Çerez Politikalarının Hukuki Niteliği ve KVKK Kurul İlkeleri Çerçevesinde Değerlendirilmesi

1 · Çerezin Hukuki Niteliği

Çerezler, tarayıcı üzerinden kullanıcı cihazına yerleştirilen ve büyük çoğunluğu KVKK m. 3/1-(d) anlamında kişisel veri niteliği taşıyan küçük metin dosyalarıdır. Doktrinde ve Kurul uygulamasında çerezler; zorunlu / işlevsel / performans ve analitik / reklam ve pazarlama olmak üzere dört ana kategoride sınıflandırılmakta ve her kategori için hukuki sebep farklılaşmaktadır.

2 · Kurul Rehberi ve Hukuki Sebep Ayrımı

Kişisel Verileri Koruma Kurulu'nun 20.06.2022 tarihli Çerez Uygulamaları Hakkında Rehber'i, ePrivacy Direktifi (2002/58/AT) ve GDPR 29. Madde Çalışma Grubu görüşleriyle uyumlu bir yaklaşım benimsemiştir. Buna göre, yalnızca hizmetin sunulabilmesi için kesinlikle zorunlu olan çerezlerde KVKK m. 5/2-(f) çerçevesinde meşru menfaat veya m. 5/2-(c) sözleşmenin ifası hukuki sebebi kabul edilebilirken; performans, analitik, reklam ve profil çerezleri için açık rıza alınması esastır.

3 · Onay Bandı ve Granular Rıza

Kurul, siteye giriş ile birlikte otomatik olarak zorunlu olmayan çerezlerin çalıştırıldığı, "kabul et" butonuyla "reddet" butonunun görsel eşitliğinin sağlanmadığı ya da "sadece devam et" düğmesiyle rıza alındığı varsayılan tasarımları hukuka aykırı bulmuştur. Geçerli bir onay için; (i) opt-in (varsayılan olarak işaretsiz), (ii) kategori bazlı seçim imkânı, (iii) reddetmenin en az kabul etmek kadar kolay olması ve (iv) rızanın her an geri alınabilmesi gerekir. Bu unsurlar aynı zamanda ispat yükünün karşılanmasını sağlayan teknik zeminini oluşturur.

4 · Çerez Politikasının Aydınlatma Metninden Farkı

Çerez politikası, KVKK m. 10 kapsamındaki genel aydınlatma metninden farklı olarak; çerezin adı, sağlayıcısı, türü, işlevi, saklama süresi ve üçüncü taraf paylaşımı bilgilerini tabloya bağlı biçimde sunmak zorundadır. Kurul, "geniş ifadelerle genel bilgilendirme yapılmasının" aydınlatma yükümlülüğünü karşılamadığına ilişkin kararlarında; her aktif çerez için ayrı satır tutulmasını, güncelleme tarihinin belirtilmesini ve politikanın tarayıcı diliyle uyumlu şekilde erişilebilir olmasını aramaktadır.

5 · Değerlendirme

Çerez politikası artık bir bilgilendirme metni olmanın ötesinde, teknik uygulama (CMP — consent management platform) ile hukuki metnin eş zamanlı çalıştığı bir uyum mimarisi hâline gelmiştir. E-ticaret işletmelerinde CMP kayıtlarının log tabanlı saklanması, olası bir Kurul denetiminde hem onayın hem de reddin ispatı bakımından merkezî bir role sahiptir.