KVKK Çerez Onayı Zorunlu mu? 2026 İçin Net Cevap

Web sitesi sahiplerinin en sık sorduğu sorulardan biri şu: KVKK çerez onayı zorunlu mu, yoksa bir çerez bandı koymak yeterli mi? Kısa cevap şöyle: sitenizde yalnızca sitenin çalışması için gerekli çerezler varsa onay almanız gerekmeyebilir; ama analitik, reklam ya da pazarlama amaçlı çerezler kullanıyorsanız, kural olarak ziyaretçinin açık rızasını almanız gerekir. Bu yazıda bu ayrımın nereden geldiğini, hangi çerezin hangi gruba girdiğini ve uygun bir çerez bandının nasıl görünmesi gerektiğini anlatıyoruz. Teknik kurulum tarafında ise TiboKVKK çerez onayı eklentisinin neler yaptığına değineceğiz.

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Sitenizdeki veri işleme faaliyetleri farklılık gösterebileceği için kendi durumunuz için bir KVKK uzmanına ya da avukata danışmanızı öneririz.

Dayanak: 6698 sayılı Kanun ve Kurul’un çerez rehberi

Türkiye’de kişisel verilerin işlenmesi 6698 sayılı Kişisel Verilerin Korunması Kanunu ile düzenlenir. Çerezler aracılığıyla toplanan bilgiler (cihaz tanımlayıcıları, gezinme davranışı, IP adresi gibi) kişiyle ilişkilendirilebildiği ölçüde kişisel veri sayılabilir. Kişisel Verileri Koruma Kurumu 2022 yılında “Çerez Uygulamaları Hakkında Rehber” yayımlayarak web sitelerindeki çerez kullanımına dair yaklaşımını ortaya koydu. Rehber bir kanun metni değildir, ancak Kurul’un bu konudaki değerlendirmelerini anlamak için temel kaynaktır.

Kanunda kişisel veri işlemenin şartları sayılır; açık rıza bunlardan biridir ve diğer şartların bulunmadığı durumlarda gerekir. Ayrıca veri sorumlusunun, veriyi hangi amaçla işlediğini ilgili kişiye anlatma yükümlülüğü, yani aydınlatma yükümlülüğü bulunur. Çerez bandı ve çerez politikası, pratikte bu iki yükümlülüğün web sitesindeki karşılığıdır.

Zorunlu çerezler ve onaya tabi çerezler

Rehberin yaklaşımında temel ayrım, çerezin sitenin çalışması ve kullanıcının açıkça talep ettiği hizmetin sunulması için kesinlikle gerekli olup olmadığıdır. Kesinlikle gerekli çerezler için açık rıza aranmaz; ancak bu çerezler hakkında da aydınlatma yapılmalıdır. Diğer çerezler ise kural olarak açık rızaya tabidir.

Tablodaki ayrım genel bir çerçevedir. Bir çerezin hangi gruba girdiği, sağlayıcısına ve kullanım amacına göre değişebilir; özellikle işlevsel çerezlerde sınır her zaman net değildir. Şüphede kaldığınız çerezleri onaya tabi tutmak daha güvenli bir yaklaşımdır.

Peki “bu siteyi kullanarak çerezleri kabul etmiş sayılırsınız” yeterli mi?

Hayır, bu yaklaşım rehberdeki açık rıza anlayışıyla bağdaşmaz. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir rızadır. Siteyi gezmeye devam etmek, sayfayı kaydırmak ya da bandı kapatmak bu şartları karşılamaz. Rehberde öne çıkan ilkeleri şöyle özetleyebiliriz:

• Önceden işaretli kutu olmamalı: Analitik ve pazarlama kategorileri varsayılan olarak kapalı gelmeli.
• Reddetmek kabul etmek kadar kolay olmalı: “Kabul et” düğmesi parlak, “Reddet” gizli bir bağlantı olursa kullanıcı yönlendirilmiş olur.
• Onaydan önce kod çalışmamalı: Ziyaretçi izin vermeden analitik ya da reklam etiketleri yüklenmemeli.
• Kategori bazında seçim: Kullanıcı analitiğe izin verip pazarlamayı reddedebilmeli.
• Tercih değiştirilebilmeli: Verilen onay sonradan geri alınabilmeli.

