Zımni Onay: Neden Onay Sayılmaz, Yerine Ne Konur
Zımni onay, kullanıcı hiçbir şey yapmadan yalnızca sitede gezinmeye devam ettiği için koşulları kabul etmiş sayılmasıdır. Tasarımda tercih edilme sebebi basit: akışı bölmez. Sorun da orada başlıyor, çünkü çerez ve kişisel veri tarafında bu yaklaşım çoğu durumda geçerli bir onay üretmiyor, yalnızca onay alınmış görüntüsü üretiyor.
Pratikte neye benziyor
Kalıp hep aynı. Sayfanın altına yapışan, arayüzün rengine karışan bir çerez bandı. Ya da "Siparişi Onayla" düğmesinin hemen üstünde, düğmeden üç punto küçük bir satır: bu butona tıklayarak tüm şartları kabul etmiş olursunuz. Kullanıcı bir şey seçmiyor, sadece devam ediyor; sistem bunu seçim olarak kaydediyor.
Bandın kendisi de çoğu zaman tek düğmeli. Kabul Et parlak ve büyük, reddetme seçeneği ya yok ya da "Ayarlar" başlığının altında iki tık ötede duruyor. Bu bir tasarım tercihi değil, ölçülebilir bir yönlendirme: reddetmeyi pahalı hale getiren her ek tık, kabul oranını yukarı çeker.
Hukuki taraf tartışmayı zaten bitirmiş durumda
Metnin çoğu bu konuyu etik ikilem olarak sunar, ama zorunlu olmayan çerezler söz konusu olduğunda ortada ikilem kalmamış. GDPR, onayın açık bir olumlu eylemle verilmesini şart koşar ve sessizliğin, hareketsizliğin, önceden işaretlenmiş kutuların onay sayılmayacağını doğrudan yazar. Avrupa Birliği Adalet Divanı da Planet49 kararında (C-673/17) önceden işaretli kutunun çerezler için geçerli onay olmadığına hükmetti.
KVKK tarafında açık rıza tanımı benzer bir yerde duruyor: belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. Sitede gezinmeye devam etmek bu üç şartın hiçbirini karşılamaz.
Bunun pratik sonucu şu: zımni onay bir gri alan değil, uyum açığı. Ayrım zorunlu çerezlerde. Oturum yönetimi, sepet, güvenlik gibi hizmetin çalışması için gereken çerezler onay istemez; onay gereken kısım analitik, reklam ve üçüncü taraf izleme tarafıdır. Bu ikisini tek bir banda yıkmak, hem gereksiz yere onay istemeye hem de gerçekten onay gereken yerde alınan onayın geçersiz olmasına yol açıyor.
Bandı koymak yetmiyor, kodun da uyması gerekiyor
Uygulamada en sık gördüğüm açık burada. Arayüz kusursuz: kategori kategori seçenekler, eşit ağırlıkta iki düğme, düzgün metin. Ama sayfa açılır açılmaz analytics ve piksel etiketleri zaten yüklenmiş oluyor, kullanıcının seçimi yalnızca bir veritabanı satırına yazılıyor. Onay kaydı var, onaya uygun davranış yok.
Bunu genelde şöyle kontrol ederim: tarayıcının ağ sekmesini açar, banda hiç dokunmadan sayfayı yenilerim. İlk yüklemede üçüncü taraf istekleri gidiyorsa o bant dekordur. Kontrol edilmesi gereken ikinci nokta, reddeden kullanıcının bir sonraki sayfada aynı bantla yeniden karşılaşıp karşılaşmadığı; kararı saklamayan bir sistem, reddi yorucu hale getirerek aynı karanlık deseni farklı yoldan kuruyor.
Etiketleri baştan engelleyip yalnızca ilgili kategori onaylandığında yükleyen bir yapı, sonradan eklenen her düzeltmeden daha ucuz. Sonradan uyumlu hale getirmeye çalıştığınızda iş, sayfaya dağılmış onlarca script çağrısını tek tek bulmaya dönüşüyor.
Onay akışını kurarken
- Kabul ve ret aynı ekranda, aynı ağırlıkta olsun. Reddetmek Kabul Et'ten daha fazla tık gerektiriyorsa seçim serbest değildir.
- Zorunlu çerezleri ayır ve onay isteme. Onayı gerçekten gerektiren kategorileri ayrı ayrı sun.
- Kararı sakla ve geri alınabilir yap. Ayarlara dönüp onayı kaldırma yolu açık kalsın.
- Metin ne için veri topladığını söylesin. "Deneyiminizi iyileştirmek için" hiçbir şey anlatmıyor.
- Sözleşme ve gizlilik metinleri tek tıkla ulaşılabilir olsun (Kullanım Sözleşmesi gibi).
“Eğitim, ince yazıyı okuduğunuzda ne anlama geldiğini bilmektir. Tecrübe, okuma gereğini anlamadığınızda başınıza gelenlerdir.” – Pete Seeger
Kullanıcıların ince yazıyı okumadığı doğru. Ama bu, onay tasarımının hedefini değiştirmiyor. Okunmayacağını bildiğiniz bir metne rıza sıkıştırmak yerine, seçimi metinden çıkarıp arayüze taşımak gerekiyor: iki düğme, net bir cümle, saklanan bir karar.