Bir web sitesine girdiniz ve ekranın altında şu cümle belirdi:
“Sitemizi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız.”
Yanında yalnızca “Kabul Et” butonu var. “Reddet” seçeneği görünmüyor. Siz hiçbir işlem yapmadan reklam ve analiz çerezleri çalışmaya başlıyor.
Bu sitede bir çerez banner’ı bulunuyor olabilir. Ancak bu, sitenin KVKK’ya uygun olduğu anlamına gelmez.
Çünkü çerez uyumunda önemli olan yalnızca ziyaretçiye bir kutu göstermek değil; hangi çerezin, hangi amaçla, hangi hukuki sebebe dayanarak ve ne zaman çalıştığını yönetebilmektir.
Kısacası:
Çerez banner’ı uyumun görünen yüzüdür. Asıl uyum, banner’ın arkasında çalışan teknik ve hukuki süreçtir.
Çerez nedir ve neden KVKK’yı ilgilendirir?
Çerezler, bir web sitesi ziyaret edildiğinde tarayıcıya veya cihaza kaydedilebilen küçük veri parçalarıdır. Kullanıcının oturumunu açık tutmak, sepetini hatırlamak, dil tercihini saklamak, site trafiğini ölçmek veya kullanıcıya ilgi alanına göre reklam göstermek için kullanılabilir.
Her çerez doğrudan kişinin adını ve soyadını içermeyebilir. Ancak çerez kimliği; IP adresi, cihaz bilgisi, kullanıcı hesabı veya çevrim içi davranışlarla ilişkilendirildiğinde belirli ya da belirlenebilir bir kişiye ulaşılmasını sağlayabilir. Bu nedenle çerezler yoluyla gerçekleştirilen işlemler kişisel veri işleme faaliyeti oluşturabilir.
Fakat bütün çerezler aynı değildir. Bir kullanıcının giriş yaptığı hesabı açık tutan çerez ile farklı sitelerdeki davranışlarını takip ederek reklam profili oluşturan çerezin amacı ve kullanıcı üzerindeki etkisi aynı değildir.
Bu yüzden “Sitemizde çerez kullanılmaktadır” demek tek başına yeterli olmaz.
Banner var ama uyum yok: Nasıl olur?
Çerez banner’ını bir binanın güvenlik görevlisine benzetebiliriz. Güvenlik görevlisinin kapıda durması binanın gerçekten güvenli olduğunu göstermez. Kapılar açık bırakılmış, kameralar yanlış kişilere erişim sağlıyor veya ziyaretçi kayıtları tutulmuyorsa görevlinin yalnızca görünür olması yeterli değildir.
Benzer şekilde bir banner:
- zorunlu olmayan çerezleri onay alınmadan çalıştırıyorsa,
- yalnızca “Kabul Et” seçeneği sunuyorsa,
- ret butonunu görünmez veya ulaşılması zor hâle getiriyorsa,
- hangi çerezlerin çalıştığını doğru açıklamıyorsa,
- kullanıcının seçimini kaydetmiyor ve ispatlayamıyorsa,
- verilen onayın sonradan kolayca geri alınmasına izin vermiyorsa,
yalnızca görsel bir katmandan ibaret kalır.
Her çerez için açık rıza gerekir mi?
Hayır. Çerezlerin amacı, kullanım biçimi ve dayandığı veri işleme şartı birlikte değerlendirilmelidir.
Web sitesinin veya kullanıcının açıkça talep ettiği bir hizmetin çalışabilmesi için gerekli çerezlerdir. Sepetteki ürünlerin korunması, oturum güvenliği, yük dengeleme veya kullanıcının çerez tercihlerinin hatırlanması bu gruba örnek olabilir.
Bu çerezler bakımından, somut duruma göre KVKK’nın 5’inci maddesindeki açık rıza dışındaki işleme şartlarından biri kullanılabilir. Ancak “zorunlu” etiketi, her çereze gelişigüzel yapıştırılmamalıdır. Bir pazarlama çerezini “site performansı için gerekli” şeklinde adlandırmak, çerezin gerçek amacını değiştirmez.
Dil, bölge, yazı tipi veya kişiselleştirme tercihlerini hatırlamak gibi ilave özellikler sunabilir. Kullanıcının açıkça talep ettiği hizmet için gerçekten gerekli olup olmadığına göre hukuki değerlendirme yapılmalıdır.
Hangi sayfaların ziyaret edildiğini, kullanıcıların sitede ne kadar kaldığını veya hangi noktada sayfadan ayrıldığını ölçebilir. Her analitik aracın aynı biçimde çalıştığı varsayılmamalıdır. Aracın veri toplama yöntemi, sağlayıcısı, saklama süresi, kullanıcıyı tekilleştirip tekilleştirmediği ve veriyi başka amaçlarla kullanıp kullanmadığı incelenmelidir.
