Çerez Politikalarında Açık Rıza ve Şeffaflık: GDPR ve KVKK Kapsamında Türkiye–Avrupa Birliği Karşılaştırması

GİRİŞ

İnternet siteleri, kullanıcı deneyimini iyileştirmek, oturum bilgilerini saklamak, ziyaretçi davranışlarını analiz etmek ve reklam hizmetlerini kişiselleştirmek amacıyla çerezlerden yararlanır. Ancak çerezlerin kişisel verilerin işlenmesine imkân verebilmesi, kullanıcı gizliliği açısından önemli hukuki ve etik tartışmaları da beraberinde getirmiştir.

Özellikle Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile Türkiye’deki 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel verilerin hangi şartlarda işlenebileceğini ve kullanıcıların bu süreçte nasıl bilgilendirilmesi gerektiğini düzenlemektedir.

Bu yazıda çerez kullanımını; açık rıza, şeffaflık, kullanıcı kontrolü ve kişisel verilerin korunması açısından Türkiye ve Avrupa Birliği düzenlemeleri üzerinden karşılaştırıyorum.

ÇEREZ NEDİR?

Çerezler, bir internet sitesini ziyaret ettiğimizde tarayıcımız aracılığıyla cihazımıza kaydedilen küçük veri dosyalarıdır. Kullanıcının oturumunun açık tutulması, dil tercihlerinin hatırlanması veya alışveriş sepetindeki ürünlerin korunması gibi işlevler için kullanılabilirler.

Bunun yanında analiz ve reklam amaçlı kullanılan çerezler; ziyaret edilen sayfalar, kullanıcı tercihleri, yaklaşık konum, cihaz bilgileri ve internet üzerindeki davranışlar hakkında çeşitli verilerin elde edilmesine olanak sağlayabilir.

Bu nedenle bütün çerezleri aynı şekilde değerlendirmek doğru değildir. Bir internet sitesinin çalışması için zorunlu olan çerezlerle reklam veya kullanıcı profilleme amacı taşıyan çerezler arasında önemli bir fark bulunmaktadır.

ZORUNLU VE ZORUNLU OLMAYAN ÇEREZLER

Zorunlu çerezler, bir internet sitesinin temel fonksiyonlarının çalışabilmesi için gerekli olan çerezlerdir. Örneğin güvenli giriş yapılması veya kullanıcının oturumunun korunması bu kapsama girebilir.

Analitik, reklam ve kişiselleştirme çerezleri ise çoğu durumda sitenin temel çalışması için zorunlu değildir. Bu nedenle kullanıcıların bu tür çerezler konusunda bilgilendirilmesi ve gerekli durumlarda tercihlerini özgürce belirleyebilmesi gerekir.

GDPR VE AVRUPA BİRLİĞİ YAKLAŞIMI

Avrupa Birliği’nde çerezlerle ilgili değerlendirme yalnızca GDPR üzerinden yapılmaz. ePrivacy düzenlemeleri de elektronik haberleşme ve kullanıcı cihazlarında bilgi saklanması bakımından önemli bir rol oynar.

GDPR açısından geçerli bir rızanın özgür iradeyle verilmiş, belirli, bilgilendirmeye dayalı ve açık olması gerekir. Kullanıcının hiçbir seçim yapmadan siteyi kullanmaya devam etmesinin otomatik olarak rıza kabul edilmesi bu nedenle problemli olabilir.

Aynı şekilde önceden seçilmiş kutular veya “kabul et” seçeneğini oldukça görünür tutarken “reddet” seçeneğini kullanıcıdan gizleyen tasarımlar da gerçek anlamda özgür bir tercih sunmayabilir.

Kullanıcının çerezleri kabul etmesi kadar reddetmesinin de kolay olması, şeffaf bir rıza mekanizmasının temel unsurlarından biridir.

KVKK VE TÜRKİYE’DEKİ DURUM

Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme 6698 sayılı KVKK’dır. Bir çerez aracılığıyla elde edilen bilgi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebiliyorsa kişisel veri kapsamında değerlendirilebilir.

KVKK kapsamında kişisel verilerin işlenmesi için her durumda açık rıza alınması gerekmemektedir. Kanunda belirtilen diğer veri işleme şartlarından biri mevcutsa açık rıza dışında bir hukuki sebebe dayanılması mümkündür.

