Web Siteniz KVKK’ya Uygun mu?

Çerez Uyarılarıyla İlgili 7 Kritik Hata

Günümüzde internet kullanıcılarının kişisel verilerinin korunması, hem hukuki hem de etik açıdan büyük önem taşıyor. Türkiye’de bu konudaki yasal çerçeveyi Kişisel Verilerin Korunması Kanunu (KVKK) oluşturuyor. Özellikle web siteleri için çerez kullanımıyla ilgili düzenlemeler, işletmelerin sıklıkla göz ardı ettiği bir alan. Oysa ki, KVKK kapsamında uygun şekilde düzenlenmeyen çerez uyarıları ciddi idari yaptırımlara ve marka itibarının zedelenmesine yol açabiliyor.

Bu yazıda, web sitenizin KVKK’ya uygun olup olmadığını değerlendirmenize yardımcı olacak şekilde çerez uyarılarıyla ilgili en sık yapılan 7 kritik hatayı detaylarıyla ele alacağız.

1. Açık Rıza Almadan Çerez Yerleştirmek

Belki de en yaygın ve en riskli hata, kullanıcıdan açık rıza alınmadan çerezlerin tarayıcıya yerleştirilmesidir. KVKK uyarınca, kişinin cihazına çerez bırakılmadan önce bilgilendirme yapılması ve rızasının açık biçimde alınması gerekmektedir.

Kullanıcı henüz “Kabul ediyorum” dememişse, onun tarayıcısına üçüncü taraf analiz çerezlerini (örneğin Google Analytics) yerleştirmek yasal değildir. “Sitenin kullanılması çerezlerin kabul edildiği anlamına gelir” şeklindeki ifadeler açık rıza yerine geçmez..KVKK’ya göre bu durum hukuka aykırı veri işleme anlamına gelir.

 Kullanıcıya çerez kategorileri hakkında bilgi verilmeli ve sadece onay verdiği çerez türleri aktif edilmelidir.

2. Tüm Çerezler için Tek Bir Onay Kutusu Sunmak

Birçok web sitesinde, “Çerezleri kabul ediyorum” şeklinde tek bir butonla tüm çerezlere onay alınmaya çalışılır. Oysa ki KVKK, rızanın özgür irade ile ve her kategori için ayrı ayrı verilmesini şart koşar. Reklam, analiz ve işlevsel çerezleri birbirinden ayırmadan kullanıcıya tek seçenek sunulması, özgür iradeye dayalı açık rızanın ihlali anlamına gelir.

• Zorunlu olmayan çerezler (ör. reklam, performans, analiz) için ayrı ayrı onay alma yükümlülüğü vardır.
  
• Bu yapılmadığında rıza geçersiz sayılır ve hukuki dayanak kaybolur.
  

 Kullanıcının her çerez kategorisine ayrı ayrı izin verebileceği bir çerez yönetim paneli sunulmalıdır.

3. Rıza Almadan Üçüncü Taraf Çerezleri Aktifleştirmek

Web siteleri, reklam ağları ya da analiz sağlayıcıları gibi üçüncü taraf hizmetleri kullanırken, bu hizmetlerin çerezleri de ziyaretçinin cihazına yerleştirilebilir. Ancak bu çerezlerin çalışması, kullanıcının açık onayına tabidir.

Bir haber sitesine girdiğinizde, sosyal medya eklentileri (örneğin YouTube videoları veya Facebook yorum kutuları) otomatik yükleniyor ve bu sırada çerez bırakıyor.

• Facebook Pixel, Hotjar, LinkedIn Insight Tag gibi araçlar, açık rıza olmadan çalıştırılamaz.
  
• KVKK açısından, bu tür veri aktarımı yurt dışına kişisel veri aktarımı kapsamında değerlendirilebilir.

 Bu tür çerezlerin ancak kullanıcının onayından sonra çalışmasını sağlayan teknik düzenlemeler yapılmalıdır.

4. Rıza Alındıktan Sonra Geri Alınmasına İzin Vermemek

Bir başka kritik hata da, kullanıcının daha önce verdiği rızayı geri çekmesini mümkün kılmamaktır. KVKK’ya göre kişi, istediği zaman verdiği rızayı geri alabilir. Kullanıcı ilk ziyaretinde “çerezleri kabul et” butonuna tıkladıktan sonra, bir daha bu tercihi değiştirebileceği bir sayfa ya da bağlantı bulamıyor.

• Rızanın geri alınması sürecinin kolay ve erişilebilir olması gerekir.
  
• Aksi halde “verilen rıza her an geri alınabilir” prensibi ihlal edilmiş olur.
  

KVKK uyarınca rıza, her zaman geri alınabilir olmalıdır. Bu imkân sağlanmadığında açık rıza, hukuken geçersiz sayılır. Web sitesinde “Çerez Tercihlerini Güncelle” veya “Çerez Ayarları” gibi bir bağlantı her zaman erişilebilir olmalıdır.

5. Yetersiz veya Belirsiz Bilgilendirme Yapmak

 Sitede “Çerez politikamızı okuyun” linki var ama tıklandığında kullanıcıyı yalnızca İngilizce ve hukuki jargonla dolu bir PDF’ye yönlendiriyor. Çerez politikaları çoğu zaman kullanıcıların anlayamayacağı şekilde teknik ve karmaşık terimlerle yazılmıştır. Bu da bilgilendirme yükümlülüğünün yerine getirilmemesi anlamına gelir. Aydınlatma yükümlülüğü yerine getirilmiş sayılmaz. Bilgilendirme metni Türkçe, erişilebilir, kısa ve anlaşılır olmalıdır.

