Zorunlu olmayan reklam ve analiz çerezleri, kullanıcı tercih vermeden çalıştırılmamalıdır. Çerez paneli reddetmeyi kabul etmek kadar kolay kılmalı; her çerezin amacı, sağlayıcısı ve süresi açıklanmalıdır.
Kısa hukuki çerçeve#
6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca bir verinin işlenmesi için yalnız kullanıcıdan bir kutu işaretlemesini istemek yeterli değildir. Önce işlenen bilginin kişisel veri veya özel nitelikli kişisel veri olup olmadığı, işlemin amacı, veri sorumlusu, alıcılar ve saklama süresi belirlenir. Sonra uygun hukuki sebep seçilir ve bu sebebin şartları somut olayda gerçekten sağlanır.
Bu konu bakımından asıl test, işlemin söylenen amaç için gerekli olup olmadığıdır. Aynı sonuç daha az veriyle veya daha az müdahaleci bir yöntemle elde edilebiliyorsa kapsam daraltılmalıdır. Kuruluşun ticari kolaylığı, tek başına kişilerin temel haklarına ağır müdahaleyi haklı göstermez.
Uygulanacak temel kurallar#
- İşleme faaliyeti önce Kanunun 4. maddesindeki hukuka uygunluk, amaçla bağlılık, ölçülülük ve saklama ilkelerinden geçmelidir.
- Açık rıza, Kanunun 5, 6 veya 9. maddesindeki diğer dayanakların yerine otomatik olarak kullanılmamalıdır.
- Aydınlatma; veri sorumlusunun kimliğini, amacı, aktarım alıcılarını, yöntemi ve hukuki sebebi, ayrıca ilgili kişinin haklarını somut biçimde göstermelidir.
- Veri sorumlusu, hukuka uygunluğu yalnız politika metniyle değil sistem kaydı, sözleşme, erişim matrisi ve imha tutanağı gibi delillerle gösterebilmelidir.
Aydınlatma ve açık rıza nasıl ayrılır?#
Aydınlatma, kişiye seçenek sunulup sunulmamasından bağımsız olarak yerine getirilir. Açık rıza ise yalnız rıza hukuki sebebine dayanılan işlem için istenir; belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Sözleşmenin ifası veya kanuni yükümlülük gibi başka bir dayanak varsa aynı işlem için rıza istemek, kişiyi veri işlenmesinin kendi tercihine bağlı olduğu konusunda yanıltabilir.
Veri minimizasyonu ve saklama#
Toplanan her alan için 'bu veri olmadan amaç gerçekleşir mi?' sorusu sorulmalıdır. Saklama süresi yalnız 'mevzuat gereği' denilerek belirsiz bırakılamaz; ilgili mevzuat, uyuşmazlık riski ve işlem amacı kategori bazında eşleştirilmelidir. Süre bittiğinde silme, yok etme veya anonimleştirme yöntemi uygulanmalı ve işlem kanıtlanabilir olmalıdır.
Konuya özgü değerlendirme#
Bu grupta tasarımın kendisi hukuki sonucu belirler: reddet seçeneğinin görünürlüğü, varsayılan ayar, ayrı amaçlar için ayrı tercih ve rızayı geri alma yolu incelenir. Kullanıcıyı hizmetten mahrum bırakan ya da kabulü reddetmekten daha kolay yapan arayüz, özgür irade değerlendirmesinde veri sorumlusu aleyhine güçlü bir göstergedir.
Şartlar ve istisnalar#
Kanunun 28. maddesindeki tam ve kısmi istisnalar dar yorumlanır. Soruşturma, kovuşturma, yargılama veya infaz işlemi gibi özel bir istisna bulunabilir; fakat kurumun kamu kurumu olması bütün faaliyetlerini kendiliğinden Kanun dışına çıkarmaz. Benzer şekilde bir hakkın tesisi veya korunması için gerekli veri aktarımı mümkün olsa da, ilgisiz verilerin topluca paylaşılması bu dayanakla savunulamaz.
