“Banner Gerekmez” Vaadi

Gizlilik odaklı analitik araçları kendilerini çoğu zaman çerezsiz olarak pazarlar ve bazıları daha da ileri giderek artık bir onay banner'ına ihtiyacınız olmadığını ima eder. Yalın bir yığına sahip bir yayıncı için bu cazip bir fikirdir. Gerçek daha nüanslıdır. Onayın gerekip gerekmediği; aracın cihazda gerçekte ne yaptığına, hangi verileri işlediğine, kullanıcılarınızın nerede olduğuna ve sayfalarınızda başka neyin çalıştığına bağlıdır.

Bu makale, analitiği onay kurulumunuzdan çıkarmadan önce sorulması gereken soruları açıklar. Genel bir rehberdir, hukuki danışmanlık değildir.

Tetikleyici Yalnızca Çerezler Değildir

AB'de cihazlara ilişkin onay kuralı ePrivacy Direktifi'nin 5(3). maddesinden gelir. Yalnızca çerezleri değil, kullanıcının cihazında bilgi depolamayı veya cihazdan bilgiye erişmeyi kapsar. Yerel depolama, oturum depolaması, bilgilerin okunmasına neden olan pikseller ve cihaz özelliklerinden tanımlayıcı türeten teknikler de kapsama girebilir. Avrupa Veri Koruma Kurulu bu geniş okumayı 5(3). maddenin teknik kapsamına ilişkin 2/2023 sayılı Kılavuz'da ortaya koydu.

Dolayısıyla “çerez ayarlamıyoruz” analizin sonu değil başlangıcıdır. Aracın cihazda herhangi bir şey depolayıp depolamadığını veya okuyup okumadığını bilmeniz gerekir.

Herhangi Bir Analitik Aracı İçin Sorulacak Dört Soru

1. Cihazda bir şey depoluyor veya okuyor mu?

Sayfa yüklendikten sonra tarayıcının depolama panellerini kontrol edin: çerezler, yerel depolama, oturum depolaması, IndexedDB. Betikte bir tanımlayıcı oluşturmak için cihaz özelliklerini toplayan kod olup olmadığına bakın. Analitik amaçlarla herhangi bir şey depolanıyor veya okunuyorsa, bir istisna geçerli olmadıkça ePrivacy kuralı devreye girer.

2. Kişisel veri işliyor mu?

Cihaz depolaması olmasa bile analitik genellikle IP adreslerini, user agent'ları ve sayfa URL'lerini işler. GDPR kapsamında bunlar kişisel veri olabilir. Bu, onay yerine meşru menfaat olabilecek bir hukuki dayanak ile gizlilik bildiriminizde şeffaflık, veri minimizasyonu ve uygun saklama gerektirir. “Banner yok” hiçbir zaman “yükümlülük yok” anlamına gelmez.

3. Kullanıcılarınızın ülkelerinde bir istisna geçerli mi?

Bazı düzenleyiciler, katı koşullar karşılandığında sınırlı kitle ölçümünün onaydan muaf olabileceğini kabul eder. Fransa'nın CNIL'i, kitle ölçümü izleyicilerini muaf tutma koşullarını yayımlamıştır ve bunları karşılayacak şekilde yapılandırılabilen araçları belirleyen bir program yürütür. Koşullar tipik olarak kesinlikle birinci taraf kullanımı, yalnızca toplu istatistikler, siteler arası izleme olmaması ve sınırlı saklamayı içerir. Birleşik Krallık'ın Data (Use and Access) Act 2025 yasası, belirli istatistiksel amaçlar da dahil olmak üzere PECR onay şartına, net bilgilendirme ve itiraz yolu gibi koşullara tabi yeni istisnalar getirdi. Her ülke aynı görüşü benimsemez; bu nedenle hizmet verdiğiniz her pazardaki durumu ve hangi hükümlerin yürürlükte olduğunu kontrol edin.

4. Veriler başka biriyle paylaşılıyor mu?

Araç verileri kendi amaçları için kullanan ya da müşteriler arasında birleştiren bir satıcıya gönderiyorsa, istisnalar genellikle ortadan kalkar. Yalnızca pazarlama sayfasını değil, işleme şartlarını da okuyun.

Genellikle Hâlâ Onay Gerektirenler

• Reklam etiketleri. Reklam destekli yayıncılar, analitik araçları ne yaparsa yapsın, kişiselleştirilmiş reklamcılık ve reklam satıcılarının cihaz depolaması için onaya ihtiyaç duyar.
• Oturumlar arası tanımlayıcıları olan araçlar. Birinci taraf olsa bile kalıcı ziyaretçi kimlikleri, bir aracı çoğu istisnanın dışına çıkarma eğilimindedir.
• Oturum yeniden oynatma ve ısı haritaları. Bunlar ayrıntılı davranışı yakalar ve nadiren muaf ölçüm olarak değerlendirilir.
• Gömülü içerik ve sosyal widget'lar. Bunlar kendi çerezlerini ve tanımlayıcılarını ayarlar.
• Dönüşüm ve yeniden pazarlama pikselleri. Bunlar davranışı reklamcılıkla ilişkilendirmek için vardır.

Reklam destekli sitelerin çoğunda banner, reklam yığını için zaten gereklidir. Asıl soru, analitiğin onaya bağlı kategorilerden biri mi olması gerektiği yoksa dar bir istisna kapsamında bağımsız çalışıp çalışamayacağıdır.

Karar Vermenin Pratik Bir Yolu

1. Her analitik betiğini ve neyi depoladığını, okuduğunu ve gönderdiğini listeleyin.
2. Kullanıcılarınızın çoğunun bulunduğu ülkeleri belirleyin.
3. Her araç için, yapılandırmasının bu ülkelerde tanınan bir istisnayı karşılayıp karşılamadığını kontrol edin.
4. Aracı ihtiyaç duyduğunuz en katı sürüme yapılandırın: IP kısaltma, kalıcı kimlik yok, kısa saklama, veri paylaşımı yok.
5. Gerekçeyi belgeleyin ve analitik aracını her iki durumda da çerez politikanızda ve gizlilik bildiriminizde listeli tutun.
6. Satıcı ürününü değiştirdiğinde veya pazarlarınız değiştiğinde yeniden kontrol edin.

Muaf Analitiği Bir CMP ile Birlikte Çalıştırmak

Bir aracın uygun olduğuna karar verirseniz, onu CMP'nizde kesinlikle gerekli veya muaf olarak listeleyin; böylece açıklanır ancak kapılanmaz ve yapılandırmasının muafiyet sınırları içinde kaldığından emin olun. Birçok yayıncı ayrıca daha zengin ölçüm için onaya bağlı bir analitik kurulumu da tutar ve bunu kullanıcının tercihine göre ayarlamak için Google Consent Mode v2 veya benzer sinyalleri kullanır. FlexyConsent, IAB TCF 2.4 ve IAB GPP v1.1 ile birlikte Google Consent Mode v2'yi destekler.

Önemli Çıkarımlar

• “Çerezsiz” otomatik olarak “onay gerekmez” anlamına gelmez; 5(3). madde her türlü cihaz depolamasını veya erişimini kapsar.
• Cihaz depolaması olmayan analitik de kişisel veri işleyebilir ve bir hukuki dayanak ile şeffaflık gerektirir.
• Kitle ölçümü için istisnalar bazı ülkelerde vardır ancak katı koşullarla gelir.
• Reklam, oturum yeniden oynatma ve yeniden pazarlama etiketleri hâlâ onay gerektirir.
• Bir aracın neden muaf sayıldığını belgeleyin ve düzenli olarak yeniden kontrol edin.