Çerez bandında yalnızca “kabul et” yetmez: Opt-in düzenini doğru kurun

Türkiye’de bir web sitesinin çerez bandını kurarken önce çerezleri amaçlarına ve hukuki dayanaklarına göre ayırın. Kesinlikle gerekli çerezler uygun bir işleme şartıyla çalışabilir; işlevsel, analitik ve reklam çerezleri için başka bir geçerli işleme şartı yoksa ziyaretçinin aktif açık rızasını bekleyin. Kurulun 2022/229 sayılı kararı, bu durumda zorunlu olmayan çerezlerin varsayılan olarak çalışmadığı opt-in düzenini öngörür.

İlk ziyarette bilgilendirme ile seçim paneli görünürken rıza gerektiren çerezler kapalı kalmalıdır. Ziyaretçi gerekli olmayanları reddedebilmeli veya işlevsel, analitik ve reklam amaçları için ayrı seçim yapabilmelidir. Seçim daha sonra değiştirilebilmeli; panelde yazanlarla sitenin gerçekten çalıştırdığı çerezler örtüşmelidir.

Çerezin adını değil, amacını sınıflandırın

Envanterde her çerezin kim tarafından yerleştirildiğini, hangi veriyi topladığını, amacını, kullanım süresini ve dayandığı işleme şartını kaydedin. Sağlayıcının çereze verdiği kategori adı, onu kendiliğinden zorunlu yapmaz. Özellikle site kullanımını ölçen bir araç reklam hedeflemesine de veri gönderiyorsa bu amaçları tek bir “analitik” seçiminin altında toplamayın.

Kişisel veri işleyen çerezler için başlangıç ayarını şu matrisle belirleyebilirsiniz:

• Kesinlikle gerekli: İstenen işlemin yapılması veya sitenin düzgün çalışması için gerçekten gerekli olan çerezlerdir. Uygun işleme şartı belirlendiyse başlangıçta çalışabilirler; reklam ya da ek kişiselleştirme bu kategoriye taşınamaz.
• İşlevsel: Ziyaretçinin seçtiği ek özellikleri veya kişiselleştirmeyi sürdürür. Açıkça istenen hizmet için gerekliliği ya da başka bir geçerli işleme şartı gösterilemiyorsa başlangıçta kapalı kalır.
• Performans ve analitik: Sayfa kullanımı ve ziyaretçi davranışını ölçer. Başka bir geçerli işleme şartı yoksa başlangıçta kapalıdır; ölçümün siteyi iyileştirmesi tek başına zorunluluk anlamına gelmez.
• Reklam ve pazarlama: Hedefleme, yeniden pazarlama veya reklam etkisini ölçme amacıyla kullanılır. Başka bir geçerli işleme şartı yoksa ilgili amaç için aktif seçim yapılıncaya kadar çalışmaz.

Karar ağacı her araç için aynıdır: Çerez, ziyaretçinin açıkça istediği hizmet için kesinlikle gerekli mi? Öyleyse hangi işleme şartına dayandığını belgeleyin. Değilse aynı faaliyet için başka bir geçerli şart bulunup bulunmadığını değerlendirin; bulunmuyorsa çerezi rıza verilene kadar kapalı tutun. Birinci veya üçüncü taraf olması bu değerlendirmenin yerini almaz.

İlk sayfa yüklemesinde varsayılanı kapalı tutun

Opt-in, yalnızca anahtarların panelde kapalı görünmesi değildir. Sayfa açılır açılmaz çalışan analitik betiği, reklam etiketi veya üçüncü taraf bileşeni kişisel veri işlemeye başlıyorsa ziyaretçinin sonraki seçimi ilk işlemi geri alamaz. Bu nedenle rıza gerektiren kodu, ilgili kategoriye izin verildiğinde çalışacak biçimde kurun; etiket yöneticisinde de başlangıç durumunu aynı tercihe bağlayın.

Koşullu bir örnekte sepeti sürdürmek için gereken oturum çerezi uygun dayanakla yüklenirken, analitik seçeneği kapalıysa sayfa görüntüleme ölçümü başlamaz. Ziyaretçi yalnızca analitiği açarsa reklam etiketi yine kapalı kalır. Tarayıcıdaki çerezler kadar sunucu üzerinden gönderilen ölçüm olaylarını ve sayfaya gömülü üçüncü taraf araçlarını da aynı amaç ayrımına göre yapılandırın.

Kabul, ret ve ayrı tercihleri birlikte sunun

Kurulun 2023/1645 sayılı kararında eşit görünürlükte “kabul et”, “reddet” ve “tercihler” düğmeleri iyi uygulama örneği olarak aktarılır. Kararda, gerekli olmayan bütün çerez türleri için yalnızca toplu izin sunulması ve türlere göre seçim imkânı verilmemesi de eleştirilir. Bu nedenle panelde işlevsel, analitik ve reklam kategorilerini ayrı gösterin; rıza gerektiren seçenekleri önceden işaretlemeyin.

“Reddet” seçimi gerekli olmayan kategorileri kapalı bırakarak işlemi tamamlamalıdır. “Tercihler” ekranında ziyaretçi istediği kategorileri açıp kaydedebilmelidir. “Tümünü kabul et” kısa yolu kullanılabilir, ancak kategori bazında seçimin yerine geçmemelidir. Paneli kapatmak, sayfada gezinmeye devam etmek veya işaretli bir kutuya dokunmamak aktif açık rıza olarak yorumlanmamalıdır.

Aydınlatmayı seçimden önce erişilebilir kılın

İlk ziyaretteki kısa açıklama, çerezlerin hangi amaçlarla kullanıldığını anlatmalı ve ayrıntılı metne doğrudan götürmelidir. Kurulun 2022/1358 sayılı kararı, çerezlerle işlenen kişisel veriler için ilk ziyarette aydınlatma yapılması gerektiğini belirtir; yalnızca üyelik formundaki eksik bir metin bu ihtiyacı karşılamaz. Bant, aydınlatma metnine ulaşmak için ziyaretçiyi genel bir gizlilik sayfasında arama yapmaya zorlamamalıdır.

Ayrıntılı metinde veri sorumlusunun kimliğini, veri toplama yöntemini, işleme amaçlarını ve hukuki sebeplerini, verilerin kimlere hangi amaçlarla aktarılabileceğini ve ilgili kişinin haklarını açıkça yazın. Çerez listesinde ad, amaç, kullanım süresi ve birinci ya da üçüncü taraf bilgisi yer alsın. Yurt dışına aktarım varsa fiilî akışı açıklayın ve aktarım şartlarını ayrıca değerlendirin. Aydınlatmayı göstermek ile açık rıza almak ayrı işlemlerdir.

Tercih değişikliğini teknik akışa bağlayın

İlk bant kapandıktan sonra da ulaşılabilen bir “Çerez tercihleri” bağlantısı sunun. Ziyaretçi bir kategoriyi kapattığında o amaçla yeni çerez yazılmasını ve yeni izleme çağrılarını durdurun; sitenin yerleştirdiği mevcut çerezler için kaldırma akışını da tasarlayın. Daha önce gerçekleşmiş işlemleri ve üçüncü tarafların sakladığı verileri, gelecekteki izlemeyi durdurma işleminden ayrı ele alın.

Yayına almadan önce temiz bir tarayıcı oturumunda hiçbir seçim yapılmamışken oluşan çerezleri ve ağ isteklerini inceleyin. Sonra yalnızca analitiğe izin verip reklam etiketlerinin kapalı kaldığını, ret seçeneğiyle gerekli işlevlerin sürdüğünü ve tercih geri çekildiğinde yeni izleme çağrılarının durduğunu doğrulayın. Yeni bir ölçüm aracı veya üçüncü taraf bileşeni eklendiğinde envanteri, aydınlatma metnini ve bu davranışları birlikte güncelleyin.

Ayrıca okuyun:

• AB’de siber açık sayacı başladı: İlk bildirim için yalnızca 24 saat var
• Cloudflare 100 TB RAM kazandı: Donanım değil, veri düzeni değişti
• 128 kuruluş aynı uyarıda birleşti: Kritik altyapının yalnızca ayları var