Web Sitenizde KVKK ve Çerez Uyumu

Çerez bandı koymak bir site için beş dakikalık iş gibi görünüyor. Doğru kurmak ise biraz daha uzun sürüyor. Aradaki fark, bandın gerçekten bir işe yarayıp yaramaması.

Aşağıda neyin zorunlu olduğunu, neyin sanıldığı gibi olmadığını ve teknik tarafta nelerin yapılması gerektiğini yazdık.

Not. Bu yazı bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kendi durumunuz için avukatınıza danışın.

Aydınlatma ile açık rıza aynı şey değil

En sık karışan konu bu. Aydınlatma yükümlülüğü bir bilgilendirmedir ve neredeyse her durumda zorunludur. Hangi veriyi topladığınızı, neden topladığınızı, ne kadar sakladığınızı ve kişinin haklarını anlatırsınız.

Açık rıza ise ayrı bir şeydir. Özgür iradeyle, belirli bir konuda ve bilgilendirilmiş olarak verilen onaydır.

Her veri işleme açık rıza gerektirmiyor. Bir siparişi teslim etmek için adrese ihtiyacınız var ve bunun için ayrıca rıza almanız gerekmiyor, sözleşmenin gereği. Ama o adrese kampanya broşürü göndermek isterseniz durum değişiyor.

Pratikte bu şu demek. Her şey için rıza istemeyin, gerekmeyen yerde rıza istemek de hatalı bir uygulama.

Hangi çerez rıza ister

Çerezleri kabaca ikiye ayırabilirsiniz.

Sitenin çalışması için kesinlikle gerekli olanlar rıza istemiyor. Oturum çerezi, sepet çerezi, güvenlik çerezi bu gruba giriyor. Bunlar olmadan site zaten çalışmıyor.

Geri kalanlar rıza istiyor. Analitik çerezleri, reklam çerezleri, sosyal medya izleme kodları, kişiselleştirme çerezleri. Bunlar sitenin çalışması için gerekli değil, size fayda sağlıyor.

Analitik çerezinin "gerekli" sayılmadığını özellikle vurgulayalım. Siteyi ölçmek sizin için değerli ama ziyaretçinin siteyi kullanabilmesi için gerekli değil.

Kural sadece çerezler için değil

Yaygın bir yanılgı, kuralın yalnızca çerezleri kapsadığını sanmak. Aslında kural, ziyaretçinin cihazına bilgi yazmayı ve cihazındaki bilgiye erişmeyi kapsıyor.

Yani tarayıcı depolaması da aynı kapsamda. Çerez kullanmayıp yerel depolama kullanmak bir kaçış yolu değil.

Bunu bilmek önemli çünkü "çerezsiz analitik" diye pazarlanan bazı araçlar tarayıcı depolaması kullanıyor ve aynı yükümlülüğü doğuruyor.

"Devam ederek kabul etmiş sayılırsınız" neden geçersiz

Bu cümle hâlâ çok sitede duruyor ama geçerli bir rıza sayılmıyor. Rızanın bir eylemle, açıkça verilmesi gerekiyor.

Aynı şekilde önceden işaretlenmiş onay kutuları da geçersiz. Kullanıcının işareti kendisinin koyması lazım.

Bir diğer sorun, yalnızca "Kabul et" butonu olan bantlar. Reddetmek kabul etmek kadar kolay olmalı. Reddetmek için ayarlar menüsünde üç tıklama gerekiyorsa bu geçerli bir seçim sunmuyor.

Bandın teknik olarak doğru kurulumu

Burası en çok atlanan kısım. Bant görünüyor olabilir ama arkada ne olduğu asıl mesele.

Kritik kural şu. Rıza verilmeden önce, rıza gerektiren hiçbir kod çalışmamalı. Analitik kodu sayfa açılır açılmaz çalışıp sonra bant gösteriliyorsa veri zaten toplanmış oluyor.

Kontrolü basit. Tarayıcının geliştirici araçlarını açın, ağ sekmesine bakın ve sayfayı yenileyin. Banda dokunmadan önce analitik sunucusuna istek gidiyorsa kurulum yanlış.

Doğru kurulumda kodlar rıza sonrası yükleniyor. Bu, kodların şablona doğrudan gömülmemesi, bir rıza yöneticisi üzerinden çağrılması demek.

Rıza kaydı tutmak

Rızanın alındığını gerektiğinde göstermeniz gerekebilir. Bu yüzden ne zaman, hangi metne, hangi seçimle rıza verildiğinin kaydı tutulmalı.

Metni sonradan güncellediğinizde eski rızaların eski metne ait olduğunu gösterebilmelisiniz. Pratikte bu, rıza kaydında metin sürümünün de saklanması demek.

Çerez kullanmadan ölçüm mümkün mü

Mümkün ve giderek yaygınlaşıyor. Mantık şu. Ziyaretçinin cihazına hiçbir şey yazmazsanız kural devreye girmiyor.

Bunun için ziyaretçi ayrımı sunucu tarafında yapılıyor. Genelde IP ve tarayıcı bilgisinden, günlük değişen bir gizli anahtarla geri çevrilemez bir imza üretiliyor. IP saklanmıyor, imza ertesi gün değiştiği için aynı kişi yeni biri gibi görünüyor.

Bu yöntemin bir bedeli var. Aynı ağdan bağlanan iki kişi tek ziyaretçi sayılabiliyor ve kişiyi haftalar boyunca takip edemiyorsunuz. Çoğu işletme için bu kayıp, çerez bandının getirdiği sürtünmeden küçük.

Kendi sitemizde bu yolu seçtik. Ölçüm tamamen kendi sunucumuzda çalışıyor, ziyaretçinin cihazına çerez de yerel depolama da yazmıyoruz. Bu yüzden sitemizde çerez bandı yok.

Google Analytics kullanıyorsanız

Google Analytics çerez kullanıyor ve rıza gerektiriyor. Yani rıza öncesi çalışmamalı.

Bunun bir yan etkisi var. Rıza vermeyen ziyaretçiler ölçüme girmiyor ve verileriniz eksik kalıyor. Rıza oranına bağlı olarak gerçek trafiğinizin ancak bir kısmını görüyorsunuz.

Bu, çerezsiz ölçüme geçmenin pratik gerekçelerinden biri. Hem uyum sorunu ortadan kalkıyor hem veri daha eksiksiz oluyor.

VERBİS kaydı size gerekiyor mu

VERBİS, veri sorumlularının kaydolduğu sicil. Herkes için zorunlu değil, belli eşikleri aşanlar için zorunlu.

Eşikler çalışan sayısı ve mali büyüklüğe bağlı, ayrıca bazı sektörler için özel kurallar var. Bu bir mali müşavir ve avukat sorusu, internetten okuyup karar verilecek bir konu değil.

Form topladığınız her yer kapsamda

Çerez tartışması o kadar öne çıkıyor ki formlar unutuluyor. Oysa asıl kişisel veri orada toplanıyor.

İletişim formu, teklif formu, bülten kaydı, iş başvurusu, yorum alanı. Her birinde aydınlatma metnine bağlantı olmalı ve ne için kullanılacağı yazmalı.

Bülten kaydı ayrı bir konu. Ticari elektronik ileti göndermek için ayrı bir izin gerekiyor ve bu izin İYS sistemine kaydediliyor. İletişim formu doldurmuş olmak, pazarlama e-postası göndermek için izin sayılmıyor.

Veri ne kadar saklanmalı

Sınırsız saklamak bir uyum sorunu. Veriyi ancak gerektiği sürece tutabilirsiniz.

Pratikte bu, bir saklama süresi belirlemek ve süresi dolanı otomatik silmek demek. İletişim formu mesajları için örneğin belli bir süre, sipariş kayıtları için mevzuatın gerektirdiği süre.

Önemli nokta şu. Metinde bir süre yazıp uygulamada sonsuza kadar saklamak, metni yanlış beyan haline getiriyor. Yazdığınız süreyi gerçekten uygulayan bir temizlik işi kurun.

Kendi ölçüm verimizi belli bir süre sonra otomatik siliyoruz ve bunu gizlilik metnimizde yazıyoruz. İkisi birlikte yaşamalı, biri diğeri olmadan eksik.

Üçüncü taraf araçlar da sizin sorumluluğunuz

Sitenize koyduğunuz her dış araç veri işliyor olabilir. Sohbet widget'ı, ısı haritası aracı, reklam pikseli, gömülü video.

Bunların hangi veriyi topladığını ve nereye gönderdiğini bilmeniz gerekiyor, çünkü ziyaretçiye karşı sorumlu olan sizsiniz.

Pratik bir alışkanlık, siteye eklenen her dış aracı bir listede tutmak. Liste yoksa altı ay sonra sitede ne olduğunu kimse hatırlamıyor.

Uyum kontrol listesi

• Aydınlatma metni sitede ve anlaşılır bir dilde mi
• Çerez politikası hangi çerezleri kullandığınızı gerçekten listeliyor mu
• Bant, rıza öncesi izleme kodlarını durduruyor mu
• Reddetmek kabul etmek kadar kolay mı
• Önceden işaretli onay kutusu var mı
• Rıza kaydı tutuluyor mu
• Form topladığınız her yerde aydınlatma bağlantısı var mı
• Metinler ne zaman gözden geçirildi, tarihi görünüyor mu

Kim ne yapar

Metinleri avukat hazırlar. Teknik uygulamayı geliştirici yapar. İkisi ayrı iş ve biri olmadan diğeri yeterli değil.

Mükemmel yazılmış bir çerez politikası, bandı yanlış kurulmuş bir sitede işe yaramıyor. Doğru kurulmuş bir bant da, metni olmayan bir sitede eksik kalıyor.

Teknik tarafta yardıma ihtiyacınız olursa yazabilirsiniz. Mevcut kurulumunuza bakıp nerede eksik olduğunu söyleyebiliriz.