Case Study

KVKK Denetimi ve Consent Mode v2 Uyum Projesi

Alan: KVKK & Dijital Uyum Danışmanlığı — Çerez yönetimi, ölçümleme doğruluğu ve yasal uyumu aynı eksende stabilize eden operasyon.

Süre: 8–10 Hafta Kapsam: Kurumsal web + mikro siteler + formlar Metod: DPA/DPIA + CMP + Consent Mode v2 Doğrulama: Test Planı + Denetim İzleri Uyum: KVKK / GDPR / Platform Politikaları

Özet

Bir teknoloji şirketinde analiz ve reklam çerezlerinin KVKK’ya tam uyumlu olmadığı tespit edildi; Google Analytics için Consent Mode v2 henüz kurgulanmamıştı. B10’un “Digital Compliance Framework” metodolojisiyle çerez envanteri çıkarıldı, CMP konumlandırıldı, onay ekranı yeniden tasarlandı ve Consent Mode v2 sinyalleri etkinleştirildi. Proje sonunda KVKK uyum skoru %56 → %94, yasal risk −%60, onay oranı +%33, veri kaybı −%18 sağlandı.

Başlangıç Durumu

Web sitesinde kullanılan üçüncü taraf script’ler ve etiketler dağınıktı; gerekli olmayan çerezler sayfa yüklenir yüklenmez tetikleniyordu. Onay ekranı (banner) metinsel ve görsel açıdan yetersizdi; kullanıcı tercihleri doğru kaydedilmiyor, ölçümleme verisi dağınık geliyordu. Consent Mode v2 sinyalleri (ör. ad_user_data, ad_personalization) tanımlı değildi.

Hedef: 8–10 haftada yasal uyumu belgelemek, kullanıcı deneyimini bozmadan ölçümlemeyi doğrulamak ve reklam verimliliğini korumak.

Çözüm Adımları

DPA & DPIA: Veri işleme envanteri, risk analizi, LIA (meşru menfaat) değerlendirmesi.
Çerez Envanteri: Etiket/senaryo haritalama, kategoriye göre tetik kuralı (zorunlu/istatistik/pazarlama).
Onay Ekranı: Açık, anlaşılır, katmanlı bilgilendirme; tercih yönetimi ve geri çağırma (withdrawal).
Consent Mode v2: Tag Manager şeması, sinyal akışları ve onay durumuna bağlı tetik kuralları.
Nihai Test & Denetim: Cihaz/tarayıcı matrisi, coğrafi test, önce/sonra doğrulama raporları.

Kamu Deneyimi: Büyükşehir & İlçe Belediyeleri

Bu kısım, sahada karşılaşılan gerçek zorluklara ve bunların nasıl stabilize edildiğine odaklanır.

Çoklu Alan Adları & Miras Sistemler: e-belediye, ödeme, e-ruhsat, etkinlik, haber alt alanları; farklı CMS ve eklentiler. Çözüm: merkezi etiket yönetimi, domain-çapraz onay paylaşımı ve whitelist/blacklist kural setleri.
Üçüncü Taraf Bileşenler: Harita, chatbot, anket, istatistik widget’ları. Çözüm: kategoriye bağlı tetik, “önce onay sonra yükle” prensibi, fallback içerik.
Formlar & Ödemeler: Başvuru/öneri/ihbar formları, online tahsilat. Çözüm: PII maskeleme, TLS zorlaması, saklama süreleri ve rol bazlı erişim.
İhale & Süreç Kısıtları: Değişiklikler eski sözleşmelere bağlı olabilir. Çözüm: asgari uyum paketi + yol haritası; SOP ve versiyonlanmış politika seti.
Çağrı Merkezi & Entegrasyonlar: Şikâyet/çağrı kayıtları, e-posta entegrasyonları. Çözüm: sistemler arası veri akış şeması ve DPIA odaklı risk azaltımı.
İç Eğitim & Sorumluluk: Birimler arası farklılık. Çözüm: rol bazlı mikro eğitim, sorumluluk matrisi (RACI) ve denetim izleri.

Stabilizasyon Modeli (Kamu)

AşamaOdakÇıktı
KonumlandırmaCMP + Tag Manager standardıMerkezi etiket kütüphanesi
PolitikaÇerez/aydınlatma metni harmonizasyonuVersiyonlanmış politika seti
TeknikOnay bazlı yükleme, domain-çapraz paylaşımPerformans korumalı tetik kuralları
EğitimBirim bazlı görev ve yetkiRACI matrisi ve sınavlı modüller
DenetimÖrneklem kontrolleri, loglamaDenetlenebilir izler ve düzeltici aksiyon

Özel Sektör: Sektörler Arası Uyum

Perakende & E-Ticaret: AB testleri ve pazarlama etiketi optimizasyonu; onay oranını bozmayacak bant/yerleşim tasarımı.
Finans & Sigorta: Risk skorlama script’leri; onay olmadan tetiklenmemesi için “zorunlu vs. pazarlama” ayrımının netleştirilmesi.
Eğitim & Teknoloji: Çoklu ortam, SSO, öğrenci verisi; saklama süreleri ve erişim kısıtları.
Turizm & Hizmet: Rezervasyon formları; PII minimizasyonu ve amaç sınırlaması.

