Çerez Politikası Örneği ve Nasıl Hazırlanır?

Çerez politikası, ziyaretçinin cihazına çerez veya benzeri bir izleyici (piksel, yerel depolama, mobil uygulamada SDK) yerleştiren her internet sitesi ve uygulama için gerekir. Çerezle toplanan IP adresi, cihaz bilgisi ve gezinme verisi kişisel veridir; Kişisel Verileri Koruma Kurulu 2020/173 sayılı kararında çerezle izleme, aktarma ve saklamayı kişisel veri işleme saymış ve çerez kullanımı hakkında yeterli bilgi verilmemesini ihlal olarak değerlendirmiştir.

Yalnız zorunlu çerez kullanan bir site bile politika yayımlar; çünkü Kanun m.10 aydınlatma yükümlülüğü, hukuki sebep açık rıza olmasa da geçerlidir. Bu durumda politika kısa kalır ve rıza bölümü içermez. Analiz, reklam, sosyal medya eklentisi veya gömülü video kullanan sitede politika, rıza panelinin dayandığı bilgilendirme metnidir; panel olmadan politika, politika olmadan panel yeterli değildir.

Gerekmediği durumlar: hiç çerez yerleştirmeyen tamamen statik bir sayfa; yalnız kurum içi ağda çalışan ve dışarıya kapalı uygulamalar. Çerez politikası, genel aydınlatma metninin ve ticari elektronik ileti onayının yerine geçmez; e-bülten veya SMS gönderimi için 6563 sayılı Kanun kapsamında ayrı onay gerekir.

• "Siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız." Geçersizdir. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır (Kanun m.3); siteye girmek veya sayfayı kaydırmak rıza değildir (Çerez Rehberi).
• Önceden işaretli kutular veya "yalnız kabul" bandı. Reddetme, kabul etmek kadar kolay olmalıdır; "tümünü reddet" seçeneği ikinci ekrana gizlenmez. Rıza alınmadan analiz veya reklam çerezinin yüklenmesi, bandın görünmesi yeterli sayılarak sayacın başlatılması rehbere aykırıdır.
• Çerez duvarı. Ziyaretçiyi "ya kabul et ya siteden çık" seçimine zorlamak, açık rızanın özgür iradeyle verilmesi şartı (Kanun m.3) bakımından hukuka aykırı sayılma riski taşır. Reddeden ziyaretçi yalnız zorunlu çerezlerle siteyi kullanabilmelidir.
• Aydınlatma ile açık rızanın tek metinde sunulması. Kurulun 2026/347 sayılı ilke kararına aykırıdır; politika bilgilendirir, rıza panelde alınır.
• Yurt dışı analiz ve reklam araçları için yalnız açık rızaya dayanmak. Kanun m.9'un 7499 sayılı Kanunla değişen metninde açık rıza yalnız arızi (tek seferlik) aktarımın dayanağıdır; analiz aracının her ziyarette veri göndermesi düzenli aktarımdır ve yeterlilik kararı yoksa standart sözleşme gibi uygun güvence gerektirir. Standart sözleşme imzadan sonra beş iş günü içinde Kuruma bildirilir.
• Genel ifadeler ve kopya metin. "Çeşitli üçüncü taraf çerezleri", "vb." gibi ifadeler ve başka sitenin politikasının aynen alınması, 2026/347 sayılı ilke kararında hukuka aykırı sayılmıştır.
• Süresiz veya süresi yazılmayan çerezler. Kanun m.4 ve m.7'ye aykırıdır; her çerezin süresi listede yazılır.
• Rızanın ispat edilememesi. Açık rızayı ispat yükü veri sorumlusundadır; tercih kaydı tutulmazsa Kurul incelemesinde rıza gösterilemez.
• Güncellenmeyen politika. Siteye yeni bir izleyici eklendiğinde listesi ve rıza kategorisi güncellenmezse aydınlatma eksik kalır. Kurul, çerez ve açık rıza ihlallerinde Kanun m.18 uyarınca idari para cezası uygulamaktadır; cezalar her yıl yeniden değerleme oranıyla artar.

