Çerez Yönetiminde Güncel KVKK Uyum Yaklaşımı
Güncelleme tarihi: 14 saat önce
İnternet Sitelerinde Açık Rıza, Aydınlatma Yükümlülüğü ve Veri Sorumlularının Sorumluluğu
Ekim 2026 | Alper Hukuk Bürosu
Giriş
İnternet sitelerinde kullanılan çerezler, dijital hizmetlerin işleyişinde önemli bir rol oynamaktadır. Kullanıcı oturumlarının yönetilmesi, internet sitesi performansının ölçülmesi ve kişiselleştirilmiş içeriklerin sunulması gibi farklı amaçlarla kullanılan çerezler, kişisel verilerin korunması hukuku bakımından çeşitli yükümlülükleri beraberinde getirmektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında çerezler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetlerinin hukuka uygunluğu, özellikle Kişisel Verileri Koruma Kurulu kararları ve Kişisel Verileri Koruma Kurumu tarafından yayımlanan Çerez Uygulamaları Hakkında Rehber çerçevesinde değerlendirilmelidir.
Bu kapsamda şirketlerin yalnızca internet sitelerinde çerez politikası yayımlaması yeterli olmayabilir. Kullanılan çerezlerin niteliğine göre uygun hukuki sebebin belirlenmesi, aydınlatma yükümlülüğünün yerine getirilmesi ve gerekli hâllerde açık rızanın alınması önem taşımaktadır.
1. Çerezlerin Hukuki Niteliği ve KVKK Kapsamındaki Değerlendirme
Çerezler, internet sitesi ziyaretçilerinin cihazlarına yerleştirilebilen ve çeşitli bilgilerin saklanmasına veya erişilmesine imkân sağlayan teknolojilerdir.
Her çerez kullanımı kendiliğinden kişisel veri işleme faaliyeti oluşturmasa da IP adresi, kullanıcı kimliği, cihaz tanımlayıcıları veya çevrim içi davranış verileriyle ilişkilendirilebilen çerezler KVKK kapsamında değerlendirilebilir.
Çerezler kullanım amaçları bakımından genel olarak zorunlu, işlevsel, performans-analitik ve reklam-pazarlama çerezleri şeklinde sınıflandırılmaktadır.
Ancak çerezin hangi kategoriye girdiğinin belirlenmesinde yalnızca teknik adı değil, fiilî kullanım amacı ve işlevi esas alınmalıdır.
2. Zorunlu Çerezler İçin Açık Rıza Gerekli midir?
İnternet sitesinin temel işlevlerinin yerine getirilmesi için kesinlikle gerekli olan çerezler bakımından, KVKK'nın 5. maddesinde düzenlenen uygun bir veri işleme şartına dayanılması hâlinde açık rıza alınması gerekmeyebilir.
Örneğin oturum güvenliğinin sağlanması, kullanıcı kimlik doğrulaması veya internet sitesinin temel işlevlerinin yürütülmesi için kullanılan çerezler bu kapsamda değerlendirilebilir.
Bununla birlikte, bir çerezin internet sitesi sahibi tarafından faydalı görülmesi, onun hukuken zorunlu çerez sayılması için yeterli değildir.
Çerezin gerçekten gerekli olup olmadığı, sunulan hizmetin niteliği ve çerezin kullanım amacı dikkate alınarak belirlenmelidir.
3. Analitik ve Pazarlama Çerezlerinde Açık Rıza
İnternet sitelerinde karşılaşılan başlıca uyum sorunlarından biri, zorunlu olmayan çerezlerin ziyaretçilerin açık rızası alınmadan çalıştırılmasıdır.
Kişisel Verileri Koruma Kurulunun 10.03.2022 tarihli ve 2022/229 sayılı kararı ile 08.08.2024 tarihli ve 2024/1361 sayılı kararında, zorunlu olmayan çerezler aracılığıyla gerçekleştirilen kişisel veri işleme faaliyetleri bakımından açık rıza mekanizmalarının önemi vurgulanmıştır.
Bu çerçevede açık rıza dışında geçerli bir veri işleme şartı bulunmayan analitik, reklam ve pazarlama çerezlerinin, ziyaretçinin aktif onayı alınmadan çalıştırılmaması gerekmektedir.
İnternet sitesinin ziyaret edilmesi, sayfada gezinilmeye devam edilmesi veya önceden işaretlenmiş seçenekler, geçerli açık rızanın varlığı için tek başına yeterli değildir.
Açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerekir.
4. Çerez İzin Panelleri Nasıl Tasarlanmalıdır?
