Çerez onayı nasıl olmalı? Kabul ve reddi eşit sunmak

Birçok mağazada çerez penceresi, "siteyi kullanmaya devam ederek çerezleri kabul etmiş sayılırsınız" cümlesinden ibaret bir bildirim olarak başlar. KVKK bunu yeterli görmüyor: zorunlu olmayan çerezler için açık rıza gerekir ve bu rıza, ziyaretçinin bilinçli bir eylemiyle verilmelidir. Yalnızca siteye girmiş olmak rıza anlamına gelmez.

Bu yazıda hangi çerez için izin gerektiğini, çerez penceresinin nasıl kurulacağını, kabul ve reddin neden eşit sunulması gerektiğini ve Sepetya ayarlarının bunlara nasıl karşılık geldiğini anlatıyoruz.

Hangi çerez için izin gerekir?

Kurul'un bir e-ticaret şirketine ilişkin 2022/229 sayılı kararı, ayrımı açıkça koyar: sitenin düzgün çalışması için zorunlu çerezlerde açık rızaya gerek yoktur; reklam, pazarlama ve performans amacıyla çalışan çerezlerin kullanılması ise ilgili kişinin açık rızasına tabidir. Rehber bu ayrımı iki ölçütle somutlaştırır: çerez yalnızca iletişimin elektronik haberleşme şebekesi üzerinden sağlanması için kullanılıyorsa (Kriter A) ya da kullanıcının açıkça talep ettiği hizmet için kesinlikle gerekliyse (Kriter B) izin gerekmez.

Çerez türü	Mağazadan örnek	İzin gerekir mi?
Sepet ve form girdi çerezleri	Sepetteki ürünleri hatırlayan oturum çerezi	Hayır
Kimlik doğrulama çerezleri	Hesaba giriş oturumu	Hayır; oturumlar arasında kalıcı giriş için kullanıcının açık talebi (örneğin "beni hatırla" kutusu) gerekir
Güvenlik çerezleri	Tekrarlanan başarısız giriş denemelerini sınırlayan çerez	Hayır
Çerez tercihini hatırlayan çerez	Verdiğiniz izin kararını saklayan çerez	Hayır
Dil ve para birimi tercihi	Seçimi oturum boyunca hatırlama	Oturum çerezi olarak hayır; seçimin oturumdan sonra da hatırlanması için ayrıca bilgi ve izin önerilir
Birinci taraf ölçüm	Yalnızca ölçüm yapan, verileri üçüncü taraflara iletmeyen, IP'yi maskeleyen ve siteler arası takip yapmayan çerez	Koşullar sağlanırsa Rehber bunu izin gerektirmeyen Kriter B kapsamında değerlendirir; aksi halde evet
Analitik araçlar	Google Analytics 4, Microsoft Clarity, Hotjar	Evet: veriler üçüncü tarafa gider, performans çerezleri izne tabidir
Reklam ve yeniden pazarlama	Meta ve TikTok pikselleri, reklam etiketleri	Evet
Sosyal eklenti izleme çerezleri	Üye olmayanlara yerleştirilen üçüncü taraf çerezler	Evet

Sepet çerezleri için ayrıca bir rıza istememenizin sebebi, işlemenin satış sözleşmesinin kurulması ve ifasıyla doğrudan ilgili olmasıdır; Rehber bu örneği özellikle verir. Reklam amaçlı çerezler ise sıklık sınırlama, pazar analizi ya da hata ayıklama gibi görünüşte masum amaçlarla kullanılsa da reklamcılık kapsamında sayıldığından izin gerektirir.

Geçerli bir açık rıza hangi unsurları taşır?

