KVKK Açısından Çerez Politikası ve Cookie Wall Yasağı (2026)

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• Çerez (cookie), web sitesinin kullanıcı cihazına yerleştirdiği küçük metin dosyasıdır ve çoğu durumda kişisel veri işleme aracıdır.
• KVKK açısından çerezler kişisel veri işleme faaliyetidir; aydınlatma yükümlülüğü ve çerez türüne göre açık rıza zorunludur.
• Cookie wall (çerez duvarı — "tüm çerezleri kabul etmeden siteyi kullanamazsınız" modeli) KVKK'nın özgür irade ilkesine aykırıdır.
• Zorunlu (teknik) çerezler açık rıza gerektirmez; analitik ve pazarlama çerezleri açık rıza gerektirir.
• "Tümünü Kabul Et" düğmesi ile "Reddet" düğmesi eşit görünürlükte olmalıdır; reddi kasıtlı zorlaştırmak hukuka aykırıdır.
• Google Analytics, KVKK ve GDPR açısından tartışmalı bir konumdadır; IP anonimleştirme ve sunucu konumu kritik değişkenlerdir.
• KVKK Kurumu'nun güncellenmiş Çerez Uygulamaları Hakkında Rehberi bu alandaki temel referans belgesidir.

Çerez Neden Kişisel Veri Sayılıyor?

Bir çerez tek başına ad-soyad gibi doğrudan kimlik bilgisi içermez. Ancak KVKK'nın kişisel veri tanımı **"kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi"**dir. Belirlenebilirlik ölçütü burada kritiktir.

Bir çerez; IP adresi, tarayıcı parmak izi, oturum bilgisi, cihaz tanımlayıcısı veya davranışsal profil verisi taşıdığında, bu bilgiler birleştirilerek kişi belirlenebilir hale gelir. Bu nedenle çerezler — özellikle analitik ve pazarlama amaçlı olanlar — KVKK kapsamında kişisel veri işleme aracı olarak değerlendirilir.

Çerez (cookie) nedir? Web sunucusunun kullanıcı cihazına (bilgisayar, telefon, tablet) yerleştirdiği küçük metin dosyalarıdır. Oturum yönetimi, tercih hatırlama, trafik analizi ve reklam hedefleme gibi çeşitli amaçlarla kullanılır.

Çerez Türleri ve Hukuki Durumları

Tüm çerezler aynı hukuki muameleye tabi değildir. KVKK ve Kurum Rehberi açısından çerezler işlevlerine göre ayrılır ve her kategorinin hukuki rejimi farklıdır.

Zorunlu (Teknik) Çerezler

Sitenin temel işlevlerinin çalışması için mutlaka gerekli olan çerezlerdir. Oturum yönetimi, güvenlik doğrulaması, alışveriş sepeti işlevi, dil tercihi bu kategoridedir.

Hukuki durum: Açık rıza gerekmez. Hukuki dayanak, KVKK m. 5/2-f (meşru menfaat) veya m. 5/2-c (sözleşmenin ifası) olabilir. Ancak aydınlatma yükümlülüğü devam eder; kullanıcı bu çerezlerin varlığından haberdar edilmelidir.

Analitik (İstatistik) Çerezler

Ziyaretçi sayısı, sayfa görüntüleme, trafik kaynağı ve kullanım davranışı gibi istatistiksel verileri toplayan çerezlerdir. Google Analytics, Matomo, Hotjar bu kategoridedir.

Hukuki durum: Kurum Rehberi, analitik çerezlerin zorunlu çerez olmadığını ve açık rıza gerektirdiğini açıkça belirtmektedir. IP anonimleştirme yapılmış olsa bile çerez cihaza yerleştirildiği için rıza gerekir.

Pazarlama (Reklam) Çerezleri

Kullanıcının ilgi alanlarına göre hedefli reklam göstermek, retargeting kampanyaları yürütmek ve reklam performansını ölçmek amacıyla kullanılan çerezlerdir. Facebook Pixel, Google Ads çerezleri, LinkedIn Insight Tag bu kategoridedir.

Hukuki durum: Açık rıza kesinlikle zorunludur. Bu çerezlerin site işlevselliği ile hiçbir ilişkisi yoktur; tamamen ticari amaçlıdır.

İşlevsellik (Tercih) Çerezleri

Kullanıcının daha önceki tercihlerini hatırlayan çerezlerdir. Yazı tipi boyutu, tema tercihi, bölge seçimi gibi özelleştirmeler bu kategoridedir.

Hukuki durum: Zorunlu çerez olarak değerlendirilip değerlendirilemeyeceği tartışmalıdır. Site bu çerezler olmadan da temel işlevini sürdürebiliyorsa açık rıza gerekir; sitenin temel işlevi bu tercihlere bağlıysa zorunlu çerez kapsamında değerlendirilebilir.

Çerez Kategorileri Karşılaştırma Tablosu

Cookie Wall Yasağı: "Kabul Et Yoksa Giremezsin" Modeli

Cookie wall, kullanıcının tüm çerezleri kabul etmeden web sitesine erişimini engelleyen mekanizmadır. Pratikte kullanıcı siteye girdiğinde tam ekran bir panel belirir ve "Tüm çerezleri kabul et" dışında bir seçenek sunmaz veya reddetme seçeneğini kasıtlı biçimde gizler.

