Meta Pikseli ve Google Etiketleri: Rıza Almadan Çalıştırmanın Riski

Satış Hunisinin Görünmeyen Katmanı

Bir e-ticaret sitesinde reklam performansını ölçmenin en yaygın yolu, sayfaya reklam platformlarının etiketlerini eklemektir. Etiket bir kez kurulduğunda çoğu zaman unutulur; hangi verinin, hangi anda ve nereye gittiği pazarlama ekibinin bile gözünden kaçar. Meta pixel KVKK açısından tam da bu nedenle sık karşılaşılan bir risk başlığıdır.

Bu yazıda piksellerin ve etiketlerin hangi veriyi gönderdiğini, rıza alınmadan tetiklenmelerinin neden sorun olduğunu, yurt dışı aktarım boyutunu, onay moduna geçişi ve sunucu taraflı etiketlemeyi ele alıyoruz. Son bölümde kendi sitenizi kontrol edebileceğiniz basit bir yöntem paylaşıyoruz.

Pikseller hangi veriyi gönderir?

Piksel veya etiket, sayfaya eklenen ve ziyaretçinin tarayıcısında çalışan küçük bir kod parçasıdır. Sayfa açıldığında ya da ziyaretçi belirli bir işlem yaptığında reklam veya analiz platformuna bir istek gönderir. Bu istekle birlikte genellikle şu bilgiler iletilir:

Teknik bilgiler: IP adresi, tarayıcı ve cihaz türü, ekran çözünürlüğü, dil ve zaman bilgisi.

Gezinme bilgileri: ziyaret edilen sayfanın adresi, gelinen sayfa, görüntülenen ürünler.

Olay bilgileri: sepete ekleme, ödeme adımına geçme, satın alma tutarı gibi dönüşüm olayları.

Tanımlayıcılar: platformun tarayıcıya yerleştirdiği çerezlerdeki kimlikler ve, gelişmiş eşleştirme özelliği açıksa, e-posta veya telefon gibi bilgilerin karma (hash) değerleri.

Bu verilerin bir kısmı tek başına kimseyi tanımlamaz. Ancak aynı tanımlayıcı üzerinden farklı sitelerdeki davranışlar birleştirildiğinde kişi belirlenebilir hâle gelir. KVKK, belirlenebilir gerçek kişiye ilişkin her bilgiyi kişisel veri sayar; bu nedenle piksel verisi de kural olarak KVKK kapsamındadır. Karma değerler de, platform tarafında eşleştirmeye yaradığı ölçüde kişisel veri niteliğini korur.

Rıza öncesi tetikleme sorunu

Kişisel Verileri Koruma Kurumu'nun (Kurum) Çerez Uygulamaları Hakkında Rehberi, davranışsal reklamcılık amacıyla kullanılan çerezlerin açık rıza gerektirdiğini açıkça belirtir. Rehbere göre bu gereklilik; gösterim sıklığı, reklam ortaklığı, tıklama sahtekârlığının tespiti ve pazar analizi gibi reklamcılıkla ilgili tüm çerezleri kapsar.

Rehber, açık rızanın “opt-in” yani kişinin bilinçli bir eylemiyle önceden verilmesi gerektiğini vurgular. Siteyi kullanmaya devam etmenin rıza sayılması, rızanın kullanım koşullarına iliştirilmesi veya hizmetin rızaya bağlanması hukuka uygun kabul edilmez. İyi uygulama olarak çerez panelinde “Kabul et”, “Reddet” ve “Tercihler” seçeneklerinin renk, büyüklük ve punto açısından eşit sunulması önerilir.

Sorun çoğu zaman teknik kurulumdan kaynaklanır: çerez bandı ekranda görünür, ancak etiket yöneticisindeki tetikleyiciler sayfa yüklenir yüklenmez çalışır. Ziyaretçi henüz bir seçim yapmadan veri platforma gitmiş olur. Bu durumda banttaki “Reddet” butonu yalnızca görsel bir işlev görür.

Rehber'in kapsam bölümünde piksel, beacon ve yerel depolama gibi benzer teknolojiler için ayrıca bir yönlendirme yapılmadığı belirtilir. Bu, piksellerin serbest olduğu anlamına gelmez: piksel kişisel veri işliyorsa KVKK'nın genel hükümleri uygulanır ve bu etiketler çoğunlukla tarayıcıya kendi çerezlerini de yerleştirir.

Yurt dışı aktarım boyutu

Reklam platformlarının sunucuları çoğunlukla yurt dışındadır. Çerez Rehberi, Türkiye'de faaliyet gösteren sitelerin yurt dışında yerleşik şirketler vasıtasıyla çerez kullandığı ve bu yolla yurt dışına veri aktardığı durumlarda aktarımın KVKK'nın 9. maddesine ve 10.07.2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olması gerektiğini belirtir.

