Hangi çerezler rıza gerektirmez? Kesinlikle gerekli çerezlerin sınırı

Hemen her çerez banner'ında ziyaretçinin kapatamadığı bir kategori vardır. Adı çoğunlukla "kesinlikle gerekli" ya da "zorunlu" çerezlerdir ve içine konan her şey, ziyaretçi henüz hiçbir şeye tıklamadan yüklenir. Bu kategoriye neyi koyduğunuz, sitenizin ne kadarının rıza beklemeden çalışacağını belirler.

Kategorinin hukuki bir tanımı var ve bu tanım çoğu site sahibinin sandığından dardır. Bu yazı tanımı ele alıyor ve tipik bir sitedeki çerezlere uyguluyor: oturum ve sepet, giriş, güvenlik, yük dengeleme, dil tercihi, rıza tercihini tutan çerez, gömülü video ve analitik.

Kaynaklar ePrivacy Direktifi'nin 5(3) maddesi, 29. Madde Çalışma Grubu'nun çerez rızası muafiyetine ilişkin 04/2012 sayılı görüşü, Fransız veri koruma otoritesi CNIL'in rehberleri ve Türkiye için KVKK'nın Çerez Uygulamaları Hakkında Rehber'idir.

Rıza kuralı ve iki istisnası

ePrivacy Direktifi'nin 5(3) maddesi, kullanıcının cihazında bilgi saklanmasına ya da orada saklı bilgiye erişilmesine ancak kullanıcı açık ve kapsamlı biçimde bilgilendirildikten sonra rıza vermişse izin veriyor. Aynı cümle iki istisna taşıyor. Tek amacı bir iletişimin elektronik haberleşme şebekesi üzerinden iletilmesini sağlamak olan saklama ve erişim için rıza aranmıyor. Kullanıcının açıkça talep ettiği bir bilgi toplumu hizmetini sağlayıcının sunabilmesi için kesinlikle gerekli olan saklama ve erişim için de aranmıyor.

Çalışma Grubu'nun görüşü bunlara Kriter A ve Kriter B adını veriyor; KVKK rehberi de aynı iki ölçütü kullanıyor. AB üyesi devletler kuralı kendi hukuklarına aktarmış durumda: Fransa'da Loi Informatique et Libertés'nin 82. maddesi, Almanya'da ise aynı iki istisnayı içeren TDDDG'nin 25. maddesi.

Kimin için gerekli?

Çerezlerin çoğu Kriter B üzerinden savunulur. Çalışma Grubu bu ölçütü, çerezin aynı anda geçmesi gereken iki test olarak okuyor. Kullanıcı, sınırları belli bir hizmeti almak için olumlu bir eylemde bulunmuş olmalı. Çerez devre dışı bırakıldığında da o hizmet çalışmıyor olmalı.

Görüş buna bir yönerge ekliyor: neyin kesinlikle gerekli olduğuna hizmet sağlayıcının değil, kullanıcının bakış açısından bakılır. Analitik için bunu doğrudan söylüyor: site işletenler analitiği çoğu zaman kesinlikle gerekli bir araç sayar, oysa bu çerezler kapalıyken de kullanıcı sitenin bütün işlevlerine erişebilir.

Tipik olarak muaf sayılan çerezler

Görüşün muaf saydıkları şunlar:

• Ziyaretçinin birkaç sayfalık bir forma yazdıklarını ya da sepete eklediklerini izleyen oturum çerezleri (Kriter B).
• Giriş yapan ziyaretçiyi oturum süresince tanıyan kimlik doğrulama çerezleri.
• Girişi koruyan güvenlik çerezleri, örneğin tekrarlanan başarısız denemeleri tespit edenler. Görüş bunların giriş çerezinden daha uzun ömürlü olmasını bekliyor.
• Ziyaretçinin taleplerini havuzdaki hangi sunucunun karşıladığını belirten yük dengeleme oturum çerezleri (Kriter A).
• Ziyaretçinin rıza tercihini saklayan çerez. CNIL bunu muaf sayıyor, KVKK rehberi de Kriter B kapsamında değerlendiriyor.

Bu listenin içindeki istisna kalıcı giriştir. Görüş, tarayıcı kapandıktan sonra da ziyaretçiyi girişli tutan çerezi muaf saymıyor, çünkü ziyaretçi tarayıcıyı kapatmanın oturumu sonlandırmadığını fark etmeyebilir. Giriş formunun yanına konan "beni hatırla" kutusu ve çerez kullanıldığını söyleyen kısa bir not, görüşe göre bunun için rıza almanın uygun bir yoludur. KVKK rehberi de aynı yaklaşımda.

Sınırdaki durumlar: tercihler ve gömülü video

Dil ve görünüm tercihleri. Görüş, ziyaretçinin tıklayarak yaptığı bir seçimi, örneğin dil bayrağını hatırlayan çerezi muaf sayıyor, ancak yalnızca oturum çerezi ya da kısa ömürlü çerez olarak. CNIL ise arayüz kişiselleştirme çerezlerini, kişiselleştirme hizmetin özünde olan ve beklenen bir parçasıysa muaf sayıyor.

Gömülü video. Görüş, oynatma için gereken teknik veriyi (görüntü kalitesi, bağlantı hızı, arabellek parametreleri) tutan multimedya oynatıcı oturum çerezlerini muaf sayıyor ve bunlara başka bilgi eklenmemesini şart koşuyor. Üçüncü taraf çerezlerin genellikle kesinlikle gerekli olmadığını da not ediyor, çünkü bunlar ziyaretçinin talep ettiğinden ayrı bir hizmete ilişkindir.

