KVKK Çerçevesinde Çerez Kullanımı ve Dijital Reklam: Uyum Rehberi

KVKK çerçevesinde çerez kullanımı, internet sitelerinin ziyaretçi cihazlarına yerleştirdiği çerezler aracılığıyla yapılan kişisel veri işlemenin 6698 sayılı Kişisel Verilerin Korunması Kanunu'na uygun biçimde yürütülmesini ifade eder. Dijital reklamcılıkta hedefleme, yeniden pazarlama ve kampanya ölçümü büyük ölçüde çerezlere dayandığından, çerez yönetimi reklam faaliyetlerinin hukuki dayanağını doğrudan belirleyen bir konudur.

Kanun çerezleri ayrıca düzenlememektedir. Bu alandaki temel yol gösterici belge, Kişisel Verileri Koruma Kurumu'nun 2022 yılında yayımladığı Çerez Uygulamaları Hakkında Rehber'dir. Rehberin Kurum'un internet sitesinde yer alan güncel baskısı (KVKK Yayınları No: 69, Temmuz 2025), yurt dışına aktarım bölümünde 2024 yılında yapılan kanun değişikliklerini de yansıtmaktadır. Rehber kendisini tavsiye niteliğinde ve yol gösterici bir doküman olarak tanımlasa da ortaya koyduğu ölçütler Kişisel Verileri Koruma Kurulu kararlarında da esas alınmaktadır.

Bu yazıda DRM Yayın Kurulu tarafından, rehberin ilkeleri dijital reklam uygulamaları açısından değerlendirilmekte ve çerez paneli tasarımına ilişkin uygulama önerileri sunulmaktadır.

KVKK kapsamında çerez kullanımı hangi kurallara tabidir?

Rehbere göre 5809 sayılı Elektronik Haberleşme Kanunu'nun 51. maddesinin üçüncü fıkrasında yer alan ve kullanıcıların terminal cihazlarında bilgi saklanmasını açık rızaya bağlayan hüküm, yalnızca elektronik haberleşme hizmeti sunan işletmecileri kapsamaktadır. Bunların dışındaki internet sitesi işletenler bakımından çerezler aracılığıyla yapılan kişisel veri işleme, 6698 sayılı Kanun'un genel hükümlerine tabidir.

Rehber, açık rıza gerekip gerekmediğinin belirlenmesinde iki ölçüt önerir:

• Kriter A: Çerezin yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması,
• Kriter B: Çerez kullanımının, kullanıcının hizmet almak için açıkça talep ettiği bilgi toplumu hizmeti için kesinlikle gerekli olması.

Veri sorumlusu öncelikle çerezle yapılan işlemenin Kanun'un 5. veya 6. maddesinde sayılan açık rıza dışındaki şartlardan birine dayanıp dayanmadığını değerlendirmelidir. Örneğin alışveriş sepetine ürün eklenmesi sırasında çerezle yapılan işleme, sözleşmenin kurulması veya ifası şartına dayanabilir. Meşru menfaat şartına dayanılacaksa, kişinin temel hak ve özgürlükleri ile veri sorumlusunun menfaati arasında bir denge testi yapılması tavsiye edilir. Bu şartlardan hiçbiri karşılanmıyorsa işleme açık rızaya dayanmalıdır.

Rehberin kapsamı çerezlerle sınırlıdır; piksel, cihaz parmak izi, yerel depolama (local storage) ve işaretçi (beacon) gibi benzer teknolojiler için ayrıca yönlendirme yapılmamaktadır. Dijital reklamcılıkta yaygın olarak kullanılan bu araçlarla kişisel veri işlenmesi hâlinde ise Kanun'un genel hükümleri uygulanmaya devam eder.

Zorunlu, analitik ve pazarlama çerezleri nasıl sınıflandırılır?

Rehber, çerezleri süresine göre oturum ve kalıcı çerezler; tarafına göre birinci ve üçüncü taraf çerezler; kullanım amacına göre ise zorunlu, işlevsel, performans-analitik ve reklam-pazarlama çerezleri olarak sınıflandırır. Aşağıdaki tablo, rehberde yer alan kullanım senaryolarını açık rıza ihtiyacı bakımından özetlemektedir.

