Çerez banner tasarımı: KVKK'ya uygun çerez onay ekranı

Kısaca

Çerez banner'ı (cookie banner), siteye ilk girişte çıkan ve çerezler için izin isteyen bant ya da penceredir. Türkiye'de bu ekran için Kişisel Verileri Koruma Kurumu'nun "Çerez Uygulamaları Hakkında Rehber" adlı metnine bakılır.

Rehberin iyi uygulama dediği banner'da Kabul et, Reddet ve Tercihler eşit ağırlıktadır. Rehber, onay gerektiren çerezlerin panelde kapalı başlamasını da önemli bulur. Ben bu sayfada rehberin kurallarını tasarım kararlarına çeviriyorum.

Not: Bu sayfa hukuki danışmanlık değildir. Rehberin kendi metnini okuyun ve kendi durumunuz için bir hukukçuya danışın.

KVKK çerez rehberi nedir, bağlayıcı mı?

NTV'nin 20 Haziran 2022 tarihli haberi, rehberin Kurum'un internet sitesinde yer aldığını bildirdi. Benim okuduğum sürüm Temmuz 2025 tarihli, KVKK Yayınları No: 69. Bu sayfadaki sayfa numaraları bu sürüme göre.

Rehber kendini yol gösterici bir metin olarak tanımlar. Giriş bölümünde "pratik tavsiyeler niteliğinde, yol gösterici" bir doküman olmayı amaçladığını yazar (s. 9). Yine de Kurum'un çerez ekranına bakışını bu metinden okuyabilirsiniz.

Kapsam da önemli. Rehber masaüstü ve mobil web sitelerini, web uygulamalarını kapsar (s. 9). Piksel, parmak izi, local storage ve beacon gibi benzer teknolojiler için yönlendirme yapmaz.

Kullanıcıyı yönlendiren arayüzlerle ilgili Türkiye mevzuatını dark pattern rehberinde ayrıca anlattım. Burada yalnız çerez ekranına bakıyorum.

Hangi çerezler için onay gerekmez?

Her çerez için onay istemek gerekmez. Rehber iki ölçüt verir (Bölüm 4, s. 16). Kriter A: çerez yalnız iletişimi elektronik haberleşme şebekesi üzerinden sağlamak için kullanılır.

Kriter B: çerez, kullanıcının açıkça istediği hizmet için kesinlikle gereklidir. Rehberin bu iki ölçüte göre verdiği örneklerden bazıları şunlar (s. 18-26):

• Form ve alışveriş sepeti gibi kullanıcı girdisini tutan oturum çerezleri.
• Giriş yapan kullanıcıyı tanıyan kimlik doğrulama çerezleri.
• Yük dengeleme çerezleri.
• Kullanıcının çerez tercihini hatırlayan çerez (s. 24).
• Koşullara uyan birinci taraf analitik çerezler.

Analitik maddesi koşulludur. Rehbere göre bu çerezler yalnız anonim istatistik üretmeli ve kişiyi siteler arasında takip etmemeli (s. 25). Davranışsal reklam çerezleri ise açık rıza gerektirir (s. 28).

Ters yönde bir uyarı da var. Rehbere göre temel işlevsellik Kriter A ve B kapsamındaysa, onun için açık rıza almak dürüstlük kuralıyla bağdaşmaz (Ek-5, s. 54). Yani zorunlu çerezi bir onay kutusuna bağlamayın.

Tasarıma yansıması şu: tercihler panelinde zorunlu çerezler kilitli ve açık görünür. Yanına neden kapatılamadığını yazın. Rehber, zorunlu çerezlerin pazarlama amacıyla kullanılmaması gerektiğini de söyler (s. 12).

"Zorunlu" etiketi bir torba değildir. Avrupa Veri Koruma Kurulu'nun (EDPB) çerez banner'ı görev gücü raporu da kesinlikle gerekli olmayan çerezlerin "zorunlu" sayılmasını ayrı bir sorun olarak ele alır.

Birinci katman: Kabul et, Reddet, Tercihler

Rehberin iyi uygulama örneği açık. Siteye girildiğinde bir çerez paneli çıkar ve "kabul et", "reddet", "tercihler" butonları renk, büyüklük ve punto açısından eşit sunulur (Bölüm 7.3, s. 30). Ek-2'deki örnek bant da ilk katmanda üç buton gösterir (s. 46).

Ek-5'teki kötü örnekler bunun tersidir. Kötü Örnek-1'de yalnız "Tüm çerezleri kabul et" butonu var (s. 54). Kötü Örnek-2'de rehber, ilk aşamada kabul ve ret butonlarının ikisinin de eşit büyüklükte ve aynı renkte yer almasını tavsiye eder (s. 55).

"Sitemizi kullanarak çerezlere izin vermektesiniz" cümlesi yetmez. Rehber, rızanın aktif bir olumlayıcı eylemle alınması gerektiğini yazar (s. 28). Kötü Örnek-4 bu kullanımı hukuka uygun saymaz (s. 57).

