Çerez Kullanımı KVKK’ya Nasıl Uygun Hâle Getirilir?

Çerezin Kişisel Veri Sayıldığı Hâller

6698 sayılı Kanun’un 3. maddesi kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Çerez içinde tutulan benzersiz tanımlayıcılar, oturum kimlikleri ve cihaz bilgileri, tek başına veya diğer verilerle birleştirildiğinde kullanıcıyı ayırt etmeye elverişliyse kişisel veri niteliğini kazanır.

Tamamen anonim istatistik üretmek amacıyla, kullanıcıyı ayırt etmeye elverişli olmayan biçimde tutulan sayaçlar bu kapsamın dışında kalabilir. Ancak IP adresinin tam olarak saklandığı, kullanıcı profilinin oluşturulduğu ya da oturumlar arası eşleştirme yapıldığı hâllerde anonimlikten söz edilemez.

Değerlendirme, çerezin adına değil işlevine göre yapılır. Bir çerezin “analitik” olarak adlandırılması, onu kendiliğinden zorunlu çerez hâline getirmez; belirleyici olan, toplanan verinin niteliği ve kullanım amacıdır.

Zorunlu Çerezler ve Hukuki Sebep

Kullanıcının açıkça talep ettiği hizmetin sunulabilmesi için teknik olarak gerekli çerezler, zorunlu çerez sayılır. Oturum yönetimi, alışveriş sepetinin korunması, dil tercihinin hatırlanması ve güvenlik amaçlı doğrulama çerezleri bu gruba girer.

Bu çerezler bakımından 6698 sayılı Kanun m.5/2-c uyarınca sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma şartına ya da m.5/2-f uyarınca veri sorumlusunun meşru menfaati şartına dayanılabilir. Meşru menfaate dayanılması hâlinde ilgili kişinin temel hak ve özgürlüklerine zarar verilmemesi koşulu ayrıca değerlendirilmelidir.

Zorunlu çerezler için rıza aranmaması, aydınlatma yükümlülüğünü ortadan kaldırmaz. Kullanıcı, hangi çerezlerin hangi amaçla ve ne kadar süreyle kullanıldığını çerez aydınlatma metninden öğrenebilmelidir.

Açık Rıza Gerektiren Çerezler

Pazarlama, yeniden hedefleme, davranışsal reklam ve üçüncü taraf ölçümleme çerezleri hizmetin sunulması için zorunlu değildir. Bu çerezler bakımından hukuki sebep açık rızadır ve rıza, çerez yerleştirilmeden önce alınmalıdır.

6698 sayılı Kanun m.3/1-a açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Buna göre önceden işaretlenmiş kutucuklar, siteyi kullanmaya devam etmenin rıza sayılması ya da tek bir düğmeyle tüm çerezlerin kabul ettirilmesi geçerli rıza doğurmaz.

Reddetme seçeneğinin kabul seçeneğiyle eşdeğer kolaylıkta sunulması gerekir. Rızanın her zaman geri alınabilmesi de zorunludur; kullanıcı, ilk tercihini daha sonra aynı kolaylıkla değiştirebilmelidir.

Çerez Aydınlatma Metni ve Panelin Tasarımı

Çerez aydınlatma metninde veri sorumlusunun kimliği, işlenen çerez kategorileri, her kategorinin amacı, hukuki sebebi, saklama süresi, üçüncü taraflara ve yurt dışına aktarım durumu ile ilgili kişinin Kanun’un 11. maddesindeki hakları yer almalıdır.

Çerez paneli katmanlı biçimde tasarlanmalıdır. İlk katmanda özet bilgi ile kabul, ret ve ayarlar seçenekleri; ikinci katmanda kategori bazında ayrıntılı liste ve her kategori için ayrı açma-kapama imkânı bulunmalıdır.

Kullanıcının tercihinin kayıt altına alınması ve ispat edilebilir olması gerekir. Rıza kaydında tercihin zamanı, kapsamı ve hangi sürüm metne dayandığı saklanmalı; metin güncellendiğinde rızanın yenilenmesi değerlendirilmelidir.

Yurt Dışına Aktarım ve Denetim Riski

Üçüncü taraf analiz ve reklam çerezleri, verinin yurt dışındaki sunuculara aktarılması sonucunu doğurabilir. Bu durumda 6698 sayılı Kanun’un 2024 yılında değiştirilen 9. maddesindeki aktarım rejimi devreye girer.

Buna göre aktarım, öncelikle yeterlilik kararının varlığı hâlinde yapılabilir. Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kurumlar arası anlaşma gibi uygun güvencelerden biri sağlanmalıdır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir.

Aydınlatma yükümlülüğünün yerine getirilmemesi hâlinde 6698 sayılı Kanun m.18/1-a uyarınca idari para cezası uygulanabilir. Bu nedenle çerez uyumunun yalnızca panel eklemekten ibaret olmadığı, veri envanteri ve aktarım analiziyle birlikte yürütülmesi gerektiği unutulmamalıdır.

Uyum İçin Kontrol Listesi

Sitede çalışan tüm çerezlerin envanteri çıkarılmalı; her çerez için ad, sağlayıcı, amaç, tür, süre ve aktarım bilgisi kayıt altına alınmalıdır. Envanteri olmayan bir çerez politikası doğruluk denetimine dayanamaz.

Zorunlu olmayan çerezler, kullanıcı tercih belirtmeden önce çalıştırılmamalıdır. Etiket yöneticisi üzerinden yüklenen üçüncü taraf betiklerinin rıza durumuna göre tetiklenecek şekilde yapılandırılması gerekir.

Çerez politikası, genel aydınlatma metni ve gizlilik politikasıyla çelişmemelidir. Metinlerin güncellenme tarihleri ile sitede fiilen çalışan çerezlerin dönemsel olarak karşılaştırılması önerilir.

Sıkça Sorulan Sorular

Her çerez için açık rıza gerekir mi?

Hayır. Hizmetin sunulması için teknik olarak zorunlu çerezlerde 6698 sayılı Kanun m.5/2 kapsamındaki sözleşmenin ifası veya meşru menfaat şartına dayanılabilir. Pazarlama ve hedefleme çerezleri ise açık rıza gerektirir.

Siteyi kullanmaya devam etmek rıza sayılır mı?

Sayılmaz. Açık rıza, 6698 sayılı Kanun m.3 uyarınca belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Pasif davranış bu niteliği taşımaz.

Çerez aydınlatma metninde neler bulunmalıdır?

Veri sorumlusunun kimliği, çerez kategorileri, her kategorinin amacı ve hukuki sebebi, saklama süreleri, üçüncü taraflara ve yurt dışına aktarım durumu ile Kanun m.11’deki haklar yer almalıdır.

Kullanıcı rızasını geri alabilir mi?

Evet. Rıza her zaman geri alınabilir. Çerez panelinin, tercihin ilk verilişindeki kolaylıkla değiştirilmesine imkân tanıyacak biçimde tasarlanması gerekir.

Üçüncü taraf çerezleri yurt dışına aktarım sayılır mı?

Verinin yurt dışındaki sunuculara gönderilmesi hâlinde evet. Bu durumda 6698 sayılı Kanun m.9 uyarınca yeterlilik kararı veya standart sözleşme gibi uygun güvencelerden biri aranır.