GDPR ve KVKK Çerez Onayını Anlamak: 2026 Kapsamlı Kılavuz
GDPR ve KVKK çerez onayı gereksinimlerinin karmaşıklığında yol alın.
Kısa cevap
GDPR ve KVKK, zorunlu olmayan çerezler yüklenmeden önce önceden alınmış, bilgilendirilmiş ve özgür iradeye dayanan onay ister. Uyumlu bir banner kabul ve reddi eşit ağırlıkta gösterir, karar verilene kadar izleyicileri engeller ve her onay olayı denetimde kanıtlanabilmesi için zaman damgası, sürüm ve yargı çevresiyle kaydedilmelidir.
- Cookietrace Gizlilik Mühendisliği Ekibi — Yayınlandı 2026-01-15 · Güncellendi 2026-07-28 · 8 dk okuma
2026'da çerez onayı ne demek
Çerez onayı, zorunlu olmayan hiçbir çerez veya izleyici cihaza yazılmadan önce alınan, bilgilendirilmiş ve özgür iradeye dayanan ön izindir. GDPR ve KVKK'da model aynıdır: önce izin, sonra işleme. Zorunlu çerezler için onay gerekmez ama çerez politikasında açıkça belirtilmeleri şarttır.
- Google Analytics gibi analitik çerezler onaya tabidir
- Pazarlama ve reklam çerezleri onaya tabidir
- Üçüncü taraf izleyiciler, pikseller ve iframe'ler onaya tabidir
- Zorunlu çerezler için bilgilendirme yeterlidir
GDPR ile KVKK arasındaki pratik farklar
Her iki mevzuat da açık rıza ister; denetim ve ceza yapıları farklıdır. GDPR Avrupa Birliği'nde geçerlidir, ulusal veri koruma otoritelerince denetlenir ve küresel yıllık cironun %4'üne kadar ceza öngörür. KVKK Türkiye'de geçerlidir, KVKK Kurumu tarafından denetlenir ve idari para cezası uygular. Kurumun 2022 çerez rehberi, banner tasarımı ve ön onay konusunda EDPB beklentileriyle paraleldir.
Uyumlu bir banner neye benzer
Düzenleyiciler artık karanlık kalıpları (dark pattern) doğrudan ihlal sayıyor. Kabul ve ret aynı görsel ağırlıkta olmalı, hiçbir kategori önceden işaretli gelmemeli, seçimler amaç bazında ayrıştırılmalı ve ziyaretçi karar vermeden hiçbir etiket çalışmamalıdır. Banner yeniden açılabilmeli; onayın geri alınması, verilmesi kadar kolay olmalıdır.
- "Tümünü kabul et" ve "Tümünü reddet" eşit görünürlükte
- Önceden işaretli kutu yok, kaydırmayla örtülü onay yok
- Kategori bazlı seçim: zorunlu, analitik, pazarlama
- Karar kaydedilmeden hiçbir script yüklenmez
- Tercihleri yeniden açan kalıcı bir erişim noktası
Denetimde onayı kanıtlamak
Banner tek başına uyum değildir. Otorite kanıt ister: hangi banner sürümü gösterildi, hangi kategoriler kabul edildi, hangi zaman damgasıyla ve hangi ülkeden. Cookietrace her onay kaydını kriptografik olarak imzalar, en az üç yıl saklar ve denetim dosyası olarak dışa aktarır; böylece hukuk ekibi mühendislik desteği olmadan yanıt verebilir.
Adım adım uyum kontrol listesi
Tüm siteyi tarayın, her çerez ve izleyiciyi amacına göre sınıflandırın, tarama sonucuyla birebir uyumlu bir çerez politikası yayımlayın, onay verilene kadar izleyici isteklerini kesen banner'ı kurun, ölçümün kontrollü şekilde çalışması için Google Consent Mode v2 sinyalini bağlayın ve her ay yeniden tarayın; pazarlama her kampanyada yeni etiket ekler.
Sıkça sorulan sorular
GDPR ve KVKK, zorunlu olmayan çerezler yüklenmeden önce önceden alınmış, bilgilendirilmiş ve özgür iradeye dayanan onay ister. Uyumlu bir banner kabul ve reddi eşit ağırlıkta gösterir, karar verilene kadar izleyicileri engeller ve her onay olayı denetimde kanıtlanabilmesi için zaman damgası, sürüm ve yargı çevresiyle kaydedilmelidir.
Analitik çerezler için onay gerekir mi?
Evet. Google Analytics gibi araçlar hem GDPR hem KVKK kapsamında zorunlu değildir; bu yüzden ziyaretçi analitik kategorisini kabul etmeden etiket çalışmamalıdır. Onaydan önce yüklenmesi denetimlerde en sık rastlanan bulgudur.
GDPR ve KVKK için tek banner kullanabilir miyim?
Evet, çünkü her iki mevzuat da aynı opt-in modelini ister: ön onay, kategori bazlı seçim ve önceden işaretli kutu yok. Ziyaretçinin yargı çevresini de kaydeden iyi tasarlanmış tek bir banner ikisini de karşılar.
Onay kanıtı ne sayılır?
Denetçi; gösterilen banner sürümünü, kabul edilen kategorileri, zaman damgasını ve ziyaretçinin konumunu bekler. İmzalı, dışa aktarılabilir bir onay kaydı bu ölçütü karşılar; tek başına banner karşılamaz.
Siteyi ne sıklıkla yeniden taramalıyım?
En az ayda bir kez, ayrıca her pazarlama kampanyası veya uygulama kurulumundan sonra; çünkü yeni etiket ve izleyiciler sessizce ortaya çıkar ve güncel olmayan çerez politikasında yer almaz.
Kaynaklar
Bu rehberde atıf yapılan resmi kaynaklar.
Kimler okumalı
Çerez onayı, analitik etiketleme ve gizlilik dokümantasyonundan sorumlu site sahipleri, pazarlama ekipleri ve geliştiriciler.
Cookietrace
Cookietrace Gizlilik Mühendisliği Ekibi tarafından yazıldı ve gözden geçirildi. (8 min — compliance)