Üçüncü kişilerin verileri erişim talebinde yer alıyorsa talebin tamamen reddi yerine maskeleme, kısmi kopya, güvenli görüntüleme veya içerik dökümü düşünülmelidir. Özel nitelikli verilerde Kanunun güncel 6. maddesindeki şartlar ve Kurulun yeterli önlem düzenlemeleri ayrıca uygulanır.
Süreler ve başvuru yolu#
İlgili kişi önce veri sorumlusuna yazılı veya kabul edilen elektronik yöntemlerden biriyle başvurur. Veri sorumlusu en geç 30 gün içinde cevap vermelidir. Cevabın öğrenilmesinden itibaren 30 gün ve her durumda başvuru tarihinden itibaren 60 gün içinde Kurula şikayet edilebilir. Bu süreler Kurul şikayeti içindir; tazminat, ceza şikayeti veya sektörel başvuru yollarının süreleri ayrıca değerlendirilir.
İhlal veri sorumlusu tarafından öğrenilmişse, kanuni olmayan yollarla başkalarının eline geçen veriler bakımından Kurula bildirim için Kurulun 2019/10 sayılı kararında benimsenen 72 saat esas alınır. Her güvenlik olayı bildirim gerektirmeyebilir; risk değerlendirmesi, olay günlüğü ve bildirilmeme gerekçesi dosyalanmalıdır.
Uygulamalı örnek#
Bir haber sitesi daha sayfa açılır açılmaz analiz ve reklam çerezlerini yerleştirir; panelde 'kabul et' tek tık, 'reddet' ise üç alt menüdedir. Zorunlu olmayan çerezler tercih öncesinde durmalı ve topluca reddetme seçeneği kabul seçeneği kadar erişilebilir olmalıdır.
Bu örnekte doğru sonuç, yalnız rıza metninin bulunup bulunmadığına bakılarak verilemez. İşlemin hukuki dayanağı, gerekliliği, kapsamı, erişim yetkileri, saklama süresi ve başvuruya verilen cevabın içeriği birlikte incelenir.
Güncel ve dikkat çekici kararlar#
Kurulun 23 Aralık 2022 tarihli, 2022/1358 sayılı kararı#
Bir internet sitesinin çerezler için aydınlatma ve açık rıza sunmaması incelendi. Kurul, çerez türleri bakımından hukuki sebebin belirlenmesini ve aydınlatma metnindeki eksikliklerin giderilmesini istedi. Bu yazı bakımından karar, hukuki dayanak ile ölçülülüğün birlikte incelenmesi gerektiği yönünü açıklığa kavuşturur. Kararın tam metni YARGI PRO üzerinden getirilerek tarih, sayı, olay, sonuç ve gerekçe birlikte doğrulanmıştır. Resmi karar metni
Kurulun 10 Mart 2022 tarihli, 2022/229 sayılı kararı#
E-ticaret sitesi ve mobil uygulamadaki çerezler incelendi. Kurul, işlevsel çerezlerin talep edilen hizmet için gerçekten zorunlu olup olmadığının belirlenmesini; zorunlu değilse açık rıza alınmasını istedi. Bu yazı bakımından karar, aydınlatma, güvenlik ve ispat yükümlülüklerinin birbirinden bağımsız olduğu yönünü açıklığa kavuşturur. Kararın tam metni YARGI PRO üzerinden getirilerek tarih, sayı, olay, sonuç ve gerekçe birlikte doğrulanmıştır. Resmi karar metni
Kurulun 8 Ağustos 2024 tarihli, 2024/1361 sayılı kararı#
Kamera, ses, çerez ve pazarlama onayının birlikte yürütüldüğü olayda Kurul; zorunlu olmayan çerezlerin rızadan önce çalışmamasını, aydınlatma ile rızanın ayrılmasını ve pazarlama rızasının hizmetin ön şartı yapılmamasını istedi. Bu yazı bakımından karar, veri işleme sona erdiğinde düzeltme, sınırlama veya imha adımının belgelenmesi gerektiği yönünü açıklığa kavuşturur. Kararın tam metni YARGI PRO üzerinden getirilerek tarih, sayı, olay, sonuç ve gerekçe birlikte doğrulanmıştır. Resmi karar metni
Kararların soruya verdiği net cevap#
Kurulun yaklaşımı biçimsel bir onay kutusundan çok gerçek veri akışına odaklanır. Hukuki sebep bulunması, ölçüsüz veri toplamayı veya zayıf güvenliği meşrulaştırmaz. Güncel eğilim; aydınlatmanın somutlaştırılması, rıza ile diğer dayanakların ayrılması, daha az müdahaleci alternatiflerin seçilmesi ve yapılan işlemlerin belgeyle ispatlanması yönündedir. İstisna veya özel mevzuat varsa kapsamı yalnız zorunlu veriyle sınırlıdır. Bu nedenle çerezler KVKK sorusunun cevabı, kuruluşun amacı ve dayanağı kayıtlarla gösterebilmesine bağlıdır; genel ifadeler tek başına yeterli değildir.