Tablodaki ayrım, çerezin teknik niteliğinden çok kullanım amacına dayanır. Aynı kimlik doğrulama çerezi oturum süresince Kriter B kapsamında değerlendirilirken, tarayıcı oturumları arasında kalıcı olarak saklanması bu kapsamın dışında kalır; rehber bu durumda kullanıcıya "beni hatırla" gibi ayrı bir seçenek sunulmasını önermektedir. Zorunlu çerezlerin pazarlama amacıyla kullanılmaması gerektiği de rehberde ayrıca vurgulanmaktadır.

Dijital reklam çerezleri neden açık rıza gerektirir?

Rehbere göre çevrim içi davranışsal reklamcılık; kişilerin internetteki faaliyetlerinin izlenmesi, bu faaliyetlerin analiz edilerek profillenmesi ve profillenen kişinin uygun reklamlarla eşleştirilmesi aşamalarından oluşur. Bu işlemlerin hiçbiri kullanıcının açıkça talep ettiği bir hizmetin parçası olmadığından, davranışsal reklam çerezleri açık rıza gerektirir. Rıza gerekliliği; gösterim sıklığı, finansal kayıt tutma, reklam ortaklığı, tıklama sahtekârlığının tespiti, araştırma ve pazar analizi, ürün geliştirme ve hata ayıklama amaçlı reklam çerezlerini de kapsar.

Sosyal ağların sitelere yerleştirilen eklentileri de aynı değerlendirmeye tabidir. Beğenme ve paylaşma gibi işlevler, sosyal ağ hesabında oturum açmış kullanıcılar için Kriter B kapsamında görülebilir. Ancak bu eklentilerin reklam veya analitik amaçlı takip için kullanılması açık rıza gerektirir; rehbere göre sosyal ağ hesabı bulunmayan veya oturumu kapalı kullanıcılara gösterilen sayfalara varsayılan olarak üçüncü taraf çerez yerleştirilmemelidir.

Reklam teknolojilerinde iki ek husus öne çıkar. Birincisi sorumluluğun paylaşımıdır: Üçüncü taraf çerezlerinde hem site sahibi hem de çerezi yerleştiren üçüncü taraf, kullanıcının bilgilendirilmesinden ve rızasının alınmasından sorumludur; rehber bu konunun taraflar arasındaki sözleşmelerde düzenlenmesini önerir. İkincisi yurt dışına aktarımdır: Çerezler aracılığıyla yurt dışında yerleşik şirketlere veri aktarılıyorsa, aktarımın Kanun'un 9. maddesine ve 10.07.2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olması gerekir.

Kurul'un 23.12.2022 tarihli ve 2022/1358 sayılı karar özetinde, reklam ve istatistik amaçlı takip çerezleri için aydınlatma yapılmadığı ve açık rıza alınmadığı tespit edilen bir site hakkında idari para cezasına hükmedildiği, zorunlu olmayan çerezler için varsayılan olarak kapalı bir opt-in mekanizmasının uygulanması gerektiği belirtilmiştir.

Hukuka uygun açık rıza hangi unsurları taşımalıdır?

Kanun açık rızayı; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Rehber bu unsurları çerezler açısından şöyle somutlaştırır:

• Belirli konuya ilişkin olma: Çerezin kullanım amacı, amaçla ölçülü süresi ve birinci ya da üçüncü taraf olup olmadığı belirtilmelidir. "Kişisel verilerimin işlenmesini kabul ediyorum" gibi genel bir ifade açık rıza sayılmaz.
• Bilgilendirmeye dayanma: Rıza, aydınlatma yükümlülüğü yerine getirildikten sonra ve bundan ayrı olarak alınmalıdır.
• Özgür irade: Rıza her zaman geri alınabilir olmalı, rıza yönetim paneline kolayca erişilebilmelidir.
• Aktif eylem: Rıza, kullanıcının olumlu bir eylemiyle verilmelidir. Siteye girilmiş olması, çerezlere rıza verildiği anlamına gelmez.
• Ayrı alınma: Reklam çerezlerine ilişkin rıza, kullanım koşulları veya gizlilik bildirimi gibi belgelere iliştirilemez ve sözleşmenin kurulmasının ön koşulu olarak dayatılamaz.

Çerez duvarları, yani tüm çerezler kabul edilmeden içeriğe erişimi engelleyen uygulamalar, rızayı hizmetin ön koşulu hâline getirdiğinde geçerli bir açık rıza ortaya çıkmayabilir. Rehber, her olayın kendi koşullarında değerlendirilmesi kaydıyla, kullanıcılara çerez duvarı dışında adil alternatifler sunulabileceğini de belirtmektedir.

