Çerez Onay Bandı Testi: Ülkeye Göre KVKK ve GDPR Kontrolü

Çerez onay bandı testi, bandın ziyaretçinin ülkesine göre değiştiği siteler için kendi ofis bağlantınızdan yapılamaz; çünkü onay yönetim platformu (CMP) hangi şablonu göstereceğine ziyaretçinin IP adresinden karar verir. CookieYes bunu açıkça yazar: en yaygın yöntem IP adresidir, adres bir konum veritabanıyla ülkeye eşlenir ve sayfa yüklenirken milisaniyeler içinde doğru bant seçilir. CookieScript de ziyaretçi IP’sinin kendi sunucularında kontrol edildiğini ve hedeflenen bölgelerin dışından gelen kullanıcıya bandın hiç gösterilmeyip devre dışı bırakılmış üçüncü taraf betiklerin otomatik açıldığını belirtir. Türkiye’den baktığınızda yalnız Türkiye şablonunu görürsünüz; Almanya’daki ziyaretçinin gördüğü bant ve o bandın arkasında çalışan etiketler sizin ekranınıza hiç gelmez.

Birden çok pazarda satan bir sitenin Almanya ziyaretçisine GDPR şablonu, Birleşik Krallık ziyaretçisine UK şablonu, Türkiye ziyaretçisine KVKK şablonu, ABD ziyaretçisine ise çoğu zaman yalnız bir bilgilendirme çizgisi gösterilir. Bu şablonların her biri ayrı ayarlanır ve her biri ayrı bozulabilir: bir pazarda Reddet butonu kaybolur, bir pazarda analitik etiketi onaydan önce ateşlenir, bir pazarda eski bir önbellek yanlış bandı sunar. Bunu görmenin tek yolu, o pazardaki gerçek bir ev kullanıcısının bağlantısıyla sayfayı açmaktır.

Kapsam gizlilik uyumuyla sınırlıdır: bandın doğru çıkması, onayın doğru işlemesi ve onaydan önce hiçbir şeyin çalışmaması. Fiyat, dil ve içerik farklarının pazara göre doğrulanması ayrı bir iştir; burada yalnız çerez ve onay mekanizmasına bakıyoruz. Test yalnız kendi sitenizde ya da yetkili olduğunuz sitede yapılır; başkasının sitesini taramak bu rehberin konusu değildir.

Birinci soru: doğru şablon çıkıyor mu? Türkiye’den girene KVKK bandı, AB ülkesinden girene GDPR bandı, Birleşik Krallık’tan girene UK bandı. Pazar listesi sizin olduğu için beklenen şablonu ülke başına siz tanımlarsınız; test bu tanıma göre geçer ya da kalır.

İkinci soru: reddetmek kabul etmek kadar kolay mı? Kişisel Verileri Koruma Kurumu’nun Temmuz 2025 tarihli, 69 numaralı Çerez Uygulamaları Hakkında Rehber’i, siteye girildiği anda çıkan panelde renk, büyüklük ve punto açısından eşit derecede “kabul et”, “reddet” ve “tercihler” butonlarının sunulmasını iyi uygulama örneği olarak verir ve sitenin kullanılmaya devam edilmesini çerez kullanımına izin sayan bandı hukuka uygun bir kullanım şekli olarak görmez. Avrupa Veri Koruma Kurulu’nun 05/2020 sayılı rıza rehberi (sürüm 1.1, 4 Mayıs 2020) de aynı yöndedir: 86. paragrafa göre sayfada kaydırma ya da benzeri kullanıcı hareketi hiçbir koşulda açık bir olumlayıcı eylem sayılmaz; 114. paragrafa göre tek tıkla verilen rıza pratikte aynı kolaylıkla geri alınabilmelidir. Testte Reddet butonunun ilk katmanda, Kabul ile aynı boyda ve ayrı bir menüye saklanmamış olduğunu kaydedersiniz.

Üçüncü soru: onaydan önce ne çalışıyor? KVKK rehberi çerezleri iki ölçütle ayırır: Kriter A, çerezin yalnız iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması; Kriter B, çerezin kullanıcının açıkça talep ettiği bilgi toplum hizmeti için kesinlikle gerekli olması. Bu iki ölçüte girmeyen çerezler için, rehberin ifadesiyle, açık rıza ya da Kanun’un 5. ve 6. maddelerindeki diğer işleme şartlarından biri gerekir. Reklam ve pazarlama çerezleri ile sosyal eklenti takip çerezleri rehberde açık rıza gerektiren sınıfta anlatılır; birinci taraf analitik için ise rehber, sitenin işleyişi ve günlük yönetimiyle sınırlı kaldığında Kriter B kapsamında değerlendirilebileceğini, bunun için de IP maskeleme gibi tekniklerle anonimleştirme yapılmasını ve siteler arası çapraz takip için kullanılmamasını yazar. Testte, bandın hiçbir butonuna basmadan önce ağ sekmesinde hangi üçüncü taraf alan adlarına istek gittiğini ve hangi çerezlerin yazıldığını kaydedersiniz; reklam ya da çapraz takip çerezi onaydan önce yazılıyorsa test kalır.

Dördüncü soru: çerez duvarı var mı? KVKK rehberi, siteye erişimin çerezlere rıza verilmesine bağlandığı durumda alınan açık rızanın geçerli olmayacağını, ancak olay özelinde değerlendirmek kaydıyla çerez duvarı dışında adil alternatifler sunulabileceğini yazar. Avrupa Veri Koruma Kurulu’nun rehberi 39. paragrafta hizmete erişimin çerez rızasına bağlanmaması gerektiğini söyler ve 40. paragraftaki örnekte içeriği “çerezleri kabul et” butonuna basılmadan açmayan bir düzenin geçerli rıza üretmediğini anlatır. Testte Reddet’e bastıktan sonra sayfanın kullanılabilir kaldığını doğrularsınız.

Her ülke için temiz bir tarayıcı profili kullanın: önceki testten kalan onay çerezi, CMP’nin bandı hiç göstermemesine yol açar ve siz “bant çıkmıyor” diye yanlış hata kaydedersiniz. Profil, proxy ayarını o ülkenin residential adresine yönlendirecek şekilde açılır; proxy açıkken ilk iş, istemci IP’sini düz metin döndüren bir adrese gidip çıkış ülkesini doğrulamaktır. Ülke tutmuyorsa teste başlamayın; konum veritabanı uyuşmazlığının nasıl teşhis edileceği proxy konumu rehberinde anlatılır.

Her ülkede üç durum kaydedilir. Onay öncesi: sayfa açılır, banda dokunulmaz, ağ sekmesindeki istekler ve uygulama sekmesindeki çerez listesi kaydedilir. Ret sonrası: Reddet’e basılır, sayfa bir kez yenilenir, aynı iki liste yeniden alınır; reklam ya da analitik etiketine giden istek varsa ret çalışmıyor demektir. Kabul sonrası: temiz profil açılır, Kabul’e basılır, listeler alınır; burada beklenen etiketlerin gerçekten çalıştığı görülür, çünkü “hiçbir şey çalışmıyor” da bir hatadır ve pazarlama ekibi bunu haftalar sonra fark eder.

İki kayıt tutulur. Birincisi ekran görüntüsü: bandın ilk katmanı, butonların boyutu ve metin. İkincisi ağ ve çerez dökümü: her durumda hangi alan adlarına istek gittiği ve hangi çerezlerin hangi süreyle yazıldığı. Dökümü sitenizin çerez politikasındaki envanterle karşılaştırın; politikada yazmayan bir çerez görüyorsanız envanter eksiktir. KVKK rehberinin sitelere önerdiği kontrol listesinde çerezlerin oturum mu kalıcı mı, birinci taraf mı üçüncü taraf mı olduğunu, sürelerini ve kesinlikle gerekli olup olmadıklarını tespit etmek yer alır; ağ dökümü bu listenin ham verisidir.

Tarayıcı otomasyonu kullanıyorsanız aynı üç durum bir betikle de alınabilir: her ülke için ayrı bir tarayıcı bağlamı, bağlam başına proxy, onay öncesi istek listesi, Reddet seçicisine tıklama, yeniden istek listesi. Betik yalnız sizin sitenizde çalışır ve bandın seçicilerini sizin CMP’nizden alır; CMP değişince betiğin seçicileri de değişir. Elle testle başlayıp sorunsuz geçen ülkeleri betiğe taşımak, betiğin neyi yakalaması gerektiğini önceden öğrenmenizi sağlar.

