Çerez duvarı: "Kabul etmeden giremezsiniz" KVKK açısından nasıl değerlendiriliyor?

Kısa cevap: KVKK'nın Çerez Uygulamaları Hakkında Rehberi, siteye girişi tüm çerezlerin kabulüne bağlayan "çerez duvarı" uygulamasını ayrı bir başlıkta ele alıyor. Rehbere göre çerezlere rıza vermek hizmetin ön koşulu olarak dayatıldığında ziyaretçinin özgür iradesi sakatlanabilir ve bu durumda alınan açık rıza geçerli bir açık rıza olmaz. Rehber, her olay kendi içinde değerlendirilmek kaydıyla, çerez duvarı dışında "adil alternatifler" sunulabileceğini de belirtiyor; bu alternatifin ne olduğu konusunda hukuk danışmanınıza başvurmanızı öneririz.

Bu yazı, Reddet butonu yazımızda kısaca değindiğimiz çerez duvarı konusunu ayrıntılı ele alıyor. Rehberin ilgili bölümünü, Kurul'un daha eski bir kararını ve Avrupa'daki yaklaşımı aktarıyor, sonra sitenizi kontrol etmek için kısa bir liste veriyoruz. Yazı bilgilendirme amaçlıdır, hukuki görüş değildir.

Çerez duvarı nedir?

Rehber çerez duvarını şöyle tanımlıyor: "bir ziyaretçinin internet sitesinde yer alan tüm çerezlerin kullanılmasına onay vermedikçe internet sitesinin içeriğini görüntülemesini engelleyen uygulamalar". Pratikte bu, sayfanın üstüne gelen ve tek çıkış yolu "Kabul et" olan bir perde demek. "Kabul etmeden giremezsiniz", "Devam etmek için çerezleri kabul edin" ya da kapatma düğmesi olmayan tam ekran bir pencere, aynı sonucu doğurur.

Çerez duvarını iki benzer durumdan ayırmak gerekiyor:

• Ekranı kaplayan ama reddedilebilen banner: Pencere içeriğin önünde durur, ancak ziyaretçi "Reddet" seçeneğiyle içeriğe ulaşabilir. Bu bir duvar değil, bir seçim ekranıdır.
• "Siteyi kullanarak kabul etmiş sayılırsınız" bandı: Burada perde yoktur, ama seçim de yoktur. Rehber bu tasarımı kötü örnekler arasında gösteriyor; açıklamasında "sitenin kullanılmak suretiyle çerez kullanımına izin verilmesi hukuka uygun bir kullanım şekli değildir" ifadesi yer alıyor.

Çerez duvarı bu ikisinden farklı olarak ziyaretçiye tek bir yol bırakır: kabul et ya da git.

KVKK Rehberi çerez duvarı için ne diyor?

Kişisel Verileri Koruma Kurumu'nun Temmuz 2025 tarihli, 69 numaralı yayını olan Çerez Uygulamaları Hakkında Rehber, açık rızanın özgür iradeyle açıklanması bölümünün altında "7.3.1. Çerez Duvarları" başlığını taşıyor. Rehberin bu bölümdeki değerlendirmesi şöyle:

"Açık rızanın özgür bir biçimde verilebilmesi kapsamında çerez duvarlarının ilgili kişinin rızasını ortaya koyarken gerçek bir seçim yapmasını engellemesi söz konusu olabilir. Zira siteye erişim için çerez duvarı konulması suretiyle çerezlere rıza verilmesi hususu hizmetin ön koşulu olarak ilgili kişiye dayatıldığı durumlarda çerez duvarının ilgili kişinin özgür iradesini sakatlaması söz konusu olabilecek ve bu durumda alınan açık rıza, geçerli bir açık rıza olmayacaktır. Bununla birlikte, her olay özelinde değerlendirme yapılması kaydıyla, ilgili kişilerin bir hizmeti elde edebilmeleri için çerez duvarı dışında belirli birtakım adil alternatifler sunulması söz konusu olabilecektir."

Bu paragraftan üç şey çıkıyor:

1. Sorun rızanın kendisinde. Rehber çerez duvarını bir tasarım tercihi olarak değil, açık rızanın "özgür irade" unsuru üzerinden değerlendiriyor. Kanun'daki tanıma göre açık rıza "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür irade ile açıklanan" rızadır; duvar bu üçüncü unsuru zedeliyor.
2. Hizmetin ön koşulu olamaz. Rehber aynı bölümde, çerez yoluyla veri işlemek için istenen açık rızanın "sözleşmenin kurulması veya ifasının ön koşulu olarak" dayatılamayacağını söylüyor.
3. Adil alternatif kapısı açık, ama tanımlı değil. Rehber "adil alternatifler sunulması söz konusu olabilecektir" diyor ve her olayın kendi içinde değerlendirilmesini şart koşuyor. Alternatifin ücretli bir sürüm mü, çerezsiz sınırlı bir içerik mi olduğu rehberde yazmıyor; "ücretli" ya da "abonelik" sözcükleri metinde geçmiyor.

Rehberin niteliğini de hatırlatalım: kendi ifadesiyle "pratik tavsiyeler niteliğinde, yol gösterici mahiyette bir doküman". Bir kanun ya da yönetmelik değil, ancak Kurum'un çerez uygulamalarına nasıl baktığını gösteren en ayrıntılı metin.

