Çerez Politikası ve Web Sitesi KVKK Uyumu: 2026 Rehberi

Çerez politikası, bir web sitesinin hangi çerezleri hangi amaçla, ne kadar süreyle ve hangi hukuki sebebe dayanarak kullandığını ziyaretçiye açıklayan metindir. Web sitesi KVKK uyumu ise bu açıklamanın yanında zorunlu olmayan çerezler için geçerli açık rıza alınmasını, verilerin güvenle korunmasını ve gerekiyorsa VERBİS kaydını kapsar.

Bu rehberde Kişisel Verileri Koruma Kurumu'nun çerez rehberini, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu ve 2024 değişikliklerini resmî metinlere dayanarak özetliyoruz.

KVKK'nın çerez rehberi web siteleri için ne söylüyor?

KVKK'nın “Çerez Uygulamaları Hakkında Rehber”i, çerezler aracılığıyla kişisel veri işleyen web sitesi ve web uygulaması işletmecilerine yol gösteren, tavsiye niteliğinde bir belgedir. Rehber; çerez türlerini, açık rıza gerektirmeyen kullanım senaryolarını, geçerli rızanın unsurlarını, aydınlatmayı ve yurt dışına aktarımı ele alır. Güncel baskısı Temmuz 2025 tarihlidir.

Rehbere göre 6698 sayılı Kanun çerezleri ayrıca düzenlemez; ancak çerezler aracılığıyla kişisel veri işlendiğinde Kanun uygulanır. Elektronik Haberleşme Kanunu'nun 51. maddesi ise yalnızca elektronik haberleşme işletmecileri için sınırlı bir uygulama alanı bulur. Rehber piksel, local storage ve beacon gibi benzer teknolojiler için ayrı yönlendirme yapmaz; bu araçlarla kişisel veri işlendiğinde de Kanun'un genel hükümleri geçerlidir.

Zorunlu ve zorunlu olmayan çerezler nasıl ayrılır?

Rehber çerezleri iki ölçütle değerlendirir: Kriter A, çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması için kullanılmasıdır; Kriter B ise kullanıcının açıkça talep ettiği bir hizmet için kesinlikle gerekli olmasıdır. Bu ölçütleri karşılayan çerezlerde açık rıza dışındaki işleme şartlarına gidilebilir; reklam ve takip amaçlı çerezler ise açık rıza gerektirir.

Rehberde açık rıza gerektirmediği değerlendirilen başlıca örnekler şunlardır:

• Form doldurma ve alışveriş sepeti gibi kullanıcı girdisini izleyen oturum çerezleri,
• Oturum açmayı sağlayan kimlik doğrulama çerezleri; tarayıcı oturumları arasında kalıcı giriş sağlayan çerezler bu kapsama girmez, rehber bunun için “beni hatırla” gibi açık bir tercih kutusunu yaygın yöntem olarak anar,
• Başarısız giriş denemelerini izleyen ve web uygulaması güvenlik duvarının kullandığı güvenlik çerezleri,
• Dil tercihi gibi arayüz kişiselleştirme çerezleri ile yük dengeleme çerezleri,
• Ziyaretçinin çerez tercihlerini hatırlayan rıza yönetim platformu çerezi.

Birinci taraf analitik çerezler de Kriter B kapsamında değerlendirilebilir; ancak rehber bunu çerezin yalnızca anonim istatistik üretmesi, siteler arası takip için kullanılmaması, ömrünün makul olması ve toplanan verinin üçüncü taraflara iletilmemesi gibi koşullara bağlar. Sosyal eklenti takip çerezleri ile davranışsal reklam çerezleri ise açık rıza gerektirir.

Çerezler için açık rıza nasıl alınmalı?

Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Rehbere göre çerez rızası, çerezler yerleştirilmeden önce aktif ve olumlayıcı bir eylemle alınmalıdır. Yalnızca siteye girmek, aktif bir eyleme dayanmayan onaylar ya da “kişisel verilerimin işlenmesini kabul ediyorum” gibi genel bir beyan açık rıza sayılmaz.