• Aktif eylem: Rıza, ziyaretçinin bilinçli bir eylemiyle alınır. Kullanıcının herhangi bir eylemine dayanmayan rıza açık rıza sayılmaz; siteye girmiş olmak da rıza değildir.
• Belirli olma: Çerezin amacı, süresi ve birinci ya da üçüncü taraf olduğu belirtilir. "Kişisel verilerimin işlenmesini kabul ediyorum" gibi açık uçlu bir ifade tek başına açık rıza sayılmaz.
• Bilgilendirmeye dayanma: Neye onay verildiği, ziyaretçiye ayrıca ve anlaşılır biçimde anlatılır.
• Özgür irade: Rıza geri alınabilir olmalıdır. Rehber, tercih panelinin sayfanın bir köşesinde küçük bir ikon ya da içeriği engellemeyen ince bir bant olarak durmasını iyi örnek sayar.
• Rıza yorgunluğundan kaçınma: Her ziyarette yeniden sormak yerine, tercihi çerezin ömrüyle orantılı aralıklarla hatırlatmak uygundur.
• Başka metne gömmeme: Reklam çerezleri için rıza, kullanım koşullarına ya da gizlilik bildirimine eklenerek alınamaz; hizmetin ön koşulu da yapılamaz.
• Çerez duvarı yok: Tüm çerezleri kabul etmedikçe içeriği göstermeyen duvar, özgür iradeyi zedeleyebilir ve bu durumda alınan rıza geçerli olmayabilir.
• Opt-in: Kurul, zorunlu olmayan çerezlerin varsayılan olarak çalışmamasını ve ziyaretçinin giriş anında bilinçli eylemle onay vermesini bekler; yalnızca bilgi veren bir pop-up bunun yerine geçmez.

Kabul ve reddi eşit sunmak

Rehberin en somut önerisi şudur: siteye girildiği anda bir çerez yönetim paneli çıkmalı ve panelde "kabul et", "reddet" ve "tercihler" düğmeleri renk, büyüklük ve punto bakımından eşit derecede sunulmalıdır. Panelde çerezler yoluyla kişisel veri işlendiğine dair bir açıklama ya da çerez politikasına bir bağlantı bulunmalı, izin gerektiren çerezler ilk başta pasif gelmelidir. Sonradan tercihi değiştirmek için de kolay erişilen bir yol bırakılmalıdır.

Eşitlik neden önemli? Ret düğmesi soluk bir bağlantıya indirgenir ya da ikinci bir katmana gizlenirse, rızanın özgür iradeyle verildiğini savunmak zorlaşır; Rehber de rızanın geçerliliğini özgür irade unsuruna bağlar. Kaçınmanız gerekenler:

• "Siteyi kullanarak kabul etmiş sayılırsınız" metni.
• Yalnızca "Kabul et" düğmesi olan pencere.
• Reddetmek için birkaç adım gerektiren ya da kabulden belirgin biçimde daha soluk bir ret seçeneği.
• Önceden işaretlenmiş analitik ve pazarlama kategorileri.
• Sayfa içeriğini engelleyen çerez duvarı.

Sepetya çerez penceresi nasıl çalışır?

Ayarlar Online Mağaza › Vitrin ayarları › Çerez izni sayfasındadır.

• Görünüm ve metin: Pencere çubuk, köşe kutusu ya da ortada pencere olarak gösterilir; konumunu seçersiniz. Başlık, açıklama ve düğme metinlerini düzenleyebilirsiniz; boş bıraktıklarınızda varsayılan metin kullanılır.
• Üç seçenek bir arada: "Tümünü reddet", "Tercihleri yönet" ve "Tümünü kabul et" düğmeleri aynı satırda ve aynı boyutta durur. Ret için ayrıntıya girmek gerekmez; ilk ekrandaki tek tıklama yeter.
• Kategoriler: Zorunlu, analitik, pazarlama ve tercihler olarak dörde ayrılır; adlarını ve açıklamalarını düzenlersiniz. Zorunlu kategori kapatılamaz, diğerleri ziyaretçi açana kadar kapalıdır.
• İzin verilmeden yüklenmez: Zorunlu olmayan çerezler ve kodlar, ziyaretçi ilgili kategoriye izin verene kadar yüklenmez. Bir kategori sonradan kapatılırsa ilgili kodların çalışmayı bırakması için sayfa yenilenir.
• Eklentiler kategoriye bağlıdır: Google Analytics 4, Microsoft Clarity ve Hotjar analitik kategorisine; Meta ve TikTok pikselleri pazarlama kategorisine bağlanır. Google Etiket Yöneticisi varsayılan olarak pazarlama kategorisindedir, isterseniz analitiğe alabilirsiniz. Özel kod eklerken de kategoriyi siz seçersiniz.
• Google Consent Mode: Google etiketleri için tüm izin türleri başlangıçta "reddedildi" olarak ayarlanır (güvenlik depolaması hariç) ve ziyaretçi karar verince güncellenir.
• Karar süresi: Ziyaretçinin tercihi birinci taraf bir çerezde yaklaşık altı ay saklanır ve sonra yeniden sorulur. Metinleri ya da kullandığınız kodları önemli ölçüde değiştirdiğinizde "Kaydederken ziyaretçilerden yeniden izin iste" seçeneğiyle herkesten yeniden izin isteyebilirsiniz.
• Sonradan değiştirme: Alt bilgideki "Çerez tercihleri" bağlantısı seçimi her zaman yeniden açar.

