KVKK Çerez Cezaları ve Uyum Adımları: Kim, Ne Zaman, Nasıl (2026)

Kısa cevap: Türkiye'de faaliyet gösteren her web sitesi, çerez kullanmadan önce ziyaretçiden açık rıza almak zorundadır. Yalnızca "zorunlu" çerezler (oturum, güvenlik, dil tercihi) bu kuraldan muaftır. Açık rızasız reklam ve analitik çerezi yerleştirmek, KVKK madde 18 uyarınca 1.000.000 TL'ye varan idari para cezasına yol açar. 2024 yılında güncellenen Kurul rehberi, "kabul et" butonu kadar belirgin bir "reddet" butonu zorunluluğunu netleştirmiştir.

Aşağıda bu rehberin tüm detaylarını (kim kapsama giriyor, hangi çerez hangi kategoriye düşüyor, KVKK ile GDPR arasındaki farklar ve pratik uyum adımları) bulacaksınız.

KVKK çerez nedir, ne için kullanılır?

KVKK çerez yönetimi, 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde çerezlerin kullanımını düzenleyen yasal yükümlülüklerin bütünüdür. Çerezler, ziyaretçinin tarayıcısında saklanan ve onu tanımlayabilen küçük metin dosyalarıdır. Bu dosyalar IP adresi, cihaz kimliği veya tarama davranışı ile ilişkilendirildiğinde kişisel veri statüsüne girer.

Kişisel Verileri Koruma Kurulu'nun 2022 tarihli "Çerez Uygulamaları Hakkında Rehber" belgesi, 2024'te güncellenmiş ve 2026 itibariyle aktif olarak denetim aracı olarak kullanılmaktadır. Rehbere göre çerezler dört amaca hizmet edebilir:

1. Teknik gereklilik (sepet, oturum, güvenlik)
2. Tercih saklama (dil, tema, font boyutu)
3. Performans ve analiz (Google Analytics, Hotjar)
4. Reklam ve pazarlama (Google Ads, Meta Pixel, retargeting)

Bu dört kategoriden yalnızca ilki ziyaretçi rızası gerektirmez. Diğer üçü için açık rıza zorunludur.

KVKK kapsamı: Hangi sitelere uygulanır?

KVKK madde 2, kanunun Türkiye'de yerleşik gerçek ve tüzel kişiler ile Türkiye'deki kişisel verileri işleyen yabancı veri sorumlularına uygulandığını belirtir. Pratikte bu şu anlama gelir:

• Türkiye'deki KOBİ, e-ticaret, blog, kurumsal site: kapsamdadır
• Yurt dışında kurulu ama Türkiye'ye hizmet veren site (örn. Türkçe arayüz, TL fiyat): kapsamdadır
• Yalnızca yurt dışına satış yapan, Türkiye'yi hedeflemeyen site: kapsam dışı sayılabilir

Önemli: "Kapsam dışıyım" yorumunu yapmadan önce Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kayıt zorunluluğunuzu kontrol ediniz. VERBİS kayıt eşikleri (çalışan sayısı, yıllık ciro vb.) KVKK Kurulu tarafından güncellenmektedir; güncel eşikler ve istisnalar için kvkk.gov.tr duyurularını inceleyiniz.

Açık rıza ve meşru menfaat ayrımı

KVKK madde 5, kişisel veri işlemenin altı hukuki sebebini sayar. Çerezler bağlamında en sık iki tanesi gündeme gelir:

Açık rıza (madde 5/1-a)

• Ziyaretçinin özgür iradesiyle, belirli bir konuda ve bilgilendirilmiş olarak verdiği onaydır
• "Kabul et" butonuna basılması gerekir: pasif onay (sayfada gezmek, sayfayı kapatmamak) geçerli değildir
• "Reddet" seçeneği aynı görünürlükte sunulmalıdır
• Geri alınabilir olmalıdır (re-consent widget zorunluluğu)

Meşru menfaat (madde 5/2-f)

• Sadece temel hak ve özgürlüklere zarar vermemek kaydıyla geçerlidir
• Reklam ve profilleme çerezleri için geçerli kabul edilmez
• Yalnızca dolandırıcılık önleme, güvenlik logu gibi zorunlu kullanım alanları için kullanılabilir

KVKK çerez yönetimi uygulamalarınızda reklam ve analitik için meşru menfaate dayanmayı düşünüyorsanız: bu yaklaşım Kurul tarafından kabul görmemekte ve idari para cezasına neden olmaktadır.

Çerez kategorileri ve örnekler

Bir çerezin hangi kategoriye düştüğünden emin değilseniz, cerez.io ücretsiz çerez tarayıcımız ile sitenizi tarayarak 217+ bilinen çerez veritabanından otomatik kategorilendirme alabilirsiniz.

Çerez aydınlatma metni nasıl yazılır?

