ABD hukuku ve CCPA

CCPA Açıklandı: Kaliforniya Tüketicileri için Opt-Out Yönetimi

7 Temmuz 2026 · 16 dk okuma

Hızlı Cevap: Kaliforniya Tüketici Gizliliği Yasası (CCPA), Kaliforniya sakinlerine kişisel bilgilerini satma veya paylaşma hakkından vazgeçme hakkı tanır. 1 Ocak 2026 itibarıyla, değiştirilen düzenlemeler artık işletmelerin opt-out tercih sinyallerini (Global Privacy Control gibi) dikkate almasını, bu sinyallerin işlendiğini görünür bir şekilde onaylamasını ve opt-out akışlarının opt-in akışlarından daha karmaşık olmamasını gerektirir. Uymama durumunda, kasıtlı ihlaller için 7,500 dolara kadar sivil cezalarla karşılaşılabilir.

Ana Noktalar

CCPA, belirli gelir, veri hacmi veya veri satışı eşiklerini karşılayan kâr amacı güden işletmelere uygulanır, Kaliforniya'da faaliyet gösteren her şirkete değil.
1 Ocak 2026 itibarıyla, işletmeler, bir opt-out tercih sinyalinin (Global Privacy Control gibi) tanındığını ve onaylandığını görünür bir şekilde göstermelidir. [3]
Opt-out mekanizmaları, opt-in akışları kadar kolay kullanılabilir olmalıdır; opt-out'ları caydıran karanlık desenler, 2026 değişiklikleri kapsamında açıkça yasaktır. [7]
İşletmeler, bir tüketici opt-out talebini aldıktan sonra 15 iş günü içinde yerine getirmek zorundadır. [2]
CCPA kapsamındaki "kişisel bilgi" geniş bir tanıma sahiptir: IP adresleri, tarayıcı geçmişi, coğrafi konum verileri, tüketici davranışından çıkarılan çıkarımlar ve daha fazlasını içerir.
CCPA ve GDPR, temelde farklı onay modelleri üzerinde çalışır; opt-out ve opt-in, birçok işletmenin her ikisine de aynı anda uyması gerektiği anlamına gelir.
Gizlilik politikanızı CCPA haklarını yansıtacak şekilde güncellememeniz, teknik opt-out hatalarından ayrı bir uyum açığıdır.
Biscotti CMP gibi bir onay yönetim platformu, sinyal tespiti, opt-out onay görüntüleme ve tercih kayıt tutma işlemlerini otomatikleştirebilir.

CCPA Nedir ve İşletmeniz İçin Neden Önemlidir

Kaliforniya Tüketici Gizliliği Yasası, Kaliforniya sakinlerine işletmelerin kişisel verilerini nasıl topladığı, kullandığı ve sattığı üzerinde belirli haklar tanıyan eyalet düzeyinde bir gizlilik yasasıdır. Bu önemlidir çünkü Kaliforniya, dünyanın beşinci en büyük ekonomisidir ve Kaliforniya tüketicileriyle etkileşimde bulunan herhangi bir işletme, nerede kurulu olursa olsun, yasal olarak uyum sağlamak zorunda olabilir.

CCPA, 2018'de yürürlüğe girmiştir, 2020'de Kaliforniya Gizlilik Hakları Yasası (CPRA) ile güçlendirilmiş ve 22 Eylül 2025'te Kaliforniya İdari Hukuk Ofisi tarafından onaylanan düzenlemelerle 1 Ocak 2026 itibarıyla önemli ölçüde güncellenmiştir. [1][5] Bu 2026 değişiklikleri, otomatik karar verme teknolojisi (ADMT), risk değerlendirmeleri ve çoğu işletme için kritik olan opt-out mekanizması tasarımı ve onay gereklilikleri etrafında yeni yükümlülükler eklemiştir. [1][7]

Kaliforniya tüketicileri için opt-out'ları yönetme konusunda CCPA'nın açıklanması artık kapsanan işletmeler için isteğe bağlı değildir. Düzenleyici zemin yükselmiştir ve uygulama da bunu takip etmiştir.

