Çerez Politikası Nasıl Hazırlanır? KVKK Çerez Rehberine Göre Kurallar

Çerez politikası, bir internet sitesinde kullanılan çerezlerin türlerini, amaçlarını, saklama sürelerini ve üçüncü taraflarla paylaşımını açıklayan bilgilendirme metnidir. Kişisel Verileri Koruma Kurumu'nun çerez rehberine göre zorunlu çerezler için açık rıza gerekmezken, analitik, reklam ve hedefleme çerezleri için kullanıcının açık rızası alınmalıdır.

Çerezler, internet sitesi ziyaretçilerinin cihazlarına yerleştirilen küçük veri dosyalarıdır ve çoğu durumda kişisel veri işlenmesine yol açar. Çerez politikası bu nedenle aydınlatma yükümlülüğünün internet sitesindeki görünümüdür ve çerez yönetim paneliyle birlikte değerlendirilir.

Bu yazıda çerez türleri, hangi çerezler için rıza gerektiği, çerez yönetim panelinin tasarımı, metnin içeriği, yurt dışı aktarım boyutu ve sık yapılan hatalar ayrıntılı olarak ele alınacaktır.

1. Çerez Nedir ve Hangi Türleri Vardır?

Çerez, internet sitesini ziyaret eden kullanıcının tarayıcısına kaydedilen ve kullanıcının site üzerindeki tercihlerini veya hareketlerini tanımaya yarayan küçük metin dosyasıdır. Çerezler, amaçlarına göre farklı gruplara ayrılır.

Çerezler ayrıca sitenin kendisi tarafından yerleştirilen birinci taraf çerezleri ve başka hizmet sağlayıcılarca yerleştirilen üçüncü taraf çerezleri olarak da ayrılır. Üçüncü taraf çerezlerinde verilerin kime aktarıldığının politikada ayrıca belirtilmesi gerekir.

2. Hangi Çerezler İçin Açık Rıza Gerekir?

Sitenin temel işlevleri için gerekli olmayan çerezler için kullanıcının açık rızası alınmalıdır. Zorunlu çerezler ise sözleşmenin kurulması ve ifası veya veri sorumlusunun meşru menfaati gibi işleme şartlarına dayanılarak rızasız kullanılabilir.

Açık rızanın geçerli olması için kullanıcının çerezler yerleştirilmeden önce bilgilendirilmesi ve olumlu bir eylemle onay vermesi gerekir. Açık rızanın genel şartları açık rıza metni yazısında açıklanmıştır.

3. Çerez Yönetim Paneli Nasıl Tasarlanmalıdır?

Çerez yönetim paneli, kullanıcının çerez tercihlerini belirlediği arayüzdür. Rehbere göre panel, kullanıcıyı rıza vermeye yönlendiren tasarımlardan kaçınmalıdır.

Panel tasarımında dikkat edilmesi gereken başlıca kurallar şunlardır:

• "kabul et" ve "reddet" seçeneklerinin aynı düzeyde ve eşit görünürlükte sunulması,

• zorunlu olmayan çerezlere ilişkin kutucukların önceden işaretlenmemesi,

• sayfanın kaydırılması veya siteye devam edilmesinin rıza sayılmaması,

• her çerez kategorisi için ayrı tercih imkânı tanınması,

• kullanıcının verdiği rızayı sonradan kolayca geri alabilmesi.

Rıza alınmadan zorunlu olmayan çerezlerin yüklenmesi, panelin varlığına rağmen hukuka aykırılık oluşturur. Bu nedenle panelin teknik olarak çerezleri kullanıcı tercihinden sonra çalıştıracak şekilde kurulması önem taşımaktadır.

4. Çerez Politikasında Neler Yer Almalıdır?

Metin, kullanıcının sitede hangi çerezlerle karşılaştığını ve bunları nasıl yönetebileceğini anlamasını sağlamalıdır. Genel ifadelerle hazırlanan metinler, aydınlatma yükümlülüğünü karşılamaz.

1. veri sorumlusunun kimliği ve iletişim bilgileri,

2. kullanılan çerezlerin türleri ve her birinin amacı,

3. çerezlerin saklama süreleri,

4. üçüncü taraf çerez sağlayıcıları ve aktarım bilgileri,

5. işleme faaliyetinin hukuki sebebi,

6. kullanıcının tercihlerini nasıl değiştirebileceği ve kanundaki hakları.

Çerez metni, genel aydınlatma metniyle uyumlu olmalıdır. Aydınlatma yükümlülüğünün içeriği aydınlatma metni yazısında ayrıntılı olarak açıklanmıştır.

5. Çerezlerde Yurt Dışı Aktarım Sorunu

Analitik ve reklam hizmetlerinin önemli bir kısmı yurt dışında yerleşik şirketler tarafından sağlanır. Bu hizmetlerin çerezleri aracılığıyla toplanan veriler yurt dışına aktarılmış sayılır.

2024 yılında yenilenen kurallara göre yurt dışı aktarım; yeterlilik kararı, standart sözleşme gibi uygun güvenceler veya arızi aktarım hâllerinden birine dayanmalıdır. Standart sözleşme kullanılıyorsa, imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmesi gerekir.

6. Çerez Kurallarına Aykırılığın Sonuçları

Çerezler hakkında bilgilendirme yapılmaması aydınlatma yükümlülüğüne, rızasız çerez kullanımı ise kişisel verilerin hukuka aykırı işlenmesine aykırılık oluşturabilir. Aydınlatma yükümlülüğüne aykırılık 2026 yılında 85.437 TL ile 1.709.200 TL arasında idari para cezası gerektirir.

