Çerez Onayı Yeniden Yazılıyor: Digital Omnibus Neleri Değiştiriyor

Çerez banner'ı Avrupa'nın en sevilmeyen arayüz öğesi. Sekiz yıl sonra, web sitelerinin büyük bir kısmında hukuken hâlâ kırılgan. Brüksel sonunda iki sorun için aynı anda bir şey yapmaya karar verdi ve bunun aracı, 19 Kasım 2025'te önerilen Digital Omnibus paketi.

Bu makale önerinin gerçekte neler içerdiğini, bugün zaten yürürlükte olan kuralları ve bir onay uygulamasında şu anda neleri değiştirip neleri değiştirmeyeceğimizi ele alıyor. 10 Ekim 2026 itibarıyla paketin GDPR ve ePrivacy kısmı üçlü müzakere (trilog) aşamasına gelmedi: Konsey'in henüz bir müzakere yetkisi, Parlamento'nun da bir tutumu yok; dolayısıyla buradakilerin bir kısmı değişecek.

Buraya Nasıl Geldik

Çerez onayı hiçbir zaman GDPR'de düzenlenmedi. 2002 tarihli, 2009'da değiştirilen ePrivacy Direktifi'nin 5(3). maddesinde düzenlenir. Bu madde, kullanıcının terminal ekipmanında bilgi saklamanın veya oradaki bilgiye erişmenin, kullanıcının talep ettiği bir hizmet için kesinlikle gerekli olmadıkça rıza gerektirdiğini söyler.

Bu direktifin yerini bir ePrivacy Tüzüğü'nün alması gerekiyordu. Öneri sekiz yıl boyunca Konsey'de çıkmazda kaldı ve 11 Şubat 2025'te resmen geri çekildi. Elimizde kalan, yirmi yedi farklı biçimde iç hukuka aktarılmış ve yazıldığı sırada var olmayan bir web'i denetleyen 2002 tarihli bir direktif oldu.

Sonuç, herkesin tanıdığı karmaşa: ülkeden ülkeye değişen banner'lar, çok sayıda sitede teknik olarak geçersiz rızalar ve reddetmek daha uzun sürdüğü için refleksle “kabul et”e tıklayan kullanıcılar.

Bugün Zaten Uygulanan Kurallar

Öneriye geçmeden önce mevcut durum hakkında açık konuşmakta fayda var; çünkü birçok ekip banner'ının sorunsuz olduğuna inanıyor ve değil.

Yaptırımlar istikrarlı ve somut oldu. Eylül 2025'te Fransız denetim otoritesi aynı gün Google'a 325 milyon avro, Shein'e 150 milyon avro para cezası verdi. Tespitler felsefi değil mekanikti: çerezler banner görünmeden önce yerleştiriliyordu ve reddet seçeneği güvenilir biçimde reddetmiyordu.

Düzenleyicilerin fiilen uyguladığı kurallar:

Kullanıcı bir şey yapmadan önce zorunlu olmayan hiçbir şey çalışmaz. Ne analitik etiketi, ne piksel, ne sohbet widget'ı, ne de üçüncü taraf yazı tipi. Sayfa yüklenirken tetikleniyorsa banner'ın ne dediğinin önemi yoktur.

Reddetmek, kabul etmekle eşit olmalı. Aynı katman, aynı görsel ağırlık, aynı tıklama sayısı. Kabul tek bir düğmeyken reddetmeyi bir tercihler panelinden geçen iki adımlı bir yolculuğa dönüştürmek, rızayı geçersiz kılan bir karanlık örüntü (dark pattern) olarak değerlendirilir.

Rıza ayrıntılıdır. Analitiği, reklamı ve kişiselleştirmeyi tek bir anahtarda toplayan bir seçim, belirli bir rıza değildir.

Rızayı geri almak, vermek kadar kolay olmalı. Bir destek e-postası değil, her zaman erişilebilen bir kontrol.

Rızanın süresi dolar. Çoğu otorite, tekrar sormanız gerekmeden önce kabaca altı ila on üç aylık bir süreyi esas alır.

“Onay ver ya da öde” modelinin alanı dardır. Avrupa Veri Koruma Kurulu'nun 08/2024 sayılı Görüşü, büyük platformların genellikle izlemeyi kabul etmek ile ödeme yapmak arasında ikili bir seçim sunamayacağını söylüyor. Davranışsal reklam içermeyen gerçek bir ücretsiz alternatif bekleniyor.

Banner'ınız ilk iki kuraldan herhangi birini karşılamıyorsa, reformu düşünmeden önce onu düzeltin. Bugün para cezası doğuranlar bunlardır.

Digital Omnibus Ne Öneriyor

Komisyon'un önerisinde temel yapısal hamle, terminal ekipman kurallarını eski direktiften çıkarıp iki yeni madde aracılığıyla doğrudan GDPR'nin içine koymaktır.

