Bir siteye girer girmez karşınıza çıkan çerez penceresinde “Hepsini kabul et” büyük ve renkli, “Reddet” ise gri ve küçükse, bu bir tasarım tercihi değil, sizi kabul etmeye yönlendiren bir yöntem. Kişisel Verileri Koruma Kurumu’nun (KVKK) Çerez Uygulamaları Hakkında Rehber’i bu konuda açık: Zorunlu olmayan çerezler için rıza, bilinçli bir onayla alınmalı ve “kabul et”, “reddet”, “tercihler” seçenekleri eşit derecede sunulmalı.

Kısaca

  • Zorunlu çerezler (oturum, form, gizlilik tercihi) rıza gerektirmez; ama pazarlama için kullanılamaz.
  • Reklam ve analitik gibi diğer çerezler için açık rıza gerekir ve kutular başlangıçta kapalı gelmelidir.
  • KVKK, “kabul et”, “reddet” ve “tercihler” düğmelerinin renk, büyüklük ve punto açısından eşit sunulmasını iyi uygulama sayıyor.
  • “Siteyi kullanarak çerezleri kabul etmiş sayılırsınız” yaklaşımı geçerli rıza değil.
  • Avrupa’da benzer ihlaller için Google’a 150 milyon, Facebook’a 60 milyon euro ceza verildi.

Çerez nedir, neden önemli?

Çerezler, ziyaret ettiğiniz sitenin tarayıcınıza bıraktığı küçük dosyalar. Oturumunuzu açık tutmak ya da sepetinizi hatırlamak gibi işlevleri var. Ama aynı teknoloji, sizi siteden siteye izleyen reklam profillerinin de temeli. KVKK rehberi çerezleri süresine göre (tarayıcı kapanınca silinen oturum çerezleri ve belirli süre kalan kalıcı çerezler) ve amacına göre (zorunlu, işlevsel, performans-analitik, reklam/hedefleme) ayırıyor.

Takip yalnızca çerezle de sınırlı değil. Yerel depolama, izleme pikselleri, cihaz parmak izi ve mobil reklam kimlikleri aynı ekonominin parçaları. Bu yüzden “çerezleri kabul ettim” demek, çoğu zaman bundan çok daha fazlasına izin vermek anlamına geliyor.

KVKK rehberi ne diyor?

Kurum’un Temmuz 2025 tarihli rehberine (KVKK Yayınları No: 69) göre öne çıkan kurallar şunlar:

  • Zorunlu çerezler: Kullanıcının talep ettiği hizmetin (giriş yapma, form doldurma, gizlilik tercihlerinin hatırlanması gibi) yerine getirilmesi için gerekli olanlar. Genel olarak açık rıza dışındaki işleme şartlarına dayanabilirler, ancak pazarlama amacıyla kullanılmamalılar.
  • Opt-in zorunluluğu: Kişinin verisinin işlenmesine otomatik onay verdiği kabul edilip sonradan vazgeçme imkânı tanınan bir sistem değil; bireyin bilinçli eylemiyle önceden onay verdiği bir sistem kullanılmalı.
  • Kutular kapalı gelmeli: Açık rıza gerektiren çerezlerin yönetim panelinde ilk etapta pasif olması önemli.
  • Eşit düğmeler: Siteye girildiğinde çıkan panelde “kabul et”, “reddet” ve “tercihler” düğmelerinin renk, büyüklük ve punto açısından eşit sunulması iyi uygulama örneği.
  • Sözleşmeye gömmek yok: Reklam çerezleri için rıza, kullanım koşulları ya da gizlilik bildirimi içine iliştirilemez ve hizmetin ön koşulu olarak dayatılamaz.
  • Kolay geri alma: Rıza, verildiği kadar kolay geri alınabilmeli. Sayfanın köşesinde küçük bir simge ya da bant iyi örnek olarak gösteriliyor.
  • Rıza yorgunluğu: Her girişte yeniden sormak da sorun; tercih, çerezin ömrüyle orantılı aralıklarla hatırlatılmalı. Çerezlerin ne kadar süre kalacağı da keyfî değil; rehber, sürelerin KVKK’nın 4. maddesindeki ölçülülük ve amaçla sınırlılık ilkelerine göre belirlenmesini istiyor.

