Google Analytics ve Meta Pixel Kullanmak KVKK'ya Aykırı mı? Rıza Öncesi Yüklenen Kodlar, Yurt Dışına Aktarım ve Kurul Cezaları

Kısa cevap: kullanmak yasak değil, ama iki ayrı yükümlülüğü aynı anda çözmeniz gerekiyor ve siteler çoğunlukla bunlardan yalnızca birini çözüyor. Birincisi işlemenin hukuki sebebi. Ziyaretçi davranışını ölçen analitik kod ile reklam dönüşümünü ölçen piksel, Kişisel Verileri Koruma Kurumu'nun çerez rehberindeki muafiyet kriterlerini karşılamadığı için önceden ve aktif bir eylemle alınmış açık rızaya dayanmak zorunda. İkincisi aktarım. Bu kodlar veriyi yurt dışındaki bir sağlayıcının sunucusuna gönderdiği için 6698 sayılı Kanun'un 9. maddesi devreye giriyor ve 1 Eylül 2024'ten bu yana açık rıza, aktarımın yalnızca arızi olduğu hallerde dayanak olabiliyor. Her sayfa görüntülemesinde tetiklenen bir piksel arızi değil. Yani çerez banner'ınız kusursuz çalışsa bile aktarım tarafı kendiliğinden çözülmüş olmuyor; orada standart sözleşme gibi bir uygun güvence aranıyor. Kurul bu alanda ceza kesiyor ve gerekçe çoğu zaman tek bir satır koddan çıkıyor.

En sık duyulan itiraz şu: biz isim toplamıyoruz, sadece istatistik bakıyoruz. Toplanan şeye bakmak gerekiyor. GA4 kurulumu tarayıcıya _ga çerezini yazıp her isteğe bir istemci kimliği ekliyor, Meta pikseli _fbp çerezini oluşturup reklam bağlantısından gelen fbclid parametresini okuyor, her istekle birlikte IP adresi, tarayıcı ve cihaz bilgisi ve gezilen sayfanın adresi karşı tarafa gidiyor. Bunlar bir araya geldiğinde kişi belirlenebilir hale geliyor, dolayısıyla Kanun'un 3. maddesindeki kişisel veri tanımının içine giriyor. Kurumun mobil uygulamalar için yayımladığı tavsiye rehberi çevrim içi tanımlayıcıları tek tek sayıyor: IP adresi, MAC adresi, IMEI ve IMSI numarası, cihazda yüklü uygulama listesi üzerinden parmak izi çıkarılması. Aynı rehber, kullanıcı açık rıza vermediği sürece hedefli reklamcılık amacıyla konum verisi toplanmamasını istiyor. Uygulama tarafında kullanılan Meta ve Google yazılım geliştirme kitleri de aynı kapıya çıkıyor, çünkü orada çerez yerine reklam kimliği çalışıyor.

Hukuki sebep tarafında ölçü net. Çerez Uygulamaları Hakkında Rehber Haziran 2022'de yayımlandı, Temmuz 2025'te iyi ve kötü uygulama örnekleriyle güncellendi. Rehber, bir çerezin rızadan muaf sayılabilmesi için iki kriterden en az birinin karşılanmasını istiyor: çerezin tek amacının iletişimin teknik olarak sağlanması olması ya da kullanıcının açıkça talep ettiği hizmetin sunulabilmesi için kesinlikle gerekli olması. Sepeti hatırlayan çerez ikinci kriteri karşılıyor. Ziyaretçi sayısını ölçen, oturum süresini raporlayan, reklamın dönüşüp dönüşmediğine bakan kod ise hiçbirini karşılamıyor; siteniz onlar olmadan da çalışır. Buradan çıkan sonuç ağır: rıza gelmeden o kod hiç yüklenmemeli. Rehber ayrıca kabul, reddet ve tercihleri yönet seçeneklerinin eşit biçimde sunulmasını, önceden seçili onay kutusu bulunmamasını ve rızayı geri almanın en az vermek kadar kolay olmasını bekliyor.

Kurulun 8 Ağustos 2024 tarihli ve 2024/1361 sayılı kararı bu işin faturasını gösteriyor. Şikayet edilen veri sorumlusu bir özel öğretim kurumu. Sitesinde üç oturum çerezi vardı ve bunlar kesinlikle gerekli kabul edildi; bir de reklam etkinliğinin ölçülmesi amacıyla çalışan kalıcı bir analitik çerez vardı, bu çerez için opt-in mekanizması kurulmamıştı. Kurul açık rıza gereken çerezle işlemenin hukuki sebep olmadan yapıldığını tespit etti ve 18. maddenin birinci fıkrasının (b) bendinden 250.000 TL, aydınlatma yükümlülüğü için 15.000 TL idari para cezası uyguladı. Aynı dosyada iletişim formundaki tek onay kutusu da eleştirildi: üyelik sözleşmesinin kabulü ile reklam, promosyon ve kampanya bilgilendirmesine muvafakat aynı beyana sıkıştırılmıştı. Kurul rızanın belirli bir konuya ilişkin olmadığını ve özgür iradeyle verilmediğini değerlendirdi, hizmetin ön şartı olarak pazarlama rızası istenmemesi yönünde talimat verdi. Tek çerez, tek kutu, iki yüz altmış beş bin lira.

