Çerezler, Analytics ve AdSense: KVKK Kapsamında Genel Notlar
Uyarı: Bu metin bilgilendirme amaçlı şablondur; mevzuata uyum için hukuk danışmanına başvurun.
Web sitelerinde çerezler (cookie'ler) yaygın olarak kullanılmaktadır. Çerezler, kullanıcı tercihlerinin saklanması, site analitiği ve reklam sunumu gibi amaçlarla kişisel veri işleyebilir. KVKK kapsamında çerez kullanımının nasıl ele alındığı, Google Analytics ve Google AdSense gibi hizmetlerin genel çerçevede değerlendirilmesi ve pratik öneriler bu yazıda özetlenmektedir. Çerezler, tarayıcıda saklanan küçük metin dosyalarıdır ve kullanıcının cihazına yerleştirilir. KVKK açısından çerezler aracılığıyla toplanan veriler kişisel veri sayılabileceğinden, veri sorumlusu olarak web sitesi sahibi aydınlatma ve gerekli hallerde açık rıza yükümlülükleri ile karşı karşıyadır.
Elektronik iletişim kanallarında çerez kullanımı, Avrupa Birliği ePrivacy direktifi ve benzeri düzenlemelerde de ele alınmaktadır. Türkiye'de KVKK ile birlikte 5651 sayılı Kanun ve ilgili mevzuat da elektronik ortamda veri işlemeyi kapsayabilir. Bu metin genel çerçeve niteliğindedir; somut durumunuz için hukuk danışmanına başvurmanız önerilir.
Çerez Türleri
Çerezler işlevlerine göre kabaca şu gruplarda değerlendirilebilir:
- Zorunlu çerezler: Sitenin temel işlevlerini (oturum yönetimi, güvenlik vb.) sağlamak için gerekli olan çerezler. Genellikle kullanıcı onayı olmadan kullanılabilir; ancak aydınlatma yapılması önerilir.
- Tercih çerezleri: Dil, tema gibi kullanıcı tercihlerini hatırlayan çerezler.
- Analitik çerezler: Ziyaretçi sayısı, sayfa görüntüleme, trafik kaynakları gibi istatistiklerin toplanması için kullanılan çerezler. Google Analytics bu kategoride değerlendirilebilir.
- Reklam çerezleri: Kişiselleştirilmiş reklam sunmak için kullanıcı davranışlarını izleyen çerezler. Google AdSense reklam çerezleri kullanmaktadır.
Analitik ve reklam çerezleri genellikle kişisel veri işleme kapsamına girebileceği için KVKK'nın aydınlatma ve açık rıza hükümleri göz önünde bulundurulmalıdır. First-party çerezler (sitenin kendisi tarafından konan) ile third-party çerezler (reklam ağı, Analytics sağlayıcısı tarafından konan) ayrımı da yapılabilir; her iki türün de aydınlatma metninde ve çerez politikasında belirtilmesi önerilir.
Google Analytics ve KVKK
Google Analytics, ziyaretçi istatistikleri toplamak için kullanılan yaygın bir araçtır. IP adresi, cihaz bilgisi, ziyaret edilen sayfalar gibi veriler işlenebilir. Google Analytics 4 (GA4) ve evvelki Universal Analytics sürümleri, _ga, _gid gibi çerezler kullanır. Bu veriler, kullanıcıyı dolaylı olarak tanımlayabileceği için kişisel veri kapsamında değerlendirilebilir. Veri sorumlusu olarak siz, Analytics verilerinin toplanmasından ve işlenmesinden sorumlusunuz; Google ise veri işleyen sıfatıyla bu verileri sizin adınıza işler. Analytics kullanımınızın aydınlatma metninde belirtilmesi, çerez politikasında açıklanması ve gerekli hallerde çerez onayı almadan Analytics çerezlerinin yüklenmemesi önerilir. Google'ın sunucuları ABD ve diğer ülkelerde bulunduğundan, yurt dışı veri aktarımı hususunun da aydınlatma metninde ele alınması tavsiye edilir. Bu veriler KVKK kapsamında kişisel veri olarak değerlendirilebilir. Veri sorumlusu (web sitesi sahibi), Analytics kullanırken aydınlatma metninde bu durumu belirtmeli ve gerekli hallerde çerez onayı (açık rıza) mekanizması kullanması önerilir. Verilerin Google sunucularına gönderilmesi yurt dışına veri aktarımı sayılabileceği için bu konuda da mevzuata uygun önlemler alınması tavsiye edilir.
Google AdSense ve Çerezler
Google AdSense, reklam gösterimi amacıyla çerezler kullanır. Reklamların hedeflenmesi, tıklanma ölçümü gibi işlemler için kullanıcı verileri işlenebilir. AdSense kullanan site sahipleri, bu çerezlerin varlığını çerez politikasında açıklamalı ve kullanıcılara onay seçeneği sunmaları genel olarak önerilir. Google'ın kendi gizlilik politikası ve veri işleme şartları bulunmaktadır; bu metinlerin incelenmesi ve kendi aydınlatma metninizle uyumlu hale getirilmesi önerilir.