Kurul'un 2018 kararı: hizmetin açık rıza şartına bağlanması

Çerez duvarı tartışması, aslında daha eski bir ilkenin çerezlere uygulanmış hali. Rehber bu bölümde dipnotla Kurul'un 2018 tarihli bir karar özetine gönderme yapıyor: Hizmetin Açık Rıza Şartına Bağlanması. Kararda, bir veri sorumlusunun açık rızayı "üyeliğin ve hizmetin dolayısıyla sözleşmenin bir koşulu olarak" dayatması ele alınmış; Kurul, hizmetin açık rıza şartına bağlanmasının açık rızayı sakatlar nitelikte olduğunu değerlendirmiş ve idari yaptırım uygulamış.

Kararın konusu çerez değil, ama mantık aynı: rıza bir hizmetin bedeli gibi sunulduğunda "rıza" olmaktan çıkar. Rehber, bu ilkeyi "Kararın Önemli Noktaları" bölümünde çerezler için şöyle tekrarlıyor: "bir sözleşmenin kurulması veya ifası kapsamında açık rıza alınması, ilgili kişiye sözleşmenin ön koşulu olarak dayatılamayacaktır."

Avrupa'da nasıl bakılıyor?

Siteniz AB'deki ziyaretçilere de hizmet veriyorsa, Avrupa Veri Koruma Kurulu'nun (EDPB) yaklaşımı da önemli. EDPB'nin 4 Mayıs 2020'de kabul ettiği Rıza Hakkında 05/2020 sayılı Kılavuz, çerez duvarları için özel olarak güncellenmiş bir bölüm içeriyor. Kılavuzun 39. paragrafına göre rızanın özgürce verilmiş sayılması için hizmetlere ve işlevlere erişim, kullanıcının cihazında bilgi saklanmasına rıza vermesine bağlanmamalı. 40. paragraftaki örnek, "Çerezleri kabul et" düğmesine basmadan içeriğe ulaşmanın mümkün olmadığı bir betiği anlatıyor; kılavuza göre burada kullanıcıya gerçek bir seçim sunulmadığından rıza özgürce verilmiş değildir.

İki metin aynı yere varıyor: duvar, rızanın "özgür" olma özelliğini ortadan kaldırıyor. KVKK ile GDPR arasındaki diğer farklar için karşılaştırma yazımıza bakabilirsiniz.

Kendi sitenizi kontrol etmek için 5 soru

• Ziyaretçi hiçbir çerezi kabul etmeden sayfanın içeriğine ulaşabiliyor mu?
• Banner'ın ilk ekranında "Reddet" seçeneği var mı ve "Kabul et" ile aynı boyut, renk ve yazı büyüklüğünde mi? Rehber bu eşitliği iyi uygulama örneği olarak gösteriyor.
• Pencereyi kapatmak (X) ne yapıyor: reddetmek mi, kabul etmek mi, yoksa pencere kapanmıyor mu?
• Banner metninde "siteyi kullanarak kabul etmiş sayılırsınız" gibi bir cümle var mı?
• Rıza gerektiren çerezler ve izleyiciler, ziyaretçi seçim yapmadan önce çalışıyor mu? Duvar olmasa bile bu durumda banner'daki seçim fiilen bir anlam taşımıyor.

İlk soruya "hayır" diyorsanız sitenizde bir çerez duvarı var demektir. Rehberin "adil alternatif" ifadesine dayanmayı düşünüyorsanız, bu alternatifin sizin durumunuzda ne olabileceğini hukuk danışmanınızla değerlendirin. Banner'da hangi bilgilerin yer alması gerektiği için çerez politikası yazımıza, genel adımlar için KVKK çerez rehberimize göz atabilirsiniz.

cerez.io bu konuda ne yapar?

cerez.io'nun banner'ı bir çerez duvarı değildir: "Reddet" butonu varsayılan olarak ilk katmanda yer alır ve "Kabul et" ile aynı renk, boyut ve yazı büyüklüğündedir; pencereyi kapatan X düğmesi de reddetme olarak işlenir ve yalnız zorunlu çerezler kalır. Ziyaretçi banner kapandıktan sonra köşedeki simgeden tercihini her zaman değiştirebilir. Çerez taraması ise rıza öncesi çalışan izleyicileri teknik bulgu olarak listeler; böylece banner'ın arkasında seçimi anlamsız kılan bir yükleme olup olmadığını görürsünüz. Tarama sonuçları teknik bulgudur, yasal uygunluk değerlendirmesi değildir; hukuki değerlendirme sizin ve hukuk danışmanınızın kararıdır.

Sitenizi ücretsiz tarayın, rızadan önce çalışan izleyicileri görün. 14 günlük denemeyi başlatın; kurulum, tarama ve önizleme denemede açıktır, banner'ın sitenizde yayına çıkması ücretli planla başlar.

Kaynaklar: Kişisel Verileri Koruma Kurumu, Çerez Uygulamaları Hakkında Rehber, Yayın No. 69, Temmuz 2025, bölüm 7.3.1; KVKK, Hizmetin Açık Rıza Şartına Bağlanması (Kurul karar özeti, 2 Ağustos 2018); Avrupa Veri Koruma Kurulu, Guidelines 05/2020 on consent under Regulation 2016/679, 4 Mayıs 2020, paragraf 38-41. Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir.