Çerez uyumu: rıza banner'ı nasıl olmalı?

Çerez banner'ı, KVKK uyumunun en görünür ama en özensiz uygulanan parçasıdır. Çoğu sitede tek bir "Kabul ediyorum" butonu vardır; reddetme seçeneği yoktur, hangi çerezin ne yaptığı yazmaz ve banner kapatılmadan site kullanılamaz. Bu tasarım, rıza almaz — rıza aldığı yanılsamasını üretir.

Her çerez rıza gerektirmez

Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi, çerezleri işlevlerine göre ayırır ve tamamı için aynı kuralı öngörmez.

Kesinlikle gerekli (zorunlu) çerezler — oturum yönetimi, güvenlik, alışveriş sepetinin çalışması gibi hizmetin sunulabilmesi için şart olan çerezler — için açık rıza aranmaz. Bunlar Kanun'un 5. maddesindeki diğer işleme şartları çerçevesinde değerlendirilebilir.

Performans-analitik, işlevsellik ve pazarlama/hedefleme çerezleri için ise açık rıza gerekir. Pazarlama çerezleri, ticari elektronik ileti onayıyla birlikte değerlendirilmesi gereken bir başlıktır; ayrıntısını e-ticarette KVKK ve pazarlama izni yazımızda ele aldık. Rıza alınmadan bu çerezler kullanıcının cihazına yerleştirilemez; kullanıcı sayfayı açar açmaz çalışan bir analitik kodu, banner ne yazarsa yazsın uyumsuzdur.

Buradaki ayrımı doğru yapmanın yolu, önce çerez envanteri çıkarmaktır: sitede fiilen hangi çerezler var, hangisi ne işe yarıyor, kimin çerezi, ne kadar süre yaşıyor?

Banner'da bulunması gerekenler

• Katmanlı bilgilendirme. İlk katmanda kısa ve anlaşılır bir açıklama; ikinci katmanda tam çerez politikasına ve ayrıntılı listeye erişim.
• Kategori bazlı seçim. Kullanıcı analitik çerezlere evet, pazarlama çerezlerine hayır diyebilmelidir. Tek bir toplu onay, açık rızanın "belirli bir konuya ilişkin olma" şartını karşılamaz.
• Reddetme seçeneği. "Kabul et" ile "Reddet" aynı katmanda, aynı kolaylıkta sunulmalıdır.
• Geri çekme yolu. Kullanıcı tercihini sonradan değiştirebilmelidir; bu genellikle sitenin alt bilgisinde duran kalıcı bir "Çerez ayarları" bağlantısıyla sağlanır.
• Aydınlatma ile rızanın ayrılığı. Bilgilendirme metni ile rıza alma işlemi ayrı ayrı yürütülür.

Rızayı geçersiz kılan tasarımlar

1. Yalnızca "Kabul et" butonu. Reddetme seçeneği yoksa özgür irade yoktur.
2. Ön işaretli kategoriler. Zorunlu olmayan çerez kategorileri açık gelmemelidir.
3. Görsel yönlendirme. Kabul butonunun renkli ve büyük, reddetme seçeneğinin soluk bir metin bağlantısı olması, seçimi biçimsel hâle getirir.
4. Reddetmeyi katman altına saklamak. Reddetmek için "ayarlar → gelişmiş → tek tek kapat" yolunu dayatmak, kabul etmeyi tek makul seçenek hâline getirir.
5. Gezinmeyi onay saymak. "Siteyi kullanmaya devam etmeniz hâlinde kabul etmiş sayılırsınız" ifadesi açık rıza üretmez.
6. Banner'dan önce çerez yazmak. En sık rastlanan teknik hata budur: kod sayfa açılışında çalışır, rıza sorusu ise sonra sorulur.

Rıza kaydı: ispat yine sizde

Rızanın alındığını ispat yükü veri sorumlusundadır. Çerezde bu, tercihin tarihiyle birlikte saklanması anlamına gelir: hangi kategorilere izin verildi, hangi tarihte, hangi politika sürümü gösterilirken?

