Web Sitemde Bir Çerez Yönetimi Var Ama KVKK'ya Uygun mu?

Bir web sitesinde çerez bannerı veya çerez yönetim uygulaması bulunması tek başına KVKK açısından uyumlu olduğu anlamına gelmez. Web sitesinde hangi çerezlerin ve benzeri takip teknolojilerinin kullanıldığı, bunların hangi amaçlarla çalıştığı, kişisel veri işlenip işlenmediği, birinci veya üçüncü taraf olup olmadığı, gerekli durumlarda kullanıcı tercihinin nasıl alındığı ve bu tercihin teknik olarak uygulanıp uygulanmadığı birlikte değerlendirilmelidir. Kişisel Verileri Koruma Kurumu'nun Çerez Uygulamaları Hakkında Rehberi de veri sorumlularına kullanılan çerezleri tespit etme, amaçlarını belirleme, gereksiz çerezleri kaldırma ve kişisel veri işleme faaliyetlerini değerlendirme yönünde bir kontrol yaklaşımı sunmaktadır.

Bu Makalede Neler Öğreneceksiniz?

• Çerez bannerının bulunması neden tek başına yeterli değildir?
• KVKK'nın Çerez Uygulamaları Hakkında Rehberi hangi kontrol noktalarını öne çıkarır?
• Çerez envanteri nasıl oluşturulur ve neden gereklidir?
• Kullanıcı tercihi alınmadan önce hangi scriptler çalışıyor?
• "Reddet" butonunun gerçekten çalıştığı nasıl test edilir?
• Birinci ve üçüncü taraf çerez ayrımı neden önemlidir?
• Çerez politikası teknik envanterle nasıl doğrulanır?
• Çerez yönetiminizi 10 dakikada nasıl kontrol edebilirsiniz?

Web Sitemde Çerez Yönetimi Var. Peki Gerçekten KVKK'ya Uygun mu?

Birçok şirket web sitesinde çerez yönetim uygulaması kullanmaya başladı. Ana sayfaya girildiğinde "Çerezleri kabul et", "Çerez tercihleri" veya "Tümünü reddet" gibi seçenekler gösteriliyor. İlk bakışta her şey doğru görünüyor.

Ancak önemli soru şu: Bu çerez yönetim sistemi gerçekten web sitesinde kullanılan çerezleri kontrol ediyor mu? Çünkü bir çerez bannerının bulunması ile web sitesinde gerçekten etkili bir çerez yönetimi yapılması aynı şey değildir.

Örneğin banner kullanıcıya "Tümünü reddet" seçeneğini sunuyor olabilir. Fakat kullanıcı bu seçeneğe bastıktan sonra web sitesindeki reklam veya analiz scriptleri çalışmaya devam ediyorsa, sistemin teknik davranışı ayrıca incelenmelidir.

Dolayısıyla bir web sitesini değerlendirirken yalnızca "Çerez bannerımız var mı?" sorusunu sormak yeterli değildir. Asıl soru şudur: "Banner arkasındaki çerez yönetimi mekanizması gerçekten çalışıyor mu?"

KVKK'nın Çerez Rehberi Neden Önemli?

Kişisel Verileri Koruma Kurumu tarafından yayımlanan Çerez Uygulamaları Hakkında Rehber, web sitesi ve çevrim içi hizmetlerde çerez kullanımı konusunda veri sorumlularına önemli bir yol haritası sunmaktadır. Rehberde veri sorumlularının örneğin;

• hangi çerezleri kullandığını bilmesi,
• gereksiz çerezleri kaldırması,
• her çerezin amacını belirlemesi,
• hangi verileri işlediğini tespit etmesi,
• kişisel veri işleniyorsa bunun Kanun'a uygunluğunu sağlaması

gibi kontrol noktalarına dikkat çekilmektedir. Bu yaklaşım bize önemli bir şey söylüyor: çerez uyumluluğu banner tasarlamakla değil, çerezleri tanımakla başlar.

