Çerez mevzuatını anlamak ve etkili onay yönetimi çözümleri uygulamak her web sitesi için çok önemli hale gelmiştir. Bu kılavuz, Avrupa ve ABD düzenlemeleri arasındaki farkları incelemekte, Google Onay Modu'nun nasıl çalıştığını analiz etmekte ve başlıca onay yönetimi çözümlerini karşılaştırmaktadır.
Çerez mevzuatını anlamak ve etkili onay yönetimi çözümleri uygulamak her web sitesi için kritik hale gelmiştir. Bu kılavuz, Avrupa ve ABD düzenlemeleri arasındaki farkları incelemekte, Google Onay Modu'nun nasıl çalıştığını analiz etmekte ve 2025'teki en son güncellemelerle birlikte ana onay yönetimi çözümlerini karşılaştırmaktadır.
Avrupa'da kişisel verilerin korunması ve çevrimiçi gizlilik temel olarak iki mevzuat tarafından yönetilmektedir:
2018'de yürürlüğe giren GDPR, temel ilkeleri belirleyerek kişisel verilerin işlenmesi konusunda katı gereklilikler getirmektedir:
Kişisel verilerin (çerezler gibi çevrimiçi tanımlayıcılar dahil) toplanması ve işlenmesi için, açık rızanız, meşru bir menfaat veya sözleşmeden doğan bir yükümlülük gibi geçerli bir yasal dayanağın olması gerekir.
GDPR ihlalleri, şirketin küresel cirosunun %4'üne varan çok yüksek cezalarla sonuçlanabilir.
ePrivacy Direktifi (2002/58/EC, 2009'da değiştirilmiştir), çerezlerin ve izleme teknolojilerinin kullanımı da dahil olmak üzere özellikle elektronik iletişimde gizliliğe odaklanmaktadır.
Direktif Madde 5(3), istisnalara tabi olarak (kesinlikle gerekli teknik çerezler gibi) kullanıcının cihazındaki bilgileri saklamadan veya bunlara erişmeden önce önceden onayının alınmasının zorunlu olduğunu belirtmektedir.
Uygulamada bu, Avrupa web sitelerinin şunları yapması gerektiği anlamına gelmektedir:
Avrupa gizlilik yetkilileri ihlalleri aktif olarak cezalandırmıştır: örneğin, Fransız CNIL, geçerli izin olmadan izleme çerezleri yerleştirdikleri için Google ve Amazon'a 2020-2022 yılları arasında para cezası vermiştir.
Mart 2024'te AB'nin Dijital Piyasalar Yasası (DMA) yürürlüğe girerek büyük teknoloji platformları için izin gerekliliklerini daha da sıkılaştırdı ve çerez ve izleme yönetimini önemli ölçüde etkiledi. Bu durum Google gibi şirketlerin rıza yönetimi çözümlerini güncellemelerine yol açtı.
Şubat 2025'te AB Komisyonu yeni bir ePrivacy Yönetmeliği teklifini resmen geri çekerek mevcut Direktifi yürürlükte tuttu. Bu, çerezler için izin gerekliliklerinin bugün olduğu gibi kalacağı, hala bağlayıcı olacağı ve Avrupa çapında sıkı bir uygulamaya tabi olacağı anlamına geliyor.
Avrupa Adalet Divanı, Mart 2024'te IAB TCF davasıyla ilgili olarak, şirketlerin hala özümsemekte olduğu Şeffaflık ve Rıza Çerçevesinin uygulanmasına yönelik önemli sonuçları olan önemli bir karar vermiştir.
ABD'de, AB'nin aksine, GDPR ile karşılaştırılabilir genel bir federal gizlilik yasası bulunmamaktadır. Düzenleme, son yıllarda önemli gelişmelerle birlikte eyalet ve sektörel düzeyde gerçekleşmektedir.
2020'de yürürlüğe giren CCPA, CPRA (2023'ten beri yürürlükte) ile güçlendirilerek Avrupa modeline daha da yaklaştırılmıştır.
CPRA'da var:
2023 ve 2025 yılları arasında, Amerika Birleşik Devletleri'ndeki gizlilik ortamı hızlı bir evrim geçirmiştir:
Ocak 2025 itibariyle, 2025 yılında yürürlüğe girecek sekiz yeni yasa ile birlikte, 20 kadar ABD eyaletinde kapsamlı veri gizliliği yasaları bulunmaktadır. Bu da ABD'li tüketicilerin yaklaşık yüzde 40'ının artık dijital gizlilik haklarına sahip olduğu anlamına geliyor. Bununla birlikte, mevzuatın bölünmüşlüğü, genellikle benzer ancak aynı olmayan gereklilikler arasında gezinmek zorunda olan şirketler için önemli bir zorluk teşkil etmektedir.
