Yıllarca web analitiğinin el kitabı basitti: Google Analytics kodunu ekle, üçüncü parti çerezler her şeyi takip etsin, raporları üret. O el kitabı artık geçerli değil.
Üçüncü parti çerezler modern tarayıcılarda fiilen ortadan kalktı. GDPR sekizinci yaşını geçti ve uygulama iddiayla aynı hizaya geldi. Türkiye'nin KVKK'sı bir oyuncak değil — para cezaları ve açık rıza beklentileri çok gerçek. Apple'ın Intelligent Tracking Prevention'ı, Firefox'un Total Cookie Protection'ı, Chrome'un Privacy Sandbox'ı; hepsi geleneksel analitiğin görebileceği alanı daraltıyor.
Soru şu değil: "Hâlâ analitik yapmalı mıyız?" Asıl soru şu: Bunu nasıl doğru yapacağız?
Asıl Ne Değişti
Web sitesi işleten herkes için en önemli üç değişim:
Çerezler artık güvenilir bir kimlik katmanı değil. Birinci parti çerezler bile silinebiliyor, bölümlendiriliyor veya ömrü kapatılıyor (Safari, JavaScript ile set edilen çerezleri 7 günle sınırlıyor). Analitiğiniz oturumları birleştirmek için kalıcı bir çereze güveniyorsa, az sayıyor ve yanlış atfediyorsunuz demektir.
Açık rıza artık yasa. GDPR çerçevesinde ve giderek KVKK çerçevesinde, kişisel veri içeren her analitik için aydınlatılmış rıza gerekir. "Aydınlatılmış" demek, kullanıcının neye onay verdiğini gerçekten bilmesi demektir. "Rıza" demek, önceden işaretlenmiş kutu değil net bir opt-in ve aynı kolaylıkta geri çekilebilme demektir.
Düzenleyiciler aynı çizgide. AB veri koruma otoriteleri, Google Analytics'in yaygın kurulumunun GDPR ile uyumlu olmadığını açıkça ifade etti. Avusturya, Fransa, İtalya ve Danimarka yaptırım kararları çıkardı. Türkiye'de KVKK kapsamında da aynı yönde hareket ediliyor.
2026'da Masadaki Seçenekler
Web sitenizi ölçmeye hâlâ ihtiyacınız var — ve var — o halde gerçekçi dört yol bulunuyor:
1. Birinci parti, çerezsiz analitik
Kimlik belirten çerez yerleştirmeden, veriyi üçüncü taraflarla paylaşmadan ve kişisel veri toplamadan trafiği ölçen platformlar, gizlilik bilinci yüksek ekiplerin yeni varsayılanı oldu. Kısa ömürlü dönen salt'lerle oturum hashing, IP kırpma ve bellek-içi birleştirme gibi yöntemler kullanıyorlar.
Ödünü şu: çapraz site profili yok, girişe dayanmayan çapraz cihaz birleştirmesi yok. Çoğu içerik sitesi, online mağaza ve SaaS ürünü için bu yeterli — gerçekten ihtiyacınız olan veri (sayfalar, dönüşümler, referanslar, temel segmentler) orada.
2. Sunucu tarafı takip
Analitiği tarayıcıda çalıştırmak yerine olayları kendi sunucunuzda kaydedersiniz. Neyi tutacağınıza, neyi hash'leyeceğinize, neyi atacağınıza siz karar verirsiniz. Veri sizde kalır; kopyası üçüncü tarafa gitmez.
İyi yapılırsa, çerezsiz istemci tarafı analitikten daha zengin veri ve saklama üzerinde tam kontrol sağlar. Kötü yapılırsa, kişisel veriyi merkezileştirerek aslında daha fazla düzenleyici risk yaratır. Tasarımı dikkatli yapın.
3. Rıza yönetimli analitik
Google Analytics (veya benzerini) kullanmaya devam edersiniz ama her şeyi doğru tasarlanmış bir onay bannerı arkasına alırsınız. Daha az veri toplarsınız. IP'leri anonimleştirirsiniz. Çapraz-site raporlamayı kapatırsınız. Ziyaretçilerin %40-60'ının onay vermeyeceğini ve verinizin tasarımla eksik olacağını kabul edersiniz.
Büyük kurumsal yapıların çoğu bu yolu seçiyor, ama sıkı düzenleyiciler karşısında savunması giderek zorlaşıyor.
4. İstatistiksel / modellenmiş ölçüm
Özellikle pazarlama atıfı için ekipler modellenmiş yaklaşımlara yöneliyor — Marketing Mix Modeling, incrementality testleri, coğrafi deneyler — kullanıcı düzeyinde takibe hiç dayanmayan yöntemler. Ölçekte güçlüler ama gerçek bir veri bilimi yatırımı gerektiriyorlar.
Pragmatik Yol Haritası
Çoğu satıcı ve içerik operatörü için pragmatik yol şu:
Başlangıç noktası olarak çerezsiz, gizlilik-öncelikli bir analitik platform seçin. Hızlı yüklenmeli, çoğu yargı bölgesinde temel trafik metrikleri için onay gerektirmemeli (yerel otoritenizi kontrol edin) ve kararlarınızı yönlendiren verinin %80'ini vermeli.
Üstüne bir onay yönetim platformu ekleyin. Kullanıcılar onay verdiğinde ölçümünüzü zenginleştirebilirsiniz — ısı haritaları, oturum kayıtları, remarketing. Vermediklerinde de temiz bir taban veriniz olur. Gizemli "veri örneklendi" boşlukları olmaz.
Önemli olan için sunucu tarafı. E-ticarette siparişleri, geliri, dönüşümleri ve atıf sinyallerini tam kontrolün olduğu sunucu tarafında takip edin. İstemci tarafı analitiğiniz sayfa görüntülemeleri ve etkileşimi yönetsin; sunucunuz para hareketlerini saklasın.
Salt'leri döndürün, IP'leri kırpın, e-postaları hash'leyin. Herhangi bir tanımlayıcı saklamanız gerekiyorsa, bir ay sonra kullanıcıyı yeniden tanımlayamayacağınızdan emin olun. Bir ay sonra ihtiyacınız yoksa saklamayın.
Her şeyi belgeleyin. KVKK ve GDPR her ikisi de bir veri işleme kaydı şart koşar. Bunu yaşayan bir belge olarak ele alın — neyi topluyorsunuz, neden, nerede saklanıyor, kimin erişimi var, ne kadar süre tutuyorsunuz, nasıl siliyorsunuz.
Artık Yapılmayacak Şeyler
Aynı ölçüde önemli — artık uygulanabilir olmayan şeyler:
- AB'de veya Türkiye'de onay almadan üçüncü parti analitik yüklemek
- "Ne olur ne olmaz" diye 2 yıl kalıcı analitik çerezleri kullanmak
- Güvenlik için gerekenden fazla ham IP adresi saklamak
- "Anonimleştirdik" dediğinizde düzenleyicinin hemfikir olacağını varsaymak — sıkı tanımları var
- Ayrı bir onay olmadan analitik ile reklam çerezlerini birleştirmek
Rekabetçi Açı
Gizlilik uyumu genelde bir maliyet olarak çerçevelenir. Doğru yapıldığında bir avantaj. Çerez banner'ı olmadan yüklenen siteler daha hızlı ve daha güvenilir hissettirir. Şeffaf olmayan üçüncü taraflara bağlı kalmayan ekipler verilerine sahip olur. Gizliliğe halkın önünde taahhüt veren markalar, gözetime dayalı rakiplerin eşleşemeyeceği müşteri sadakati kazanır.
2026'da "kullanıcıları nasıl takip ederiz?" yanlış soru. Doğru soru şu: "Bu işi yürütmek için gerçekten neyi ölçmemiz gerekiyor ve buna cevap veren minimum veri nedir?"
Oradan başlayın, uyum kendiliğinden büyük ölçüde çözülür.
- #Analytics
- #Privacy
- #KVKK
- #GDPR
- #Cookieless
- #Compliance