Çerez (Cookie) Nedir? Türleri, KVKK Kapsamı ve Çerez Bildirimi/Açık Rıza Uygulamaları
Çerez (cookie), bir web sitesinin tarayıcı üzerinden cihazınıza bıraktığı ve daha sonra tekrar okuyabildiği küçük veri parçalarıdır. Ziyaret edilen siteler; PC veya mobil cihazınıza bazı bilgileri kaydeder, siz siteyi yeniden ziyaret ettiğinizde bu bilgileri okuyarak deneyimi “hatırlar”.
Bu rehber; çerezlerin tanımı, türleri, Türkiye’de KVKK kapsamında nasıl ele alınabileceği, çerez aydınlatma yükümlülüğü ve açık rıza tasarımı (katmanlı onay, tercih merkezi) konularını pratik bir çerçevede toplar.
Çerezler tek başına her zaman “kişisel veri” olmasa da; diğer bilgilerle birleşince kişiyi belirlenebilir hale getiriyorsa KVKK kapsamında değerlendirilebilir. Bu durumda veri sorumluları; aydınlatma yapmalı, zorunlu olmayan çerezler için çoğu senaryoda işleme şartını açık ve ispatlanabilir şekilde kurgulamalıdır.
1. Çerez (Cookie) Nedir?
Çerez, web sitesinin tarayıcıya bıraktığı ve daha sonra tekrar okuyabildiği küçük bir veri parçasıdır. Bu dosyalar; oturum yönetimi, güvenlik, tercihlerin hatırlanması, analitik ölçüm ve reklam hedefleme gibi amaçlarla kullanılabilir.
Çerezler kullanım amaçlarına, saklanma sürelerine ve kaynaklarına göre sınıflandırılabilir. Aşağıdaki bölüm, sahada en sık kullanılan çerez sınıflandırmasını “tek sayfada” anlaşılır hale getirir.
2. Çerez Tanımı ve Türleri
Çerezler; (i) kullanım amacı, (ii) saklanma süresi ve (iii) kaynağı (1. taraf/3. taraf) bakımından ele alınır. Uyum tasarımı (banner + tercih merkezi) genellikle bu üç sınıflandırma üzerine kurulur.
2.1. Kullanım Amaçlarına Göre Çerez Türleri
| Tür | Ne İşe Yarar? | Pratik Not |
|---|---|---|
| Zorunlu Çerezler | Sitenin çalışması ve amaçlandığı gibi kullanılabilmesi için gereklidir. Oturum açma, güvenliği artırma, temel sayfa dolaşımı gibi fonksiyonları destekler. | Engellenirse site düzgün çalışmayabilir. Pazarlama amacıyla kullanılmaması beklenir. |
| İşlevsel Çerezler | Kullanıcının tercihlerini hatırlayıp içerikleri kişiselleştirmeye yardımcı olur (ör. dil, bölge, tema). | Engellenmesi mümkündür; ancak bazı kişiselleştirme özellikleri devre dışı kalabilir. |
| Performans / Analitik Çerezler | Site performansını ölçer; sayfa görüntüleme, tıklama, oturum süresi gibi verilerle kullanıcı deneyimini iyileştirmeye yardımcı olur. | Çoğu senaryoda kullanıcı tercihine bırakılması beklenir (katmanlı seçim). |
| Reklam / Pazarlama Çerezleri | İlgi alanlarına uygun içerik ve reklam sunmak için kullanılır. Çerezlerden gelen bilgi, aynı kişiye ait diğer verilerle eşleştirilerek kişiselleştirme yapılabilir. | Açık rıza gerekliliği ihtimali en yüksek gruptur. Varsayılan “açık” gelmemesi önerilir. |
2.2. Saklanma Sürelerine Göre Çerezler
| Tür | Tanım | Örnek |
|---|---|---|