Madde 88a: terminal ekipmana erişim için rıza

Bu madde ePrivacy Direktifi'nin 5(3). maddesinin yerini alıyor ve, önemli olarak, rıza gerektirmeyen amaçların kapsamını genişletiyor. Mevcut “kesinlikle gerekli” istisnası o kadar dar ki temel kitle ölçümü bile genellikle bir banner gerektiriyor. Öneri istisnaları güvenlik, toplu kitle ölçümü ve hizmet bütünlüğünün korunması gibi alanlara doğru genişletiyor.

En çok ilgiyi iki operasyonel değişiklik çekiyor:

• Tek tıkla kabul veya ret. Seçim, iki yönde de tek bir işlemle sunulabilmeli.
• Bir bekleme süresi. Kullanıcı reddederse altı ay boyunca tekrar sormamanız gerekiyor. Bu tek başına insanların yaşadığı banner yorgunluğunun büyük bir kısmını ortadan kaldırır.

Madde 88b: makine tarafından okunabilir rıza sinyalleri

Mühendisler için daha ilginç olan bu. Tarayıcı veya sistem düzeyindeki rıza sinyallerini veri sorumluları için hukuken bağlayıcı hale getirecek. Bir kullanıcı tercihini bir kez, tarayıcıda belirtirse, sitelerin tekrar sormak yerine buna uyması gerekecek.

Bu aynı zamanda üye devletlerin en az sevdiği kısım. Aşağıda anlatılan Konsey metni Madde 88b'yi tamamen siliyor.

Bilinmesi gereken diğer noktalar

Paket ayrıca kişisel veri ihlali bildirim süresini 72 saatten 96 saate çıkarmayı öneriyor ve takma adlandırılmış veriler ile yapay zeka eğitimi etrafındaki birkaç tanımı düzenliyor. Bunlar bu makalenin kapsamı dışında, ama aynı araçla birlikte geliyorlar; dosyanın tartışmalı olmasının bir nedeni de bu.

Konsey metni neyi farklı yapıyor

Üye devletler farklı bir metin üzerinde çalışıyor. İrlanda dönem başkanlığının 2 Ekim 2026 tarihli uzlaşı metni (Konsey'in Parlamento ile müzakereler için yetki metni olarak hazırlanan ve 10 Ekim 2026 itibarıyla henüz kabul edilmemiş 13886/26 sayılı Konsey belgesi), Komisyon'un tasarımını birkaç noktada değiştiriyor:

• Çerez kuralları ePrivacy Direktifi'nde kalıyor. 5(3). madde bulunduğu yerde yeniden yazılıyor ve Madde 88a ile 88b GDPR'ye eklenmiyor. Bu metinde tarayıcı sinyallerine uyma yükümlülüğü yok.
• Altı amaç rıza gerektirmiyor: bir iletişimin iletilmesi, kullanıcının açıkça talep ettiği bir hizmet, anonim toplu veri üreten birinci taraf kitle ölçümü, European Media Freedom Act kapsamında medya kitle ölçümü, güvenlik ve profil oluşturmadan bağlamsal reklamın gösterim ve performansının ölçülmesi.
• Tek tıkla ret. Kullanıcılar “tek tıklamalı bir düğmeyle veya eşdeğer araçlarla” reddedebilmeli.
• Daha kısa bir bekleme. Bir retten sonra aynı amaç için “en az dört ay” boyunca yeni talep yok; Komisyon metnindeki süre altı aydı.
• Komisyon'un iki fikri korunuyor: 96 saatlik ihlal bildirim süresi ve kişisel verinin göreli tanımı.

Bu bir müzakere tutumu, kanun değil; Parlamento ise kendi tutumunu henüz kabul etmedi.

Zamanlama ve Neden Henüz Buna Göre Plan Yapmamalısınız

10 Ekim 2026 itibarıyla gerçekçi tablo:

• Üçlü müzakereler başlamadı. AB büyükelçilerinin Konsey yetkisi üzerine 7 Ekim'de yapması planlanan oylama ertelendi ve 11 Ekim 2026'ya yeniden planlandığı bildirildi.
• Parlamento'da LIBE ve ITRE komiteleri taslak raporlarını 22 Haziran 2026'da yayımladı ve 1.750'den fazla değişiklik önergesi aldı. Komite oylaması yapılmadı.
• Komisyon metninde Madde 88a, yürürlüğe girişten yaklaşık altı ay sonra uygulanacak. Konsey metni ise üye devletlere yeni 5(3). maddeyi iç hukuka aktarmaları için 24 ay veriyor; gerçi son hükümleri hâlâ altı aylık bir tarih taşıyor ve bu çelişkiyi müzakerecilerin çözmesi gerekecek.
• Komisyon metninde Madde 88b yaklaşık 24 ay içinde uygulanacak. Konsey metni onu çıkarıyor.

Yani tek tık ve bekleme süresi kurallarının en erken makul tarihi, Komisyon'un takvimine göre 2027; Konsey'in 24 ayı korunursa daha geç. Tarayıcı sinyali yükümlülükleri hiç gelmeyebilir. Size çerez banner'ının bu yıl öldüğünü söyleyen biri bir şey satıyordur.

