Çerez bildirimi zorunlu mu, ne işe yarar?

Bir siteye girdiğinizde köşede çıkan “Bu site çerez kullanır” bandını çoğu kişi okumadan kapatıyor. Site sahiplerinin önemli bir kısmı da onu bir tasarım detayı sanıyor. Oysa o bant, ziyaretçiden hukuken geçerli bir izin almanın aracı. Bu yazıda çerez bildiriminin ne zaman zorunlu olduğunu, ne işe yaradığını ve doğru kurulmuş bir bildirimin neye benzediğini anlatıyoruz.

Önce ölçtük: bildirimler çoğu sitede yok

Türkiye'de 129 hukuk bürosu sitesini taradığımız çalışmamızda sitelerin %89,1'inde çerez bildirimi görmedik. Kişisel verilerin korunmasını en iyi bilmesi beklenen meslek grubunda tablo buysa, genel işletme sitelerinde daha iyi olduğunu düşünmek için bir sebep yok.

Bu bir hukuki uyum denetimi değil, sitelerin dışarıdan görünen halinin taraması. Bildirimin olmaması tek başına ihlal anlamına gelmez; sadece zorunlu çerez kullanan bir site için bant gerekmeyebilir. Ama taranan sitelerin çoğunda analiz veya reklam kodu çalışıyor ve bu durumda bildirimin yokluğu ciddi bir eksik.

Çerez nedir, bildirim ne işe yarar?

Çerez, bir sitenin ziyaretçinin tarayıcısına bıraktığı küçük bir metin dosyasıdır. Bir kısmı sitenin çalışması için gereklidir: oturumunuzun açık kalması, sepetinizdeki ürünlerin kaybolmaması, doldurduğunuz formun gönderilmesi. Bir kısmı ise sizi tanımak ve izlemek için vardır: siteye kaç kez geldiğiniz, hangi sayfalarda gezdiğiniz, başka sitelerde size hangi reklamın gösterileceği.

Çerez bildirimi iki iş görür. Birincisi bilgilendirme: ziyaretçiye hangi çerezlerin hangi amaçla kullanıldığını söyler. İkincisi izin: rıza gerektiren çerezler için ziyaretçinin kabul ya da ret kararını alır. İkinci iş yapılmıyorsa, yani bant sadece “haberiniz olsun” diyorsa, sitenin kenarında bir yazı olmaktan öteye geçmez.

Kural nereden geliyor?

Türkiye'de çerezleri doğrudan düzenleyen ayrı bir kanun yok. Kişisel Verileri Koruma Kurumu'nun çerez rehberi de bunu açıkça söylüyor ve konuyu 6698 sayılı Kişisel Verilerin Korunması Kanunu üzerinden değerlendiriyor. Çerez yoluyla bir kişiye ait veri işleniyorsa iki kural devreye giriyor:

• Kanun md. 10, aydınlatma: Veri her toplandığında, en geç toplandığı anda ziyaretçiye kimin, hangi amaçla, hangi veriyi işlediği söylenir. Çerezler siteye girildiği anda çalıştığı için bilgilendirmenin de giriş anında yapılması gerekir.
• Kanun md. 5, işleme şartları: Çerezin kanundaki şartlardan birine dayanması gerekir. Zorunlu çerezler sözleşme veya meşru menfaat gibi şartlara dayanabilir. Hiçbir şarta dayanmayan çerezler için tek yol açık rızadır.

Kurum bu çerçeveyi Çerez Uygulamaları Hakkında Rehber'de ayrıntılandırdı. Rehberin ilk hali Haziran 2022'de yayımlandı, güncel sürümü Temmuz 2025 tarihli. Rehber kendini yol gösterici bir doküman olarak tanımlıyor; ancak içindeki temel tespitler Kişisel Verileri Koruma Kurulu'nun 27.02.2020 tarihli ve 2020/173 sayılı kararına dayanıyor. O kararda, siteye girişte bilgilendirme yapmayan ve onay istemeden çerez çalıştıran bir sitenin hem aydınlatma yükümlülüğüne hem açık rıza şartına aykırı davrandığı tespit edildi.

Hangi çerez onay ister, hangisi istemez?

Analitik satırı en çok karıştırılan yer. Rehber, birinci taraf analitik çerezlerin onaysız kullanılabileceğini kabul ediyor ama şart koşuyor: sadece anonim istatistik üretilmeli, ziyaretçi başka sitelerde izlenmemeli, toplanan veri üçüncü taraflara iletilmemeli. Google Analytics'te veri Google'a, yani hem üçüncü bir tarafa hem yurt dışına gidiyor. Bu yüzden istisnanın şartlarını karşılamıyor ve onaya bağlanması gerekiyor. Yurt dışına aktarım ayrıca Kanun'un 9 uncu maddesinin kurallarına tabi.

Doğru bir çerez bildirimi nasıl olmalı?

Rehberin iyi ve kötü uygulama örneklerinden çıkan ölçüler şunlar:

• Siteye girişte görünür. Bildirim, ziyaretçi bir şey yapmadan önce, ilk sayfada çıkar.
• Kabul ve ret eşit sunulur. “Kabul et”, “Reddet” ve gerekiyorsa “Tercihler” butonları aynı renk, aynı boyut ve aynı yazı büyüklüğünde olur. Kabulü parlak, reddi soluk bir bağlantı yapmak ziyaretçinin kararını yönlendirmektir.
• Rıza isteyen çerezler kapalı başlar. Tercihler panelinde analiz ve reklam seçenekleri önceden işaretli gelmez.
• Amaç ve taraf kısaca yazar. Bantta çerezlerin ne için kullanıldığı ve sizin mi, başka bir şirketin mi olduğu tek cümleyle belirtilir. Ayrıntı için aydınlatma metnine bağlantı verilir.
• Farklı amaçlar ayrı ayrı seçilebilir. Analiz ve reklam için tek bir “hepsine izin ver” yerine ayrı tercih imkânı sunulur.
• Rıza geri alınabilir. Ziyaretçi kararını sonradan değiştirebilmelidir. Rehber, sayfanın köşesinde içeriği kapatmayan küçük bir simgeyi iyi örnek olarak gösteriyor.
• Her ziyarette tekrar sorulmaz. Verilen karar makul bir süre hatırlanır. Sürekli soru sormak da ziyaretçinin iradesini zorlamak sayılabiliyor.