1. Önce Web Sitenizde Hangi Çerezlerin Kullanıldığını Bilin

Çerez uyumluluğunun ilk sorusu "Web sitemizde hangi çerezler var?" olmalıdır. Bu soru basit görünse de birçok şirket buna tam olarak cevap veremez. Çünkü web sitesine zaman içerisinde;

• Google Analytics,
• Google Tag Manager,
• Meta Pixel,
• YouTube,
• Google Maps,
• canlı destek,
• reklam platformları,
• sosyal medya araçları,
• CRM entegrasyonları

gibi çok sayıda üçüncü taraf hizmet eklenebilir. Bunların bazıları yeni çerezler veya benzeri takip teknolojileri çalıştırabilir. Sonuç olarak şirket "Biz yalnızca Analytics kullanıyoruz." diye düşünürken web sitesinde çok daha fazla teknoloji çalışıyor olabilir.

KVKK'nın Çerez Uygulamaları Hakkında Rehberi de veri sorumlusunun çevrim içi hizmetinde hangi çerezleri kullandığını veya kullanmayı amaçladığını bilmesini ve her çerezin amacını tespit etmesini önermektedir.

2. Çerez Envanteriniz Var mı?

İkinci soru "Kullandığımız çerezlerin güncel bir listesi var mı?" olmalıdır. İyi bir çerez envanterinde örneğin şu bilgiler bulunabilir:

Bu envanter aynı zamanda çerez politikasının güncel tutulması açısından da önemlidir.

3. Çerezleri Gerçekten Kategorilere Ayırdınız mı?

Birçok web sitesinde zorunlu, analitik ve pazarlama gibi kategoriler bulunuyor. Ancak önemli soru şudur: Bu sınıflandırmayı kim yaptı ve hangi kriterle yaptı?

Bir çerezi yalnızca "analitik" olarak etiketlemek, onun hukuki değerlendirmesini otomatik olarak çözmez. Öncelikle çerezin;

• ne yaptığı,
• hangi veriyi işlediği,
• hangi hizmet tarafından kullanıldığı,
• hangi amaçla çalıştığı

anlaşılmalı, daha sonra uygun kategoride değerlendirilmelidir.

4. "Zorunlu Çerez" Etiketini Gereğinden Fazla Kullanmayın

Burada özellikle dikkat edilmesi gereken bir nokta var. Bir şirket kullandığı her çerezi "zorunlu" olarak tanımlarsa, kullanıcı tercihine tabi olması gereken teknolojileri de zorunlu kategoriye sokmuş olabilir.

KVKK'nın çerez rehberinde çerezlerin gerekliliğinin değerlendirilmesine ilişkin kriterler bulunmaktadır. Kurum ayrıca kararlarında hizmetin sunulması için kesinlikle gerekli olmayan analiz, davranış takibi ve reklam çerezleri bakımından ayrı değerlendirmeler yapmıştır.

Dolayısıyla "bizim için önemli" ile "hizmetin sunulması için kesinlikle gerekli" aynı şey değildir.

5. Kullanıcı Tercihi Alınmadan Önce Hangi Scriptler Çalışıyor?

Bu, bir çerez yönetim sisteminin gerçekten çalışıp çalışmadığını anlamanın en önemli testlerinden biridir. Örneğin kullanıcı web sitesine ilk kez girdi ve henüz hiçbir tercih yapmadı. Bu sırada Analytics, Meta Pixel, remarketing veya reklam scriptleri çalışmaya başlıyor mu?

Eğer çalışıyorsa "Çerezleri daha sonra kullanıcıya soruyoruz." demek teknik açıdan yeterli olmayabilir. Çünkü önemli olan yalnızca bannerın ne zaman gösterildiği değil, tercih gerektiren teknolojilerin ne zaman çalışmaya başladığıdır.

6. "Reddet" Butonuna Bastığınızda Gerçekten Çerezler Duruyor mu?