| Oturum Çerezleri | Tarayıcı kapatılınca son bulur. Kullanıcının oturum süresince hareketlerinin tanınmasını sağlar. | Sepet ürünlerini hatırlatma, internet bankacılığında güvenlik amaçlı oturum yönetimi. |
| Kalıcı Çerezler | Cihazda daha uzun süre kalır. Tercihleri hatırlatma gibi amaçlarla kullanılır; süresini site sahibi belirler. | Dil tercihi, “beni hatırla” fonksiyonu; kullanıcı isterse tarayıcıdan silebilir. |
2.3. Kaynaklarına Göre Çerezler
| Tür | Kim Yerleştirir? | Ne Zaman Görülür? |
|---|---|---|
| Birinci Taraf Çerezler | Ziyaret edilen site (alan adı) tarafından oluşturulur. | Genellikle temel site fonksiyonları ve tercih hatırlatma senaryolarında. |
| Üçüncü Taraf Çerezler | İş ortakları, reklam ağları, sosyal medya eklentileri gibi üçüncü taraflar oluşturur. | Site; reklam, gömülü içerik, sosyal medya butonu gibi bileşenler içerdiğinde. |
3. Türk Hukukunda Çerezler (KVKK Perspektifi)
Türkiye’de çerez kullanımına dair “tek başına ve kapsamlı” bir kanun maddesi bulunmamakla birlikte, çerezler üzerinden kişisel veri işlenmesi söz konusu olduğunda KVKK hükümleri uygulama alanı bulur.
Çerezler çoğu zaman sayı-harf kombinasyonundan oluşur. Tek başlarına her durumda kişisel veri sayılmasalar da; diğer verilerle birleştiklerinde ilgili kişiyi belirlenebilir kılmaları halinde KVKK bakımından kişisel veri niteliği kazanabilirler.
4. Kurul’un “Amazon Kararı” Üzerinden Çerez Değerlendirmeleri
Kişisel Verileri Koruma Kurulu’nun çerezler konusundaki yaklaşımı, uygulamada en çok “Amazon kararı” üzerinden tartışılmıştır. Özet bakışla; çerezler vasıtasıyla kişisel veriler işleniyor olsa bile, ziyaretçilerin çerez kullanımı hakkında bilgilendirilmemesi ve bazı çerez türleri için açık rıza mekanizmasının kurgulanmaması, yaptırım riskini artıran temel başlıklardandır.
Not: Çerez türlerinin hangilerinde açık rızanın zorunlu olduğu konusu, senaryoya göre değişebildiğinden, kurumların “kategori bazlı” ve “katmanlı” (zorunlu sabit, diğerleri tercihe bağlı) bir yaklaşım benimsemesi pratikte daha güvenli görülür.
5. Avrupa Adalet Divanı’nın Planet49 Kararı: Rıza Nasıl Alınmalı?
Planet49 yaklaşımı, çerez kullanımında rızanın “şekli” bakımından önemli bir çerçeve sunar. Bu çerçevede, rızanın aktif bir davranış ile verilmesi; önceden işaretli kutucuklar gibi yöntemlerin geçerlilik açısından sorun yaratması vurgulanır.
- Rıza aktif olmalı: Kullanıcı “seçerek” onay vermelidir.
- Ön bilgilendirme şart: Kullanıcı, çerezlerin amacı ve etkisi hakkında rıza öncesinde bilgilendirilmelidir.
- Katmanlı seçim önerilir: Zorunlu çerezler ayrı, analitik/reklam ayrı seçeneklenmelidir.
6. İngiltere ICO Rehberi: Aydınlatma ve Rıza
ICO’nun çerezler ve benzer teknolojiler rehberinde, çerez kullanılıyorsa kullanıcıya hangi çerezlerin neden kullanıldığı açıkça anlatılmalıdır. Ayrıca rıza alınacaksa, rızanın açık ve aktif şekilde verilmesi gerektiği vurgulanır.
