Birleşik Krallık Kumar Siteleri, %86 Çerez Testi Başarısızlığı Sonrası GDPR İncelemesine Maruz Kalıyor

Swansea Üniversitesi’nde yapılan yeni bir çalışma, Birleşik Krallık’taki kumar sitelerinin %86’sının çerez onayıyla ilgili “karanlık kalıplar” kullandığını ortaya koydu. Bunlar mutlaka GDPR uygulamalarını doğrudan ihlal etse de, izleme yazılımının ve kişisel olarak tanımlanabilir bilgilerin saklanma şekliyle ilgili ciddi sorunlar gösteriyor ve bu durum ziyaretçilerin gizliliğini potansiyel olarak ihlal edebiliyor.

Veri toplama, kişiselleştirmeye yardımcı olması, analiz verileri sağlaması ve hatta reklam amaçlı kullanılabilmesi gibi birçok faydalı amaca sahiptir. Ancak kumar müşterileri için, kumar sitesi tercihleri, kullanım sıklığı ve zaman içinde davranışlarındaki önemli değişimler gibi kritik bilgileri de ortaya çıkarabilir.

Bu rapor, Bilgi Komisyoncusu Ofisi (ICO)’nin internet genelinde çerez ve izleme kurallarına uyumu artırma çabalarını sürdürdüğü bir dönemde ortaya çıktı. Ancak kumar sektörü, ICO’nun Birleşik Krallık’taki en iyi 1.000 site arasında %95’inin çerez ve izleme düzenlemelerine uyduğunu iddia etmesinin gerisinde kalmış gibi görünüyor.

Çalışma, Kumar Sitesi Çerezlerindeki Karanlık Kalıpları Ortaya Çıkardı

Çalışma, Swansea Üniversitesi’nin GREAT Merkezi’nde yürütüldü ve ilk olarak The Guardian’da bir makalede yer aldı. Amaç, çevrimiçi kumar operatörlerinin tüketici verilerini nasıl topladığını ve izlediğini belirlemek ve bu verilerin teşvikleri (bonusları) kişiselleştirmek için kullanılıp kullanılmadığını araştırmaktı. 624 UKGC lisanslı kumar sitesinde denetimler yapıldı ve rapor şunları buldu:

• %86’sı en az bir karanlık kalıp içeriyordu
• %67’si kişisel olarak tanımlanabilir verileri işliyordu
• %47’si çerez ayarlarının ikinci katmanından sonra izlemeyi reddetme seçeneği sunuyordu
• %22’si izlemeyi reddetme seçeneği sunmuyordu
• Sadece %14’ü GDPR’ye uyumluydu

Bunlar oldukça yüksek oranlar ve Birleşik Krallık’taki oyuncular ve bahisçilerin, gizliliklerini göz ardı eden kayıtlı sitelerin bu kadar büyük bir kısmı karşısında tedirgin hissetmeleri anlaşılır. Ayrıca bunlar şüpheli kara piyasâ ya da offshore siteler değil. William Hill ve Ladbrokes gibi operatörler, onay formları sunulmadan önce zaten kullanıcı verilerini toplayanlar arasındaydı. Hollywood Bets ve popüler sokak slot firması Admiral Casino, müşterilere izlemeyi kapatma seçeneği sunmadıkları ortaya çıkanlar arasındaydı.

Karanlık Kalıplar Nedir

Çerezleri kapatma seçeneği sunmayı kesin olarak reddeden bir site, doğrudan GDPR uyum yasalarını ihlal eder; ancak karanlık kalıplar daha ince bir yapıya sahiptir. Müşterileri hazırlıksız yakalamak veya bir site ziyaretçisini çerez kabul etmeye zorlamak amacıyla, önceden işaretlenmiş kutular sunmaktan onay reddetme seçeneğini birden fazla alt menüye gizlemeye kadar çeşitli sinsi uygulamalardır.
Çalışma aşağıdakileri gözlemledi:

• Görsel vurgu (%%60): Kabul seçeneği renk, boyut, kontrast veya konumlandırma ile görsel olarak vurgulanıyor)
• Önceden seçili seçenekler (%%29): Gizliliğe dost olmayan seçenekler varsayılan olarak önceden seçilir
• Gizli reddetme seçeneği (%%47): Reddetme seçeneği bannerın ilk katmanında bulunmaz
• Reddetme Seçeneği Yok (%%22): Banner, kullanıcılara veri toplandığını bildirir ancak reddetme seçeneği sunmaz
• Banner Yok (%%2): Sitede onay bannerı bulunmaz

Teknik olarak, izlemeyi kapatma seçeneği sunan ancak görsel araçlarla müşterileri yanıltan siteler hâlâ GDPR’ye uygundur. Ahlaki açıdan değil, ancak yasal çerçeveye göre öyle. İncelenen sitelerin 293’ünde (%47) bulunan gizli reddetme seçenekleri bile tartışmalı bir şekilde yasal sınırlar içinde kabul edilebiliyor. Teknik olarak, ICO açıkça izlemeyi reddetmenin, kabul etmeyle aynı derecede kolay olması gerektiğini belirtiyor.

Bu Müşterileri Nasıl Etkiliyor

Çoğu ziyaretçi için acil sorun, bir kumar sitesinin aniden banka hesabına erişebilmesi ya da çevrimiçi yaptıklarını görmesi değildir. Asıl endişe, faaliyetlerine ilişkin bilgilerin toplanıp, ziyaretçinin bu izlemeyi onaylamasından önce üçüncü taraflarla paylaşılabilmesidir. Örneğin, bir ziyaretçi çevrimiçi bir casinoya gelerek slot oyunlarına göz atabilir ve kayıt olup olmayacağına karar verir. Kullanılan izleme teknolojilerine bağlı olarak, bu ziyaretle ilgili bilgiler kaydedilebilir.

Bu, ziyaret edilen sayfalar, kullanılan cihaz, gezinme davranışı ve etkinliğin aynı ziyaretçiyle ilişkilendirilmesini sağlayan tanımlayıcılar gibi bilgileri içerebilir. Bu bilgiler, diğer kumar siteleriyle çalışan üçüncü taraflarla paylaşıldığında, bu taraflar teşvikler ve cazip kayıt teklifleriyle bu potansiyel gelecekteki müşterileri hedef alabilir.

Bu durum, Birleşik Krallık’taki çevrimiçi kumarbazlar için ciddi bir gizlilik sorunu yaratıyor. Çalışma, bunu gözetim kapitalizmi olarak tanımlıyor; yani verileriniz operatörler için paha biçilmez, çünkü ürünlerini ihtiyaçlarınıza göre özelleştirebiliyor ve bu toplanan bilgileri işinizi elde etmek için kullanabiliyorlar. Birleşik Krallık’taki kumar operatörleri, sadece kumar reklamcılığına yılda yaklaşık 1,1‑2 milyar £ harcıyor ve bunun üçte ikisinden fazlası çevrimiçi gerçekleşiyor. Bu, bir oyuncunun tercihlerini öğrenmeyi ve aynı zamanda zaman içinde faaliyetlerini izlemeyi amaçlıyor. İşte bu noktada tehlikeli bir alana kayabiliyor.

İzleme Yazılımının ve Kontrol Edilmemiş Çerezlerin Tehlikeleri

Ortalama kullanıcı, kumar reklamlarının ekranlarında yer kaplayan sinir bozucu promosyonlar olduğunu düşünebilir ve bunları düşünmeden geçebilir. Ancak problemli kumarbazlar için bu, duygusal tepkileri tetikleyebilir ve onları yeni bir bonus yakalamaya ya da bir promosyon teklifine katılmaya yönlendirebilir.

The Observer tarafından 2025’te yapılan bir araştırma, yaklaşık 150 UK lisanslı kumar sitesinin üçte birinde Meta Pixel izleme bulunduğunu ortaya koydu; bazıları pazarlama onayı alınmadan kullanıcı etkinliği bilgilerini Meta’ya gönderiyordu. Araştırmacılar daha sonra Facebook’ta kumar reklamları aldılar, Swansea çalışması ise kârlı kumar davranışı ile kumar zararıyla ilişkili kalıplar arasındaki örtüşmeyi vurguladı.

