Hızlı Cevap: LocalStorage, çerezler gibi, AB'nin ePrivacy Direktifi ve GDPR gibi veri gizliliği düzenlemeleri kapsamına giren tarayıcı tabanlı bir depolama mekanizmasıdır. Kullanıcıdan önceden, bilgilendirilmiş ve serbestçe verilmiş onay olmadan LocalStorage'da gereksiz verileri depolamak veya erişmek, uyum ihlalidir. Çoğu kuruluş, onay yönetim araçlarının yalnızca çerezler için yapılandırılmış olmasından dolayı bunu gözden kaçırır ve LocalStorage tamamen yönetilmeden kalır.
Anahtar Noktalar
- LocalStorage, Birleşik Krallık ve AB yasaları altında çerezlere "benzer teknoloji" olarak yasal olarak değerlendirilir; bu da aynı onay kurallarının geçerli olduğu anlamına gelir.
- Avrupa Veri Koruma Kurulu (EDPB), LocalStorage gibi teknolojilerin, herhangi bir gereksiz veri depolanmadan veya erişilmeden önce önceden, bilgilendirilmiş ve serbestçe verilmiş onay gerektirdiğini doğrulamıştır [2].
- ICO, bir hizmet için kesinlikle gerekli olan depolama ile izleme veya analiz için kullanılan gereksiz depolama arasında ayrım yapar; yalnızca ikincisi açık onay gerektirir [1].
- Birçok onay yönetim platformu, varsayılan olarak çerezleri düzenler, ancak LocalStorage'ı denetimsiz bırakır ve bu da önemli bir uyum açığı yaratır [3].
- SessionStorage, izleme veya analiz amaçları için kullanıldığında LocalStorage ile aynı gizlilik etkilerine sahiptir.
- Onayın geri çekilmesi, bir web sitesinin bu onay altında toplanan herhangi bir LocalStorage verisini silmesini zorunlu kılar.
- LocalStorage'a yazan üçüncü taraf betikleri de onay kapsamına girmektedir; sorumluluk site işletmecisine aittir.
- GDPR kapsamındaki uyumsuzluk için cezalar önemli olabilir; ihlaller sistematik ve açıklanmamış olduğunda risk artar.
LocalStorage Nedir ve Nasıl Çalışır
LocalStorage, modern tarayıcılara entegre edilmiş bir Web Storage API'sidir ve web sitelerinin kullanıcıların cihazlarında anahtar-değer veri çiftlerini doğrudan depolamasına olanak tanır; bu verilerin bir son kullanma tarihi yoktur ve tipik bir köken başına sınır yaklaşık 5-10 MB'dır. Çerezlerin aksine, LocalStorage verileri asla otomatik olarak bir sunucuya HTTP istekleri ile gönderilmez; veriler, web sitesinin JavaScript'i veya kullanıcı tarafından açıkça silinene kadar kalır.
Pratikte nasıl çalıştığı:
- Bir web sitesinin JavaScript'i
localStorage.setItem('key', 'value')çağrısını yaparak veri yazar. - O veri,
localStorage.removeItem('key')veyalocalStorage.clear()çağrısı yapılana kadar tarayıcı oturumları arasında cihazda kalır. - Sadece aynı kökten (protokol + alan adı + port) gelen betikler o veriyi okuyabilir veya yazabilir.
Yaygın kullanımlar şunlardır: kullanıcı tercihlerini (tema, dil), oturum belirteçlerini, analiz tanımlayıcılarını, alışveriş sepeti içeriklerini ve A/B test varyant atamalarını depolamak.
Kritik uyum noktası: LocalStorage, kullanıcıların cihazlarında veri depoladığı için, bu durum ePrivacy Direktifi ve GDPR kapsamında çerezlerle aynı yasal çerçeveyi tetikler; bu verilerin asla bir sunucuya iletilip iletilmediği önemli değildir [4].
GDPR Kapsamında LocalStorage için Kullanıcı Onayı Gerekir mi
Evet, LocalStorage'ın herhangi bir gereksiz kullanımı için veriler depolanmadan veya erişilmeden önce açık kullanıcı onayı gereklidir. EDPB, LocalStorage gibi teknolojilerin çerezlerle aynı onay gereksinimlerine tabi olduğunu ve önceden, bilgilendirilmiş ve serbestçe verilmiş onay gerektirdiğini doğrulamıştır [2]. ICO, ayrıca onayın, tarayıcı davranışından çıkarılmaması ve site kullanımının devamından varsayılamayacak şekilde, açık ve net bir eylemle onaylanması gerektiğini belirtmektedir [1].
Gerekli istisna: LocalStorage yalnızca kullanıcının açıkça talep ettiği bir işlevi yerine getirmek için kullanılıyorsa, örneğin, aktif bir oturum sırasında alışveriş sepetindeki öğeleri korumak, bu kesinlikle gerekli depolama olarak kabul edilebilir ve onay gerektirmeyebilir. Ancak, aynı sepet verileri analiz, yeniden hedefleme veya davranışsal profil oluşturma için kullanılıyorsa, gerekli istisna geçerli olmaz.