KVKK madde 10 ve "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" uyarınca çerez aydınlatma metni şu bilgileri içermelidir:

1. Veri sorumlusunun kimliği (firma unvanı, MERSİS no, adres)
2. Veri işleme amacı (analitik, reklam, kişiselleştirme)
3. Hangi verilerin işlendiği (IP, çerez ID, tarama geçmişi)
4. Aktarılan üçüncü taraflar (Google, Meta, Hotjar: yurt dışına aktarım varsa açıkça belirtilmeli)
5. Saklama süresi (her çerez için ayrı süre)
6. Veri sahibinin hakları (KVKK madde 11: erişim, düzeltme, silme talepleri)
7. Başvuru kanalı (e-posta, KEP, posta adresi)

Aydınlatma metninizi hazırlarken ücretsiz çerez politikası şablonumuzdan yararlanabilirsiniz.

Denetim cezaları ve emsal kararlar

KVKK madde 18 uyarınca idari para cezalarının üst sınırları yıllık yeniden değerleme oranı ile güncellenir. Güncel rakamlar için kvkk.gov.tr duyurularını inceleyiniz.

KVKK Kurulu son dönemde aşağıdaki türde ihlallerde yüksek tutarlı idari para cezaları uygulamıştır:

• Dark pattern kullanımı (reddetme butonunun gizlenmesi veya zorlaştırılması)
• Açık rıza alınmadan üçüncü taraf reklam/analitik çerezlerinin yüklenmesi
• Yetersiz aydınlatma metni veya çerez politikası
• Yurt dışı veri aktarımı için açık rıza alınmadan ABD merkezli servislerin kullanılması
• VERBİS kayıt yükümlülüğünün yerine getirilmemesi

Spesifik karar numaraları, gerekçeler ve tutarlar için KVKK Kurulu Kararları sayfasını ve Resmi Gazete duyurularını inceleyebilirsiniz.

Uyumluluk için 8 adımlık kontrol listesi

1. Sitenizdeki tüm çerezleri tarayın ve kategorize edin
2. Açık rıza banner'ı yerleştirin (kabul + reddet eşit görünürlükte)
3. Çerez aydınlatma metni yazıp ayrı bir sayfada yayınlayın
4. Üçüncü taraf scriptleri rıza alınana kadar bloklayın
5. Google Consent Mode v2'yi aktif edin
6. Rıza loglarını KVKK Madde 12/3 kapsamındaki ispat yükümlülüğü için saklayın. Saklama süresini ispat yükümlülüğü ve zamanaşımı süreleri dikkate alınarak, hukuk danışmanınızla belirleyin.
7. Re-consent widget ekleyin (kullanıcı rızasını geri alabilsin)
8. Yılda bir kez çerez envanterinizi güncelleyin

cerez.io bu adımların teknik tarafını (banner, çerez taraması, rıza kaydı) tek panelde toplar. Temel çerez bandı süresiz ücretsizdir ve sitenizde yayında kalır. 14 günlük ücretsiz denemede panelin tamamı açıktır ve bant ücretli plan gibi çalışır (A/B testi, özel CSS, cerez.io ibaresini kaldırma); deneme bitince bant temel moda döner. Plan ayrıntıları fiyat sayfasında.

Sıkça Sorulan Sorular

KVKK çerez uyumluluğu için açık rıza yeterli mi?

Açık rıza tek başına yeterli değildir. KVKK madde 10 uyarınca aydınlatma yükümlülüğü de yerine getirilmelidir. Yani önce ziyaretçi bilgilendirilmeli, sonra açık rıza alınmalıdır. cerez.io banner içinde her iki yükümlülüğü birlikte karşılar.

Reddet butonu olmazsa ne olur?

2024 Kurul rehberi sonrası bu durum dark pattern sayılmakta ve idari para cezası uygulanmaktadır. Reddet butonu, kabul et butonu ile aynı boyut, renk ve görünürlükte olmalıdır.

KVKK ile GDPR aynı mı?

Temel mantık aynıdır (açık rıza + aydınlatma), ancak farklar vardır: GDPR madde 7 daha katıdır, KVKK'da yurt dışı veri aktarımı için Kurul izni veya açık rıza zorunludur, idari para cezası tavanları farklıdır.

Sadece Google Analytics kullanıyorum, çerez banner gerekli mi?

Evet. Google Analytics _ga çerezi analitik kategorisindedir ve açık rıza gerektirir. Ayrıca veri ABD'ye aktarıldığı için ek aydınlatma yükümlülüğü vardır.

Çerez bilgisi açık rıza ne kadar saklanmalı?

KVKK madde 12/3 uyarınca veri sorumlusunun ispat yükümlülüğü vardır; rıza kayıtları bu ispat için saklanır. Saklama süresini ispat yükümlülüğü ve zamanaşımı süreleri dikkate alınarak, hukuk danışmanınızla belirleyin.

KVKK denetim cezasından nasıl korunurum?

Üç temel kural: (1) Açık rıza alın, (2) Rıza loglarını saklayın, (3) Çerez envanterini güncel tutun. Bu üç adım, denetimde göstereceğiniz temel kayıtları oluşturur.

Sitenizi ücretsiz tarayın, çerezlerle ilgili teknik bulguları görün. cerez.io'yu 14 gün ücretsiz deneyin, kredi kartı gerekmez; temel çerez bandı süresiz ücretsiz yayında kalır. Plan ayrıntıları için fiyatlandırma sayfamıza göz atabilirsiniz.

Kaynaklar:

• KVKK Resmi Web Sitesi
• Çerez Uygulamaları Hakkında Rehber (2022, güncelleme 2024)
• GDPR Resmi Metni