Çerez Politikaları
Çerezler, bir web sitesini ziyaret eden kullanıcının tarayıcısına kaydedilen ve sonraki ziyaretlerde okunabilen küçük metin dosyalarıdır. Web sitesi sunucusu, tarayıcıya gönderdiği yanıt başlıkları aracılığıyla çerez oluşturabilir; tarayıcı da bu dosyayı belirlenen süre boyunca saklar. Çerez politikası, bir web sitesinde hangi çerezlerin hangi amaçlarla kullanıldığını, bu çerezlerin saklama sürelerini, hukuki dayanaklarını ve kullanıcıların tercihlerini nasıl yönetebileceğini açıklayan kurumsal bir metindir. Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında çerezler, kişisel veri işleme faaliyeti olarak değerlendirilebilir. Bu nedenle çerez politikaları, yalnızca teknik bir bilgilendirme metni değil; aynı zamanda şeffaflık, hesap verebilirlik ve hukuka uygunluk ilkelerinin uygulandığı bir uyum aracıdır.
Çerezlerin Teknik Yapısı ve Sınıflandırılması
Çerezler, tarayıcı ile web sunucusu arasındaki oturum bilgisini, kullanıcı tercihlerini veya site içi etkileşim verilerini saklamak için kullanılır. Teknik olarak çerezlerin birçok özelliği bulunur. Bunlar arasında ad, değer, alan adı, yol, son kullanma tarihi, güvenlik ve erişilebilirlik nitelikleri yer alır. Oturum çerezleri, kullanıcı tarayıcıyı kapatana kadar geçerliyken; kalıcı çerezler belirli bir son kullanma tarihine kadar saklanır. Birinci taraf çerezler, doğrudan ziyaret edilen web sitesi tarafından oluşturulur. Üçüncü taraf çerezler ise siteye eklenen harici hizmetler, reklam ağları veya analiz araçları tarafından yerleştirilebilir.
Çerezlerin sınıflandırılması, politika metinlerinde amaç ve hukuki dayanak ayrımının doğru yapılabilmesi için önemlidir. Zorunlu çerezler, web sitesinin temel işlevlerini yerine getirmesi için gereklidir; örneğin oturum yönetimi, güvenlik doğrulaması veya form verilerinin korunması bu kapsamda değerlendirilebilir. İşlevsel çerezler, dil seçimi veya görüntüleme tercihleri gibi kullanıcı deneyimini kolaylaştıran özellikleri destekler. Analitik çerezler, ziyaretçi sayıları, sayfa görüntüleme istatistikleri ve site performansı hakkında veri toplar. Pazarlama ve reklam çerezleri ise kullanıcı ilgi alanlarına yönelik içerik veya reklam sunmak amacıyla kullanılabilir. Sosyal medya çerezleri, siteye entegre edilen sosyal paylaşım araçlarının çalışmasını sağlar.
Çerezlerin Hukuki Çerçevesi
GDPR, kişisel verilerin işlenmesinde hukuka uygunluk, dürüstlük ve şeffaflık ilkelerini esas alır. Çerezler aracılığıyla toplanan veriler, doğrudan veya dolaylı olarak bir kişiyi tanımlanabilir kılıyorsa kişisel veri niteliği taşır. Bu durumda veri sorumlusunun işleme faaliyeti için geçerli bir hukuki dayanak belirlemesi gerekir. GDPR kapsamında rıza, sözleşmenin ifası, hukuki yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat gibi dayanaklar bulunur. Bununla birlikte elektronik haberleşme gizliliğine ilişkin düzenlemeler, zorunlu olmayan çerezler için genellikle önceden bilgilendirme ve rıza gerektirir.
Türkiye'de KVKK, kişisel verilerin işlenmesine ilişkin genel çerçeveyi belirler. KVKK kapsamında kişisel verilerin işlenmesi için ilgili kişinin açık rızası veya kanunda öngörülen diğer işleme şartlarından birinin bulunması gerekir. Çerezler yoluyla kişisel veri işlenmesi hâlinde veri sorumlusu, aydınlatma yükümlülüğünü yerine getirmeli ve gerekli durumlarda açık rıza almalıdır. Elektronik haberleşme sektörüne ilişkin ikincil düzenlemeler de çerezlerin kullanımına dair ek yükümlülükler getirebilir. Bu nedenle çerez politikası, yalnızca KVKK veya yalnızca GDPR odaklı değil; faaliyet gösterilen ülke ve hizmet verilen kullanıcı kitlesi dikkate alınarak hazırlanmalıdır.
