22 Ağustos 2026

Çerez Banner'ı Dönüşüm Verinizi Eritiyor mu? KVKK Uyumlu Google İzin Modu (Consent Mode) Rehberi

Türkiye'de bir siteye giren kullanıcının karşısına çoğu zaman önce ürün değil, çerez banner'ı çıkıyor. Ama o banner'da tıklanan "reddet" ya da "tümünü kabul et" kararının Google Analytics ve Google Ads tarafında gerçek bir karşılığı var mı, yoksa ekranda duran, hiçbir yere bağlı olmayan bir kutu mu, bu sorunun cevabını çoğu site sahibi bilmiyor. Net bir tez cümlesiyle başlamak gerekirse: sorun genellikle banner'ın kendisinde değil, banner ile Google'ın ölçüm altyapısı arasındaki bağlantı kopukluğunda. Kişisel Verileri Koruma Kurulu'nun 23 Aralık 2022 tarihli ve 2022/1358 sayılı kararı, bu kopukluğun hukuki tarafının ne kadar pahalıya patlayabileceğini gösteriyor: bir oyun platformu, zorunlu olmayan reklam ve pazarlama çerezleri için kullanıcılardan açık rıza almadığı ve çerez işleme hakkında hiçbir aydınlatma yapmadığı gerekçesiyle 300.000 TL idari para cezasına çarptırıldı (Kişisel Verileri Koruma Kurumu). Bu yazı, KVKK'nın çerez konusunda somut olarak ne istediğini, Google'ın "Consent Mode" (izin modu) adını verdiği mekanizmanın bu isteği teknik olarak nasıl karşıladığını ve ikisi arasındaki boşluğu nasıl kapatacağınızı ele alıyor.

Kullanıcıların Çerez Bildirimiyle Aktif Etkileşimi: Mobil ve Masaüstü

Çerez Banner'ı ile Google Etiketleri Arasındaki Kopukluk

Bir çerez banner'ı kurmakla, o banner'ın Google'a bir şey söylemesi iki ayrı iştir. Çoğu site sadece ilkini yapar: kullanıcı "reddet"e bastığında ekranda banner kapanır, kullanıcı memnun kalır, ama Google Tag Manager üzerinden yüklenen Google Analytics ve Google Ads etiketleri kullanıcının kararından habersiz şekilde çalışmaya devam eder. Bu durumun tersi de sık görülür: banner reddedilince geliştirici etiketleri tamamen durdurur, ama bu sefer de dönüşüm verisi topluca kaybolur, kampanya optimizasyonu kör uçmaya başlar. Google Consent Mode, tam olarak bu iki uç arasındaki köprüyü kurmak için var; kullanıcının banner'daki tercihini Google'ın etiketlerine bir sinyal olarak taşıyor, etiketler de o sinyale göre davranışını ayarlıyor (Google for Developers, Consent Mode Overview).

Somut bir örnek durumu netleştiriyor. Diyelim ki bir e-ticaret sitesinde günde 40 ziyaretçi geliyor ve bunların üçte biri çerez banner'ında "reddet"e basıyor. Consent Mode kurulu değilse, bu üçte birlik kesimin sepete ekleme, satın alma gibi davranışları GA4 raporlarında hiç görünmez; kampanya raporlarında sanki o kullanıcılar hiç var olmamış gibi bir boşluk oluşur ve bütçe optimizasyonu eksik veriyle yapılır. Consent Mode kuruluysa, reddeden kullanıcılar için Google kişisel veri içermeyen, toplulaştırılmış (agregatif) bir modelleme yaparak bu boşluğun bir kısmını istatistiksel olarak tahmin eder. Yani mesele sadece "yasaya uymak" değil, doğrudan raporun ve reklamın isabetliliğiyle ilgili.

KVKK'ya Göre Çerez Onayının Sınırları Nedir

Kişisel Verileri Koruma Kurumu'nun yayımladığı Çerez Uygulamaları Hakkında Rehber, zorunlu olmayan çerezler için açık rızanın nasıl alınması gerektiğini ayrıntılı biçimde tanımlıyor. Rehberin ortaya koyduğu çerçeveye göre: rıza bilgilendirilmiş, özgür iradeye dayalı ve belirli olmalı; farklı çerez türleri (analitik, reklam, işlevsel) için ayrı ayrı onay istenmeli; "kabul et" ve "reddet" seçenekleri eşit tasarımda ve eşit erişilebilirlikte sunulmalı; kullanıcıya açık ve güncel bir çerez politikası gösterilmeli; rıza istenildiğinde kolayca geri çekilebilmeli; çerezler yalnızca bildirilen amaçla kullanılmalı ve amaç değişirse rıza yeniden alınmalı; üçüncü taraf çerezler aracılığıyla yurt dışına veri aktarımı yapılıyorsa kullanıcı bu konuda ayrıca bilgilendirilmeli (Kişisel Verileri Koruma Kurumu, Çerez Uygulamaları Hakkında Rehber).