Kendi sitenizi beş dakikada test edebilirsiniz. Tarayıcıyı gizli pencerede açın, geliştirici araçlarındaki ağ sekmesini açık tutun ve çerez banner'ına hiç dokunmadan sayfayı yükleyin. Listede google-analytics.com adresine giden bir collect isteği ya da facebook.com/tr isteği görüyorsanız, rıza alınmadan veri işlemiş ve büyük olasılıkla yurt dışına göndermiş olursunuz. Etiket yöneticisi kullanan sitelerde hata genellikle aynı yerde duruyor: banner kuruluyor, ama etiketler rıza durumuna bağlanmadığı için sayfa açılışında hepsi tetikleniyor. İkinci sık hata reddet seçeneğinin ilk ekranda hiç bulunmaması. Üçüncüsü rıza kaydının tutulmaması. İspat yükü veri sorumlusunda olduğu için, hangi ziyaretçinin ne zaman hangi çerez kategorisine onay verdiğini gösteren bir kayıt yoksa denetimde anlatacak bir şey de kalmıyor.

Aktarım katmanına gelelim, çünkü Kurul bu tarafı 2020'de zaten netleştirdi. 27 Şubat 2020 tarihli ve 2020/173 sayılı Amazon kararında, siteye ilk girişten itibaren çerezlerle veri işlendiği, kullanıcıya önceden bilgi verilmediği ve yurt dışına aktarım için usulüne uygun açık rıza alınmadığı tespit edildi. Şirketin gizlilik bildirimini kabul eden kullanıcının aktarıma da onay vermiş sayılacağı yönündeki savunması kabul görmedi. Sonuç, veri güvenliği yükümlülüğünden 1.100.000 TL ve aydınlatmadan 100.000 TL olmak üzere toplam 1.200.000 TL idari para cezası oldu. 23 Aralık 2022 tarihli ve 2022/1358 sayılı kararda da bir internet sitesinde çerezlere ilişkin aydınlatma ve açık rıza metinlerinin sunulmaması hukuka aykırı bulundu, zorunlu olmayan çerezler için opt-in mekanizması kurulması talimatı verildi. Amazon kararı eski 9. madde rejiminde verilmişti. Yeni rejim daha dar.

7499 sayılı Kanun'la değişen 9. madde 12 Mart 2024 tarihli Resmî Gazete'de yayımlandı, 1 Haziran 2024'te yürürlüğe girdi, eski açık rıza esaslı hüküm ise geçiş amacıyla 1 Eylül 2024'e kadar uygulandı. Bugünkü sıralama şöyle: önce yeterlilik kararı, yoksa uygun güvencelerden biri, o da yoksa yalnızca kanunda sayılan arızi haller. Birinci basamak pratikte boş; Kurumun yurt dışına aktarım sayfasında yeterlilik kararı için Kurul tarafından henüz bir belirleme yapılmamıştır ifadesi duruyor. Ölçümleme ve reklam sağlayıcılarının kendi veri işleme belgelerinde verinin Amerika Birleşik Devletleri dahil farklı ülkelerde işlenebileceği yazdığı için ikinci basamağa geçmek gerekiyor. En pratik yol standart sözleşme. Metinler Kurulun 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla kabul edildi, tarafların sıfatına göre dört ayrı metin var ve imzadan itibaren beş iş günü içinde Kuruma bildirim zorunlu. Bildirim, Kurumun standartsozlesme.kvkk.gov.tr adresinde açtığı modül üzerinden yapılabiliyor.

Buradaki en yaygın yanlış kurgu, çerez rızasının aktarım sorununu da kapattığını varsaymak. Kanun'un 9. maddesinin altıncı fıkrası açık rızaya dayalı aktarıma yalnızca arızi olmak kaydıyla izin veriyor ve Kurumun yurt dışına aktarım rehberi bu kavramı tanımlıyor: düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan haller. Günde binlerce kez tetiklenen bir ölçüm kodu bu tanımın tam tersi. Aynı fıkra, rızaya dayanılacaksa kişinin aktarımın muhtemel riskleri konusunda bilgilendirilmesini de şart koşuyor; sıradan bir çerez banner'ında böyle bir bilgilendirme bulunmuyor. Bir ayrıntı daha var. Doğru standart sözleşme metnini seçmek için karşı tarafın sıfatını belirlemeniz gerekiyor: ölçüm hizmetinde sağlayıcı sizin talimatınızla hareket eden veri işleyen olabilir, reklam platformu kendi hedefleme ve model geliştirme amaçları için de işliyorsa artık ayrı bir veri sorumlusudur ve imzalanacak metin değişir. Sıfatı yanlış kurulan sözleşme uygun güvence sayılmaz.

