Çerez Politikası Nasıl Hazırlanır?

Çerez politikası, bir internet sitesinde çerezler aracılığıyla hangi kişisel verilerin, kim tarafından, hangi amaç ve hukuki sebeple işlendiğini ziyaretçiye açıklayan metindir. Hazırlamak için önce sitenin gerçek çerez kullanımı belirlenir; ardından bilgilendirme, varsa açık rıza alma işlemi ve teknik uygulama birbiriyle eşleştirilir. Politikanın yayımlanması tek başına veri işleme şartını oluşturmaz (KVKK m.3/1-a, m.5, m.10).

Bu yazı, kendi internet sitesinin çerez politikasını hazırlayan işletme ve site sorumlularına yöneliktir. Hazır bir metni doğrudan imzaya veya yayıma sunmak yerine, hangi bilginin nereden alınacağını ve hangi ayrımların kontrol edileceğini anlatır. Genel bilgilendirme yapısı için KVKK aydınlatma metni rehberi de kullanılabilir.

Sitedeki form, üyelik ve diğer veri akışlarının açıklanması gizlilik politikası hazırlama rehberinde ayrıca ele alınmıştır.

1. Çerez Politikası Hazırlamaya Nereden Başlanır?

Çerez politikası hazırlamaya, sitede fiilen kullanılan çerezleri belirleyerek başlayın. Çerez, ziyaretçinin cihazında bilgi tutan küçük bir metin dosyasıdır; ancak hukuki değerlendirmede dosyanın adı kadar hangi veri işleme faaliyetine hizmet ettiği önemlidir. KVKK, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin verilerin Kanun kapsamındaki işlenmesine uygulanır (KVKK m.2 ve m.3).

İlk çalışma, siteyi yöneten kişi ile teknik ekibin birlikte hazırlayacağı kullanım listesidir. Yalnız sitenin görünen sayfalarına değil, eklenen analiz, reklam, video, sohbet ve benzeri hizmetlerin çerez kullanımına da bakın. Bunların gerçekten kullanılıp kullanılmadığını kontrol etmeden herhangi bir sağlayıcıyı metne eklemeyin.

Kişisel Verileri Koruma Kurumunun Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehberi, çerez yoluyla kişisel veri işlenmesine odaklanır. Rehber kanun değildir; uygulamaya ilişkin açıklama ve tavsiyeler içerir. Piksel ve yerel depolama gibi diğer teknolojilerin rehber kapsamı dışında olması ise bunlarla yapılan kişisel veri işlemenin KVKK dışında kaldığı anlamına gelmez (KVKK m.2 ve m.3).

2. Çerez Politikası İçin Envanter Nasıl Çıkarılır?

Çerez politikası için hazırlanan envanter, kullanılan çerez ile yapılacak açıklama arasında bağlantı kurmalıdır. Amaç, yalnız teknik adları listelemek değil, her kaydın hangi faaliyete karşılık geldiğini anlayabilmektir. Bu hazırlık, kişisel veri envanterinin internet sitesine ilişkin bölümünü de besleyebilir.

Hazırlık alanı	Araş­tı­rı­la­cak bilgi	Metne etkisi
Çerezin adı	Tarayıcıda veya teknik kayıtta hangi adla görünüyor?	Kullanılan çerezin tanınmasını sağlar.
Sağlayıcı ve taraf	Site tarafından mı, başka bir hizmet sağlayıcı ara­cı­lı­ğıyla mı kul­la­nı­lı­yor?	Veri sorumlusu ve alıcı değer­len­dir­me­sine bilgi sağlar.
Gerçek amaç	Hangi işlev için kul­la­nı­lı­yor, bu işlev sitede açık mı?	Genel ifadeler yerine somut amaç açıklaması hazırlanır.
İşlenen veri	Ziya­ret­çiyle iliş­ki­len­di­ri­le­bi­len hangi bilgiler işleniyor?	Veri işleme faaliyeti ve kapsamı belirlenir.
Süre	Çerezin teknik ömrü ne, elde edilen veri ne kadar tutuluyor?	Saklama açıklaması teknik uygulamayla kar­şı­laş­tı­rı­lır.
Aktarım	Veriye kim erişiyor, veri hangi hizmete gön­de­ri­li­yor?	Alıcı, aktarım amacı ve varsa yurt dışı aktarım incelenir.
İşleme şartı ve tercih	Hangi hukuki sebep değer­len­di­ri­li­yor, rıza gerekiyorsa tercih nasıl uygulanıyor?	Politika ile tercih ekranının aynı faaliyeti anlatması sağlanır.