Yaygın hata: LocalStorage verilerinin HTTP istekleriyle taşınmadığı için gizlilik yasası kapsamının dışında olduğu varsayımı. Yasa, bir kullanıcının cihazında bilgi depolama veya erişme eylemine uygulanır, bu bilginin iletilip iletilmediğine değil.
LocalStorage ve Çerezler Arasındaki Fark: Onay Gereksinimleri
Hem LocalStorage hem de çerezler, gereksiz amaçlarla kullanıldıklarında onay gerektirir, ancak teknik davranışları ve uyum araçlarının bunları nasıl ele aldığı açısından farklılık gösterir.
| Özellik | Çerezler | LocalStorage |
|---|---|---|
| Süre | Yapılandırılabilir | Yok (silinene kadar) |
| HTTP istekleriyle gönderilir | Evet | Hayır |
| Sunucu tarafı erişimi | Evet | Hayır |
| Çoğu CMP tarafından varsayılan olarak kapsanır | Evet | Genellikle hayır [3] |
| Gerekli onay (gereksiz) | Evet | Evet |
| Kapsam | Alan adı/yol başına | Köken başına |
Pratikteki boşluk önemli: Çoğu onay yönetim platformu, çerez engelleme ve çerez kategorilendirme etrafında yapılandırılmıştır. LocalStorage yazımları, CMP'lerin müdahale edemeyeceği JavaScript aracılığıyla gerçekleşir, bu nedenle LocalStorage Gözden Kaçıyor: Neden Açık Kullanıcı Onayı Gerektiriyor yalnızca teorik bir endişe değil, birçok web sitesi için aktif bir uyum kör noktasıdır [3].
Neden LocalStorage Açık Kullanıcı Onayı Gerektiriyor
LocalStorage, bir kullanıcının cihazında bilgiye erişim veya depolama eylemi gerçekleştirdiği için açık onay gerektirir; bu eylem, kişisel verilerin dahil olup olmadığına bakılmaksızın ePrivacy Direktifi (ve ulusal uygulamaları) tarafından düzenlenmektedir. Hukuk uzmanları, LocalStorage'ı Birleşik Krallık yasaları altında çerezlere "benzer teknoloji" olarak sınıflandırmakta ve herhangi bir gereksiz depolama gerçekleşmeden önce önceden, bilgilendirilmiş ve serbestçe verilmiş onay gerektirmektedir [4].
Temel mantık basittir: yasa, kullanıcının cihazını özel alanının bir uzantısı olarak korur. Verilerin bir çerezde, LocalStorage'da, IndexedDB'de veya bir hizmet çalışanı önbelleğinde depolanıp depolanmadığı önemli değildir; yasal tetikleyici, depolama eyleminin kendisidir, format değil.
Geçerli onay için üç koşul (ICO rehberliğine göre) [1]:
- Serbestçe verilmiş, hizmet şartları kabulü ile onayın birleştirilmemesi.
- Belirli ve bilgilendirilmiş, kullanıcı neyin depolandığını ve nedenini bilmelidir.
- Belirsiz olmamalı, onay, bir onay kutusunun işaretlenmesi gibi net bir olumlu eylemden gelmelidir.
LocalStorage Gizlilik Yasaları Kapsamında İzleme Olarak mı Değerlendiriliyor
LocalStorage, oturumlar veya sayfalar arasında kullanıcıları tanımlamak, profil oluşturmak veya izlemek için kullanıldığında izleme olarak kabul edilir. LocalStorage'da bir analiz kullanıcı kimliği, A/B test ataması veya davranışsal segment etiketi depolamak, bu verilerin daha sonra bir sunucuya senkronize edilip edilmediğine bakılmaksızın çoğu düzenleyici yorumda izleme olarak kabul edilir.
Bu, LocalStorage Gözden Kaçıyor: Neden Açık Kullanıcı Onayı Gerektiriyor'nun özüdür; birçok geliştirici LocalStorage'ı tarafsız bir önbellekleme mekanizması olarak değerlendirirken, düzenleyiciler kalıcı cihaz tarafı tanımlayıcıları herhangi bir izleme vektörü olarak görmektedir ve bu nedenle onay gerektirmektedir.
LocalStorage'da Kişisel Veri Depolayabilir misiniz
Teknik olarak evet, ancak bunu yapmak önemli yasal riskler taşır ve genellikle önerilmez. LocalStorage'da depolanan kişisel veriler (örneğin, e-posta adresleri, cihaz parmak izi bileşenleri veya profillere bağlı kullanıcı kimlikleri) tüm GDPR yükümlülüklerine tabidir: yasal dayanak, veri minimizasyonu, saklama sınırları ve silme hakkı [1].
LocalStorage'a özgü riskler:
- Veriler açıkça silinmediği sürece sonsuza kadar kalır, bu da saklama uyumunu zorlaştırır.
- Sayfadaki herhangi bir JavaScript (üçüncü taraf betikler dahil) aynı kökten LocalStorage verilerine erişebilir.
- Yerleşik bir şifreleme yoktur; düz metin olarak depolanan hassas verilere cihaz erişimi olan herkes veya XSS açıkları aracılığıyla erişilebilir.