Cookie Wall Neden Hukuka Aykırı?

KVKK'nın açık rıza tanımındaki özgür irade unsuru, cookie wall'u doğrudan geçersiz kılar. İçeriğe veya hizmete erişimin çerez onayına bağlanması, kullanıcının "ya kabul et ya da çık" durumuna düşmesi anlamına gelir. Bu durumda verilen rıza özgür iradeyle verilmiş sayılmaz.

EDPB (Avrupa Veri Koruma Kurulu) Rehber 05/2020'de bu konuyu açıkça ele almıştır: hizmete erişimin çerez kabulüne bağlanması, rızanın özgür iradeyle verilmediğini gösterir.

CNIL'in (Fransa Veri Koruma Otoritesi) Google ve Facebook'a verdiği toplam €210 milyon ceza da büyük ölçüde çerez reddi mekanizmasının yeterince kolay olmamasından kaynaklanmıştır. Google, kullanıcılara çerezleri kabul etmeyi tek tıkla sunmuş; reddetmeyi ise birden fazla adım ve alt menü gerektiren bir yapıda tutmuştu.

Türkiye'de Cookie Wall Durumu

KVKK Kurumu'nun Çerez Uygulamaları Hakkında Rehberi, cookie wall'u açıkça yasaklamamakla birlikte açık rızanın özgür iradeyle verilmesi gerektiğini vurgular. Siteye erişimin çerez onayına bağlanması bu şartı fiilen ortadan kaldırır.

"Tümünü Kabul Et / Reddet" Düğme Dengesi

Çerez banner'ının tasarımı yalnızca bir UX sorunu değil; aynı zamanda bir hukuki uyum sorunudur.

Hukuka Aykırı Tasarım Kalıpları

Pratikte sıkça karşılaşılan hukuka aykırı tasarımlar şunlardır.

Asimetrik düğme boyutu: "Tümünü Kabul Et" büyük, renkli ve dikkat çekici; "Reddet" veya "Ayarları Yönet" küçük, soluk renkli veya gri metin. Bu tasarım, kullanıcıyı kabule yönlendiren bir manipülasyondur.

Reddi gizleme: "Tümünü Kabul Et" düğmesi ilk ekranda görünürken, reddetme seçeneği "Çerez Ayarları" alt menüsünün içinde, 2-3 tıklama arkasında bulunur.

Karanlık desen (dark pattern): Kabul seçeneği canlı yeşil veya mavi renkte, reddetme seçeneği ise gri veya arka planla aynı renkte tasarlanır. Kullanıcı reddetme seçeneğini görmekte zorlanır.

Varsayılan olarak açık toggle'lar: Çerez tercih panelinde tüm kategoriler önceden "açık" konumda sunulur; kullanıcının tek tek kapatması beklenir.

Hukuka Uygun Banner Tasarımı

KVKK ve GDPR uyumlu bir çerez banner'ı şu özellikleri taşımalıdır.

Eşit görünürlük: "Tümünü Kabul Et" ve "Tümünü Reddet" düğmeleri aynı boyutta, aynı renk ailesinde ve aynı konumda olmalıdır.

İlk katmanda reddetme imkânı: Kullanıcı, alt menüye girmeden ilk ekranda tüm zorunlu olmayan çerezleri reddetme imkânına sahip olmalıdır.

Varsayılan olarak kapalı: Zorunlu çerezler dışındaki tüm kategoriler varsayılan olarak kapalı konumda sunulmalıdır.

Kategori bazlı seçim: Kullanıcı, analitik çerezleri kabul edip pazarlama çerezlerini reddedebilmelidir. "Ya hepsini kabul et ya hiçbirini" modeli hukuka aykırıdır.

Tercih değiştirme kolaylığı: Kullanıcı daha sonra tercihlerini değiştirebilmelidir. Bu seçenek site footer'ında veya kolay erişilebilir bir yerde bulunmalıdır.

Google Analytics'in KVKK Durumu

Google Analytics, web sitelerinin ziyaretçi trafiğini analiz etmek için en yaygın kullandığı araçtır. Ancak KVKK ve GDPR açısından tartışmalı bir konumdadır.

Sorunun Kaynağı

Google Analytics, kullanıcı verilerini Google'ın sunucularında işler. Bu sunucuların önemli bir kısmı ABD'de konumludur. Schrems II kararı (2020) sonrası AB-ABD veri transferi hukuki belirsizlik alanına girmiş ve çeşitli Avrupa veri koruma otoriteleri Google Analytics kullanımını ihlal olarak değerlendirmiştir.

Avusturya Veri Koruma Otoritesi (DSB) Ocak 2022'de, Fransa CNIL Şubat 2022'de ve İtalya Garante Haziran 2022'de Google Analytics kullanımını GDPR'a aykırı buldu. Bu kararların ortak gerekçesi, ABD'ye yapılan veri aktarımında yeterli güvencelerin sağlanamadığıydı.