Bu tablo bir hazırlık aracıdır; her işletme için mevzuatta aynen sayılmış zorunlu bir tablo şablonu değildir. Bilgilendirmenin asgari içeriği Kanunun 10. maddesinde düzenlenir. Kurum rehberi ayrıca çerezin adı, amacı, süresi ve tarafına ilişkin bilgilerin açıklanmasını tavsiye eder (KVKK m.10; Çerez Uygulamaları Hakkında Rehber, bölüm 9).

3. Çerez Politikasında Hangi Bilgiler Bulunmalıdır?

Çerez politikası, kişisel verilerin elde edilmesi sırasında yapılması gereken aydınlatmayı karşılayacak biçimde hazırlanmalıdır. Veri sorumlusu veya yetkilendirdiği kişi, ilgili kişiye aşağıdaki konularda bilgi vermekle yükümlüdür (KVKK m.10):

• Kimlik: Veri sorumlusunun ve varsa temsilcisinin kim olduğu.
• Amaç: Kişisel verilerin hangi amaçlarla işleneceği.
• Alıcı ve aktarım amacı: Verilerin kimlere ve hangi amaçlarla aktarılabileceği.
• Yöntem ve hukuki sebep: Verilerin nasıl toplandığı ve hangi işleme şartına dayanıldığı.
• Haklar: İlgili kişinin Kanunun 11. maddesindeki hakları.

Çerez politikası hazırlanırken “site deneyimini geliştirmek” gibi tek başına belirsiz kalan ifadelerle bütün faaliyetleri toplamayın. Kullanılan amaçları belirli ve anlaşılır biçimde açıklayın; ileride belki yapılacak işlemleri bugün yapılıyormuş gibi metne eklemeyin. Aydınlatmada eksik, yanıltıcı veya yanlış bilgi bulunmamalıdır (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.5/1-g, m.5/1-ğ, m.5/1-j).

Hukuki sebep, yalnız “6698 sayılı Kanun” yazılması değildir. Kişisel veri işleme faaliyetinin hangi işleme şartına dayandığı açıkça belirtilmelidir. İşleme amacı ile hukuki sebep ayrı bilgilerdir; ziyaret sayısını ölçme amacı, tek başına bu verilerin hangi hukuki şartla işlendiğini açıklamaz (Tebliğ m.5/1-h).

4. Çerez Politikası Nasıl Hazırlanır? Adımlar ve Örnek

Çerez politikası, teknik kullanım listesi ile hukuki değerlendirmenin birlikte okunmasıyla hazırlanır. Veri işleme amaçlarını ve vasıtalarını belirleyen veri sorumlusunun rolü, yalnız metni yazan kişiyle karıştırılmamalıdır (KVKK m.3/1-ı).

1. Fiilî kullanımı belirleyin. Kullanılan çerezleri ve hizmetleri teknik ekipten alın; kullanılmayan veya kaldırılmış araçların kayıtlarını ayırın.
2. Faaliyeti açıklayın. Her kayıt için gerçek amacı, işlenen veriyi, süreyi ve veri akışını ortaya koyun.
3. Hukuki şartı inceleyin. Açık rıza mı, başka bir işleme şartı mı değerlendirildiğini faaliyet bazında belirleyin (KVKK m.5).
4. Aydınlatmayı yazın. Kimlik, amaç, alıcı, yöntem, hukuki sebep ve haklar bilgisini hazırlayın (KVKK m.10).
5. Tercihle uygulamayı karşılaştırın. Rızaya dayalı işlemler için ekrandaki tercih ile sitenin fiilen yaptığı işlemin tutarlı olup olmadığını kontrol edin (KVKK m.3/1-a ve m.5).
6. Yayım öncesi son kontrolü yapın. Metindeki sağlayıcı, amaç ve süre açıklamalarının envanterdeki güncel bilgilerle uyuştuğunu inceleyin (KVKK m.4).

Örneğin varsayımsal bir sitede yalnız oturum sırasında kullanıcının talep ettiği işlemi sürdüren bir çerez bulunduğunu düşünün. Politika taslağına başka bir şirketin reklam sağlayıcısını ve saklama süresini kopyalamak yerine aşağıdaki hazırlık yapılabilir:

Taslak alanı	Bu örnekte nasıl tamamlanır?
Ad ve işlev	Teknik ekipten alınan gerçek çerez adı ve oturumda yerine getirdiği işlev yazılır.
Sağlayıcı	Çerezi kimin kullandığı ve veriye erişen bir hizmet sağlayıcı bulunup bulunmadığı araştırılır.
Süre	Teknik olarak ne zaman silindiği doğrulanır; örneğe rastgele gün sayısı eklenmez.
Hukuki sebep	Faaliyetin şartları incelenerek uygun dayanak belirlenir; yalnız oturum çerezi denilerek otomatik sonuç kurulmaz.
Bil­gi­len­dirme	Veri sorum­lu­su­nun gerçek kimliği, amaç, alıcı, yöntem ve haklar bilgisiyle metin tamamlanır.