Hukuka aykırı veri işleme, veri güvenliği yükümlülüğü kapsamında değerlendirildiğinde daha yüksek ceza aralığı gündeme gelebilir. Ceza tutarlarının tamamı KVKK cezaları yazısında verilmiştir.

7. Çerez Uyumu İçin Hangi Adımlar İzlenmelidir?

Çerez uyumu, sitede kullanılan çerezlerin tespit edilmesiyle başlar. Pazarlama ve yazılım ekiplerinin eklediği araçlar zamanla değiştiğinden, tespitin düzenli aralıklarla tekrarlanması gerekir.

Tespit sonrasında çerezler kategorilere ayrılır, her biri için hukuki sebep belirlenir, panel kurulur ve metin hazırlanır. Şirketin genel uyum süreci KVKK nedir yazısında açıklanmıştır.

8. Çerez Politikasında Sık Yapılan Hatalar

Çerez uyumunda yapılan hataların önemli bir kısmı, metnin sitenin gerçek teknik yapısını yansıtmamasından kaynaklanır. Hazır şablonlardan alınan metinler, sitede kullanılmayan çerezleri saymakta veya kullanılanları atlamaktadır.

Sık görülen hatalar arasında;

• bütün çerezlerin zorunlu çerez olarak gösterilmesi,

• üçüncü taraf çerez sağlayıcılarının adlarının belirtilmemesi,

• saklama sürelerinin yazılmaması,

• panelde reddet seçeneğinin ikinci bir ekrana gizlenmesi,

gibi durumlar sayılabilir. Bu hatalar, metin bulunsa bile aydınlatma ve açık rıza yükümlülüklerinin yerine getirilmediği sonucunu doğurabilir.

9. Sıkça Sorulan Sorular

Çerez politikası her internet sitesi için zorunlu mu?

Çerez kullanan ve bu yolla kişisel veri işleyen her internet sitesinin kullanıcıları bilgilendirmesi gerekir; bu bilgilendirme genellikle çerez politikasıyla yapılır. Yalnızca zorunlu çerez kullanan siteler için de aydınlatma yükümlülüğü devam eder. Hiç çerez kullanmayan ve başka yolla kişisel veri işlemeyen siteler ise bu yükümlülükten etkilenmez.

Google Analytics için açık rıza gerekir mi?

Evet, Google Analytics gibi analitik araçlar sitenin çalışması için zorunlu olmadığından, kural olarak kullanıcının açık rızası alınmadan çalıştırılmamalıdır. Ayrıca bu tür araçlar verileri yurt dışına aktarabildiğinden aktarım kurallarına da uyulması gerekir. Rıza alınmadan aracın yüklenmemesi için çerez panelinin teknik olarak doğru kurulması gerekir.

Çerez bannerında sadece kabul et butonu yeterli mi?

Hayır, yalnızca kabul et seçeneği sunan banner, kullanıcının özgür iradesiyle tercih yapmasına imkân vermez. Kişisel Verileri Koruma Kurumu'nun rehberine göre reddet seçeneğinin de kabul et seçeneğiyle eşit görünürlükte sunulması gerekir. Kullanıcının çerezleri reddetmesi, sitenin temel işlevlerinden yararlanmasını engellememeli ve siteye erişim rıza şartına bağlanmamalıdır.

Çerez rızası ne kadar süre geçerlidir?

Kanunda çerez rızası için belirli bir geçerlilik süresi öngörülmemiştir; rıza, geri alınmadığı ve amaç devam ettiği sürece geçerlidir. Ancak çerezlerin türü veya amaçları değiştiğinde kullanıcıdan yeniden rıza alınması gerekir. Uygulamada kullanıcı tercihlerinin belirli aralıklarla yeniden sorulması, rızanın güncelliğinin korunmasına yardımcı olur.

Mobil uygulamalarda da çerez kuralları geçerli mi?

Evet, mobil uygulamalarda kullanılan cihaz tanımlayıcıları ve benzeri izleme teknolojileri de çerezlerle aynı ilkelere tabidir. Uygulama, zorunlu olmayan izleme araçlarını kullanıcının açık rızası olmadan çalıştırmamalıdır. Bilgilendirme ve rıza ekranı, uygulamanın ilk açılışında ve kullanıcı ayarlarında erişilebilir biçimde sunulmalı; tercihler daha sonra kolayca değiştirilebilmelidir.

10. Sonuç

Çerez politikası, 6698 sayılı Kanun'un 10. maddesindeki aydınlatma yükümlülüğünün internet sitesindeki uygulamasıdır; Kişisel Verileri Koruma Kurumu rehberine göre zorunlu olmayan çerezler için açık rıza alınması gerekir. Yurt dışındaki hizmet sağlayıcılara aktarımda ise kanunun 9. maddesindeki kurallara uyulmalıdır.

Önceden işaretlenmiş kutucuklar veya yalnızca kabul seçeneği sunan paneller, metin bulunsa bile rızanın geçersiz sayılmasına yol açabilir. Bu nedenle çerez panelinin ve politikanın birlikte, teknik altyapıyla uyumlu biçimde hazırlanması önem taşımaktadır.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; somut olayınıza ilişkin hukuki danışmanlık yerine geçmez.