İçişleri Bakanlığı çerez politikası kendi içinde çelişen ifadeler içeriyor

İçişleri Bakanlığının internet sitesinde ziyaretçilere sunulan İçişleri Bakanlığı çerez politikası, veri toplama yöntemleri konusunda birbiriyle bağdaşmayan açıklamalar içeriyor. İller İdaresi Genel Müdürlüğü sayfasında açılan gizlilik ve çerez metni, siteyi ziyaret eden kişilerin verilerinin nasıl işlendiğini, kimlere aktarılabileceğini ve kullanıcıların tercihlerini nasıl yönetebileceğini açıklamayı amaçlıyor. Ancak politika bir yerde internet sitesinde çerez bulunmadığını söylerken başka bir yerde birinci ve üçüncü taraf çerezlerin kullanıldığını belirtiyor. Bu farklı anlatımlar, ziyaretçilerin cihazlarında hangi teknolojilerin çalıştığını ve kişisel verilerinin hangi yollarla işlendiğini açık biçimde anlamasını zorlaştırıyor.

İçişleri Bakanlığı çerez politikası ne söylüyor?

Politikanın giriş bölümünde çerezlerin, internet siteleri tarafından tarayıcı aracılığıyla cihazda veya ağ sunucusunda saklanan küçük metin dosyaları olduğu anlatılıyor. Bu araçların sitenin düzgün ve güvenli çalışmasına, kullanıcı deneyiminin geliştirilmesine ve bazı tercihlerin hatırlanmasına yardımcı olduğu belirtiliyor. Oturum ve yerel depolama alanlarının da benzer amaçlarla çalıştığı ifade ediliyor.

Metindeki temel sorun, kullanılan teknolojiye ilişkin açıklamaların aynı sonuca işaret etmemesi. Bir bölümde internet sitesinde çerez bulunmadığı, buna karşılık oturum ve yerel depolama alanlarının çalıştığı belirtiliyor. Veri toplama yöntemini açıklayan başka bir bölümde de kişisel verilerin saklanması için herhangi bir çerez kullanılmadığı söyleniyor.

Buna karşın politikanın ilerleyen kısmında internet sitesinin birinci ve üçüncü taraf çerezleri kullandığı bilgisi veriliyor. Birinci taraf çerezlerinin sitenin doğru çalışmasına hizmet ettiği, üçüncü taraf çerezlerinin ise performans, etkileşim, güvenlik, reklam ve hizmet kalitesi gibi amaçlarla devreye girdiği anlatılıyor. Ayrıca oturum çerezleri tanımlanıyor ve tarayıcı kapatıldığında silinen geçici dosyaların siteyi ziyaret boyunca çalışır durumda tutmaya yardımcı olduğu belirtiliyor.

Dolayısıyla metin, ziyaretçiye çerez bulunmadığını mı, yalnızca belirli depolama araçlarının kullanıldığını mı, yoksa farklı taraflara ait çerezlerin etkin olduğunu mu esas alması gerektiğini açıkça göstermiyor. Bu durum tek başına internet sitesinde belirli bir çerezin fiilen çalıştığını kanıtlamıyor. Böyle bir sonuca ulaşmak için teknik inceleme gerekir. Resmî metinden kesin olarak görülebilen nokta, kamuoyuna sunulan açıklamaların kendi içinde tutarlı olmadığıdır.

Kişisel verilerin kullanım amaçları geniş tutulmuş

Gizlilik politikasında, site ziyareti nedeniyle elde edilen kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde işlendiği bildiriliyor. İşleme dayanağı olarak Kanun’un 5. ve 6. maddelerine gönderme yapılıyor. Ancak hangi kişisel veri kategorilerinin toplandığı, bunların hangi depolama aracıyla elde edildiği ve her bir veri türünün hangi amaçla eşleştirildiği kaynak metinde ayrıntılı bir tabloyla gösterilmiyor.

Politika, veri işleme amaçları arasında Bakanlık tarafından yürütülen ticari faaliyetler için gerekli çalışmaların yapılmasını da sayıyor. Bunun yanında ürün ve hizmetlerden ilgili kişilerin yararlandırılması, hizmetlerin kullanım alışkanlıkları ve ihtiyaçlara göre özelleştirilmesi, önerilmesi ve tanıtılması gibi ifadeler kullanılıyor. Bir kamu kurumu sitesinde yer alan bu kavramların hangi somut çevrim içi hizmetleri kapsadığı ise açıklanmıyor.

Buradaki mesele, söz konusu amaçların mutlaka hukuka aykırı olduğu sonucuna varmak değil. Kaynak, böyle bir değerlendirmeyi destekleyecek teknik veya hukuki bulgu sunmuyor. Buna karşılık ziyaretçinin bilgilendirilmesi bakımından amaçların somutlaştırılmaması önemli. Kullanıcı, yalnızca kurumsal bir sayfayı görüntülediğinde hangi bilgisinin elde edilebileceğini ve bu bilginin kişiselleştirme ya da tanıtım amacıyla nasıl kullanılabileceğini metinden net biçimde çıkaramıyor.