Çerez duvarı: “Kabul et ya da çık”

Bazı siteler, tüm çerezlere onay vermedikçe içeriği göstermiyor. Rehber bu “çerez duvarları”nı ayrıca ele alıyor: Siteye erişim, çerezlere rıza şartına bağlanarak kullanıcıya dayatılırsa kişinin özgür iradesi sakatlanabilir ve bu durumda alınan rıza geçerli sayılmaz. Kurum, her olayın ayrıca değerlendirileceğini ve kullanıcılara çerez duvarı dışında adil alternatifler sunulabileceğini de not ediyor.

Rehber, üçüncü taraf çerezlerinde hem site sahibinin hem de üçüncü tarafın kullanıcıyı bilgilendirme ve rıza alma sorumluluğu taşıdığını da vurguluyor. Yani “o çerez reklam ağının, bizim değil” savunması tek başına yeterli değil.

Avrupa’dan örnek: “Reddet” düğmesi 210 milyon euroya mal oldu

Fransa’nın veri koruma otoritesi CNIL, Ocak 2022’de Google’a 150 milyon euro, Facebook’a 60 milyon euro ceza verdi. TechCrunch’ın aktardığına göre gerekçe, google.fr, youtube.com ve facebook.com’da çerezleri reddetmenin, kabul etmek kadar kolay olmamasıydı: Kabul tek tıklaydı, ret için birkaç adım gerekiyordu. CNIL, kullanıcıların kafasını karıştıran düğme adlarının da reddetmenin mümkün olmadığı hissini yarattığını tespit etti. CNIL ayrıca iki şirkete, Fransa’daki kullanıcılar için çerezleri reddetmeyi kabul etmek kadar basit hâle getirmeleri için üç ay süre verdi; uymamaları hâlinde gecikilen her gün için 100 bin euro ek ceza öngördü. Mesaj netti: Rıza ancak özgürce verilebiliyorsa rızadır.

Türkiye’de durum

Rehber, çerezlerin KVKK’da açıkça düzenlenmediğini, 5809 sayılı Elektronik Haberleşme Kanunu’nun ilgili hükmünün ise yalnızca BTK’dan yetki alan işletmecilere uygulanabileceğini belirtiyor. Yani çoğu internet sitesi için temel çerçeve KVKK’nın açık rıza ve aydınlatma kuralları. Pratikte Türkçe sitelerin önemli bir kısmında hâlâ “siteyi kullanmaya devam ederek çerezleri kabul etmiş olursunuz” metinleri görülüyor. Rehber, “siteyi ziyaret ederek bu uygulamaları kabul etmektesiniz” türü ifadelerin geçerli bir açık rıza oluşturmadığını örnekleriyle anlatıyor.

Bir çerez panelinde neye bakmalısınız?

  • “Reddet” düğmesi ilk ekranda, “Kabul et” kadar görünür mü?
  • Reklam ve analitik kutuları önceden işaretli mi?
  • Üçüncü taraf listesi açık mı, yoksa belirsiz bir “iş ortakları” ifadesi mi var?
  • Tercihinizi sonradan değiştirmek için bir simge ya da bağlantı var mı?
  • Paneli kapatınca varsayılan olarak ne oluyor?

Kendinizi korumak için

  • Tarayıcınızın gelişmiş izleme korumasını açın; üçüncü taraf çerezleri engelleyin.
  • Bankacılık ve genel gezinme için ayrı tarayıcı profilleri kullanın.
  • Telefonunuzda reklam kimliğini sıfırlayın ya da sınırlayın; gereksiz uygulama izinlerini kapatın.
  • Reddetmenin mümkün olmadığı sitelerde alternatif bir kaynak kullanmayı düşünün.
  • Bir sitenin çerez uygulamasının KVKK’ya aykırı olduğunu düşünüyorsanız önce siteye başvurun; yanıt alamazsanız Kurul’a şikâyet hakkınız var.

Not: CyberNews da Google AdSense aracılığıyla reklam gösteren bir site. Hangi çerezleri hangi amaçla kullandığımızı Gizlilik ve Çerez Politikası sayfasında açıklıyoruz.

Kaynaklar: KVKK – Çerez Uygulamaları Hakkında Rehber (Temmuz 2025), TechCrunch – CNIL’in Google ve Facebook cezaları (6 Ocak 2022), 6698 sayılı KVKK.