Rızanın belirli bir konuya ilişkin olması için çerezin amacı, bu amaçla ölçülü süresi ve birinci ya da üçüncü taraf olup olmadığı belirtilmelidir. Kurul'un 2020/173 sayılı kararına göre opt-out değil opt-in sistemi kullanılmalı ve her farklı amaç için ayrı rıza verilebilmelidir. Rıza her an geri alınabilmeli; reklam çerezlerine ilişkin rıza, kullanım koşullarına veya gizlilik bildirimine iliştirilemez ve hizmetin ön koşulu hâline getirilemez. Siteye erişimi tüm çerezlerin kabulüne bağlayan çerez duvarlarının da özgür iradeyi sakatlayabileceği belirtilir.

Çerez banner'ı nasıl tasarlanmalı?

Rehberdeki iyi uygulama örneğine göre çerez paneli siteye girildiğinde açılmalı ve “Kabul et”, “Reddet” ve “Tercihler” seçeneklerini renk, büyüklük ve punto bakımından eşit belirginlikte sunmalıdır. Açık rıza gerektiren çerezler panelde varsayılan olarak kapalı gelmeli, panelde de çerez aydınlatma metnine bir bağlantı bulunmalıdır.

Rehber ayrıca “rıza yorgunluğu” riskine dikkat çeker: ziyaretçiden her girişte yeniden rıza istenmemeli, tercih çerezin ömrüyle orantılı aralıklarla hatırlatılmalıdır. Rızanın kolayca geri alınabilmesi için panelin sayfanın bir köşesinde küçük bir simge veya bant olarak erişilebilir kalması iyi örnek olarak gösterilir. Üçüncü taraf çerezlerde site sahibi ve üçüncü taraf, bilgilendirme ve rıza almaktan birlikte sorumludur.

Aydınlatma metni ile açık rıza metni arasındaki fark nedir?

Aydınlatma metni, veri işleme hangi hukuki sebebe dayanırsa dayansın, en geç veri elde edilirken yapılması zorunlu bilgilendirmedir. Açık rıza metni ise yalnızca rızaya dayanan işlemeler için ziyaretçinin onayını alan ayrı bir beyandır. Aydınlatma Tebliği'ne göre rızaya dayalı işlemelerde bu iki işlem ayrı ayrı yerine getirilmelidir.

6698 sayılı Kanun'un 10. maddesine göre aydınlatma; veri sorumlusunun kimliğini, işleme amaçlarını, verilerin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemi ile hukuki sebebi ve ilgili kişinin haklarını içerir. Rehber, çerez aydınlatmasında her çerezin adı, amacı, süresi ve birinci ya da üçüncü taraf bilgisinin yer almasını tavsiye eder. Pek çok konuyu bir arada anlatan karmaşık bir gizlilik bildirimi, aydınlatmanın yapıldığı şeklinde yorumlanmaz.

Kurul'un 2020/173 sayılı kararına göre açık rıza dışında bir işleme şartı varken ayrıca rıza istemek dürüstlük kuralına aykırı yorumlanabilir. Bu nedenle her işleme için önce doğru hukuki sebep belirlenmeli, rıza kutucuğu yalnızca rızaya dayanan işlemler için kullanılmalıdır.

VERBİS kaydı kimler için zorunlu?

VERBİS, 6698 sayılı Kanun'un 16. maddesine göre tutulan Veri Sorumluları Siciline kayıt sistemidir. Kanun, kişisel veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Sicile kaydolmasını öngörür; ancak Kurul, objektif ölçütlere göre bu yükümlülüğe istisna getirebilir. Bu nedenle her web sitesi sahibi kayıt yükümlüsü değildir.

KVKK'nın Ocak 2026 tarihli duyurusuna göre yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyeti özel nitelikli kişisel veri işleme olmayanlar kayıttan muaftır. Ana faaliyeti özel nitelikli veri işleme olanlar ise çalışan sayısı 10'dan ve bilanço toplamı 10 milyon TL'den azsa muaftır. Bilanço esasına göre defter tutmayanlar için yalnızca çalışan sayısı esas alınır. Kurul'un belirli faaliyetler için verdiği başka istisnalar da bulunur.

7499 sayılı Kanun KVKK'da neleri değiştirdi?

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun, KVKK'nın 6, 9 ve 18. maddelerini değiştirdi; bu hükümler 1 Haziran 2024'te yürürlüğe girdi. Web siteleri için en önemli değişiklik yurt dışına aktarım rejimidir; çünkü yurt dışında yerleşik şirketler aracılığıyla kullanılan çerezlerle yapılan aktarımlar da 9. maddeye uygun olmalıdır.