Banner metni kısa olmalı ama boş olmamalı. Kötü Örnek-4'e göre çerezlerin amaçları ve tarafları bantta kısaca belirtilmeli. Rehber, aydınlatma metnine bir bağlantı konmasını da doğru bir örnek sayar (s. 30-31).

Butonlarda dikkat ettiklerim

• Reddet bir buton olsun, metin içinde bir bağlantı değil.
• Kabul et koyu dolgu, Reddet soluk çerçeve olmasın. İkisi aynı bileşeni kullansın.
• Etiketler ne olacağını söylesin. "Belki sonra" gibi belirsiz etiketlerden kaçının.
• Dar ekranda butonlar alt alta dizilebilir. Önemli olan aynı genişlik ve aynı stil.

AB tarafında da yön aynı. 17 Ocak 2023'te kabul edilen EDPB raporu, vardığı tutumları asgari bir eşik olarak tanımlar. Rapora göre otoritelerin büyük çoğunluğu, onay butonu olan katmanların hiçbirinde ret seçeneği olmamasını ihlal saydı.

Rapor, ret için yalnız metne gömülü ve yeterli görsel destek taşımayan bir bağlantı verilmesini de geçerli rıza saymaz. Renk ve kontrast için genel bir standart dayatılamayacağını, vaka vaka bakılacağını belirtir. Metni neredeyse okunamayan bir ret butonu ise rapora göre açıkça yanıltıcı olabilir.

Tercihler paneli: kutular boş gelir

İkinci katman, tercihler panelidir. Rehbere göre açık rıza ile işlenmesi gereken çerezlerin yönetim panelinde "ilk elde pasif biçimde" gelmesi önem taşır (Bölüm 7.3, s. 31). Yani analitik ve pazarlama kutuları işaretsiz başlar.

Her amaç ayrı bir satırdır. Rehber, her farklı amaç için ayrı açık rıza alınmasına olanak veren bir mekanizma ister (Bölüm 10.2, s. 40). "Kişisel verilerimin işlenmesini kabul ediyorum" gibi genel bir onay açık rıza sayılmaz (Bölüm 7.1, s. 29).

Her satırda çerezin amacı, süresi ve birinci mi üçüncü taraf mı olduğu yazsın. Rehber bunları "belirli bir konuya ilişkin olma" unsuru için gerekli görür (s. 29). EDPB raporu da ikinci katmanda önceden işaretli kutuların geçerli rıza sağlamadığını teyit eder.

Rehbere göre açık rıza, çerezler yerleştirilmeden önce alınmalı (s. 29). Yani onay gelene kadar analitik ve reklam kodları çalışmamalı. Bunu geliştirici kurar, tasarımcıyla birlikte de test eder.

Deneyin: üç banner, tek görev

Aşağıda üç kurgusal banner var. Göreviniz her birinde çerezleri reddetmek. Demo tıklamalarınızı sayar, bitince banner'ın rehberdeki hangi ilkeyle ilgili olduğunu gösterir.

Deneyin

Üç banner aşağıda alt alta duruyor. Her birinin altında KVKK rehberindeki ilgili ilke yazıyor. JavaScript açıkken her birinde reddetmeyi deneyebilir, tıklamalarınızı saydırabilirsiniz.

1. Tek buton (yalnız Kabul et)

Örnek Mağaza

Size daha iyi bir deneyim sunmak için çerez kullanıyoruz.

Kabul etDaha fazla bilgi

KVKK rehberindeki ilke

eşit derecede “Hepsini Kabul Et”, “Hepsini Reddet” ve “Tercihler” butonları sunulmamıştır.

Rehber, Ek-5, Kötü Örnek-1, s. 54

Bu banner'da ret yok. Kapatmanın tek yolu kabul etmek.

2. Gizli ret (Kabul et büyük, Ayarlar küçük bağlantı, ret ikinci katmanda)

Örnek Mağaza

Alışverişinizi kolaylaştırmak için çerez kullanıyoruz.

Kabul et ve devam etAyarlar

KVKK rehberindeki ilke

“Kabul ediyorum”, “Reddediyorum” butonlarının her ikisi de yer almalı.

Rehber, Ek-5, Kötü Örnek-2, s. 55

ilk elde pasif biçimde gelmesi önem arz etmektedir.

Rehber, Bölüm 7.3, s. 31 (onay gerektiren çerezler, yönetim panelinde)

Bu banner'da Reddet ilk katmanda yok. Tercihler panelindeki kutular da işaretli geliyor.

3. Dengeli (Kabul et / Reddet eşit, Tercihler)

Örnek Mağaza

Çerezleri üç amaçla kullanıyoruz: zorunlu (birinci taraf), analitik (birinci taraf) ve pazarlama (üçüncü taraf). Zorunlu olmayanlar yalnız onayınızla açılır.

Kabul etReddetTercihler

Aydınlatma metni

KVKK rehberindeki ilke

eşit derecede (renk, büyüklük, punto açısından) “kabul et”, “reddet” ve “tercihler” butonlarının sunulması iyi uygulama örneği olabilecektir.

