KVKK Uyumlu Reklamcılık: Çerez Onayı ve Hedefleme Rehberi

Neden Bu Konu Hâlâ Güncel

Chrome'da üçüncü taraf çerezlerin kaldırılacağı yıllardır konuşuluyor, ama Google bu planı 2024'te durdurdu ve 2025'te tamamen rafa kaldırdı. Yani tarayıcı tarafında çerezler şu an için kalıcı.

Ama bu, Türkiye'de reklam veren bir KOBİ için "çerez konusu kapandı" anlamına gelmiyor. KVKK (Kişisel Verileri Koruma Kurumu), tarayıcı üreticilerinden bağımsız olarak kendi çerez kurallarını 2022'de yayımladığı Çerez Uygulamaları Hakkında Rehber ile zaten belirlemiş durumda. Google Ads veya Meta Ads üzerinden hedefleme ve yeniden pazarlama (remarketing) yapan her site, bu rehbere göre hareket etmek zorunda — Chrome ne yaparsa yapsın.

Bu yazı, reklam amaçlı çerez kullanımında nelere dikkat etmeniz gerektiğini pratik bir çerçevede özetliyor.

Hangi Çerezler Açık Rıza Gerektirir, Hangileri Gerektirmez

KVKK rehberine göre bazı çerezler "zorunlu" kabul edilir ve açık rıza gerektirmez: oturum çerezleri (sepet, form bilgisi), kimlik doğrulama çerezleri, güvenlik çerezleri, dil tercihi gibi arayüz çerezleri ve yalnızca anonim istatistik üreten birinci taraf analitik çerezleri. Önemli bir detay: zorunlu çerezler pazarlama amacıyla kullanılamaz.

Reklamcılık açısından asıl dikkat edilmesi gereken grup ise açık rıza gerektiren çerezler:

• Çevrim içi davranışsal reklamcılık (OBA) çerezleri — yani bir kullanıcının gezinme geçmişine göre reklam gösteren tüm çerezler
• Üçüncü taraf takip çerezleri (Google Ads, Meta Pixel gibi platformların yerleştirdiği çerezler dahil)
• Sıklık sınırlama (frequency capping) ve reklam ortaklığı amaçlı çerezler
• Üye olmayan veya oturumu kapatmış kullanıcılar için sosyal eklenti takip çerezleri

Yani sitenizde Meta Pixel veya Google Ads remarketing etiketi çalışıyorsa, bu doğrudan "açık rıza gerektiren çerez" kategorisine giriyor.

Açık Rızanın Geçerli Olması İçin Gereken Şartlar

KVKK, "siteye girdi, demek ki kabul etti" mantığını veya önceden işaretlenmiş kutucukları geçerli rıza saymıyor. Geçerli bir açık rıza için:

• Rıza opt-in olmalı, yani kullanıcı aktif bir eylemle onay vermeli; opt-out (varsayılan açık, isteyen kapatır) sistemi kabul edilmiyor.
• Her farklı amaç için ayrı rıza alınmalı — "tüm çerezleri kabul ediyorum" tek butonu yeterli değil, reklam çerezleri kendi kategorisinde ayrı onay istemeli.
• Rıza, kullanım koşullarına veya gizlilik bildirimine eklenerek alınamaz; bir hizmetin ön koşulu olamaz.
• Kullanıcı rızasını her an geri alabilmeli ve çerez tercih paneline siteyi kullanırken her sayfadan erişebilmeli.
• "Kabul et", "Reddet" ve "Tercihler" butonları eşit görünürlükte olmalı — reddetme seçeneğini küçük gri bir linkle gizlemek bu kuralı ihlal eder.

Çerez Yönetim Paneli Nasıl Kurulmalı

Pratikte bu, sitenize girildiği anda görünen bir çerez bandı veya pop-up anlamına geliyor. Panelde açık rıza gerektiren kategoriler (reklam/pazarlama çerezleri gibi) varsayılan olarak pasif gelmeli; kullanıcı kendisi aktif etmeli. Kullanıcı kategoriler arasında ayrım yapabilmeli (örneğin analitik çerezleri kabul edip reklam çerezlerini reddedebilmeli).

