KVKK Çerez Politikası ve Açık Rıza Yönetimi: Uyum Adımları

Web sitenize giren her ziyaretçinin tarayıcısına yerleşen çerezler ve bunların arkasındaki analitik, reklam ve sosyal medya etiketleri çoğu zaman kişisel veri işlemek anlamına gelir. KVKK açısından sorun çerez kullanmak değil; hangi çerezin hangi hukuki sebebe dayandığını ayırt etmeden hepsini tek bir 'Kabul et' butonuna bağlamak ya da rıza alınmadan etiketleri çalıştırmaktır. Bu rehberde açık rıza kavramını, çerez türlerini, uyumlu bir çerez banner'ının özelliklerini ve rızanın teknik olarak nasıl uygulanacağını ele alıyoruz. Metin genel bilgilendirme amaçlıdır; metinlerinizin hukuki değerlendirmesini bir hukuk danışmanıyla yapmanızı öneririz.

Açık Rıza, Aydınlatma ve Diğer İşleme Şartları: Farklar

6698 sayılı Kanun'da açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanır. Bu üç unsurun her biri pratikte bir kurala dönüşür:

• Belirli konu: 'Tüm verilerimin işlenmesine izin veriyorum' gibi genel ifadeler geçersiz sayılma riski taşır. Rıza, hangi veri ve hangi amaç için verildiği anlaşılır biçimde alınmalıdır.
• Bilgilendirme: Kişi neye onay verdiğini rıza anında bilmelidir. Bu nedenle rıza, aydınlatmadan sonra ya da aydınlatmayla eş zamanlı alınır.
• Özgür irade: Rıza bir hizmetin ön koşulu hâline getirilmemeli, reddetmek kişiye orantısız bir dezavantaj yaratmamalıdır.

Aydınlatma ise ayrı bir yükümlülüktür ve işleme şartı ne olursa olsun her durumda yapılır. Aydınlatma metni kişiyi bilgilendirir, açık rıza metni onay alır; mevzuat bu iki işlemin ayrı ayrı yerine getirilmesini ister.

Açık rıza, işleme şartlarından yalnızca biridir. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi başka bir şart varsa rızaya başvurmak gerekmez ve hatta yanlış bir tercih olabilir. Örneğin bir e-ticaret sitesinde siparişi teslim etmek için adres bilgisini işlemek sözleşmenin ifasıdır; aynı adresi reklam hedeflemesinde kullanmak ise rıza gerektirir. Rıza gerekmeyen bir işleme için rıza toplarsanız, kişi rızasını geri aldığında işlemeye devam edemeyeceğiniz bir çelişkiye düşersiniz.

Sık karıştırılan bir başka konu da ticari elektronik ileti onayıdır. Kampanya e-postası veya SMS göndermek için 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun kapsamında ayrı bir onay alınması ve İleti Yönetim Sistemi (İYS) yükümlülüklerine uyulması gerekir. Bu onay, KVKK kapsamındaki açık rızanın yerini tutmaz; ikisi ayrı yönetilmelidir.

Çerez Türleri: Zorunlu, İşlevsel, Analitik ve Pazarlama Çerezleri

Çerezler süre bakımından oturum ve kalıcı, kaynak bakımından birinci ve üçüncü taraf olarak ayrılır. KVKK açısından belirleyici olan ise amaçtır:

• Zorunlu çerezler: Oturum açma, alışveriş sepeti, güvenlik, form doğrulama ve yük dengeleme gibi sitenin temel işlevleri için kesinlikle gerekli olan çerezlerdir. Bunlar için açık rıza aranmaz, ancak çerez politikasında aydınlatma yapılmalıdır. Kullanıcının rıza tercihini saklayan çerez de bu gruptadır.
• İşlevsel çerezler: Dil, bölge veya görünüm tercihlerini hatırlayan çerezlerdir. Kullanıcının açıkça talep ettiği bir işlev için kesinlikle gerekli değilse rızaya bağlanması daha güvenli yaklaşımdır.
• Analitik çerezler: Ziyaretçi sayısını, sayfa görüntülemelerini ve kullanıcı davranışını ölçer. Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberindeki yaklaşım, bu çerezlerin de açık rızaya bağlanması yönündedir.
• Pazarlama ve reklam çerezleri: Yeniden hedefleme, dönüşüm takibi ve kişiselleştirilmiş reklam için kullanılır. Genellikle üçüncü taraf kaynaklıdır ve açık rıza gerektirir.

Sosyal medya paylaşım butonları, gömülü video oynatıcılar, harita bileşenleri ve canlı destek eklentileri de kendi çerezlerini yerleştirebilir. Envanter çıkarırken yalnızca bilinçli olarak eklediğiniz etiketlere değil, sayfada yüklenen tüm üçüncü taraf bileşenlere bakın. Yurt dışındaki sağlayıcılara ait çerezler çoğu zaman verinin yurt dışına aktarılması anlamına gelir; bu aktarımın hangi mekanizmaya dayanacağı, Kanun'un güncel yurt dışına aktarım hükümlerine göre ayrıca değerlendirilmelidir.

KVKK'ya Uygun Çerez Banner'ı Nasıl Olmalı?

İyi bir çerez banner'ı hem uyumlu hem de kullanıcıyı yormayan bir tasarımdır. Temel özellikler şunlardır:

1. Katmanlı yapı: İlk katmanda kısa bir açıklama, çerez politikasına bağlantı ve seçim butonları; ikinci katmanda kategori bazında açma kapama seçenekleri.
2. Eşit seçenekler: 'Tümünü kabul et' ve 'Tümünü reddet' butonları aynı katmanda, benzer boyut ve görünürlükte olmalıdır. Reddetme seçeneğini küçük, gri bir bağlantıya gizlemek rızanın özgürlüğünü tartışmalı hâle getirir.
3. Varsayılan kapalı: Zorunlu olmayan tüm kategoriler başlangıçta kapalı gelmelidir.
4. Rıza öncesi sessizlik: Kullanıcı seçim yapana kadar analitik ve pazarlama etiketleri çalışmamalıdır.
5. Pasif davranış rıza değildir: Banner'ı kapatmak, sayfayı kaydırmak veya siteyi kullanmaya devam etmek açık rıza olarak yorumlanmamalıdır.
6. Kolay geri dönüş: Sayfanın alt kısmında her zaman erişilebilen bir çerez tercihleri bağlantısı bulunmalıdır.
7. Anlaşılır ve erişilebilir dil: Hukuki jargon yerine kısa, açık cümleler ve mobilde de rahat okunabilen bir tasarım.

Banner'ın site hızına etkisi de göz ardı edilmemelidir. Ağır bir rıza yönetim betiği veya rıza sonrası aynı anda yüklenen çok sayıda etiket sayfa performansını düşürebilir; konuyu web sitesi hız optimizasyonu rehberimizde ele aldık.

Çerez Politikası ve Açık Rıza Metni Hazırlama

Çerez politikası, çerezlere ilişkin aydınlatma metnidir ve şu bilgileri içermelidir:

• Veri sorumlusunun kimliği ve iletişim bilgileri
• Kullanılan çerez kategorileri, her birinin amacı ve hukuki sebebi
• Birinci ve üçüncü taraf çerezlerin ayrımı ve üçüncü tarafların kimler olduğu
• Çerezlerin saklama süreleri
• Verilerin yurt dışına aktarılıp aktarılmadığı
• Tercihlerin nasıl değiştirileceği ve çerezlerin tarayıcı ayarlarından nasıl silineceği
• İlgili kişi hakları ve başvuru yöntemi

Politikayı yazmadan önce sitenizi taramak ve gerçek çerez listesini çıkarmak gerekir. Şablon metinde yer alıp sitenizde bulunmayan ya da sitenizde bulunup metinde geçmeyen çerezler, metni güvenilmez kılar. Açık rıza metni ise banner'ın ikinci katmanındaki kategori açıklamalarıyla birlikte, her kategori için ayrı ve anlaşılır bir onay şeklinde kurgulanmalıdır.

Web sitesi dışındaki rıza süreçleri için de aynı ilkeler geçerlidir. Mağazada doldurulan bir sadakat programı formu, çağrı merkezinde alınan sözlü onay veya fuarda toplanan kartvizitler için ayrı metin, belirli amaç ve kanıtlanabilir kayıt şartı değişmez. Daha geniş uyum çerçevesi için KVKK uyum rehberimize göz atabilirsiniz.

Rıza Yönetimi: Kayıt Tutma, Geri Alma ve Güncelleme

Rızanın alındığını ispat etmek veri sorumlusunun sorumluluğundadır. Bu nedenle rıza, alındığı anda kayıt altına alınmalıdır. İyi bir rıza kaydı şunları içerir:

• Rızanın alındığı tarih ve saat
• Kullanıcıya gösterilen banner ve metin sürümü
• Hangi kategorilere onay verildiği, hangilerinin reddedildiği
• Rızanın alındığı kanal: web sitesi, mobil uygulama, fiziksel form veya çağrı merkezi
• Gerekiyorsa kayıtla kişiyi ilişkilendirmeye yarayan asgari bir tanımlayıcı

Geri alma, rıza vermek kadar kolay olmalıdır. Kullanıcı rızasını geri aldığında ilgili etiketler durmalı, mümkünse daha önce yerleştirilen çerezler silinmeli ve geri alma işlemi de kayıt altına alınmalıdır. Web dışındaki rızalarda ise geri almanın tüm sistemlere yansıması sık atlanan bir noktadır: CRM'de onayı kaldırılan bir müşteri, e-posta pazarlama platformunda hâlâ onaylı görünüyorsa süreç kırılmış demektir. Sistemler arası senkronizasyonu tek bir rıza kaynağı üzerinden kurgulamak bu sorunu çözer. Kişilerin rızalarını geri alabilecekleri ve sorularını iletebilecekleri e-posta adresi, müşteri paneli veya çağrı merkezi gibi kanallar da metinlerde açıkça belirtilmelidir.

