Kişisel Verileri Koruma Kurumu (“Kurum”), 11 Ocak 2022 tarihinde internet sitesinde ‘’Çerez Uygulamaları Hakkında Rehber Taslağı’’nı (“Rehber”) yayınladı. Kurum, ilgili olabilecek tarafların görüşlerinin toplanması amacıyla Rehber’i 10 Şubat 2022 tarihine kadar kamuoyunun görüşüne sundu. Bu doğrultuda, Rehber’e ilişkin görüş ve değerlendirmelerin 10 Şubat 2022 tarihine kadar yazı ile Kuruma ve/veya e-posta ile cerez@kvkk.gov.tr elektronik posta adresine gönderilmesi mümkündür.
Kurum Rehber ile, çerez yoluyla kişisel veri işleyen internet sitesi işleten tüm veri sorumlularının çerez kullanımlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“KVKK”) uyumuna yönelik öneriler getirmektedir.
Rehber’de genel olarak çerez tanımı ve çerez türleri, 5809 sayılı Elektronik Haberleşme Kanunu (“EHK”) ile KVKK arasındaki ilişki, çerezlere dair dikkat edilmesi gereken kurallar, açık rıza gerektiren ve açık rıza gerektirmeyen çerez kullanımları gibi hususlara yer verilmiştir.
Çerezler EHK’da özel olarak düzenlenmemiştir ve EHK’de 2002/58/EC sayılı E-Gizlilik Direktifi’nin bilgi toplumu hizmetlerine ilişkin hükümleri yer almamaktadır. EHK yalnızca elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve altyapısını işleten şirketleri kapsadığından EHK yalnızca veri sorumlusu işletmeciler ile sınırlı olarak uygulanabileceği düzenlenmiştir.
Rehber’de çerez, ‘’bir internet sayfası ziyaret edildiğinde kullanıcılara ilişkin birtakım bilgilerin kullanıcıların terminal cihazlarında depolanmasına izin veren düşük boyutlu zengin metin biçimli text formatları’’ olarak tanımlanmış olup, çerez türleri ise sürelerine, kullanım amaçlarına ve taraflarına göre tasnif edilmiştir.
Rehber’de açık rıza gerektiren ve gerektirmeyen çerez kullanımları ile ilgili olarak Avrupa Birliği’nin:
- Çerezin sadece, iletişimin elektronik haberleşme şebekesi üzerinden sağlanması amacıyla kullanılması (‘’Kriter A’’),
- Çerez kullanımının, abonenin veya kullanıcının hizmet almak için açıkça talep ettiği bilgi toplum hizmetleri için kesinlikle gerekli olması (‘’Kriter B’’)
şeklindeki iki kriterinin de çerezler aracılığıyla kişisel veri işlenirken göz önünde bulundurulması gerektiği vurgulanmıştır.
Rehber’de, bu kriterlere (Kriter A ve Kriter B) ve KVKK’nın açık rıza dışındaki veri işleme şartları kapsamına girmeyen çerezler için açık rıza alınması gerekliliği belirtilmiştir.
Rehber uyarınca, KVKK kapsamında çerezler aracılığıyla kişisel veri işlenebilmesi için (i) açık rıza bulunması ya da (ii) veri sorumlusunun çerezler yoluyla kişisel veri işleme faaliyeti özelinde yapacağı değerlendirmesi neticesinde, KVKK’nın 5. ve/veya 6. maddelerinde sayılan diğer veri işleme şartlarının bulunması gerekmektedir.
Rehber’de, sadece internet sitesine girilmiş olmasının söz konusu sitede çalışan çerezlere açık rıza verildiği anlamına gelmediği vurgulanmıştır. Bunun yanında Kurum, çok sık aralıklarla rıza alınmasının rıza yorgunluğuna sebebiyet vererek ilgili kişinin iradesini sakatlayabileceğini belirtmiş, bu anlamda rızanın internet sitesine her girişte alınması yerine açık rıza tercihinin çerezin ömrü ile orantılı şekilde periyodik olarak hatırlatılmasının uygun olabileceğini değerlendirmiştir.
Son olarak, Rehber’de, çerezler için yapılacak aydınlatma yükümlülüğünde KVKK’nın 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in uygulanması gerektiği hususu vurgulanmıştır.