Çerez izin panellerinin tasarımı, yalnızca kullanıcı deneyimi açısından değil, açık rızanın geçerliliği bakımından da önem taşımaktadır.
Kişisel Verileri Koruma Kurumunun rehberinde, kullanıcılara sunulan tercihlerin açık ve anlaşılır olması gerektiği belirtilmektedir.
Bu kapsamda iyi uygulama örnekleri arasında;
Kabul et, reddet ve tercihleri yönet seçeneklerinin açıkça sunulması,
Kabul ve ret seçeneklerinin görsel açıdan eşit derecede erişilebilir olması,
Açık rıza gerektiren çerezlerin varsayılan olarak devre dışı bırakılması,
Kullanıcılara çerez kategorileri bakımından ayrı tercih imkânı tanınması,
Verilen açık rızanın sonradan geri alınabilmesi
yer almaktadır.
Özellikle kullanıcıyı çerezleri kabul etmeye yönlendiren yanıltıcı tasarım uygulamalarından kaçınılması gerekmektedir.
5. Aydınlatma Yükümlülüğü ve Çerez Politikası
KVKK'nın 10. maddesi uyarınca veri sorumluları, kişisel verilerin elde edilmesi sırasında ilgili kişileri veri işleme faaliyetleri hakkında bilgilendirmekle yükümlüdür.
Çerezler bakımından bu yükümlülüğün yerine getirilebilmesi için kullanılan çerezlerin adları, kullanım amaçları, sağlayıcıları, saklama süreleri ve hukuki sebepleri hakkında anlaşılır bilgilendirme yapılması önemlidir.
Bu nedenle internet sitelerinde genel ifadelerden oluşan bir çerez politikası hazırlanması her durumda yeterli olmayabilir.
Çerez Politikası'nın internet sitesinde fiilen kullanılan teknolojilerle uyumlu olması gerekir.
Ayrıca üçüncü taraf çerezleri üzerinden gerçekleştirilen kişisel veri aktarımları ve olası yurt dışına veri aktarımları da ilgili mevzuat kapsamında değerlendirilmelidir.
6. Şirketler Açısından Uyum Sürecinin Yönetilmesi
Çerez uyumu, yalnızca internet sitesine bir pop-up eklenmesinden ibaret değildir.
Şirketlerin kullandıkları çerezleri düzenli olarak tespit etmesi, yeni eklenen analiz veya pazarlama araçlarını değerlendirmesi ve mevcut izin mekanizmalarını kontrol etmesi gerekmektedir.
Özellikle internet sitesi altyapısının üçüncü taraf hizmet sağlayıcıları aracılığıyla işletildiği durumlarda, kullanılan uygulamaların hangi çerezleri yerleştirdiğinin belirlenmesi önem taşımaktadır.
Bu kapsamda şirketlerin çerez envanterlerini güncel tutması, aydınlatma metinlerini fiilî veri işleme faaliyetleriyle uyumlu hâle getirmesi ve açık rıza gerektiren çerezler bakımından teknik engelleme mekanizmalarını uygulaması önerilmektedir.
Sonuç
Çerez yönetimi, dijital faaliyet yürüten şirketler açısından kişisel verilerin korunmasına ilişkin uyum süreçlerinin önemli bir parçasını oluşturmaktadır.
Kişisel Verileri Koruma Kurulunun kararları, yalnızca çerez politikası yayımlanmasının veya genel nitelikte bir bilgilendirme yapılmasının yeterli olmadığını ortaya koymaktadır.
Bu nedenle şirketlerin çerez kullanımını hukuki ve teknik açıdan birlikte değerlendirmesi, açık rıza gerektiren faaliyetleri uygun mekanizmalarla yönetmesi ve internet sitesi altyapısını düzenli olarak gözden geçirmesi önem taşımaktadır.
Etkin bir çerez yönetimi, yalnızca mevzuata uyum sağlanmasına değil, kullanıcıların kişisel verileri üzerindeki kontrolünün güçlendirilmesine de katkı sunmaktadır.
Hukuki Kaynaklar
Kişisel Verileri Koruma Kurumu, Çerez Uygulamaları Hakkında Rehber. KVKK
Kişisel Verileri Koruma Kurulunun 10.03.2022 tarihli ve 2022/229 sayılı kararı. KVKK
Kişisel Verileri Koruma Kurulunun 23.12.2022 tarihli ve 2022/1358 sayılı kararı. KVKK
Kişisel Verileri Koruma Kurulunun 08.08.2024 tarihli ve 2024/1361 sayılı kararı. KVKK
Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımamaktadır.
© 2026 Alper Hukuk Bürosu. Tüm hakları saklıdır.
Yorumlar