Sitemde Çerez Kutusu Var: KVKK İçin Tercih Paneli Nasıl Çalışmalı?

Çerez bildirimi görmek, tercihin uygulanması demek değildir

Bir internet sitesine çerez kutusu eklemek ile ziyaretçinin seçimini gerçekten uygulamak farklı işlerdir. Sayfanın altındaki metin düzgün görünebilir; buna rağmen reklam aracı ziyaretçi karar vermeden çalışabilir. Hukuki incelemede yalnız kutunun görüntüsü değil, arka planda hangi işlemin hangi anda başladığı önemlidir. Site sahibi açısından ilk soru hangi metni kullanalım yerine, hangi çerezler hangi amaçlarla çalışıyor olmalıdır.

Çerez uygulaması ziyaretçiye bütün seçenekleri aynı anda kabul ettirmek için tasarlanmış bir formalite olarak görülmemelidir. Sepette ürünün tutulması, oturum güvenliği, ziyaret istatistiği ve reklam profili aynı işlev değildir. Her birinin amacı ve hukuki dayanağı ayrı değerlendirilir. Bunları tek bir zorunlu başlığına toplamak, kullanılan aracın gerçek işleyişini değiştirmez.

Bu rehber çerez yoluyla kişisel veri işleyen internet sitelerine yöneliktir. Her teknik kaydı veya her istatistiği otomatik olarak aynı hukuki kategoriye yerleştirmez. Çerez adı, sağlayıcının ticari tanımı ve sitedeki kategori etiketi başlangıç bilgisi olabilir; kesin sınıflandırma için gerçek amaç, veri ve çalışma biçimi anlaşılmalıdır. Teknik ekip ile hukuki değerlendirmeyi yapan kişinin aynı uygulamadan söz ettiğinden emin olunmalıdır.

Zorunlu çerez nasıl ayırt edilir?

Kişisel Verileri Koruma Kurumunun Çerez Uygulamaları Hakkında Rehberi, talep edilen hizmet için gerekli çerezleri diğer amaçlardan ayırır. Bir çerezin site sahibine yararlı olması, kullanıcı bakımından kesinlikle gerekli olduğunu tek başına göstermez. Bu nedenle ziyaretçi hangi hizmeti talep etti ve çerez bu hizmette ne yapıyor soruları birlikte sorulmalıdır.

Örneğin bir çevrim içi mağaza için alışveriş akışını sürdürmekle aynı ziyaretçiye farklı sitelerde reklam göstermek farklı ihtiyaçlardır. Bir araç iki işi birden yapıyorsa yalnız ilk işlevi anlatmak yeterli değildir. Teknik sağlayıcıdan hangi amaçların etkin olduğu ve hangilerinin kapatılabildiği sorulabilir. Varsayılan paketin işletme için pratik olması, bütün özelliklerin aynı hukuki gerekçeyle kullanılacağı sonucunu doğurmaz.

Sınıflandırma dosyasında çerezin adı, sağlayıcısı, amacı, süresi ve hangi sayfada devreye girdiği yer alabilir. Bu kayıt yalnız bir tablo doldurmak için hazırlanmaz; panelde gösterilen kategorinin gerçek uygulamayı karşılayıp karşılamadığını anlamaya yarar. Sitedeki araç değiştirildiğinde eski listeden devam edilmesi, ziyaretçiye sunulan açıklamanın güncelliğini kaybetmesine yol açabilir.

İnceleme sırasında kullanılmayan çerezlerin listede bulunması da karışıklık yaratır. Önceki site sürümünden kalan bir adı görüp halen çalıştığı sonucuna varılmamalıdır. Buna karşılık listede bulunmayan bir aracın testte görünmesi, envanterin güncellenmesi gereken noktayı gösterir. İşletme çerezin zorunluluğunu açıklarken hangi temel işlevin etkilendiğini somutlaştırabilir. Sadece satışları artırıyor veya raporlamayı kolaylaştırıyor gibi gerekçeler, kullanıcının istediği işlemin ne olduğuna cevap vermez. Bu ayrım, ticari ihtiyacın teknik gereklilik gibi sunulmasını önlemeye yardımcı olur.