Google Analytics 4 (GA4) ve IP Anonimleştirme

Google, bu kararlar üzerine Google Analytics 4'ü (GA4) varsayılan olarak IP anonimleştirmesiyle çalışacak şekilde güncelledi. Ayrıca AB bölgesindeki kullanıcılar için verilerin AB sunucularında işlenmesi seçeneği sundu.

Ancak IP anonimleştirme tek başına sorunu çözmez. GA4 yine de çerez kimliği, cihaz tanımlayıcısı ve kullanıcı profili oluşturabilecek davranışsal veriler toplar. Bu veriler birleştirildiğinde kişi belirlenebilir hale gelebilir.

KVKK Açısından Google Analytics Kullanım Koşulları

KVKK kapsamında Google Analytics kullanımı tamamen yasak değildir; ancak şu koşulların sağlanması gerekir.

1. Çerez aydınlatması ve açık rıza: Google Analytics çerezleri analitik kategoridedir ve açık rıza gerektirir. Kullanıcı rıza vermeden çerez yerleştirilmemelidir.

2. Yurt dışı veri aktarımı güvencesi: Google ile veri işleme sözleşmesi (DPA) yapılmalı ve 7499 sayılı Kanun sonrası yurt dışı aktarım mekanizmalarından biri kullanılmalıdır. Google'ın standart sözleşme hükümleri bu kapsamda değerlendirilmelidir.

3. IP anonimleştirme: GA4'te varsayılan olarak aktif olmakla birlikte, yapılandırmanın doğru yapıldığından emin olunmalıdır.

4. Veri saklama süresinin kısıtlanması: GA4'te veri saklama süresi 2 ay veya 14 ay olarak ayarlanabilir. KVKK'nın ölçülülük ilkesi gereği mümkün olan en kısa süre tercih edilmelidir.

Alternatif Çözümler

Google Analytics'in KVKK/GDPR risklerinden tamamen kaçınmak isteyen şirketler için sunucu taraflı (self-hosted) analitik araçlar alternatif oluşturur. Matomo (self-hosted), Plausible Analytics ve Fathom Analytics bu kategoridedir. Bu araçlar verileri şirketin kendi sunucusunda işleyerek yurt dışı aktarım sorununu ortadan kaldırır.

Çerez Politikası Nasıl Hazırlanır?

Çerez politikası, web sitesindeki çerez uygulamalarına ilişkin kapsamlı bilgilendirme belgesidir. Aydınlatma metninin çerezlere özel bir uzantısı olarak düşünülebilir.

Politikada Yer Alması Gereken Unsurlar

1. Çerez tanımı: Çerezin ne olduğu, ne işe yaradığı genel bir dille açıklanmalıdır.

2. Kullanılan çerez türleri: Her çerez kategorisi (zorunlu, analitik, pazarlama, işlevsellik) ayrı ayrı listelenmeli ve her kategoride hangi çerezlerin kullanıldığı, kimin tarafından yerleştirildiği (birinci taraf / üçüncü taraf) ve saklama süresi belirtilmelidir.

3. Hukuki dayanak: Her çerez kategorisinin hangi hukuki dayanağa tutunduğu açıklanmalıdır.

4. Üçüncü taraf çerezleri: Google, Facebook, LinkedIn gibi üçüncü tarafların yerleştirdiği çerezler ayrıca belirtilmeli ve bu tarafların gizlilik politikalarına link verilmelidir.

5. Rıza yönetimi: Kullanıcının çerez tercihlerini nasıl değiştirebileceği açıklanmalıdır.

6. Erişilebilirlik: Politika, site footer'ında veya kolay ulaşılabilir bir konumda yer almalıdır.

Sonuç

Çerez yönetimi, bir web sitesinin KVKK uyumundaki en görünür ve en sık denetlenen alanıdır. Cookie wall uygulamaları, asimetrik düğme tasarımları ve rıza almaksızın çerez yerleştirme pratiği hem Türkiye'de hem de Avrupa'da ağır yaptırımlarla karşılanmaktadır.

Google Analytics başta olmak üzere üçüncü taraf analitik ve pazarlama araçlarının hukuki durumu sürekli değişen bir alan olduğundan, çerez uygulamalarının yılda en az bir kez gözden geçirilmesi ve güncel mevzuata uygunluğunun değerlendirilmesi gerekir.

Güneş Partners olarak web sitesi KVKK uyumu, çerez politikası hazırlığı, banner tasarımının hukuki değerlendirmesi ve üçüncü taraf araçların veri koruma analizi konularında şirketlere hukuki destek sağlıyoruz. Çerez uygulamalarınızı değerlendirmek için bizimle iletişime geçebilirsiniz.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı KVKK, KVKK Kurumu Çerez Uygulamaları Hakkında Rehberi, EDPB Rehber 05/2020, CNIL'in Google ve Facebook çerez kararları, Avusturya DSB ve İtalya Garante'nin Google Analytics kararları temelinde hazırlanmıştır. Web sitesi KVKK uyumu ve çerez politikası süreçlerinde profesyonel destek için gunespartners.com adresini ziyaret edebilirsiniz.