İşte en pratik testlerden biri. Web sitenizi gizli sekmede açın, henüz tercih vermeden kontrol edin, sonra "Tümünü reddet" seçeneğine basın ve web sitesini teknik olarak inceleyin. Şu sorulara bakın:

• Analiz çerezleri çalışıyor mu?
• Reklam scriptleri çalışıyor mu?
• Üçüncü taraf takip teknolojileri çalışıyor mu?
• Yeni çerezler oluşturuluyor mu?
• Kullanıcı tercihi teknik sisteme yansıyor mu?

Eğer kullanıcı reddetmesine rağmen ilgili teknolojiler çalışmaya devam ediyorsa, sadece bannerın görünmesi yeterli bir uyum göstergesi değildir.

7. "Tümünü Kabul Et" ve "Tümünü Reddet" Seçenekleri Dengeli mi?

KVKK Kurulu'nun çerez uygulamalarına ilişkin bir kararında, açık rıza alınması gereken durumlarda kullanıcıya sunulan "kabul et", "reddet" ve "tercihler" seçeneklerinin eşit derecede sunulmasının iyi uygulama örneği olabileceğine değinilmiştir.

Bu nedenle "Kabul Et", "Reddet" ve "Tercihler" kullanıcının kolayca görebileceği ve anlayabileceği seçenekler olmalıdır. Buna karşılık kabul butonunun büyük ve renkli, ret seçeneğinin küçük ve gri bir bağlantı olarak sunulduğu tasarımlar kullanıcı tercihinin özgürce oluşması açısından ayrıca değerlendirilmelidir.

8. Çerezleri Kabul Etmeden Siteyi Kullanmak Mümkün mü?

Bir başka önemli soru: "Kullanıcı reklam çerezlerini kabul etmezse web sitesini kullanabiliyor mu?" Burada web sitesinin sunduğu hizmetin niteliği önemlidir.

Bazı çerezler hizmetin çalışması için gerçekten gerekli olabilir. Ancak pazarlama veya reklam amacıyla kullanılan bir çerezin kabul edilmesini siteyi kullanmanın şartı hâline getirmek ayrıca değerlendirilmesi gereken bir durumdur. KVKK Kurulu kararlarında da çerezlerin hizmetin sunulmasının ön şartı hâline getirilmemesi konusunda değerlendirmeler bulunmaktadır.

9. Çerez Politikanız Gerçek Çerezleri Gösteriyor mu?

Çerez politikasını açın ve web sitesinin teknik çerez envanteriyle karşılaştırın. Örneğin politika "Web sitemizde üç adet çerez kullanılmaktadır." diyor ama teknik taramada 25 farklı çerez tespit ediliyorsa problem var demektir.

Aynı şekilde politika "Analiz çerezleri kullanılmamaktadır." diyor ama web sitesinde Analytics çalışıyorsa içerik güncel değildir. Bu nedenle çerez politikası ile teknik çerez envanteri birbirini doğrulamalıdır.

10. Çerez Politikasında Çerezlerin Amacı Açıklanıyor mu?

Sadece "Google çerezi" veya "Analytics" yazmak yeterince açıklayıcı olmayabilir. Kullanıcının "Bu çerez ne yapıyor?" sorusunun cevabını bulabilmesi gerekir.

KVKK Kurulu kararında çerezlere ilişkin bilgilendirmede çerezin adı, kullanım amacı, kullanım süresi ve birinci veya üçüncü taraf niteliği gibi bilgilerin açıkça belirtilmesinin yerinde olacağı ifade edilmiştir. Bu nedenle çerez politikanızda mümkün olduğunca;

• çerez adı,
• sağlayıcı,
• amaç,
• süre,
• kategori,
• birinci veya üçüncü taraf niteliği

gibi bilgilerin bulunması faydalıdır.

11. Birinci Taraf ve Üçüncü Taraf Çerezleri Ayırıyor musunuz?

Bu ayrım da önemlidir. Birinci taraf çerez, web sitesinin kendi alan adı tarafından oluşturulan çerezdir. Üçüncü taraf çerez ise başka bir hizmet sağlayıcı tarafından oluşturulan çerezdir.

Örneğin web sitenizde bir reklam veya analiz hizmeti kullanıyorsanız üçüncü taraf teknolojileri devreye girebilir. Bu durumda şirketin "Web sitemizde hangi üçüncü taraf hizmetler çalışıyor?" sorusuna cevap verebilmesi gerekir.

12. Üçüncü Taraf Hizmetlerin Verileri Nereye Gittiğini Biliyor musunuz?

Burada konu yalnızca çerez olmaktan çıkıp kişisel verilerin aktarımı boyutuna da gelebilir. Örneğin bir üçüncü taraf teknoloji;

• kullanıcı davranışı,
• IP adresi,
• cihaz bilgileri,
• çevrim içi tanımlayıcılar

gibi veriler işleyebilir. Bu durumda şirketin ilgili hizmetin hangi verileri işlediğini, hangi amaçla işlediğini, hangi sağlayıcı tarafından sunulduğunu ve verilerin nereye aktarıldığını değerlendirmesi gerekebilir.

Özellikle yurt dışındaki hizmet sağlayıcıların kullanılması hâlinde kişisel verilerin yurt dışına aktarılması bakımından ayrıca değerlendirme yapılması gerekir.

13. "Google Kullanıyoruz" Demek Yeterli Değildir

Şirketlerde sık karşılaşılan bir yaklaşım vardır: "Google araçlarını kullanıyoruz, herkes kullanıyor." Ancak uyum açısından önemli olan "Hangi Google hizmetini, hangi amaçla, hangi yapılandırmayla kullanıyoruz?" sorusudur.

Aynı şekilde "Meta Pixel kullanıyoruz." demek de tek başına yeterli değildir. Hangi verilerin işlendiği ve ilgili teknolojiyle veri akışının nasıl gerçekleştiği incelenmelidir.

Bu nedenle üçüncü taraf hizmetleri bir araç listesi olarak değil, veri işleme faaliyeti olarak değerlendirmek daha sağlıklı bir yaklaşımdır.

14. Çerezler Kişisel Veri İşliyor mu?

Bu sorunun cevabı, çerezin kendisine bakılarak otomatik olarak verilmemelidir. Çerezin oluşturduğu veya ilişkilendirildiği bilgiler bakımından şu sorular değerlendirilmelidir:

• Kullanıcıyı belirli veya belirlenebilir hâle getiriyor mu?
• Başka bilgilerle eşleştiriliyor mu?
• Davranış profili oluşturuluyor mu?

KVKK'nın çerez rehberi de her çerezin hangi verileri işlediğinin ve kişisel veri işlenip işlenmediğinin tespit edilmesini veri sorumluları için kontrol noktalarından biri olarak ortaya koymaktadır.

15. Çerez Yönetim Sisteminiz Scriptleri Gerçekten Kontrol Ediyor mu?

Burası teknik olarak en önemli bölüm. Bir CMP veya çerez yönetim sistemi kullanıyorsanız sistemin yalnızca kullanıcı tercihini almakla yetinmeyip ilgili scriptlerin davranışını da kontrol edebilmesi gerekebilir.

Örneğin kullanıcı pazarlama çerezlerini reddetti, sistem "Tercihiniz kaydedildi." dedi; ama Meta Pixel hâlâ çalışıyor. Bu durumda kullanıcı arayüzü ile teknik uygulama arasında bir uyumsuzluk bulunmaktadır.

Dolayısıyla bir çerez yönetim sistemini değerlendirirken "Banner güzel görünüyor mu?" sorusundan önce "Scriptleri gerçekten kontrol ediyor mu?" sorusunu sormak gerekir.

