Çerez Politikası ve KVKK: Yasal Gereksinimler ve Uygulama Esasları

1. Dijital Gözetimin Teknik ve Hukuki Anatomisi

İnternet protokollerinin temel taşı olan HTTP (Hypertext Transfer Protocol), doğası gereği “durumsuz” (stateless) bir dildir. Yani bir web sunucusu, kendisine gelen iki farklı talebin aynı kişiden gelip gelmediğini varsayılan olarak bilemez. Tıpkı hafızası olmayan bir görevli gibi, siteye her tıkladığınızda sizi ilk kez görüyormuş gibi davranır.

İşte çerezler (cookies), bu teknik unutkanlığı aşmak ve web sitelerine bir “hafıza” kazandırmak için 90’ların ortasında icat edilmiştir. Teknik olarak tarayıcınıza gönderilen küçük metin dosyalarıdır. Ancak bu masum “hatırlama” aracı, zamanla dijital reklamcılık endüstrisinin yakıtı haline gelmiştir.

Kişisel Veri Sayılır mı?

Türk hukukunda 6698 sayılı KVKK’ya göre kişisel veri, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi”dir. Bir çerez dosyası; içerdiği User ID, Session ID veya benzersiz tanımlayıcılar sayesinde, isminizi bilmese bile sizi dijital kalabalık içinde diğerlerinden ayırt edebiliyorsa (singling out), yani “tekilleştiriyorsa”, bu veriler kişisel veri niteliğindedir.

Dolayısıyla bir web sitesi sahibi (veri sorumlusu) olarak çerezleri sadece teknik bir detay değil, Kanun’un genel ilkelerine (m.4), veri işleme şartlarına (m.5) ve aydınlatma yükümlülüklerine (m.10) uygun yönetilmesi gereken bir veri işleme faaliyeti olarak görmelisiniz.

2. Çerez Taksonomisi: Hangi Çerez İçin Hangi Hukuki Sebep?

KVKK uyum projelerinde yapılan en büyük hata, tüm çerezleri aynı kefeye koymaktır. Oysa çerezler kullanım amaçlarına göre farklı hukuki rejimlere tabidir. Kişisel Verileri Koruma Kurumu’nun rehberine göre doğru sınıflandırma şu şekildedir:

3. Aydınlatma Yükümlülüğü ve Açık Rıza Mekanizması

Veri sorumlusu, çerezler aracılığıyla veri işlemeye başlamadan önce (yani kullanıcı siteye girer girmez) aydınlatma yükümlülüğünü yerine getirmelidir. Ancak burada “Gizlilik Politikası”nın içine gömülmüş genel ifadeler yeterli değildir.

3.1. Müstakil Çerez Politikası

Web sitenizde “Çerez Politikası” veya “Çerez Aydınlatma Metni” adı altında ayrı bir sayfa bulunmalıdır. Bu metinde her bir çerez grubu için şu detaylar yer almalıdır:

• Çerezin Adı: (Örn: _ga, _fbp)
• Kullanım Amacı: Neden işleniyor? (Örn: Site trafiğini analiz etmek)
• Saklama Süresi: Cihazda ne kadar kalacak? (Örn: Oturum süresince, 2 yıl)
• Taraf Bilgisi: Birinci taraf mı, üçüncü taraf mı? (Örn: Google, Facebook)

3.2. Katmanlı Aydınlatma (Layered Approach)

Mobil ekranlarda uzun metinleri okutmak zordur. Bu yüzden Kurul, “Katmanlı Aydınlatma”yı önerir:

1. Birinci Katman (Banner): Siteye ilk girişte çıkan kısa özet. (“Sitemizde deneyiminizi iyileştirmek için çerezler kullanıyoruz…”)
2. İkinci Katman (Detaylı Politika): Banner’daki linke tıklandığında ulaşılan tam metin.

4. Kırmızı Çizgiler: Kurul Kararları ve “Çerez Duvarı” Yasağı

Teorik kuralların pratikte nasıl cezaya dönüştüğünü anlamak için Kişisel Verileri Koruma Kurulu’nun (KVKK) emsal kararlarına bakmak gerekir. Bu kararlar, Türkiye’deki uyum standartlarını belirlemiştir.

Amazon Türkiye Kararı: “Zımni Rıza Döneminin Sonu”

Kurul, bir e-ticaret devine verdiği cezada; siteye girişte yer alan “Hizmetlerimizi kullanarak çerez bildirimimizi kabul etmiş olursunuz” ifadesini hukuka aykırı buldu. Bu karar, “Opt-out” (varsayılan kabul) sisteminden “Opt-in” (açık rıza) sistemine geçişin miladıdır. Kullanıcı aktif bir hareketle (buton tıklama) onay vermedikçe, sessiz kalması rıza olarak kabul edilemez.

