Çerez Onayı (Cookie Consent) Nedir?

Hangi çerezler izin gerektirir?

Her çerez rızaya bağlı değildir. Kişisel Verileri Koruma Kurumu'nun ilk kez 2022'de yayımladığı, güncel baskısı Temmuz 2025 tarihli Çerez Uygulamaları Hakkında Rehber, kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli çerezleri açık rıza dışındaki işleme şartlarına dayanabilecek örnekler olarak sayar:

• Oturum açma ve sepet gibi kullanıcı girdisini tutan oturum çerezleri
• Güvenlik amaçlı çerezler, örneğin bir uygulama güvenlik duvarının istek sınırlaması için kullandığı çerez
• Yük dengeleme çerezleri ve kullanıcının rıza tercihini hatırlayan çerez
• Rehberin ifadesiyle birinci taraf analitik çerezler; ancak yalnızca anonim istatistik üretmek, IP maskeleme gibi tedbirler almak, siteler arası takip yapmamak ve veriyi üçüncü taraflara iletmemek kaydıyla

Davranışsal reklam çerezleri ve sosyal eklentilerin takip çerezleri ise rehbere göre açık rıza gerektirir. AB'de ePrivacy kuralları kesinlikle gerekli olmayan her türlü cihaz depolamasını rızaya bağlar; analitik için istisna tanıyan otoriteler olsa da kapsamları dardır. Bu madde genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

Bir CMP gerçekte ne iş yapar?

Rıza yönetim platformu (Consent Management Platform, CMP), görünen bandın arkasında birkaç ayrı işi yürütür:

1. Sitedeki çerezleri amaçlarına göre kategorilere ayırır ve bilgilendirme metnine bağlar.
2. Ziyaretçinin seçimini kaydeder ve ispat için saklar.
3. Rıza verilmeyen kategorilerdeki betikleri hiç çalıştırmaz.
4. Tercihi etiket yöneticisine ve Google araçları için Consent Mode'a iletir.
5. Kullanıcının tercihini sonradan değiştirmesine izin verir.

Üçüncü madde en çok aksayan kısımdır. Bant ekranda dururken analitik veya reklam pikseli çoktan çalışmışsa, banner yalnızca görsel bir dekordur.

Bandın tasarımı: eşit ağırlıkta seçenekler

Rehber iyi uygulama örneği olarak, siteye girildiği anda açılan panelde “kabul et”, “reddet” ve “tercihler” butonlarının renk, büyüklük ve punto bakımından eşit sunulmasını gösterir. Diğer vurguları:

• Açık rızaya tabi çerezler tercih panelinde varsayılan olarak pasif gelmelidir.
• Siteye girmek veya sayfayı kaydırmak rıza sayılmaz; rıza aktif bir eylem ister.
• Tüm çerezler kabul edilmeden içeriği göstermeyen çerez duvarları özgür iradeyi sakatlayabilir.
• Her ziyarette yeniden sormak “rıza yorgunluğu” yaratır; tercih, çerez ömrüyle orantılı aralıklarla hatırlatılabilir.
• Rızayı geri almak için sayfanın köşesinde küçük bir simge veya bant bırakmak iyi bir örnektir.

Reddi gizleyen veya zorlaştıran tasarımlar karanlık desen sayılır ve rızanın geçerliliğini tartışmalı hâle getirir.

Uygulamada betikleri rızaya bağlamak

// Rıza yoksa reklam ve analitik betikleri hiç yüklenmez
const tercih = cmp.getConsent(); // örn. { analitik: false, reklam: false }

if (tercih.analitik) loadScript("https://analitik.example/tag.js");
if (tercih.reklam) loadScript("https://reklam.example/pixel.js");

cmp.onChange((yeni) => { /* rıza sonradan verilirse yükle, geri alınırsa durdur */ });

Buradaki cmp ve loadScript temsilîdir; her CMP'nin kendi API'si vardır. Önemli olan sıra: önce karar, sonra betik.

Kontrol etmenin pratik yolu

1. Siteyi gizli pencerede açın ve banner'a dokunmadan DevTools'ta Application → Cookies bölümüne bakın. Yalnızca zorunlu çerezler görünmelidir.
2. Network panelinde reklam ve analitik alan adlarına istek gidip gitmediğini kontrol edin.
3. “Reddet”e basıp sayfayı yenileyin ve aynı kontrolü tekrarlayın.
4. Bilgilendirme metnindeki çerez listesinin gerçekte yüklenen çerezlerle uyuştuğunu doğrulayın.

Hukuki dayanakların genel çerçevesi için açık rıza ve KVKK maddelerine bakabilirsiniz.