6698 sayılı Kişisel Verilerin Korunması Kanunu: m.3 açık rıza tanımı; m.4 genel ilkeler; m.5 işleme şartları (açık rıza, sözleşmenin ifası, meşru menfaat); m.7 silme; m.8 yurt içine aktarım; m.9 yurt dışına aktarım (7499 sayılı Kanunla değişik); m.10 aydınlatma yükümlülüğü; m.11 ilgili kişinin hakları; m.13 başvuru ve otuz gün; m.14 Kurula şikâyet ve süreleri; m.15 Kurulun şikâyet üzerine veya re'sen incelemesi; m.16 Veri Sorumluları Sicili; m.18 idari para cezaları.

Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ m.5: başvuru yazılı olarak, kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza, ilgili kişinin daha önce bildirdiği ve sistemde kayıtlı e-posta adresi ya da başvuru amacına yönelik yazılım ile yapılır. Veri Sorumluları Sicili Hakkında Yönetmelik: yurt dışında yerleşik veri sorumlusunun temsilcisi, Türkiye'de yerleşik bir tüzel kişi ya da T.C. vatandaşı bir gerçek kişidir.

Çerez Uygulamaları Hakkında Rehber (Kişisel Verileri Koruma Kurumu, ilk yayın 20 Haziran 2022; güncel sürüm KVKK Yayınları No: 69, Temmuz 2025): çerez türleri, zorunlu çerez ölçütleri, açık rıza gerektiren ve gerektirmeyen senaryolar, 5809 sayılı Elektronik Haberleşme Kanunu ile ilişki, mobil uygulamalar. Rehber tavsiye niteliğindedir; Kurul kararlarında ölçüt olarak kullanılır. Güncel metin Kurumun sitesinde yayımlanır; bu belge rehberin tarihli sürümüne bağlı bir ifade içermez.

Kurul kararları: 27.02.2020 tarihli ve 2020/173 sayılı karar (çerezle işlemenin kişisel veri işleme olduğu, çerez aydınlatmasının yetersizliği, yurt dışına aktarım); 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı (aydınlatma ile açık rıza metinlerinin ayrı düzenlenmesi, kopya ve genel metinlerin hukuka aykırılığı; Resmî Gazete 24.03.2026). Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ve Kurulun 04.06.2024 tarihli ve 2024/959 sayılı kararıyla kabul edilen standart sözleşme metinleri; Standart Sözleşme Bildirim Modülü. Bu belgenin hazırlandığı tarihte yapılan araştırmada Kurulun bir ülke için ilan ettiği yeterlilik kararı bulunamadı; yeterlilik kararına dayanmadan önce kvkk.gov.tr'den güncel durumu kontrol edin.

5809 sayılı Elektronik Haberleşme Kanunu m.51 elektronik haberleşme sektöründe kişisel verilerin işlenmesini düzenler; bilgi toplumu hizmetlerini ayrıca düzenlemediğinden internet sitelerindeki çerezlere 6698 sayılı Kanun uygulanır (rehberdeki değerlendirme). İşletmeci iseniz 5809 sayılı Kanun ve ilgili yönetmelik ayrıca uygulanır.

Güncellik: Kanun m.9 değişikliği 2024'te yürürlüğe girmiş, standart sözleşme bildirim modülü 2024 sonunda açılmış, 2026/347 sayılı ilke kararı 2026'da yayımlanmıştır. İdari para cezası tutarları her yıl yeniden değerleme oranıyla değişir; bu belgede tutar yazılmaz. Karmaşık yapılarda (çok sayıda reklam ortağı, grup şirketleri arası aktarım, çocuklara yönelik site) bir hukuk uzmanından destek alın.