KVKK'nın 9. maddesi aktarımı üç yola bağlar: aktarım yapılan ülke için yeterlilik kararı, yeterlilik kararı yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvenceler, bunlar da yoksa yalnızca arızi nitelikteki istisnai hâller. Sürekli ve düzenli işleyen bir reklam etiketinin “arızi” sayılması güçtür. Standart sözleşmeye dayanılıyorsa sözleşmenin imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.

Yurt dışı aktarımın uygulama ayrıntıları için yurt dışına veri aktarımı uygulama rehberi yazımıza bakabilirsiniz.

Onay moduna geçiş

Google'ın onay modu (consent mode) gibi mekanizmalar, sitenin çerez paneliyle etiketler arasında köprü kurar: ziyaretçinin seçimi etiketlere iletilir ve etiketler bu seçime göre davranır. Doğru kurulduğunda, reddeden ziyaretçi için reklam çerezleri yerleştirilmez.

Burada iki nokta önemlidir. Birincisi, onay modunun bazı yapılandırmalarında etiketler rıza verilmeden önce de çerez içermeyen sinyaller gönderebilir; bu sinyallerin hangi verileri içerdiği ve hangi hukuki sebebe dayandığı ayrıca değerlendirilmelidir. İkincisi, onay modu yalnızca bir iletim mekanizmasıdır: çerez panelinin kendisi Rehber'deki şartları karşılamıyorsa, teknik entegrasyon eksikliği gidermez.

Pratik bir yaklaşım, reklam ve pazarlama kategorisindeki tüm etiketleri varsayılan olarak kapalı başlatmak ve yalnızca ilgili kategoride açık rıza verildiğinde çalıştırmaktır. Bu yapı, ziyaretçi rızasını geri aldığında etiketlerin de durdurulmasını kolaylaştırır.

Sunucu taraflı etiketleme

Sunucu taraflı etiketlemede veri, tarayıcıdan doğrudan reklam platformuna gitmek yerine önce şirketin kontrol ettiği bir sunucuya gelir ve oradan platformlara iletilir. Bu yöntem, hangi alanların paylaşılacağını seçme, IP adresini kısaltma veya gereksiz alanları ayıklama gibi veri minimizasyonu imkânları sunar.

Ancak sunucu taraflı kurulum rıza yükümlülüğünü ortadan kaldırmaz. Veri hâlâ reklam amacıyla işlenir ve hâlâ yurt dışındaki platformlara aktarılır. Üstelik akış tarayıcıda görünmez olduğu için ziyaretçinin ve denetçinin ne olduğunu görmesi zorlaşır. Bu nedenle sunucu tarafında da rıza durumunun kontrol edildiği, hangi olayların hangi platforma gittiği ve kayıtların ne kadar saklandığı belgelenmelidir.

Denetim yöntemi

Sitenizdeki etiketlerin rızadan önce çalışıp çalışmadığını teknik ekip desteğiyle kısa sürede kontrol edebilirsiniz:

Temiz oturum açın: tarayıcının gizli penceresinde siteyi açın ve çerez bandına dokunmayın.

Ağ trafiğini izleyin: tarayıcının geliştirici araçlarındaki ağ sekmesinde reklam ve analiz alan adlarına giden istekleri listeleyin.

Çerezleri kontrol edin: depolama sekmesinde henüz rıza vermeden yerleştirilen çerezleri not edin.

Reddi test edin: “Reddet” seçeneğini seçip sayfalar arasında gezinin; reklam isteklerinin durduğunu doğrulayın.

Geri almayı test edin: önce kabul edip sonra çerez panelinden rızayı geri alın; etiketlerin yeniden çalışmadığını kontrol edin.

Kaydedin ve tekrarlayın: bulguları ekran görüntüleriyle kayda geçirin ve her yeni etiket ya da site güncellemesinden sonra testi tekrarlayın.

Bu test hukuki bir denetimin yerini tutmaz, ancak en yaygın hatayı görünür kılar. Kapsamlı bir incelemenin hangi alanları kapsadığını KVKK denetimi neleri kapsar yazımızda, e-ticaret sitelerinin genel yükümlülüklerini ise e-ticaret siteleri için KVKK yazımızda anlattık.

Sonuç ve sonraki adım

Reklam etiketleri, e-ticaret sitelerinin en az görünen ama en yoğun veri akışı olan katmanıdır. Meta pixel KVKK açısından değerlendirildiğinde temel soru basittir: etiket, ziyaretçi açık rıza vermeden çalışıyor mu? Yanıt evetse sorun yalnızca çerez bandında değil, yurt dışı aktarımda ve aydınlatmada da vardır. Onay modu ve sunucu taraflı etiketleme doğru kurulduğunda riski azaltır, ancak rızanın yerine geçmez.

Benzer izin konularının SMS ve e-posta tarafını İYS izni yazımızda ele aldık. Sektöre özgü diğer KVKK konuları için e-ticaret sayfamıza göz atabilirsiniz.

Sık sorulan sorular