Düğmelerin görsel vurgusunun temanızdaki stile göre değişebileceğini unutmayın: pencereyi kendiniz açıp "Tümünü reddet" ile "Tümünü kabul et" düğmelerinin benzer boyutta, benzer yazı tipinde ve benzer görsel ağırlıkta göründüğünü kontrol edin; Rehberin önerdiği eşit sunum budur.

Çerez politikanızda neler yazmalı?

Rehber, aydınlatmanın çerezin adını, kullanım amacını, kullanım süresini ve birinci ya da üçüncü taraf olup olmadığını içermesini tavsiye eder; aydınlatmanın kolayca erişilebilir ve anlaşılır olmasını, birçok başka konuyu içeren karmaşık gizlilik bildirimlerinin tek başına aydınlatma yerine geçmediğini vurgular. Kurul'un 2022/229 sayılı kararı da gizlilik politikasındaki çerez bilgilerinin çerez politikasında da yer almasını ve gizlilik metninden çerez politikasına doğrudan bağlantı verilmesini ister. Üçüncü taraf çerezlerle yurt dışına veri aktarılıyorsa bunun Kanun'un 9. maddesine uygun yapılması gerekir.

Sepetya "Gizlilik ve Çerez Politikası" şablonu zorunlu, analitik, pazarlama ve tercih çerezlerini açıklar ve onayın nasıl yönetileceğini anlatır. "Üçüncü Taraf Hizmetler" bölümünü sizin doldurmanız gerekir: kullandığınız ölçüm ve pazarlama araçlarını, her birinin amacını, saklama süresini ve gizlilik politikası bağlantısını yazın. Şablon yalnızca başlangıçtır; yayınlamadan önce kendi eklentilerinize göre düzenleyin. Aydınlatma ile rızanın farkı için aydınlatma ve açık rıza rehberine bakın.

Çerez penceresi kontrol listesi

• Ziyaretçi siteye ilk girdiğinde pencere görünüyor; zorunlu olmayan çerezler ve kodlar bu ana kadar yüklenmiyor (tarayıcının geliştirici araçlarından kontrol ettim).
• "Reddet", "Tercihler" ve "Kabul et" düğmeleri benzer boyutta, yazı tipinde ve görsel ağırlıkta.
• Analitik, pazarlama ve tercih kategorileri varsayılan olarak kapalı.
• Pencereden çerez politikasına bağlantı veriliyor.
• Alt bilgideki "Çerez tercihleri" bağlantısıyla seçim sonradan değiştirilebiliyor.
• Sitenin kullanımı çerez kabulüne bağlı değil; çerez duvarı yok.
• Her analitik ve reklam eklentisi doğru kategoriye bağlı; özel kodlara kategori seçtim.
• Çerez politikası çerezin adını, amacını, süresini ve birinci ya da üçüncü taraf olduğunu belirtiyor.
• Gizlilik politikası ile çerez politikası birbiriyle tutarlı ve birbirine bağlantı veriyor.
• Metinleri işime göre düzenledim ve bir hukuk danışmanına gösterdim.

Sonraki adım

Sitede bulunması gereken diğer yasal sayfaları 12 sayfa rehberinde, ticari ileti izinlerini ise İYS rehberinde anlattık.

Çerez penceresini Sepetya ile denemek isterseniz hesabınızı oluşturun; ayarları açıp mağazanızı bir ziyaretçi gibi gezerek izin akışını kendiniz kontrol edebilirsiniz.

Bu yazı hukuki/mali danışmanlık değildir.