16. Google Tag Manager Çerez Yönetiminde Kontrol Edildi mi?

Google Tag Manager gibi araçlar web sitesine çok sayıda etiket eklemeyi kolaylaştırır. Bu nedenle çerez yönetimi açısından ayrıca incelenmelidir. Örneğin etiket yöneticisi üzerinden Analytics, Meta Pixel, remarketing ve dönüşüm etiketleri gibi birçok teknoloji çalıştırılabilir.

Çerez yönetim sisteminin yalnızca doğrudan çerezleri değil, bu çerezleri oluşturan veya tetikleyen script ve etiketleri de kontrol edip etmediği incelenmelidir.

17. Kullanıcı Tercihini Sonradan Değiştirebiliyor mu?

İyi bir çerez yönetim sisteminde kullanıcı "Daha önce kabul ettim ama fikrimi değiştirdim." diyebilmelidir. Örneğin sitenin köşesinde sürekli erişilebilir bir "Çerez Ayarları" bağlantısı bulunabilir. Kullanıcı buradan;

• tümünü kabul edebilir,
• tercihlerini değiştirebilir,
• belirli kategorileri açıp kapatabilir.

Bu yapı kullanıcı kontrolünü güçlendirir.

18. Kullanıcı Tercihi Gerçekten Kaydediliyor mu?

Burada da teknik test yapılmalıdır. Örneğin:

1. Siteyi açın.
2. Analitik çerezleri reddedin.
3. Siteyi kapatın.
4. Tekrar açın.
5. Tercihin korunup korunmadığını kontrol edin.

Eğer kullanıcı her girişte yeniden aynı tercihi vermek zorunda kalıyorsa kullanıcı deneyimi açısından problem oluşabilir. Diğer taraftan tercih kaydının ne kadar süre tutulduğu ve nasıl yönetildiği de sistemin tasarımına göre değerlendirilmelidir.

19. Çerez Yönetim Sistemi Sitenizdeki Yeni Çerezleri Fark Ediyor mu?

Web sitesi sürekli değişir. Bugün Google Analytics kullanıyorsunuz; yarın Meta Pixel eklenebilir, bir ay sonra başka bir analiz aracı devreye girebilir.

Bu nedenle çerez yönetimi bir kez kurulup unutulacak bir proje değildir. Yeni script veya hizmet eklendiğinde çerez envanteri değişebilir. KVKK'nın rehberinde de kullanılan veya kullanılması planlanan çerezlerin bilinmesi ve amaçlarının belirlenmesi veri sorumluları açısından kontrol edilmesi gereken hususlar arasında yer almaktadır.

20. Çerez Yönetiminizi Düzenli Olarak Test Ediyor musunuz?

Bir web sitesinin çerez uyumluluğunu bir kez kontrol etmek yeterli olmayabilir. Çünkü;

• web sitesi güncellenir,
• yeni eklentiler yüklenir,
• yeni reklam araçları eklenir,
• ajans değişir,
• Google Tag Manager etiketleri değişir,
• analiz araçları eklenir.

Bu nedenle belirli aralıklarla yeniden tarama yapmak faydalıdır. Özellikle "Geçen yıl çerez yönetimimizi yaptık." ifadesi tek başına yeterli bir güvence değildir.

Web Sitenizin Çerez Yönetimini 10 Dakikada Kontrol Edin

Aşağıdaki hızlı testi uygulayabilirsiniz:

1. Web sitesini gizli sekmede açın.
2. Henüz hiçbir çerez tercihi vermeyin.
3. Tarayıcı geliştirici araçlarından çerezleri ve ağ isteklerini kontrol edin.
4. Kullanıcı tercihi gerektiren teknolojilerin çalışıp çalışmadığını inceleyin.
5. "Tümünü reddet" seçeneğine basın.
6. Çerezleri tekrar kontrol edin.
7. Üçüncü taraf istekleri inceleyin.
8. Çerez politikanızdaki listeyle teknik sonuçları karşılaştırın.
9. Çerez ayarları ekranından tercihinizi değiştirin.
10. Sistemin bu değişikliği gerçekten uyguladığını kontrol edin.