Bu ilkeleri uygulamak, yalnızca bir bant görseli eklemekten fazlasını gerektirir: çerez bırakan kodların gerçekten onaya bağlanması gerekir. Adım adım kurulumu KVKK çerez onayı nasıl yapılır yazımızda anlattık.

Sitenizde hangi çerezler var? Hızlı bir envanter

“Bize onay gerekir mi?” sorusunun cevabı, sitenizde gerçekte neyin çalıştığına bağlıdır. Çoğu WordPress sitesinde sahibinin bile farkında olmadığı üçüncü taraf kodlar bulunur. Şu kontrolleri yapın:

1. Google Analytics, Google Tag Manager ya da Google Ads etiketi var mı?
2. Meta Pixel, TikTok ya da LinkedIn etiketi eklendi mi?
3. Hotjar, Clarity gibi kayıt ve ısı haritası araçları kullanılıyor mu?
4. Sayfalara YouTube videosu ya da Google Haritalar gömülü mü?
5. Canlı destek ya da sohbet eklentisi var mı?
6. E-ticaret, üyelik veya form eklentileri hangi çerezleri bırakıyor?

Bu listeden tek bir “evet” bile çıkıyorsa, büyük olasılıkla onaya tabi çerez kullanıyorsunuz demektir. Yalnızca kendi sunucunuzda çalışan, ziyaretçi takibi yapmayan basit bir tanıtım sitesi ise zorunlu çerezlerle yetinebilir; ama yine de bir çerez politikası ve aydınlatma metni yayımlamanız gerekir.

Google Consent Mode v2 ile ilişkisi

KVKK’dan ayrı olarak, Google reklam ve ölçüm ürünlerini kullanan siteler için Consent Mode v2 de gündemde. Bu, ziyaretçinin onay durumunu Google etiketlerine bildiren bir mekanizmadır. KVKK yükümlülüğünü kendi başına karşılamaz, ancak doğru bir onay bandıyla birlikte çalıştığında reklam ve ölçüm araçlarının onay durumuna göre davranmasını sağlar. Ayrıntıları onay kaydı ve Google Consent Mode v2 yazımızda bulabilirsiniz.

Onay kaydı: “Onay aldım” nasıl kanıtlanır?

Açık rızanın alındığını ispat yükü genel olarak veri sorumlusundadır. Bu yüzden yalnızca onayı almak değil, kimin, ne zaman, hangi kategorilere izin verdiğini kaydedebilmek de önemlidir. Bir şikâyet ya da başvuru durumunda bu kayıtlar sizin lehinize bir belge olur. Kayıtları ne kadar süre saklayacağınızı da veri saklama politikanızla uyumlu biçimde belirlemelisiniz.

Uygulamada sık görülen hatalar

Çerez bandı kurulmuş sitelerde bile bazı hatalar sık tekrarlanır. En yaygın olanı, bandın yalnızca görsel olarak eklenmesi ve Analytics ya da Pixel kodlarının sayfa açılır açılmaz çalışmaya devam etmesidir. Ziyaretçi “Reddet” dese bile kod zaten çalışmış olur. İkinci sık hata, çerez politikasının bir başka siteden kopyalanıp sitede gerçekte kullanılmayan araçları listelemesi ya da kullanılan araçları hiç anmamasıdır. Üçüncüsü ise tercihleri sonradan değiştirmek için bir bağlantının bulunmamasıdır.

• Bant var, ama kodlar onaydan önce yükleniyor
• Reddet seçeneği yalnızca ikinci katmanda, küçük bir bağlantı olarak duruyor
• Analitik ve pazarlama kutuları önceden işaretli geliyor
• Çerez politikası güncel değil ya da başka siteden kopyalanmış
• Footer’da “Çerez tercihleri” bağlantısı yok

Bu hataları fark etmenin kolay bir yolu, tarayıcınızın geliştirici araçlarını açıp siteyi gizli pencerede ziyaret etmektir. Hiçbir seçim yapmadan önce hangi çerezlerin oluştuğuna ve hangi üçüncü taraf adreslere istek gittiğine bakın. Zorunlu olmayan bir çerez görüyorsanız, kodlarınızın onaya bağlanması gerekiyor demektir.

