Sayılarla ne demek?
Her çerez aynı muameleyi görmez. Sepetin hatırlanması, oturum açılması ya da güvenlik için gereken çerezler sitenin çalışmasının parçasıdır ve genel olarak izin gerektirmez. Ziyaretçinin davranışını analiz eden, reklam için izleyen ya da başka sitelerle paylaşan çerezler ise farklıdır.
Türkiye'de Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi, zorunlu olmayan çerezlerin kullanımı için genel olarak açık rıza aranacağını ortaya koyuyor. Avrupa'daki düzenlemeler de benzer bir yaklaşıma sahip. Bu yüzden analitik ve reklam kodlarının, ziyaretçi izin vermeden çalışmaması gerekiyor.
Rızanın geçerli sayılması için bazı koşullar vardır: belirli bir amaca bağlı olmalı, ziyaretçi bilgilendirilmiş olmalı ve karar özgür iradeyle verilmiş olmalıdır. Sayfada gezinmeye devam etmek, önceden işaretlenmiş kutular ya da yalnızca kabul seçeneği sunmak bu koşulları karşılamaz.
Çerez kategorileri
| Kategori | Örnek | Rıza gerekir mi? |
|---|---|---|
| Zorunlu | Sepet, oturum, güvenlik | Genel olarak hayır |
| İşlevsel | Dil tercihi, son görüntülenenler | Duruma göre değerlendirilir |
| Analitik | Ziyaret ve davranış ölçümü | Genel olarak evet |
| Reklam ve pazarlama | Piksel, yeniden pazarlama | Evet |
Kategorilerin doğru belirlenmesi için önce sitede hangi çerezlerin çalıştığını bilmek gerekiyor. Yıllar içinde eklenen araçlar nedeniyle birçok site, kendi çerezlerinin tam listesine sahip değil.
Uyum için adımlar
- Çerez envanteri çıkarın. Sitede neler çalışıyor?
- Kategorilere ayırın. Zorunlu ve zorunlu olmayan.
- Politika metnini güncelleyin. Amaç, süre, üçüncü taraflar.
- Kodları izne bağlayın. Karar öncesinde çalışmasınlar.
- Rıza kayıtlarını saklayın. Ne zaman, hangi metinle.
Uygulamada ne oluyor?
En sık durum, çerez politikasının gerçekte çalışan çerezleri yansıtmaması. Metin bir şablondan kopyalanmış; sitede ise politikada hiç geçmeyen onlarca üçüncü taraf çerez bulunuyor.
İkinci gözlem, analitiğin zorunlu kategoriye konması. İzin oranını korumak için analitik çerezler "zorunlu" olarak sınıflandırılıyor; bu, mevcut rehberlerin yaklaşımıyla örtüşmüyor.
Üçüncüsü, rıza kayıtlarının tutulmaması. Bir şikayet ya da denetimde ziyaretçinin ne zaman ve hangi metinle izin verdiği kanıtlanamıyor; izin yönetim araçları bu kaydı otomatik tutabiliyor.
Dördüncüsü, rızanın süresiz sayılması. Ziyaretçinin kararı makul bir süre sonra yeniden sorulmalı; yıllar önce verilmiş bir izin, bugün çalışan yeni araçları kapsamıyor.
Beşincisi, rızayı geri almanın zorlaştırılması. Ziyaretçi izni geri almak istediğinde bunu kolayca yapabilmeli; ayarlar bağlantısı sayfa altında her zaman erişilebilir olmalı.
Altıncısı, hizmetin rızaya bağlanması. "Çerezleri kabul etmezseniz alışveriş yapamazsınız" yaklaşımı, rızanın özgür iradeye dayanması ilkesiyle çelişiyor.
Yedincisi, yeni araçların envantere eklenmemesi. Pazarlama ekibi yeni bir piksel ya da sohbet aracı eklediğinde çerez listesi ve izin ekranı güncellenmiyor.
Sekizincisi, yurt dışına veri aktarımının göz ardı edilmesi. Reklam ve analitik araçlarının çoğu veriyi yurt dışındaki sunuculara gönderiyor; bu aktarım KVKK kapsamında ayrıca değerlendirilmeli.
Dokuzuncusu, ölçüm kaybının kabullenilmemesi. Rıza vermeyen ziyaretçiler ölçülemiyor; bu kayıp, modelleme ve birinci taraf veriyle kısmen dengelenebiliyor ama tamamen ortadan kalkmıyor.
Onuncusu, düzenli denetimin yapılmaması. Çerez tarama araçlarıyla yılda birkaç kez yapılan kontrol, izin öncesi çalışan kodları ve kayıt dışı çerezleri ortaya çıkarıyor.
On birincisi, ekip içinde sorumluluğun belirsiz olması. Hukuk, pazarlama ve yazılım ekipleri arasında çerez yönetiminin kimde olduğu tanımlanmadığında, her ekip diğerinin ilgilendiğini varsayıyor.
On ikincisi, uyumun yalnızca risk olarak görülmesi. Şeffaf ve saygılı bir izin süreci, ziyaretçinin markaya güvenini artırıyor; bu güven uzun vadede birinci taraf veri paylaşımını da kolaylaştırıyor.
Neyi çözmez?
Rıza almak, verinin amacı dışında kullanılmasını meşru kılmaz. Rıza, belirtilen amaç için geçerlidir.
Sıkça sorulan sorular
Analitik çerezler için izin gerekir mi?
Genel olarak evet; güncel rehberlere göre hukuk danışmanıyla değerlendirilmeli.
Zorunlu çerezler için?
Sitenin çalışması için gerçekten zorunluysa genel olarak gerekmez.
Rıza kaydı tutmalı mıyım?
Evet; ne zaman ve hangi metinle izin verildiği kanıtlanabilmeli. Aynı süreçte karşınıza çıkabilecek CMP, çerez onaylarını toplayan, saklayan ve yöneten, yasal uyumu sağlayan onay yönetim platformudur.
Bu kavramın bütün resim içindeki yerini Dönüşüm Takibi ve Ölçümleme Rehberi içinde ayrıntılı anlattım.
GA4, GTM, Meta Pixel, CAPI, Google Ads dönüşüm, TikTok Pixel ve event doğrulama ile sağlam ölçümleme altyapısı.