Tavsiye: Tanımlanabilir kişisel verileri LocalStorage'da depolamaktan kaçının. Depolama gerekli ise, onayın alındığından, verilerin minimize edildiğinden ve net bir silme mekanizmasının bulunduğundan emin olun.
LocalStorage ve SessionStorage: Gizlilik Etkileri
SessionStorage, Web Storage API açısından LocalStorage ile aynı şekilde davranır, ancak veri tarayıcı sekmesi veya penceresi kapatıldığında silinir. Bu daha kısa ömre rağmen, izleme veya analiz için kullanıldığında aynı onay gereksinimlerine tabidir [6].
Uyum açısından ana ayrım:
- SessionStorage, veriler oturumdan sonra kalmadığı için daha kolay bir şekilde kesinlikle gerekli olarak kabul edilebilir (örneğin, çok adımlı bir ödeme sırasında durumu korumak).
- LocalStorage, kalıcılığı nedeniyle kullanıcının cihazında uzun vadeli bir tanımlayıcı oluşturduğundan, izleme kullanım durumları için neredeyse her zaman onay gerektirir.
Hiçbir mekanizma gizlilik yasasından doğrudan muaf değildir. Depolanan verilerin amacı ve içeriği, onay yükümlülüğünü belirler; depolama türü değil.
Onay Almadan LocalStorage Kullanırsanız Ne Olur
Gereksiz amaçlarla LocalStorage'ı geçerli bir ön onay almadan kullanmak, ePrivacy Direktifi'nin ihlali ve kişisel verilerin söz konusu olduğu durumlarda GDPR ihlalidir. Sonuçlar arasında düzenleyici soruşturma, icra eylemi ve itibar kaybı olabilir.
Düzenleyici riskin ötesinde, artan bir teknik uygulama boyutu vardır: tarayıcı gizlilik özellikleri ve reklam engelleyiciler giderek daha fazla LocalStorage tabanlı izlemeyi hedef alıyor. Onaysız LocalStorage'a dayanan analiz veya kişiselleştirme için güvenen siteler, bu araçlar daha yaygın hale geldikçe verilerinin giderek daha az güvenilir hale geldiğini görebilir.
Pratik maruz kalma kontrol listesi:
- Onay kapsamı olmadan LocalStorage tanımlayıcıları yazan üçüncü taraf analiz betikleri.
- Onay toplanmadan önce varyant atamalarını depolayan A/B test araçları.
- Kullanıcı etkileşimi olmadan sayfa yüklemesi sırasında LocalStorage'ı başlatan sohbet widget'ları veya destek araçları.
- LocalStorage'ı çerez senkronizasyonu için bir yedek olarak kullanan yeniden hedefleme pikselleri.
Web Sitenizde LocalStorage Onayını Nasıl Uygularsınız
LocalStorage onayı uygulamak, kullanıcı geçerli bir onay seçeneği yapana kadar yalnızca çerez ayarı değil, JavaScript yürütmesini engelleyebilen bir onay yönetim platformu gerektirir. Sadece HTTP katmanında çalışan standart çerez banner'ları, JavaScript tarafından yapılan LocalStorage yazımlarını engellemeyecektir [3].
Adım adım uygulama yaklaşımı:
- LocalStorage kullanımınızı denetleyin. Tarayıcı geliştirici araçlarını (Uygulama sekmesi) ve bir betik tarayıcısını kullanarak LocalStorage'a yazılan her anahtarı, hangi betiğin yazdığını ve ne amaçla yazıldığını belirleyin.
- Her kullanımı kategorize edin. Depolamayı kesinlikle gerekli, işlevsel, analiz veya pazarlama olarak sınıflandırın. Sadece kesinlikle gerekli depolama onay olmadan devam edebilir.
- LocalStorage'ı kapsayan bir CMP seçin. Onay yönetim platformunuzun, onay verilene kadar gereksiz betikler için JavaScript yürütmesini engelleyebileceğinden emin olun. Biscotti CMP bu düzeyde betik düzeyinde onay yönetimini ele almak üzere tasarlanmıştır.
- Onaylı betik yüklemesini uygulayın. LocalStorage'a yazan gereksiz betikler, yalnızca kullanıcı ilgili onay kategorisini kabul ettikten sonra yüklenmelidir.
- Açık bir onay kullanıcı arayüzü sağlayın. Onay banner'ı, LocalStorage kullanımını basit bir dille, amaçlarına göre kategorize edilmiş ve ayrıntılı onay seçenekleri ile tanımlamalıdır.
- Bir geri çekme ve silme mekanizması uygulayın. Kullanıcı onayını geri çektiğinde, ilgili LocalStorage anahtarları derhal silinmelidir.
Kullanıcı Onayı Geri Çekildiğinde LocalStorage Verilerini Nasıl Silersiniz
Kullanıcı onayını geri çektiğinde, web sitesi, bu onay altında toplanan herhangi bir LocalStorage verisini derhal silmelidir. Bu isteğe bağlı değildir; onayı geri çekme ve ilişkili verilerin kaldırılmasını sağlama hakkı, GDPR'nın temel ilkelerindendir.
Uygulama modeli: