1. Giriş
Web sitelerinde kullanılan çerezler, dijital pazarlama ve kullanıcı deneyimi açısından kritik araçlar olmakla birlikte, kişisel veri işleme faaliyeti niteliğindedir ve KVKK kapsamına girmektedir. Özellikle e-ticaret ve dijital hizmet sunan işletmeler için çerez yönetimi, hukuki uyumun önemli bir boyutunu oluşturmaktadır.
ABD: Federal düzeyde kapsamlı çerez yasası yoktur. California CCPA opt-out hakkı verir. Sektörel öz düzenleme yaygındır.
Almanya: Telekom-Datenschutzrecht çerez kuralları içerir. BGH kararları GDPR'ı destekler şekilde yorumlar.
Türkiye: KVKK genel çerçeve sağlar. E-Ticaret Yönetmeliği ticari elektronik ileti kapsamında çerezlere değinir.
2. Çerez Nedir?
Çerezler (cookies), web siteleri tarafından kullanıcıların cihazlarına yerleştirilen küçük metin dosyalarıdır. Bu dosyalar, kullanıcı tercihleri, oturum bilgileri, ziyaret istatistikleri gibi verileri saklar ve sonraki ziyaretlerde kullanılmak üzere muhafaza eder.
Çerez Türleri
| Çerez Türü | Amaç | Rıza Gereksinimi |
|---|---|---|
| Zorunlu çerezler | Web sitesinin temel işlevleri (oturum, güvenlik) | Rıza gerekmez |
| İşlevsel çerezler | Kullanıcı tercihleri (dil, tema) | Rıza gerekir |
| Analitik çerezler | Ziyaret istatistikleri, performans ölçümü | Rıza gerekir |
| Pazarlama çerezleri | Hedefli reklamcılık, profilleme | Rıza gerekir |
| Üçüncü taraf çerezleri | Sosyal medya, reklam ağları | Rıza gerekir |
3. KVKK Kapsamında Çerezler
Çerezler aracılığıyla toplanan veriler (IP adresi, tarayıcı bilgileri, ziyaret geçmişi vb.) kişisel veri niteliğinde olup KVKK'ya tabidir. Bu nedenle çerez kullanımı, KVKK'nın temel ilkelerine ve işleme şartlarına uygun olmalıdır.
Çerezlerde Hukuki Dayanak
| Çerez Türü | Olası Hukuki Dayanak |
|---|---|
| Zorunlu çerezler | Meşru menfaat (m.5/2-f) veya sözleşmenin ifası (m.5/2-c) |
| İşlevsel çerezler | Açık rıza (m.5/1) veya meşru menfaat değerlendirmesi |
| Analitik çerezler | Açık rıza (m.5/1) |
| Pazarlama çerezleri | Açık rıza (m.5/1) |
4. Çerez Rıza Mekanizmaları
KVKK uyumlu bir çerez yönetimi için kullanıcılara seçim imkanı sunan bir rıza mekanizması kurulmalıdır.
Rıza Alınması İçin Gereksinimler
| Gereksinim | Uygulama |
|---|---|
| Bilgilendirme | Hangi çerezlerin, hangi amaçlarla kullanıldığı açıklanmalı |
| Seçim imkanı | Kullanıcı, çerez kategorilerini kabul/reddetebilmeli |
| Aktif eylem | Ön seçili kutucuklar kullanılmamalı (opt-in) |
| Kolay ret | Reddetme, kabul etme kadar kolay olmalı |
| Tercih değiştirme | Kullanıcı tercihlerini sonradan değiştirebilmeli |
| Kayıt tutma | Verilen rızaların kaydı tutulmalı |
Çerez Banner Tasarımı
| Doğru Uygulama | Yanlış Uygulama |
|---|---|
| "Kabul Et" ve "Ayarlar" butonları eşit görünürlükte | "Kabul Et" büyük, "Reddet" gizli veya küçük |
| Tüm çerez kutucukları başlangıçta seçili değil | Tüm çerezler ön seçili (opt-out) |
| Çerez kategorileri açıkça listeleniyor | "Tümünü kabul et" tek seçenek |
| Rıza verilmeden çerezler yüklenmiyor | Banner açılmadan çerezler zaten yüklenmiş |
| Footer'da "Çerez Ayarları" bağlantısı var | Tercih değiştirme imkanı yok |
5. Çerez Politikası İçeriği
Web sitesinde yayınlanacak çerez politikası, kullanıcılara kapsamlı bilgi sunmalıdır.