Bu örnek yayımlanmaya hazır bir politika değildir. Bir çerezin işlevini anlamakla o faaliyet için işleme şartının gerçekleştiğini doğrulamak ayrı işlerdir (KVKK m.5 ve m.10).

5. Çerez Politikasında Açık Rıza ile Aydınlatma Nasıl Ayrılır?

Çerez politikasındaki bilgilendirme ile çerezlere ilişkin açık rıza alma işlemi aynı değildir. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Faaliyet açık rızaya dayanıyorsa aydınlatma ve rıza alma işlemleri ayrı ayrı yerine getirilmelidir (KVKK m.3/1-a; Tebliğ m.5/1-f).

Kişisel verilerin başka bir işleme şartıyla işlenmesi mümkünse, bu şartın ilgili faaliyette gerçekten bulunup bulunmadığı incelenir. Açık rıza dışındaki şartlara dayanılması bilgilendirmeyi ortadan kaldırmaz. Bu nedenle yalnız rıza istenen çerezlere ilişkin metin hazırlayıp diğer kişisel veri işlemlerini açıklamasız bırakmak doğru değildir (KVKK m.5; Tebliğ m.5/1-a).

Çerezlere “zorunlu”, “analitik” veya “işlevsel” adı verilmesi tek başına hukuki sebep oluşturmaz. Kurum rehberi, birinci taraf analitikler için yalnız anonim istatistik üretme, farklı siteler arasında çapraz takip yapmama ve verileri üçüncü taraflara iletmeme gibi sınırlamalarla değerlendirme yapar. Bu açıklama bütün analitik araçlara yayılan genel bir muafiyet değildir. Faaliyetin amacı, verisi ve aktarımı ayrıca incelenmelidir (KVKK m.4 ve m.5; Çerez Uygulamaları Hakkında Rehber, bölüm 5.9).

Belirli konuda rıza almak yerine her türlü veri kullanımını kapsayan genel bir kabul cümlesi kullanılmamalıdır. Rızanın kapsamı ve geri alınması için açık rıza rehberindeki ayrımlar da dikkate alınabilir (KVKK m.3/1-a).

6. Çerez Politikası Tercih Ekranıyla Nasıl Eşleştirilir?

Çerez politikası ile tercih ekranı aynı veri işleme faaliyetlerini anlatmalı; rızaya dayalı işlem kullanıcının tercihinden kopuk yürütülmemelidir. Kurum rehberi, yalnız siteye girilmesini açık rıza saymaz. Rızaya dayalı çerezlerde tercih alınması ile bilgilendirme birbirini tamamlayan ayrı işlemlerdir (KVKK m.3/1-a ve m.5; Tebliğ m.5/1-f).

Rehber, kabul, ret ve tercih seçeneklerinin eşit görünürlüğünü ve rızaya bağlı seçeneklerin başlangıçta pasif olmasını iyi uygulama olarak ele alır. Tercihe yeniden erişilebilmesi de rızanın geri alınabilmesi bakımından önemlidir. Bunlar Kanunda belirli bir düğme tasarımı çizilmiş gibi değil, Kurumun uygulama tavsiyeleri olarak okunmalıdır (Çerez Uygulamaları Hakkında Rehber, bölüm 7).

Yayım öncesinde hazırlık kontrolü olarak yeni bir oturumda tercih vermeden, reddederek ve kabul ederek sitenin davranışı karşılaştırılabilir. Bu kontrolün amacı, politikanın söyledikleriyle teknik ekibin uyguladığı işlemin uyuşup uyuşmadığını görmektir; tek bir ekran görüntüsü veya kullanılan yazılımın adı hukuki şartların sağlandığını göstermez (KVKK m.4, m.5 ve m.12).

Aşağıdaki tablo, açık rızaya dayandırılan işlemleri teknik ekiple sınamak için kullanılabilir. Mevzuatta aynen öngörülmüş bir test yöntemi değildir; her satırda ekranda görünen tercih ile gerçekleşen işlem karşılaştırılır. Başka bir işleme şartına dayanan faaliyetler ayrıca değerlendirilir (KVKK m.5; Çerez Uygulamaları Hakkında Rehber, bölüm 7).

Deneme	Kontrol edilecek davranış	Kayda alınacak bulgu
Henüz tercih veril­me­miş­ken	Açık rızaya dayan­dı­rı­lan çerez veya veri akışı başlamış mı?	Başlayan işlemin adı, amacı ve envan­ter­deki karşılığı.
Reddet seçil­di­ğinde	Reddedilen, rızaya bağlı işlemler kapalı kalıyor mu?	Ekrandaki ret ile teknik davranış arasındaki varsa uyumsuzluk.
Yalnız bir kategori seçil­di­ğinde	Seçilmeyen, rızaya bağlı amaçlar da çalışıyor mu?	Seçilen kategoriyle gerçekten başlayan işlemlerin eşleşmesi.
Tercih sonradan geri alındığında	İlgili rızaya dayan­dı­rı­lan işlemin devamı duruyor mu?	Tercih deği­şik­li­ğin­den sonraki teknik davranış.

