Çerez Politikası Örneği

Çerez Politikası

Çerez politikası, bir web sitesinin ziyaretçilerin cihazına yerleştirdiği çerezlerin türlerini, amaçlarını ve sürelerini açıklayan aydınlatma metnidir. Kişisel Verileri Koruma Kurulu'nun 2022 tarihli Çerez Uygulamaları Hakkında Rehberi, zorunlu çerezler dışındaki tüm çerezler için açık rıza alınmasını ve ziyaretçinin tercihlerini yönetebilmesini şart koşar. Politika, bu rızanın dayandığı bilgilendirmeyi sağlar.^[1]

Çerez türleri, rıza mekanizması ve Kurul kararlarındaki ölçütler aşağıda. Sitenin genel veri işleme metni Web Sitesi Gizlilik Politikası Örneği yazımızda, üyelik ilişkisinin şartları ise Kullanım Koşulları ve Üyelik Sözleşmesi Örneği yazımızda anlatılıyor.

Hangi Çerezler İçin Açık Rıza Gerekir?

Sitenin çalışması için kesinlikle gerekli olan çerezler rıza gerektirmez. Oturum, güvenlik, sepet ve çerez tercihinin hatırlanması bu kapsamdadır. İşlevsel, analitik ve reklam çerezleri ise kişisel veri işlediği ve site için zorunlu olmadığı için ancak ziyaretçinin açık rızasıyla kullanılabilir.

Rıza, çerez yerleştirilmeden önce alınır. Kurul, sayfa yüklenir yüklenmez analitik ve reklam çerezlerini çalıştıran ve rızayı sonradan soran siteleri Kanun'a aykırı bulmuştur. Rıza alınana kadar yalnızca zorunlu çerezler çalışır.

En yaygın hata, "siteyi kullanarak çerezleri kabul etmiş olursunuz" bildirimi. Bu bildirim rıza değildir. Kurul, açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmasını arar ve gezinmeye devam etmeyi rıza saymaz.

Çerez Banner'ı Nasıl Tasarlanmalıdır?

Banner, çerez kategorilerini ayrı ayrı kabul ya da reddetme imkanı sunar ve "tümünü reddet" seçeneğini "tümünü kabul et" ile eşit görünürlükte gösterir. Reddetme seçeneğini gizleyen, küçük yazan ya da ikinci ekrana taşıyan tasarım, rızanın özgür iradeyle verilmediği gerekçesiyle geçersiz sayılır.

Önceden işaretli kutular rıza değildir. Kurul, ziyaretçinin işaretini kaldırması gereken varsayılan onaylı kutuları açık rıza olarak kabul etmez. Her kategori varsayılan olarak kapalı sunulur.

Politikada şunlar yer alır:

• Çerezin tanımı
• Zorunlu, işlevsel, analitik ve reklam çerezlerinin ayrı listelenmesi
• Her çerezin adı, amacı, süresi ve sağlayıcısı
• Üçüncü taraf çerezleri ve yurt dışı aktarım bilgisi
• Rıza alma ve geri alma mekanizması
• Tarayıcı üzerinden çerez yönetimi
• İşlemenin hukuki sebebi ve ilgili kişi hakları
• Güncelleme tarihi

Rıza kaydı saklanır. Veri sorumlusu, ziyaretçinin hangi tarihte hangi kategoriye rıza verdiğini ispatlamak zorundadır. Çerez yönetim aracı bu kaydı tutar ve Kurul incelemesinde sunulur.

Analitik Çerezler Rıza Olmadan Kullanılabilir mi?

Kurul rehberi analitik çerezleri açık rızaya bağlar. Google Analytics gibi araçların verileri yurt dışına aktarması ayrıca yurt dışı aktarım şartlarını gündeme getirir. Kurul, e-ticaret sitelerinin rızasız analitik ve reklam çerezi kullanımı için idari para cezası uygulamıştır.

Anonim istatistik istisna olabilir. Kişiyi tanımlamayan, IP adresini kısaltan ve üçüncü tarafa aktarmayan sunucu tarafı istatistikler kişisel veri işlemez ve rıza gerektirmez. Ancak çoğu ticari analitik aracı bu şartı karşılamaz.

Yurt dışı aktarım için standart sözleşme gerekir. Kurulun 2024'te güncellenen aktarım rejimi, yeterlilik kararı bulunmayan ülkelere aktarımı standart sözleşme ve Kuruma bildirim şartına bağlar. Ziyaretçinin rızası tek başına aktarımı hukuka uygun kılmaz ve bu şartlar hizmet sağlayıcısıyla Kişisel Veri İşleme Sözleşmesi Örneği yazımızda anlatılan sözleşmede düzenlenir.

Çerez Politikası Nereye Konur ve Ne Zaman Güncellenir?

Politika, banner'dan tek tıkla ulaşılabilecek biçimde ve site altbilgisinde sürekli erişilebilir olarak yayımlanır. Banner, politikaya bağlantı verir. Politika okunmadan rıza alınması bilgilendirme şartını zedeler.

Güncelleme, çerez envanteri değiştikçe yapılır. Yeni bir analitik ya da reklam aracı eklendiğinde politika güncellenir ve önceki rıza yeni çerezi kapsamadığı için banner yeniden gösterilir. Güncelleme tarihi politikanın başında belirtilir.

Mobil uygulamalarda aynı ilkeler uygulanır. Uygulama içi tanımlayıcılar ve SDK'lar çerezle aynı işlevi görür. Rehber, bu teknolojileri de kapsar ve uygulama ilk açılışta izin ekranı sunar.

Çerez Kurallarına Uymamanın Yaptırımı Nedir?

Kurul, rızasız çerez kullanımını veri güvenliği ve aydınlatma yükümlülüğünün ihlali olarak değerlendirir ve idari para cezası uygular. Ceza tutarları her yıl yeniden değerleme oranıyla artar. Kurul, e-ticaret sektöründeki bir şirkete rızasız çerez kullanımı sebebiyle milyonlarca lira ceza vermiştir.

İlgili kişi de şikayet edebilir. Ziyaretçi, önce veri sorumlusuna başvurur ve otuz gün içinde cevap alamazsa Kurula şikayette bulunur. Şikayette çerez banner'ının ekran görüntüsü ve tarayıcı geliştirici araçlarındaki çerez listesi delil olarak kullanılır ve başvurunun biçimi Kişisel Veri Bilgi Talebi Dilekçesi yazımızda gösterilmiştir.

Ticari elektronik ileti mevzuatı ayrıca uygulanır. Reklam çerezleriyle toplanan veriye dayanarak e-posta ya da SMS gönderilmesi, ileti izni gerektirir. Çerez rızası ileti izni yerine geçmez.

Çerez Politikası Hakkında Sık Sorulan Sorular

Merak edilenlerin başında hangi çerezlerin rıza gerektirdiği ve banner tasarımı geliyor.

Referans ve Kaynaklar

^[1] 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 3, 5, 9, 10 ve 12; Çerez Uygulamaları Hakkında Rehber (Kişisel Verileri Koruma Kurulu, 2022); Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.