Sunucu tarafı izleme bu tabloyu değiştirmiyor. Etiketleri kendi alan adınız altındaki bir konteynerden çalıştırmak tarayıcı tarafındaki engelleri azaltır, veriyi göndermeden önce alanları temizleme imkanı verir, ama verinin son durağı aynı yerdir. Aktarım, verinin yurt dışındaki alıcıya ulaşmasıyla gerçekleşiyor; yolun ortasına kendi sunucunuzu koymak bunu ortadan kaldırmıyor. Gerçekten değiştiren iki seçenek var. Birincisi veriyi hiç göndermemek, yani ölçümü kendi altyapınızda barındırdığınız bir araçla yapmak. İkincisi gönderilen alanları en aza indirmek: kullanıcı kimliklerini iletmemek, IP adresini kısaltmak ya da hiç göndermemek, sayfa adresindeki sorgu parametrelerini ve site içi arama terimlerini temizlemek. İkinci seçenek hukuki dayanak ihtiyacını tümüyle bitirmez, ama hem riski hem de bir ihlalde etkilenen veri miktarını düşürür.

Müşteri listesi yüklemek ayrı bir başlık ve genellikle hiç değerlendirilmeden yapılıyor. Reklam platformlarına e-posta ve telefon listesi göndererek hedef kitle oluşturmak, pikselden bağımsız, yeni bir işleme ve yeni bir yurt dışı aktarımdır. Hashliyoruz, kişisel veri gitmiyor cümlesi burada iş görmüyor. Aynı e-posta adresinden her seferinde aynı çıktıyı üreten bir özet fonksiyonu, tam olarak kişiyi karşı taraftaki kayıtla eşleştirmek için kullanılıyor; veri anonim hale gelmiyor, takma adlı hale geliyor ve kişisel veri olmayı sürdürüyor. Dolayısıyla üç soruyu cevaplamanız gerekiyor: bu kişilerden pazarlama amaçlı işleme için alınmış geçerli bir açık rıza var mı, aydınlatma metninizde verinin reklam platformlarına aktarılacağı yazıyor mu, aktarım hangi uygun güvenceye dayanıyor. Üçünden biri eksikse liste yüklenmemeli. Aynı soru, satın alma ve iletişim verisini sunucudan sunucuya gönderen dönüşüm arayüzleri için de geçerli.

Bazı sitelerde bu mesele reklam bütçesinden fazlasını riske atıyor. Bir klinik sitesinde randevu formunun bulunduğu sayfaya, bir psikologun terapi türlerine göre ayrılmış alt sayfalarına ya da bir hukuk bürosunun boşanma sayfasına konulan dönüşüm etiketi, ziyaretçinin sağlık durumuna veya özel hayatına ilişkin çıkarım üretir. Özel nitelikli kişisel veri Kanun'un 6. maddesine tabidir ve Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı kararındaki ek tedbirler devreye girer. Pratik önlem basit: form gönderim sayfalarından üçüncü taraf etiketlerini kaldırın, olay adlarını jenerik tutun, sayfa adresini ve sorgu parametrelerini göndermeyin. Metin tarafında ise 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı geçerli; aydınlatma ile açık rıza metinleri ayrı başlıklar altında ve ayrı beyanlarla düzenlenmeli. Çerez aydınlatma metninde üçüncü tarafın kim olduğu, çerezin amacı, saklanma süresi ve verinin yurt dışına aktarılıp aktarılmadığı yazılı olmalı. Aynı akışı kişisel veri envanterinize, kayıt yükümlülüğünüz varsa VERBİS bildiriminize de işleyin.

Rakamlar 2026'da şöyle: aydınlatma yükümlülüğüne aykırılık 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklere aykırılık ise 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor ve çerez dosyalarında ceza çoğunlukla ikinci kalemden çıkıyor. Beş soruyla kendi durumunuzu ölçebilirsiniz: banner'a dokunulmadan hangi istekler gidiyor, reddet butonu ilk ekranda mı, rıza kayıtlarını nerede tutuyorsunuz, hangi üçüncü taraf araç için hangi uygun güvenceye dayanıyorsunuz, reklam platformlarına yüklediğiniz listelerin dayanağı ne. Cevaplardan biri havada kalıyorsa, KVKK Danışman'ın ücretsiz ön değerlendirmesinde sitenizdeki etiketleri, banner kurgunuzu ve aktarım belgelerinizi birlikte gözden geçirip önce hangisinin düzeltilmesi gerektiğini çıkarabiliriz.

Randevu Al