Ülke listesi pazarlarınızdan çıkar; ama dört grup hemen her listede olur. Türkiye: KVKK şablonu ve Türkçe aydınlatma metni. KVKK rehberi, hangi hukuki sebebe dayanılırsa dayanılsın aydınlatma yükümlülüğünün en geç verinin elde edildiği sırada yerine getirilmesi gerektiğini ve bunun ispatının veri sorumlusuna ait olduğunu yazar; yani zorunlu çerez de olsa aydınlatma bandın ilk katmanından erişilebilir olmalıdır. AB üyesi bir ülke: GDPR şablonu; Almanya ve Hollanda sık seçilir. Birleşik Krallık: AB’den ayrı şablon ayarlanmış mı, yoksa AB kuralı mı kopyalanmış? ABD: çoğu CMP California için ayrı bir “satma/paylaşma” bağlantısı sunar; eyalet bazlı test için ürünün eyalet hedeflemesi sunup sunmadığını ürün sayfasından doğrulayın; bu rehber eyalet seçimi vaat etmez.

ResidentialProxy static IPv4 ürünü on iki ülkede listelenir: Türkiye, Amerika Birleşik Devletleri, Almanya, Birleşik Krallık, Hollanda, Fransa, Polonya, Avusturya, Portekiz, İspanya, Kanada ve Brezilya. Türkiye’de paketler 1, 5, 10, 50 ve 100 adet; Almanya ve ABD’de 5, 10, 50 ve 100 adet; diğer ülkelerde 5, 10 ve 20 adet olarak aylık satılır. Hangi ülkeye ait satın alma bağlantısının yayında olduğu ürün sayfasında görünür. Üç pazarlı bir site için Türkiye’den 1 adet, Almanya ve Birleşik Krallık’tan 5’er adet almak test düzenini aylık olarak kapatır; sayılar işinize göre değişir, ürün sayfasındaki paketler esastır.

Türkiye’yi listeye koymanın nedeni ters yönlü hatadır. Ekipler çoğu zaman AB şablonunu test eder ve Türkiye’yi “zaten buradayız” diye atlar; oysa KVKK şablonu ayrı bir ayar olduğu için ofis bağlantısından görünen bant, CMP’nin Türkiye kuralı değil, çoğu zaman varsayılan (global) bandıdır. CookieScript, birden fazla bant kullanırken global bandın her zaman kodda en sona konması gerektiğini yazar; sıra yanlışsa Türkiye ziyaretçisi global bandı görür ve siz bunu ofisten fark etmezsiniz, çünkü global bant da “bir bant”tır. Test, beklenen şablon adını ülke başına önceden yazdığınızda anlam kazanır.

Her yayın öncesi aynı ülkelerden aynı testi tekrar edecekseniz static IPv4 uygundur: adres sabittir, ülke kesindir, konum veritabanında aynı adres her seferinde aynı ülkeye düşer ve test sonuçları karşılaştırılabilir kalır. Test betiği ya da ekip üyesi her seferinde aynı proxy ayarını kullanır; CMP tarafında “bu IP’den hangi bant çıktı” sorusuna kayıtlardan bakmak da kolaylaşır.

Tek seferlik bir denetim, örneğin on beş pazarda bir kerelik tarama, için GB bazlı rotating IPv4 yeterlidir: ülke parametresiyle çıkış seçilir, test birkaç sayfalık trafik tüketir ve iş biter. Rotating ürünün ülke listesi ürün sayfasında yazar; static listede olmayan Avustralya, Japonya ve Hindistan gibi ülkeler rotating listede bulunur. Dikkat edilecek nokta oturumdur: aynı ülkede onay öncesi, ret sonrası ve kabul sonrası adımlarının aynı çıkış adresinden gitmesi gerekir; aksi hâlde CMP ikinci adımda başka bir adres görür ve bandı yeniden gösterir. Rotating üründe bunun için oturum (sticky) modunu açın. İki ürün ailesinin genel farkı static ve rotating rehberinde anlatılır.

Her iki düzende de proxy yalnız tarayıcı profiline uygulanır; ofis ağının tamamını proxy’den geçirmek, test dışındaki trafiği de yabancı ülkeden çıkarır ve ekip hesaplarında konum uyarıları üretir. Proxy ayarını test için açılan profile ya da otomasyon bağlamına sınırlayın.