Özel Nitelikli Veri (Sağlık)

Özel klinikler, diyetisyenler, doktorlar ve eczacılar; sağlık verisi gibi özel nitelikli kişisel veri işler. Bu alanlarda açık rıza yönetimi, saklama süreleri, erişim kontrolü, şifreleme ve loglama hayati önem taşır.

Açık Rıza & Aydınlatma: Tedavi/rezervasyon formlarında rıza ve aydınlatmanın ayrılaştırılması; çocuk/veli senaryoları.
Veri Minimizasyonu: Sadece gerekli alanların toplanması; serbest metin kutularında hassas veri önleyici yönergeler.
Erişim & Saklama: Rol bazlı erişim, şifreleme-at-rest/in-transit, saklama sürelerinin otomasyonu.
Çerez & İzleme: Sağlık sitelerinde pazarlama çerezleri yalnızca rıza sonrası; analitik çerezlerde anonimleştirme/pseudonimleştirme.
Olay Yönetimi: İhlal bildirim akışı; örneklem testleri ve geri çağırma (withdrawal) süreçleri.

Consent Mode v2 — Teknik Ayrıntılar

Sinyaller: ad_user_data, ad_personalization, analytics_storage, ad_storage; onay durumuna göre dinamik.
Tagging Plan: GTM veri katmanı (dataLayer) olayları; rıza değişimi, tercih güncellemeleri ve geri çekme (withdraw).
Server-Side (opsiyonel): Etiketlerin sunucu tarafında yönetimi; IP maskesi, coğrafi politika ve sızıntı önleme.
Performans: “Önce içerik, sonra pazarlama etiketi”; CLS/LCP metrikleri korunur.

Test & Doğrulama Planı

ModülSenaryoBaşarı Kriteri
CMPRıza verildi/verilmedi/geri çekildiDoğru tetik; tercihlerin kalıcı saklanması
Consent v2Sinyal kombinasyonlarıYanlış tetiklenme yok; veri sızıntısı yok
Performansİlk yükleme + rıza sonrasıCLS/LCP eşikleri korunur
UyumÇoklu cihaz/konumBanner metni ve akışı tutarlı
DenetimÖrneklem log incelemesiGeriye dönük izler eksiksiz

Rakamlarla Etki (Önce/Sonra)

MetrikÖnceSonraAçıklama
KVKK Uyum Skoru%56%94Politika + teknik + eğitim üçlüsü
Yasal Risk EndeksiReferans−%60DPIA aksiyonları ve loglama
Kullanıcı Onay Oranı%41%74Katmanlı bilgilendirme + UX testi
Veri Kaybı (ölçümleme)%29%11Consent v2 sinyalleri + SSG (ops.)

Sonuç & Öğrenimler

Dış denetimlerden tam not; uyum belgeleri versiyonlanmış şekilde arşivlendi.
Consent Mode entegrasyonu, pazarlama ölçümlemesini korurken yasal riskleri azalttı.
Kamu projelerinde merkezi etiket yönetimi ve SOP standardizasyonu uzun vadeli stabilite getirdi.
Sağlık alanında açık rıza ve veri minimizasyonu, kullanıcı güvenini ve denetlenebilirliği güçlendirdi.
Sonuç: Uyum arttı, ölçümleme doğrulandı, performans korundu. Operasyon sürdürülebilir ve denetlenebilir hâle geldi.

Yönetişim & Roller

Compliance Desk: Politika, DPA/DPIA, eğitim ve denetim izleri.
Tagging Squad: GTM/SSG planı, tetik kuralları, test senaryoları.
Legal Team: Aydınlatma, açık rıza, sözleşmesel hükümler ve vendor yönetimi.
Data Team: Ölçümleme doğrulaması, veri kaybı analizi, panolar.

Süreç İlkeleri

Şeffaflık: Açık, anlaşılır metin ve tercih yönetimi; tekrar hatırlatma mekanizması.
Minimizasyon: Gerekli olmayan alan/etiket toplanmaz; amaç sınırlaması ve saklama süresi.
Güvenlik: Rol bazlı erişim, şifreleme, olay yönetimi ve ihlal bildirim akışı.
Sürdürülebilirlik: SOP’lar, versiyon kontrolü ve düzenli örneklem denetimleri.

İletişim

İstiklal Mh. M.Kemal Atatürk Cd No:122 K:1 D:2 Odunpazarı-Eskişehir

+90 850 532 3309
[email protected]

Copyright © 2025 B10 Digital Agency