Bu testte ciddi farklılıklar görüyorsanız mevcut çerez yönetim sisteminizi daha ayrıntılı incelemeniz gerekir.

Çerez Uyumluluk Kontrol Listesi

Web siteniz için aşağıdaki listeyi kullanabilirsiniz.

Çerez envanteri

• Web sitemizde kullanılan çerezleri biliyoruz.
• Gereksiz çerezleri tespit ettik.
• Her çerezin amacı belirlenmiş durumda.
• Çerezlerin sürelerini biliyoruz.
• Birinci ve üçüncü taraf ayrımını yaptık.

Hukuki değerlendirme

• Çerezlerin kişisel veri işleyip işlemediğini değerlendirdik.
• Hangi çerezlerin zorunlu olduğunu belirledik.
• Gerekli durumlarda kullanıcı tercihlerini alıyoruz.
• Aydınlatma bilgilerini sağlıyoruz.
• Veri aktarımı boyutunu değerlendiriyoruz.

Teknik uygulama

• Kullanıcı tercihi alınmadan önce ilgili scriptleri kontrol ediyoruz.
• Reddedilen kategoriler çalışmıyor.
• Kullanıcı tercihlerini sonradan değiştirebiliyor.
• Tercih bilgisi sonraki ziyaretlerde uygulanıyor.
• Yeni script ve çerezleri düzenli olarak kontrol ediyoruz.

Dokümantasyon

• Güncel çerez politikamız var.
• Çerez listesi teknik sistemle uyumlu.
• Çerezlerin amacı açıklanıyor.
• Çerezlerin süresi belirtiliyor.
• Üçüncü taraf sağlayıcılar belirlenmiş.

Bu listenin büyük bölümüne "evet" diyemiyorsanız, web sitenizin çerez yönetimini yeniden değerlendirmeniz faydalı olabilir.

Çerez Yönetiminde En Sık Karşılaşılan 10 Hata

1. Sadece banner eklemek: Banner gerçek teknik kontrolün yerine geçmez.
2. Tüm çerezleri "zorunlu" olarak tanımlamak: Çerezlerin gerçekten gerekli olup olmadığı ayrıca değerlendirilmelidir.
3. Kullanıcı reddettiği hâlde scriptlerin çalışması: Bu, arayüz ile teknik uygulama arasında uyumsuzluk yaratabilir.
4. Çerez politikasının eski olması: Teknik sistem değiştiğinde politika da güncellenmelidir.
5. Üçüncü taraf hizmetleri takip etmemek: Yeni araçlar yeni veri akışları oluşturabilir.
6. Google Tag Manager'ı göz ardı etmek: Etiket yöneticileri birçok farklı script çalıştırabilir.
7. İzinleri tek seferlik düşünmek: Kullanıcı tercihini sonradan değiştirebilmelidir.
8. Çerez envanteri oluşturmamak: Ne kullandığınızı bilmeden doğru yönetim yapılamaz.
9. Yurt dışı veri aktarımını ayrıca incelememek: Üçüncü taraf hizmetlerin veri aktarım yapısı ayrıca değerlendirilmelidir.
10. Çerez yönetimini yalnızca hukuk konusu görmek: Gerçek uyum için hukuk, yazılım, pazarlama ve IT ekiplerinin birlikte çalışması gerekebilir.

Çerez Yönetimi İçin Doğru Yaklaşım Nedir?

Sağlıklı bir çerez yönetim sürecini şu adımlarla düşünebiliriz:

1. Keşfet: Web sitesindeki tüm çerez ve takip teknolojilerini tespit et.
2. Sınıflandır: Çerezleri amaçlarına ve niteliklerine göre kategorize et.
3. Değerlendir: Kişisel veri işlenip işlenmediğini ve hukuki gereklilikleri incele.
4. Bilgilendir: Kullanıcıya anlaşılır bilgi sun.
5. Tercih al: Gerekli durumlarda kullanıcıya seçim imkânı sağla.
6. Uygula: Kullanıcı tercihlerini teknik olarak script ve çerezlere yansıt.
7. Kaydet: Tercihleri yönetilebilir ve izlenebilir şekilde sakla.
8. Güncelle: Web sitesi değiştikçe çerez envanterini yeniden kontrol et.

Bu yaklaşım, çerez yönetimini tek seferlik bir banner çalışmasından çıkarıp sürekli yönetilen bir süreç hâline getirir. Bannerın zorunluluğu konusundaki değerlendirme için Çerez Bannerı Zorunlu mu? yazımıza bakabilirsiniz.

Entacookie Bu Sürecin Neresinde?

Bir çerez yönetim çözümünü değerlendirirken yalnızca "Güzel bir banner gösterebiliyor mu?" sorusuna bakmak yeterli değildir. Asıl bakılması gerekenler şunlardır:

• Çerezleri tespit edebiliyor mu?
• Çerezleri kategorize edebiliyor mu?
• Kullanıcı tercihlerini yönetebiliyor mu?
• Scriptleri tercihe göre kontrol edebiliyor mu?
• Kullanıcı tercihlerini sonradan değiştirmesine izin veriyor mu?
• Çerez envanterini güncel tutmaya yardımcı oluyor mu?
• Çerez politikasının güncelliğini destekliyor mu?
• Üçüncü taraf teknolojileri yönetebiliyor mu?

Entacookie'nin konumlandırılması da bu nedenle yalnızca "çerez bannerı" üzerinden yapılmamalıdır. Daha doğru ifadeyle Entacookie, web sitenizdeki çerezleri ve kullanıcı tercihlerini yönetmenize yardımcı olan bir çerez yönetim çözümüdür.

Bir çerez yönetim uygulamasına ihtiyacınız olup olmadığını değerlendirmek için Web Sitemde KVKK Kapsamında Çerez Yönetim Uygulaması Kullanmalı mıyım? yazımızı inceleyebilirsiniz.

Sık Sorulan Sorular

Web sitemde çerez bannerı var. KVKK'ya uyumlu muyum?

Tek başına bannerın bulunması yeterli değildir. Kullanılan çerezlerin, amaçlarının, kişisel veri işleme faaliyetlerinin ve kullanıcı tercihlerinin nasıl uygulandığının birlikte değerlendirilmesi gerekir.

Çerez yönetim sistemimin çalışıp çalışmadığını nasıl test edebilirim?

Web sitesini gizli sekmede açarak, kullanıcı tercihi vermeden hangi scriptlerin çalıştığını ve "tümünü reddet" sonrasında hangi teknolojilerin çalışmaya devam ettiğini kontrol edebilirsiniz.

Kullanıcı çerezleri reddettiğinde Analytics çalışabilir mi?

Kullanılan analitik teknolojinin niteliğine ve somut hukuki değerlendirmeye göre durum değişebilir. Özellikle kullanıcı tercihine tabi olması gereken bir teknoloji söz konusuysa, ret sonrasında teknik davranış ayrıca incelenmelidir.

Çerez politikası ile çerez yönetim sistemi aynı şey mi?

Hayır. Çerez politikası bilgilendirme dokümanıdır. Çerez yönetim sistemi ise kullanıcı tercihlerinin alınması ve teknik olarak uygulanması gibi işlevler sağlayabilir.

Çerez yönetim sistemi kullanmak KVKK uyumunu garanti eder mi?

Hayır. Bir yazılımın kullanılması şirketin bütün KVKK yükümlülüklerini otomatik olarak yerine getirmez. Çerezlerin hukuki değerlendirmesi, veri işleme amaçları, üçüncü taraflar, veri aktarımı ve diğer yükümlülükler ayrıca incelenmelidir.