Analitik: düzenleyiciler arasında fark var

2012 tarihli görüş, birinci taraf analitik çerezlerin iki ölçütten hiçbirine girmediğini söylüyor. Aynı yerde şunu da ekliyor: yalnızca birinci taraf toplu istatistikle sınırlı kaldıklarında, site açık bilgi verdiğinde ve kolay bir vazgeçme mekanizması ile IP adreslerinin anonimleştirilmesi gibi güvenceler bulunduğunda bu çerezlerin gizlilik riski yaratması olası değildir.

CNIL Fransa için daha ileri gidiyor. Kitle ölçümü çerezlerini, yalnızca sitenin kitle ölçümüyle sınırlı bir amaçla ve yalnızca yayıncı adına kullanılıyor ve yalnızca anonim istatistik üretiyorsa muaf sayıyor. Veriler başka işlemelerle birleştirilmemeli, anonim olmayan veri üçüncü taraflara aktarılmamalı ve çerez ziyaretçiyi farklı siteler ya da uygulamalar arasında izlememeli. CNIL, piyasadaki bazı analitik ürünlerin, sağlayıcı veriyi kendi hesabına yeniden kullandığı için muafiyet dışında kaldığını da not ediyor.

KVKK rehberi benzer bir çizgide: birinci taraf analitik çerezler, yalnızca anonim istatistik üretmek için kullanıldığında ve kişileri farklı siteler arasında izlemediğinde Kriter B kapsamında değerlendirilebilir.

Pratikte bir analitik çerezinin rıza beklemeden çalışıp çalışamayacağı, kuralları size uygulanan ülkeye ve aracın nasıl yapılandırıldığına bağlıdır. İkisinden biri net değilse analitiği rızaya tabi tutmak daha güvenli olabilir.

Muaf olmayanlar

Görüş reklam konusunda açık. Davranışsal reklamcılık için kullanılan üçüncü taraf çerezler rıza gerektirir; gösterim sıklığını sınırlama, tıklama sahtekarlığını tespit ve pazar analizi gibi çevresindeki operasyonel çerezler de öyle. KVKK rehberi aynı şeyi söylüyor. Sosyal eklentiler ikiye ayrılıyor: görüş, sosyal ağda oturumu açık olan ziyaretçi için paylaşım çerezini kabul ediyor, üye olmayanlar ve oturumunu kapatmış üyeler için rıza gerekiyor, izleme amacıyla kullanılan eklenti çerezleri ise kimse için muaf değil.

Amaç ve süre

Görüşe göre bir çerezin muaf olup olmadığını amacı belirler. Bir çerez birden fazla amaca hizmet ediyorsa, ancak her amaç tek başına muafsa muaf sayılır. Hem bir tercihi hatırlayan hem de ziyaretçiyi izleyen çerez, izleme amacı için rıza gerektirir. Görüşün önerisi her amaç için ayrı bir çerez kullanmaktır.

Süre de amacı izler. Muaf bir çerez, ortalama kullanıcının makul beklentisi gözetilerek, ihtiyaç kalmadığında sona ermelidir. Görüş muaf çerezlerin çoğunun tarayıcı oturumuyla birlikte ya da daha erken sona ermesini bekliyor.

Muaf çerez için de bilgilendirme gerekir

Muafiyet yalnızca rızayı kapsar. Görüş, yaptığı analizin bilgilendirilme hakkına halel getirmediğini belirtiyor. KVKK rehberine göre aydınlatma yükümlülüğü, hangi hukuka uygunluk sebebine dayanıldığından bağımsız olarak yerine getirilmelidir; rehber aydınlatma metninde çerezin adına, amacına, süresine ve birinci veya üçüncü taraf olduğuna yer verilmesini de tavsiye ediyor.

Kesinlikle gerekli çerezlerin yeri bu yüzden çerez politikanızda, diğerlerinin yanındadır. Bunun için sitenizin, ziyaretçi henüz seçim yapmadan hangi çerezleri yerleştirdiğini bilmeniz gerekir. Sitenizi taramak bu listeyi gösterir.

Sık yapılan beş hata

• Analitik ya da reklam çerezlerini, işletme onlara ihtiyaç duyduğu için "gerekli" kategorisine koymak.
• Tek bir çerezi hem giriş hem izleme için kullanmak.
• Amacı oturumla biten muaf bir çereze yıllarla ölçülen bir ömür vermek.
• Gömülü video oynatıcısını, hangi çerezleri yerleştirdiğine bakmadan muaf saymak.
• Kesinlikle gerekli çerezleri, rıza gerektirmedikleri için çerez politikasına yazmamak.

Kontrol listesi

• Gerekli kategorisindeki her çerez için ziyaretçinin talep ettiği özelliği adıyla söyleyebiliyor musunuz?
• Çerez engellendiğinde o özellik çalışmayı bırakıyor mu?
• Bu çerezlerin her birinin tek bir amacı var mı ve amacı bittiğinde sona eriyor mu?
• Kalıcı giriş bir "beni hatırla" seçimine bağlı mı?
• Analitik rıza beklemeden çalışıyorsa, ülkenizdeki otoritenin koşullarını ve aracın yapılandırmasını kontrol ettiniz mi?
• Muaf çerezler çerez politikanızda amaç ve süreleriyle listeleniyor mu?

Görüş, belirsiz durumlar için bir tavsiyeyle bitiyor: muafiyetin uygulanıp uygulanmadığı konusunda ciddi şüphe kalıyorsa, rızayı basit ve rahatsız etmeyen bir yolla almanın mümkün olup olmadığına bakın. Bir çerezin hangi kategoriye girdiğine siz karar verirsiniz. DILAYS sitenizi tarar, rıza öncesi düşen çerezleri ve üçüncü taraf servisleri gösterir; nasıl yaptığını özellikler sayfasında görebilirsiniz.