KVKK'nın kendi yayımladığı örnek Çerezlere Dair Aydınlatma Metni de bu çerçeveyi somutlaştırıyor. Kurumun kendi sitesinde kullandığı çerezler üzerinden şu sınıflandırmayı örnekliyor: kullanım süresine göre oturum çerezi (tarayıcı kapanınca silinir) ve kalıcı çerez (belirli bir tarihte kendiliğinden silinir); kaynağa göre birinci taraf (doğrudan ziyaret edilen site tarafından yerleştirilen) ve üçüncü taraf (site dışı bir hizmet sağlayıcı tarafından yerleştirilen) çerez; amaca göre ise kesinlikle gerekli, işlevsel ve reklam/pazarlama çerezi ayrımı (Kişisel Verileri Koruma Kurumu, Çerezlere Dair Aydınlatma Metni). Bir çerez banner'ı kurarken bu üç eksenin (süre, kaynak, amaç) hepsinde net bir sınıflandırma yapılmadıysa, aydınlatma metni de açık rıza mekanizması da eksik kalıyor demektir.

Burada dikkat edilmesi gereken bir ayrım var: aydınlatma her zaman zorunlu, açık rıza ise değil. Bir çerez kesinlikle gerekli kategorisindeyse (oturum yönetimi, sepet hatırlama gibi) ve veri sorumlusunun meşru menfaati kapsamında değerlendirilebiliyorsa, yalnızca aydınlatma yapılması yeterli olabilir; açık rıza şartı esas olarak analitik, reklam ve pazarlama amaçlı, zorunlu olmayan çerezler için devreye giriyor. KVKK'nın 2022/1358 sayılı kararındaki ihlal de tam bu noktada: platform hem aydınlatmayı atlamış hem de zorunlu olmayan çerezler için rıza almamış, iki ayrı yükümlülüğü birden ihlal etmişti.

Google Consent Mode Nedir, Hangi Sinyalleri Taşır

Google Consent Mode, kullanıcının çerez banner'ındaki tercihini dört ana parametre üzerinden Google etiketlerine iletiyor: ad_storage (reklamla ilgili çerez ve cihaz tanımlayıcılarının depolanması), analytics_storage (Analytics verisinin depolanması), ad_user_data (kullanıcı verisinin reklamcılık amacıyla Google'a gönderilmesi) ve ad_personalization (kişiselleştirilmiş reklam gösterimi). Bunlara ek olarak functionality_storage, personalization_storage ve security_storage gibi daha dar kapsamlı parametreler de bulunuyor (Google for Developers, Consent Mode Overview). Kullanıcı bir kategoriyi reddettiğinde, ilgili parametre "denied" (reddedildi) olarak işaretleniyor ve Google etiketi o kategoriye giren çerezi cihaza yerleştirmiyor.

Burada anlaşılması gereken kritik nokta şu: Consent Mode kendi başına bir rıza toplama aracı değil, bir sinyal taşıma protokolü. Rızayı toplayan hâlâ sizin çerez banner'ınız (ya da bir onay yönetim platformu); Consent Mode sadece o banner'daki kararı Google'ın anlayacağı dile çeviriyor. Bu yüzden "Consent Mode kurdum, KVKK'ya uyumlu oldum" demek yanlış; Consent Mode, KVKK'nın istediği açık rızanın arkasında durduğu, doğru sınıflandırılmış bir banner olmadan hiçbir işe yaramıyor.

Basic ve Advanced Kurulum Arasındaki Fark

Google, Consent Mode'u iki farklı yöntemle kurmaya izin veriyor. Basic (temel) kurulumda, kullanıcı banner ile etkileşime geçene kadar Google etiketleri hiç yüklenmiyor; kullanıcı bir tercih yapmadan Google'a hiçbir veri gitmiyor. Advanced (gelişmiş) kurulumda ise etiketler sayfa açılır açılmaz, varsayılan olarak tüm izinler "denied" durumunda yükleniyor; kullanıcı reddetse bile Google, kişisel veri içermeyen indirgenmiş (redacted) sinyaller üzerinden bir modelleme yapabiliyor, bu da daha isabetli bir dönüşüm tahmini sağlıyor (Google for Developers, Set up consent mode on websites; Google Analytics Yardım, Set up consent mode).

