Çerez Bildirimi ve KVKK: Web Siteniz İçin Ne Gerekli?

Sitenize Google Analytics, Meta Pikseli ya da bir canlı destek aracı eklediğiniz anda, ziyaretçinin tarayıcısına çerez yazıyorsunuz demektir. Türkiye'de bunun nasıl yapılması gerektiğine dair temel yaklaşım, Kişisel Verileri Koruma Kurumu'nun yayımladığı çerez uygulamaları rehberinde anlatılıyor.

Aşağıdakiler bu rehberin genel çerçevesine dayanan pratik bir başlangıç noktası. Hukuki görüş yerine geçmiyor. Rehber ve mevzuat güncellenebildiği için kendi sitenizdeki uygulamayı bir KVKK uzmanıyla netleştirin; özellikle sağlık, finans ya da çocuklara yönelik hizmetler gibi hassas alanlarda çalışıyorsanız metinlerinizi uzmanla birlikte hazırlayın.

Çerez nedir, hangi türleri var?

Çerez, bir sitenin ziyaretçinin tarayıcısına kaydettiği küçük bir metin dosyası. Sepetinizdeki ürünlerin sayfa değiştirince kaybolmaması, giriş yaptığınız hesabın açık kalması ya da bir reklamın sizi başka sitelerde takip etmesi, hep çerezler sayesinde oluyor.

KVKK açısından önemli olan ayrım, çerezin ne işe yaradığı:

• Zorunlu çerezler: Sitenin temel işlevi için gereken çerezler. Sepet, oturum açma, güvenlik ve kullanıcının çerez tercihinin kendisini hatırlayan çerez bu gruba girer.
• İşlevsel çerezler: Dil seçimi ya da bölge tercihi gibi deneyimi kişiselleştiren çerezler.
• Analitik çerezler: Ziyaretçilerin siteyi nasıl kullandığını ölçen çerezler. Google Analytics bunun en yaygın örneği.
• Reklam ve hedefleme çerezleri: Meta Pikseli, Google Ads etiketi gibi, ziyaretçiyi reklam amacıyla tanıyan ve takip eden çerezler.

Bir de birinci taraf ve üçüncü taraf ayrımı var. Sizin alan adınız tarafından yazılan çerez birinci taraf, Google ya da Meta gibi başka bir şirketin yazdığı çerez üçüncü taraftır. Üçüncü taraf çerezler çoğu zaman verinin yurt dışına aktarılması anlamına geldiği için ayrıca dikkat istiyor.

KVKK açısından genel çerçeve

Rehberin temel yaklaşımı şöyle özetlenebilir: Zorunlu çerezler için ziyaretçiden açık rıza alınması genel olarak gerekmiyor, ancak bunlar hakkında aydınlatma yapılması gerekiyor. Analitik ve reklam çerezleri gibi zorunlu olmayan çerezler için ise ziyaretçinin açık rızası aranıyor ve bu rıza alınmadan bu çerezlerin çalışmaması bekleniyor.

Uygulamada sık gördüğümüz sorun burada. Banner gösteriliyor ama Google Analytics ve Meta Pikseli, ziyaretçi henüz hiçbir şeye tıklamadan zaten yükleniyor. Banner bu durumda yalnızca dekor. Teknik olarak doğru kurulumda zorunlu olmayan etiketler, ziyaretçi onay verene kadar bekletilir.

Yurt dışına veri aktarımı da ayrı bir başlık. Kullandığınız analitik ve reklam araçlarının çoğu veriyi yurt dışındaki sunuculara gönderir. KVKK'da yurt dışına aktarım kurallarında değişiklikler yapıldı; bunun sizin siteniz için ne anlama geldiğini ve aydınlatma metninizde nasıl ele alacağınızı bir uzmana sormanızı öneriyoruz. E-ticaret siteleri için aydınlatma metninin genel yapısını ayrı bir yazıda anlattık.

