Telekom Sektöründe KVKK ve Çerez Yönetimi

Telekom ve İnternet Servis Sağlayıcılarında KVKK’ya Uyumlu Çerez Stratejileri

Telekomünikasyon sektörü ve İnternet Servis Sağlayıcıları (ISS), dijital dünyanın omurgasını oluştururken, aynı zamanda kullanıcı verilerinin en yoğun işlendiği alanların başında gelir. Bu rehber; ISS’lerin trafik verisi, konum bilgisi ve kullanıcı alışkanlıklarını işlerken KVKK (6698 sayılı Kanun) ve 5809 sayılı Elektronik Haberleşme Kanunu kapsamında nasıl bir çerez ve veri yönetimi stratejisi izlemesi gerektiğini, açık rıza süreçlerini ve teknik uyumluluk gerekliliklerini derinlemesine ele alır.

1. Giriş: Dijital Otobanda Veri Güvenliği Neden Kritik?

İnternet Servis Sağlayıcıları (ISS) ve telekom şirketleri, kullanıcıların sadece bir web sitesine erişimini değil, tüm dijital ayak izlerini taşıyan altyapıyı yönetirler. Bir e-ticaret sitesi sadece kendi mağazasındaki hareketleri görürken, bir ISS teorik olarak kullanıcının hangi sitelere girdiğini, ne kadar süre kaldığını ve veri tüketim alışkanlıklarını analiz edebilir. Bu durum, “big data” (büyük veri) açısından muazzam bir pazarlama gücü oluştururken, “veri mahremiyeti” açısından da en riskli senaryolardan birini doğurur.

Kişisel Verileri Koruma Kurumu (KVKK) ve Bilgi Teknolojileri ve İletişim Kurumu (BTK), son yıllarda telekom sektöründeki veri işleme faaliyetlerine yönelik denetimlerini artırmıştır. Özellikle “Deep Packet Inspection” (Derin Paket İnceleme) teknolojileri ve hedefli reklamcılık için kullanılan çerezler, yasal uyumluluk noktasında bıçak sırtı konulardır. Cerezgo olarak bu rehberde, telekom devlerinin ve yerel servis sağlayıcıların yasalara tam uyumlu çerez yönetimini nasıl sağlayacağını ele alıyoruz.

2. Temel Kavramlar: Trafik Verisi, Konum ve Çerez Ayrımı

Konuya girmeden önce, telekom sektörüne özel bazı terimlerin KVKK bağlamında ne ifade ettiğini netleştirelim:

• Trafik Verisi: Bir iletişimin iletimi için gerekli olan, arayan/aranan numara, bağlantı zamanı, süresi ve veri miktarı gibi bilgilerdir. KVKK’ya göre kişisel veridir ve işlenmesi sıkı kurallara tabidir.
• Konum Verisi: Mobil cihazın coğrafi konumunu belirleyen verilerdir. İşlenmesi için kural olarak açık rıza gerekir (Acil yardım çağrıları hariç).
• Üçüncü Taraf Çerezler: ISS’lerin kendi web arayüzleri veya kullanıcıya sundukları katma değerli servisler üzerinden, reklam ağları tarafından yerleştirilen izleyicilerdir.
• Hizmet Analitiği Çerezleri: Ağ optimizasyonu, kota takibi ve servis kalitesini ölçmek için kullanılan teknik çerezlerdir.

3. Hukuki Boyut: Çift Başlı Regülasyon (KVKK ve EHK)

Telekom sektöründe çerez yönetimi sadece KVKK ile sınırlı değildir. 5809 sayılı Elektronik Haberleşme Kanunu (EHK), bu sektör için “lex specialis” (özel kanun) niteliğindedir. Bu durum, çerez politikalarında daha hassas bir denge gerektirir.

Örneğin, bir e-ticaret sitesinde “meşru menfaat” kapsamında değerlendirilebilecek bazı pazarlama faaliyetleri, telekom sektöründe EHK gereği abonenin önceden alınmış, özgür iradeye dayalı açık rızasına tabi olabilir. Özellikle kullanıcıların trafik verilerinin işlenerek profilleme yapılması ve buna göre tarife/kampanya önerilmesi, “Hizmetin ifası için zorunlu” kavramının ötesine geçebilir.

4. Teknik ve İdari Stratejiler: 3 Adımda Uyum

Bir Telekom veya ISS şirketi için ideal çerez yönetim stratejisi şu üç temel üzerine kurulmalıdır:

4.1. Sorumluluk 1: Kapsamlı Çerez Envanteri ve Sınıflandırma

• Zorunlu Çerezler: Online işlem merkezine giriş (login), fatura ödeme oturumunun sürdürülmesi gibi işlemler için gereklidir. Rıza gerektirmez ancak aydınlatma metninde belirtilmelidir.
• Performans Çerezleri: Sayfa yükleme hızları, hata mesajları gibi teknik verileri toplar. Anonimleştirildiği sürece rıza gerektirmeyebilir ancak BTK düzenlemelerine dikkat edilmelidir.
• Pazarlama ve Profilleme Çerezleri: En kritik alandır. Kullanıcının internet gezinti alışkanlıklarına göre reklam göstermek (Behavioral Targeting) kesinlikle AÇIK RIZA gerektirir.

4.2. Sorumluluk 2: Gelişmiş CMP (Consent Management Platform) Kullanımı

Cerezgo gibi gelişmiş bir Çerez Yönetim Platformu (CMP) kullanmak, telekom şirketleri için bir lüks değil zorunluluktur. Çünkü:

• Rızalar granüler (seçimlik) olmalıdır. “Tümünü Kabul Et” dayatması hukuka aykırıdır.
• Kullanıcı rızasını dilediği an, verdiği kolaylıkta geri alabilmelidir.
• Rıza kayıtları (“Log”lar), olası bir BTK veya KVKK soruşturmasında ispat niteliği taşıyacak şekilde zaman damgasıyla saklanmalıdır.

4.3. Sorumluluk 3: Aydınlatma Metni ve Şeffaflık

Aydınlatma metni, “hukuki jargon” yığını olmamalıdır. Bir ISS abonesi, hangi verisinin ağ optimizasyonu için, hangi verisinin reklam hedeflemesi için kullanıldığını net bir dille anlamalıdır. “Hizmet kalitesini artırmak için çerez kullanıyoruz” ifadesi artık yeterli değildir. Hangi partnerlerle veri paylaşıldığı açıkça yazılmalıdır.

5. Sonuç: Güvenli Bir Sağlık Ekosistemi

Telekomünikasyon sektörü, dijital güvenin başladığı noktadır. Bir ISS’nin web sitesinde veya uygulamasında sergilediği şeffaflık, abonenin markaya olan tüm güvenini şekillendirir. Çerezleri sadece bir “reklam aracı” olarak değil, kullanıcı deneyimini iyileştiren şeffaf araçlar olarak konumlandırmak, KVKK cezalarından korunmanın ötesinde, marka itibarını güçlendiren stratejik bir hamledir.

Telekom Sektöründe KVKK ve Çerezler Hakkında Sık Sorulan Sorular