CCPA'nın Şirketime Uygulanıp Uygulanmadığını Nasıl Anlarım

CCPA, Kaliforniya'da faaliyet gösteren ve aşağıdaki eşiklerden en az birini karşılayan kâr amacı güden işletmelere uygulanır:

Yıllık brüt gelirleri 25 milyon doları aşan
Yıllık olarak 100,000 veya daha fazla Kaliforniya tüketicisinin veya hanehalkının kişisel bilgilerini satın alan, satan, alan veya paylaşan
Yıllık gelirlerinin %50'sinden fazlasını Kaliforniya tüketicilerinin kişisel bilgilerini satmaktan veya paylaşmaktan elde eden [4][6]

CCPA, belirli bir gelir altındaki küçük işletmelere uygulanır mı? Genel olarak, hayır. Bir işletme, üç eşikten de aşağıda kalıyorsa, CCPA kapsamında kapsanan bir işletme değildir. Ancak, kapsanan işletmeler adına veri işleyen hizmet sağlayıcılar ve yükleniciler, bağımsız olarak nitelendirilmeseler bile, sözleşmeye dayalı CCPA yükümlülüklerine tabidir. [2]

Kenar durumu: 25 milyon dolardan az geliri olan küçük bir SaaS şirketi, büyük bir ücretsiz kullanıcı tabanına sahip olduğunda, 100,000 tüketici verisi eşiklerini fark etmeden aşabilir.

CCPA Kapsamında Kişisel Bilgi Olarak Ne Sayılır

CCPA kapsamındaki kişisel bilgi, belirli bir tüketiciyi veya hanehalkını tanımlayan, ilişkilendiren, tanımlayan veya makul bir şekilde bağlanabilecek herhangi bir bilgi olarak geniş bir şekilde tanımlanır. Bu, isimler ve e-posta adreslerinin çok ötesine geçer.

Kapsanan kategoriler şunlardır:

Kategori	Örnekler
Tanımlayıcılar	İsim, e-posta, IP adresi, cihaz kimliği
Ticari bilgiler	Satın alma geçmişi, tarayıcı davranışı
Biyometrik veriler	Parmak izleri, yüz tanıma verileri
İnternet etkinliği	Çerezler, arama geçmişi, site etkileşimleri
Coğrafi konum	Mobil cihazlardan hassas konum
Çıkarımlar	Davranışsal verilerden oluşturulan profiller
Hassas kişisel bilgiler	Sosyal Güvenlik numaraları, sağlık verileri, hassas coğrafi konum

Tüketici verilerinden çıkarımlar yaparak tercihleri, özellikleri veya davranışları hakkında profiller oluşturmak açıkça dahildir. [4] Bu, reklam teknolojisi, analiz ve kişiselleştirme süreçleri için önemlidir.

CCPA Opt-Out ve Opt-In Arasındaki Fark Nedir

CCPA, opt-out modeli üzerinde çalışır: işletmeler varsayılan olarak tüketici verilerini toplayabilir ve kullanabilir, ancak tüketicilerin verilerinin satılmasını veya paylaşılmamasını talep etme hakkı vardır. Opt-in onayı yalnızca, 16 yaş altındaki tüketicilerin kişisel bilgilerini işlerken gibi belirli durumlarda gereklidir. [4][6]

Bu, GDPR'den temel bir yapısal farktır; GDPR, çoğu veri işleme başlamadan önce olumlu onay gerektiren bir opt-in modeli üzerinde çalışır. CCPA kapsamında, sessizlik onay değildir, ancak işleme engel de değildir. GDPR kapsamında, sessizlik onay değildir ve işleme onun olmadan başlayamaz.

Opt-in mantığını seçin eğer: 16 yaş altındaki çocuklardan veri işliyorsanız veya Kaliforniya yasası gereği açık onay gerektiren hassas kişisel bilgi kategorilerini işliyorsanız.

Opt-out mantığını seçin eğer: yetişkinlerden standart tüketici verileri işliyorsanız ve CCPA kapsamında kapsanan bir işletmeyseniz.