Birçok hazır çerez yönetim aracı (CMP) bu yapıyı kurulu olarak sunuyor, ama varsayılan ayarları kontrol etmek sizin sorumluluğunuzda — bir CMP eklentisi kurmuş olmak otomatik olarak uyumlu olduğunuz anlamına gelmiyor.

Aydınlatma Metni Ne İçermeli

Rızadan önce kullanıcı bilgilendirilmeli ve bu bilgilendirme şu dört noktayı açıkça içermeli: çerezin adı, kullanım amacı, kullanım süresi, ve birinci taraf mı üçüncü taraf mı olduğu. Uzun, karmaşık bir genel gizlilik bildirimi bu yükümlülüğü karşılamıyor — kullanıcının rıza vermeden önce kolayca okuyup anlayabileceği, ayrı ve net bir metin gerekiyor.

Google Ads ve Meta Reklamlarında Pratik Adımlar

Reklam hesaplarınızı KVKK açısından güvenceye almak için kontrol listesi:

1. Sitenizde çerez bandı var mı, ve reklam çerezleri gerçekten varsayılan pasif mi? Çoğu site banner'ı gösteriyor ama arka planda Meta Pixel veya Google Ads etiketi, kullanıcı onay vermeden önce de çalışmaya başlıyor — bu en sık rastlanan hata.
2. Google'ın Consent Mode mantığını uyguluyor musunuz? Kullanıcı reddettiğinde ilgili etiketlerin devre dışı kalması, kabul ettiğinde çalışması gerekiyor. Bu, Google Tag Manager üzerinden kurulabilir.
3. Aydınlatma metniniz çerez bazında mı, yoksa tek bir genel gizlilik maddesi mi? İkincisi yeterli sayılmıyor.
4. Üçüncü taraf çerezler için sorumluluk netleşmiş mi? KVKK'ya göre hem site sahibi hem de üçüncü taraf (Google, Meta gibi) bilgilendirme ve rıza konusunda sorumlu; bu sorumluluk sözleşmeyle paylaşılabilir ama tamamen reklam platformuna havale edilemez.

Rıza Kayıtları ve Yurt Dışı Veri Aktarımı

Kullanıcıların verdiği (veya reddettiği) rıza kayıtlarını makul bir süre saklamanız gerekiyor — bir denetim veya şikayet durumunda "kullanıcı onay verdi" demek yetmiyor, bunu gösterebilmeniz gerekiyor. Çoğu CMP aracı bu kayıtları otomatik tutuyor, ama hangi aracı kullandığınızı ve kayıtların nerede saklandığını bilmelisiniz.

Ayrıca unutulmaması gereken bir nokta: Google Ads ve Meta gibi platformların sunucuları büyük ölçüde yurt dışında. Çerezler aracılığıyla toplanan veriler bu sunuculara aktarıldığında, KVKK'nın 9. maddesi ve 2024 tarihli yurt dışına veri aktarımı yönetmeliği devreye giriyor. Bu, reklam hesabınızı siz kurmasanız da, veri sorumlusu sıfatıyla sizin sorumluluğunuzda kalan bir konu.

Sonuç

Chrome'daki çerez tartışması uluslararası bir teknoloji gündemi; KVKK'nın çerez kuralları ise yerel ve zaten yürürlükte olan bir yükümlülük. Reklam veren her işletme için pratik olan, tarayıcı haberlerini takip etmek değil, sitesindeki çerez bandının gerçekten KVKK rehberine uygun çalışıp çalışmadığını kontrol etmek. Bu kontrolü yapmadan devam eden reklam kampanyaları, hem hukuki risk hem de yanlış ölçümlenen dönüşüm verisi anlamına gelebilir.