Okuyucu için yapılacaklar listesi#
- Veri sorumlusunun tam unvanını ve başvuru kanalını belirleyin.
- Olay tarihini, ekran görüntüsünü, ileti kaydını ve varsa teslim belgesini saklayın.
- Hangi verinin, hangi işlemde ve hangi amaçla kullanıldığını ayrı ayrı yazın.
- Erişim, düzeltme, silme, aktarım alıcılarını öğrenme veya itiraz taleplerinden hangisini istediğinizi belirtin.
- Başvurunun teslim tarihini kaydedin; 30 günlük cevap süresini izleyin.
- Kurula şikayette cevabın öğrenilmesinden itibaren 30, ilk başvurudan itibaren her halde 60 günlük üst süreyi kaçırmayın.
Sık sorulan sorular#
Açık rıza verilmişse işlem her durumda hukuka uygun mudur?#
Hayır. Açık rıza belirli, bilgilendirilmiş ve özgür olmalı; ayrıca veri işleme Kanunun 4. maddesindeki ölçülülük ve amaçla bağlılık ilkelerine uymalıdır.
Verinin silinmesini her zaman isteyebilir miyim?#
İsteyebilirsiniz; ancak kanuni saklama yükümlülüğü veya devam eden bir hakkın korunması için zorunluluk varsa hemen silme reddedilebilir. Ret, veri kategorisi, dayanak ve süre bakımından gerekçelendirilmelidir.
Kurula doğrudan şikayet edilebilir mi?#
Kural olarak önce veri sorumlusuna başvuru gerekir. Veri sorumlusunun cevabı yoksa, yetersizse veya talep reddedilmişse 30 ve 60 günlük süreler içinde Kurula gidilir.
Kurul tazminata karar verir mi?#
Kurul hukuka aykırılığın giderilmesini ve idari yaptırımı değerlendirebilir. Maddi veya manevi tazminat genel hükümlere göre görevli yargı merciinden talep edilir.
İlgili yazılara iç bağlantı önerileri#
- KVKK Başvurusu Nasıl Yapılır?
- Kişisel Veriler Nasıl Sildirilir?
- Veri İhlali Olursa Şirket Ne Yapmalı?
- Aydınlatma Metni ile Açık Rıza Arasındaki Fark Nedir?
Son hukuki kontrol tarihi: 2 Eylül 2026
Kaynakça#
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kurul karar özetleri dizini
- Kişisel Veri İşleme Envanteri Hazırlama Rehberi
- KVKK Rehberler sayfası – Çerez Uygulamaları Hakkında Rehber
- Kurul kararı, 2022/1358
- Kurul kararı, 2022/229
- Kurul kararı, 2024/1361
Karar doğrulama notu: Kurul 2022/1358, Kurul 2022/229, Kurul 2024/1361 tam metinleri YARGI PRO üzerinden getirilmiş; kimlik, olay, sonuç ve gerekçe kontrol edilmiştir.
Bu metin genel hukuki bilgi amacıyla hazırlanmıştır. Somut uyuşmazlığın özellikleri, süreler ve başvuru yolu ayrıca değerlendirilmelidir.