Birinci yanıltıcı: CDN önbelleği. Bandın HTML’e gömülü olduğu sitelerde önbellek, Almanya ziyaretçisine Türkiye için üretilmiş sayfayı sunabilir; o zaman sorun CMP’de değil önbellek anahtarındadır. Bunu ayırmak için aynı testi önbelleği atlayan bir sorgu parametresiyle ya da önbellek başlıklarını okuyarak tekrarlayın; yanıt başlıklarında önbellekten geldiğini gösteren bir işaret varsa önce önbellek kuralını düzeltin.

İkinci yanıltıcı: konum veritabanı uyuşmazlığı. CMP’nin kullandığı veritabanı ile sizin IP kontrol sayfanızın kullandığı veritabanı aynı adres için farklı ülke söyleyebilir. IP kontrolü Almanya derken CMP UK bandı gösteriyorsa, adres bir veritabanında yanlış kayıtlıdır; static adres kullanıyorsanız başka bir adresle tekrar edin ve sağlayıcıya bildirin. Uyuşmazlığın hangi tarafta olduğunu bulma yöntemi proxy konumu rehberinde adım adım verilir.

Üçüncü yanıltıcı: önceki testten kalan onay çerezi ve CMP’nin kendi hatırlama süresi. KVKK rehberi, rıza yorgunluğuna yol açmamak için her girişte yeniden rıza istenmemesini, tercihin çerez ömrüyle orantılı olarak periyodik hatırlatılmasını uygun bulur; bu yüzden CMP’ler onayı uzun süre saklar ve bant ikinci ziyarette çıkmaz. Temiz profil bunun için zorunludur. Dördüncü yanıltıcı: tarayıcı dili. Bazı CMP’ler bandın dilini ülkeden değil tarayıcı dilinden seçer; Almanya’dan Türkçe tarayıcıyla girince Türkçe metinli GDPR bandı görürsünüz. Bu bir hata değildir; şablonun GDPR olduğunu buton dizilimi ve kategori listesi söyler, dil değil.

VPN ile test etmek yetmez mi? Bazı CMP’ler bölgeyi IP’den belirlediği için VPN de bir ülke gösterir; ama VPN sunucusunun adresi veri merkezi adresidir ve sitenin WAF’ı ya da CMP’nin veritabanı bu adresi gerçek ev kullanıcısından farklı değerlendirebilir. Ayrıca VPN bütün cihazın trafiğini taşır; test dışı oturumlarınız da yabancı ülkeden çıkar. Residential adres, ziyaretçinin gördüğünü ziyaretçinin bağlantı türüyle gösterir ve tek profile sınırlanabilir.

Türkiye’den girene GDPR bandı göstermek yanlış mı? Şablon seçimi sizin kararınızdır; KVKK rehberinin aradığı şey bandın adından bağımsız olarak aydınlatmanın yapılması, zorunlu olmayan çerezler için açık rıza alınması ve reddetmenin kabul kadar kolay olmasıdır. Daha katı bir şablonu her ülkede göstermek uyum açısından sorun yaratmaz; sorun, Türkiye ziyaretçisine hiçbir bant göstermemek ya da aydınlatma metnini yalnız yabancı dilde sunmaktır.

Analitik etiketi onaydan önce çalışıyorsa ne yapmalı? Önce etiketin hangi sınıfta olduğunu belirleyin. KVKK rehberi birinci taraf analitiğin, sitenin işleyişi ve günlük yönetimiyle sınırlı, IP maskelenmiş ve çapraz takip yapmayan biçimde kullanıldığında Kriter B kapsamında değerlendirilebileceğini yazar; üçüncü taraf reklam ve takip çerezleri ise açık rıza gerektirir. Etiket ikinci sınıftaysa etiket yöneticisinde onay koşuluna bağlanır ve test, ret sonrası durumda o etikete istek gitmediğini gösterene kadar tekrarlanır.

Bu test hukuki uyum denetiminin yerini tutar mı? Hayır. Test, bandın ülkeye göre doğru çıktığını ve onaydan önce hangi isteklerin gittiğini teknik olarak kaydeder. Çerez envanterinin doğruluğu, aydınlatma metninin içeriği, saklama süreleri ve hukuki sebep seçimi uyum ekibinin ve danışmanın işidir; bu rehber o işe ham veri sağlar.