Web Sitemde Çerez (Cookie) İzni Almak Zorunda mıyım?

Web Sitemde Çerez (Cookie) İzni Almak Zorunda mıyım?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: Web sitesi çerez izni zorunlu mu sorusunun yanıtı çerezin türüne bağlıdır. Sitenin çalışması için zorunlu (teknik) çerezler rıza gerektirmez. Buna karşılık pazarlama, hedefleme ve analitik çerezler kişisel veri işlediğinden, KVKK md. 5 uyarınca açık rıza ve KVKK md. 10 uyarınca aydınlatma gerektirir. Yani "her çerez için izin" değil, "kişisel veri işleyen çerez için izin" kuralı geçerlidir.

Belirleyici olan çerezin adı değil, kişisel veri işleyip işlemediği ve amacıdır.

---

1. Zorunlu Çerez ile Pazarlama Çerezi Ayrımı

Çerezler işleve göre ayrılır. Zorunlu (teknik) çerezler; oturum yönetimi, sepet, güvenlik gibi sitenin temel işlevleri için gereklidir ve rıza olmadan kullanılabilir. Bu çerezler, hizmetin sunulabilmesi için gerekli olduğundan ayrı bir hukuki sebebe dayanır.

Pazarlama, reklam hedefleme ve üçüncü taraf analitik çerezleri ise ziyaretçiyi izler ve profilini oluşturur. Bunlar zorunlu değildir; kişisel veri işledikleri için önceden açık rıza alınması gerekir.

Önemli: Site açılır açılmaz pazarlama çerezlerini yüklemek yaygın bir hatadır. Açık rıza, çerez fiilen çalışmadan önce alınmalıdır. Ziyaretçi seçim yapmadan çalışan hedefleme çerezleri, sonradan onay alınsa bile hukuka aykırı sayılır.

---

2. Açık Rıza ve Aydınlatma

İki yükümlülük birbirinden ayrıdır. Aydınlatma; hangi çerezin, hangi amaçla, hangi veriyi işlediğini ve verinin kimlerle paylaşıldığını ziyaretçiye önceden bildirmektir (KVKK md. 10). Açık rıza ise, zorunlu olmayan çerezler için ziyaretçinin bilgilendirilmiş ve özgür iradesiyle verdiği onaydır (KVKK md. 5).

Geçerli bir rıza; belirli bir konuya ilişkin, açık ve özgür iradeye dayanmalıdır. Önceden işaretlenmiş kutular veya "kabul etmeden devam edemezsiniz" biçimindeki koşullu yapılar, özgür iradeyi zedelediği için geçerli sayılmaz.

---

3. Çerez Politikası ve Yönetim Paneli

Sitede iki metin bulunmalıdır: bilgilendirici bir çerez politikası ve seçim yapılabilen bir çerez yönetim paneli. Panel; ziyaretçiye kategoriler bazında (zorunlu, işlevsel, analitik, pazarlama) onay verme ve reddetme imkanı sunmalıdır.

Reddetmek, kabul etmek kadar kolay olmalıdır. Kişisel Verileri Koruma Kurulu'nun yerleşik uygulamasında; yalnızca "kabul et" butonu sunan, reddetme seçeneğini zorlaştıran tasarımlar geçerli rıza sağlamaz. Çerez hukukunun ayrıntılı çerçevesi için çerez (cookie) hukuku makalesine bakılabilir.

---

4. Yurt Dışı Aktarım ve Yaptırım Riski

Üçüncü taraf analitik ve reklam çerezleri, veriyi çoğu zaman yurt dışındaki sunuculara aktarır. Bu durumda KVKK'nın yurt dışı aktarım rejimine uyum ayrıca gerekir; aydınlatma metninde aktarımın belirtilmesi gerekir.

Yükümlülüklere aykırılık idari para cezasına yol açar. Aydınlatma yükümlülüğünün ihlali ile veri güvenliği tedbirlerinin alınmaması, ayrı ceza kalemleri doğurabilir.

---

Uygulamada

En sık yapılan hata; hazır bir çerez bandını siteye ekleyip yükümlülüğün tamamlandığını sanmaktır. Banner görünse bile, arkada pazarlama çerezleri rızadan önce çalışıyorsa uyum sağlanmış olmaz. Teknik yapı ile metin birbirini tutmalıdır¹.

Pratik yol: önce sitedeki çerezleri kategorilere ayırıp envanter çıkarmak, zorunlu olmayanları rıza alınana kadar durdurmak ve reddetmeyi kabul kadar kolay hale getirmektir. Veri ihlali doğduğunda izlenecek adımlar için KVKK veri ihlali bildirimi nasıl yapılır? sorusuna bakılabilir.

---

İlgili içerikler için bkz. Dijital Pazarlama KVKK Uyum Rehberi, Çerez (Cookie) Hukuku, KVKK Veri İhlali Bildirimi Nasıl Yapılır?, Haksız Rekabet.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 5, md. 10, RG 07.04.2016/29677. ↩