Çerez onay bantları ve ölçüm açığı

Birleşik Krallık'ta çerezler ve benzeri teknolojiler, Privacy and Electronic Communications (EC Directive) Regulations 2003'ün (PECR, elektronik iletişimde gizlilik yönetmeliği) 6. maddesiyle düzenlenir. Data (Use and Access) Act 2025 (Veri Kullanımı ve Erişimi Yasası), 5 Şubat 2026'dan geçerli olmak üzere 6. maddenin yerine yeni bir madde getirdi. Genel kural değişmedi. Ek A1 saklı kalmak kaydıyla, hiç kimse bir abonenin ya da kullanıcının uç cihazında bilgi depolayamaz veya orada depolanmış bilgiye erişemez. Yeni metin, depolamayı veya erişimi başlatmanın da bu kapsamda sayıldığını ve erişimin cihazın kendiliğinden yaydığı bilgilerin toplanmasını da içerdiğini ekliyor.

Bilgi Komiserliği Ofisi (ICO), depolama ve erişim teknolojilerine ilişkin kılavuzunu 29 Nisan 2026'da kesinleştirdi. Kılavuz çerezleri, izleme piksellerini, bağlantı süslemeyi (link decoration), yerel depolamayı, cihaz parmak izini, betikleri ve etiketleri kapsıyor. Onay şartına beş istisna öngörüyor: iletişim, kesinlikle gerekli olma, istatistiksel amaçlar, görünüm ve acil yardım.

Yönetim raporlaması açısından en önemlisi istatistiksel amaçlar istisnası. ICO kılavuzuna göre bir kuruluş, tek amacın hizmetinin nasıl kullanıldığına dair istatistiksel bilgi toplamak ve hizmeti iyileştirmek olduğu durumlarda analitiği onay olmadan çalıştırabilir. Ortaya çıkan bilgi toplu olmalı, ziyaretçilere açık ve kapsamlı bilgi verilmeli ve itiraz için basit, ücretsiz bir yol bulunmalıdır. Üçüncü taraf bir analitik sağlayıcı yardımcı olabilir; ancak veri işleyen olarak hareket etmeli ve veriyi başka kaynaklardan gelen bilgilerle birleştirmemelidir.

İstisnanın sınırları kesin. ICO, çevrim içi reklam amaçlarının "PECR'nin onay şartlarından muaf olmadığını ve hiçbir zaman olmadığını" belirtiyor ve reklam ölçümünü ve performansını bu amaçlar arasında sayıyor. Dönüşümlerin reklam ortaklarıyla paylaşılabilmesi için bir ziyaretçi kimliğini satın almalara bağlamak hâlâ onay gerektiriyor.

Data (Use and Access) Act yalnızca Birleşik Krallık hukukunu değiştiriyor. AB'den ziyaretçisi olan kuruluşların, bu ziyaretçilerin bulunduğu yerde geçerli kurallara göre ayrı bir değerlendirme yapması gerekiyor.

Google etiketlerini kullanan web siteleri, onay tercihlerini bu etiketlere Google Consent Mode aracılığıyla iletir. Google'ın geliştirici dokümantasyonu iki uygulama yolu tarif eder ve hangisinin seçildiği işletmenin neyi görebileceğini değiştirir.

Temel onay modunda Google etiketleri, ziyaretçi onay bandıyla etkileşime girene kadar engellenir. Ziyaretçi reddederse Google'a hiçbir veri, onay durumu bile gönderilmez. Bu durumda Google Ads'teki dönüşüm modellemesi genel bir modele geri döner.

Gelişmiş onay modunda etiketler, onay varsayılan olarak "denied" (reddedildi) durumundayken yüklenir. Onay reddedilmişken çerez kullanmadan ölçüm gönderirler; tam ölçüm ancak ziyaretçi onay verdiğinde başlar. Google bunun genel bir model yerine reklamverene özgü bir modeli desteklediğini belirtiyor.

Her onay türünün kendine özgü etkileri var. analytics_storage reddedildiğinde Google Analytics birinci taraf çerezlerini okumaz ve yazmaz. ad_storage reddedildiğinde yeni reklam çerezleri yazılmaz ve IP adresleri toplama sırasında kısaltılır. ad_user_data reddedildiğinde gelişmiş dönüşümler için karma birinci taraf veriler gönderilmez. Bunların her biri, bir oturum ya da geri dönüş ziyareti boyunca gözlemlenebilen ve tek bir ziyaretçiye bağlanabilen etkinliğin payını düşürür.