Çerezler kişisel veri sayılır mı?

Her çerez için otomatik olarak aynı sonuca varılamaz. Çerezin oluşturduğu veya ilişkilendirildiği bilgilerin belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilip ilişkilendirilemediği ve nasıl işlendiği değerlendirilmelidir.

Üçüncü taraf çerezler neden önemlidir?

Üçüncü taraf teknolojiler farklı şirketler tarafından sunulabilir ve kişisel veri işleme veya veri aktarımı bakımından ayrıca değerlendirilmesi gereken süreçler oluşturabilir.

Web sitesine yeni bir script eklediğimde çerez yönetimini tekrar kontrol etmeli miyim?

Evet. Yeni bir analiz, reklam, sosyal medya veya başka bir üçüncü taraf teknolojinin eklenmesi mevcut çerez envanterini ve teknik davranışı değiştirebilir.

Çerez yönetimi bir kere yapılınca yeterli olur mu?

Çerez yönetiminin web sitesindeki değişikliklerle birlikte düzenli olarak gözden geçirilmesi daha sağlıklı bir yaklaşımdır.

Entacookie yalnızca banner mı sunuyor?

Entacookie'nin temel değer önerisi yalnızca banner göstermek değil; web sitesindeki çerezlerin ve kullanıcı tercihlerinin yönetilmesine yardımcı olmaktır. Çözümün teknik kapsamı ayrıca ürün özellikleri ve entegrasyon yapısına göre değerlendirilmelidir.

Sonuç: Çerez Yönetiminiz Var mı, Yok mu Değil; Çalışıyor mu?

Bir web sitesinde çerez yönetim sistemi bulunması iyi bir başlangıçtır. Ancak asıl değerlendirme "Banner var mı?" değil, "Bannerın arkasındaki sistem gerçekten çalışıyor mu?" olmalıdır.

Web sitesinde kullanılan çerezleri bilmek, bunları amaçlarına göre değerlendirmek, gereksiz teknolojileri kaldırmak, kişisel veri işleme boyutunu incelemek, gerekli durumlarda kullanıcı tercihi almak ve bu tercihi teknik olarak uygulamak çerez yönetiminin temel parçalarıdır. KVKK'nın Çerez Uygulamaları Hakkında Rehberi de veri sorumlularına bu yönde somut kontrol noktaları sunmaktadır.

Özellikle şu üç test çok değerlidir:

1. Kullanıcı tercih vermeden önce ne çalışıyor?
2. Kullanıcı "reddet" dediğinde ne çalışmaya devam ediyor?
3. Kullanıcı tercihini değiştirdiğinde sistem gerçekten değişiyor mu?

Bu üç sorunun cevabı, web sitenizdeki çerez yönetiminin yalnızca görsel bir banner mı yoksa gerçekten çalışan bir sistem mi olduğunu anlamanıza yardımcı olabilir.

Sonuç olarak çerez uyumluluğu bir banner tasarımı değil, uçtan uca bir veri ve teknoloji yönetimi sürecidir. Konuyu şirketinizin genel veri uyum yapısıyla birlikte değerlendirmek için KVKK Uyum Süreci Nasıl Yapılır? rehberimize bakabilir, web sitenizdeki çerez ve tercih yönetimi için Entacookie çözümümüzü inceleyebilir ya da bizimle iletişime geçebilirsiniz.

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık niteliğinde değildir. Çerezlerin hukuki niteliği, kişisel veri işleme şartları, açık rıza gerekliliği, üçüncü taraf hizmetlerin kullanımı ve kişisel verilerin yurt dışına aktarılması gibi konular web sitesinin teknik yapısı ve somut veri işleme faaliyetleri dikkate alınarak ayrıca değerlendirilmelidir. Güncel mevzuat ve Kişisel Verileri Koruma Kurumu tarafından yayımlanan güncel rehber, karar ve açıklamalar esas alınmalıdır.