Çerez Politikası ve Çerez Onayı: KVKK Uyumlu Banner Nasıl Kurulur?

Dayanak: Kurul’un Çerez Rehberi ve İkili Mevzuat Yapısı

6698 sayılı Kişisel Verilerin Korunması Kanunu çerezler için doğrudan bir madde içermez; ancak çerezler yoluyla kişisel veri işlenmesi Kanunun genel ilkeleri çerçevesinde değerlendirilir.

Alanın uygulama çerçevesini Kişisel Verileri Koruma Kurumunun “Çerez Uygulamaları Hakkında Rehber”i çizer. Eylül 2021’de taslak olarak hazırlanan metnin son hâli 20/6/2022 tarihinde yayımlanmıştır.

Rehber; çerez kavramı ve türlerini, 5809 sayılı Elektronik Haberleşme Kanunu ile 6698 sayılı Kanun arasındaki ilişkiyi, açık rıza dışındaki işleme şartlarına dayanan çerez senaryolarını, açık rıza gerektiren senaryoları, hukuka uygun açık rızanın unsurlarını, yurt dışına aktarımı ve aydınlatma yükümlülüğünü ele alır. Kurulun 27/2/2020 tarihli ve 2020/173 sayılı kararı da çerezler açısından değerlendirilmiştir.

Buradaki en önemli mesaj şudur: her çerez açık rıza gerektirmez. Kanunda sayılan işleme şartlarından biri veya birkaçı varsa açık rıza aranmaz. Uygulamadaki yaygın hata, tüm çerezler için rıza istemek ya da tam tersine hiç rıza almamaktır — ikisi de yanlıştır.

Zorunlu Çerez Nedir? İki Kriterden Biri Yeterlidir

Bir çerezin açık rıza olmaksızın kullanılabilmesi için aşağıdaki iki kriterden en az birini karşılaması gerekir:

• Kriter A: Çerezin tek amacının, elektronik haberleşme ağı üzerinde iletişimi teknik olarak sağlamak olması.
• Kriter B: Çerezin, kullanıcının açıkça talep ettiği bir bilgi toplum hizmetini sunabilmek için kesinlikle gerekli olması.

Pratik karşılığı: oturum yönetimi, alışveriş sepetinin korunması, güvenlik ve yük dengeleme çerezleri kural olarak bu kapsamdadır.

Bu kapsama girmeyenler açık rıza ister: analitik ve ölçümleme çerezleri, çevrim içi reklamcılık ve yeniden hedefleme çerezleri, sosyal medya eklentileri ve kişiselleştirme çerezleri.

Dikkat edilecek nokta: “kullanıcı deneyimini iyileştiriyor” gerekçesi tek başına zorunluluk yaratmaz. Kriter, hizmetin sunulabilmesi için kesinlikle gerekli olmaktır; daha iyi olmasını sağlamak değil.

Açık Rızanın Unsurları: Nerede Hata Yapılıyor?

Rehber, hukuka uygun açık rızanın unsurlarını ayrıntılı biçimde ortaya koyar. Uygulamada en sık ihlal edilen dört kural şunlardır:

1. Aktif eylem şarttır

Açık rızanın alınabilmesi için aktif bir eylemin gerçekleşmiş olması gerekir. Sadece internet sitesine girilmiş olması, kullanılan çerezlere açık rıza verildiği anlamına gelmez. Bu nedenle “siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız” ifadeleri hukuki dayanaktan yoksundur. Önceden işaretli kutular da aynı sebeple geçersizdir.

2. Ön koşul olarak dayatılamaz

Çerez yoluyla kişisel veri işlenmesinde açık rıza istenmesi, ilgili kişiye sözleşmenin kurulmasının veya ifasının ön koşulu olarak dayatılamaz. Siteye erişimi tümüyle rızaya bağlayan çerez duvarı uygulamaları da bu yönüyle sorunludur.