Google Analytics 4, açığın bir kısmını davranışsal modellemeyle kapatır: analitik çerezlerini reddeden ziyaretçilerin davranışını, kabul eden benzer ziyaretçilerin davranışından tahmin eder. Google'ın yardım merkezi koşulları sıralıyor. Gelişmiş uygulamayla Consent Mode'un her sayfada kurulu olması gerekir. Mülkün en az 7 gün boyunca analytics_storage reddedilmiş halde günde en az 1.000 olay toplaması gerekir. Ayrıca önceki 28 günün en az 7'sinde analytics_storage izni verilmiş olarak olay gönderen en az 1.000 günlük kullanıcısı olmalıdır. Bu eşiklerin karşılanması uygunluğu garanti etmez.

Trafiği mütevazı olan bir mülk bu eşiklerin altında kalabilir ve Google sonucu açıkça belirtiyor: modeli eğitmek için yeterli onaylı trafik yoksa onayı reddeden ziyaretçilerden gelen olaylar raporlanmaz.

Modellemenin çalıştığı yerlerde de bazı özelliklerde durur. Google; kitleleri, kullanıcı gezginini, kohort ve kullanıcı yaşam boyu keşiflerini, sıra segmentlerini, elde tutma raporlarını, tahmine dayalı metrikleri ve BigQuery dışa aktarımı dahil veri dışa aktarımını desteklenmeyenler arasında sayıyor. Dolayısıyla BigQuery dışa aktarımından beslenen bir veri ambarı yalnızca gözlemlenmiş veriyi tutar; Blended (karma) raporlama kimliğiyle GA4 arayüzü ise gözlemlenmiş ve modellenmiş verilerin toplamını gösterir. Veri ambarı gösterge paneli ile GA4 ekranı aynı hafta için farklı kullanıcı sayıları veriyorsa, ilk kontrol edilmesi gereken belgelenmiş nedenlerden biri budur.

2026 istisnası, koşullarını karşılayan analitiğin onay olmadan çalışmasına izin veriyor; reklam ölçümü ise hâlâ onaya bağlı. Analitiğini bu istisnaya taşıyan bir kuruluş, analitik raporlarında oturum ve kullanıcı sayılarının arttığını, reklam platformlarının bildirdiği dönüşümlerin ise yerinde kaldığını görebilir. Bu fark, arkasında talepte bir değişiklik olmadan, her sistemin gözlemlemesine izin verilen şeyden kaynaklanır.

Onay yapılandırmasındaki her değişikliğin tarihini seride bir kırılma olarak ele alın. Bunu raporlama takvimine işleyin, öncesi ve sonrası için ayrı trend çizgileri tutun ve açıkça belirtilmiş bir düzeltme olmadan kırılmanın iki yanındaki dönüşüm oranlarını karşılaştırmayın. Referans seri olarak e-ticaret platformundaki ya da ERP'deki sipariş sayısını kullanın; çünkü bu sayı bir tarayıcının bir şey depolamasına bağlı değildir ve onay bandı yeniden tasarlandığında değişmez.

CTO, hangi onay yönetim platformunun kullanıldığını, Google Consent Mode'un temel mi gelişmiş mi uygulandığını ve diğer tedarikçilerinkiler dahil sitedeki her etiketin ziyaretçinin tercihine uyup uymadığını bilmelidir.

Veri koruma sorumlusu, reklam dışı her teknolojinin hangi PECR istisnasına dayandığını, ziyaretçinin basit itiraz yolunun nerede olduğunu ve analitik sağlayıcının sözleşmesinin onu veri işleyen konumuna koyup koymadığını söyleyebilmelidir.

CMO ve CFO, yönetim kurulu metriklerinden hangilerinin gözlemlenmiş, hangilerinin modellenmiş veri içerdiğini, GA4 mülkünün davranışsal modelleme eşiklerini karşılayıp karşılamadığını ve sistemler uyuşmadığında hangi serinin referans alınacağını bilmelidir. Her yanıtın adı belli bir sorumlusu olmalı ve onay bandı, onay platformu ya da etiket seti her değiştiğinde gözden geçirilmelidir.