edilmesini gerektirdiğinden çerez politikası her site için ayrıca hazırlanmalıdır. Dural Hukuk, çerez politikası ve çerez yönetim paneli metinleri, aydınlatma ve açık rıza metinleri ile KVKK uyum süreçleri konularında destek verebilir. Bilgi almak için 0535 260 74 54 numaralı telefonu arayabilir veya iletişim sayfası üzerinden Dural Hukuk'a ulaşabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır; somut durumunuz için bir avukata danışmanız önerilir.
Hazırlayan: Dural Hukuk