"Kişisel Bilgilerimi Satmayın veya Paylaşmayın" Bağlantısını Nasıl Kurabilirim

Kişisel bilgileri satan veya paylaşan her kapsanan işletme, ana sayfasında ve gizlilik politikasında "Kişisel Bilgilerimi Satmayın veya Paylaşmayın" başlıklı açık ve belirgin bir bağlantı sağlamalıdır. [4][6]

Adım adım kurulum:

İşletmenizin CCPA tarafından tanımlanan kişisel bilgileri satıp satmadığını veya paylaşıp paylaşmadığını belirlemek için veri akışlarınızı denetleyin.
Gerekli bağlantıyı web sitenizin altbilgisine ve mobil uygulama ayarları menüsüne ekleyin.
Opt-out taleplerini yakalamak ve zaman damgası eklemek için onay yönetim platformunuzu yapılandırın.
Opt-out akışının, opt-in akışından daha fazla adım gerektirmediğinden emin olun; 2026 düzenlemeleri asimetrik sürtünmeyi açıkça yasaklamaktadır. [7]
İşletmeniz tarayıcı tabanlı verileri işliyorsa Global Privacy Control (GPC) sinyallerini otomatik olarak onurlandırın.
Opt-out'un tanındığını gösteren görünür bir onay görüntüleyin; örneğin, "Opt-Out Tercih Sinyali Onurlandırıldı" diyen bir banner veya geçiş durumu. [3]

Biscotti CMP gibi bir platform, 3'ten 6'ya kadar olan adımları otomatikleştirebilir, GPC sinyal tespiti ve uyumlu onay görüntülemesi dahil.

Bir Tüketicinin Opt-Out Talebine Ne Kadar Sürede Yanıt Vermem Gerekir

İşletmeler, bir tüketicinin opt-out talebini 15 iş günü içinde yerine getirmek zorundadır. [2] Bu, diğer tüketici hakları talepleri (erişim veya silme gibi) için geçerli olan 45 günlük yanıt süresinden farklıdır.

Talep yerine getirildikten sonra, işletme, tüketicinin verilerini sattığı veya paylaştığı üçüncü taraflara, önceki 90 gün içinde, bu verileri kullanmayı bırakmaları talimatıyla bildirimde bulunmalıdır. [6] Bu aşağı akış bildirim yükümlülüğü sıklıkla göz ardı edilir ve yaygın bir uyum açığını temsil eder.

Bir Müşteri Opt-Out Olduktan Sonra Verileri Kullanabilir Miyim

Bir tüketici satış veya paylaşım için opt-out olduğunda, işletme bu tüketicinin kişisel bilgilerini gelecekte satamaz veya paylaşamaz. Ancak, işletme verileri, tüketici ile işletme arasındaki ilişkiyle tutarlı iç amaçlar için kullanabilir. [4]

Opt-out'tan sonra kesinlikle yasak olanlar:

Verileri üçüncü taraflarla çapraz bağlam davranışsal reklamcılık için satmak veya paylaşmak
Verileri toplandığı bağlamla uyumsuz şekillerde kullanmak

Opt-out'tan sonra hala izin verilenler:

Tüketicinin talep ettiği işlem veya hizmeti yerine getirmek
İç analiz ve dolandırıcılık önleme
Yasal yükümlülüklere uyum

Yaygın hata: Opt-out'un tam veri silme anlamına geldiğini varsaymak. Bu doğru değildir. Tüketicilerin bu hakkı tetiklemek için ayrı bir silme talebi göndermeleri gerekir.

CCPA ve GDPR: Hangisine Uymam Gerekir

Eğer işletmeniz hem Kaliforniya sakinlerine hem de Avrupa Birliği sakinlerine hizmet veriyorsa, muhtemelen her ikisine de uymanız gerekecektir. CCPA ve GDPR birbirini dışlamaz ve uyum gereklilikleri o kadar farklıdır ki, tek bir politika nadiren her ikisini de tatmin eder.

