UK GDPR Kapsamında Çerez Uyumluluğunu Kolaylaştırın

UK GDPR'nin yedi temel ilkesi, kuruluşların kişisel verileri işlerken uyması gereken standartları belirler:

1. Hukuka uygunluk, adillik ve şeffaflık: Kişisel veriler hukuka uygun, adil ve şeffaf bir şekilde işlenmelidir.

2. Amaçla sınırlılık: Veriler belirli, açık ve meşru amaçlar doğrultusunda toplanmalıdır.

3. Veri minimizasyonu: Yalnızca yeterli, ilgili ve gerekli olan kişisel veriler toplanmalıdır.

4. Doğruluk: Kişisel veriler doğru olmalı ve gerektiğinde güncel tutulmalıdır.

5. Saklama süresinin sınırlandırılması: Kimliği belirlenebilir kişilere ait veriler, gerekli olandan daha uzun süre saklanmamalıdır.

6. Bütünlük ve gizlilik: Kişisel veriler, hukuka aykırı erişime, kayba veya zarara karşı uygun güvenlik önlemleriyle korunmalıdır.

7. Hesap verebilirlik: Kuruluşlar, mevzuata uyum konusunda sorumluluk almalı ve bu uyumu kanıtlayabilmelidir.

Bu ilkeler, kişisel verilerin toplanmasından kullanılmasına, saklanmasından silinmesine kadar tüm veri yaşam döngüsü boyunca geçerlidir. Veri koruma ilkelerine ilişkin ICO rehberi

Information Commissioner’s Office (ICO), Birleşik Krallık'ın veri koruma alanındaki bağımsız denetim otoritesidir. ICO, UK GDPR'nin yanı sıra 2018 Veri Koruma Yasası (Data Protection Act 2018) ve Gizlilik ve Elektronik İletişim Düzenlemeleri (PECR) dahil olmak üzere yetki alanındaki diğer veri koruma ve elektronik iletişim mevzuatının uygulanmasını denetlemekten sorumludur.

ICO, şikâyetleri inceleyebilir, denetimler gerçekleştirebilir, yaptırım bildirimleri yayımlayabilir ve belirli ihlaller için para cezaları uygulayabilir. Ancak yasal gerekliliklere uyum sağlama sorumluluğu, kişisel verileri kontrol eden veya işleyen her kuruluşa aittir.

UK GDPR ve EU GDPR, aynı temel ilkeleri ve bireysel hakların birçoğunu paylaşsa da birbirinden ayrı yasal çerçevelerdir. Başlıca farklılıklar şunlardır:

• Düzenleyici otorite: UK GDPR, Information Commissioner’s Office (ICO) tarafından denetlenirken EU GDPR, AB üye ülkelerindeki veri koruma otoriteleri tarafından denetlenir.

• Yasal çerçeve: UK GDPR, 2018 Veri Koruma Yasası (Data Protection Act 2018) ve 2025 Veri (Kullanım ve Erişim) Yasası (Data (Use and Access) Act 2025) ile getirilen değişiklikler dahil olmak üzere Birleşik Krallık mevzuatıyla birlikte uygulanır.

• Uluslararası veri aktarımları: UK, kişisel verilerin uluslararası düzeyde aktarılmasına ilişkin kendi kurallarına ve mekanizmalarına sahiptir.

• Bölgesel kapsam: UK GDPR ve EU GDPR farklı bölgesel uygulama kapsamlarına sahiptir. Bu nedenle bir kuruluşun faaliyet gösterdiği bölgelere ve işlediği kişisel verilerin sahiplerine bağlı olarak her iki düzenlemeye de uyması gerekebilir.

Her iki pazarda da faaliyet gösteren kuruluşlar, mevzuata uyum durumlarını geçerli UK ve EU gereklilikleri kapsamında ayrı ayrı değerlendirmelidir.

UK'de çerezler ve benzer teknolojiler öncelikli olarak Gizlilik ve Elektronik İletişim Düzenlemeleri (PECR) kapsamında düzenlenir. Bu teknolojilerin kişisel verileri işlemesi durumunda UK GDPR de uygulanır.

Onay gerektiren çerezler için:

• Kullanıcının cihazında bilgi depolanmadan veya bilgilere erişilmeden önce onay alınmalıdır.

• Onay özgür iradeyle verilmiş, belirli, bilgilendirmeye dayalı ve açık olmalıdır.

•  Kullanıcılar, onay vermek için açık bir olumlu eylem gerçekleştirmelidir.

• Kullanıcılar, verdikleri onayı aynı kolaylıkla geri çekebilmelidir.

- Onay tercihleri uygulamaya yansıtılmalıdır. Bu, zorunlu olmayan çerezlerin ve izleme teknolojilerinin gerekli onay alınmadan önce çalışmaması gerektiği anlamına gelir.

PECR, belirli teknolojiler ve kullanım amaçları için özel istisnalar içerir. Bu nedenle her çerez otomatik olarak onay gerektirmez. Web sitesi yöneticileri, her teknolojiyi kullanım amacına ve geçerli istisnanın koşullarına göre değerlendirmelidir.