Çerez Duvarı (Cookie Wall) Yasağı

Bir başka kararda (2022/229), kullanıcının çerezleri kabul etmediği takdirde siteye erişiminin engellenmesi veya zorlaştırılması cezalandırıldı. “Çerezleri kabul et yoksa siteye giremezsin” yaklaşımı, rızanın “özgür irade” unsurunu sakatlar. Kullanıcı, çerezleri reddetse bile sitenin içeriğine erişebilmelidir.

5. Çerezler ve Yurt Dışı Veri Aktarımı (2024 Reformu)

Google Analytics, Meta Pixel, Hotjar gibi araçlar; verileri genellikle yurt dışındaki sunucularda (ABD, AB) işler. 2024 yılında KVKK madde 9’da yapılan değişiklik, bu konuda yeni bir dönem başlattı.

Eskiden her kullanıcıdan “Verilerimin yurt dışına gitmesine izin veriyorum” diye ayrıca rıza alınması gerekirken, yeni sistemde üç basamaklı bir yapı öngörülmüştür:

• Yeterlilik Kararı: Verinin gideceği ülke güvenli listesindeyse sorun yok (Henüz tam liste yok).
• Uygun Güvenceler (Standart Sözleşmeler): Google, Meta gibi sağlayıcılar ile veri sorumlusu arasında imzalanan standart sözleşmeler. En pratik yol budur. Google ve diğer devler, Türkiye için güncel sözleşmelerini panellerine eklemiştir; bunları dijital olarak imzalamak ve Kurum’a bildirmek gerekebilir.
• Açık Rıza (İstisnai Haller): Diğer yollar yoksa, kullanıcıdan rıza alınmalıdır. Ancak analitik araçları sürekli veri akışı sağladığı için bu yol sürdürülebilir değildir.

6. Uygulama Stratejisi: Banner Tasarımı ve CMP

Hukuki teorinin kullanıcı arayüzüne (UI) yansıdığı yer, sitenize girildiğinde çıkan o küçük kutucuktur. Kurul, “Karanlık Tasarımlar” (Dark Patterns) konusunda çok hassastır.

İdeal Bir Çerez Banner’ı Nasıl Olmalı?

• Eşitlik İlkesi: “Kabul Et” ve “Reddet” butonları aynı renk, boyut ve vurguda olmalıdır. “Kabul Et”i parlak yeşil yapıp, “Reddet”i silik gri bir yazı olarak gizlemek ihlal sebebidir.
• Privacy by Default (Varsayılan Olarak Kapalı): Banner açıldığında, pazarlama ve analitik çerezlerinin kutucukları işaretli gelmemelidir. Kullanıcı kendisi seçmelidir.
• Kapatma Butonu: Banner’ın köşesinde, kullanıcının seçim yapmadan kapatabileceği (reddetme anlamına gelen) bir “X” veya “Kapat” butonu bulunmalıdır.
• Auto-Blocking (Otomatik Engelleme): En sık yapılan teknik hata budur. Banner ekrana gelse bile, kullanıcı henüz bir şeye basmadan arka planda Google Analytics kodları çalışmaya başlıyorsa, hukuka aykırıdır. Kodlar, ancak “Kabul Et” sinyalinden sonra tetiklenmelidir.

Rıza Yönetim Platformları (CMP)

Bu karmaşık süreci manuel yönetmek zordur. Cookiebot, OneTrust, Usercentrics gibi CMP araçları, sitenizi tarar, çerezleri sınıflandırır ve otomatik engelleme yaparak KVKK uyumlu bir banner sunar. Ayrıca verilen rızaların “log” kayıtlarını tutarak ispat yükümlülüğünüze yardımcı olur.

7. Veri Sorumluları İçin Uyumluluk Kontrol Listesi

Süreci yönetmekte zorlanan web sitesi sahipleri için adım adım bir yol haritası:

1. Çerez Envanteri Çıkarın: Sitenizde hangi çerezlerin çalıştığını (developer tools veya tarama araçlarıyla) tespit edin.
2. Sınıflandırma Yapın: Zorunlu, Analitik ve Pazarlama olarak ayırın.
3. Politika Yazın: Envanterinizle örtüşen, her çerezin amacını ve süresini açıklayan bir aydınlatma metni hazırlayın.
4. Banner Entegre Edin: “Kabul Et” ve “Reddet” seçenekleri eşit olan bir mekanizma kurun.
5. Otomatik Engellemeyi Test Edin: Gizli sekmeden sitenize girin ve “Kabul” demeden çerezlerin yüklenip yüklenmediğini kontrol edin.
6. Yurt Dışı Aktarımını Denetleyin: 3. taraf sağlayıcıların sözleşmelerini inceleyin.
7. Kolay Geri Alma İmkanı Sunun: Sitenin alt köşesine “Çerez Ayarları” butonu koyarak, kullanıcının verdiği rızayı sonradan değiştirebilmesini sağlayın.

8. Sık Sorulan Sorular