Çerez banner'ı nasıl olmalı? Geçerli rıza için tasarım kuralları

Çerez banner'ı sitenizin ziyaretçiyle ilk temasıdır ve çoğu sitede en az düşünülmüş parçasıdır. Bir şablondan alınır, rengi değiştirilir ve unutulur. Oysa banner'ın iki işi vardır: hukuken geçerli bir açık rıza almak ve o rıza gelene kadar rızaya tabi çerezleri durdurmak. Bu iki işi yapmayan banner, ne kadar şık olursa olsun dekordur.

Bu yazı banner'ın kendisini ele alır: ilk katmanda ne olacağı, reddet butonunun yeri, önceden işaretli kutular, ikinci katman, rıza kaydı, geri çekme ve yeniden sorma. Çerez politikasının nasıl yazılacağı ayrı bir yazının konusu.

Kurallar KVKK'nın Çerez Uygulamaları Hakkında Rehber'inden, GDPR metninden ve EDPB ile ICO'nun rıza rehberlerinden alınmıştır. Üçü de aynı yöne işaret ediyor: rıza aktif, ayrıştırılmış, kayıtlı ve geri alınabilir olmalı.

Banner ne yapar, ne yapmaz

Sitenizde çerezlerle ilgili üç ayrı parça vardır. Aydınlatma metni, kişisel verinin kimin tarafından hangi amaçla işlendiğini anlatır. Çerez politikası, sitedeki çerezleri adı, amacı, süresi ve birinci veya üçüncü taraf oluşuyla listeler. Banner ise yalnızca rıza alır ve tercihi uygular.

KVKK rehberi aydınlatma ile açık rıza almanın aynı metinde birleştirilmesini uygun görmüyor; banner'dan aydınlatma metnine ve çerez politikasına bağlantı vermek yeterlidir. Banner'daki kategori adları politikadakilerle aynı olmalıdır.

Rıza gelmeden hiçbir rızaya tabi çerez yüklenmemeli

En sık görülen ve en az fark edilen hata budur. Banner ekranda dururken analitik ve reklam scriptleri arka planda çoktan çalışmıştır. KVKK rehberi, ICO ve EDPB aynı şeyi söylüyor: kesinlikle gerekli olmayan çerezler ancak geçerli rıza alındıktan sonra yerleştirilebilir.

Kesinlikle gerekli olan, rehberdeki adıyla Kriter A ve B kapsamındaki çerezler için rıza gerekmez: oturum çerezi, sepet, güvenlik, giriş durumu ve ziyaretçinin rıza tercihini hatırlayan çerezin kendisi. Bunun dışındaki çerezler kural olarak banner'ın kararını beklemelidir. Analitik çerezler de çoğu kurulumda bu gruptadır. ICO ayrıca reklam amaçlı hiçbir çerezin kesinlikle gerekli sayılamayacağını açıkça belirtiyor.

Bunu sağlamak için önce sitenizde gerçekte hangi çerezlerin ve üçüncü taraf servislerin çalıştığını bilmeniz gerekir. Sitenizi tarayıp rıza öncesi hangi çerezlerin düştüğünü görmek, banner'ı tasarlamadan önce atılacak ilk adımdır.

İlk katmanda ne olmalı

İlk katman, ziyaretçinin siteye girdiği anda gördüğü paneldir. KVKK rehberinin iyi uygulama örneği şunları içerir: çerezlerle kişisel veri işlendiğine dair kısa bir açıklama, hangi amaçlar için rıza istendiği, aydınlatma metnine bağlantı ve renk, büyüklük ve punto açısından eşit derecede sunulan "kabul et", "reddet" ve "tercihler" butonları.

Bilgi katmanlı verilebilir. Ancak EDPB, veri sorumlusunun kimliği ve amaçlar ilk katmanda görünmüyorsa ya da ikinci katmanın yeri açıkça gösterilmiyorsa bilgilendirilmiş rızayı ispat etmenin zorlaşacağını söylüyor.

Reddet butonu neden ilk katmanda olmalı

Rızanın özgür iradeyle verilmiş sayılması için reddetmenin kabul etmek kadar kolay olması gerekir. KVKK rehberi, "hepsini kabul et", "hepsini reddet" ve "tercihler" butonlarının eşit derecede sunulmadığı bir paneli kötü örnek olarak gösteriyor. ICO da reddetme seçeneğinin ek tıklama gerektirmeden, kabul seçeneğiyle aynı belirginlikte ve aynı katmanda bulunmasını bekliyor.

Pratikte bu şu demektir: parlak renkli büyük bir "kabul et" ve gri, küçük bir "ayarlar" bağlantısı geçerli bir kurgu değildir.

Önceden işaretli kutular ve pasif kullanım

Açık rıza aktif ve olumlayıcı bir eylem gerektirir. KVKK rehberi, siteye girilmiş olmasının o sitedeki çerezlere rıza anlamına gelmediğini ve sitenin kullanılması suretiyle çerez kullanımına izin verilmesinin hukuka uygun olmadığını açıkça yazıyor. EDPB daha ileri gidiyor: sayfayı kaydırmak veya benzeri kullanıcı hareketleri hiçbir koşulda açık olumlayıcı eylem sayılmaz.

Önceden işaretli kutular da aynı sebeple geçersizdir. GDPR'ın 32 numaralı gerekçesi sessizliği, önceden işaretli kutuları ve hareketsizliği rıza saymıyor; EDPB rehberi bunu tek cümleyle bağlıyor: önceden işaretli opt-in kutuları GDPR kapsamında geçersizdir. KVKK rehberi de opt-out yerine opt-in sistem kullanılmasını şart koşuyor.