Doğrudan gerektirmez. UK mevzuatı, belirli bir çerez banner tasarımı veya formatı zorunlu kılmaz. Ancak çerezler veya benzer teknolojiler için onay gerektiğinde, ziyaretçilere açık ve anlaşılır bilgiler sunulmalı ve bu teknolojiler kullanılmadan önce geçerli bir tercih yapmaları sağlanmalıdır.

Doğru şekilde yapılandırılmış bir çerez banner'ı, izleme amaçlarını açıklamak ve ziyaretçilerin isteğe bağlı teknolojileri kabul etmesine, reddetmesine veya özelleştirmesine olanak tanımak için pratik bir yöntem sunar.

Hayır. Bir çerez banner'ı, arka planda çalışan teknolojilerle entegre olmalıdır. Etkili bir onay yönetimi yapılandırması şunları sağlamalıdır:

•  İstisna kapsamında olmayan çerezlerin ve komut dosyalarının onay alınmadan önce çalışmasını engellemelidir.

•  Ziyaretçi tercihlerini ilgili çerez ve izleme kategorilerine uygulamalıdır.

• Hesap verebilirliği desteklemek için onay etkinliklerini kayıt altına almalıdır.

• Ziyaretçilerin onaylarını kolayca değiştirmelerine veya geri çekmelerine olanak tanımalıdır.

• Web sitesinde kullanılan teknolojiler değiştiğinde gözden geçirilmelidir.

Okito, çerez taraması ve komut dosyası kontrolünden tercih yönetimi ve onay kayıtlarına kadar tüm bu işlevleri tek bir onay yönetim platformunda bir araya getirir.

Yasa, “Reject All” ifadesinin kullanılmasını açıkça zorunlu kılmaz. Ancak istisna kapsamında olmayan teknolojileri reddetmek, kabul etmek kadar kolay olmalıdır.

Kabul etmeyi reddetmeye kıyasla önemli ölçüde kolaylaştıran bir banner, kullanıcılara gerçek anlamda özgür bir seçim sunmayabilir. Ziyaretçiler, isteğe bağlı çerezleri ve izleme teknolojilerini reddetmek için açık ve eşit derecede erişilebilir bir seçeneğe sahip olmalıdır.

Belirli sınırlı durumlarda kullanılabilir. 2025 Veri (Kullanım ve Erişim) Yasası (Data (Use and Access) Act 2025), belirli koşullara tabi olmak üzere, yalnızca istatistiksel amaçlarla kullanılan bazı veri depolama ve erişim teknolojileri için PECR kapsamında bir istisna getirmiştir.

Ancak bu, tüm analitik çerezlerin istisna kapsamında olduğu anlamına gelmez. Kuruluşlar, kullanılan teknolojiyi, kullanım amacını ve istisna koşullarının karşılanıp karşılanmadığını değerlendirmelidir. Reklamcılık, profil oluşturma veya istisna kapsamına girmeyen diğer amaçlarla kullanılan analitik teknolojiler için hâlâ onay alınması gerekebilir.

Kuruluşlar, geçerli bir onay alındığını kanıtlamak için yeterli kayıtları saklamalıdır. Kullanılan onay mekanizmasına bağlı olarak bu kayıtlar şunları içerebilir:

• Onayın ne zaman verildiği veya değiştirildiği.

• Ziyaretçinin hangi çerezleri kabul ettiği veya reddettiği.

• Onay tercihinin nasıl alındığı.

•  Ziyaretçiye hangi onay bilgilerinin sunulduğu.

• Ziyaretçinin daha sonra onayını geri çekip çekmediği veya tercihlerini değiştirip değiştirmediği.

Okito, onay etkinliklerini ve ziyaretçi tercihlerini merkezi bir kontrol panelinde kayıt altına alarak kuruluşların denetim kayıtlarını tutmasına ve mevzuata uyum incelemelerini desteklemesine yardımcı olur.

Evet. UK'de veri depolama ve erişim teknolojilerine ilişkin kurallar yalnızca geleneksel çerezlerle sınırlı değildir. Bu kurallar; izleme pikselleri, bağlantı süsleme (link decoration), yerel depolama (local storage), cihaz parmak izi (device fingerprinting), komut dosyaları, etiketler ve benzer teknolojiler için de geçerli olabilir.

Bu nedenle kuruluşlar, yalnızca geleneksel çerez envanterine güvenmek yerine kullandıkları tüm izleme teknolojilerini kapsamlı şekilde değerlendirmelidir.

2025 Veri (Kullanım ve Erişim) Yasası (Data (Use and Access) Act 2025), PECR'de değişiklikler yaparak veri depolama ve erişim teknolojilerinin belirli kullanımları için ek istisnalar getirmiştir.

Başlıca değişiklikler şunlardır:

• Belirli istatistiksel amaçlar için istisna getirilmesi.

• Belirli görünüm veya işlevsellik tercihleri için istisna getirilmesi.

• Acil yardım kapsamında konum verilerinin kullanımına ilişkin istisna getirilmesi.

• PECR'nin uygulanması, yaptırımları ve para cezalarına ilişkin hükümlerde değişiklikler yapılması.

Bu istisnalar belirli koşullara tabidir ve analitik, reklam