Çerez Onay (Consent) Mekanizması
Çerez onay mekanizması, kullanıcıların analitik ve reklam çerezlerinin kullanımına onay vermesi veya reddetmesi için kullanılan araçlardır. Pop-up, banner veya ayarlar sayfası gibi yöntemlerle sunulabilir. Önce zorunlu olmayan çerezlerin devreye girmeden kullanıcıya seçim hakkı tanınması (opt-in yaklaşımı) genel olarak önerilir. Çerez yönetim paneli ile kullanıcıların tercihlerini değiştirebilmesi de pratik bir uygulama olarak değerlendirilmektedir.
Çerez Politikası
Çerez politikası, sitede kullanılan çerezlerin türlerini, amaçlarını, saklama sürelerini ve kullanıcı haklarını açıklayan bir metindir. Çerez politikası ayrı bir sayfada tutulabileceği gibi, gizlilik politikası veya aydınlatma metninin bir bölümü olarak da sunulabilir. Önemli olan, kullanıcının hangi çerezlerin kullanıldığını, ne amaçla kullanıldığını ve tercihini nasıl değiştirebileceğini anlayabilmesidir. Çerez politikası, yeni çerez eklenmesi veya mevcut çerezlerin kullanım amacının değişmesi durumunda güncellenmelidir. Önemli değişikliklerde kullanıcıya bildirim yapılması (örneğin banner veya e-posta) genel olarak önerilir. Çerez politikası sayfasına site footer'ından ve çerez banner'ından kolay erişim sağlanması kullanıcı deneyimi açısından faydalıdır. Aydınlatma metni ile birlikte veya ayrı bir sayfada yer alabilir. Çerez politikasının sade, anlaşılır ve güncel tutulması önerilir. Çerez tablosu (cookie table) formatında her çerezin adı, türü, amacı, saklama süresi ve sağlayıcı bilgisi verilebilir. Avrupa Birliği ePrivacy direktifi veya benzeri düzenlemeler farklı ülkelerde geçerli olabileceğinden, hedef kitlenize göre ek gereklilikler söz konusu olabilir; bu konuda hukuk danışmanına danışmanız tavsiye edilir.
Çerez Öncesi ve Sonrası Seçenek
Pratikte iki temel yaklaşım bulunmaktadır: opt-in (kullanıcı önce onay verir, ardından çerezler devreye girer) ve opt-out (çerezler varsayılan olarak aktif, kullanıcı reddedebilir). KVKK ve birçok uluslararası rehber açısından opt-in yaklaşımının tercih edilmesi genel olarak önerilir. Analitik ve reklam çerezleri için kullanıcıya seçim hakkı tanınmadan önce bu çerezlerin yüklenmemesi, birçok hukuk sisteminde beklenen davranış olarak değerlendirilmektedir.
Pratik Öneriler
Çerez kullanımınızı envanterleyin; hangi çerezleri, hangi amaçla kullandığınızı listeleyin. Aydınlatma metni ve çerez politikasında bu bilgileri açıklayın. Analitik ve reklam çerezleri için çerez onay mekanizması kurulması genel olarak önerilir. Yurt dışı veri aktarımı söz konusuysa (Google sunucuları gibi) bu durumu metinlerde belirtin ve gerekli hukuki sebepleri değerlendirin. Bu öneriler genel çerçeve niteliğindedir; somut uygulamanız için hukuk danışmanına başvurmanız tavsiye edilir. Google Analytics 4 veya Universal Analytics kullanıyorsanız, IP anonimleştirme gibi ayarların açık olup olmadığını kontrol etmeniz önerilir. Reklam kişiselleştirmesini kapatma seçeneği sunulması da kullanıcı kontrolü açısından değerlendirilebilir.
IP Adresi ve Teknik Veriler
Web sitelerinde ziyaretçi IP adresi, tarayıcı türü, işletim sistemi gibi teknik veriler otomatik olarak toplanabilir. Bu veriler sunucu loglarında, Analytics raporlarında veya güvenlik araçlarında kayıt altına alınabilir. IP adresi tek başına veya diğer verilerle birleştirildiğinde kişiyi tanımlayabileceği için kişisel veri kapsamında değerlendirilebilir. Aydınlatma metninde bu tür otomatik veri toplamanın belirtilmesi, saklama sürelerinin açıklanması önerilir. Web Application Firewall (WAF), CDN veya bot koruma hizmetleri kullanan siteler, bu hizmetlerin de veri işleyen sıfatıyla değerlendirilebileceğini göz önünde bulundurmalıdır; ilgili veri işleme faaliyetlerinin aydınlatma metninde yer alması tavsiye edilir. Bu veriler de kişisel veri sayılabileceğinden aydınlatma metninde belirtilmesi önerilir. Sunucu logları, güvenlik amacıyla belirli süre saklanabilir; saklama süresinin makul olması ve aydınlatma metninde açıklanması genel olarak tavsiye edilir. Çerez kullanımı ile log kayıtları ayrı ele alınabilir; her ikisi için de bilgilendirme yapılması önerilir.