Aydınlatma ve Açık Rıza Süreçleri
Çerez politikasının temel işlevlerinden biri, kullanıcıyı çerezler konusunda anlaşılır biçimde bilgilendirmektir. Aydınlatma metni, hangi çerezlerin kullanıldığını, hangi verilerin toplandığını, işleme amaçlarını, hukuki dayanakları, saklama sürelerini, verilerin aktarılıp aktarılmadığını ve kullanıcıların haklarını içermelidir. Açık rıza söz konusu olduğunda rızanın belirli bir konuya ilişkin, bilgilendirilmiş ve özgür iradeye dayalı olması gerekir. Rıza beyanı, hizmetin sunulması için zorunlu olmayan çerezler bakımından alınmalıdır.
Çerez tercihlerinin kategoriler hâlinde sunulması, rızanın ayrıştırılabilir olmasını sağlar. Kullanıcı, analitik çerezleri kabul ederken pazarlama çerezlerini reddedebilmelidir. Rızanın geri alınması da en az rıza verilmesi kadar kolay olmalıdır. Çerez politikasında, kullanıcıların tercihlerini diledikleri zaman değiştirebileceği, tarayıcı ayarları üzerinden çerezleri silebileceği veya engelleyebileceği açıklanmalıdır. Veri sorumlusu, rıza kayıtlarını doğru, güncel ve ispatlanabilir biçimde saklamalıdır. Önceden işaretlenmiş kutucuklar, sessiz onay veya yalnızca siteyi kullanmaya devam etmenin rıza sayılması gibi yöntemler geçerli rıza ölçütlerini karşılamaz.
Çerez Politikasının İçeriği
Kurumsal bir çerez politikası, veri sorumlusunun kimliği ve iletişim bilgileriyle başlamalıdır. Politika metninde çerezlerin tanımı, kullanım amaçları ve hukuki dayanaklar açıkça belirtilmelidir. Kullanılan çerezler; ad, sağlayıcı, amaç, tür ve saklama süresi bazında tablo veya liste hâlinde gösterilebilir. Zorunlu çerezler, işlevsel çerezler, analitik çerezler ve pazarlama çerezleri gibi sınıflar ayrı ayrı açıklanmalıdır. Çerezler aracılığıyla toplanan verilerin yurt içinde veya yurt dışında üçüncü kişilerle paylaşılıp paylaşılmadığı, hangi aktarım mekanizmalarının kullanıldığı ve hangi güvenlik tedbirlerinin uygulandığı belirtilmelidir.
Politikada ayrıca kullanıcıların hangi haklara sahip olduğu ve bu hakları nasıl kullanabileceği açıklanmalıdır. GDPR kapsamında erişim, düzeltme, silme, işlemeyi kısıtlama, itiraz etme, veri taşınabilirliği ve rızayı geri çekme hakları bulunur. KVKK kapsamında ise ilgili kişiler, kişisel verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme, silme veya yok edilmesini isteme, otomatik sistemlerle analiz sonuçlarına itiraz etme ve zararın giderilmesini talep etme gibi haklara sahiptir. Politika metni, yürürlük tarihi ve sürüm numarası içermeli; güncelleme hâlinde kullanıcıların nasıl bilgilendirileceği açıklanmalıdır.
Çerez Yönetimi ve Teknik Uygulamalar
Çerez uyumunun sağlanmasında teknik altyapı ve hukuki metin birlikte ele alınmalıdır. Çerez yönetim platformları, kullanıcı tercihlerinin toplanması, saklanması ve gerektiğinde güncellenmesi için kullanılabilir. Bu platformlar aracılığıyla çerez kategorileri gösterilir, kullanıcıların seçimleri kaydedilir ve sayfa yüklenmeden önce yalnızca zorunlu çerezler çalıştırılır. Çerezlerin tarayıcı tarafındaki teknik nitelikleri de önem taşır. Secure ve HttpOnly nitelikleri, çerezlerin güvenliğini artırmaya yardımcı olur. SameSite niteliği, siteler arası isteklerde çerezlerin nasıl gönderileceğini belirler. Alan adı ve yol parametreleri, çerezin hangi alt alan adlarında geçerli olacağını sınırlandırabilir.
Kullanıcılar, tarayıcı ayarları üzerinden çerezleri görüntüleyebilir, silebilir veya engelleyebilir. Tarayıcıların gizli mod, izleme koruması ve üçüncü taraf çerez engelleme gibi özellikleri, çerez davranışını etkileyebilir. Bununla birlikte tarayıcı ayarları, web sitesinin kendi çerez politikası ve rıza yönetimi yükümlülüklerinin yerini almaz. Çerez dışında kalan yerel depolama, piksel etiketleri, yazılım geliştirme kitleri ve sunucu tarafı izleme yöntemleri de benzer gizlilik gerekliliklerine tabi olabilir. Bu nedenle çerez politikası, yalnızca HTTP çerezlerini değil; kişisel veri toplayan diğer teknolojileri de kapsayacak şekilde hazırlanmalıdır.