Analitik ölçüm ile reklam takibini karıştırmayın

Rehber, belirli şartlardaki birinci taraf analitik çerezleri ayrıca değerlendirir: yalnız sitenin işleyişine yönelik anonim istatistik, sınırlılık ve siteler arası takipten kaçınma önemlidir. Dolayısıyla her ölçümün aynı olduğu veya analitik adını taşıyan her aracın rızasız kullanılabileceği söylenemez. Kullanılan ayarların ve veri akışının görülmesi gerekir.

Bir raporda ziyaret sayısı bulunması, bu raporun nasıl üretildiğini açıklamaz. Tekil kişiyi takip eden tanımlayıcı, farklı cihazların eşleştirilmesi ve reklam hesabıyla bağlantı gibi özellikler ayrıca araştırılabilir. İşletme yalnız bize toplam rakam gösteriliyor demekle yetinmemelidir. Panelde görülen sonuçla sağlayıcının arka planda aldığı veri farklı olabilir; teknik sözleşme ve etkin özellikler birlikte incelenmelidir.

Antalya'da rezervasyon alan bir işletme, reklam kampanyasının başarısını ölçmek için ek araç kurdurabilir. Bu karar verildiğinde mevcut çerez değerlendirmesi yeniden kontrol edilebilir. Daha önce yalnız site içi kullanım için yapılandırılmış ölçümün sonradan reklam hesabına bağlanması, önceki sınıflandırmanın aynen sürdürüleceği anlamına gelmez. Değişikliğin hangi tarihte yapıldığı ve panel seçeneklerine nasıl yansıdığı belirlenmelidir.

Rıza gereken çerezler ne zaman çalışabilir?

KVK Kurulunun 23 Aralık 2022 tarihli, 2022/1358 sayılı karar özeti, zorunlu olmayan çerezlerde başka bir işleme şartı bulunmadığında aktif onayla çalışan opt-in düzenini vurgular. Varsayılan çalışmama yaklaşımı, rıza istenirken işlemin önceden başlamamasını sağlar. Bu nedenle kullanıcıya seçim sunulan an ile çerezin ilk çalıştığı an karşılaştırılmalıdır.

Pratik denetim, temiz bir tarayıcı oturumunda ilk açılışla başlayabilir. Kullanıcı henüz hiçbir düğmeye basmamışken hangi araçların devreye girdiği teknik ekip tarafından kontrol edilir. Ardından reddetme ve yalnız belirli amaçlara izin verme seçenekleri denenir. Bu üç farklı durum aynı teknik sonucu üretiyorsa panelin görüntüsünün dışında incelenmesi gereken bir uygulama sorunu bulunabilir.

Tercih kaydı ile teknik engelleme birbirinden kopuk olmamalıdır. Sistem ziyaretçinin reddettiğini kaydedip reklam aracını yine çalıştırıyorsa yalnız kayıt tutulması sorunu çözmez. Benzer biçimde tercihe göre araç engellenmiş olsa bile kullanıcıya neyin seçildiğinin belirsiz gösterilmesi ayrı bir eksiklik yaratabilir. Hukuki inceleme hem açıklamayı hem seçimi hem uygulanan sonucu birlikte ele almalıdır.

Panelde kabul, ret ve amaç seçimi

Kurum rehberi kabul, ret ve tercih seçeneklerinin eşit görünürlükte sunulmasını iyi uygulama olarak gösterir. Ayrı amaçlar bakımından seçenek ve daha sonra tercihi değiştirebilme imkanı da önemlidir. Kullanıcının seçimini zorlaştıran tasarım, yalnız estetik bir konu olarak değerlendirilmemelidir. Düğmelerin metni ve erişim sırası, kişinin neyi seçtiğini anlamasına etki edebilir.

Örneğin büyük bir kabul düğmesinin yanında yalnız belirsiz bir ayrıntılar bağlantısı varsa, ziyaretçi bu bağlantının metin okumaya mı yoksa seçim yapmaya mı götürdüğünü anlayamayabilir. Ayrıntı ekranında da seçimin kaydedilmesi için hangi düğmenin kullanılacağı açık olmalıdır. Bir tercihin görünürde kapalı olup kaydetme sonrasında yeniden açılması, kullanıcı deneyimi kadar uygulama doğruluğu bakımından da araştırılabilir.

