Bu yazıya, çoğu çerez rehberinin atladığı bir tespitle başlamak gerekiyor: “çerez” ve “cookie” ibareleri 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun metninde hiç geçmez. Aynı şekilde Veri Sorumluları Sicili Hakkında Yönetmelik'te ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'te de geçmez. Yani ortada “çerez maddesi” diye bir hüküm yoktur. O hâlde çerez onayının hukuki zemini nedir? Cevap, Kanunun genel hükümlerindedir — ve bu yazı o zemini olduğu gibi, uydurmadan kuruyor.

Kanunda çerez maddesi yok — bunun anlamı ne?

Türk hukukunda çerezlere ilişkin rejim, 6698'in bir özel hükmünden değil, genel hükümlerinin çereze uygulanmasından doğar. Kanunda doğrudan bir dayanak aradığınızda bulacağınız maddeler şunlardır: m.3 (tanımlar), m.4 (genel ilkeler), m.5 (işleme şartları) ve m.10 (aydınlatma yükümlülüğü).

Bu tespit önemlidir çünkü “çerez onayı şu şekilde alınır, şu çerezler için onay gerekmez” biçiminde kesin kurallar arayanların, o kuralları kanun metninde bulamayacağı anlamına gelir. Bu ayrıntılar Kurul kararları ve Kurum rehberleriyle şekillenir.

Çerez ne zaman kişisel veri işleme sayılır?

Her çerez otomatik olarak kişisel veri işleme doğurmaz. Ölçüt m.3/1-(d)'deki tanımdır: “Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.” Bir çerezin sakladığı değer, tek başına ya da başka verilerle birleştirildiğinde belirli bir gerçek kişiyi belirlenebilir kılıyorsa, o çerez üzerinden yapılan işleme Kanun kapsamındadır.

Buna karşılık yalnızca teknik bir tercihi tutan ve hiçbir şekilde bir kişiye bağlanamayan bir değer, tanım gereği kişisel veri olmayabilir. Ancak dikkat: pratikte çerez değerleri çoğu zaman IP adresi, oturum bilgisi, cihaz ve tarayıcı bilgisiyle birlikte tutulur; bu birleşim belirlenebilirliği hızla üretir. Bu nedenle “bu çerez anonimdir” değerlendirmesini varsayım olarak değil, teknik bir inceleme sonucunda yapın.

İşlemenin ne olduğu da m.3/1-(e)'de tanımlanır: “... elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, ... aktarılması, ... elde edilebilir hâle getirilmesi, sınıflandırılması ...” Bir çerezi tarayıcıya yazmak, okumak ve üçüncü bir sağlayıcıya göndermek — üçü de bu tanımın içindedir.

İşlemenin hukuki sebebi: m.5

Çerez üzerinden bir kişisel veri işlemesi yapıldığı tespit edildiğinde, bu işlemenin m.5'te bir hukuki sebebe dayanması gerekir. m.5/1 kuralı kurar: “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.” m.5/2 ise açık rıza aranmayacak hâlleri sayar:

  • a) Kanunlarda açıkça öngörülmesi.
  • b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
  • c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
  • ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
  • d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
  • e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
  • f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kanunun kurgusu buradan okunur: açık rıza kuraldır, m.5/2'deki yedi hâl istisnadır. Bir çerez işlemesi için “onay almadım” diyorsanız, m.5/2'nin hangi bendine dayandığınızı yazılı olarak gösterebilmeniz gerekir. Dayanacak bir bent yoksa geriye açık rıza kalır.

Açık rızanın ne olduğu m.3/1-(a)'da tanımlıdır: “Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.” Üç unsurun üçü de aranır. “Belirli bir konuya ilişkin” olması, tek bir düğmeyle toptan alınan blanket onayları tartışmalı kılar; “özgür irade” unsuru ise rızayı vermemenin hizmete erişimi engellemesi hâlinde sorgulanır.

Aydınlatma yükümlülüğü çerez için de doğar (m.10)

Rızaya dayanmasanız bile aydınlatma yükümlülüğü ayrı bir yükümlülüktür ve ortadan kalkmaz. m.10/1: “Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür.”

Çereze uyarlandığında bunun anlamı şudur: hangi çerezlerin hangi amaçla yazıldığını, hangi üçüncü taraflara veri gittiğini ve hangi hukuki sebebe dayandığınızı çerez yazılmadan önce göstermeniz gerekir. Bu bilgilerin bir bölümünü zaten okur verisi aydınlatma metninizde vermiş olursunuz; çerez bölümünü o metnin ayrı bir başlığı olarak kurgulamak en temiz çözümdür.

Aydınlatma yükümlülüğünün ihlali m.18/1-(a) uyarınca 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası gerektirir. Bu tutarlar kanun metnindeki nominal tutarlardır; güncel miktar yeniden değerleme oranıyla belirlenir.

Genel ilkeler çerezde nasıl işler? (m.4)

m.4/2'deki beş ilke çerez işlemelerinde de bağlayıcıdır. İkisi özellikle sınayıcıdır. (ç) “İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma”: sitenin çalışması için gerekmeyen, tek bir editoryal denemeden arta kalmış ölçümleme etiketlerini yıllarca taşımak bu ilkeyle bağdaşmaz. (d) “... gerekli olan süre kadar muhafaza edilme”: yıllarca geçerli çerez ömürleri tanımlamak, amacı gerçekleştirmek için gereken süreyi aşıyorsa savunulabilir değildir.