Kontrol sırasında yalnız düğmenin rengini veya tercih kaydının oluşmasını incelemeyin. Teknik ekipten, ilgili çerezin kullanımı ve veri gönderiminin tercih öncesinde ve sonrasında nasıl değiştiğini göstermesini isteyin. Böylece metin, tercih ekranı ve uygulama arasındaki fark somut bir düzeltme listesine dönüşür.

7. Çerez Politikasında Saklama Süresi Nasıl Yazılır?

Çerez politikasında her kullanım için aynı saklama süresi yazılmamalıdır. Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir. Amaçla bağlantılı, sınırlı ve ölçülü işleme ilkesi de gözetilmelidir (KVKK m.4/2-ç ve m.4/2-d).

Hazırlıkta çerezin cihazda ne kadar kaldığı ile bu yolla elde edilen kişisel verinin başka sistemlerde ne kadar tutulduğu ayrı ayrı araştırılmalıdır. Politikada kısa bir süre açıklanırken hizmet sağlayıcının veriyi farklı bir süreyle saklaması ihtimali gözden kaçırılmamalıdır. Gerçek teknik ayar ve saklama gerekçesi bilinmeden örnek bir politikadan süre alınmaz (KVKK m.4).

Saklama gerekçesi sona eren kayıtların ele alınması, yalnız tarayıcıdaki çerezin süresinin dolmasından ibaret değildir. İşletmenin kayıtlarına ilişkin yöntem ve süre incelemesi için kişisel verilerin imhası rehberine bakılabilir.

8. Çerez Politikasında Yurt Dışına Aktarım Nasıl Açıklanır?

Çerez politikası hazırlanırken hizmet sağlayıcıların fiilî veri akışı incelenmelidir. Kullanılan bir araç yurt dışına kişisel veri aktarımına yol açıyorsa, bilgilendirmenin yanında Kanunun 9. maddesindeki aktarım şartları da değerlendirilir. Kullanıcının genel bir kabul vermesi veya sağlayıcının politikada adının bulunması bu incelemenin yerini tutmaz (KVKK m.9 ve m.10/1-c).

Sağlayıcının ticari adıyla yetinmeyin; hangi verinin, hangi amaçla ve kimin erişimine açıldığını araştırın. Türkiye’de kurulmuş bir işletmenin yabancı bir hizmetten yararlanması ile her işlemde mutlaka yurt dışı aktarım bulunması aynı şey değildir. Sonuç, hizmetin gerçek veri akışına göre belirlenmelidir (KVKK m.3/1-e ve m.9).

Aktarım yolları ve sözleşme hazırlığı ayrı bir değerlendirme gerektirir. Bu konu için yurt dışına kişisel veri aktarımı rehberinde yeterlilik, uygun güvence ve arızi aktarım ayrımları açıklanmıştır.

9. Çerez Politikası Ne Zaman Güncellenir ve Başvuru Nasıl Yapılır?

Çerez politikası, sitedeki veri işleme faaliyeti değiştiğinde uygulamayla birlikte yeniden incelenmelidir. Yeni amaçla veri işlenecekse bu faaliyetten önce aydınlatma ayrıca yapılmalıdır. Sadece sayfanın altındaki tarihi değiştirmek, değişen amaç ve veri akışını ziyaretçiye açıklamaz (Tebliğ m.5/1-b; KVKK m.4).

Yeni bir analiz aracı, video hizmeti veya başka sağlayıcı eklendiğinde hazırlanan kullanım listesi gözden geçirilebilir. Sonrasında politika içeriği, rıza gerekiyorsa tercih düzeni ve fiilî veri işleme birlikte kontrol edilir. Aydınlatma yapıldığının ispatı veri sorumlusuna aittir; hangi metnin hangi zamanda sunulduğunun izlenebilmesi bu nedenle önem taşır (Tebliğ m.5/1-e).

Çerez politikası, ziyaretçinin kişisel verilerinin işlenmesine ilişkin haklarını da açıklamalıdır. İlgili kişi veri sorumlusuna başvurarak işleme, amaç ve aktarım hakkında bilgi isteyebilir; diğer haklarını Kanundaki şartlarla kullanabilir. Veri sorumlusu başvuruyu niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırır (KVKK m.11 ve m.13/2). Başvuru usulü için KVKK başvurusu nasıl yapılır yazısı incelenebilir.