Benzer bir belirsizlik veri aktarımı bölümünde de görülüyor. Politika, kişisel verilerin iş ortaklarına, tedarikçilere, kanunen yetkili kamu kurumlarına ve özel kişilere aktarılabileceğini belirtiyor. Aktarım için Kanun’un 8. ve 9. maddelerindeki şartlara atıf yapılıyor. Fakat alıcı gruplarının hangi hizmet veya veri kategorisiyle bağlantılı olduğu ayrıntılandırılmıyor. Bu nedenle ziyaretçi açısından aktarımın sınırlarını anlamak güçleşiyor.

Çelişkili bilgilendirme ziyaretçi için ne anlama geliyor?

Çerez ve gizlilik metinlerinin temel işlevi, kullanıcıya siteyi ziyaret ettiği anda anlaşılır bir tercih zemini sunmaktır. Ziyaretçi hangi aracın zorunlu olduğunu, hangisinin performans veya işlevsellik amacı taşıdığını ve hangisini engelleyebileceğini bilmelidir. İncelenen politikada ise çerez olmadığı yönündeki açıklama ile farklı çerez türlerinin kullanıldığı yönündeki açıklama yan yana bulunuyor.

Bu çelişki, tarayıcı ayarlarını değiştirmek isteyen kullanıcılar için pratik bir sorun yaratıyor. Metin, çerezlerin tarayıcı üzerinden silinebileceğini veya engellenebileceğini, ayarların değiştirilmemesi halinde kullanıma onay verildiğinin varsayılacağını bildiriyor. Fakat sitede çerez bulunmadığına ilişkin ifade doğru kabul edilirse, hangi onayın verildiği belirsizleşiyor. Birinci ve üçüncü taraf çerezlerin kullanıldığına ilişkin bölüm esas alınırsa bu kez hangi çerezlerin zorunlu, hangilerinin tercihe bağlı olduğu sorusu yanıtsız kalıyor.

Ayrıca politika bir yandan çerezlerde kişisel veri tutulmadığı izlenimi verirken diğer yandan site ziyareti dolayısıyla elde edilen kişisel verilerin işlenmesinden ve aktarılmasından söz ediyor. Oturum ve yerel depolama alanlarının çalıştığı da açıkça belirtiliyor. Bu teknolojiler çerezlerden farklı biçimde çalışabilse de kullanıcı açısından önemli olan, cihazında hangi bilginin tutulduğu ve bu bilginin sunucuya gönderilip gönderilmediğidir. Kaynak metin bu ilişkiyi açıklığa kavuşturmuyor.

Politikanın daha anlaşılır olması için hangi bilgiler gerekli?

Resmî bir gizlilik metninin teknik ifadelerle dolu olması tek başına yeterli bilgilendirme sağlamaz. Açıklamaların birbiriyle uyumlu, güncel ve ziyaretçinin izleyebileceği bir mantık sırasına sahip olması gerekir. Mevcut metindeki belirsizliğin giderilmesi için öncelikle çerez kullanılıp kullanılmadığı konusunda tek ve açık bir anlatım benimsenmesi önem taşıyor.

Kullanılan araçlar varsa bunların adı yerine en azından işlevi, sağlayıcısı, saklama biçimi ve zorunlu olup olmadığı açıklanabilir. Oturum depolaması ile yerel depolamanın hangi amaçlarla çalıştığı da çerezlerden ayrı şekilde anlatılabilir. Üçüncü taraf hizmetlerden söz ediliyorsa bunların hangi içeriğin gösterilmesi veya hangi performans ölçümünün yapılması için devreye girdiği belirtilebilir.

Politikada ziyaretçilerin Kanun’un ilgili kişinin haklarını düzenleyen 11. maddesi kapsamındaki taleplerini Bakanlığa iletebileceği bildiriliyor. Başvuruların talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırılacağı, ek maliyet doğması halinde yetkili kurulun tarifesine göre ücret istenebileceği ifade ediliyor. Bu hakların kullanılabilmesi için ziyaretçinin önce hangi verisinin işlendiğini anlayabilmesi gerekiyor. Bu nedenle açık ve çelişkisiz bilgilendirme, yalnızca teknik bir metin düzenleme meselesi değil, veri sahibinin haklarını kullanabilmesinin de başlangıç noktasıdır.

Sık Sorulan Sorular

İçişleri Bakanlığının sitesinde çerez kullanılıyor mu?

Kaynak metin bu soruya tutarlı bir yanıt vermiyor. Bazı bölümlerde çerez bulunmadığı ve kişisel veri saklamak için çerez kullanılmadığı belirtilirken başka bir bölümde birinci ve üçüncü taraf çerezlerin kullanıldığı yazıyor. Fiilî kullanımı belirlemek için ayrıca teknik inceleme yapılması gerekir.

Ziyaretçiler çerez tercihlerini değiştirebilir mi?

Politikaya göre ziyaretçiler tarayıcı ayarları üzerinden çerezleri engelleyebilir veya silebilir. Ancak hangi çerezlerin etkin olduğu ve tercih değişikliğinin sitenin hangi özelliklerini etkileyeceği metinde açık biçimde ayrıştırılmıyor.

Kişisel verilerle ilgili başvuru yapılabilir mi?

Evet. Politika, veri sahiplerinin Kanun’un 11. maddesi kapsamındaki taleplerini Bakanlığa iletebileceğini belirtiyor. Başvuruların niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılacağı ifade ediliyor.