• Yurt dışına aktarım: Aktarım öncelikle Kurul'un yeterlilik kararına; bu yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli yazılı taahhütname gibi uygun güvencelere; bunlar da yoksa arızi hâllere dayanır. Açık rıza artık arızi hâllerden biri olarak düzenlenmiştir.
• Bildirim: Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir; bildirmemek idari para cezasına konu olur.
• Özel nitelikli veriler: Sağlık verisi gibi özel nitelikli verilerin işlenme şartları yeniden düzenlendi; ayrıntıları sağlık yazılımı regülasyonları yazımızda anlattık.
• İtiraz yolu: Kurul'un idari para cezalarına karşı idare mahkemelerinde dava açılabilir.

Geçiş hükmüne göre 9. maddenin eski birinci fıkrası, yeni hâliyle birlikte 1 Eylül 2024'e kadar uygulandı. Aktarımların ayrıntılı usulü ise 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlendi.

Web sitesi KVKK uyumu nasıl sağlanır?

Web sitesi KVKK uyumu; sitedeki çerezleri ve formları envantere almak, her işleme için hukuki sebebi belirlemek, çerez panelini ve aydınlatma metnini doğru kurmak, yurt dışı aktarımları ve VERBİS durumunu kontrol etmek ve bunları düzenli olarak gözden geçirmekle sağlanır. Aşağıdaki kontrol listesi, KVKK çerez rehberinin ekiyle Kanun hükümlerini bir araya getiriyor.

Uygulama adımları

Uyum, envanterle başlayıp düzenli gözden geçirmeyle süren bir süreçtir. Aşağıdaki adımlar, rehberdeki kontrol listesini bir web projesinin iş akışına dönüştürür.

1. Envanter çıkarın: Formları, çerezleri, analitik ve reklam etiketlerini, sohbet ve harita gibi üçüncü taraf eklentileri listeleyin.
2. Hukuki sebebi belirleyin: Her işleme için önce açık rıza dışındaki şartları değerlendirin; hiçbiri uymuyorsa açık rızaya dayanın.
3. Çerezleri sadeleştirin: Kullanılmayan etiketleri kaldırın, kalanları Kriter A, Kriter B ve rıza gerektirenler olarak ayırın.
4. Paneli kurun: Eşit butonlu, varsayılan kapalı ve geri alınabilir bir çerez paneliyle rıza kaydı oluşturun.
5. Metinleri yazın: Genel aydınlatma metnini, çerez aydınlatma metnini ve gerekiyorsa ayrı açık rıza metnini hazırlayın.
6. Aktarımları kontrol edin: Yurt dışındaki sağlayıcılar için 9. maddedeki dayanağı belirleyin; standart sözleşmeyi beş iş günü içinde bildirin.
7. VERBİS ve güvenliği gözden geçirin: Kayıt yükümlülüğünü değerlendirin, teknik tedbirleri alın ve düzenli bir gözden geçirme periyodu belirleyin.

Mobil uygulamalarda izinler ve SDK'lar ayrıca değerlendirilmelidir; ayrıntılar için mobil uygulama güvenliği ve KVKK uyumu rehberimize bakabilirsiniz. Teknik tedbirleri KOBİ siber güvenlik önlemleri yazımızda ele aldık.

Uni Digital Group bu konuda ne yapıyor?

Uni Digital Group olarak web sitesi projelerinde çerez envanterini çıkarıyor, etiketleri ziyaretçinin rıza tercihine göre yüklenecek şekilde kurguluyor, çerez panelini ve aydınlatma metni bağlantılarını teknik olarak yerleştiriyoruz. Metinlerin hukuki içeriğini ise sizin hukuk danışmanınızla birlikte netleştiriyoruz; hukuki görüş vermiyor, kararlaştırılan kurguyu sitede teknik olarak uyguluyoruz.

Yeni bir site planlıyorsanız kurumsal web sitesi hizmetimizi ve İstanbul'da web tasarım hizmetimizi inceleyebilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; hukuki tavsiye değildir. Mevzuat ve Kurul kararları değişebileceğinden uygulamadan önce güncel metinleri kontrol edin ve bir hukuk uzmanına danışın.