Çerezlerde Açık Rıza: KVKK Kurul Kararı

İlgili çalışma alanı → Kişisel Verilerin Korunması: Çerez, açık rıza, aydınlatma ve Kurul kararları için çalışma alanı.

Kişisel Verileri Koruma Kurulu (KVKK Kurulu), 10.03.2022 tarihli ve 2022/229 sayılı kararıyla, web sitelerindeki en yaygın uyum hatasını ele aldı: çerezlerde hangi durumda açık rıza gerektiği. Karar, "çerez izni" penceresinin şeklen konulmasının yetmediğini; çerez türüne göre farklı bir işleme rejimi uygulanması gerektiğini gösterir.

Uyuşmazlığın Konusu

İlgili kişi, bir e-ticaret şirketinin çerez politikasının anlaşılmaz olduğunu, hedefleme ve analitik çerezlerin açık rıza alınmadan aktif olduğunu, çerezler yoluyla işlenen verinin açık rıza olmadan yurt dışına aktarıldığını ve aydınlatma yükümlülüğünün eksik yerine getirildiğini ileri sürerek Kurula şikâyette bulundu.

Kararın Gerekçesi: Çerez Türüne Göre Rejim

Çerezler aracılığıyla veri işlemek 6698 sayılı Kanun'a tabidir. Kurul, çerezleri işleve göre ayırdı ve rejimi buna bağladı:

Kullanıcı tercihleri ile ilgili çerezler zorunlu çerezlerin dışında kalan işlevselliği sağlama amacıyla kullanıldığından ... ilgili kişi tarafından bilgi toplumu hizmetinin açıkça talep edildiği net değil ise ilgili kişilerin açık rızasına başvurulması

Kişisel Verileri Koruma Kurulu, 10.03.2022, 2022/229

Buna göre, kullanıcının talep ettiği hizmetin sunulması için gerçekten zorunlu olan çerezler açık rıza gerektirmez. Buna karşılık hedefleme, davranışsal reklamcılık, analitik ve zorunlu olmayan işlevsellik çerezleri için ilgili kişinin açık rızası alınmalıdır. "Tarayıcıdan çerezi kapatabilirsiniz" demek bir işleme şartı yerine geçmez; kullanıcı siteye girer girmez zorunlu olmayan çerez çalışıyorsa, açık rıza alınmadan veri işlenmiş olur.

Önemli: Açık rıza, kullanıcı siteye girmeden önce, açık ve bilgilendirilmiş biçimde alınmalıdır. Baştan aktif gelen hedefleme çerezleri, sonradan reddetme imkânı sunulsa bile hukuka aykırıdır. Aydınlatma, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'e uygun; çerez politikası ise gerçekte kullanılan tüm çerezleri, üçüncü taraf çerezlerini ve saklama sürelerini eksiksiz göstermelidir.

Yurt Dışına Aktarım Boyutu

Kararda ayrıca, analitik çerezler aracılığıyla verinin yurt dışına aktarılmasının 6698 sayılı Kanun md. 9 kapsamında değerlendirilmesi gerektiği vurgulandı. Yurt dışına aktarımın kendi şartları vardır; çerez üzerinden yurt dışı aktarım yapılıyorsa bu da ayrıca hukuki dayanağa bağlanmalıdır.

Sonuç: Uyum Talimatı

Kurul, çerez politikasının 6698 sayılı Kanun md. 10 ve ilgili Tebliğ'e uygun güncellenmesini, zorunlu ile zorunlu olmayan çerezlerin ayrıştırılmasını ve zorunlu olmayan çerezler için açık rıza mekanizması kurulmasını, sonucun otuz gün içinde Kurula bildirilmesini talimatlandırdı.

Kararın Anlamı

Karar, "çerez banner'ı koyduk" savunmasını geçersiz kılar. Belirleyici olan, çerezin gerçekten zorunlu olup olmadığı ve zorunlu değilse açık rızanın siteye girişten önce alınıp alınmadığıdır. Çerez hukukunun genel çerçevesi için çerez (cookie) hukuku makalesine bakılabilir.

Uygulamada

Web sitesi işleteni önce bir çerez envanteri çıkarmalı; her çerezi zorunlu, işlevsellik, analitik ve hedefleme olarak sınıflandırmalıdır. Zorunlu çerezler dışındakiler varsayılan olarak kapalı gelmeli; kullanıcı onay vermeden çalışmamalıdır. Çerez yönetim aracı, kategori bazında ret ve onay imkânı sunmalı; çerez politikası gerçek durumu yansıtmalı ve saklama süreleriyle üçüncü taraf çerezlerini göstermelidir. Yurt dışına aktarım varsa ayrıca dayanaklandırılmalıdır. Uygulamada sık sorulan noktalar için web sitemde çerez izni almak zorunda mıyım ve hangi çerezler için açık rıza gerekir sayfalarına bakılabilir.

İlgili içerikler için bkz. Çerez (Cookie) Hukuku, Hangi Çerezler İçin Açık Rıza Gerekir ve Kişisel Verilerin Korunması.

Çerezlerde Açık Rıza: KVKK Kurul Kararı