Analitik için Çerez Onay Banneri Gerekli mi?
Analitiğin yasal olarak onay banneri gerektirip gerektirmediği. ePrivacy ve KVKK'nın gerçekte ne dediği.
Analitiğinizin onay banneri gerektirip gerektirmediği tek bir şeye bağlıdır: ziyaretçinin tarayıcısında bir şey saklıyor veya oradan veri okuyor mu? Eğer saklıyorsa, AB hukuku kapsamında banner gereklidir. Eğge saklamamıyorsa, gerekmez.
ePrivacy Direktifi (Madde 5(3)) bu soruyu sorar. Türkiye'deki KVKK kişisel veriler söz konusu olduğunda ikinci bir katman ekler, ancak banner için tetikleyici ePrivacy'dir.
Önemli: Bu makale düzenleyici kurumların kamuya açık tutumlarını özetlemektedir. Hukuki tavsiye niteliği taşımaz. Bannerinizi kaldırmadan önce kendi özel uygulamanız için bir hukuk danışmanıyla görüşün.
Yasa Gerçekte Ne Diyor?
ePrivacy Direktifinin Madde 5(3)'ü (2002/58/EC, değişikliklerle), "bir abonenin veya kullanıcının terminal ekipmanında bilgi depolamadan veya bu ekipmanda halihazırda depolanan bilgilere erişimden" önce bilgilendirilmiş önceden onay alınmasını zorunlu kılar.
Kilit ifade "terminal ekipmanı"dır: ziyaretçinin tarayıcısı, telefonu veya bilgisayarı. Çerez açık bir örnektir, ancak kural localStorage ve IndexedDB için de geçerlidir ve çoğu yoruma göre cihaz özelliklerini okuduğu için parmak izi almayı da kapsar.
İstisna: Kullanıcı tarafından açıkça talep edilen bir hizmetin sağlanması için depolama veya erişim "kesinlikle gerekli" ise onay aranmaz. Analitik bir sitenin çalışması için kesinlikle gerekli değildir; site sahibinin amaçları için gereklidir. İstisna kapsamına girmez.
Banner Ne Zaman Gereklidir?
Analitik araçınız aşağıdakileri yapıyorsa onay banneri gereklidir:
- Ziyaretçinin tarayıcısına çerez yerleştirme (oturumlar arasında kalıcı birinci taraf çerezler dahil)
- Geri dönen ziyaretçileri tanımlamak için localStorage veya sessionStorage'dan okuma
- Cihaz parmak izi alma (canvas fingerprint, font listesi, WebGL hash vb.)
- Herhangi bir tarayıcı API'sinde kalıcı ziyaretçi tanımlayıcısı saklama
Google Analytics 4, çerez etkin Matomo, Hotjar, Mixpanel bunların hepsine girer. Çerez yerleştirirler veya parmak izi alırlar. Banner gereklidir.
Banner Ne Zaman Gerekmez?
Analitik aşağıdakileri yapıyorsa banner gerekmez:
- Hiçbir çerez yerleştirmeme
- localStorage ve diğer tarayıcı depolama alanlarından okumama
- Cihaz parmak izi almama
- Ziyaretçinin cihazına bağlı kalıcı tanımlayıcı iletmeme
Fransız veri koruma otoritesi CNIL, pratik bir rehber (16. Sayfa, 2022 güncellemesi) yayımladı. Bu rehberde, analitiğin onay gerektirmeksizin "izleyici ölçümü" sayılabileceği belirli koşullar tanımlanmaktadır: veriler yalnızca istatistiksel amaçlarla kullanılmalı, siteler arası izleme olmamalı, üçüncü taraflara aktarım yapılmamalı ve saklama süresi 13 ayı geçmemelidir.
EDPB (Avrupa Veri Koruma Kurulu), Madde 5(3)'ün Teknik Kapsamına İlişkin 2/2023 sayılı Yönergelerinde şunu doğruladı: cihaz depolama alanına yazmayan ve oradan okumayan durumsuz analitikler Madde 5(3) kapsamına girmez.
Türkiye'deki Durum
Türkiye'nin 6698 sayılı KVKK'sı kişisel veri işleme için açık rıza şartı getirmektedir. Anonimleştirilmiş istatistiksel veriler — kimliğe geri dönüştürülemeyen veriler — kişisel veri sayılmaz ve rıza gerektirmez.
Analitiğiniz çerez kullanmıyor, parmak izi almıyor ve IP adresi saklamıyorsa, toplanan veriler Türk hukuku kapsamında kişisel veri niteliği taşımayabilir. Yine de özel uygulamanız için hukuki değerlendirme yapılmasını öneririz.
Bu Pratikte Ne Anlama Gelir?
Script analitiğiniz:
- Çerez yerleştirmiyorsa
- Tarayıcı depolama alanından okumuyorsa
- Parmak izi almıyorsa
…Madde 5(3) uygulanmaz, analitik için onay banneri gerekmez ve ziyaretçilerin %100'ünü sayabilirsiniz.
Neyi neden topladığınızı açıklayan bir gizlilik politikası hâlâ gereklidir. Ancak ziyaretçilerin %20-60'ını kaybetmenize yol açan banner gerekmez.
Gauss Ne Toplar?
Gauss, her sayfa etkileşiminde collect.gausslab.io adresine bir JSON olayı gönderir. Olay şunları içerir: mevcut URL, referrer, sayfa başlığı, ekran genişliği ve olay adı. IP adresi, çerez, parmak izi ve tarayıcı kaynaklı herhangi bir tanımlayıcı dahil değildir. Olayları gruplandırmak için kullanılan oturum anahtarı, tanımlamayan sinyallerden sunucu tarafında hesaplanır ve gece yarısı sona erer.
Gauss çerez yerleştirmez. localStorage'dan okumaz. Parmak izi almaz.
Bannerinizi tamamen kaldırıp kaldıramayacağınız sayfanızdaki diğer scriptlere bağlıdır. Google Ads, Facebook Pixel veya çerez yerleştiren başka bir araç kullanıyorsanız bunlar hâlâ onay gerektirir. Gauss'un kendisi gerektirmez.
Sonuç
Onay banneri zorunluluğu ePrivacy Madde 5(3)'ten kaynaklanmaktadır. Tetikleyici, ziyaretçinin terminal ekipmanına erişim veya depolamadır. Çerez olmadan, tarayıcı depolama alanı olmadan ve parmak izi olmadan çalışan analitikler bu tetikleyiciyi devreye sokmaz ve CNIL'in tutumuna ve EDPB'nin yorumuna göre banner gerektirmez.