← Yazılara Dön

Blog

Finans Sektöründe KVKK'ya Uyumlu Dijital Pazarlama: Google Analytics ve Çerez Onayını Nasıl Kurdum

31 Temmuz 2026 · 3 dk okuma

Bu sitenin altyapısını kurarken bir boşlukla karşılaştım. Finans ve sermaye piyasaları sektöründe faaliyet gösteren kurumlar için KVKK uyumu üzerine yazılmış içeriklerin neredeyse tamamı hukuk diliyle kaleme alınmış: madde numaraları, yükümlülükler, idari para cezaları. Bunun karşılığında "bunu bir pazarlamacı olarak pratikte nasıl kurarım" sorusuna gerçek kodla cevap veren bir kaynak bulamadım. Bu yazıda, bu sitede bizzat kurduğum sistemi paylaşıyorum: Google Analytics'in ziyaretçi onay vermeden hiç yüklenmediği, kararın hatırlandığı ve istendiği an geri alınabildiği bir çerez onayı akışı.

Neden Bu Bir Pazarlamacının da İşi

Finans ve sermaye piyasaları gibi düzenlenmiş sektörlerdeki siteler, arama motorlarının ve ziyaretçilerin gözünde daha yüksek bir güven eşiğine tabi. Buna rağmen sahada en sık gördüğüm pratik şu: analitik kodu sayfa yüklenir yüklenmez, hiçbir onay sorulmadan çalışıyor. Bu, KVKK'nın açık rıza ilkesine aykırı olmasının yanında, ilk izlenimde de bir risk taşıyor: tarayıcısının geliştirici araçlarını açan meraklı bir ziyaretçi, onay istenmeden veri toplandığını kolayca fark edebilir. Bu kurulumu genelde geliştirici değil pazarlama ekibi talep ediyor, çünkü etiketleri günlük olarak yöneten taraf pazarlama.

KVKK'nın Pazarlamacı İçin Pratik Karşılığı

Bu bölüm hukuki danışmanlık yerine geçmez, KVKK'nın kamuya açık rehberlerine dayanan pratik bir özet sunar. Üç soruya indirgeyebiliriz:

Hangi veri toplanıyor? Analitik çerezler üzerinden toplanan cihaz/tarayıcı bilgisi, yaklaşık konum ve sayfa içi etkileşimler, dolaylı yoldan bir kişiyle ilişkilendirilebildiği için kişisel veri sayılır.

Hukuki sebep ne? Analitik çerezler "kesinlikle gerekli" kategorisine girmez; bir iletişim formunun "meşru menfaat" kapsamında işlenmesinden farklı olarak, KVKK m.5 uyarınca açık rıza gerektirir.

Rıza ne zaman alınmalı? Toplamadan önce. Ziyaretçiye verinin ne amaçla, ne kadar süreyle ve kimlerle paylaşılacağı bilgisi, onay istenmeden önce sunulmuş olmalı. Bu yüzden tek başına bir çerez banner'ı yeterli değil (aşağıda değineceğim).

Aydınlatma metni de gerekli mi? Evet, ayrıca. Banner'ın kendisi kısa ve aksiyona yönelik kalmalı ("Kabul Et" / "Reddet"); hangi verinin, hangi amaçla, kime aktarıldığı ve haklarınızın neler olduğu gibi ayrıntılar ayrı bir aydınlatma metninde yer almalı. Bu sitede bu ikisi bilinçli olarak ayrılmış durumda: banner'da tek cümlelik özet var, detaylar Gizlilik Politikası ve Aydınlatma Metni sayfasında.

Adım Adım: Onay Olmadan Hiçbir Şey Yüklenmesin

Kurulumun can alıcı noktası şu: sayfanın <head> bölümünde yalnızca dataLayer/gtag'in boş bir stub'ı tanımlanıyor. Google'ın gerçek script dosyası (gtag/js) DOM'a yalnızca ziyaretçi "Kabul Et"e bastığında ekleniyor. Yani onay verilmediği sürece tarayıcı Google'ın sunucusuna hiçbir istek atmıyor. Bunu tarayıcının Network sekmesinden doğrulayabilirsiniz. 

// 1) <head>'de sadece boş bir stub tanımlanır, henüz gerçek script yok
window.dataLayer = window.dataLayer || [];
function gtag() { dataLayer.push(arguments); }

// 2) Gerçek script yalnızca onay verildiğinde DOM'a eklenir
const GA_ID = 'G-XXXXXXXXXX';
const CONSENT_KEY = 'cookie_consent';

function loadAnalytics() {
  const s = document.createElement('script');
  s.async = true;
  s.src = `https://www.googletagmanager.com/gtag/js?id=${GA_ID}`;
  document.head.appendChild(s);
  gtag('js', new Date());
  gtag('config', GA_ID);
}

// 3) Karar localStorage'da saklanır, her ziyarette tekrar sorulmaz
const consent = localStorage.getItem(CONSENT_KEY);
if (consent === 'granted') loadAnalytics();

acceptButton.addEventListener('click', () => {
  localStorage.setItem(CONSENT_KEY, 'granted');
  loadAnalytics();
});

declineButton.addEventListener('click', () => {
  localStorage.setItem(CONSENT_KEY, 'denied');
  // gtag hiç çağrılmaz, hiçbir istek gitmez
});

Karar bir kere localStorage'a yazıldıktan sonra ziyaretçiye her sayfa yüklendiğinde tekrar sorulmuyor. Fikrini değiştirmek isteyen ziyaretçi için sitenin altbilgisine bir "Çerez Tercihleri" linki eklemek yeterli. Bu link, banner'ı tekrar açıp kararı sıfırlıyor.

Aydınlatma Metni Neden Ayrı Bir Sayfa Olmalı

Banner'daki tek cümlelik bilgilendirme, KVKK'nın aradığı aydınlatma yükümlülüğünü tek başına karşılamıyor. Ayrı bir Gizlilik Politikası sayfası, en azından şu unsurları içermeli: veri sorumlusunun kimliği, işlenen veri kategorileri, toplama yöntemi ve hukuki sebebi, üçüncü taraflara aktarım (örneğin Google'ın kendisi yurt dışında yerleşik), saklama süresi ve KVKK m.11 kapsamındaki haklar. Bu sayfa çerez banner'ından önce linklenmiş olmalı. Onay istemeden önce bilgilendirme yapılmış olması, KVKK'nın aradığı sıralamaya uyuyor.

Sonuç

Bunu yalnızca bir hukuki kutu işaretleme meselesi olarak görmemek gerekir. Bir ziyaretçinin, özellikle finans gibi güvenin belirleyici olduğu bir sektörde, "bu kurum verimi rızam olmadan toplamıyor" sonucuna kendiliğinden varması ölçülemeyen ama gerçek bir marka etkisi yaratıyor. Bu kurulumun daha sonra Google'ın resmi Consent Mode v2 spesifikasyonu karşısında nasıl durduğunu ayrı bir yazıda ele aldım. Kendi kurumunuzun sitesinde benzer bir kurulumu yapmak veya mevcut kurulumu KVKK açısından gözden geçirtmek isterseniz, iletişime geçebilirsiniz →.

İlgili Yazılar