Kaliforniya, CPPA'nın özellikle 2024-2025 yıllarında aktif olmasıyla ön planda olmaya devam ediyor. Ajans, 2024 yılında bir bulut yazılım şirketine 6,75 milyon dolar para cezası da dahil olmak üzere birkaç önemli ceza verdi. Ayrıca siber güvenlik, risk değerlendirmeleri ve otomatik karar teknolojilerine (ADMT) ilişkin yeni düzenleme önerileri yayınladı ve Haziran 2025'e kadar kamuya açık bir yorum dönemi başlattı.
Çerez yönetimindeki en önemli gelişmeler arasında Kaliforniya'nın 'hassas kişisel bilgi' tanımını 'nöral verileri' (sinir sistemi aktivitesinin ölçülmesiyle elde edilen bilgiler) içerecek şekilde genişletmesi ve kişisel bilgilerin yapay zeka tarafından üretilenler gibi dijital ve soyut formatları da içerdiğini netleştirmesi yer almaktadır.
Delaware, diğerlerinden farklı olarak kar amacı gütmeyen kuruluşları ve akademik kurumları kapsam dışında bırakmayan ve kapsamını önemli ölçüde genişleten bir gizlilik yasasını kabul etti.
AB'den farklı olarak ABD modeli, önceden onay yerine öncelikli olarak devre dışı bırakmaya dayanmaya devam etmektedir. Bu nedenle, AB kullanıcılarına hizmet veren bir ABD sitesi, bu kullanıcılar için GDPR uyumlu bir banner benimsemek zorunda kalacakken, ABD kullanıcıları için çerezleri önceden engellemeden sadece bir bildirim ve devre dışı bırakma bağlantısı görüntüleyebilir.
Interactive Advertising Bureau (IAB) Europe, özellikle dijital reklamcılık bağlamında geçerli olmak üzere, şirketlerin GDPR ve ePrivacy Direktifine uygun olarak kullanıcı onayını yönetmelerine yardımcı olmak için bir endüstri standardı olarak Şeffaflık ve Onay Çerçevesini (TCF) geliştirmiştir.
TCF'nin birkaç yinelemesi olmuştur:
TCF v2.2 önemli değişiklikler getirmiştir:
Nisan 2025'te IAB Tech Lab ve IAB Avrupa, TCF v2.3 teknik spesifikasyonunu 19 Mayıs 2025'e kadar yorum süresiyle kamu yorumuna açtı. Güncelleme, verilerin kullanıcıya ifşa edilip edilmediğinin belirsiz olduğu belirli senaryolarda satıcılar için daha fazla netlik sağlamayı amaçlamaktadır; bu, özellikle bir satıcı meşru menfaate dayalı Özel Amaçlar için veri işlemeyi planladığında önemlidir.
TCF v2.3 için zaman çizelgesi şunları içermektedir:
Sitelerin ve reklamverenlerin kullanıcıların onay tercihlerine saygı göstermelerine yardımcı olmak için Google, Google etiketlerinin davranışını kullanıcının onay durumuna göre ayarlayan teknik bir çözüm olan Onay Modu'nu tanıttı.
Kasım 2023'te Google, Google hizmetlerini kullanan ve Avrupa Ekonomik Alanı'ndaki (EEA) kullanıcılardan veri toplayan siteler için Mart 2024'e kadar zorunlu olarak uygulanacak olan Consent Mode V2'yi başlattı. Bu güncelleme özellikle AB'nin Dijital Piyasalar Yasası (DMA) ile uyumlu olacak şekilde tasarlanmıştır.
Onay Modu V2, orijinal parametrelere ek olarak iki yeni parametre sunar:
ad_storage ve analytics_storage'ın aksine, bu yeni parametreler sitenin kendisindeki etiketlerin davranışını etkilemez, ancak kullanıcı verilerinin nasıl kullanılabileceğini belirtmek için Google hizmetlerine gönderilen ek parametrelerdir.
Google Consent Mode V2'nin iki uygulama modu vardır:
Bazı gizlilik uzmanlarının gelişmiş modun veri koruma düzenlemelerine uygunluğu konusunda şüphelerini dile getirdiklerini belirtmek önemlidir, çünkü 'ping'ler rıza olmadan işlenen kişisel verileri temsil edebilir.
Google İzin Modu olmadan, reklam platformları yeni AÇA kullanıcıları hakkında veri elde edemez, bu da kitle verilerini toplama, kampanyaların etkinliğini ölçme ve hedefli reklam stratejileri uygulama becerisini önemli ölçüde sınırlar.
Consent Mode V2 ile web siteleri, kullanıcıların çerezlere onay vermediği durumlarda bile, onay tercihlerine saygı duyan gelişmiş modelleme teknikleri aracılığıyla temel analitik verileri toplamaya devam edebilir.