Aydınlatma metninde ise her çerezin adı, kullanım amacı, saklama süresi ve birinci mi üçüncü taraf mı olduğu açıkça yazılmalı. Uzun ve her konuya değinen tek bir gizlilik metni, rehbere göre aydınlatma yapılmış sayılmıyor. Aydınlatma ile rızanın neden ayrı tutulması gerektiğini iletişim formu ve KVKK yazımızda ayrıntılı anlattık; aynı mantık çerezler için de geçerli.

Rıza sayılmayan uygulamalar

• “Siteyi kullanarak çerezleri kabul etmiş sayılırsınız.” Rehber bu ifadeyi açıkça kötü örnek olarak gösteriyor. Rıza aktif bir eylemle verilir; siteye girmek ya da sayfayı kaydırmak rıza değildir.
• Tek butonlu bant. Sadece “Tamam” veya “Kabul ediyorum” seçeneği olan bildirim, ziyaretçiye seçim hakkı tanımaz.
• Önceden işaretli kutular. Ziyaretçinin kapatması beklenen hazır onaylar geçersiz.
• Çerez duvarı. Tüm çerezleri kabul etmeden siteyi açmayan uygulamalar, rızayı hizmetin ön şartı yaptığı için çoğu durumda geçerli rıza üretmez.
• Sözleşmeye gömülü rıza. Reklam çerezleri için rıza, kullanım koşullarının ya da gizlilik bildiriminin içine eklenerek alınamaz.

En sık hata: bant var ama çerez çoktan yazılmış

Sahada en çok gördüğümüz sorun, bildirimin hiç olmamasından bile daha sinsi: bildirim var, butonlar düzgün, ama Google Analytics kodu sayfa açıldığı anda çalışıyor. Ziyaretçi “Reddet”e bastığında çerez zaten yazılmış oluyor. Bu durumda bant sadece bir dekordur.

Bunu siz de iki dakikada kontrol edebilirsiniz:

1. 1Sitenizi bilgisayarda gizli pencerede açın. Çerez bandına dokunmayın.
2. 2Sayfaya sağ tıklayıp “İncele”yi seçin, açılan panelde “Application” (Safari'de “Depolama”) sekmesine geçin.
3. 3Sol menüde “Cookies” altında sitenizin adresine tıklayın.
4. 4Listede _ga ile başlayan ya da _fbp gibi çerezler görüyorsanız, analiz veya reklam kodunuz onay beklemeden çalışıyor demektir.
5. 5Sonra “Reddet”e basın ve sayfayı yenileyin. Yeni takip çerezi oluşmamalı.

Teknik çözüm, ölçüm kodlarını onay gelene kadar durdurmaktır. Google araçlarında bunun adı rıza modu (Consent Mode). Kodlar varsayılan olarak “reddedildi” durumunda başlar ve ziyaretçi kabul edince açılır. Çoğu hazır tema ve eklentide bu ayar ya hiç yok ya da kapalı geliyor.

Kendi sitemizde de böyle kurduk: rıza modu varsayılan olarak kapalı başlıyor, ziyaretçi kabul etmeden analiz ve reklam çerezi yazılmıyor, reddettiğinde site tüm işlevleriyle çalışmaya devam ediyor. Bedeli şu: reddeden ziyaretçileri ölçemiyoruz, Google Analytics'te gördüğümüz sayılar gerçek trafiğin bir kısmı. Doğru kurulmuş bir bildirimde bu kaçınılmaz.

Uymazsanız ne olur?

Aydınlatma yükümlülüğünü yerine getirmemek, Kanun'un 18 inci maddesinin birinci fıkrasının (a) bendine göre idari para cezası gerektiriyor. Tutarlar her yıl yeniden değerleme oranıyla güncellendiği için burada rakam vermiyoruz; güncel tutarı Kurum'un sitesinden kontrol edebilirsiniz. Kurul incelemeye şikâyet üzerine başlayabildiği gibi re'sen de başlayabiliyor ve 2020/173 sayılı karar, çerez meselesinin tam olarak böyle bir şikâyetle önüne geldiğini gösteriyor.

Cezadan önce gelen bir maliyet daha var: güven. Bildirimin eksikliğini fark eden ziyaretçi, özellikle hukuk, sağlık ve finans gibi güvene dayalı mesleklerde, sitenin geri kalanına da aynı gözle bakıyor.

Özetle

Çerez bildirimi her site için aynı şekilde zorunlu değil, ama analiz ya da reklam kodu çalıştıran her site için fiilen gerekli. İyi bir bildirim girişte çıkar, kabul ile reddi eşit sunar, onay gelmeden takip kodlarını çalıştırmaz ve kararın sonradan değiştirilmesine izin verir. Bunların en kolay atlananı sonuncusu değil, üçüncüsü: bant var ama kodlar onay beklemiyor.

Sitenizin genel sağlığı için web sitesi yaptırırken nelere dikkat edilmeli, adres çubuğundaki uyarılar için sitem güvenli değil uyarısı yazılarımıza bakabilirsiniz.