Şimdi Neyi Değiştirirdik, Neyi Değiştirmezdik

Reform kanun değil, ama yönü mimariye yön verecek kadar istikrarlı. Müşterilerimize şöyle tavsiyede bulunuyoruz.

Bunu şimdi yapın

Mekaniği düzeltin. Kabul etmek kadar kolay reddetme, etkileşimden önce hiçbir şeyin tetiklenmemesi, ayrıntılı kategoriler, çalışan bir geri alma. Bu yürürlükteki hukuk ve para cezaları burada.

Rıza durumunu rıza arayüzünden ayırın. Durumun sahibi olan, onu uygulamaya sunan ve kaydı bir sürüm referansıyla saklayan bir rıza hizmeti tutun. Böylece banner değiştirilebilir bir sunum katmanına dönüşür. Kurallar değiştiğinde arayüzü değiştirir, altyapıyı korursunuz.

Rıza kayıtlarını düzgün saklayın. Zaman damgası, kategori bazında durum, banner metni sürümünün tanımlayıcısı, kullanılan mekanizma ve kararın kaynağı. Metin sürümü olmadan kullanıcının gerçekte neyi kabul ettiğini kanıtlayamazsınız.

Sinyalleri dinlemeye başlayın. Global Privacy Control birkaç yargı alanında zaten hukuken önemli ve ona uymanın maliyeti çok düşük. Onu şimdi okumak, Madde 88b gelirse bunun bir proje değil bir yapılandırma değişikliği olacağı anlamına gelir.

Etiketlerinizi gerçekten denetleyin. Etiket yöneticisinin arayüzünde değil, tarayıcıda, gerçek bir sayfada, temiz bir profille. Rızadan önceki istekleri sayın. Genellikle ekibin beklediğinden fazladır.

Bunu henüz yapmayın

Ayrıntılı rızayı sökmeyin; istisnaların genişleyeceği varsayımıyla bile. Nihai metin yeniden daralırsa onu baştan kurmanız gerekir.

Gizlilik bildiriminizi taslak madde numaralarına göre yeniden yazmayın.

Kitle ölçümü için banner'ı kaldırmayın. Genişletilmiş istisna bir öneri, bir izin değil.

96 saatlik bir ihlal sürecine geçmeyin. 72 saatle çalışmaya devam edin.

Daha Büyük Tasarım Sorusu

Adını koymaya değer daha geniş bir kayma var. Düzenleyiciler, rızanız olup olmadığını sormaktan onu nasıl elde ettiğinizi sormaya geçti. Arayüz mekaniği artık yaptırımların yüzeyi. Çerez banner'ı davalarının bir politikanın ifadesine değil, düğme yerleşimine ve tıklama sayılarına dayanmasının nedeni bu.

Bu eğilim Digital Omnibus'tan sonra da sürüyor. 2026'nın sonlarında öneri olarak gelmesi beklenen Digital Fairness Act doğrudan karanlık örüntüleri, manipülatif arayüzleri, kişiselleştirilmiş fiyatlandırmayı ve bağımlılık yaratan tasarımı hedefliyor. Uygulanması gerçekçi olarak 2028 veya sonrası, ama hangi örüntülerin bir raf ömrü olduğunu şimdiden söylüyor.

Büyüme rakamlarınız kafa karıştırıcı bir arayüze dayanıyorsa, bu artık akıllıca bir optimizasyon değil, üzerinde tarih yazan bir uyum riskidir.

Analitik Üzerine Bir Not

Banner sorununun büyük kısmını ekipler kendileri yaratıyor. Rıza gerektiren bir üçüncü taraf analitik platformu yüklüyor, verilerinin üçte birini retlere kaptırıyor, sonra da tasarımla bunun etrafından dolanmaya çalışıyorlar.

Kendi sunucunuzda barındırılan, gizliliği önceleyen analitik hesabı değiştirebilir; çünkü kendi altyapınızda kalan ve siteler arası profil oluşturmayan ölçümün istisna için çok daha güçlü bir dayanağı vardır ve Omnibus'un önerdiği genişletilmiş istisnaların içine rahatça sığar. Seçeneklerden birini Matomo kurulum rehberimizde anlattık; aynı mantık kendi sunucunuzda pazarlama otomasyonu için de geçerli.

Bu bir uyum hilesi değil. Gerekçelendirmeniz gereken şeylerde gerçek bir azalma.

Bunun Genel Tablodaki Yeri

Çerez onayı, çok daha büyük bir düzenleyici yapının parçalarından yalnızca biri. Geri kalanını 2026 AB dijital uyum haritasının tamamı, altındaki katmanı ise GDPR mühendislik rehberi ele alıyor.

Rıza uygulamanızın, düzenleyicilerin fiilen uyguladığı kurallara göre incelenmesini ya da bir sonraki kural değişikliği yeniden yazım değil bir yapılandırma olacak şekilde yeniden kurulmasını istiyorsanız yardımcı olabiliriz. office@c9group.dev adresine yazın.

Biz sistem kuruyoruz, hukuki danışmanlık vermiyoruz; yorum konusunda son söz hukuk danışmanınıza aittir.