.png)
Tüm bu düzenlemelere uymak için web siteleri, kullanıcıların onayını almak için banner'lar ve arayüzler ve bu seçimlere saygı gösterecek mekanizmalar sağlayan Onay Yönetimi Platformları (CMP) kullanmaktadır.
IAB, TCF çerçevesi aracılığıyla CMP'lerin sertifikalandırılmasında kilit bir rol oynamaktadır. IAB TCF v2.2 sertifikalı bir CMP şunları yapmalıdır:
2023-2024'te Google, AB ve Birleşik Krallık'ta Google Ads'i desteklemek isteyen CMP'ler için özel sertifika gereklilikleri getirmiştir ve temel gereklilik IAB TCF ile güncellenmiş uyumluluktur. Google tarafından onaylanan CMP'ler Google Ads ürünlerini kullanabilir ve resmi bir listeye dahil edilir.
IAB TCF v2.2 ve Google Consent Mode v2 için tam desteğe sahip, özellikle Webflow ile oluşturulmuş sitelere yönelik bir çözüm.
Avantajlar:
Dezavantajlar:
Şunlar için ideal: Webflow üzerinde çalışan, tam kontrol ve özelleştirilmiş tasarım isteyen geliştiriciler veya ajanslar.
IAB TCF v2.2 ve Google Consent Mode v2'yi destekleyecek şekilde güncellenmiş, şimdi Google CMP İş Ortağı olarak Gold sertifikasına sahip bir tak ve çalıştır çözümü.
Avantajlar:
Dezavantajlar:
Şunlar için idealdir: küçük siteler veya hızlı bir şekilde hızlanmak isteyen site sahipleri.
Iubenda, IAB TCF v2.2 ve Google Consent Mode v2'yi desteklemek üzere tamamen güncellenmiş eksiksiz bir uyumluluk araçları paketi sunan bir İtalyan şirketidir.
Avantajlar:
Dezavantajlar:
Şunlar için ideal: Minimum bakımla profesyonel ve kapsamlı bir çözüm arayan işletmeler.
İlk popüler SaaS CMP çözümlerinden biri, şimdi Usercentrics platformunun bir parçası.
Avantajlar:
Dezavantajlar:
Şunlar için ideal: orta ölçekli siteler ve çerez yönetimini otomasyona devretmek isteyen şirketler.
Google Consent Mode V2 ve IAB TCF v2.2 ile entegrasyon için eksiksiz bir çözüm sunan gelişmekte olan bir CMP.
Avantajlar:
Dezavantajlar:
Şunlar için ideal: Google Consent Mode V2 ile entegrasyona odaklanan bir çözüm arayan şirketler.
Çok uluslu büyük kuruluşlar için OneTrust, TrustArc, Didomi, Usercentrics, Osano gibi kurumsal CMP'ler bulunmaktadır.
Avantajlar:
Dezavantajlar:
Şunlar için idealdir: küresel varlığı ve karmaşık mutabakat yönetimi ihtiyaçları olan büyük şirketler.
Çerez/gizlilik düzenlemelerine uyum, hem farklı düzenlemelerin yasal olarak anlaşılmasını hem de uygun teknik çözümlerin uygulanmasını gerektirir.
Avrupa'da katı bir ön izin rejimi geçerliyken, ABD'de şeffaflık yükümlülüğü ile birlikte opt-out geçerlidir, ancak eyalet yasaları giderek daha katı standartlara doğru evrilmekte ve Avrupa modeline yaklaşmaktadır.
Google Consent Mode V2 ve IAB TCF v2.2/v2.3 gibi araçlar, pazarlama ve gizlilik arasındaki boşluğu doldurmaya yardımcı olarak sitelerin çerez yasalarına uyarken analiz ve reklam hizmetlerini kullanmasına olanak tanır.
Onay yönetimi platformunun seçimi sitenin büyüklüğü, mevcut teknik kaynaklar, bütçe ve çok uluslu uyumluluk ihtiyacı gibi faktörlere bağlıdır. Önemli olan, kullanıcılara verileri üzerinde gerçek kontrol sağlamak ve sitenin şeffaf bir şekilde ve geçerli yasalara uygun olarak çalışmasına izin vermektir.
Hem Avrupa'da hem de ABD'de faaliyet gösteren şirketlerin, karmaşık ve gelişen bir düzenleyici ortamda yollarını bulmaya devam etmeleri ve onay yönetimi çözümlerini farklı yargı alanlarına uyarlamaları gerekecektir.