Denetimde masaüstü görünümüyle yetinilmemelidir. Telefonda kapat düğmesinin görünmemesi, seçeneklerin ekran dışında kalması veya yardımcı teknolojiyle kullanılmaması fiili seçim imkanını etkileyebilir. Testin kim tarafından ve hangi cihazda yapıldığı kaydedilebilir. Paneli geliştiren firma ile siteye sonradan içerik ekleyen ekibin yaptığı değişiklikler aynı ortamda kontrol edilmelidir.

Seçim ekranındaki grup başlıkları ile alt seçeneklerin ilişkisi de denenebilir. Kullanıcı yalnız bir amacı açtığında başka amaçların sessizce açılıp açılmadığı kontrol edilir. Grup düğmesiyle alt seçeneklerin farklı sonuç vermesi, hangi tercihin kaydedildiğini belirsizleştirebilir. İnceleme notunda kullanıcının izlediği adımlar yazılırsa geliştirici sorunu aynı sırayla yeniden görebilir. Tek ekran görüntüsü, düğmeden sonra ne olduğunu göstermediğinden bu çalışma özellikle yararlıdır. Aynı adımları izleyen iki test farklı sonuç veriyorsa önce oturum geçmişi ve kullanılan sürüm karşılaştırılır.

Çerez metni gerçek envanterle uyuşmalı

Ziyaretçiye sunulan açıklamada bir aracın adı yazarken teknik taramada farklı sağlayıcı görünüyorsa bu fark araştırılmalıdır. Aynı sağlayıcının farklı araçları farklı amaçlarla çalışabilir. Eski metni yeni markayla değiştirmek her zaman yeterli değildir. Metnin hangi işleme dayanarak hazırlandığı ve yapılan teknik değişikliğin niteliği anlaşılmalıdır.

2022/1358 sayılı kararda genel bir üyelik aydınlatmasının bulunması, çerez uygulaması bakımından incelemeyi bitiren unsur olarak kabul edilmemiştir. Site sahibi açısından çıkarılabilecek pratik sonuç, üyelik süreciyle ziyaret sırasında başlayan çerez faaliyetini ayrı kontrol etmektir. Üye olmayan kişinin de hangi işlemden etkilendiği belirlenmelidir.

İçerik ekibi çerez açıklamasını tek başına hazırladığında, yazılımda etkin olan araçları bilmeyebilir. Teknik ekip de hukuki kategorileri yalnız araç satıcısının hazır etiketinden seçebilir. İki tarafın birlikte inceleyeceği kısa envanter bu kopukluğu azaltır. Her satır için doğrulayan kişinin ve kontrol tarihinin yazılması, sonradan hangi bilginin neden kullanıldığını anlamayı kolaylaştırır.

Harita, video ve sonradan eklenen hizmetler

İnternet sitesine eklenen bir harita, rezervasyon bileşeni veya video aracı teknik açıdan hazır bir parça gibi görülebilir. Ancak parçanın çalışırken hangi çerezleri yerleştirdiği ayrıca araştırılmalıdır. Bir içeriğin dış sağlayıcıdan gelmesi onun her durumda aynı amaç ve ayarla çalıştığını göstermez. Kullanıcı etkileşiminden önce ve sonra oluşan durumlar farklı olabilir.

Geliştiriciye hangi verinin hangi sağlayıcıya gittiği, sayfa açılır açılmaz bağlantı kurulup kurulmadığı ve tercihle hangi özelliklerin durdurulabildiği sorulabilir. Çerez incelemesi, bütün veri aktarımı meselelerinin otomatik çözüldüğü anlamına gelmez. Farklı ülkelere aktarım söz konusuysa bunun hukuki çerçevesi ayrıca değerlendirilmelidir; yalnız panelde bir kutunun işaretlenmesi bütün işlemlere ortak gerekçe olarak sunulmamalıdır.