Faktör	CCPA	GDPR
Onay modeli	Opt-out (varsayılan işleme izin verilir)	Opt-in (önce onay gereklidir)
Coğrafi kapsam	Kaliforniya sakinleri	AB/AEA sakinleri
Kapsadığı kişiler	Eşikleri karşılayan kâr amacı güden işletmeler	AB sakin verilerini işleyen herhangi bir varlık
Cezalar	Kasıtlı ihlaller için 7,500 dolara kadar	Küresel yıllık cirosunun %4'üne kadar
Silme hakkı	Evet	Evet (Silme Hakkı)
Veri taşınabilirliği	Evet	Evet

Pratik anlamı: GDPR uyumlu onay banner'ları otomatik olarak CCPA uyumlu değildir, çünkü CCPA, bir onay kapısı yerine belirli bir opt-out mekanizması gerektirir.

CCPA Gerekliliklerine Uymadığımda Ne Olur

Uymama durumu, işletmeleri kasitli ihlaller için 7,500 dolar ve kasitsiz ihlaller için 2,500 dolara kadar sivil cezalara maruz bırakır ve bu cezalar Kaliforniya Gizlilik Koruma Ajansı (CPPA) tarafından uygulanır. [4][6] Küçüklerin verileriyle ilgili ihlaller varsayılan olarak kasıtlı olarak değerlendirilir.

Tüketicilerin, işletmenin makul güvenlik önlemlerini uygulamaması sonucunda meydana gelen veri ihlalleri için özel bir dava hakkı da vardır; bu durumda yasal tazminatlar her tüketici için olay başına 100 ile 750 dolar arasında değişmektedir. [4]

2026 değişiklikleri, CPPA'nın denetim yetkisini genişletti; bu, risk değerlendirmesi gerekliliklerine tabi olan işletmelerin proaktif düzenleyici denetimle karşılaşabileceği anlamına gelir, yalnızca reaktif uygulama değil. [1][7]

Gizlilik Politikanızı CCPA İçin Güncellemem Gerekir Mi

Evet. Kapsanan işletmeler, en azından aşağıdakileri açıklayan bir gizlilik politikası sürdürmelidir:

Toplanan kişisel bilgi kategorileri ve toplama amaçları
Kişisel bilgilerin satılıp satılmadığı ve dahil olan üçüncü taraf kategorileri
CCPA kapsamında mevcut olan tüketici hakları (opt-out, silme, erişim, düzeltme, taşınabilirlik)
Tüketicilerin bu hakları kullanmak için taleplerini nasıl iletebileceği
Her kişisel bilgi kategorisi için saklama süresi [4][6]

Gizlilik politikaları en az yılda bir kez güncellenmelidir. Veri uygulamalarında önemli bir değişiklik sonrası politikayı güncellememe durumu, kendisi bir uyum ihlali olarak değerlendirilir.

Bir Tüketicinin Opt-Out Talebinin Geçerli Olduğunu Nasıl Doğrularım

Opt-out talepleri için CCPA, işletmelerin talepte bulunan tüketicinin kimliğini doğrulamasını gerektirmez. [2] Bu, kasıtlıdır: opt-out'lar için kimlik doğrulaması talep etmek, hakkı zayıflatan bir sürtünme yaratır.

Ancak, işletmeler, talebin sahte olmadığını doğrulamak için makul yollar kullanabilir; örneğin, hesapla ilişkili e-posta adresini doğrulamak gibi. Opt-out doğrulama standardı, silme veya erişim talepleri için uygun olan kimlik doğrulama standardından kasıtlı olarak daha düşüktür, çünkü bu talepler veri açıklama veya yok etme ile ilgilidir.

