İnternet siteleri, kullanıcı deneyimini iyileştirmek, oturum yönetmek, analitik veriler toplamak, tercihlere uygun içerik sunmak gibi amaçlarla **çerez (cookie)** kullanır. Çerezler küçük metin dosyalarıdır ve kullanıcının cihazında saklanır. Bu metin dosyaları, tek başına bir kimlik bilgisi içermez — ancak oluşturdukları iz, takip algoritmalarıyla bir kişiyi tanımlamaya yönlendirebilir.
Örneğin; bir kullanıcı site içinde belirli sayfaları ziyaret ederse, bu ziyaret geçmişiyle bağlantılı olarak profil çıkarılabilir. Bu profil, kişinin ilgi alanları, davranış eğilimleri gibi özellikler içerir. Bu özellikler, tek başına olmasa da dolaylı olarak bireyi tanımlamaya katkı sağlayabilir.
**Kişisel veri**, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanır. KVKK’ya (Kişisel Verilerin Korunması Kanunu) göre, doğrudan olmasa bile bir bireyi dolaylı yoldan tanımlayan veriler kişisel veri kapsamındadır.
Çerezler, kullanıcıyı anonim bırakmaya yönelik gibi görünse de, birçok çerez türü IP adresi, cihaz kimliği, oturum kimliği, davranışsal veriler gibi bileşenleri içerir. Bu veriler, bir kişiyle ilişkilendirilebildiğinde, “kişisel veri” niteliği kazanır.
Dolayısıyla, pazarlama, analitik, kişiselleştirme gibi amaçlarla kullanılan çerezler, **kişisel veri işleme faaliyeti** olarak değerlendirilir ve KVKK kapsamında ele alınmalıdır.
Bu çerezler geçicidir ve tarayıcı kapandığında silinir. Örneğin; bir e-ticaret sitesinde sepet işlemlerini hatırlama, oturum açma bilgisi tutma gibi işlevlerde kullanılır. Kısa ömürlü olsa bile, oturum tanımlayıcısı üzerinden kullanıcı izleme yapılabilir.
Belirli bir süre boyunca (örneğin 30 gün, 1 yıl veya daha uzun) cihazda kalır. Kullanıcı tercihlerini hatırlama, dil seçimi, site temasını kaydetme gibi işlevlerde kullanılır. Kalıcı çerezler, kullanıcı davranışları izlenerek profil çıkarımı yapılmasına imkân tanır.
Sitenin kendisi tarafından değil, dış bir reklam, analiz ya da izleme servisi tarafından yerleştirilen çerezlerdir. Örneğin reklam sağlayıcılarının yerleştirdiği çerezler, çoklu site ziyareti verilerini birleştirerek kişi profili oluşturabilir. Böylelikle bir kişi birçok farklı etkileşimde “tanınabilir” hâle gelir.
Site doğrudan kendi alan adı üzerinden çerez yerleştiriyorsa bu birinci taraf çerezidir. Bu çerezler, site içi deneyimi iyileştirme amacını taşır. Ancak yine de eğer davranışsal takip içeriyorsa kişisel veri ölçütü taşıyabilir.
Aşağıdaki nedenler, çerezlerin neden “kişisel veri” olarak kabul edilmesi gerektiğini açıklar:
Bu nedenlerle, çerez verileri doğrudan olmasa bile dolaylı olarak bireyin kimliğiyle bağ kurulabilecek veriler içerdiğinden **kişisel veri kapsamında değerlendirilmelidir**.
Çerezlerin kişisel veri olarak kabul edilmesi, sitelerin uyum sürecinde dikkat etmesi gereken yükümlülükleri de beraberinde getirir. Bu yükümlülüklerden biri **çerez politikası ve aydınlatma metni** hazırlamaktır.
İyi bir çerez politikası ve aydınlatma metninde aşağıdaki unsurlar mutlaka yer almalıdır:
Ayrıca, kullanıcı rızasının alınması ve rızanın geçerli olması (örneğin bilgilendirilmiş, özgürce verilmiş ve ispatlanabilir olması) çok önemlidir. Çerez rızası yönetimi (Consent Management) çözümleri burada devreye girer.
Aşağıda, web sitenizi KVKK açısından daha güvenli ve uyumlu hâle getirmek için pratik öneriler yer alıyor:
Çerezler, tek başına bir kimlik bilgisi içermese bile; IP adresi, cihaz kimliği, davranışsal veriler gibi unsurlarla kombine edildiğinde bir kullanıcıyı tanımlayabilir hâle gelir. Bu yüzden KVKK kapsamında “kişisel veri” olarak kabul edilmelidir. Web siteleri, çerez kullanımını planlarken hem teknik hem hukuki açıdan dikkatli olmalı; açık rıza mekanizmaları, çerez politikaları, kullanıcı kontrol panelleri gibi araçları kullanarak uyum sağlamalıdır.
Uyumluluğu sağlamak sadece hukuki gereklilik değil, aynı zamanda kullanıcı güvenini artıran bir stratejidir. Çerez yönetimini doğru şekilde yapmak hem sitenizin itibarını korur hem de veri ihlali risklerini azaltır.