Çerez duvarı, yani rıza vermeden içeriğe erişimi engellemek, ayrı bir tuzaktır. KVKK rehberine göre bu kurgu ilgili kişinin özgür iradesini sakatlayabilir ve alınan rıza geçersiz olabilir; EDPB'ye göre hizmete erişim çerez rızasına bağlı kılınmamalı.

İkinci katman: kategori bazlı seçim

"Tercihler" butonu ziyaretçiyi ikinci katmana götürür. Burada rıza amaç bazında ayrı ayrı alınır. EDPB rehberi buna granülerlik diyor: birden fazla amaç için tek bir rıza istemek, rızayı geçersiz kılar. Analitik, işlevsel ve pazarlama çerezleri ayrı anahtarlarla sunulmalı ve her biri varsayılan olarak kapalı olmalı.

KVKK rehberine göre rızanın belirli bir konuya ilişkin olması için her kategoride çerezin amacı, amaçla ölçülü süresi ve birinci veya üçüncü taraf olduğu belirtilmeli. Bu, ikinci katmanda kategori başına en az bir cümle açıklama ve bir sağlayıcı listesi demektir. Sağlayıcı listesi çerez politikasındakiyle aynı olmalıdır.

Rıza kaydı: ne kaydedilmeli

GDPR'ın 7. maddesi veri sorumlusunun rızanın alındığını ispat edebilmesini şart koşuyor. KVKK rehberinin kontrol listesinde de aynı madde var: çerez açık rıza kayıtları uygun bir süre saklanmalı.

Makul bir kayıt şunları içerir: tercihin verildiği zaman, hangi kategorilerin kabul veya reddedildiği, ziyaretçiye o sırada gösterilen banner ve politika sürümü ve tercihi ziyaretçinin tarayıcısına bağlayan bir tanımlayıcı. EDPB, ispat yükümlülüğünün aşırı ek veri işlemeye yol açmaması gerektiğini de hatırlatıyor. Kaydın nasıl tutulduğunu nasıl çalışır sayfasında adım adım anlattık.

Rızayı geri çekmek vermek kadar kolay olmalı

GDPR'ın 7. maddesine göre ilgili kişi rızasını her zaman geri alabilir ve geri almak vermek kadar kolay olmalıdır. KVKK rehberi de rıza yönetim panelinin sayfanın küçük bir köşesinde, içeriği engellemeyen bir ikon ya da bant olarak sürekli erişilebilir tutulmasını iyi örnek sayıyor.

ICO'ya göre rıza geri çekildiğinde ilgili teknolojiler kullanılmayı bırakmalı, kişisel veri işleme durmalı ve rıza aktarılan üçüncü taraflara geri çekildiği bildirilmelidir. Banner tercih değiştiğinde yalnızca kaydı güncellemekle kalmayıp ilgili scriptleri de durdurmalıdır.

Rıza ne zaman yeniden istenmeli

Ne GDPR ne de İngiltere'deki PECR rızanın ne kadar süreceğine dair kesin bir süre koyuyor; EDPB rızanın uygun aralıklarla yenilenmesini iyi uygulama olarak öneriyor. ICO, reddeden bir ziyaretçiye yeniden sormak için altı ayı uygun bir süre olarak gösteriyor.

Süreden bağımsız olarak, amaçlar veya sağlayıcılar değiştiğinde rıza yeniden istenmeli; eski rıza yeni amacı kapsamaz. Sitenize yeni bir analitik aracı eklendiğini fark etmenin en güvenilir yolu, siteyi düzenli aralıklarla taramaktır. Özellikler sayfasında bu izlemenin nasıl yapıldığını görebilirsiniz.

Sık yapılan beş hata

• Rızaya tabi scriptleri banner yanıt beklerken çalıştırmak.
• Reddet butonunu ikinci katmana saklamak ya da kabul butonundan daha soluk göstermek.
• "Siteyi kullanmaya devam ederek kabul etmiş olursunuz" cümlesi. Pasif kullanım rıza değildir.
• Tercih panelinde kategorileri önceden işaretli getirmek.
• Tıklamayı kaydetmemek. İspat edemediğiniz rıza, EDPB'nin ifadesiyle GDPR standardının altında kalır.

Kontrol listesi

• Ziyaretçi henüz seçim yapmadan sitede hangi çerezler düşüyor? Yalnızca kesinlikle gerekli olanlar mı?
• İlk katmanda amaçlar sayılıyor mu ve aydınlatma metnine bağlantı var mı?
• "Kabul et", "reddet" ve "tercihler" butonları aynı katmanda, aynı büyüklükte ve aynı belirginlikte mi?
• Rızaya tabi kategoriler ikinci katmanda varsayılan olarak kapalı mı?
• Her kategoride amaç, süre ve sağlayıcı bilgisi var mı ve çerez politikasıyla aynı mı?
• Her tercih zaman damgası ve sürüm bilgisiyle kaydediliyor mu?
• Ziyaretçi tercihini sonradan tek tıkla değiştirebiliyor mu? Değiştirince ilgili scriptler duruyor mu?
• Amaç veya sağlayıcı değiştiğinde rıza yeniden isteniyor mu?

Bu listenin ilk ve son maddeleri elle takip edilmesi en zor olanlardır. DILAYS sitenizi tarar, rıza öncesi düşen çerezleri ve üçüncü taraf servisleri gösterir, banner'ı bu envantere göre kurar ve her tercihi kayıt altına alır. Banner'ın hukuki ölçütleri değişmez; DILAYS bu ölçütleri tarama sonucuna bağlar.