Politika değiştiğinde veya yeni bir çerez eklendiğinde önceki rıza kapsam dışına çıkar; kullanıcıya yeniden sorulması gerekir. Bunu yönetmenin pratik yolu, çerez düzenine bir sürüm numarası vermek ve sürüm arttığında tercihleri yeniden istemektir.

Rıza kaydının kendisinin de kişisel veri olduğunu unutmamak gerekir; kayıtta IP gibi doğrudan tanımlayıcılar tutmak yerine takma adlı bir tanımlayıcı kullanmak, veri minimizasyonu ilkesine daha uygundur.

Gözden kaçan boyut: analitik araçlar ve yurtdışına aktarım

Çerez tartışması çoğu zaman banner tasarımında kalır; oysa asıl mesele verinin nereye gittiğidir. Yaygın analitik ve reklam araçlarının önemli bölümü, ziyaretçi verisini yurtdışındaki sunuculara aktarır.

Kanun'un yurtdışına aktarımı düzenleyen 9. maddesi 2024 yılında yeniden düzenlenmiştir. Aktarım, yeterlilik kararı bulunması hâlinde; yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerden birine dayanılarak ya da maddede sayılan arızi hâllerde yapılabilir. Standart sözleşme kullanılması hâlinde Kuruma bildirim yükümlülüğü de doğar.

Uygulamadaki sonuç şudur: siteye bir analitik kodu eklemek, yalnızca bir çerez kararı değil, aynı zamanda bir yurtdışına aktarım kararıdır ve dayanağının kurulmuş olması gerekir. Sitenizde bu araçları kullanıyorsanız, çerez politikanızın ve aydınlatma metninizin aktarımı da anlatması beklenir.

Bu nedenle kisiselverilerim.com kendi sitesinde yurtdışına veri gönderen analitik ve pazarlama araçlarını kullanmamayı tercih etmiştir; ölçümleme ihtiyacı, veriyi sunucudan çıkarmayan yöntemlerle karşılanır.

Bütüncül gözden geçirme

Çerez düzeni, uyum yapısının geri kalanından bağımsız değildir. Siteye yeni bir araç eklemek ya da bir çerezi kaldırmak şu belgeleri birlikte ilgilendirir: çerez politikası ve listesi güncellenmeli, web sitesi aydınlatma metni yeni işleme amacını ve varsa aktarımı yansıtmalı, kişisel veri envanteri bu işlemeyi içermeli, VERBİS kaydı envanterle tutarlı kalmalı, rıza kayıtlarının süresi saklama ve imha politikanızda tanımlanmalı, aktarım varsa dayanağı ve veri işleyen sözleşmesi kurulmalıdır. Sitede hangi metinlerin bulunması gerektiğini ayrı bir yazıda topluca ele aldık.

Görüldüğü gibi tek bir satır kod, belge zincirinin tamamını hareket ettirir. Bu değişiklikleri bütüncül bir gözden geçirmeyle yürütmenizi ve hukuki destek almanızı öneririz. Genç Partners bu zinciri kurma konusunda deneyimlidir; KVKK belge merkezi ise güncellenen politikaların tek adresten, her zaman güncel biçimde yayımlanmasını sağlar.

Özet

• Zorunlu çerezler için rıza aranmaz; analitik, işlevsellik ve pazarlama çerezleri için açık rıza gerekir.
• Banner katmanlı olmalı, kategori bazlı seçim ve eşit kolaylıkta reddetme imkânı sunmalıdır.
• Rıza alınmadan çerez yazılmamalı; tercih tarihiyle ve sürümüyle kaydedilmelidir.
• Analitik araç seçimi aynı zamanda bir yurtdışına aktarım kararıdır; dayanağı kurulmalı ve metinlere yansıtılmalıdır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Sitenizin çerez düzeni ve kullandığınız araçların değerlendirilmesi için hukuki destek alınız.