Web sitesinde çerez izin yönetimi, ekrana bir ‘kabul et’ kutusu koymaktan ibaret değildir. Sağlıklı bir uygulama; kullanılan çerez ve benzer teknolojilerin envanterini, amaç ve taraf sınıflandırmasını, kullanıcıya sunulan tercihleri, etiketlerin bu tercihlere göre çalışmasını, tercihin değiştirilebilmesini ve canlı test kayıtlarını birlikte kapsar. Görünür metin ile arka plandaki teknik davranış aynı şeyi söylemelidir.
Her işletmenin kullandığı araçlar ve veri işleme amaçları farklıdır. Bu nedenle hazır bir metni veya başka bir sitenin kategorilerini kopyalamak yerine gerçek etiketler incelenmelidir. Bu rehber teknik uygulama kontrolü sağlar; veri işleme şartı, açık rıza ve aydınlatma yükümlülüğü için veri sorumlusu kendi durumunu hukuk veya veri koruma uzmanıyla değerlendirmelidir.
1. Önce gerçek çerez ve teknoloji envanterini çıkarın
Envanter yalnız tarayıcıdaki ‘Cookies’ listesinden oluşmaz. HTTP çerezleri yanında local storage, piksel, beacon, sunucu tarafı ölçüm, gömülü video, harita, sohbet aracı, reklam etiketi ve form sağlayıcıları da incelenmelidir. Sayfa türleri, oturum açmış ve açmamış kullanıcılar, mobil ve masaüstü davranışı ayrı test edilebilir.
Her kayıt için ad, sağlayıcı, birinci veya üçüncü taraf oluşu, amaç, saklama süresi, hangi sayfada çalıştığı, hangi veriyi etkilediği ve hangi tercih kategorisine bağlandığı yazılmalıdır. Envanter tarih ve sürüm bilgisi taşımalıdır; çünkü etiket yöneticisi veya üçüncü taraf araç güncellendiğinde yeni çerezler eklenebilir.
2. Çerezleri yalnız isimlerine göre sınıflandırmayın
KVKK Çerez Uygulamaları Hakkında Rehber; çerezleri süre, kullanım amacı ve taraflarına göre açıklar. Zorunlu, işlevsel, performans-analitik ve reklam-pazarlama gibi kategoriler uygulamada yardımcıdır; fakat gerçek veri işleme amacı ve hukuki şart ayrıca değerlendirilmelidir. Bir çereze ‘gerekli’ etiketi vermek onu kendiliğinden gerekli yapmaz.
Zorunlu kategori, kullanıcının açıkça talep ettiği hizmetin sağlanması veya güvenlik gibi gerçekten gerekli işlevlerle sınırlı tutulmalıdır. Analitik ve pazarlama araçları kendi amaçlarıyla açıklanmalı; birden çok amaç taşıyan araçlar en geniş veri kullanımını gizleyecek biçimde tek başlık altında sunulmamalıdır.
3. Tercih paneli anlaşılır ve dengeli olmalıdır
Kullanıcı ilk katmanda neye karar verdiğini anlayabilmelidir. Kabul ve ret seçeneklerinin görünürlüğü, kullanılan dil ve tıklama sayısı arasında yanıltıcı bir dengesizlik oluşturulmamalıdır. Kategorileri yönetme seçeneği, çerezlerin amaçları ve üçüncü taraflar hakkında ayrıntıya ulaşmayı sağlamalıdır. Zorunlu olmayan kategoriler kullanıcı tercihi oluşmadan etkin kabul edilmemelidir.
Açık rıza kullanılıyorsa belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir tercih olması gerekir. 6698 sayılı Kanun’un güncel metni Mevzuat Bilgi Sistemi’nde bulunur. Hukuki metin, teknik davranış ve tercih ekranı aynı veri faaliyetini tarif etmelidir.
4. Etiketler tercih oluşmadan önce nasıl davranıyor?
En sık teknik hata, banner görünürken analitik veya reklam etiketlerinin zaten çalışmış olmasıdır. Varsayılan izin durumu sayfadaki ilgili etiketlerden önce uygulanmalı; kullanıcı seçim yaptığında etiket davranışı güncellenmelidir. Yalnız butonun renk değiştirmesi veya tercihin veritabanına yazılması yeterli değildir.
Google etiketleri kullanılıyorsa Google Consent Mode, kullanıcı tercihlerini desteklenen etiketlere iletmek için kullanılabilir. Consent Mode bir banner değildir ve hukuki uygunluk sağlamaz. Temel ve gelişmiş uygulamaların veri gönderim davranışları farklıdır; işletmenin seçimi hukuki ve teknik değerlendirmeyle yapılmalıdır.