Ayrıca m.12/1 uyarınca çerez üzerinden toplanan verilerin güvenliği de veri sorumlusunun yükümlülüğündedir; m.12/2 gereği bu veriyi sizin adınıza işleyen üçüncü taraf sağlayıcılarla müştereken sorumlusunuz. Reklam veya ölçümleme sağlayıcınızın yaptığı bir işleme, sizin sorumluluğunuzu ortadan kaldırmaz.

Haber sitesi için pratik yaklaşım

Kesin kural veremeyeceğimiz alanlarda bile, kanuna dayanan sağlam bir hazırlık yapılabilir. Aşağıdaki adımlar tamamen m.3, m.4, m.5, m.10 ve m.12'den türetilmiştir.

text
ÇEREZ HAZIRLIK ADIMLARI — KANUNA DAYANAN ASGARİ SET

1. ENVANTER (dayanak: m.3, m.4)
   Tarayıcı geliştirici araçlarıyla sitenizi tarayın ve
   her çerez için doldurun:
   - ad                  : ...........................
   - yazan taraf         : kendi sitem / üçüncü taraf: .....
   - saklanan değer      : ...........................
   - kişiyi belirlenebilir kılıyor mu? : evet / hayır
     (IP, oturum, cihaz bilgisiyle birleşimini de değerlendir)
   - amaç                : ...........................
   - ömür                : ...........................
   - veri nereye gidiyor : ...........................

2. HUKUKİ SEBEP EŞLEŞTİRMESİ (dayanak: m.5)
   Kişisel veri işleyen her çerez için tek tek yaz:
   [ ] açık rıza (m.5/1)
   [ ] m.5/2-a  kanunlarda açıkça öngörülme
   [ ] m.5/2-c  sözleşmenin kurulması veya ifası
   [ ] m.5/2-ç  hukuki yükümlülük
   [ ] m.5/2-e  bir hakkın tesisi, kullanılması, korunması
   [ ] m.5/2-f  meşru menfaat
                (temel hak ve özgürlüklere zarar vermemek kaydıyla)
   Hiçbiri işaretlenemiyorsa -> açık rıza gerekir.

3. AYDINLATMA (dayanak: m.10)
   Çerez yazılmadan ÖNCE erişilebilir olsun ve şunları içersin:
   [ ] veri sorumlusunun kimliği
   [ ] her çerez grubunun amacı
   [ ] aktarılan üçüncü taraflar ve aktarım amacı
   [ ] toplama yöntemi ve hukuki sebep
   [ ] m.11'deki hakların tam listesi

4. ÖLÇÜLÜLÜK VE SÜRE (dayanak: m.4/2-ç, m.4/2-d)
   [ ] Kullanılmayan etiket ve çerezler kaldırıldı
   [ ] Her çerezin ömrü amaca göre yeniden belirlendi

5. GÜVENLİK VE TEDARİKÇİ (dayanak: m.12/1, m.12/2)
   [ ] Üçüncü taraf sağlayıcılarla veri işleyen ilişkisi
       yazılı hâle getirildi
   [ ] Aktarılan veri kalemleri sözleşmede sayıldı

6. GÜNCEL KAYNAK KONTROLÜ
   [ ] Kurul kararları ve Kurum rehberi kontrol edildi
       Tarih: ../../20..   Kontrol eden: ...............
   NOT: Onay mimarisi, banner tasarımı ve çerez
   sınıflandırmasına ilişkin ayrıntılı kurallar kanunda
   değil, bu kaynaklarda yer alır.

Altıncı adımı bir kereye mahsus bir iş olarak değil, düzenli bir gözden geçirme kalemi olarak planlayın. Sitenizin genel uyum takibini internet haber sitesi yasal uyum kontrol listesi üzerinden yürütüyorsanız, çerez kontrolünü de aynı listeye ekleyin.

Yayın muafiyeti çerezi kapsar mı?

Hayır. 6698 m.28/1-(c) istisnası kişisel verinin “ifade özgürlüğü kapsamında işlenmesi” hâline ilişkindir. Bir okurun tarayıcısına ölçümleme veya reklam çerezi yazmak ifade özgürlüğü kapsamında bir işleme değildir; sitenin ticari ve teknik işletimine ilişkin bir işlemedir. Dolayısıyla çerez işlemeleri istisnanın tamamen dışındadır ve Kanunun bütün hükümlerine tabidir.

İstisnanın kapsamını ve iki katmanlı yapısını gazetecilik faaliyeti ve KVKK istisnası yazısında ayrıntılı olarak ele aldık. Çerez üzerinden toplanan verilerin VERBİS envanterine nasıl gireceğini ise VERBİS kayıt zorunluluğu yazısındaki envanter şablonunda bulabilirsiniz.

Son olarak, çerez üzerinden toplanan verinin sızması hâlinde m.12/5 bildirim yükümlülüğü doğar; bu akışı kişisel veri ihlali bildirimi yazısında adım adım anlattık. Üçüncü taraf etiketlerin yükünü azaltmak, hem uyum hem performans açısından en etkili tek adımdır; bu da doğrudan barındırma ve altyapı kararlarınızla ilgilidir.