KVKK Çerez Rehberi: Kurum ne istiyor, siteniz nasıl uyumlu olur?

Rehberin kontrol listesi işe çerezleri tanımakla başlıyor: sitenizde hangi çerezlerin çalıştığını tespit edin, ihtiyacınız olmayanları kaldırın, kalanları amacına, süresine ve birinci ya da üçüncü taraf olmasına göre sınıflandırın. Zorunlu olanla olmayanı ayırdığınızda rıza gereken çerezler de kendiliğinden ortaya çıkar.

Hayır. Sitenin çalışması için kesinlikle gerekli çerezler (oturumun sürmesi, form doldurma, giriş yapma, gizlilik tercihinin hatırlanması gibi) açık rıza gerektirmez; bu çerezler sözleşme ya da meşru menfaat gibi diğer hukuki sebeplere dayanabilir. Rehber iki koşul tarif ediyor: iletişimin sağlanması için kullanılması (Kriter A) ya da kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekli olması (Kriter B). Bu çerezler için de aydınlatma yapılmalı ve pazarlama amacıyla kullanılmamalıdır.

Duruma göre değişir. Rehber, birinci taraf analitik çerezleri belirli şartlarla açık rıza dışında değerlendiriyor: yalnızca sitenin işleyişi için anonim istatistik üretilmesi, kişilerin farklı siteler arasında çapraz takip edilmemesi, verinin üçüncü taraflara iletilmemesi ve çerez ömrünün makul tutulması. IP maskeleme gibi yöntemler öneriliyor. Verinin bir hizmet sağlayıcının sunucusuna gittiği, başka amaçlarla birleştirilebildiği ya da yurt dışına aktarıldığı kurgularda bu şartlar karşılanmayabilir; o durumda açık rıza ve yurt dışına aktarım kuralları gündeme gelir.

Evet. Davranışsal reklam için kullanılan çerezler açık rıza gerektirir. Rehber bunu reklama bağlı alt amaçları da kapsayacak şekilde ele alıyor: gösterim sıklığı, reklam ortaklığı, tıklama sahtekârlığının tespiti, pazar analizi ve ölçüm gibi. Bu amaçların hiçbiri kullanıcının açıkça talep ettiği bir hizmet değildir.

Rehber iyi uygulama olarak, siteye girildiğinde açılan panelde Kabul et, Reddet ve Tercihler butonlarının renk, boyut ve punto bakımından eşit sunulmasını öneriyor. Yalnızca Kabul et butonu olan bannerlar rehberde kötü örnek olarak gösteriliyor. Tercihler butonu, farklı amaçlar için ayrı ayrı rıza verilebilmesini sağlıyor.

Hayır. Açık rızaya tabi çerezlerin panelde ilk açılışta kapalı (pasif) gelmesi gerekiyor. Rehber, kişinin önceden onayı alınmadan çerezlerin açık kabul edildiği opt-out kurguyu uygun bulmuyor; ziyaretçinin bilinçli bir eylemle onay verdiği opt-in kurgu isteniyor.

Sayılmaz. Açık rıza aktif ve olumlu bir eylemle verilmelidir. Siteye girmek ya da gezinmeye devam etmek çerezlere rıza verildiği anlamına gelmez. "Sitemizi kullanarak çerezleri kabul etmiş olursunuz" türü bannerlar rehberde kötü örnek olarak yer alıyor.

Bu uygulamaya çerez duvarı deniyor. Siteye erişim, bütün çerezlere onay verilmesi şartına bağlanırsa kişinin gerçek bir seçim yapması engellenebilir ve bu şekilde alınan rıza geçerli sayılmayabilir. Rehber, her olayın ayrıca değerlendirilmesi kaydıyla, hizmete ulaşmak için çerez duvarı dışında adil alternatifler sunulabileceğini belirtiyor.

Rıza her zaman geri alınabilir olmalı. Bunun için çerez yönetim paneline kolay erişilebilmesi gerekiyor. Rehber, panelin içeriği engellemeyen küçük bir ikon ya da bant olarak sayfanın bir köşesinde durmasını iyi örnek olarak gösteriyor.

Olamaz. Rıza gerektiren işlemlerde aydınlatma ve açık rıza ayrı ayrı yapılmalı. Aydınlatma en geç veri elde edilirken, yani siteye girişte yapılmalı; kolay erişilebilir, açık ve sade olmalı. Rehber, metinde çerezin adı, amacı, süresi ve birinci ya da üçüncü taraf olduğunun yazılmasını tavsiye ediyor. Pek çok konuyu bir arada anlatan uzun gizlilik bildirimleri tek başına yeterli sayılmıyor.

Rehbere göre hem site sahibi hem de çerezi yerleştiren üçüncü taraf, kullanıcının bilgilendirilmesinden ve rızanın alınmasından sorumlu. Kullanıcı şikâyetini genellikle doğrudan siteye ilettiği için tarafların birlikte çalışması öneriliyor; bu konu aralarındaki sözleşmeye hüküm olarak eklenebiliyor.

Bu bir yurt dışına aktarım sayılıyor ve Kanun'un 9. maddesi ile Temmuz 2024'te yayımlanan Yurt Dışına Aktarım Yönetmeliği'ne uygun yapılması gerekiyor. Sıra şöyle: aktarılan ülke için yeterlilik kararı varsa ona dayanılır; yoksa uygun güvencelerden biri sağlanır; ikisi de yoksa yalnızca arızi hallerde aktarım yapılabilir.

Evet. Rehberin kontrol listesi çerez rıza kayıtlarının uygun bir süre saklanmasını içeriyor. Ayrıca aydınlatma yükümlülüğünün yerine getirildiğini ispat etmek veri sorumlusuna düşüyor. Çerez kullanımının belgelenmesi ve düzenli aralıklarla gözden geçirilmesi de listede yer alıyor.

Rehber internet sitesi işleten tüm veri sorumluları için yol gösterici nitelikte ve masaüstü ile mobil web sitelerine, web uygulamalarına uygulanıyor. Kişisel veri işlemeyen çerezler kapsam dışında. Piksel, parmak izi, local storage ve beacon gibi benzer teknolojiler için ayrıca yönlendirme yapılmıyor.