Onay banner'ında dikkat edilecekler

İyi kurulmuş bir çerez banner'ı ziyaretçiye gerçek bir seçim sunar. Rehberin yaklaşımı doğrultusunda şunlara dikkat edin:

“Kabul et” ve “Reddet” seçenekleri aynı ekranda ve eşit görünürlükte olmalı. Kabul butonu büyük ve renkli, reddetme seçeneği ise küçük gri bir bağlantı olarak saklanıyorsa, verilen onayın özgür irade ile verildiği tartışmalı hâle gelir.

Kutucuklar önceden işaretli olmamalı. Ziyaretçi analitik ya da reklam çerezlerini kendisi seçmeli.

Siteyi kaydırmak ya da gezinmeye devam etmek onay sayılmamalı. “Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız” cümlesi, uzun süre her yerde görüldü ama açık rıza mantığıyla uyuşmuyor.

Ziyaretçi tercihini sonradan değiştirebilmeli. Sitenin alt kısmına “Çerez ayarları” bağlantısı koymak bunun en basit yolu.

Banner, ayrıntılı çerez politikasına bağlantı vermeli. Banner'ın kendisinde uzun metin olmasına gerek yok; iki üç cümle ve bir bağlantı yeterli.

Bu kuralların hepsini sıfırdan kodlamak zorunda değilsiniz. Piyasada hazır çerez onay yönetim araçları (CMP) var; bazıları ücretsiz, bazıları ücretli. Seçerken Türkçe arayüz desteğine ve kullandığınız etiketleri onaya göre engelleyip engelleyemediğine bakın.

Analitik ve reklam çerezleri

Açık rıza yaklaşımının pratik bir sonucu var: Ziyaretçilerin bir kısmı reddedecek ve onları ölçemeyeceksiniz. Analitik raporlarınızdaki sayılar gerçek ziyaretçi sayısından düşük olacak; reklam platformlarınız da bazı dönüşümleri göremeyecek.

Bunu kabullenmek gerekiyor. Onay vermeyen ziyaretçiyi gizlice ölçmeye çalışmak hem hukuki risk yaratır hem de sitenize duyulan güveni zedeler. Bunun yerine Google'ın İzin Modu (Consent Mode) gibi, onay vermeyen kullanıcılar için çerezsiz sinyallerle eksik veriyi modelleyen araçlar kullanılabiliyor; kurulumunun banner aracınızla doğru çalıştığını test edin ve bu araçların kullanımını da uzmanınızla netleştirin. Google Analytics 4 kurulumu ve çerez onayının ölçüme etkisini ayrı bir yazıda ele aldık.

Çerez politikası metni

Çerez politikası, sitenizde hangi çerezlerin kullanıldığını ve neden kullanıldığını anlatan ayrı bir sayfa. İçinde genellikle şunlar bulunur: veri sorumlusunun kim olduğu ve iletişim bilgisi, kullanılan çerez türleri ve her birinin amacı, çerezlerin saklama süreleri, üçüncü taraf çerezlerin hangi şirketlere ait olduğu, ziyaretçinin tercihlerini nasıl değiştirebileceği ve KVKK kapsamındaki haklarını nasıl kullanabileceği.

En büyük hata, başka bir siteden kopyalanmış bir metin kullanmak. Kopyalanan metin, sizde olmayan çerezleri anlatır ve sizde olanları atlar; ayrıca başkasının metnini kopyalamak telif açısından da sorun yaratabilir. Doğru metin, sitenizde gerçekten çalışan çerezlerin listesinden başlar. Bunu tarayıcınızın geliştirici araçlarından ya da çerez tarama araçlarıyla çıkarabilirsiniz.

Sitenize yeni bir araç eklediğinizde, örneğin bir canlı destek eklentisi ya da yeni bir reklam pikseli, çerez politikasını da aynı gün güncelleyin. Politika, yazıldığı günkü siteyi değil, bugünkü siteyi anlatmalı.

Psikolog ya da sağlık danışmanı gibi hassas veriyle çalışan meslekler için durum daha da hassas; ziyaretçinin hangi sayfaya baktığı bile sağlık durumu hakkında ipucu verebilir. Bu meslekler için site kurgusunu ayrı bir yazıda anlattık.

Bu yazı genel bilgilendirme amaçlıdır; hukuki, mali veya vergisel danışmanlık yerine geçmez. Kendi durumunuz için bir avukata ya da mali müşavire danışın.