Kenar durumu: Eğer bir opt-out talebi otomatik bir sinyal (GPC) aracılığıyla gelirse, ek bir doğrulama adımı gereklidir veya izin verilmez; sinyal kendisi geçerli bir talep oluşturur. [3][7]

Opt-Out Mekanizmaları Mobil Uygulamalar ve Web Siteleri Üzerinde Nasıl Çalışır

Web sitelerinde, opt-out mekanizmaları, altbilgide "Kişisel Bilgilerimi Satmayın veya Paylaşmayın" bağlantısını içermeli ve tarayıcı düzeyindeki GPC sinyallerini onurlandırmalıdır. [3][7] Mobil uygulamalarda, gereklilikler işlevsel olarak eşdeğerdir ancak uygulama farklılık gösterir:

Mobil uygulamalar, opt-out seçeneğini uygulamanın ayarlar menüsünde veya gizlilik tercihleri bölümünde içermelidir.
Uygulama mağazaları aracılığıyla dağıtılan uygulamalar, ek platform düzeyindeki gizlilik gerekliliklerine (örneğin, iOS'taki Uygulama İzleme Şeffaflığı) uymalıdır, ancak bu platform gereklilikleri CCPA uyumunu ikame etmez.
Mobil işletim sistemlerinden gelen otomatik sinyaller, işletme bu verileri işliyorsa, tarayıcı tabanlı GPC sinyalleriyle aynı şekilde onurlandırılmalıdır.

2026 düzenlemeleri, kanalın (web veya uygulama) temel yükümlülüğü değiştirmediğini, yalnızca teknik uygulamanın farklılık gösterdiğini açıkça belirtmektedir.

İşletmelerin CCPA Uyumunda Yaptığı Yaygın Hatalar

İyi niyetli işletmeler bile sıklıkla aşağıdaki hataları yapmaktadır:

Opt-out'u opt-in olarak ele almak: Tüketicilerin opt-out'larını birden fazla adımla onaylamasını istemek, 2026 değişikliklerindeki simetri gerekliliğini ihlal eder. [7]
GPC sinyallerini göz ardı etmek: Teknoloji yığınlarını Global Privacy Control tarayıcı sinyallerini tespit etmek ve onurlandırmak için yapılandırmamak; bu sinyaller artık geçerli opt-out talepleri olarak kabul edilmektedir. [3]
Opt-out onayını görüntülememek: 2026 kuralları, bir sinyalin işlendiğine dair görünür bir onay gerektirir; arka uçta bir günlük girişi yeterli değildir. [3]
Aşağı akış satıcılarını göz ardı etmek: Opt-out alındıktan sonra üçüncü taraf veri alıcılarına bildirimde bulunmamak.
Statik gizlilik politikaları: Politikayı yıllık olarak veya veri uygulamalarında önemli değişikliklerden sonra güncellememe.
Hizmet sağlayıcıları ile üçüncü tarafları karıştırmak: Sözleşme altında veri işleyen hizmet sağlayıcılarının, kendi amaçları için veri alan üçüncü taraflardan farklı yükümlülükleri vardır.

SSS

CCPA, kar amacı gütmeyen kuruluşlara uygulanır mı? Hayır. CCPA yalnızca kâr amacı güden işletmelere uygulanır. Kar amacı gütmeyen kuruluşlar kapsanan işletmeler değildir, ancak diğer Kaliforniya gizlilik yasalarına tabi olabilirler.

Global Privacy Control (GPC) nedir ve bunu onurlandırmak zorunda mıyım? GPC, bir tüketicinin opt-out tercihlerini otomatik olarak ileten bir tarayıcı düzeyinde sinyaldir. 1 Ocak 2026 itibarıyla, tarayıcı verilerini işleyen kapsanan işletmeler, GPC sinyallerini geçerli opt-out talepleri olarak onurlandırmak ve sinyalin işlendiğine dair onay görüntülemek zorundadır. [3][7]

Bir işletme, opt-out olan tüketicilere farklı bir fiyat talep edebilir mi? Genel olarak hayır. CCPA, işletmelerin gizlilik haklarını kullanan tüketicilere karşı ayrımcılık yapmasını yasaklar; bu, farklı fiyatlar talep etmeyi de içerir, ancak fark, tüketicinin verisinin değerine makul bir şekilde bağlı olmalıdır. [4]