Politikada Bulunması Gereken Bilgiler
| Bölüm | İçerik |
|---|---|
| Çerez tanımı | Çerezlerin ne olduğuna dair genel açıklama |
| Kullanılan çerezler | Her çerezin adı, türü, amacı, süresi, sağlayıcısı |
| Üçüncü taraf çerezleri | Üçüncü taraf hizmetler ve bunların çerezleri |
| Hukuki dayanak | Her çerez kategorisi için hukuki dayanak |
| Rıza yönetimi | Nasıl rıza verileceği ve geri alınacağı |
| Tarayıcı ayarları | Tarayıcı üzerinden çerez yönetimi bilgisi |
| Veri aktarımı | Çerez verilerin yurt dışına aktarılması durumu |
| İletişim | Sorular için iletişim bilgileri |
| Güncelleme tarihi | Politikanın son güncellenme tarihi |
6. Üçüncü Taraf Çerezleri
Google Analytics, Facebook Pixel, reklam ağları gibi üçüncü taraf hizmetler, kendi çerezlerini kullanıcıların cihazlarına yerleştirir. Bu durumda hem veri sorumlusu (web sitesi sahibi) hem de üçüncü taraflar için ayrı değerlendirme yapılması gerekir.
| Üçüncü Taraf Hizmeti | Dikkat Edilmesi Gerekenler |
|---|---|
| Google Analytics | IP anonimizasyonu, veri işleme sözleşmesi, rıza öncesi yükleme engelleme |
| Facebook/Meta Pixel | Yurt dışı aktarım, profilleme amaçlı kullanım, açık rıza gereksinimi |
| Google Ads | Remarketing için açık rıza, yurt dışı aktarım |
| YouTube (embed) | Gizlilik modu kullanımı, önizleme gösterimi |
| Sosyal medya butonları | Çerez yüklemeden önce rıza, iki aşamalı tıklama |
7. Teknik Uygulama
Çerez Yükleme Kontrolü
Rıza alınmadan zorunlu olmayan çerezlerin yüklenmemesi için teknik önlemler alınmalıdır.
- Script engelleme: Rıza verilene kadar üçüncü taraf scriptlerin yüklenmesini engelleme
- Lazy loading: Çerez scriptlerini rıza sonrası yükleme
- Tag Manager: Google Tag Manager gibi araçlarla koşullu yükleme
- Sunucu taraflı kontrol: Çerez ayarlamadan önce rıza kontrolü
Çerez Kayıt Tutma
Verilen rızaların kanıtlanabilmesi için kayıt tutulmalıdır.
| Kaydedilmesi Gereken Bilgi | Açıklama |
|---|---|
| Zaman damgası | Rızanın verildiği tarih ve saat |
| Rıza versiyonu | Hangi çerez politikası versiyonuna rıza verildiği |
| Seçimler | Hangi çerez kategorilerinin kabul/reddedildiği |
| Kullanıcı tanımlayıcı | Anonim veya benzersiz tanımlayıcı |
8. KVKK ve E-Ticaret Mevzuatı
6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili yönetmelikler de çerez kullanımıyla ilgili hükümler içermektedir.
9. Sonuç
Çerez uyumu, web sitesi işletenleri için KVKK uyumunun önemli bir parçasıdır. Zorunlu çerezler dışındaki tüm çerezler için açık rıza alınması, kullanıcılara şeffaf bilgi sunulması ve tercih değiştirme imkanı tanınması gerekmektedir.
Teknik olarak, rıza alınmadan çerezlerin yüklenmemesi sağlanmalı ve rıza kayıtları tutulmalıdır. Üçüncü taraf hizmetlerin çerezleri konusunda özellikle dikkatli olunmalı ve yurt dışı aktarım boyutu değerlendirilmelidir.