Çerez politikanıza yeni bir kategori veya yeni bir üçüncü taraf eklendiğinde kullanıcılardan yeniden rıza istenmelidir. Rızanın makul aralıklarla yenilenmesi de iyi bir uygulamadır.

Sık Yapılan Hatalar: Önceden İşaretli Kutular, Toplu ve Zorunlu Rıza

• Önceden işaretli kutular: Kullanıcının hiçbir işlem yapmadan onay vermiş sayılması, rızanın özgür iradeye dayandığını gösteremez.
• Toplu rıza: Analitik, pazarlama ve üçüncü taraflarla paylaşımı tek bir onay kutusunda toplamak, rızanın belirli bir konuya ilişkin olması şartıyla çelişir.
• Zorunlu rıza ve çerez duvarı: Siteye veya hizmete erişimi, zorunlu olmayan çerezleri kabul etme şartına bağlamak.
• Göstermelik banner: Banner var, ancak 'Reddet' seçildiğinde bile etiketler çalışmaya devam ediyor. Uygulamada en sık karşılaştığımız ve fark edilmesi en zor hata budur.
• Güncel olmayan politika: Site yenilendiği veya yeni bir reklam aracı eklendiği hâlde çerez listesinin güncellenmemesi.
• Kayıtsız rıza: Rızanın alındığına dair kanıt tutulmaması.
• Aydınlatma ile rızanın birleştirilmesi: Tek bir metnin hem bilgilendirme hem de onay işlevi görmesi.

Teknik Uygulama: Analitik ve Reklam Etiketlerini Rızaya Bağlama

Uyumlu bir banner'ın asıl sınavı arka planda verilir. Teknik uygulamada izlediğimiz adımlar şunlardır:

1. Çerez ve etiket envanteri: Siteyi temiz bir tarayıcı oturumunda tarayın; yüklenen tüm çerezleri, betikleri ve üçüncü taraf istekleri listeleyin.
2. Kategorilendirme: Her çerezi ve etiketi zorunlu, işlevsel, analitik veya pazarlama kategorisine atayın.
3. Rıza yönetim aracının kurulumu: Kategorileri, metinleri ve kayıt mekanizmasını yöneten bir rıza yönetim platformu veya sitenize özel geliştirilmiş bir modül kullanın.
4. Etiketleri koşula bağlama: Etiket yöneticisi kullanıyorsanız her etiketin tetikleyicisini ilgili rıza kategorisine bağlayın. Doğrudan koda gömülü betikleri rıza verilene kadar çalışmayacak şekilde düzenleyin. Analitik ve reklam sağlayıcılarının sunduğu rıza modu özellikleri varsa, rıza durumunu bu araçlara doğru ilettiğinizden emin olun.
5. Test: Tarayıcının geliştirici araçlarıyla hiçbir seçim yapmadan önce ve 'Reddet' seçildikten sonra hangi çerezlerin oluştuğunu ve hangi alan adlarına istek gittiğini kontrol edin. Ardından her kategoriyi tek tek açarak beklenen davranışı doğrulayın.
6. Periyodik denetim: Pazarlama ekibinin eklediği yeni bir piksel rıza kurgusunu kolayca bozabilir. Yeni etiketlerin onay sürecinden geçmesini kural hâline getirin ve siteyi düzenli aralıklarla yeniden tarayın.

Aynı yapı mobil uygulamalarda da kurulmalıdır; uygulama içine eklenen analitik ve reklam kütüphaneleri de kullanıcının tercihine bağlı çalışmalıdır.

Sonuç

Çerez uyumu bir banner eklentisi kurmaktan ibaret değildir. Doğru envanter, doğru hukuki sebep, eşit seçenekler sunan bir arayüz ve rızaya gerçekten saygı duyan bir teknik altyapı birlikte çalıştığında sağlanır; bu yapı pazarlama verinizin güvenilirliğini de artırır. Ümraniye Bilişim web tasarım ve geliştirme ekibi olarak sitenizin çerez envanterini çıkarıyor, rıza yönetimini etiket altyapınıza entegre ediyor ve düzenli testlerle doğru çalıştığını doğruluyoruz. Sitenizin mevcut durumunu birlikte incelemek için ücretsiz ön görüşme talebinizi iletebilirsiniz.