Opt-out kayıtları ne kadar süreyle saklanmalıdır? CCPA, opt-out kayıtları için evrensel bir saklama süresi belirtmez, ancak işletmeler, bir denetim veya uygulama eylemi durumunda uyumu gösterecek kadar uzun süre kayıtları saklamalıdır; genellikle en az 24 ay makul bir temel olarak kabul edilir. [6]

Bir çerez banner'ı CCPA opt-out gerekliliklerini karşılar mı? Bir çerez banner'ı tek başına yeterli değildir. CCPA, özel bir "Kişisel Bilgilerimi Satmayın veya Paylaşmayın" bağlantısı gerektirir ve 2026 değişiklikleri, işletmelerin GPC sinyallerini herhangi bir çerez onay etkileşiminden bağımsız olarak onurlandırmasını ve onaylamasını gerektirir. [3][7]

CCPA kapsamında "satış" ve "paylaşım" arasındaki fark nedir? "Satış", kişisel bilgilerin maddi bir karşılık için değiştirilmesini içerir. "Paylaşım", kişisel bilgilerin çapraz bağlam davranışsal reklamcılık için açıklanmasını kapsar, ödeme olmaksızın bile. Her ikisi de opt-out haklarını tetikler. [4]

Her veri kategorisi için ayrı opt-out mekanizmalarına ihtiyacım var mı? Hayır. Satış ve paylaşımı kapsayan tek bir opt-out mekanizması yeterlidir, ancak işletmeler gizlilik politikalarında hangi veri kategorilerinin kapsandığını açıkça tanımlamalıdır.

2026 CCPA değişiklikleri kapsamında risk değerlendirmesi nedir? Önemli gizlilik riskleri oluşturan kişisel bilgileri işleyen işletmeler, bu işleme başlamadan önce risk değerlendirmeleri yapmalı ve belgelemelidir; otomatik karar verme teknolojisi kullanımı da buna dahildir. [1][7]

Sonuç

Kaliforniya tüketicileri için opt-out'ları yönetme konusunda CCPA'nın açıklanması, sürekli değişen bir hedef olup, 2026 değişiklikleri bu standardı önemli ölçüde yükseltmiştir. Temel yükümlülükler, net bir opt-out mekanizması sağlamak, tüketici taleplerini 15 iş günü içinde onurlandırmak ve gizlilik politikanızı güncellemek, temeldir. Ancak GPC sinyal onayı, karanlık desenlerin yasaklanması ve ADMT risk değerlendirmeleri etrafındaki yeni gereklilikler, statik bir altbilgi bağlantısının sağlayabileceğinden daha sistematik bir yaklaşım gerektirmektedir.

Kapsanan işletmeler için uygulanabilir sonraki adımlar:

Mevcut opt-out akışınızı 2026 simetri gerekliliği ile denetleyin: opt-out için adımları sayın ve bunları opt-in adımlarıyla karşılaştırın.
Web sitenizin ve mobil uygulamanızın Global Privacy Control sinyallerini tespit ettiğinden ve bir sinyal alındığında görünür bir onay mesajı görüntülendiğinden emin olun.
Üçüncü taraf satıcı listenizi gözden geçirin ve opt-out sonrası veri akışları için aşağı akış bildirim prosedürlerinin yerinde olduğunu doğrulayın.
Gizlilik politikanızı mevcut veri uygulamalarını, saklama sürelerini ve tüketici haklarının tam listesini yansıtacak şekilde güncelleyin.
Web ve mobil kanallar arasında sinyal tespiti, opt-out onayı ve tercih kayıt tutma işlemlerini otomatikleştirmek için Biscotti CMP gibi bir onay yönetim platformunu değerlendirin.

Uyum, tek seferlik bir proje değildir. CPPA, rehberlik sağlama ve uygulama peşinde koşma istekliliğini göstermiştir ve düzenleyici ortam gelişmeye devam edecektir. Şimdi tekrarlanabilir, denetlenebilir süreçler oluşturmak, kapsanan bir işletmenin alabileceği en savunulabilir pozisyondur.