Bu, müşteri davranışlarını anlamak için kullanılan aynı verilerin, zaten problemli kumar riski taşıyan kişileri hedeflemek için kullanılabileceği endişesini doğurur. Problemli davranış belirtileri gösteren bir oyuncu için, kişiselleştirilmiş kumar reklamları bu davranışı güçlendirebilir ve onu bırakmasına yardımcı olmak yerine teşvik edebilir.

Birleşik Krallık’ta Çerez Onayıyla İlgili Yasalar

Çerezleri düzenleyen kurallar, öncelikle Kişisel Veri ve Elektronik İletişim Yönetmelikleri (PECR) ve kişisel verilerin söz konusu olduğu durumlarda Birleşik Krallık GDPR’si tarafından yönetilir. ICO, web sitelerinin kullanıcılara çerezlerin veya benzer teknolojilerin kullanıldığını bildirmesini, ne işe yaradığını açıklamasını ve onayın gerektiği durumlarda, kullanıcının cihazında bilgi depolamadan veya erişmeden önce izin almasını şart koşar.

Hizmetin çalışması için kesinlikle gerekli olan teknolojilere istisnalar vardır. Ancak, zorunlu olmayan reklam ve izleme teknolojileri genellikle onay gerektirir. Özellikle, ICO bu teknolojileri reddetmenin, kabul etmeyle aynı derecede kolay olması gerektiğini belirtiyor. Onay, net bir olumlu eylemi de içermelidir; yani sadece bir web sitesinde gezinmeye devam etmek onay anlamına gelmez. Kullanıcılar daha sonra onayı geri çekebilirler. Bunu yaparlarsa, ilgili işleme için organizasyonun bu onaya dayanması durmalı ve gerektiğinde ilgili depolama ve erişim teknolojilerini kaldırmalıdır.

İstenmeyen Kumar Reklamlarıyla Mücadele Çabaları

Birleşik Krallık, kumar reklamları ve oyuncu koruması konusunda giderek daha katı kurallar getirdi ve UK Gambling Commission da operatörlerin izlemeleri beklenen davranışsal ve finansal bilgi miktarını artırdı. Bunlar, yüksek harcama yapan müşteriler için finansal risk değerlendirmelerinin getirilmesi, yasadışı yayın sitelerini hedefleyen daha katı kumar reklam yasaları ve sosyal medya kumar reklam dağıtımını kapsar. Ayrıca ICO, son yıllarda çevrimiçi gizlilik eksiklikleriyle mücadele çabalarını artırdı.

2024 yılında ICO, Sky Betting & Gaming’e gerekli onay olmadan çerezleri kullanarak müşterilerin kişisel bilgilerini hedefli reklamcılık için işlediği tespit edildikten sonra işlem başlattı. Sky Betting & Gaming daha sonra müşterilerin bu amaçlarla bilgi paylaşılmadan önce reklam çerezlerini reddedebilmelerini sağlamak için değişiklikler yaptı.

Operatörlerin, potansiyel kumar zararlarını tespit edebilmek için müşteri davranışlarını izlemeleri giderek daha fazla bekleniyor, ancak müşterilerin kişisel bilgilerinin uygun onay olmadan toplanmayacağı ve kullanılmayacağı yönünde meşru beklentileri var. Bu nedenle sorumlu kumar izleme ile tüketici gizliliği arasında bir denge bulunmalı. Çerezler ve izleme yazılımı faydalı olsa da, bunları oyuncuları hedeflemek ya da üçüncü taraflara satmak için kullanmak, yazılımın faydalarını baltalar. Bu raporun gösterdiği bir şey, Birleşik Krallık’taki kumar operatörlerinin hâlâ şeffaflık yaratma ve oyunculara kişisel verileri üzerinde daha fazla kontrol sağlama konusunda bir yol katetmesi gerektiğidir.