Web Sitelerinde Çerez Kullanımı ve KVKK Uyumu: Yükümlülükler ve Doğru Uygulama
Web sitelerinde çerez kullanımının KVKK uyumu: hangi çerezlerde açık rıza gerekir, aydınlatma yükümlülüğü nasıl karşılanır ve doğru banner nasıl tasarlanır.
Web sitelerinde çerez kullanımının KVKK ile uyumlu olması için iki ayrı yükümlülüğün karşılanması gerekir: kişisel veri işleyen çerezler için 6698 sayılı Kanun kapsamında aydınlatma yapılması ve açık rıza gereken çerezlerde ziyaretçinin önceden, aktif bir eylemle onayının alınması. Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi'ne göre yalnızca siteye giriş yapmak veya gezinmeye devam etmek rıza sayılmaz; rıza belirli, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Her çerez için değil, yalnızca kişisel veri işleyen ve zorunlu olmayan çerezler için açık rıza aranır.
Çerezleri saklanma süresine göre oturum çerezleri (tarayıcı kapanınca silinen) ve kalıcı çerezler; kaynağına göre birinci taraf (siteyi işleten tarafça yerleştirilen) ve üçüncü taraf çerezleri olarak ayırmak uyum çalışmasının temelidir. KVKK Rehberi, işlevlerine göre de dört ana grup tanımlar: kesinlikle gerekli (zorunlu) çerezler, işlevsellik çerezleri, performans-analiz çerezleri ve reklam-pazarlama çerezleri. Bu sınıflandırma önemlidir, çünkü hangi çerezin rızaya tabi olduğunu belirleyen ölçüt çerezin işleviyle doğrudan ilişkilidir.
Bir çerezin açık rızadan muaf tutulabilmesi için KVKK Rehberi iki kriter ortaya koyar ve çerezin bunlardan en az birini karşılaması beklenir. Birinci kriter, çerezin tek amacının bir elektronik haberleşme ağı üzerinden iletişimin teknik olarak sağlanması olmasıdır. İkinci kriter, çerezin kullanıcının açıkça talep ettiği bir hizmetin sunulabilmesi için kesinlikle gerekli olmasıdır; alışveriş sepetinin görüntülenmesi, üyelik oturumunun açık tutulması veya güvenlik amaçlı oturum yönetimi bu kapsamdadır. Bu iki kriterden hiçbirini karşılamayan çerez için kullanımdan önce açık rıza alınması gerekir.
Analitik ve ölçümleme çerezleri, ziyaretçi davranışını izleyen performans araçları, hedefli reklam ve yeniden pazarlama çerezleri ile profil çıkaran sosyal medya eklentileri açık rıza gerektiren gruptadır. Google Analytics gibi bir aracın çerezi, sitenin teknik olarak çalışması için zorunlu olmadığından açık rıza kapsamına girer. Buna karşılık oturum kimliği tutan güvenlik çerezi veya dil tercihini hatırlayan temel işlev çerezi zorunlu kabul edilebilir. Belirleyici olan çerezin ticari veya analitik değeri değil, talep edilen hizmet için kesinlikle gerekli olup olmadığıdır.
Aydınlatma yükümlülüğü, açık rızadan ayrı ve bağımsız bir yükümlülüktür. KVKK Rehberi, çerezlere ilişkin bilgilendirmenin uzun ve karmaşık bir gizlilik politikası içine gömülmesini değil, ayrı ve kolay erişilebilir bir metinde sunulmasını bekler. Çerez aydınlatma metninde her çerezin adı, amacı, birinci taraf mı yoksa üçüncü taraf mı olduğu ve saklanma süresi gibi bilgilerin yer alması uyumu güçlendirir. Aydınlatma, çerez kişisel veri işlediği ölçüde, rıza alınıp alınmadığından bağımsız olarak yapılmalıdır.
Açık rıza mekanizmasının tasarımı denetimlerde sık öne çıkan bir konudur. KVKK Rehberi, kullanıcıya kabul et, reddet ve tercihleri yönet seçeneklerinin eşit biçimde sunulmasını ister. Yalnızca kabul et butonunu belirgin gösterip reddetme seçeneğini gizlemek veya birkaç tıklama arkasına saklamak, rızanın özgür iradeyle verilmesi koşulunu zedeler. Rıza gereken çerezler kullanıcı onay vermeden önce yüklenmemeli; banner açıldığında zorunlu olmayan çerezler varsayılan olarak kapalı (opt-in) durmalıdır. Sitenin kullanımını tüm çerezlerin kabulüne bağlayan çerez duvarı uygulamaları rızanın geçerliliğini zayıflatır.
Ziyaretçinin verdiği rızayı geri alması, rıza vermek kadar kolay olmalıdır. Bu nedenle çerez tercihlerine her sayfadan erişilebilen kalıcı bir bağlantı veya ayar paneli bulundurmak beklenir. Rızanın ispat yükü veri sorumlusundadır; hangi ziyaretçinin ne zaman, hangi çerez kategorilerine onay verdiğini kayıt altında tutmak, olası bir şikayet veya denetimde belge sunulabilmesini sağlar. Verilen rıza süresiz kabul edilmez; makul aralıklarla yenilenmesi ve çerez envanterinin periyodik olarak gözden geçirilmesi iyi bir uygulamadır.
Üçüncü taraf çerezleri ek bir hukuki risk taşır. Google, Meta veya benzeri yurt dışı kaynaklı sağlayıcıların çerezleri aracılığıyla kişisel veri yurt dışına aktarılıyorsa, 6698 sayılı Kanun'un yurt dışına veri aktarımına ilişkin kuralları devreye girer. Bu durumda yalnızca çerez rızası yeterli olmayabilir; aktarımın Kanun'da öngörülen uygun bir güvence mekanizmasına dayandırılması gerekir. Bu nedenle çerez uyum çalışması, kullanılan üçüncü taraf araçların envanterinin çıkarılmasını ve aktarım rejiminin ayrıca değerlendirilmesini kapsamalıdır.
Pratik bir uyum yol haritası şu adımlardan oluşur: sitedeki tüm çerezlerin taranıp envanterinin çıkarılması ve gereksiz olanların kaldırılması; her çerezin işleve göre sınıflandırılması ve zorunlu olup olmadığının iki kritere göre belirlenmesi; rıza gereken çerezlerin kullanıcı onayı gelene kadar yüklenmesinin engellenmesi; kabul, reddet ve tercih seçeneklerini eşit sunan bir banner kurulması; ayrı bir çerez aydınlatma metninin yayımlanması; rıza kayıtlarının tutulması ve üçüncü taraf aktarım risklerinin gözden geçirilmesi. Bu adımların düzenli aralıklarla yeniden denetlenmesi, siteye eklenen yeni araçların uyumu bozmasını önler.
Çerez uyumu tek seferlik bir kurulum değil, sitenin içeriği ve entegrasyonları değiştikçe sürdürülmesi gereken bir süreçtir. Yeni bir pazarlama pikseli veya analitik araç eklendiğinde envanterin, banner kategorilerinin ve aydınlatma metninin güncellenmesi gerekir. Aksi halde teknik olarak rıza alınıyor görünse bile fiilen rıza kapsamı dışında çerezler yüklenebilir ve uyum bozulur.
Sitenizdeki çerez yapısının KVKK Rehberi ölçütlerine uygunluğunu görmek isterseniz, KVKK Danışman ücretsiz bir ön değerlendirme sunuyor. Çerez envanterinizi, banner tasarımınızı ve aydınlatma metninizi birlikte gözden geçirip eksik noktaları netleştirebilirsiniz.