Rehber, Bölüm 7.3, s. 30

Ret tek tıklama. Tercihler panelindeki kutular boş geliyor.

Üç banner ve Örnek Mağaza kurgusaldır. Bu demo hiçbir çerez yerleştirmez, seçimlerinizi saklamaz.

Aynı görev, üç banner. Dengeli banner'da ret tek tıklama, gizli ret banner'ında ikinci katmanda. Tek butonlu banner'da ise ret yolu hiç yok.

Tıklama sayısı tek başına bir şey kanıtlamaz. Ama ret, kabulden daha çok adım istiyorsa banner kullanıcıyı bir yöne itiyordur.

Rızayı geri alma ve yeniden sorma

Rehbere göre verilen rıza geri alınabilir olmalı ve çerez yönetim paneline erişim sağlanmalı (Bölüm 7.3, s. 29-30). Rehber iyi örnek olarak, panelin bir ikona ya da içeriği engellemeyen küçük bir banda dönüşüp sayfanın bir köşesinde durmasını gösterir.

Rehber "rıza yorgunluğu" uyarısı da yapar. Her girişte yeniden sormak yerine tercihin çerezin ömrüyle orantılı aralıklarla hatırlatılmasını uygun bulur (s. 30). Tercihi hatırlayan çerez de onay gerektirmeyenler arasında sayılır (s. 24).

EDPB raporu bu noktada daha net: rızayı geri almak, vermek kadar kolay olmalı. Rapor belirli bir çözüm dayatmaz. Görünür ve standart bir yerde duran bir ikon ya da bağlantı örnek olarak geçer.

Ben bunu genelde altbilgide "Çerez tercihleri" bağlantısı ve köşede küçük bir ikonla çözerim. İkon, sohbet balonu ya da sepet gibi başka sabit öğelerin üstüne binmemeli.

Çerez duvarı ve sözleşmeye gömülü onay

Çerez duvarı, ziyaretçi tüm çerezlere onay vermeden içeriği göstermeyen ekrandır. Rehbere göre rıza hizmetin ön koşulu olarak dayatılırsa duvar özgür iradeyi sakatlayabilir (Bölüm 7.3.1, s. 31-32). Rehber, olay özelinde değerlendirme kaydıyla adil alternatifler sunulabileceğini de not eder.

Reklam çerezleri için onayı kullanım koşullarına ya da gizlilik bildirimine iliştirmek de olmaz. Rehber bu yöntemi mümkün görmez (s. 31).

Sayfayı kilitleyen bir modal banner, duvara benzer bir his verir. Banner'ı modal yapıyorsanız modal ve popup kalıbındaki odak ve kapatma kurallarına uyun. Çoğu sitede içeriği kilitlemeyen bir alt bant öneririm.

Mobilde ve klavyede çerez banner'ı

Mobilde alt bant ekranın büyük kısmını kaplamasın. Metni iki üç satırda tutun, ayrıntıyı tercihler paneline bırakın. Butonlar alt alta dizildiğinde de aynı genişlikte ve aynı stilde kalsın.

Klavyeyle gezen kullanıcı banner'a ulaşabilmeli. Banner'ı sayfa kodunda içerikten önce koymak ya da açılınca odağı banner'a taşımak işe yarar. Butonların boyu için dokunma alanı kalıbına bakın.

Renk karşıtlığını da ölçün. Ret butonu soluk gri bir metinle yazılmışsa hem zor okunur hem eşitliği bozar. Kontrast için WCAG ölçütleri bu ekranda da geçerli.

Benim notum

Çerez banner'larında bence en can sıkıcı sorun, Reddet'in ikinci katmana saklanması. Bunun her zaman bilinçli bir karar olduğunu düşünmüyorum. Hazır bir çerez aracı kurulup varsayılan ayarı sorgulanmadan bırakılabiliyor.

Benim basit testim şu: reddetmek kaç tıklama, kabul etmek kaç tıklama? İki sayı eşit değilse banner'ı yeniden ele alırım. Yukarıdaki deneme bunun için var.

Kontrol listesi

Bir çerez banner'ını yayına almadan önce bu listeye bakarım. Bu bir hukuki uygunluk listesi değil, rehberden çıkan tasarım kontrolleridir.

• İlk katmanda Kabul et, Reddet ve Tercihler var.
• Üç buton aynı renk, büyüklük ve yazı boyutunda.
• Reddet bir buton, metin içinde bir bağlantı değil.
• Bantta çerezlerin amaçları ve tarafları kısaca yazıyor.
• Aydınlatma metnine bir bağlantı var.
• Tercihler panelinde onay gerektiren kutular boş geliyor.
• Zorunlu çerezler kilitli ve neden kilitli olduğu yazıyor.
• Her amaç için ayrı bir seçim var.
• Onay gelmeden analitik ve reklam kodları çalışmıyor.
• Kullanıcı onayını bir ikon ya da bağlantıyla sonradan değiştirebiliyor.
• Banner her girişte yeniden çıkmıyor.
• Banner klavyeyle baştan sona kullanılabiliyor.