3. Amaç bazlı ayrı rıza mekanizması gerekir

Açık rıza yoluyla elde edilen kişisel verilerin işlenmesinde, her bir farklı amaç için ayrı açık rıza alınmasına olanak veren bir mekanizma kurulmalıdır. Tek bir “kabul ediyorum” düğmesiyle analitik, reklam ve kişiselleştirme çerezlerinin toptan onaylatılması bu şartı karşılamaz.

4. İliştirme (bundled) yöntemi kullanılamaz

Çevrim içi reklamcılık çerezlerinde, açık rızanın kullanım koşulları, kullanım sözleşmesi veya gizlilik bildirimi gibi belgelere iliştirilerek alınması mümkün değildir. Sözleşme kapsamında verilen temel hizmetin yerine getirilmesiyle doğrudan ilgisi bulunmayan kişisel verilerin işlenmesinde sözleşmeye dayanılması, ilgili kişilerin yanıltılması anlamına gelir.

Açık rızanın genel şartları için: Kişisel Veri İşleme Şartları ve Açık Rıza.

Aydınlatma Ne Zaman Yapılmalı?

Zamanlama, çerez uyumunun en sık atlanan teknik ayrıntısıdır.

Aydınlatmanın, kişisel verilerin en geç elde edilmesi sırasında — yani internet sitesine girildiği anda — yapılmış olması gerekir. Aydınlatma, henüz veri işlenmediği ya da en geç veri işlendiği esnada gerçekleştirilmelidir.

Bunun teknik karşılığı nettir: üçüncü taraf kodları rıza alınmadan önce tetiklenmemelidir. Analitik veya reklam etiketleri sayfa yüklenirken çalışıyorsa, banner ne yazarsa yazsın veri işleme çoktan başlamıştır ve rıza sonradan alınmış olur. Etiket yönetimi, rıza durumuna bağlı olacak biçimde yapılandırılmalıdır.

Aydınlatma yükümlülüğünün kapsamı için: KVKK Aydınlatma Yükümlülüğü. Metnin nasıl hazırlanacağı için: Aydınlatma Metni Nasıl Hazırlanır?

Çerez Politikası Metninde Bulunması Gerekenler

Çerez politikası, aydınlatma yükümlülüğünün çerezlere özgü görünümüdür. Denetime elverişli bir metinde şunlar bulunmalıdır:

• Çerez envanteri: Kullanılan çerezlerin adı, türü, amacı ve kaynağı (birinci taraf / üçüncü taraf).
• Hukuki sebep: Her çerez grubunun hangi işleme şartına dayandığı — zorunlu mu, açık rızaya mı bağlı?
• Saklama süreleri: Oturum çerezi mi, kalıcı çerez mi; kalıcıysa sona erme süresi.
• Veri paylaşımı: Hangi üçüncü taraflarla, hangi amaçla paylaşıldığı.
• Yurt dışına aktarım: Üçüncü taraf çerezler çoğu zaman yurt dışında barındırılan sağlayıcılara veri aktarır. Bu, ayrı bir hukuki sebep ve güvence gerektirir.
• İlgili kişinin hakları: Tercihleri yönetme, reddetme ve silme yolları ile başvuru kanalı.
• Güncelleme: Politikanın gözden geçirme ve sürüm bilgisi.

Yurt dışına aktarım rejimi için: Yurt Dışına Veri Aktarımı ve Bulut Sözleşmeleri. İlgili kişi başvurusu için: İlgili Kişi Başvurusu ve Kurula Şikâyet.

