Çerez bandı ekranda. Google'ın çerezleri oraya ondan önce ulaştı.

---

KISA CEVAP

Elevates, AB işleri alanında çalışan 21 düşünce kuruluşunun web sitesini temiz bir tarayıcıda açtı ve hiçbir şeye tıklamadı. Beşi, ziyaretçi daha hiçbir seçim yapmadan Google Analytics çerezlerini hemen depoladı. Bu beşin dördünde, bu olurken ekranda bir çerez bildirimi duruyordu. Bildirim, rıza değildir. Aynı kontrolü kendi sitenizde iki dakikada yapabilirsiniz.

---

Bir politika enstitüsünde iletişimi yönetiyorsanız, çerez bildirimi büyük olasılıkla 2022'de, yönetim kurulundan biri GDPR'ı sorduktan sonra yayına girmiştir. Bildirim göründü, soru kapandı ve o günden beri kimse siteyi temiz bir tarayıcıda açmadı.

Elevates, Trans European Policy Studies Association'ın (TEPSA) kendi web sitesini işleten her üyesi için bunu yaptı. Sonuç, enstitülerin kuralları hiçe saydığı değil. Çoğu bunu doğru yapıyor. Sonuç şu: sitelerin dörtte birinde bildirimle izleme birbirinden habersiz; bildirim soruyor, çerezler ise çoktan yerleştirilmiş.

Elevates 21 enstitüyü bir denetçi gibi kontrol etti

TEPSA kendisini 37 Avrupa ülkesinde 51 üye ve ortak enstitü olarak tanımlıyor. Üye rehberi her birine bağlantı veriyor. Yirmi dokuzu kendi alan adında yayın yapıyor. Geri kalanlar bir üniversitenin web sitesinin içinde yer alıyor; orada çerezler üniversiteye ait olduğundan bunlar kapsam dışı bırakıldı.

19 Eylül 2026'da Elevates, 29 ana sayfanın her birini taze, boş bir tarayıcı profilinde yükledi, sekiz saniye bekledi, hiçbir şeye tıklamadı, sayfayı kaydırmadı, ardından sayfanın depoladığı her çerezi listeledi. Yirmi altısı yüklendi. Bunların yirmi biri AB veya AEA'da yerleşik; aşağıdaki sayı bu 21'dir.

Kuralın konu aldığı an, ziyaretçi henüz hiçbir şey yapmadan önceki o andır.

Beşi, ziyaretçi bir seçim yapmadan Google'ın çerezlerini yerleştirdi

21 sitenin beşi, ziyaretçi gelir gelmez _ga ve eşlikçileri olan Google Analytics çerezlerini depoladı. Beşin ikisi ayrıca Meta veya LinkedIn çerezleri de yerleştirdi.

Beşinin hiçbiri, ziyaretçinin kabul edip etmediğini Google'a bildirmedi. Google'ın etiketleri, site bunu gönderecek şekilde kurulmuşsa bir izin sinyali taşır. Bu beş sitenin gönderdiği hiçbir analiz isteğinde bu sinyal yoktu.

Her pozitif sonuç ikinci kez çalıştırıldı. Çerez sayısı hepsinde aynı çıktı.

Beşin dördünde o sırada ekranda bir çerez bildirimi vardı

Bildirimler, tek bir Kabul et düğmesinden Ayrıntılar panelli tam bir izin aracına kadar değişiyordu. Bunların hiçbiri fark yaratmadı, çünkü çerezler henüz hiçbir düğmeye basılmadan yazıldı.

Fransa'nın veri koruma otoritesinin Shein'e 1 Eylül 2025 tarihinde 150 milyon euro ceza kestiği örüntü tam olarak budur: çerezlerin ziyaretçilerin cihazlarına "siteye girdikleri anda" yerleştirilmesi. Shein bir düşünce kuruluşu değildir ve kimse bu büyüklükte bir ceza öngörmüyor. Mesele mekanizmadır. Bir düzenleyici tıklamadan önce ne olduğuna bakar; bu kontrolün baktığı da tam olarak budur.

Bildirim rıza değildir ve kural önce rıza ister

Kural, e-Gizlilik Direktifi'nin 5(3). maddesidir. Bir ziyaretçinin cihazında bilgi depolamaya "yalnızca ilgili abonenin veya kullanıcının rızasını vermiş olması koşuluyla" izin verilir. İstisna, ziyaretçinin talep ettiği hizmeti sunmak için kesinlikle gerekli olan depolamadır.

Analiz, bu istisnanın içine ancak dar koşullarla girebilir. Fransa'nın düzenleyicisi, kitle ölçümüne ilişkin rehberinde, amacın yalnızca kitle ölçümü olmasını, çıktının anonim istatistik olmasını ve verilerin sağlayıcı tarafından kendi amaçları için yeniden kullanılmamasını şart koşuyor. Belirli bir kurulumun bu koşulları karşılayıp karşılamadığını sitenin göstermesi gerekir; ziyaretçinin varsaymasına bırakılmaz.