Ancak reklam, davranışsal analiz veya profilleme gibi faaliyetlerde kullanılan çerezlerde kullanılan verinin niteliği, işleme amacı ve hukuki dayanağı ayrıca değerlendirilmelidir.

Kullanıcıya hangi çerezlerin kullanıldığı, bunların hangi amaçlarla çalıştığı, verilerin kimlerle paylaşılabileceği ve kullanıcıların tercihlerini nasıl değiştirebileceği açık ve anlaşılır şekilde anlatılmalıdır.

AÇIK RIZA VE ŞEFFAFLIK

Bir internet sitesinde yalnızca “çerezleri kabul ediyorum” butonunun bulunması tek başına yeterli bir şeffaflık sağlamaz.

Kullanıcı hangi veriye, hangi amaçla ve hangi süreyle izin verdiğini anlayabilmelidir. Ayrıca zorunlu olmayan çerezleri reddetmek, kabul etmek kadar kolay olmalıdır.

Kullanıcı arayüzünün kişiyi belirli bir seçeneğe yönlendirecek şekilde tasarlanması ise “dark pattern” olarak değerlendirilebilecek uygulamaların ortaya çıkmasına neden olabilir.

Örneğin “Tümünü Kabul Et” butonunu büyük ve dikkat çekici gösterirken “Reddet” seçeneğini birkaç menünün arkasına yerleştirmek kullanıcının gerçek tercih hakkını zayıflatabilir.

TÜRKİYE VE AVRUPA BİRLİĞİ KARŞILAŞTIRMASI

GDPR ve KVKK birçok temel veri koruma ilkesinde benzer yaklaşımlar taşımaktadır. Her iki sistemde de hukuka uygunluk, şeffaflık, belirli amaçlarla veri işleme ve yalnızca gerekli miktarda veri toplama önemli prensiplerdir.

Bununla birlikte Avrupa Birliği’nde GDPR’ın yanında ePrivacy kurallarının da bulunması nedeniyle çerezlere ilişkin daha ayrıntılı bir düzenleme çerçevesi bulunmaktadır.

Türkiye’de ise değerlendirmeler ağırlıklı olarak KVKK, ilgili mevzuat ve Kişisel Verileri Koruma Kurulu tarafından yayımlanan rehber ve kararlar üzerinden şekillenmektedir.

WEB GELİŞTİRİCİLER AÇISINDAN NEDEN ÖNEMLİ?

Çerez uyumluluğu yalnızca hukuk ekiplerinin ilgilenmesi gereken bir konu değildir. Bir internet sitesinin teknik olarak nasıl geliştirildiği, hangi üçüncü taraf hizmetlerinin kullanıldığı ve çerezlerin hangi aşamada çalıştırıldığı doğrudan yazılım geliştirme süreciyle ilgilidir.

Örneğin analitik veya reklam servislerinin kullanıcı onayı alınmadan çalıştırılması, yalnızca ekrana bir çerez bildirimi eklenmesiyle çözülebilecek bir problem değildir. Çerez tercihleri uygulamanın teknik yapısına gerçekten entegre edilmelidir.

Bu nedenle geliştiricilerin kullandıkları analiz, reklam, sosyal medya ve diğer üçüncü taraf servislerinin hangi verileri topladığını bilmeleri önemlidir.

SONUÇ

Çerez politikalarında temel mesele yalnızca kullanıcıya bir bildirim göstermek değildir. Asıl önemli olan kullanıcının neye izin verdiğini anlayabilmesi, özgürce seçim yapabilmesi ve daha sonra bu tercihini değiştirebilmesidir.

GDPR ve KVKK farklı hukuki sistemlerin ürünleri olsa da her ikisinin merkezinde kişisel verilerin korunması ve veri işleme süreçlerinin şeffaflaştırılması bulunmaktadır.

Günümüzde web geliştiricilerin de veri gizliliğini yalnızca hukuki bir zorunluluk olarak değil, güvenli ve kullanıcı odaklı yazılım geliştirmenin bir parçası olarak değerlendirmesi gerektiğini düşünüyorum.