Çerez kuralları: KVKK, açık rıza ve bant tasarımı

Çerez yoluyla kimliği belirli veya belirlenebilir kişiye ilişkin bilgi işliyorsanız 6698 sayılı Kişisel Verilerin Korunması Kanunu uygulanır. Kanun md. 3/1-d kişisel veriyi, md. 4 işleme ilkelerini, md. 5 işleme şartlarını düzenler. Önce hangi bilginin hangi amaçla işlendiğini çıkarın; ardından o işlem için hukuki sebebi belirleyin. “Zorunlu”, “işlevsel” veya “istatistik” kategori adı yazmak bu incelemeyi tamamlamaz. Aynı veriyi sepet işlevi ve reklam hedeflemesi için kullanıyorsanız iki amacı ayrı değerlendirin.

Kanun md. 5/2-c sözleşmenin kurulması/ifasıyla doğrudan ilgili ve gerekli işlemeyi; md. 5/2-f ise kişinin temel hak ve özgürlüklerine zarar vermeden meşru menfaat için zorunlu işlemeyi ele alır. Her ölçümü satış sözleşmesi için gerekli saymayın. Meşru menfaat değerlendirmesini yalnız işletmenin daha çok satış yapma isteğine bağlamayın; gerçek işlem, gereklilik ve kişi üzerindeki etkiyi yazılı inceleyin. KVKK ve e-ticaret rehberi genel çerçeveyi, açık rıza açıklaması rızanın unsurlarını tamamlar.

Kişisel Verileri Koruma Kurumunun Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehberi, Kriter A’da elektronik haberleşmenin sağlanmasını, Kriter B’de kullanıcının açıkça istediği hizmet için kesin gerekliliği ele alır. Bölüm 5.9, birinci taraf analitiğinde site işleyişiyle sınırlı anonim istatistik, siteler arası takip yapılmaması, makul ömür ve üçüncü tarafa iletilmeme gibi dar koşulları açıklar. Kanuni işleme şartı da belirlenir; bu senaryoyu bütün analitik araçlarına uygulamayın.

Kurulun 10 Mart 2022 tarihli 2022/229 sayılı e-ticaret kararında, açık rıza dışında işleme şartı bulunmayan işlevsel, analitik ve reklam çerezleri için başlangıçta pasif, kullanıcının aktif seçimiyle çalışan yöntem istenir. Karar, politika bağlantısı sunulmasına rağmen rıza mekanizması bulunmamasını eleştirir. Bu nedenle sırf çerez politikasını yayımladınız diye reklam etiketlerini ilk ziyarette başlatmayın. Güncel analitik değerlendirmesini 2025 rehberiyle, her işlemin hukuki sebebini Kanun md. 5 ile birlikte kurun; eski karardaki aktarım rejimini bugüne kopyalamayın.

Bu tablo satıcının inceleme sorularıdır; çerez adı veya araç markasına göre toplu uygunluk sonucu vermez.

Kanun md. 10, veri elde edilirken veri sorumlusunun kimliğinin, amaçların, aktarılacak kişi/gruplar ile amaçların, toplama yönteminin, hukuki sebebin ve md. 11 haklarının açıklanmasını ister. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ md. 4 bu asgari içeriği düzenler. Md. 5/1-a’ya göre açık rıza alınmayan, başka şartla yapılan işlemede de aydınlatma yapılır. Bu nedenle yalnız gerekli çerez kullanan mağazada da kişisel veri işleme açıklamasını kontrol edin.

Tebliğ md. 5/1-f, aydınlatmayla açık rızanın ayrı yerine getirilmesini; g ve ğ bentleri belirli amaçlarla sade anlatımı; h bendi gerçek işleme şartının belirtilmesini düzenler. Bir kutuyu işaretleyerek hem sözleşmeyi, hem çerez politikasını, hem bütün veri işlemeyi kabul ettiren toplu metin kurmayın. Çerez politikası örneğini gerçek envanterinizle doldurun; aydınlatma örneği kimlik, amaç, aktarım ve haklar listesini kontrol etmenize yardımcı olur.

Rehber bölüm 7.3, kabul, reddet ve tercihler düğmelerinin renk, büyüklük ve yazı açısından eşit belirginliğini iyi uygulama olarak gösterir. Açık rızaya dayalı seçenekler başlangıçta pasif olmalı, geri alma yolu erişilebilir kalmalıdır. Bunu tek zorunlu renk veya ekran yerleşimi kuralı diye sunmayın. Kanun md. 3/1-a’daki belirli konu, bilgilendirme ve özgür irade unsurlarını karşılayacak bir seçim akışı kurun.

Her kayıt için ad, sağlayan taraf, işlev, veri, kategori, hukuki sebep, teknik ömür ve aktarım bilgisi içeren çalışma tablosu hazırlayın. Bu tablo, Tebliğ md. 5/1-e’de veri sorumlusuna yüklenen aydınlatma ispatını düzenli yürütmenizi sağlar. Politika metnindeki her satırı gerçek kurulumla eşleştirin. Çerez adı sürekli değişiyorsa yalnız ada bağlı kontrolle yetinmeyin; ilgili eklentiyi ve hangi olayda çalıştığını da kaydedin. İçerik ve teknik kontrol için işletmede birer sorumlu belirleyin.

Mağazanızın ana sayfasını kontrol etmek tek başına yeterli çalışma örneği oluşturmaz. Ürün sayfası, arama, sepete ekleme, ödeme yönlendirmesi, üyelik, video/harita ve kampanya sayfası gibi kendi kullanım noktalarınızı listeleyin. Misafir ve oturum açmış kullanıcı için farklı sonuç çıkıp çıkmadığını inceleyin. Yeni bir etiket yöneticisi, sohbet eklentisi veya reklam aracı kurduğunuzda önce bu listeye ekleyin. Teknik ekibin araç listesiyle pazarlama ekibinin sağlayıcı listesini karşılaştırın; unutulmuş deneme araçlarını da tespit edin.

Aşağıdaki örnek varsayımsaldır: bir mağazada başka bir hukuki şartla çalışan 2 gerekli kayıt, açık rızaya dayandırılmış 1 ölçüm kaydı ve 3 reklam kaydı bulunsun. Ölçüm için rehberdeki dar rıza dışı senaryonun sağlanmadığı varsayılır. İlk ziyarette rızaya bağlı 4 kayıt pasif tutulur. Kullanıcı bu işlemleri reddederse örnekte yalnız 2 gerekli kayıt çalışır. Yalnız ölçüme izin verirse 2 + 1 = 3 kayıt çalışır; reklam grubundaki 3 kayıt pasif kalır.

Bu örneği site ekibine kabul ölçütü olarak verebilirsiniz. Test kaydına sayfa, cihaz, önceki tercih durumu, seçilen düğme, görülen kayıtlar ve dış sağlayıcılara giden istekleri ekleyin. Ekran görüntüsüyle birlikte gerçek çalışma sonucunu saklayın. Panelde kapalı görünen reklam kategorisi başka bir eklenti üzerinden yine etkinleşiyorsa testi başarısız kaydedin ve bağlantılı kurulumu düzeltin. Örnekteki adetleri kendi mağazanıza ait tarama sonucu gibi yayımlamayın; her sitede gerçek araç ve kayıt sayısı belirlenmelidir.

Kanun md. 4/2-c, ç ve d uyarınca amaç belirli olmalı; veri amaçla bağlantılı, sınırlı ve ölçülü işlenmeli; gerekli süreyle tutulmalıdır. Çerezin tarayıcıdaki ömrüyle çerezden elde edilen verinin sonraki saklama süresini ayrı inceleyin. Her kategoriye gerekçesiz aynı uzun süreyi atamayın. Md. 7, işlenmesini gerektiren sebepler ortadan kalkınca silme, yok etme veya anonimleştirmeyi düzenler. Rızanın geri alınmasıyla gelecekteki rızaya bağlı işlemeyi durdurun; geçmiş kayıt için uygulanabilir saklama ve silme şartını ayrıca belirleyin.

Yabancı sağlayıcı kullanılan reklam, analiz veya destek aracında gerçek veri akışını Kanun md. 9’a göre inceleyin. Md. 9/1 ve 4, işleme şartıyla birlikte yeterlilik kararı veya uygun güvence yollarını düzenler; md. 9/6’daki arızi aktarım yollarını sürekli çalışan reklam aracının genel çözümü gibi kullanmayın. Standart sözleşme yolunda md. 9/5 bildirimi imzadan itibaren 5 iş günü içindedir. Çerez onayı almakla aktarım dosyasını kapatmayın; sağlayıcı sözleşmesi, veri alıcısı ve ilgili güvenceyi kaydedin.

Tebliğ md. 5/1-b’ye göre veri işleme amacı değişince yeni amaçla işlemeye başlamadan aydınlatma yapılır. Yeni amaç için hangi hukuki şartın gerektiğini belirleyin; eski bir onayın metnini değiştirip bütün eski ziyaretçileri yeni amacı kabul etmiş saymayın. Tercih kaydıyla o tarihte gösterilen metin sürümünü ilişkilendirin. Çerez tercihlerini ticari ileti izninden de ayırın: İYS rehberi SMS/e-posta gibi iletilerin onay sürecini açıklar; ziyaretçinin her tercih alanında neyi seçtiği anlaşılmalıdır.

Tek bir sabit “çerez cezası” yoktur. Kişisel Verileri Koruma Kurumunun resmî 2026 tablosunda, Kanun md. 18/1-a kapsamındaki aydınlatma yükümlülüğü ihlalinde 85.437–1.709.200 TL; md. 18/1-b kapsamındaki veri güvenliği yükümlülüğü ihlalinde 256.357–17.092.242 TL alt ve üst sınırları vardır. Bunlar farklı ihlal başlıklarıdır; her eksik düğmeye kendiliğinden aynı tutar verilmez. Somut işleme faaliyeti ve ihlal üzerinden değerlendirme yapılır. Sınırları 2026 yılıyla birlikte gösterin; sonraki yıl aynı tutarı otomatik kullanmayın.

2022/229 sayılı e-ticaret kararında md. 12/1’deki gerekli teknik ve idari tedbirlerin alınmaması nedeniyle md. 18/1-b uyarınca 800.000 TL uygulanmıştır. Bu, 2022 dosyasındaki somut yaptırımdır; güncel asgari ceza veya her site için örnek tarife değildir. Karar aynı zamanda süreçlerin gerçek çerez kullanımıyla uyumlu hale getirilmesini ve aydınlatmanın düzeltilmesini ister. Olayı yalnız parasal sonuç üzerinden okumayın: işlem koşulu, tercih akışı ve metnin birbiriyle tutarlı olması gerekir.

1. Gerçek kayıt ve veri akışı envanterini çıkarın; her işleme için Kanun md. 5 şartını belirleyin. Aynı aracın farklı amaçlarını ayrı satırlarda gösterin.
2. Kanun md. 10 ve Aydınlatma Tebliği md. 4–5 içeriğiyle erişilebilir açıklama hazırlayın; hukuki sebebi açıkça belirtin.
3. Rızaya bağlı etiketleri başlangıçta pasif kurun; kabul, ret ve amaç bazında tercih akışını teknik ekiple eşleştirin.
4. İlk ziyaret, ret, tek amaç seçimi ve geri alma için test yapın. Panel görüntüsüyle gerçek etiket çalışmasını karşılaştırın.
5. Veri saklama süresini, sağlayıcıları ve md. 9 aktarım yolunu belgeleyin; yeni amaç veya eklenti geldiğinde metin ve testleri güncelleyin.
6. Kullanıcının yeniden tercih yapabileceği bağlantıyı erişilebilir tutun; gelen veri taleplerini md. 11 ve ilgili başvuru süreciyle ele alın.

• E-ticaret sitesi KVKK için ne yapmalı?
• Küçük e-ticaret satıcısının VERBİS kaydı zorunlu mu?