Bu enstitüler AB'de yerleşik olduğundan, Avrupa kurallarının onlara ulaşıp ulaşmadığı sorusu ortaya çıkmıyor. AB dışındaki bir işletme için çıkıyor ve bu, işletmenin nerede olduğuna değil, kime satış yaptığına bağlı.

Dört enstitü doğrusunun nasıl göründüğünü gösteriyor

21'den dördü Google Analytics'i yüklüyor ve ziyaretçi seçim yapana kadar yine de hiçbir şey depolamıyor. Analiz istekleri, reddedildi olarak ayarlanmış Google izin sinyalini taşıyor.

Bu, Google'ın kendi izin modudur. Analytics depolaması reddedildiğinde, Google'ın belgelerine göre etiket Analytics çerezlerini ne okur ne yazar, bunun yerine ölçümleri çerezler olmadan gönderir. Site yine de temel bir sayım elde eder ve çerezler bir evet cevabını bekler. Kurulumu, herhangi bir etiket yüklenmeden önce varsayılanı reddedildi olarak tanımlamak ve izin aracının bunu değiştirmesine izin vermektir.

Geriye kalan on iki site, ilk gelişte hiçbir izleme çerezi yerleştirmiyor.

Beşin üçü ayrıca Google'ın kapattığı bir ürünün etiketlerini çalıştırıyor

Beşin üçü, adı _gat_gtag_UA_ ve ardından bir hesap numarası gelen çerezler yerleştiriyor. Bunlar, 1 Temmuz 2023'te veri işlemeyi durduran Universal Analytics'ten geliyor. Raporlarına ve API'sine erişim bir yıl sonra kapandı.

Yani bu etiketler, artık var olmayan raporları beslemek için ziyaretçilerin cihazlarına çerez yazıyor. Ürünü kapandıktan iki yıl sonra hâlâ çalışan bir etiket, genellikle sitenin etiketlemesinin şu anda kimsenin sorumluluğunda olmadığı anlamına gelir. Bu bir çıkarım, ama en olası okuma bu.

Kendi sitenizi iki dakikada kontrol edin

1. Gizli bir pencere açın ve ana sayfanıza gidin. Bildirim dahil hiçbir şeye tıklamayın.
2. Geliştirici araçlarını açın: Windows'ta F12, Mac'te Cmd Option I.
3. Chrome'da Application, ardından Cookies, ardından alan adınıza gidin. Firefox'ta ise Storage, ardından Cookies bölümüne gidin.
4. _ga, _gid, _gcl_au, _fbp veya _gat_gtag_UA_ ile başlayan herhangi bir şey arayın.

Siz tıklamadan önce bunlardan herhangi biri oradaysa, sitenizdeki bildirim süstür. _gat_gtag_UA_ ile başlayan bir çerez varsa, kaldırılması gereken ölü bir etiket de var demektir.

Başarısız olduğunda çözüm, etiketlerin yüklenme biçimindedir

Bazen onarım küçüktür. Etiketleriniz Google Etiket Yöneticisi'nde duruyorsa, tek bir ayar olabilir: varsayılan olarak reddedildi ve ziyaretçi seçim yaptığında bunu güncelleyen bir izin aracı. Bu bir öğleden sonralık iştir ve kimseye ödeme yapmadan kendiniz yapabilirsiniz.

Çoğu zaman bu kadar derli toplu olmuyor. Analiz etiketi yıllar önce temaya yapıştırılmış. Bir eklenti kendi etiketini eklemiş. Gömülü bir video veya bir LinkedIn akışı daha fazlasını getiriyor. Bildirim bunların hepsinin üstüne kurulmuş ve bu etiketlerin hiçbirine bildirimi beklemesi söylenmemiş. Bunu düzeltmek, her etiketi bulmak, her birinin cevabı beklemesini sağlamak, ölü olanları kaldırmak ve bir sonraki eklenti güncellemesinden sonra yeniden kontrol etmek demektir, çünkü bozulduğu an odur.

Elevates'in yaptığı iş budur. Yukarıda çalıştırdığınız aynı temiz tarayıcı kontrolü, sitenizdeki her sayfa türü için; her etiketin ve onu kimin koyduğunun bir listesi; onarımın etiket yöneticinizde veya temanızın kodunda yapılması ve ardından yeniden kontrol edilmesi. Brüksel'deki itibarı Avrupa kurallarını dikkatle okumasına dayanan bir enstitü için bu, tarayıcısı olan bir gazetecinin bir dakikada bulabileceği türden bir şeydir.

Siteniz iki dakikalık kontrolü geçtiyse işiniz bitti ve çoğunluktasınız. Geçmediyse, ana sayfanızdaki bildirim ziyaretçilere sitenin yapmadığı bir şeyi vaat ediyor.