Bir de bandın metnine dikkat edin. “Size daha iyi hizmet verebilmek için” gibi genel ifadeler yerine hangi amaçla hangi araçların kullanıldığını sade bir dille anlatın ve ayrıntı için çerez politikasına bağlantı verin. Ziyaretçinin neye izin verdiğini anlaması, rızanın bilgilendirmeye dayalı olmasının temel şartıdır.

TiboKVKK ne yapar? Ücretsiz ve Pro farkı

TiboKVKK, Kurul’un çerez rehberindeki ilkeler gözetilerek hazırlanmış bir WordPress eklentisidir. Ücretsiz sürümde Kabul, Reddet ve Tercihler düğmeleri bulunur; Reddet, Kabul kadar görünür. Zorunlu, işlevsel, analitik ve pazarlama olmak üzere dört kategori ayrı ayrı yönetilir ve her kategoriye yapıştırdığınız kodlar ziyaretçi izin vermedikçe çalışmaz. Aydınlatma metni ve çerez politikası sihirbazı ile yorum ve üyelik formlarına onay kutusu ekleyen kısa kod da ücretsiz sürümdedir. Eklenti dışarıya veri göndermez. Ücretsiz sürüm WordPress.org onayından sonra yayımlanacak.

Pro sürüm, ücretsiz eklentinin üzerine kurulan bir ektir ve yıllık lisansla satılır: tek site için ₺990, iki site için ₺1.590, beş site için ₺2.990. Lisans bir yıl güncelleme ve destek içerir; süre dolduğunda Pro özellikleri kapanır, ücretsiz özellikler çalışmaya devam eder. Ödeme PayTR 3D Secure ile alınır ve lisans anahtarı e-postanıza gelir. Pro lisansı yalnızca sitenizin canlı alan adında etkinleşir, yerel ya da test kurulumlarında açılmaz. Deneme sürümü yoktur; bunun yerine ürün sayfasındaki canlı önizlemede dokuz bant tasarımını sitenizde nasıl görüneceğiyle deneyebilirsiniz. Kurulum adımları TiboKVKK kurulum dokümanında, Consent Mode ayarları ise bu sayfada anlatılıyor.

Sağlık, hukuk ya da psikoloji gibi hassas veri işlenebilecek alanlarda çalışıyorsanız, çerezlerin yanı sıra form ve randevu süreçlerine de dikkat etmelisiniz; psikolog web sitesi ve KVKK yazımız bu konuda örnek bir çerçeve sunuyor.

Sık sorulan sorular

KVKK çerez onayı her site için zorunlu mu?

Yalnızca kesinlikle gerekli çerezler kullanan bir site için açık rıza genellikle aranmaz, ancak aydınlatma yine gerekir. Analitik, reklam veya pazarlama çerezleri kullanılıyorsa kural olarak açık rıza alınmalıdır.

Google Analytics için onay gerekir mi?

Kurul’un rehberindeki yaklaşıma göre analitik çerezler kesinlikle gerekli çerezler arasında sayılmaz ve kural olarak açık rızaya tabidir. Bu nedenle Analytics kodunun onaydan önce çalışmaması gerekir.

“Siteyi kullanarak çerezleri kabul edersiniz” bandı yeterli mi?

Hayır. Açık rıza belirli, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Gezinmeye devam etmek ya da bandı kapatmak bu şartları karşılamaz.

Reddet düğmesi koymak zorunda mıyım?

Rehberdeki yaklaşım, onay vermenin ve vermemenin eşit kolaylıkta olmasını gerektirir. Reddet seçeneğini gizlemek ya da zorlaştırmak bu ilkeye aykırı düşer.

Ceza riski var mı?

KVKK kapsamında yükümlülüklerin yerine getirilmemesi idari yaptırımlara konu olabilir. Tutarlar her yıl güncellendiği ve somut olaya göre değiştiği için kendi durumunuzu bir uzmana danışmanızı öneririz.

TiboKVKK kurmak beni tamamen uyumlu yapar mı?

Hiçbir eklenti tek başına tam uyum garantisi vermez. TiboKVKK çerez onayı, kod engelleme ve aydınlatma metni için teknik altyapı sağlar; veri envanteri, saklama politikası ve sözleşmeler gibi konular sizin ve danışmanınızın sorumluluğundadır.