GDPR Uyumlu Analitik: Gerçekte Ne Yapmanız Gerekiyor

Analitiği GDPR uyumlu hale getirmek yalnızca çerez banner'ı eklemekle ilgili değildir. Daha önce başlar: analitik aracınızın hangi verileri topladığını ve bu verilerin GDPR kapsamında kişisel veri sayılıp sayılmadığını anlamakla.

Not: aşağıdaki bilgiler yönlendirme amaçlıdır. GDPR uyumluluğu, spesifik kurulumunuza, ülkenize ve hukuki analize bağlıdır. Bağlayıcı tavsiye için nitelikli bir veri koruma avukatına başvurun.

Adım 1: Analitik aracınızın ne topladığını belirleyin

Her şeyden önce, aracınızın ne gönderdiğini bilin. Çoğu analitik aracı şunların bir kısmını toplar:

• IP adresi (veya hash'i)
• Kullanıcı ajanı (tarayıcı, işletim sistemi)
• Referrer (önceki sayfa URL'si)
• Sayfa URL'si (mevcut sayfa)
• Zaman damgası
• Oturum kimliği veya çerez (kalıcı tanımlayıcı)

GDPR kapsamında IP adresleri kişisel veridir. Hash'lenmiş veya kısaltılmış bir IP bile, bağlamda yeniden tanımlama mümkünse kişisel veri sayılabilir. Zaman içinde bir kişiyi takip eden kalıcı bir çerez tanımlayıcısı ise açıkça kişisel veridir.

Tedarikçinize sormak için:

• Tam IP adresi sunucularınıza iletiliyor mu?
• IP adresi geçici de olsa loglarda saklanıyor mu?
• Kalıcı tanımlayıcı kullanılıyor mu (çerez, localStorage, parmak izi)?
• Sunucular nerede? (AB / ABD / diğer)

Adım 2: Onay gerekip gerekmediğini belirleyin

AB'nin eGizlilik Direktifi'nin 5(3). maddesi kapsamında, kullanıcının cihazında bilgi depolamak veya bu bilgilere erişmek onay gerektirir — yalnızca kullanıcının açıkça talep ettiği hizmet için «kesinlikle gerekli» olmadığı sürece.

Çerez onay banner'larını yaratan kural budur. Analitik çerezler kesinlikle gerekli değildir, dolayısıyla onay gerektirir.

Cihazda hiçbir şey saklamayan çerez kullanmayan analitik için eGizlilik 5(3) doğrudan uygulanmaz. Ancak kişisel veri (IP adresi gibi) işlemek için GDPR Madde 6 kapsamında yine de bir hukuki dayanak gerekir.

Çerez kullanmayan analitik için en yaygın hukuki dayanaklar:

• Meşru menfaatler (Madde 6(1)(f)): web sitesi trafiğinizi anlamak için meşru menfaatiniz var ve bu, ziyaretçi haklarını geçersiz kılmıyor — özellikle IP saklamıyorsanız, günlük hash kullanıyorsanız ve bireyleri profillemiyorsanız. Bu, Meşru Menfaat Değerlendirmesi (LIA) gerektirir.
• Onay (Madde 6(1)(a)): her zaman geçerlidir, hukuki olarak en basit yoldur; ancak işlevsel bir onay mekanizması gerektirir.

«Onay gerekmez» ifadelerine dikkat: çerez kullanmayan analitiğin hiçbir zaman onay gerektirmediğine dair kesin ifadelerden kaçının. Bu durum, spesifik uygulamanıza, ziyaretçilerin geldiği ülkeye ve ulusal DPA'nın kuralları nasıl yorumladığına bağlıdır. EDPB Kılavuzu 2/2023'e göre kişisel veri işleyen çerez kullanmayan takip de geçerli bir hukuki dayanak gerektirir.

Adım 3: Bunu Gizlilik Politikanıza yansıtın

Hukuki dayanağınız ne olursa olsun, GDPR Madde 13 kapsamında Gizlilik Politikanızda belgelenmesi gerekir. Politikanızda şunlar yer almalıdır:

• Analitik aracılığıyla toplanan veri kategorileri
• Veri sorumlusunun kim olduğu
• Hangi hukuki dayanağa güvendiğiniz
• Verilerin ne kadar süre saklandığı
• Verilerin AB dışına aktarılıp aktarılmadığı (ve hangi güvencelerin uygulandığı)
• Analitik sağlayıcının kim olduğu (veri işleyici veya alt işleyici olarak)

Adım 4: Analitik tedarikçinizle Veri İşleme Anlaşması imzalayın

GDPR Madde 28 kapsamında, analitik sağlayıcınız kişisel verileri adınıza işliyorsa, bu kişi veri işleyicidir. Onlarla imzalı bir VİA (DPA) gerekmektedir.

Çoğu büyük analitik aracı standart bir DPA sunar. Gizlilik odaklı araçlar bu süreci genellikle kolaylaştırır.

Adım 5: Veri saklama süreleri

GDPR'ın saklama sınırlaması ilkesi (Madde 5(1)(e)), verilerin gerekenden uzun süre saklanmamasını gerektirir:

• Ham olay logları: genellikle 30–90 gün savunulabilirdir.
• Toplu veriler (bireysel düzeyde veri içermeyen): kişisel veri olmaktan çıktığı için süresiz saklanabilir.
• Oturum ve ziyaretçi verileri: IP adresi veya tanımlayıcı içerip içermemesine bağlıdır.

Adım 6: Veri sahibi taleplerine yanıt verin

GDPR bireylere haklar tanır: erişim, silme, taşınabilirlik, kısıtlama. Analitik verileri için bu karmaşıktır:

• Analitik verilerinde belirli bir kişiyi tanımlayamazsanız, o kişiye özel erişim veya silme taleplerini yerine getiremezsiniz.
• Analitik, insanlara bağlı kalıcı tanımlayıcılar saklıyorsa, kullanıcı kimliğine göre silme mümkün olabilir.

Günlük hash'lenmiş IP kullanan çerez kullanmayan analitik, genellikle ek veriler olmadan bireylere bağlanamaz.

Çerez kullanmayan analitik neyi değiştirir?

Çerez kullanmayan analitik GDPR yükümlülüklerini azaltır (ortadan kaldırmaz):

• Cihazda hiçbir şey saklanmıyorsa eGizlilik 5(3) uygulanmaz.
• IP işleme yine de hukuki dayanak gerektirir.
• Tedarikçiniz verilerinizi işliyorsa DPA yine gereklidir.
• Gizlilik politikasında açıklama yine zorunludur.

Ana avantaj: meşru menfaatlere dayanabiliyorsanız ve uygulamanız gerçekten minimumsa (günlük hash'lenmiş IP, siteler arası takip yok, AB'deki sunucular, kısa saklama süresi), onay banner'ı zorunlu değildir.

Pratik kontrol listesi

• Analitik aracınızın tam olarak hangi verileri topladığını ve gönderdiğini bilin
• Hukuki dayanağınızı belirleyin (onay veya meşru menfaatler için LIA)
• Analitik tedarikçinizle DPA imzalayın
• Gizlilik politikanızı analitik veri toplamayı açıklayacak şekilde güncelleyin
• Veri saklama sınırları belirleyin ve tedarikçinizin bunları teknik olarak uyguladığını doğrulayın
• Sunucular AB dışındaysa uluslararası veri aktarımlarını düzenleyin
• Çerez kullanılıyorsa: uyumlu onay mekanizması uygulayın
• Meşru menfaatler kullanılıyorsa: LIA'yı belgeleyin

Uyumluluk bir süreçtir, tek seferlik bir görev değil. Araç değiştirdiğinizde, yeni özellikler eklediğinizde veya ulusal DPA'lar yeni rehber yayınladığında tekrar gözden geçirin.