Yayın sonrası bakım planında içerik ekleme yetkileri de önemlidir. Pazarlama ekibi kısa bir kod eklediğinde hukuk ve yazılım ekiplerinin haberi olmayabilir. Bu nedenle yeni bileşen ekleme öncesinde kontrol adımı belirlenebilir. Kullanımdan kaldırılan aracın yalnız panelden adının silinmesiyle yetinilmeyip site kodunda veya yönetim sisteminde çalışmayı sürdürüp sürdürmediği kontrol edilebilir.

Bakım sözleşmesinde yeni araçların kurulumuna ilişkin iletişim yolu belirlenebilir. Ajansın yalnız kendi eklediği kodları bilmesi, site yönetim panelinden başka kişilerce eklenen araçları görmemesi mümkündür. Bu nedenle kontrol kapsamına hangi sayfaların ve hangi kullanıcı hareketlerinin dahil edildiği açıklanmalıdır. Ana sayfanın temiz olması, rezervasyon veya ödeme adımında da aynı sonucun ortaya çıkacağını kanıtlamaz. Özellikle farklı alan adına geçen işlemlerde her bölümün hangi işletme tarafından yönetildiği ayrıca belirlenebilir.

Varsayımsal örnek: Ret seçeneği bulunan ama çalışmayan panel

Tamamen varsayımsal bir örnekte bir otel sitesinin çerez panelinde kabul ve reddet seçenekleri bulunsun. Site sahibi bu nedenle uygulamanın tamamlandığını düşünsün. Teknik inceleme, reklam kodunun sayfa açılır açılmaz yüklenip çerez yerleştirdiğini; ret düğmesinin yalnız paneli kapattığını göstersin. Sorun düğmenin yokluğu değil, kararın teknik işleve bağlanmamış olmasıdır.

İnceleme için ilk açılış, ret sonrası ve kabul sonrası sonuçlar ayrı kaydedilebilir. Aynı cihazda önceden verilmiş bir izin testi etkileyebileceğinden temiz oturumla karşılaştırma yapılır. Teknik ekibin raporu hangi aracın ne zaman çalıştığını açıklar; hukuk değerlendirmesi kullanılan amaç ve dayanakla bu sonucu karşılaştırır. Düzeltme sonrasında aynı senaryolar tekrar kontrol edilir.

Bu örnekte paneli farklı renge boyamak veya daha uzun metin eklemek tek başına çözüm olmaz. Kodun çalışma sırası, tercih kaydı ve sayfa yenilendiğinde uygulanan seçim birlikte düzeltilmelidir. Eski döneme ait bir başvuru varsa yeni uygulamayla eski durum karıştırılmamalıdır. Düzeltmenin tarihi ve hangi sürümde yapıldığı gösterilir; önceki faaliyet için kesin yaptırım veya sonuç vaat edilmez.

Sık sorulan sorular ve uygulama kontrolü

Hazır bir çerez eklentisi kullanmak yeterli mi? Eklenti belirli seçenekler sunabilir; ancak siteye eklenmiş bütün araçları otomatik olarak doğru yönettiği varsayılmamalıdır. Etkin kategori ayarları, çalışma sırası ve reddetme sonucu teknik olarak doğrulanabilir. Lisansın satın alınmasıyla uygulamanın doğru kurulması farklı konulardır.

Analitik rapor alıyorum; bütün ziyaretçilerden aynı izin mi istenir? Önce hangi ölçümün hangi veriyle ve hangi amaçla yapıldığı belirlenir. Rehberdeki sınırlı değerlendirmeleri bütün analitik ürünlere genellemek veya bütün sayımları reklam takibiyle eşitlemek doğru bir başlangıç değildir. Sınıflandırma gerçek yapılandırma üzerinden yapılmalıdır.

İlk kontrol dosyasında ne bulunabilir? Etkin araç listesi, kategori gerekçeleri, panel görüntüleri, farklı tercih senaryolarının teknik sonuçları ve değişiklik tarihleri yararlı bir başlangıçtır. Ziyaretçi başvurusu varsa hangi cihaz, sayfa ve tarihte hangi durumun görüldüğü ayrıca kaydedilir. Teknik bilgi bilinmiyorsa tahmin edilmez; ilgili ekibe somut soru iletilir. Amaç, uzun bir politika metninden önce ziyaretçinin kararının hangi işlemleri gerçekten değiştirdiğini ortaya koymaktır.