GA4 ve KVKK: Doğru Soru Nedir?
"Google Analytics 4 KVKK'ya uygun mu?" sorusunun kısa cevabı: aracın kendisi değil, onu nasıl kurduğunuz belirleyicidir. GA4, tarayıcıya çerez yerleştiren ve kullanıcı davranışını ölçen bir analitik aracıdır. Analitik çerezler ise zorunlu olmayan çerezlerdir; yani KVKK açısından kullanıcının açık rızası olmadan çalıştırılamazlar.
Bu nedenle GA4'ü uyumlu kullanmak, birkaç ayarı ve süreci birlikte doğru kurmak anlamına gelir: rızadan önce analitik çerezlerin engellenmesi, veri saklama ve IP işleme ayarları, Google Consent Mode sinyalleri, Google ile veri işleme koşullarının kabulü ve yurt dışı aktarım için uygun güvence. Aşağıda bunları tek tek ele alıyoruz.
Temel Uyum Kaldıraçları
- Rızadan önce engelleme. GA4 etiketi, kullanıcı analitiğe açık rıza verene kadar çerez yazmamalı ve veri göndermemelidir.
- Consent Mode sinyalleri. Kullanıcının rıza durumunun (
analytics_storagegibi) Google'a doğru şekilde iletilmesi gerekir. - Veri saklama süresi. GA4 yönetici ayarlarından kullanıcı ve olay verisi saklama süresini amacınıza uygun ve olabildiğince kısa tutun.
- IP ve veri işleme. Toplama sürecinde gereksiz kişisel veriyi en aza indirin; Google ile veri işleyen koşullarını kabul edin.
- Yurt dışı aktarım güvencesi. Veriler yurt dışına aktarıldığından, uygun bir hukuki aktarım güvencesi sağlanmalıdır.
GA4 Uyumluluk Kontrol Listesi
- Analitik çerezleri rıza yönetim platformunuzla eşleştirin ve rıza gelene kadar GA4'ü engelleyin.
- Google Consent Mode'u kurun ve rıza sinyallerinin (
analytics_storage) banner kararınızla senkron çalıştığını doğrulayın. - GA4 yönetici panelinde veri saklama süresini gözden geçirip amacınıza uygun en kısa süreye indirin.
- Google ile veri işleme koşullarını (hesap düzeyinde) kabul ettiğinizi kontrol edin.
- Yurt dışı aktarım için uygun bir güvence mekanizmasının mevcut olduğunu teyit edin.
- Reklam/pazarlama sinyallerini (Google Signals gibi) yalnızca ayrı ve açık rıza varsa etkinleştirin.
- Çerez politikanızda ve aydınlatma metninizde GA4'ün amacını, saklama süresini ve aktarımı açıkça belirtin.
- Kurulumu, rıza verilmeden hiçbir analitik isteğin gitmediğini görecek şekilde test edin.
Ayar ve Amaç İlişkisi
| Uyum Alanı | Ne Yapmalı | Neden Önemli |
|---|---|---|
| Consent Mode | Rıza sinyallerini Google'a ilet | Kararın teknik olarak uygulanması |
| Veri saklama | Süreyi kısalt | Veri minimizasyonu ilkesi |
| Veri işleme koşulları | Google şartlarını kabul et | İşleyen ilişkisinin kurulması |
| Yurt dışı aktarım | Uygun güvence sağla | Sınır ötesi aktarım kuralları |
| Reklam sinyalleri | Ayrı rıza ile aç | Pazarlama farklı amaç sayılır |
Sık Yapılan Hatalar
Uygulamada en sık karşılaşılan hata, GA4 etiketinin sayfa açılır açılmaz, banner gösterilmeden önce veri göndermesidir. İkinci sık hata, Consent Mode'un kurulmuş görünmesine rağmen banner kararıyla senkron olmaması; yani kullanıcı reddettiği halde sinyallerin "granted" gitmesidir. Üçüncüsü, veri saklama süresinin varsayılan bırakılması ve gereğinden uzun veri tutulmasıdır. Dördüncüsü ise çerez politikasında GA4'ün amacı, saklama süresi ve yurt dışı aktarımının belirtilmemesidir. Bu hatalar, aracın kendisiyle değil kurulumla ilgilidir ve düzeltilebilir.
Örnek Senaryo
Bir SaaS şirketi, pazarlama sayfalarında GA4 kullanıyor ancak denetim öncesi kurulumunu gözden geçirmek istiyor. Ekip önce bir çerez taraması yapıp GA4 çerezlerini "analitik" kategorisine eşliyor. Rıza yönetim platformu, kullanıcı onay verene kadar GA4 etiketini engelliyor ve Consent Mode üzerinden analytics_storage=denied sinyalini gönderiyor. Bir ziyaretçi analitiğe rıza verdiğinde sinyal granted oluyor ve GA4 çalışmaya başlıyor; ret verildiğinde ise hiçbir analitik istek gitmiyor. Ekip ayrıca veri saklama süresini kısaltıyor, Google veri işleme koşullarının kabul edildiğini ve yurt dışı aktarım güvencesinin mevcut olduğunu doğruluyor. Son olarak çerez politikası bu bilgileri içerecek şekilde güncelleniyor. Kurulum, tarayıcı ağ sekmesinden rıza öncesi hiçbir GA4 isteğinin gitmediği görülerek test ediliyor.
Sık Sorulan Sorular
GA4'ü IP anonimleştirmesi olmadan kullanabilir miyim?
GA4, önceki sürümlere göre IP verisini farklı ele alır ve yönetici ayarlarında veri toplama ve saklamaya dair kontroller sunar. Yine de doğru yaklaşım, topladığınız kişisel veriyi amaçla sınırlamak, saklama süresini kısaltmak ve kurulumunuzu veri minimizasyonu ilkesine göre yapılandırmaktır.
Consent Mode kurmak tek başına yeterli mi?
Hayır. Consent Mode, rıza sinyallerini iletmeye yarayan bir araçtır; tek başına uyumu sağlamaz. Sinyallerin banner kararınızla gerçekten senkron çalışması, rızadan önce çerezlerin engellenmesi ve diğer ayarların da doğru olması gerekir.
GA4 verileri yurt dışına aktarıldığı için kullanamaz mıyım?
Kullanamayacağınız anlamına gelmez; ancak veriler yurt dışına aktarıldığından, uygun bir hukuki aktarım güvencesi sağlamanız ve bu aktarımı aydınlatma metninizde şeffaf biçimde belirtmeniz gerekir.
Kullanıcı analitiğe rıza vermezse ölçüm tamamen kaybolur mu?
Zorunlu olmayan çerezler rıza olmadan çalıştırılamaz; dolayısıyla rıza vermeyen kullanıcılar için çerez tabanlı ölçüm yapılamaz. Kullanıcının seçimine saygı göstermek, doğru olan yaklaşımdır ve mümkünse toplu, kişisel veri içermeyen ölçüm alternatifleri değerlendirilebilir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
JUS. ile sitenizdeki GA4 dahil tüm çerezleri ücretsiz tarayabilir, rıza öncesi engellemeyi ve Consent Mode senkronizasyonunu tek panelden yönetebilir ve kurulumunuzu görmek için demo talep edebilirsiniz.