Dijital dünyada var olmak, belirli yasal sorumlulukları beraberinde getirir. Web sitenizde kullanıcı verilerini topluyor veya analiz ediyorsanız (ki büyük ihtimalle yapıyorsunuz), Türkiye Cumhuriyeti Kişisel Verilerin Korunması Kanunu’na (KVKK) uyum sağlamak zorundasınız.
KVKK’nın en sık göz ardı edilen ama en riskli alanlarından biri de çerez (cookie) yönetimidir. Geleneksel “Sitemiz çerez kullanıyor, kabul edin” bannerları artık yeterli değil. Yasal uyum, ziyaretçilerinize tam kontrol sağlamayı gerektiriyor.
Bir girişimci olarak bu karmaşık süreci anlamak, hem ağır para cezalarından korunmanız hem de kullanıcılarınızla güvene dayalı bir ilişki kurmanız için hayati önem taşıyor. Belki “Nereden başlayacağım?”, “Hangi çerezler rıza gerektirir?” diye endişeleniyorsunuz. Bu rehber, sizi bu karmaşık süreçten adım adım geçirerek, web sitenizi KVKK’ya tam uyumlu hâle getirmenizi sağlayacak.
Bu kapsamlı rehberde, bir web sitesine KVKK uyumlu çerez bildirimi nasıl eklenir sorusunun cevabını teorik temelden pratik uygulamaya kadar öğreneceksiniz. Okumayı bitirdiğinizde, artık adım atabilecek somut bir yol haritanız olacak.
⚠️ Uyarı Notu: Bu içerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. KVKK ve çerez hukuku sürekli değişen alanlardır. Web sitenizin özel ihtiyaçlarına göre hareket etmeden önce mutlaka uzman bir hukuk danışmanına başvurunuz.
1. Temeller: KVKK, Çerezler ve Yasal Çerçeve
KVKK uyumlu çerez bildirimi eklemeden önce, neden bu kadar önemli olduğunu anlamamız gerekiyor. Çerezler teknik araçlardır; ancak KVKK onları, bireyin kimliğini dolaylı olarak belirleyebilen “kişisel veri” kapsamında değerlendirir.
KVKK’nın Çerezlere Bakışı ve Rıza Gerekliliği
KVKK ve ilgili düzenlemeler (özellikle Elektronik Ticarette Hizmet Sağlayıcılar ve Aracı Hizmet Sağlayıcılar Hakkında Yönetmelik), kişisel verilerin işlenmesi için “açık rıza” şartını getirir. Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır.
Çoğu çerez türü bu kapsama girer, dolayısıyla kullanıcıdan aktif ve bilinçli bir onay almanız gerekir. Bu, sadece bir banner göstermek ve varsayılan olarak tüm çerezleri çalıştırmak anlamına gelmez.
- Zımni Rıza Bitti: Kullanıcının siteyi kullanmaya devam etmesi veya bildirim penceresini kapatması, artık yasal olarak rıza sayılmaz.
- Açık ve Aktif Onay Şart: Kullanıcı, hangi çerez kategorisini kabul ettiğini açıkça belirtmelidir (örneğin, bir kutucuğu işaretleyerek veya bir düğmeye basarak).
Hangi Çerezler İçin Rıza Almalıyız?
Tüm çerezler aynı değildir ve hepsinin hukuki gereksinimleri farklıdır. KVKK uyumunu sağlarken iki ana kategoriye odaklanmalısınız:
- Kesinlikle Gerekli Çerezler (Zorunlu): Bunlar, web sitesinin temel işlevselliği için mutlak surette şart olan çerezlerdir (örneğin, sepet içeriğini hatırlayan oturum çerezleri, güvenlik ayarları). KVKK, bu çerezler için genellikle açık rıza gerektirmez; ancak yine de kullanıcıyı bilgilendirmeniz gerekir.
- Gereksiz Çerezler (Rıza Gerektirenler): Analitik, performans, reklam ve sosyal medya çerezleri bu kategoriye girer. Bu çerezler, kişisel verileri pazarlama veya kullanıcı davranışı takibi amacıyla işlediğinden, KVKK uyarınca kullanıcının açık rızası olmadan çalıştırılamaz.
Önemli Uygulama Notu: Kullanıcı henüz onay vermemişken, analitik ve reklam kodlarının (Google Analytics, Facebook Pixel vb.) çalıştırılması yasa dışıdır. Bu, “önceden engelleme” (prior blocking) ilkesidir.
2. Neden Hemen Harekete Geçmelisiniz? Riskler ve Avantajlar
Çerez uyumunu ertelemek, sadece yasal bir yükümlülükten kaçınmak değil, aynı zamanda işinizin geleceğini riske atmaktır. Dijital ortamda şeffaflık, artık bir lüks değil, rekabet avantajıdır.
Uyumsuzluğun Maliyeti: İdari Para Cezaları
KVKK, kişisel verilerin korunması konusunda ihlal tespit ettiğinde ağır idari para cezaları uygulama yetkisine sahiptir. KVKK’ya göre yükümlülüklerin yerine getirilmemesi durumunda (örneğin, açık rıza almadan veri işleme) yüksek meblağlarda cezalar uygulanabilir. [GÜVENİLİR KAYNAK: KVKK Tebliğleri]
- Birçok küçük ve orta ölçekli işletme (KOBİ), KVKK cezalarıyla başa çıkmakta zorlanmaktadır. Cezalar, uyum yazılımlarının veya hukuki danışmanlık maliyetlerinin çok üzerindedir.
- Risk sadece para cezası değil, aynı zamanda KVKK tarafından yayınlanabilecek ihlal bildirileri sonucu markanın itibarının zarar görmesidir.
Kullanıcı Güveni ve Marka İmajı
Tüketiciler, verilerine ne olduğu konusunda her zamankinden daha bilinçlidir. KVKK uyumlu, şeffaf bir çerez bildirimi sistemi kurmak, maliyet değil, bir yatırım olarak görülmelidir.
Kullanıcıların mobil cihazlarında veya masaüstlerinde karşılaştıkları iyi tasarlanmış bir çerez yönetim paneli (CMP), onlara kontrol hissi verir. Bu kontrol hissi şunları sağlar:
- Daha Yüksek Güvenilirlik: Kullanıcılar, verilerinin kötüye kullanılmadığını gördüklerinde markanıza daha sadık kalır.
- Daha Düşük Hemen Çıkma Oranları (Bounce Rate): Şeffaflık, siteye olan güveni artırır ve kullanıcıların sitede daha uzun süre kalmasını teşvik eder.
- Etik Pazarlama: Sadece rıza veren kullanıcılara reklam göstererek, pazarlama bütçenizi daha etik ve hedefli kullanmış olursunuz.
3. Çerez Bildirim Sisteminin Temel Bileşenleri
KVKK uyumlu bir çerez yönetim sistemi (Consent Management Platform – CMP), sadece “Kabul Et” düğmesinden ibaret değildir. Başarılı bir CMP, üç ana unsurdan oluşur.
Açık Rıza Kavramı ve Kullanıcı Kontrolü
Rıza, tek seferlik bir olay değildir. KVKK, kullanıcının rızasını istediği zaman, kabul ettiği kadar kolay bir şekilde geri çekebilmesini şart koşar. İyi bir bildirim sistemi şunları sunmalıdır:
- Granüler Seçim: Kullanıcı, temel çerezler, analitik çerezler ve pazarlama çerezleri arasında seçim yapabilmelidir. Tek tek kategori bazında onaylama veya reddetme hakkı olmalıdır.
- Eşit Seçenekler: “Tümünü Kabul Et” düğmesi ne kadar belirginse, “Tümünü Reddet” düğmesi de o kadar belirgin olmalıdır. Kullanıcıyı kabul etmeye zorlayacak tasarım hilelerinden kaçınılmalıdır.
- Kolay Geri Çekme: Bildirim paneli kapandıktan sonra bile, sitenin alt kısmında veya gizlilik politikasında kolayca erişilebilen “Çerez Ayarlarını Değiştir” bağlantısı bulunmalıdır.
Çerez Politikası Metninin Hazırlanması
Kullanıcı rıza vermeden önce, hangi verilerinin hangi amaçla işleneceği hakkında tam olarak bilgilendirilmelidir. Bu, ayrıntılı bir Çerez Politikası metni gerektirir.
Politika Metninde Olması Gerekenler:
- Çerez Türlerinin Açıklaması: Sitenizde kullanılan tüm çerezlerin (kalıcı, oturum, birinci taraf, üçüncü taraf) tanımı.
- Amaç ve Süre: Her bir çerezin kullanım amacı (analitik, performans, reklam) ve bu çerezin cihazda ne kadar süre kalacağı.
- Veri Aktarımı: Verilerin yurt dışına (örneğin Google veya Facebook gibi ABD merkezli şirketlere) aktarılıp aktarılmayacağı bilgisi.
- Kullanıcının Hakları: Kullanıcının rızasını nasıl geri çekebileceği ve KVKK kapsamındaki diğer hakları (silme, düzeltme, bilgi alma hakkı).
Bu metin, sade ve anlaşılır bir dille yazılmalı, hukuki jargon mümkün olduğunca azaltılmalıdır. Hukuki kesinliği sağlamak için bu metni mutlaka bir hukuk danışmanıyla hazırlamalısınız.
4. Adım Adım KVKK Uyumlu Çerez Bildirimi Kurulumu
Teorik temelleri anladıktan sonra, şimdi en önemli kısma geçiyoruz: Uygulama. Bu dört adım, sitenizi teknik olarak uyumlu hâle getirmenizi sağlayacaktır.
Adım 1: İhtiyaç Analizi ve Çerez Denetimi (Audit)
Bir çerez çözümü kurmadan önce, web sitenizde hangi çerezlerin çalıştığını tam olarak bilmelisiniz. Birçok girişimci, bilmeden düzinelerce üçüncü taraf çerezini çalıştırır.
Nasıl Yapılır?
Özel çerez tarayıcı araçları (Cookie Scanners) kullanarak veya tarayıcınızın geliştirici araçlarını (DevTools) kullanarak sitenizi derinlemesine tarayın. Bu denetim sonucu, çerezleri şu kategorilere ayırın:
- Zorunlu (Sepet, Güvenlik, Oturum)
- Analitik (Google Analytics, Yandex Metrica)
- Pazarlama (Facebook Pixel, Google Ads)
Bu liste, hazırlayacağınız Çerez Politikası metninin ve yönetim panelinizin temelini oluşturacaktır.
Adım 2: Doğru Bildirim Türünü Seçme
KVKK ve global standartlar (GDPR), kullanıcıyı rahatsız etmeyecek ama rızayı alacak bir bildirim mekanizması gerektirir. En yaygın ve uyumlu iki yöntem şunlardır:
- Bloklama Banner (Öncelikli Yöntem): Sayfanın üstünde veya altında görünür, ziyaretçinin siteyle etkileşime geçmeden önce seçim yapmasını ister.
- Açılır Pencere (Pop-up): Tüm içeriği geçici olarak engeller ve kullanıcıdan hemen seçim yapmasını talep eder. Eğer zorunlu olmayan çerezleri önceden engelleme (prior blocking) yapıyorsanız, her iki yöntem de işlevseldir.
Kritik Kural: Seçtiğiniz bildirim türü, kullanıcıya kabul etme kadar reddetme kolaylığı da sağlamalıdır.
Adım 3: Bloklama ve Kodlama Ayarları (Prior Blocking)
Bu, teknik olarak en zor ama hukuken en önemli adımdır. Uygulamanız gereken süreç şudur:
A. Varsayılan Ayar: Siteye ilk giren bir kullanıcı için, zorunlu olmayan tüm çerezlerin (Analitik, Pazarlama) kodları devre dışı (engelli) olmalıdır.
B. Onay Mekanizması: Kullanıcı, çerez yönetim panelinizde (CMP) analitik çerezleri seçip “Kaydet” düğmesine bastığında veya “Tümünü Kabul Et” dediğinde,
C. Kodun Çalıştırılması: CMP yazılımınız, ilgili rıza kategorisine ait üçüncü taraf kodlarını (örneğin Google Analytics kodunu) yüklemeye başlamalıdır.
Bu, manuel olarak yapmak yerine, hazır Çerez Yönetim Platformları (CMP) kullanmayı zorunlu kılar. Çünkü CMP’ler, çerezlerin rıza durumuna göre otomatik olarak yüklenmesini veya engellenmesini sağlayan gelişmiş kodlama yeteneğine sahiptir.
Adım 4: Onay Yönetimini Kaydetme (Audit Trail)
KVKK uyumluluğu, sadece rıza almakla bitmez; bu rızayı ispat edebilmeniz gerekir. KVKK, ileride bir denetim veya şikayet durumunda, veri sorumlusu olarak sizden şunu isteyebilir: “Bu kullanıcı ne zaman, hangi yöntemle, hangi çerezlere rıza verdiğini ispat edin.”
Bu nedenle, Çerez Yönetim Platformunuzun (CMP) her bir kullanıcının onayını kaydetmesi (anonimleştirilmiş IP, zaman damgası, verilen rıza türü) ve bu kayıtları güvenli bir şekilde saklaması gerekir. Bu kayıtlar, hukuki süreçlerde sizin kanıtınız olacaktır.
5. Pratik Çözümler: Hangi Araçları Kullanmalı?
Piyasada, KVKK ve GDPR gibi düzenlemelere uyum için tasarlanmış birçok CMP (Consent Management Platform) bulunmaktadır. Bu araçlar, karmaşık kodlama işini sizin yerinize yapar.
Popüler Çözüm Sağlayıcılar (CMP’ler)
Bir CMP seçerken dikkat etmeniz gerekenler: KVKK/GDPR uyumu, önceden engelleme (prior blocking) yeteneği, onay kaydı tutma (audit trail) ve Türkçe dil desteği.
- Cookiebot: Avrupa menşeli popüler bir çözümdür. Otomatik çerez tarama, önceden engelleme ve detaylı onay kaydı sunar. Abonelik sistemiyle çalışır ve küçük siteler için ücretsiz planları olabilir.
- OneTrust: Daha büyük ölçekli ve kurumsal çözümlere odaklanmıştır, ancak tam kapsamlı KVKK/GDPR uyumu sağlar.
- Termly / TrustArc: Kullanımı nispeten kolay, çerez bildirimi ve politika oluşturma konusunda entegre çözümler sunar.
Maliyetler: Bu araçların maliyetleri, web sitenizin trafiğine ve taranan sayfa sayısına bağlı olarak değişir. Aylık ortalama 10 Euro ile 100 Euro arasında bir bütçe ayırmanız gerekebilir. Bu maliyet, olası bir KVKK cezasının yanında oldukça düşüktür.
WordPress/Shopify Eklentileriyle Hızlı Kurulum
Eğer web siteniz popüler içerik yönetim sistemlerinden (CMS) birini kullanıyorsa, işiniz daha kolay olabilir:
- WordPress: GDPR Cookie Consent (CookieYes), Complianz gibi popüler eklentiler mevcuttur. Ancak, eklentinin gerçekten önceden engelleme özelliğine sahip olduğundan emin olun. Sadece banner gösteren eklentiler KVKK için yeterli değildir.
- Shopify: Shopify App Store’da KVKK/GDPR uyumlu birçok çerez banner uygulaması bulabilirsiniz. Genellikle bu uygulamalar, diğer uygulamaların (Google Analytics, Facebook) kodlarını kullanıcı onayına kadar askıya alma özelliğini sunar.
Önemli Uygulama İpucu: Hazır eklentileri kullanırken, eklentinin son güncellemelerle KVKK’nın gerektirdiği “açık rıza” modelini desteklediğinden emin olmak için geliştirici dokümantasyonunu kontrol edin.
6. Sık Yapılan Hatalar ve Riskler
KVKK uyumu konusunda hevesli birçok girişimci, iyi niyetli olmalarına rağmen bazı temel hataları yaparak kendilerini riske atıyorlar.
Hata 1: Önceden Engelleme Yapmamak (Prior Blocking)
En sık yapılan hata budur: Çerez bildirimini siteye yerleştirmek ama kullanıcı onay vermeden analitik ve reklam çerezlerini çalıştırmaya devam etmek. Unutmayın, KVKK uyarınca rıza alınmadan veri işlenemez. Eğer Google Analytics veya Facebook Pixel kodunu, kullanıcının seçimi beklenmeden sayfanın <head> etiketine direkt yapıştırdıysanız, uyumsuz durumdasınız demektir.
Çözüm: Tüm gereksiz çerez kodlarını, yalnızca CMP’nin tetiklemesine izin verecek şekilde yapılandırın.
Hata 2: Gizli Rıza (Zımni Kabul) Kullanmaya Çalışmak
“Sitemizi kullanmaya devam ediyorsanız kabul etmiş sayılırsınız” ifadesi veya sadece “Kabul Et” düğmesinin olması, KVKK açısından geçerli bir açık rıza değildir. Rıza, açık ve eyleme dayalı olmalıdır. Okunaksız, minik yazılarla çerez politikasını gizlemeye çalışmak da yasal risk doğurur.
Hata 3: Çerez Kategorilerini Yanlış Etiketlemek
Bazı web siteleri, analitik çerezleri (kişisel veri işleyen) “Zorunlu” kategoriye sokarak rıza almaktan kaçınmaya çalışır. Bu, denetimler sırasında kolayca tespit edilebilir bir ihlaldir. Analitik verilerin toplanması, sitenin teknik olarak çalışması için zorunlu değildir, bu nedenle ayrı rıza gerektirir.
7. Sürekli Uyum ve İzleme
KVKK uyumu, bir defalık bir görev değildir; sürekli bir süreçtir. Dijital pazarlama stratejileriniz değiştikçe (yeni bir reklam platformu eklediğinizde veya farklı bir analiz aracı kullanmaya başladığınızda), çerez durumunuz da değişir.
Periyodik Denetimler ve Güncellemeler
Pazarlama ekibiniz yeni bir üçüncü taraf aracı (örneğin bir ısı haritası aracı veya canlı sohbet widget’ı) eklediğinde, muhtemelen yeni çerezler de devreye girer. Eğer bu yeni çerezler Çerez Politikası metninizde yer almıyorsa ve yönetim panelinizde rıza kapsamına alınmadıysa, uyumu kaybetmiş olursunuz.
Öneri: CMP araçlarının çoğunda bulunan otomatik tarama özelliğini aktif tutun. Bu araçlar, sitenizin periyodik olarak taranmasını ve yeni çerezlerin anında tespit edilmesini sağlar.
İhlal Durumunda Yapılması Gerekenler
KVKK ihlali durumunda (örneğin, bir veri sızıntısı veya rızasız veri işleme tespiti), belirli yasal süreler içinde KVKK Kurumu’na bildirim yükümlülüğünüz vardır. Çerezler yoluyla işlenen verilerde bir ihlal tespit ederseniz:
- Hemen veri akışını durdurun.
- İhlalin kapsamını ve etkilerini tespit edin.
- Yasal süre içinde (genellikle 72 saat), Kurul’a bildirim yapın.
Unutmayın, veri ihlalini bildirmemek, ihlalin kendisinden daha ağır cezalara neden olabilir.
Sonuç: Artık Bilinçli Adım Atma Zamanı
KVKK uyumlu çerez bildirimi eklemek, ilk bakışta göz korkutucu görünebilir. Ancak temelde, bu sadece iki şeyi gerektirir: Ne yaptığ
ınızı (hangi çerezleri kullandığınızı) bilmek ve kullanıcılarınıza seçim hakkı tanımak.
Web siteniz, dijital varlığınızın merkezidir. Yasal uyum, sadece bir gereklilik değil, profesyonellik ve güvenilirlik göstergesidir. Dijital pazarlama çabalarınızın uzun vadeli başarısı, yasal zemininizin sağlamlığına bağlıdır.
Bugün Atabileceğiniz İlk Üç Somut Adım
- Çerez Envanterinizi Çıkarın: Bir çerez tarayıcı aracı kullanarak sitenizdeki tüm aktif çerezleri ve bunların amaçlarını listeleyin.
- Hukuk Danışmanı ile Görüşün: Elde ettiğiniz envanter listesiyle birlikte bir hukuk danışmanına başvurarak, sitenizin Çerez Politikası ve Aydınlatma Metinlerini KVKK’ya uygun şekilde hazırlatın.
- CMP Platformu Seçin: Bütçenize ve teknik yeterliliğinize uygun, önceden engelleme (prior blocking) yeteneğine sahip bir Çerez Yönetim Platformu (CMP) seçimi yapın ve kurulum sürecine başlayın.
Şimdi sıra sizde. Hukuki riskleri minimize ederek ve kullanıcı güvenini maksimize ederek dijital geleceğinizi güvence altına alın.
⚠️ Bu içerik genel bilgilendirme amaçlıdır. Hukuki tavsiye veya danışmanlık yerine geçmez. KVKK ve diğer yasal düzenlemelere tam uyum sağlamak için mutlaka uzman bir hukuk danışmanına başvurmanız gerekmektedir.
Sık Sorulan Sorular (SSS)
KVKK uyumlu çerez bildirimi ücretli midir?
Temel bir web sitesi için ücretsiz veya düşük maliyetli çözümler bulabilirsiniz (özellikle WordPress eklentilerinde veya CMP’lerin ücretsiz/başlangıç planlarında). Ancak tam KVKK uyumu (otomatik tarama, önceden engelleme, detaylı onay kaydı) sağlayan profesyonel CMP’ler genellikle aylık abonelik gerektirir. Hukuki metinlerin hazırlanması için de ayrıca danışmanlık ücreti ödemeniz gerekebilir.
Sadece yurt dışından ziyaretçim varsa KVKK’ya uymak zorunda mıyım?
Web siteniz Türkiye’de yerleşikse veya Türkiye’deki kullanıcılara hizmet veriyorsa (Türkçe içerik, TL fiyatlandırma vb.), KVKK’ya uymak zorundasınız. Eğer sadece AB vatandaşlarına hizmet veriyorsanız, KVKK yerine veya KVKK’ya ek olarak GDPR’a (Avrupa Genel Veri Koruma Yönetmeliği) uyum sağlamanız gerekir. Çoğu profesyonel CMP, hem KVKK hem de GDPR’ı kapsayacak şekilde tasarlanmıştır.
Mobil uygulama kullanıyorsam da çerez bildirimi gerekli mi?
Mobil uygulamalar, tarayıcı çerezleri yerine cihaz tanımlayıcıları (IDFA, Google Advertising ID) kullanır. KVKK ve ilgili yasal düzenlemeler, bu tür cihaz tanımlayıcıları aracılığıyla veri işlenmesi durumunda da kullanıcıdan açık rıza alınmasını şart koşar. Dolayısıyla, mobil uygulamalarda da veri toplama ve işleme için şeffaflık ve rıza yönetimi zorunludur.
Kullanıcı çerezleri reddederse sitemde bir şey çalışmayacak mı?
Kullanıcının zorunlu olmayan çerezleri reddetmesi, sitenizin temel işlevselliğini (giriş yapma, sepete ürün ekleme) etkilememelidir. Ancak analitik verilerinizi toplayamazsınız ve kişiselleştirilmiş reklamları gösteremezsiniz. Bu durum, pazarlama verilerinizin azalmasına yol açsa da, yasal uyumu sağlamanın ve kullanıcı güvenini korumanın maliyetidir.
Çerez bildirimini ne sıklıkla göstermeliyim?
KVKK uyumlu bir sistemde, kullanıcı bir kez rıza verdiğinde, bu rıza genellikle 12 ay boyunca geçerlidir (bu süre yasal olarak kesin belirlenmemiştir, ancak yaygın bir pratik süredir). Ancak, kullanıcı ne zaman isterse rızasını geri çekebilmelidir. Rıza süresi dolduğunda veya Çerez Politikası’nda önemli bir değişiklik yaptığınızda bildirim tekrar gösterilmelidir.
