Faz 2: Yasal Uyumluluk — Cookie Consent, GDPR/KVKK ve Consent Mode v2

Neden Önemli?

Dijital gizlilik düzenlemeleri artık bir tercih değil, zorunluluktur. GDPR kapsamında veri ihlali yapan şirketlere yıllık cirosunun %4'üne kadar ceza kesilebilir — bu, büyük şirketler için milyarlarca euroya karşılık gelir. Türkiye'de KVKK benzer yaptırımlar öngörmektedir.

Google, Mart 2024 itibarıyla Avrupa Ekonomik Alanı (AEA) trafiği için Consent Mode v2 kullanımını zorunlu hale getirdi. Bu modu uygulamayan siteler, Google Ads dönüşüm verilerini kaybeder ve remarketing listeleri boşalır.

Cookie consent uygulaması sadece hukuki değil, kullanıcı güveni açısından da kritiktir. Araştırmalar, şeffaf veri politikası uygulayan sitelerin dönüşüm oranlarının %12 daha yüksek olduğunu göstermektedir.

Kontrol Listesi

• Cookie envanteri çıkarma: Sitede kullanılan tüm çerezleri (birinci parti, üçüncü parti) tespit edin. Her çerez için isim, amaç, süre, sağlayıcı ve kategori (zorunlu, analitik, pazarlama, tercih) bilgilerini belgeleyin.
• Cookie banner tasarımı: İlk ziyarette beliren, tüm kategorileri açıkça gösteren, "Tümünü Kabul Et", "Tümünü Reddet" ve "Tercihlerimi Yönet" seçeneklerini sunan banner implementasyonu. Banner kapatmak onay sayılmaz.
• GDPR uyumluluğu: Veri işleme temeli (lawful basis), veri minimizasyonu, saklama süreleri, veri silme hakkı (right to erasure), veri taşınabilirliği ve DPO (Data Protection Officer) ataması kontrolü.
• KVKK aydınlatma metni: Veri sorumlusu bilgileri, işlenen veri kategorileri, işleme amaçları, aktarım yapılacak taraflar, saklama süreleri ve ilgili kişi hakları içeren Türkçe aydınlatma metni hazırlanması.
• CCPA compliance: Kaliforniya'daki kullanıcılar için "Do Not Sell My Personal Information" linki, opt-out mekanizması ve privacy policy güncellemesi.
• Google Consent Mode v2: ad_storage, analytics_storage, ad_user_data ve ad_personalization consent türlerinin GTM üzerinden doğru yapılandırılması.
• Yasal sayfa şablonları: Gizlilik Politikası, Çerez Politikası, Kullanım Koşulları, KVKK Aydınlatma Metni ve Açık Rıza Metni sayfalarının oluşturulması.
• Consent log kayıtları: Kullanıcıların verdiği onayların tarih, saat, IP ve onay detaylarıyla birlikte kaydedilmesi — hukuki ispat için zorunlu.

Teknik Gereksinimler

Google Consent Mode v2 implementasyonu (GTM Data Layer):

// Consent Mode v2 varsayılan ayarlar window.dataLayer = window.dataLayer || []; function gtag(){dataLayer.push(arguments);} gtag('consent', 'default', { 'ad_storage': 'denied', 'ad_user_data': 'denied', 'ad_personalization': 'denied', 'analytics_storage': 'denied', 'functionality_storage': 'denied', 'personalization_storage': 'denied', 'security_storage': 'granted', 'wait_for_update': 500 }); // Kullanıcı onay verdikten sonra gtag('consent', 'update', { 'ad_storage': 'granted', 'ad_user_data': 'granted', 'ad_personalization': 'granted', 'analytics_storage': 'granted' });

Cookie banner CMP (Consent Management Platform) entegrasyonu: Cookiebot, OneTrust veya özel çözüm — seçilen CMP'nin GTM ile entegrasyonu, consent callback'lerinin doğru tetiklenmesi ve A/B test altyapısı kurulmalıdır.

Server-side consent kontrolü:

// Sunucu tarafında consent durumu kontrolü function hasConsent(category: string): boolean { const cookies = parseCookies(request.headers.cookie) const consent = JSON.parse(cookies['cookie_consent'] || '{}') return consent[category] === true } // Analytics script'ini sadece onay varsa yükle if (hasConsent('analytics')) { loadGoogleAnalytics() }

Sık Yapılan Hatalar

1. Onay alınmadan çerez yüklemek: Banner gösterilmeden Google Analytics veya Facebook Pixel'in çalışması GDPR/KVKK ihlalidir. Script'ler consent callback'i beklemeli.
2. Sadece "Kabul Et" butonu koymak: "Reddet" seçeneği olmayan veya görünmesi zor olan banner'lar yasal gereklilikları karşılamaz ve dark pattern sayılır.
3. Consent Mode v2'yi atlayıp sadece banner eklemek: Banner tek başına yetmez — GTM'deki consent sinyalleri doğru yapılandırılmazsa Google Ads dönüşüm kaybı yaşanır.
4. Çerez politikası sayfasını güncellememek: Yeni bir üçüncü parti araç eklendiğinde çerez politikası otomatik güncellenmez — manuel takip gerekir.
5. Onay kayıtlarını tutmamak: GDPR denetiminde "kullanıcı onay verdi" demek yetmez, bunu kanıtlayacak zaman damgalı kayıtlarınız olmalıdır.

Profesyonel İpuçları

• Cookie banner'ın kabul oranını artırmak için A/B test yapın — banner konumu, renkleri ve metin tonunu optimize ederek %15-25 daha yüksek consent oranı elde edebilirsiniz.
• Consent Mode v2'nin "Advanced" modunu kullanarak, onay verilmese bile Google'ın cookieless ping göndermesine izin verin — bu, dönüşüm modellemesi için kritik veri sağlar.
• KVKK aydınlatma metninizi bir avukatla birlikte hazırlayın ve yılda en az 2 kez güncelleyin.
• Cookiebot gibi otomatik tarama yapan CMP'ler kullanarak çerez envanterinizi güncel tutun — yeni eklenen her widget/script otomatik tespit edilir.
• IAB TCF 2.2 framework'ünü destekleyen bir CMP seçin — Avrupa'daki reklam ağları TCF uyumluluğu talep etmektedir.