Çerez (Cookie) Nedir? Türleri, Nasıl Çalışır, Neden Kişisel Veridir

Çerez (cookie), bir web sitesinin ziyaretçinin tarayıcısına kaydettiği küçük metin dosyasıdır. Site, ziyaretçi geri geldiğinde bu dosyayı okuyarak onu tanır: oturumu açık tutar, sepeti hatırlar, dil tercihini korur veya davranışlarını ölçer. Çerezler kişiyi doğrudan adıyla tanımlamaz, ama tarayıcıya atanan benzersiz kimlik sayesinde kişiyi "belirlenebilir" kılar; bu yüzden KVKK ve GDPR kapsamında kişisel veri sayılır.

Çerez nasıl çalışır

Bir siteyi ilk ziyaretinizde sunucu, tarayıcınıza "bu ziyaretçi 8f3a2c" gibi bir kimlik içeren çerez gönderir; tarayıcı bunu saklar. Sonraki her istekte tarayıcı çerezi sunucuya geri yollar, sunucu da sizi tanır. Çerezin içinde sizin adınız değil, sunucunun sizi eşleştirmesine yarayan anahtar bulunur.

Çerez türleri

Kaynağına göre

• Birinci taraf çerezler: Ziyaret ettiğiniz sitenin kendisi tarafından yazılır. Oturum, sepet, tercih çerezleri genellikle bu gruptadır.
• Üçüncü taraf çerezler: Sitede yüklü başka bir alan adına ait araç tarafından yazılır: reklam ağları, sosyal medya eklentileri, bazı analitik araçlar. Siteler arası izlemeyi mümkün kılan bunlardır. Safari ve Firefox üçüncü taraf çerezlerini varsayılan olarak engeller; Google, Chrome'da bunları kaldırma planını 2024'te geri çekmiş ve kullanıcı tercihine bırakmıştır.

Süresine göre

• Oturum çerezleri: Tarayıcı kapanınca silinir.
• Kalıcı çerezler: Belirlenen süre boyunca (günler, aylar, en fazla 400 gün) tarayıcıda kalır.

Amacına göre (KVKK Çerez Rehberi'ndeki sınıflandırma)

Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi ilk kez 2022'de yayımlanmış, Temmuz 2025'te güncellenmiştir. Yalnız kitle ölçümü yapan, IP maskeleyen ve siteler arası takip yapmayan birinci taraf analitik çerezler Rehber'e göre rıza gerektirmeyebilir; veriyi üçüncü tarafa aktaran araçlar (Google Analytics gibi) bu istisnaya girmez.

Çerez neden kişisel veridir

Çerez kimliği tek başına ad soyad içermez; ancak aynı tarayıcıdan gelen ziyaretleri birbirine bağlar, IP adresi ve oturum bilgileriyle birleşince kişiyi belirlenebilir kılar. KVKK, "belirlenebilir" gerçek kişiye ait her bilgiyi kişisel veri saydığından, zorunlu olmayan çerezlerin çalıştırılması kişisel veri işlemedir ve açık rıza gerektirir. Kurul'un çerez kararları bu ilkeye dayanır; pazarlama çerezlerinin rıza gelmeden çalışmaması, hem ziyaretçiye hem site sahibine güven verir.

Çerezlerin yerini alan teknolojiler

Çerezlerin sınırlanmasıyla birlikte üç teknoloji öne çıktı: local storage (tarayıcıda çerez dışı depolama; hukuken aynı kurallara tabidir), tarayıcı parmak izi (cihaz özelliklerinden kimlik üretme; rıza gerektirir ve KVKK açısından daha sorunludur) ve sunucu tarafı ölçüm (verinin site sunucusu üzerinden toplanması; rıza yükümlülüğünü ortadan kaldırmaz, teknik kontrolü site sahibine verir). Hangi teknoloji kullanılırsa kullanılsın, kişiyi belirlenebilir kılan her tanımlayıcı aynı hukuki rejime tabidir.

Site sahipleri için: çerezlerinizi bilmek

Çoğu site sahibi, sitesinde kaç çerez çalıştığını bilmez; bir e-ticaret sitesinde bu sayı kolayca 40'ı geçer, çoğu üçüncü taraf araçlardan gelir. KVKK uyumunun ilk adımı bu envanteri çıkarmaktır. Çerez tarayıcı alan adınızı girdiğinizde çerezleri bulur, kategoriye ayırır ve hangilerinin rıza gerektirdiğini gösterir; sonuç, çerez politikanızın tablosu için doğrudan kullanılabilir. Rızayı toplamak ve reddedilen çerezleri engellemek için ise bir çerez yönetim platformu gerekir.

Sıkça sorulan sorular

Çerezler zararlı mı?

Çerez bir metin dosyasıdır; virüs taşımaz, programı çalıştırmaz. Sorun çerezin kendisi değil, kimin ne amaçla kullandığıdır.

Çerezleri silersem ne olur?

Açık oturumlarınız kapanır, tercihleriniz sıfırlanır, reklam profilleriniz kesintiye uğrar. Site çalışmaya devam eder. Ayrıntı: çerezlere izin vermezsem ne olur.

Çerez politikası ile çerez aynı şey mi?

Hayır. Çerez teknik dosyadır; çerez politikası, sitenin hangi çerezleri ne amaçla kullandığını açıklayan metindir. Politika, KVKK aydınlatma yükümlülüğünün çerezlere özel bölümüdür.

Her sitede çerez banner'ı olmak zorunda mı?

Kişisel veri işleyen çerez (analitik, pazarlama, işlevsel) kullanan her sitede evet. Yalnız zorunlu çerez kullanan sitede gerekmez.

Sitenizde hangi çerezlerin çalıştığını görmek için ücretsiz tarama yapabilirsiniz.