İnternet sitelerinde kullanılan çerezler aracılığıyla site ziyaretçilerinin kişisel verileri işlenmektedir. Bu kapsamda, Kurul’un vermiş olduğu kararlar ışığında, çerezler iki gruba ayrılmaktadır. İnternet sitesinin kullanımı için zorunlu olan çerezler “kesinlikle gerekli çerezler” olarak adlandırılmakta geri kalanlar ise “diğer çerezler” altında toplanmaktadır. Bu kapsamda, Kurul’un 10.03.2022 tarihli ve 2022/229 sayılı kararında detaylı şekilde değerlendirildiği üzere internet sitesi sahiplerinin site kullanıcılarına karşı; kesinlikle gerekli çerezler açısından aydınlatma ve diğer çerezler açısından ise hem aydınlatma hem de açık rıza yükümlülüğü bulunmaktadır1. Bu çerçevede bir Çerez Politikası hazırlanmalıdır. Kurul, bahsi geçen kararında hazırlanacak olan Çerez Politikalarını bir aydınlatma metni gibi değerlendirmiş ve aydınlatma yükümlülüğü yerine getirilirken dikkat edilmesi gereken hususlara burada da yer verilmesi gerektiğini belirtmiştir. Bu kapsamda, hazırlanmış olan Çerez Politikası, Kurul içtihatı ışığında incelendiğinde şu hususlar görülmektedir:
− Çerezler aracılığıyla işlenen kişisel verilere dair veri toplama yöntemi belirtilmemiştir. Bu kapsamda; “internet sitemizde kullanılan çerezlerin cihazınıza yerleştirilmesi aracılığıyla otomatik yolla elde edilen kişisel verilerin işlenmesi” gibi bir ifade ile hangi yollarla kişisel veri toplandığının belirtilmesi gerekmektedir.
− Çerez Politikası’nda, KVKK kapsamında sayılan hukuki işleme sebepleri belirtilmemiştir. Kesinlikle gerekli çerezler KVKK’nın 5’inci maddesinin ikinci fıkrasının (f) bendi uyarınca “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” işleme şartına dayanılabilecektir. Diğer çerezler için ise açık rıza temel alınacaktır. Burada önemli bir husus, her bir çerez türünün (örneğin “Google çerezleri”) hangi çerez grubuna (kesinlikle gerekli veya diğer çerezler) dahil olduğu açıkça listelenmelidir.
İlgili kişilerin, Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 4. maddesinde ve KVKK’nın 11. maddesinde düzenlenen hakları Çerez Politikası’nda belirtilmelidir.
Bu bilgiler ışığında “kesinlikle gerekli çerezler” dışındaki çerezlerin kullanımı kullanıcıların onayı ile açılmalıdır. Kesinlikle gerekli çerezler, Çerez Uygulamaları Hakkında Rehber2 kapsamında Kurul tarafından şu şekilde tanımlanmıştır:
“…internet sitesinin çalışması amacıyla gerekli olan çerezlerdir. Söz konusu çerezler kullanıcının talep etmiş olduğu bir bilgi toplumu hizmetinin (log-in olma, form doldurma, gizlilik tercihlerinin hatırlanması gibi) yerine getirilebilmesi için zorunlu olarak kullanılmaktadırlar”
Bu kapsamda, internet sitesini ziyaret eden kullanıcıların bir tıklama ile vereceği onay olmadan “kesinlikle gerekli çerezler” dışında kalan çerezlerin açılmaması tavsiye edilmektedir. İnternet sitesine girişte ziyaretçinin önüne sunulacak bir pop-up ile onay alınması ve söz konusu pop-up içerisinde hazırlamış olduğumuz Çerez Politikası’na yönlendiren bir link bulunması önerilmektedir.