Avrupa'da (GDPR ve ePrivacy Direktifi) opt-in modeli geçerlidir: gerekli olmayan çerezler kullanılmadan önce açık kullanıcı onayı alınmalıdır. Buna karşılık, ABD'de (CCPA/CPRA ve diğer eyalet yasaları) devre dışı bırakma modeli geçerlidir: kullanıcı açıkça itiraz edene kadar çerezler kullanılabilir ve şirketler veri satışından/paylaşımından vazgeçmek için açık bir yol sağlamalıdır.
Avrupa'da yalnızca 'kesinlikle gerekli' (veya 'teknik') çerezler izin alınmadan kullanılabilir. Bunlar, kimlik doğrulama, e-ticaret alışveriş sepetindeki öğelerin saklanması veya site güvenliği gibi sitenin çalışması için gerekli olan çerezleri içerir.
Google Consent Mode V2, kullanıcı onayı seçeneklerini Google'a ileten bir arayüzdür. Google etiketlerinin davranışını yöneten dört onay parametresi (ad_storage, analytics_storage, ad_user_data, ad_personalisation) sunar. Sitelerin pazarlama performansı ölçümü ile gizlilik uyumluluğunu dengelemesine olanak tanıdığı için önemlidir ve Avrupa'da Google hizmetlerini kullanan siteler için Mart 2024'ten itibaren zorunlu hale gelmiştir.
Seçim çeşitli faktörlere bağlıdır: site büyüklüğü ve trafiği, mevcut bütçe, şirket içi teknik uzmanlık, sitenin oluşturulduğu platform (ör. Webflow, WordPress) ve özel uyumluluk gereksinimleri. CMP'nin IAB TCF v2.2 sertifikalı olup olmadığını ve özellikle Google reklam hizmetleri kullanılıyorsa Google Consent Mode V2'yi destekleyip desteklemediğini kontrol etmek de önemlidir.
Avrupa'da teknik olarak evet. Site yalnızca temel çerezleri kullansa bile, kullanıcıları hangi çerezlerin kullanıldığı konusunda bilgilendirmek yine de gereklidir. Ancak, bu durumda onay istemek gerekli değildir, bu nedenle banner etkileşim gerektirmeyen bilgilendirici bir bildirim olarak basitleştirilebilir.
Avrupa'da GDPR ihlalleri, yıllık küresel cironun %4'üne veya 20 milyon Avro'ya kadar (hangisi daha büyükse) cezalarla sonuçlanabilir. Kaliforniya'da CCPA/CPRA ihlalleri, kasıtsız ihlal başına 2.500 $ ve kasıtlı ihlal başına 7.500 $'a varan hukuki cezaların yanı sıra potansiyel tüketici davalarına yol açabilir. Düzenleyiciler, son yıllarda verilen birkaç önemli para cezası ile uygulama konusunda daha aktif hale gelmiştir.
Hayır, Google Consent Mode V2 banner çerezinin yerini almaz, ancak onunla birlikte çalışır. Kullanıcı onayını (CMP) toplamak için hala bir sistem gereklidir ve bu sistem daha sonra etiket davranışını düzenlemek için tercihleri Google Consent Mode'a iletecektir.
En iyi çözüm, kullanıcının coğrafi konumunu tanıyan ve uygun arayüzü görüntüleyen bir sistem uygulamaktır: Avrupalı kullanıcılar için bir opt-in banner ve ABD kullanıcıları için bir opt-out bildirimi. En gelişmiş CMP'ler bu coğrafi hedefleme işlevini sunar.
IAB Şeffaflık ve Rıza Çerçevesi (TCF), şirketlerin özellikle dijital reklamcılık bağlamında GDPR ve ePrivacy Direktifi ile uyumlu olarak kullanıcı rızasını yönetmelerine yardımcı olan bir endüstri standardıdır. Yayıncılar, reklamverenler ve reklam teknolojisi sağlayıcıları arasında kullanıcı onayı tercihlerinin toplanması, saklanması ve paylaşılması için standartlaştırılmış bir mekanizma sağlar. En son sürüm olan TCF v2.2, şeffaflığı ve hesap verebilirliği artırmak için tasarlanmıştır ve veri koruma yetkililerinin rehberliğine yanıt olarak geliştirilmiştir.
Şu anda Mayıs 2025'e kadar kamu istişaresinde olan TCF v2.3, verilerin kullanıcıya ifşa edilip edilmediğinin belirsiz olduğu belirli senaryolarda satıcılar için daha fazla netlik sağlamayı amaçlamaktadır. Bu ayrım, bir satıcı meşru menfaat temelinde Özel Amaçlar için veri işlemeyi planladığında özellikle önemlidir. Teknik şartnamenin Mayıs 2025 sonuna kadar tamamlanması ve son uygulama tarihinin 1 Şubat 2026 olması beklenmektedir.
.svg)
.svg)
.svg)
.jpeg)
.jpeg)