5. Tercih kaydı, süre ve geri çekme
Kullanıcının seçimi hatırlanırken hangi bilginin, ne kadar süreyle ve hangi amaçla saklandığı belirlenmelidir. Tercih kaydı gereğinden fazla tanımlayıcı veri içermemeli; yalnız gerekli kanıt ve sürüm bilgisi tutulmalıdır. Politika veya etiket kapsamı önemli biçimde değiştiğinde eski tercihin geçerliliği yeniden değerlendirilmelidir.
Kullanıcı tercihini daha sonra değiştirebilmelidir. Sayfanın alt kısmındaki ‘Çerez Tercihleri’ bağlantısı veya eşdeğer sürekli erişim noktası, paneli yeniden açmalıdır. Retten kabule ve kabulden rete geçiş, yalnız bir sonraki ziyarette değil, mümkünse mevcut oturumda da doğru etiket davranışını oluşturmalıdır.
6. Üçüncü taraf araçlar ve sorumluluk matrisi
Video, harita, sohbet, reklam, analiz ve A/B test araçları kendi alan adlarından istek gönderebilir. Bu araçların hangi sayfalarda bulunduğu, tercih verilmeden önce yüklenip yüklenmediği ve kullanıcı reddettiğinde alternatif içerik gösterilip gösterilmediği test edilmelidir. ‘Eklenti böyle çalışıyor’ açıklaması envanter ve sorumluluk ihtiyacını ortadan kaldırmaz.
İşletme, web geliştirici, pazarlama ajansı, hukuk danışmanı ve izin yönetim platformu sağlayıcısının sorumlulukları açıkça ayrılmalıdır. Kim envanteri güncelliyor? Kim metni onaylıyor? GTM container’ını kim yayımlıyor? Yeni etiket eklendiğinde kim test ediyor? Bu soruların cevabı yoksa sistem kısa sürede görünür metinden sapabilir.
7. Canlı doğrulama senaryoları
- Yeni ve temiz tarayıcı oturumunda sayfayı açın; tercih öncesi çerezleri ve ağ isteklerini kaydedin.
- Tüm zorunlu olmayan kategorileri reddedin; sayfayı yenileyip davranışın korunduğunu doğrulayın.
- Yalnız analitiğe izin verin; reklam ve diğer etiketlerin çalışmadığını kontrol edin.
- Tüm kategorileri kabul edin; izin çağrıları ile etiketlerin sırasını inceleyin.
- Tercihi sonradan geri çekin; yeni çerez yazımının ve etiket davranışının değiştiğini doğrulayın.
- Form, telefon, WhatsApp, video ve harita gibi önemli işlevleri her senaryoda test edin.
- Mobil, masaüstü ve farklı dil/sayfa şablonlarında panelin erişilebilirliğini kontrol edin.
- Sonucu tarih, container sürümü ve kullanılan test senaryosuyla belgeleyin.
İFİ Yazılım uygulama notu
İFİ Yazılım’da çerez izin yönetimine önce tarayıcı ve etiket envanteriyle başlıyoruz. Çerez politikasındaki isimleri canlı ağ istekleriyle karşılaştırıyor; GTM, Analytics, Ads ve üçüncü taraf etiketlerini amaçlarına göre ayırıyoruz. Ardından kabul, ret ve kategori bazlı seçimleri yeni oturumlarda test ediyoruz. Form ve iletişim ölçümünün kişisel veri taşımamasını, aynı olayın iki kez sayılmamasını ve ret senaryosunda beklenen davranışı ayrıca kontrol ediyoruz.
Bu teknik çalışma, veri sorumlusunun hukuki kararının yerine geçmez. Uygulamanın site mimarisi, formlar, üçüncü taraf araçlar ve ölçüm altyapısıyla birlikte ele alınması gerekir. Web Tasarım ve Geliştirme hizmetinde yönetilebilir içerik, kullanıcı deneyimi, ölçüm ve yayın sonrası kontroller aynı sistemin parçaları olarak planlanır.
Yayına çıkmadan önce kısa kontrol listesi
- Gerçek çerez ve benzer teknoloji envanteri tamamlandı.
- Amaç, taraf, süre ve tercih kategorisi belgelendi.
- Görünür metin ile canlı teknik davranış eşleşiyor.
- Zorunlu olmayan etiketler varsayılan durumda beklenen biçimde yönetiliyor.
- Kabul, ret ve kategori seçimi dengeli ve anlaşılır.
- Tercih sonradan değiştirilebiliyor.
- Üçüncü taraf araçlar ve sorumlular kayıtlı.
- Her tercih senaryosu canlıda test edildi.
- Güncelleme ve yeniden test tetikleyicisi belirlendi.
- Hukuki değerlendirme teknik varsayımlardan ayrıldı.
İzin yönetiminin başarısı yalnız banner’ın görünmesiyle ölçülmez. Kullanıcının seçiminin gerçekten uygulanması, etiketlerin öngörülen sırada çalışması ve sistem değiştiğinde tekrar doğrulanabilmesi gerekir. Bu yaklaşım hem kullanıcı güvenini hem ölçüm verisinin ne anlama geldiğini daha açık hâle getirir.