6.1. Aydınlatmada bulunması önerilen çekirdek başlıklar
- Hangi çerez kategorileri kullanılıyor? (zorunlu/işlevsel/analitik/reklam)
- Hangi amaçla kullanılıyor? (oturum, güvenlik, ölçüm, hedefleme vb.)
- Çerezler cihazda saklanır mı, ne kadar süre kalır? (oturum/kalıcı)
- Üçüncü taraf var mı? Varsa kimler ve ne amaçla?
- Tercih değişikliği ve rızanın geri alınması nasıl yapılır?
6.2. Geçerli rıza tasarımında kritik “yapılmaması” gerekenler
- “Siteyi kullanmaya devam ederek kabul etmiş sayılırsınız” gibi zımni kabul mekanikleri
- Önceden işaretli onay kutuları
- Zorunlu olmayan çerezleri, kullanıcı tercih yapmadan yerleştirmek
7. Çerez Bildirimi ve Banner Metni Örnekleri
Uygulamada çoğu web sitesi; ilk girişte kısa bir bilgilendirme metni ve çerez politikasına link sunar. Daha iyi bir uyum deneyimi için “tercihleri yönet” ekranı ile kategori bazlı seçim sağlanır.
7.1. Örnek Banner Metinleri (Uyarlanabilir)
-
Örnek 1 (Katmanlı):
Sitemizde deneyiminizi iyileştirmek için çerezler kullanıyoruz. Zorunlu çerezler site işlevleri için gereklidir.
Analitik ve reklam çerezlerini tercihinize göre yönetebilirsiniz.
Butonlar:Tercihleri Yönet·Reddet·Kabul Et - Örnek 2 (Politika Linkli): İnternet sitemizde çerezler kullanılmaktadır. Çerezleri nasıl kullandığımız hakkında detaylı bilgi için Çerez Politikamızı inceleyebilirsiniz. Çerez tercihlerinizi dilediğiniz zaman değiştirebilirsiniz.
-
Örnek 3 (Basit + Özelleştir):
Deneyiminizi kişiselleştirmek ve geliştirmek için çerezler kullanırız. Detaylı bilgi için Çerez Politikamızı ziyaret edin.
Butonlar:Çerezleri Kabul Et·Çerezleri Özelleştir
7.2. “Tercih Merkezi” İçin Örnek Kategori Kurgusu
| Kategori | Varsayılan | Kullanıcı Kontrolü |
|---|---|---|
| Zorunlu | Açık | Kapatılamaz (site çalışması için gerekli) |
| İşlevsel | Kapalı / Tercihe Bağlı | Aç/Kapat |
| Analitik / Performans | Kapalı | Aç/Kapat + sağlayıcı listesi |
| Reklam / Pazarlama | Kapalı | Aç/Kapat + 3. taraf listesi + amaç |
Benzer içerik örneği (referans): https://www.nesilteknoloji.com/cerezler/
8. Sonuç: Çerez Uyumunda En Güçlü Yol Haritası
Çerezler hakkında uygulamada hâlen gri alanlar bulunsa da, iyi bir uyum stratejisi; “şeffaflık + kullanıcı kontrolü + ispatlanabilir rıza” üçlüsüne dayanır. Özellikle reklam/pazarlama ve analitik çerezlerde, rızanın işlemeye başlamadan önce ve aktif şekilde alınması, riskleri azaltır.
8.1. Hızlı Kontrol Listesi
- Çerez kategorilerini belirlediniz mi (zorunlu/işlevsel/analitik/reklam)?
- Her kategori için amaç, süre ve sağlayıcı (1. taraf/3. taraf) bilgisini yazdınız mı?
- Zorunlu olmayan çerezler varsayılan kapalı mı?
- “Tercihleri Yönet” ekranında kategori bazlı seçim var mı?
- Rıza geri alma ve tercih değiştirme linki (footer) sürekli erişilebilir mi?
- Rızayı ispatlayacak log/kanıt mekanizması var mı?
