Çerez bannerı koymak KVKK uyumu değildir

Birçok kurumsal sitede aynı tablo var. Sayfanın altında "Bu site çerez kullanır" yazan bir şerit duruyor, yanında tek bir "Tamam" düğmesi var. Şerit konduğu için iş bitmiş sayılıyor. Oysa ziyaretçi o düğmeye dokunmadan önce analitik ve reklam kodları çoktan çalışmış, tarayıcıya çerezler yazılmış, veriler üçüncü taraflara gitmiş olabiliyor.

6698 sayılı Kişisel Verilerin Korunması Kanunu bir banner tasarımı istemez. Kişisel verinin hangi hukuki sebeple ve nasıl işlendiğine bakar. Banner bu sorunun yalnızca görünen yüzüdür. Bu yazıda bannerın neden tek başına uyum sayılmadığını ve sitenizde neyi kontrol etmeniz gerektiğini anlatıyoruz.

Banner bir arayüzdür, uyum ise bir davranış

Kişisel Verileri Koruma Kurumu'nun çerez uygulamalarına ilişkin rehberi, çerezleri amaçlarına göre ayırır. Oturum, güvenlik ya da tercih kaydı gibi, sitenin çalışması için zorunlu olan çerezlerde açık rıza aranmaz. Analitik, reklam ve pazarlama amaçlı çerezler ise kural olarak ziyaretçinin açık rızasına dayanır. Kanun açık rızayı "belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar (md. 3).

Bu tanımın üç parçası da doğrudan bannerla ilgilidir:

• Rıza önce alınmalıdır. Kod çalıştıktan sonra sorulan soru rıza değil, bildirimdir.
• Rıza bilgilendirmeye dayanmalıdır. Hangi çerezin ne için kullanıldığı söylenmeden alınan onay sağlam bir zemin oluşturmaz.
• Rıza özgür olmalıdır. Reddetmenin yolu kapatılmışsa ya da saklanmışsa ortada bir tercih yoktur.

En sık görülen dört açık

• Onaydan önce çalışan kod: Analitik ya da reklam etiketi sayfa yüklenirken çağrılıyor. Banner yalnızca görüntü olarak duruyor.
• Reddetme seçeneğinin olmaması: Tek düğme "Kabul et" ya da "Tamam". Reddetmek için ayarlar menüsünde birkaç adım gerekiyor. Kabul etmek tek tıksa, reddetmek de tek tık olmalıdır.
• "Devam ederek kabul etmiş sayılırsınız" ifadesi: Sayfada gezinmek bir irade beyanı değildir. Susmak ya da hiçbir şey yapmamak açık rızanın yerine geçmez.
• Metinle gerçeğin ayrışması: Çerez politikası yıllar önce yazılmış. Sonradan eklenen sohbet aracı, harita, video ya da reklam pikseli metinde hiç geçmiyor.

Bunlara bir de yurt dışı boyutu eklenir. Yaygın analitik ve reklam araçlarının çoğu veriyi yurt dışındaki sunucularda işler. Bu durumda Kanun'un yurt dışına aktarımı düzenleyen 9. maddesi de devreye girer. Banner bu soruyu çözmez, yalnızca görünür kılar.

Uyum metinde değil, ağ trafiğinde görünür

Bir sitenin çerez düzenini anlamanın en dürüst yolu, ona ziyaretçinin gözünden bakmaktır. Bunun için hukuk bilgisi değil, birkaç dakika yeter.

1. Gizli pencerede açınSiteyi çerezleri temizlenmiş bir tarayıcı penceresinde açın ve bannera dokunmayın.
2. Ağ isteklerine bakınTarayıcının geliştirici araçlarında ağ sekmesini açın. Siz karar vermeden analitik ya da reklam alan adlarına istek gidiyorsa sorun bannerda değil, kurulumdadır.
3. Çerezleri listeleyinAynı araçlarda o anda tarayıcıya yazılmış çerezlere bakın. Zorunlu olmayan bir çerez karar öncesinde oradaysa rıza sonradan alınıyor demektir.
4. Reddedip tekrar bakın"Reddet"i seçin, sayfayı yenileyin ve aynı kontrolü yapın. Reddedilen kodların hiç çalışmaması gerekir.
5. Geri dönüş yolunu arayınZiyaretçi kararını sonradan değiştirebiliyor mu? Altbilgide bir "Çerez tercihleri" bağlantısı olmalı, çünkü açık rıza her zaman geri alınabilir.

İlk bakış için Site Sağlık Raporu aracımız, sitenizin KVKK ve çerez durumunu diğer temel kontrollerle birlikte tarar. Ayrıntılı inceleme için yukarıdaki adımlar yol gösterir.

Banner uyumun kanıtı değildir. Uyumun olup olmadığını herkesin görebildiği yerdir.

Doğru kurulum neye benzer?

İyi bir onay düzeni sade bir ilkeye dayanır: zorunlu olmayan hiçbir kod, ziyaretçi izin vermeden yüklenmez. Google etiketlerinde Consent Mode'un varsayılanı "reddedildi" olarak ayarlanır ve bu ayar her etiketten önce gelir. Reklam pikselleri yalnızca onaydan sonra çağrılır. "Kabul et" ile "Reddet" aynı görünürlükte sunulur. Ziyaretçi analitik ve reklam tercihlerini ayrı ayrı seçebilir. Karar, metnin hangi sürümüne verildiğiyle birlikte kaydedilir ve metin değiştiğinde ziyaretçiye yeniden sorulur.

Bu düzeni güncel bir çerez politikası ve aydınlatma metni tamamlar. Kendi sitemizde kullandığımız yapıyı çerez politikamızda açıkça anlatıyoruz. Sitenin altyapısı bu düzeni kaldırmıyorsa bannerı değiştirmek yetmez, kurulumu ele almak gerekir. Bu işi kurumsal web ve yazılım projelerimizin standart parçası olarak yapıyoruz.

Bu yazı genel bilgilendirme amaçlıdır. Sitenize özgü hukuki değerlendirme için bir hukukçuyla çalışmanızı öneririz. Teknik tarafta sitenizin onay düzenini birlikte gözden geçirmek isterseniz bize ulaşın; nereden başlanacağını somut olarak çıkaralım.