Banner Tasarımı: Denetimde Bakılan Noktalar

Çerez uyumu bir metin meselesi değil, bir arayüz meselesidir. Denetimde ve şikâyet incelemelerinde bakılan başlıklar:

1. Ret seçeneğinin görünürlüğü. İyi uygulama, “Tümünü Reddet” düğmesinin “Tümünü Kabul Et” kadar görünür olmasıdır. Ret seçeneğinin ikinci ekrana gizlenmesi veya renk ve boyut yoluyla belirsizleştirilmesi, rızanın özgür iradeye dayandığı savunmasını zayıflatır.
2. Amaç bazlı seçim. Kullanıcı analitik, reklam ve kişiselleştirme çerezlerini ayrı ayrı seçebilmelidir.
3. Önceden işaretli kutu bulunmaması. Aktif eylem şartının doğrudan sonucudur.
4. Rızanın geri alınabilirliği. Verilen rıza, verildiği kadar kolay geri alınabilmelidir; sitede kalıcı bir tercih yönetimi bağlantısı bulunmalıdır.
5. Rıza kayıtları. Kimin, ne zaman, hangi amaçlar için rıza verdiği kayıt altında olmalıdır. İspat yükü veri sorumlusundadır; kayıt yoksa rıza alınmamış sayılır.
6. Mobil erişilebilirlik. Banner mobil ekranda ret seçeneğini gizliyorsa, masaüstündeki uyum tek başına yeterli değildir.

Aykırılık hâlinde uygulanabilecek yaptırımlar ve itiraz yolu için: KVKK İdari Para Cezaları ve İtiraz Yolu. Alanın bütünü için: KVKK Rehberi (Ana Rehber).

Sıkça Sorulan Sorular

Her çerez için açık rıza almam gerekir mi?

Hayır. Kanunda sayılan işleme şartlarından biri veya birkaçı varsa açık rıza aranmaz. Bir çerezin rıza olmaksızın kullanılabilmesi için ya tek amacının iletişimi teknik olarak sağlamak olması ya da kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olması gerekir.

Hangi çerezler zorunlu sayılır?

Oturum yönetimi, alışveriş sepetinin korunması, güvenlik ve yük dengeleme gibi hizmetin sunulabilmesi için kesinlikle gerekli çerezler kural olarak bu kapsamdadır. Analitik, reklam ve kişiselleştirme çerezleri açık rıza gerektirir.

“Siteyi kullanmaya devam ederek kabul etmiş sayılırsınız” ifadesi geçerli mi?

Hayır. Açık rıza için aktif bir eylem gerekir; sadece internet sitesine girilmiş olması çerezlere rıza verildiği anlamına gelmez. Önceden işaretli kutular da aynı sebeple geçersizdir.

Tek bir kabul düğmesi yeterli mi?

Hayır. Her bir farklı amaç için ayrı açık rıza alınmasına olanak veren bir mekanizma kurulmalıdır. Analitik, reklam ve kişiselleştirme çerezlerinin tek düğmeyle toptan onaylatılması bu şartı karşılamaz.

Çerez rızasını kullanım koşullarına ekleyebilir miyim?

Hayır. Çevrim içi reklamcılık çerezlerinde açık rızanın kullanım koşulları, sözleşme veya gizlilik bildirimi gibi belgelere iliştirilerek alınması mümkün değildir; bu, ilgili kişilerin yanıltılması anlamına gelir.

Siteye girişi çerez onayına bağlayabilir miyim?

Açık rıza, sözleşmenin kurulmasının veya ifasının ön koşulu olarak dayatılamaz. Siteye erişimi tümüyle rızaya bağlayan çerez duvarı uygulamaları bu yönüyle sorunludur.

Aydınlatmayı ne zaman yapmalıyım?

En geç kişisel verilerin elde edilmesi sırasında, yani internet sitesine girildiği anda. Bunun teknik karşılığı, üçüncü taraf kodlarının rıza alınmadan önce tetiklenmemesidir.

Rıza aldığımı nasıl ispatlarım?

Kimin, ne zaman ve hangi amaçlar için rıza verdiğine ilişkin kayıtların tutulması gerekir. İspat yükü veri sorumlusundadır; kayıt bulunmuyorsa rıza alınmamış sayılır.