Kullanıcının ilgi alanlarını belirlemek, yeniden hedefleme yapmak veya farklı internet sitelerindeki davranışları eşleştirmek amacıyla kullanılabilir. Bu tür çerezler kural olarak ziyaretçinin tercihi alınmadan çalıştırılmamalıdır.
Burada önemli olan çerezin adı değil, gerçekte ne yaptığıdır.
Somut örnek: Ayakkabıya baktınız, reklamı sizi takip etmeye başladı
Bir e-ticaret sitesine girdiniz ve kırmızı bir ayakkabıyı incelediniz. Hiçbir butona basmadan siteyi kapattınız. Birkaç dakika sonra sosyal medyada aynı ayakkabının reklamını görmeye başladınız.
Bu senaryoda şu sorular önemlidir:
- Reklam veya yeniden hedefleme çerezi site açılır açılmaz mı çalıştı?
- Kullanıcıya bu takip faaliyeti açıkça anlatıldı mı?
- Kullanıcı reklam çerezlerini reddedebildi mi?
- Ret seçeneği, kabul seçeneği kadar kolay erişilebilir miydi?
- Ret verildiğinde daha önce yerleştirilen çerez ve tanımlayıcılar gerçekten durduruldu mu?
Banner ekranda görünse bile reklam etiketi onaydan önce çalışmışsa, banner teknik olarak geç kalmış demektir. Çünkü veri işleme faaliyeti kullanıcı karar vermeden başlamıştır.
Çerez banner’larında en sık yapılan 8 hata
En yaygın hata budur. Sayfa açılır açılmaz analiz, reklam veya yeniden hedefleme etiketleri tetiklenir; banner ise kullanıcıya sonradan gösterilir.
Örnek: Kullanıcı “Reddet” butonuna basıyor fakat Google Analytics veya reklam pikseli daha önce cihazına tanımlayıcı yerleştirmiş oluyor.
Doğru yaklaşım: Açık rıza gerektiren çerez ve etiketleri kullanıcı olumlu tercih vermeden önce engellemek.
Kullanıcının gerçek bir seçim yapabilmesi gerekir. Ret seçeneğinin hiç bulunmaması veya birkaç ekranın arkasına saklanması, rızanın özgür iradeyle verilmesini tartışmalı hâle getirir.
Yanlış örnek: Büyük ve renkli “Tümünü Kabul Et” butonunun yanında yalnızca küçük bir “Ayarlar” bağlantısı bulunması; reddetmenin ayarlar içinde çok sayıda adım gerektirmesi.
Daha dengeli yaklaşım: İlk katmanda “Tümünü Kabul Et”, “Tümünü Reddet” ve “Tercihlerimi Yönet” seçeneklerini anlaşılır biçimde sunmak.
Analitik ve reklam kategorilerinin varsayılan olarak açık gelmesi, kullanıcının aktif bir irade açıklaması yapmasını engeller.
Doğru yaklaşım: Zorunlu olmayan kategorileri varsayılan olarak kapalı tutmak ve kullanıcının kendisinin etkinleştirmesini sağlamak.
Sayfayı kaydırmak, içerik okumak veya site içinde gezinmek; tek başına belirli, bilgilendirilmiş ve aktif bir onay mekanizmasının yerini tutmaz.
Doğru yaklaşım: Kullanıcının açık bir buton veya tercih kontrolü aracılığıyla iradesini ortaya koymasını sağlamak.
Politikada yalnızca üç çerez yazarken taramada otuz çerez çıkabilir. Bazı araçlar sonradan eklenmiş fakat politika güncellenmemiş olabilir.
Somut örnek: Pazarlama ekibi internet sitesine etiket yöneticisi üzerinden yeni bir reklam pikseli ekliyor. Banner bu pikseli tanımıyor, politika sağlayıcıyı açıklamıyor ve piksel ziyaretçi karar vermeden çalışıyor.
Doğru yaklaşım: Siteyi düzenli taramak; kullanılan çerezleri, sağlayıcıları ve amaçları güncel tutmak.
Bir çerezin site sahibi açısından yararlı olması, onun kullanıcı açısından zorunlu olduğu anlamına gelmez. Satış dönüşümünü ölçmek veya reklam performansını analiz etmek ticari açıdan önemli olabilir; ancak bu durum çerezi otomatik olarak teknik açıdan zorunlu yapmaz.
Kullanıcı ilk ziyarette tercih yapabiliyor fakat daha sonra kararını değiştirecek bir bağlantı bulamıyorsa süreç eksiktir.
Doğru yaklaşım: Sitenin her sayfasından erişilebilen “Çerez Tercihlerim” veya benzeri bir bağlantı sunmak ve geri alma işlemini onay vermek kadar kolay hâle getirmek.
“Kullanıcı kabul etmiş olmalı” yaklaşımı yeterli değildir. Hangi kullanıcının, hangi tarihte, hangi banner ve politika sürümünü görerek, hangi kategorilere izin verdiğinin kayıt altına alınması gerekir.
Bu kayıtlar gereğinden uzun tutulmamalı ve güvenli biçimde saklanmalıdır.