Uyum Sürecinde Kayıt ve Denetim
Çerez uyumu, tek seferlik bir metin hazırlama işlemi değildir. Veri sorumlularının çerez envanteri oluşturması, kullanılan tüm çerezleri ve benzeri teknolojileri düzenli olarak taraması gerekir. Envanterde her çerezin adı, sağlayıcısı, amacı, kategorisi, saklama süresi ve hukuki dayanağı yer almalıdır. Siteye yeni bir analiz aracı, reklam hizmeti veya sosyal medya bileşeni eklendiğinde çerez politikası ve rıza akışı güncellenmelidir. Rıza kayıtları, kullanıcı tercihlerinin ispatlanabilmesi için saklanmalı; kayıtların saklama süresi de veri minimizasyonu ilkesine uygun belirlenmelidir.
Üçüncü taraf hizmet sağlayıcılarla yapılan sözleşmelerde veri işleme, gizlilik ve güvenlik yükümlülükleri açıkça düzenlenmelidir. Çerezlerin neden olduğu gizlilik riskleri, veri koruma etki değerlendirmesi kapsamında ele alınabilir. Periyodik denetimler, çerez politikasının güncel mevzuata ve fiilî uygulamaya uygunluğunu kontrol etmeyi sağlar. Ayrıca kullanıcı taleplerinin yanıtlanması, erişim ve silme başvurularının işlenmesi için iç prosedürler oluşturulmalıdır. Bu süreçler, hesap verebilirlik ilkesinin somut adımlarıdır.
Kullanıcı Hakları ve Başvuru Yolları
Çerezler yoluyla kişisel verisi işlenen kullanıcılar, mevzuat kapsamında belirli haklara sahiptir. GDPR bakımından ilgili kişiler, verilerine erişme, yanlış verilerin düzeltilmesini isteme, silme hakkını kullanma, işlemeyi sınırlandırma, işlemeye itiraz etme ve veri taşınabilirliği talep etme hakkına sahiptir. Kullanıcılar ayrıca verdikleri rızayı her zaman geri çekebilir. Rızanın geri çekilmesi, geriye dönük olarak rıza öncesi işlemeyi hukuka aykırı hâle getirmez; ancak sonraki işlemeyi durdurur. KVKK kapsamında ilgili kişiler, veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme gibi haklara sahiptir.
Başvuruların etkin şekilde yanıtlanabilmesi için çerez politikasında veri sorumlusunun iletişim kanalları ve başvuru yöntemleri belirtilmelidir. Kullanıcılar, taleplerine yanıt alamadıkları veya işlemenin hukuka aykırı olduğunu düşündükleri durumlarda ilgili denetim otoritesine şikâyette bulunabilir. Türkiye'de Kişisel Verileri Koruma Kurulu, KVKK kapsamındaki başvuruları değerlendirir. Avrupa Birliği'nde ise her üye devletin veri koruma otoritesi bulunur. Çerez politikası, bu hak ve başvuru yollarını sade bir dille açıklamalı; hukuki metin ile teknik uygulama arasında tutarlılık sağlanmalıdır.
Çerez Politikasının Güncellenmesi ve Sürdürülmesi
Çerez politikası, web sitesinin teknolojik altyapısı ve hukuki gereklilikler değiştikçe güncellenmelidir. Yeni çerez kategorileri eklenmesi, mevcut çerezlerin kaldırılması, saklama sürelerinin değişmesi veya mevzuat güncellemeleri politika metnine yansıtılmalıdır. Güncelleme sırasında sürüm numarası ve yürürlük tarihi belirtilmeli; önemli değişikliklerde kullanıcıların bilgilendirilmesi için uygun yöntemler kullanılmalıdır. Politika metni, hukuk, bilgi teknolojileri, güvenlik ve uyum birimlerinin ortak çalışmasıyla hazırlanabilir.
Çerez politikasının sürdürülebilirliği, düzenli gözden geçirme ve kayıt tutma faaliyetlerine bağlıdır. Kullanıcı tercihleri, rıza kayıtları ve çerez envanteri belirli aralıklarla kontrol edilmelidir. Web sitesinde kullanılan üçüncü taraf hizmetlerin çerez uygulamaları da izlenmeli; sağlayıcı değişiklikleri politika üzerinde etkili olabileceğinden gerekli güncellemeler yapılmalıdır. Bu yaklaşım, çerezlerin yol açabileceği gizlilik risklerinin yönetilmesine ve kullanıcı güveninin korunmasına katkı sağlar. Çerez politikası, doğru bilgi, açık rıza ve düzenli denetim ile birlikte ele alındığında KVKK ve GDPR uyumunun temel bileşenlerinden biri hâline gelir.