Bu tercih pratikte bir denge meselesi. Basic kurulum, gizlilik açısından en temkinli yol ve KVKK'nın "zorunlu olmayan çerez için önce rıza" ilkesiyle birebir örtüşüyor; ama reddeden kullanıcı kitlesi büyükse raporlarda görünürlük kaybı daha keskin oluyor. Advanced kurulum ise Google'ın modelleme gücünden faydalanarak bu kaybı bir ölçüde kapatıyor, ama teknik kurulumu (özellikle GTM tarafında varsayılan durumların doğru tanımlanması) daha fazla dikkat gerektiriyor. Türkiye'de KVKK denetimine daha yakın durmak isteyen, özellikle sağlık, finans gibi hassas veri işleyen sektörlerdeki siteler için basic kurulum daha güvenli bir başlangıç noktası oluyor.

Consent Mode Türkiye'de Zorunlu mu, Neden Kurulmalı

Burada net olmak gerekiyor: Google'ın kendi destek sayfalarına göre, Avrupa Ekonomik Alanı'nda (EEA) bulunan kullanıcılardan toplanan reklam ve ölçüm verisi için rıza sinyali paylaşma zorunluluğu 2024 başından itibaren yürürlükte ve bu zorunluluk açıkça EEA (ve Birleşik Krallık) trafiğini hedefliyor (Google Ads Yardım, Updates to consent mode for traffic in European Economic Area). Türkiye bu kapsamın dışında; KVKK, Consent Mode kurulumunu doğrudan bir mevzuat şartı olarak saymıyor.

Buna rağmen Türkiye merkezli bir site için Consent Mode kurmamak iki ayrı riski birlikte taşıyor. Birincisi, sitenin Avrupa'dan da trafik alması ya da Avrupa'ya reklam göstermesi hâlinde Google'ın EEA zorunluluğuna doğrudan takılması. İkincisi ve daha yaygın olanı: KVKK zaten açık rıza almanızı istiyor, siz de bir çerez banner'ı kurmuşsunuz, ama o banner'ın kararı Google tarafına hiç iletilmiyor; bu durumda kullanıcı "reddet"e bastığı hâlde arka planda Google etiketleri eskisi gibi çalışmaya devam ediyor. Bu, hem KVKK'nın "rıza kullanıcı iradesini yansıtmalı" ilkesini fiilen boşa çıkarıyor hem de aydınlatma metninizde yazılanla sitenin gerçek davranışı arasında bir tutarsızlık yaratıyor; ikisi arasındaki fark bir denetimde ortaya çıktığında, aydınlatma metninin kendisi delil hâline geliyor.

Upjen olarak martech tarafında devraldığımız hesaplarda sık karşılaştığımız tablo şu oluyor: çerez banner'ı görsel olarak KVKK'ya uygun şekilde tasarlanmış, ama Google Tag Manager tarafında hiçbir Consent Mode etiketi tanımlanmamış; sonuç olarak GA4'te "modellenmiş" dönüşüm verisi hiç oluşmuyor ve reklam hesabı reddeden kullanıcı kitlesini sanki hiç yokmuş gibi görüyor. Kurulumu tamamlamak genellikle bir günlük bir GTM işi, ama önce bu kopukluğun fark edilmesi gerekiyor.

Kullanıcılar Çerez Bannerlarına Gerçekte Nasıl Tepki Veriyor

Bir banner'ın KVKK'ya uygun tasarlanmış olması, kullanıcının onu anlayarak karar verdiği anlamına gelmiyor. İstanbul Beykent Üniversitesi'nden Hande Aral Uluk, Murat Uluk ve Sedat Erol'un TÜBİTAK destekli araştırma projesi kapsamında yürüttüğü ve Erciyes İletişim Dergisi'nde Ocak 2026'da yayımlanan çalışma, 18-24 yaş aralığındaki 62 kullanıcıyla yapılan görüşmelere dayanıyor. Bulgular, çerez bilgisinin çoğunlukla yüzeysel ve parçalı kaldığını; katılımcıların çoğunluğunun çerez politikası metnini hiç okumadığını gösteriyor. Bir katılımcının ifadesiyle: "Hiç okumadım. Çünkü okumak vaktimi alacaktı." (Aral Uluk, Uluk ve Erol, 2026).