• KVKK’nın 10. maddesine göre, kullanıcı çerezlerin kim tarafından, ne amaçla, hangi yöntemlerle, ne kadar süreyle kullanıldığını açık ve anlaşılır bir dille bilmelidir.

• Aksi halde yapılan rıza geçersiz olur.

 Kolay anlaşılır bir çerez politikası oluşturulmalı, bu politika uyarı ekranında görünür şekilde linklenmelidir.

6. Zorunlu Çerezlerle Gereksiz Çerezleri Karıştırmak

Ziyaretçinin, siteyi teknik olarak kullanabilmesi için gereken “zorunlu çerezler” ile, performans ya da reklam amaçlı çerezleri birbirinden ayırmadan sunmak büyük bir hatadır. Mesela, bir banka sitesinde, “güvenli oturum yönetimi” gibi teknik zorunluluklar ile “kullanıcı deneyimini artırmak için analiz çerezleri” aynı kategori altında toplanıyor ve kullanıcıya tek seferde sunuluyor.

• Zorunlu çerezler için rıza gerekmez, ancak diğer tüm çerezler için açık rıza alınması zorunludur.
  
• Bu ayrım yapılmazsa kullanıcıyı yanıltıcı bir bilgilendirme yapılmış olur.

 Her çerez türü işlevine göre sınıflandırılmalı ve bu sınıflar açıkça belirtilmelidir:

• Zorunlu
• Performans
• İşlevsel
• Reklam/Üçüncü Taraf
• Zorunlu olmayan çerezler için açık rıza şarttır. Analiz çerezlerini “zorunlu” gibi göstermek, kullanıcıyı yanıltmak anlamına gelir.

7. Çerez Sürelerini Belirtmemek veya Süresiz Tanımlamak

Bir diğer gözden kaçan detay da çerezlerin saklama sürelerinin belirtilmemesidir. Bir web sitesinin çerez politikası “Kişisel veriler yalnızca gerekli olduğu sürece saklanır” diyor ama hangi çerezin ne kadar süreyle tutulduğu bilgisi hiç yer almıyor. KVKK’ya göre, kişisel veriler sadece gerekli olduğu süre boyunca işlenebilir. Bu ifade belirsizdir. Örneğin oturum çerezleri 30 dakika, kalıcı pazarlama çerezi 6 ay  gibi bilgiler açıkça yazılmalı. Aksi takdirde veri minimizasyon ve şeffaflık ilkeleri ihlal edilir.

• Süresi belirsiz veya aşırı uzun tanımlanan çerezler veri minimizasyon ilkesine aykırıdır.
  
• Kullanıcıya saklama süresi belirtilmeden onay alınması, aydınlatma yükümlülüğünün eksik yerine getirilmesi anlamına gelir.
  

 Her çerez için saklama süresi açıkça belirtilmeli ve gereksiz uzunlukta olmamalıdır.

Uyum, Yalnızca Hukuki Değil, Aynı Zamanda Güven Meselesidir

KVKK’ya uygun çerez uygulamaları sadece yasal bir yükümlülük değil, aynı zamanda kullanıcının güvenini kazanmanın da temelidir. Her gün yüzlerce site arasında gezinen internet kullanıcıları, verilerine saygı gösteren platformları fark eder ve tercih eder.

Yukarıda incelediğimiz 7 kritik hata, birçok web sitesinin hala çözemediği sorunlar arasında yer alıyor. Bu hataları tespit edip düzeltmek, sadece cezai yaptırımlardan kaçınmakla kalmaz, markanıza itibar, ziyaretçinize ise güven kazandırır.

 KVKK İhlallerine Yönelik Gerçek Cezalardan Örnek

Gerçek Olay:

2021 yılında bir e-ticaret platformuna, kullanıcıya açık rıza almadan reklam çerezleri bıraktığı gerekçesiyle KVKK Kurulu tarafından 450.000 TL para cezası verildi.

Firma, “Siteyi kullanmaya devam etmeniz, çerezleri kabul ettiğiniz anlamına gelir.” şeklinde bir bilgilendirme yapmıştı. Ancak bu ifade, açık rıza yerine geçmez ve kanuna aykırıdır.

Gerçek Olay 2:

İlgili kişi, bir otel zincirine ait web sitesini ziyaret ettiğinde, çerezler aracılığıyla kişisel verilerinin analiz ve reklam firmalarıyla paylaşıldığını fark etti. Üstelik kullanıcıya bu konuda ayrıntılı bir bilgilendirme yapılmamış ve çerezleri kabul etmesi için açık bir rıza seçeneği sunulmamıştı.

Açık rıza alınmadan pazarlama çerezlerinin kullanılması

Çerez politikasında yeterli ve açık bilgilendirme yapılmaması

Kullanıcıya “çerez tercihlerini yönetme” hakkının sunulmaması

Kurul, web sitesi aracılığıyla işlenen verilerin reklam amaçlı üçüncü taraflara aktarılmasının, açık rıza olmadan gerçekleştiğini belirledi. Bu durumun, KVKK’nın 5. ve 10. maddelerine aykırı olduğu tespit edildi.

Bu tür kararlar, her sektörden şirketin çerez yönetimine önem vermesi gerektiğini net biçimde gösteriyor. Sadece kullanıcı deneyimini değil, hukuki güvenliği de doğrudan etkiliyor.

Web sitenizden kişisel veri işliyorsanız  ki çerez kullanıyorsanız büyük ihtimalle işliyorsunuz  KVKK’ya uyumlu olmak bir seçenek değil, zorunluluktur. Bu nedenle çerez uyarılarını ve yönetim sisteminizi gözden geçirin, varsa yukarıdaki hataları düzeltin ve şeffaf, kullanıcı odaklı bir yaklaşım benimseyin.

Unutmayın: Veri güvenliği, kullanıcı güvenini doğurur.