Çerez banner'ı tasarlanırken hangi ilkelere uyulmalıdır?

Çerez paneli, rehberin ilkelerinin kullanıcı arayüzüne yansıdığı noktadır. Rehberdeki iyi uygulama örnekleri ve Kurul kararları dikkate alınarak aşağıdaki tasarım ilkeleri önerilmektedir:

1. Panel, siteye ilk girişte pop-up veya bant olarak görüntülenir ve çerez aydınlatma metnine bağlantı içerir.
2. "Kabul et", "Reddet" ve "Tercihler" düğmeleri renk, büyüklük ve punto bakımından eşit ağırlıkta sunulur.
3. Açık rıza gerektiren çerez kategorileri tercihler ekranında varsayılan olarak pasif gelir.
4. Analitik, pazarlama ve sosyal medya gibi her farklı amaç için ayrı seçim imkânı tanınır.
5. Açık rıza gerektiren çerezler ve bunları çalıştıran etiketler, rıza alınmadan önce yüklenmez.
6. Tercihler ekranında her çerezin adı, kullanım amacı, süresi ve birinci veya üçüncü taraf olup olmadığı gösterilir.
7. Rızanın geri alınabilmesi için içeriği engellemeyen küçük bir ikon veya bant sayfanın bir köşesinde sürekli erişilebilir tutulur.
8. Rıza yorgunluğunu önlemek için tercih her ziyarette yeniden sorulmaz; çerez ömrüyle orantılı aralıklarla hatırlatılır.
9. Hizmet çocuklara hitap ediyorsa metinler onların algı düzeyine uygun, sade bir dille hazırlanır.

Bu ilkelere ek olarak, kullanıcıların verdiği rıza ve ret tercihlerinin tarih bilgisiyle kayıt altına alınması, olası bir inceleme sırasında ispat kolaylığı sağlar. Reklam ve pazarlama faaliyetlerinde şeffaflığa ilişkin genel çerçeve için DRM'nin Dijital Reklam Etik ve Şeffaflık İlkeleri yayınına başvurulabilir.

Çerez aydınlatma metni ve çerez politikası nasıl hazırlanmalıdır?

Aydınlatma, Kanun'un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca, hangi hukuki sebebe dayanılırsa dayanılsın en geç verinin elde edildiği anda yapılmalıdır. Site ziyaretiyle birlikte çerezler aracılığıyla veri işlenmeye başlandığından aydınlatmanın siteye giriş aşamasında sunulması gerekir; Kurul'un 27.02.2020 tarihli ve 2020/173 sayılı kararında, girişte veri işlemeye ilişkin bir bilgilendirme sunulmamasının ve izin istenmemesinin hem aydınlatma yükümlülüğüne hem de açık rıza şartına aykırılık oluşturduğu değerlendirilmiştir.

Çerez aydınlatma metninde; veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları yer almalıdır. Rehber ayrıca her çerezin adı, kullanım amacı, süresi ve birinci veya üçüncü taraf olduğu bilgisine açıkça yer verilmesini tavsiye eder. Çerez sürelerinin belirlenmesinde Kanun'un 4. maddesindeki genel ilkeler, özellikle amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi gözetilmelidir.

Karmaşık ve pek çok konuyu bir arada içeren bir gizlilik bildirimi, çerezlere ilişkin aydınlatmanın yapıldığı şeklinde yorumlanmamaktadır. Bu nedenle çerez aydınlatma metninin kolay erişilebilir, ayrı ve anlaşılır bir metin olarak sunulması önerilir. Sitede bulunması gereken diğer metinlerle ilişkisi e-ticaret sitesi yasal metinler yazısında, ticari ileti izinleriyle farkı ise ticari elektronik ileti ve İYS rehberinde ele alınmıştır. Yazıda geçen kavramların tanımları için DRM Sözlüğü incelenebilir.

Sıkça Sorulan Sorular

Kaynaklar

Bu içerik genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Mevzuat bilgileri yayım tarihinde yürürlükte olan düzenlemelere göredir; somut durumlar için bir hukuk danışmanına başvurulması önerilir. Hata veya güncelleme bildirimleri için iletişim sayfasını kullanabilirsiniz.