Araştırma, kullanıcıları üç eğilime ayırıyor: doğrudan kabul edenler (çoğunlukla hız kaygısıyla, düşünmeden), doğrudan reddedenler (veri paylaşımından kaçınma ve güvensizlik nedeniyle) ve bağlama göre karar verenler (sitenin bilinirliğine, cihaz türüne, banner'ın görsel boyutuna göre değişen bir tercih). Kararın yönünü belirleyen en güçlü etkenlerden biri banner'ın kendisinin tasarımı: "reddet" seçeneği görünür ve erişilebilir olduğunda kullanıcılar ona yöneliyor, ama seçenek gizliyse ya da ayarlar menüsünün içine gömülmüşse kullanıcı zaman kaybetmemek için "kabul et"e basıyor.

Cihaz farkı da davranışı belirgin şekilde değiştiriyor. Aynı araştırmanın referans aldığı Bauer, Bergstrøm ve Foss-Madsen'in (2021) bulgularına göre mobil kullanıcıların yüzde 49,4'ü, masaüstü kullanıcıların ise yalnızca yüzde 27,5'i çerez bildirimleriyle aktif olarak etkileşime giriyor; geri kalan büyük çoğunluk banner'ı hiç okumadan geçiştiriyor. Bu fark, mobil öncelikli tasarlanan bir banner'ın (metin uzunluğu, buton boyutu, ekranı kaplama oranı) masaüstünden çok daha kritik olduğu anlamına geliyor; zira mobilde kullanıcının banner'la kurduğu temas oranı zaten daha yüksek.

Banner Tasarımı: Kabul Et / Reddet Eşitliği Neden Kritik

KVKK'nın rehberdeki "kabul et ve reddet seçenekleri eşit tasarımda sunulmalı" şartı kozmetik bir detay değil, doğrudan ölçülebilir bir davranış etkisi taşıyor. Berens ve arkadaşlarının (2024) bulgusuna göre web sitelerinin neredeyse beşte dördünde kolay erişilebilir, görünür bir "çerezleri reddet" seçeneği yer almıyor; kullanıcı reddetmek istese bile bunu yapmak için ekstra tıklama, ayarlar menüsüne girme gibi bir çaba göstermesi gerekiyor. Buna karşılık Graßl ve arkadaşlarının (2020) deneysel çalışması, aldatıcı olmayan (kabul ve reddet seçeneğinin görsel olarak eşit ağırlıkta sunulduğu) tasarımların, aldatıcı tasarımlara kıyasla kabul oranını yaklaşık yüzde 40 oranında düşürdüğünü gösteriyor (aktaran Erciyes İletişim Dergisi, 2026).

Bu iki bulgu bir arada okunduğunda ortaya net bir pratik çıkıyor: "tümünü kabul et" butonunu büyük ve renkli, "reddet"i küçük bir metin linki olarak tasarlamak kısa vadede daha yüksek bir kabul oranı, dolayısıyla daha "dolu" bir Analytics raporu üretebilir; ama bu KVKK'nın eşit tasarım şartını ihlal eder ve bir şikâyet ya da denetim durumunda 2022/1358 sayılı karardakine benzer bir yaptırıma zemin hazırlar. Buradaki tercih kısa vadeli veri hacmi ile hukuki risk arasında bir denge değil; rehber zaten eşit tasarımı şart koştuğu için, mesele sadece doğru kurmak.

Kurulum Adımları: KVKK Onayını Consent Mode'a Bağlamak

Pratikte kurulum şu sırayla ilerliyor. Önce sitede kullanılan tüm çerezlerin bir envanteri çıkarılıyor; her çerez için amaç (kesinlikle gerekli, işlevsel, analitik, reklam/pazarlama), süre (oturum/kalıcı) ve kaynak (birinci/üçüncü taraf) belirleniyor. Bu envanter, KVKK'nın istediği aydınlatma metninin ve çerez politikasının temelini oluşturuyor. Ardından banner, bu kategorileri ayrı ayrı açıp kapatabilecek şekilde tasarlanıyor; "tümünü kabul et" ve "tümünü reddet" seçenekleri aynı görsel ağırlıkta, aynı adımda sunuluyor.

Teknik tarafta, Google Tag Manager içinde her Consent Mode parametresi için varsayılan durum (default) tanımlanıyor; genellikle sayfa yüklendiğinde tüm izinler "denied" olarak başlatılıyor, kullanıcı banner'da bir kategoriyi onayladığında ilgili parametre "update" komutuyla "granted"e çevriliyor. Bu adım, ya doğrudan gtag.js koduna elle yazılarak ya da bir onay yönetim platformunun (CMP) GTM şablonu üzerinden yapılabiliyor; Google, entegre CMP ortaklarıyla bu kurulumu birkaç tıkla tamamlamaya izin veriyor (Google for Developers, Set up consent mode on websites). Kurulumun ardından GTM'in önizleme modu ve Google Analytics'in DebugView ekranı üzerinden, banner'da reddedilen bir kategorinin gerçekten ilgili etiketi durdurduğu; kabul edilen bir kategorinin ise veriyi normal şekilde ilettiği tek tek doğrulanmalı. Bu doğrulama adımı atlandığında, banner görsel olarak doğru dursa bile arka plandaki sinyal hiç değişmemiş olabiliyor.

Sık Yapılan Hatalar

En sık görülen üç hata tekrar ediyor. Birincisi, banner'ın yalnızca görsel katmanda kurulup GTM tarafına hiç bağlanmaması; bu durumda KVKK'ya görünürde uyumlu ama fiilen işlemeyen bir sistem ortaya çıkıyor. İkincisi, çerez kategorilerinin yanlış sınıflandırılması; örneğin bir analitik çerezin "kesinlikle gerekli" kategorisine konup rıza sorulmadan çalıştırılması, doğrudan KVKK'nın açık rıza şartını ihlal ediyor. Üçüncüsü, banner metninin aydınlatma metniyle tutarsız olması; banner'da "sadece işlevsel çerez kullanıyoruz" yazıp arka planda reklam çerezi çalıştırmak, hem KVKK hem Google'ın kendi politikaları açısından risk taşıyor.

Sıkça Sorulan Sorular

Google Consent Mode kurmak KVKK uyumunu tek başına sağlar mı?

Hayır. Consent Mode yalnızca kullanıcının banner'da verdiği kararı Google'a ileten bir sinyal mekanizması. KVKK'nın istediği açık rıza, aydınlatma metni ve çerez sınıflandırması ayrıca ve doğru şekilde kurulmadan Consent Mode'un aktarabileceği bir sinyal olmuyor.

Basic mi advanced mi, hangi kurulum daha güvenli?

Basic kurulum, kullanıcı bir tercih yapmadan hiçbir veri Google'a gitmediği için gizlilik açısından daha temkinli bir seçenek ve KVKK'nın önce rıza ilkesiyle daha net örtüşüyor. Advanced kurulum ise reddeden kullanıcılar için modellenmiş veri sunarak raporlardaki boşluğu azaltıyor ama GTM tarafında daha dikkatli bir kurulum gerektiriyor.

Çerez banner'ında reddet seçeneği olmazsa ne olur?

KVKK'nın rehberi kabul ve reddet seçeneklerinin eşit tasarımda ve erişilebilirlikte sunulmasını şart koşuyor. Reddet seçeneği gizli ya da ayarlar menüsüne gömülüyse, kullanıcının verdiği onay özgür iradeyle verilmiş sayılmıyor; bu durum 2022/1358 sayılı karardaki gibi bir idari para cezasına konu olabiliyor.

Consent Mode kurulu değilse Analytics verim ne olur?

Kullanıcı çerezi reddettiğinde Google etiketi hiçbir sinyal almıyor ve o kullanıcının davranışı raporlarda hiç görünmüyor; bu da özellikle reddetme oranı yüksek sitelerde kampanya optimizasyonunu eksik veriyle yapmaya zorluyor. Consent Mode kurulu olduğunda ise Google, reddeden kullanıcılar için kişisel veri içermeyen bir modelleme yaparak bu boşluğun bir kısmını istatistiksel olarak tahmin edebiliyor.

Sonuç

KVKK'nın çerez konusunda istediği şey aslında basit bir cümleyle özetlenebilir: kullanıcı ne seçtiyse, site gerçekten onu yapmalı. Çerez banner'ı bunun görünen yüzü, Consent Mode ise görünmeyen, ama en az o kadar belirleyici olan teknik tarafı. Bu ikisi ayrı ayrı kurulduğunda ortaya ya hukuken riskli ya da veri açısından kör bir tablo çıkıyor; birlikte ve doğru sınıflandırmayla kurulduğunda ise hem KVKK'nın aradığı açık rızayı hem de Google'ın güvenilir dönüşüm verisini aynı anda elde etmek mümkün oluyor. Bu kurulumu uçtan uca (çerez envanterinden GTM doğrulamasına) kurmak isteyen işletmeler için Upjen'in dijital pazarlama danışmanlığı hizmeti, KVKK uyumu ile ölçüm altyapısını aynı süreçte ele alıyor.