Sosyal ağ sağlayıcı tarafından çocuklara özgü ayrıştırılmış hizmet sunulmasına ve yaş doğrulamaya ilişkin yönetmelik ile ilgili sorularımızı Lebib Yalkın Kıdemli Mevzuat Uzmanı Haluk Paftalı yanıtladı.
1. Yönetmeliğin Getirdiği Başlıca Yükümlülükler
Söz konusu düzenleme, sosyal ağ sağlayıcıları ile bunların kullanıcılarını kapsamaktadır.
Başlıca yükümlülükler şunlardır:
• 15 yaş altına hizmet yasağı; Hesap açılışında kullanıcının yaşı doğrulanır ve 15 yaşını doldurmadığı anlaşılanların hesap açma talepleri reddedilir. Bu kurala ebeveyn onayına dayalı bir istisna getirilmemiştir.
• e-Devlet belirteciyle yaş doğrulama; Sosyal ağ sağlayıcı; hesap oluşturulması aşamasında kullanıcının yaş durumunu yaş doğrulama belirteci ile doğrulamak zorundadır. (Yaş doğrulama belirteci; Yönetmelik’te “Kullanıcının yaş eşiğini gösteren teknik doğrulama aracı” olarak tanımlanmıştır.)
Kullanıcı da e-Devlet Kapısı üzerinden Siber Güvenlik Başkanlığının hizmetine erişerek bir yaş doğrulama belirteci oluşturur ve bunu sosyal medya platformuna yükler. Platform, belirtecin kaynağını teyit ederek kullanıcıyı uygun yaş grubuna yerleştirir.
• Sürekli denetim; Sosyal ağ sağlayıcı, kullanım süresince etkili veya katmanlı yöntemler uygulamalıdır. Hesabın doğrulanan yaş aralığına aykırı kullanıldığına dair makul şüphe varsa hesap askıya alınır ve yeniden kullanım için belirteçle doğrulama gerekir.
• 15–17 yaş için ayrıştırılmış hizmet; Sosyal ağ sağlayıcı, on beş yaşını doldurmuş çocuk olduğu doğrulanan kullanıcılara yönelik hizmetlerini; çocuğun yüksek yararı ile fiziksel, zihinsel, psikolojik, sosyal ve duygusal gelişimini koruyacak şekilde ayrıştırır.
Sosyal ağ sağlayıcı, on beş yaşını doldurmuş çocuk kullanıcıya ait kişisel verilerin korunması amacıyla, yüksek düzeyde gizlilik ayarlarını varsayılan olarak uygulanmalıdır.
Sözleşmeler bu yaş grubunun anlayacağı dilde olmalıdır.
Bu yaş grubuna kamuya açık hesap seçeneği sunulamaz. Takipçi ve takip edilen listeleri başkalarına gösterilemez. Yalnızca çocuğun takip ettiği hesaplar ona mesaj gönderebilir. Telefon rehberiyle senkronizasyon yasaktır. Canlı yayın özelliği ile bağımlılık etkisi yaratabilecek ardışık akış arayüzleri sunulamaz. Çocuğun verileri profillemeye veya kişiselleştirilmiş reklama konu edilemez. Ekran görüntüsü alınmasını önleyecek teknik tedbirler alınmalıdır.
• Ebeveyn kontrol araçları; Sosyal ağ sağlayıcı ebeveyn kontrol araçları sağlamalıdır. Bu araçlar hesap ayarlarının kontrolünü, ücretli işlemler için ebeveyn onayı ve harcama limitini, kullanım süresinin sınırlandırılmasını ve konum paylaşımına ilişkin mekanizmaları kapsamalıdır.
• İtiraz mekanizması; Sosyal ağ sağlayıcı Türkçe, ücretsiz ve erişilebilir bir başvuru mekanizması kurmalıdır. Başvurular yalnızca otomatik sistemlerle değerlendirilemez; anlamlı bir insan incelemesi gerekir.
• Mevcut hesaplar; Sosyal ağ sağlayıcıları, mevcut hesapları 31 Mart 2027’ye kadar en az bir kez yaş doğrulamasından geçirmek zorundadır.
2. Yaş Doğrulama ve Çocuklara Özgü Hizmet Sunumu, Sosyal Ağ Sağlayıcılarını Nasıl Etkileyecek?
Etki, salt bir hesap açma kontrolünün çok ötesine geçmektedir. Yönetmelik yalnızca çocukların sosyal medya kullanımını değil, platformların kullanıcı deneyimini, reklam modellerini ve teknik altyapılarını da etkileyecektir.
İş modeli açısından en ağır etki, 15–17 yaş segmentinde profillemeye dayalı reklamın ve kişiselleştirilmiş akışın yasaklanmasıdır. Sonsuz kaydırma, canlı yayın ve takip önerileri gibi büyümeyi besleyen temel özellikler bu kitlede kapatılmak zorundadır. Bu, platformların paralel bir ürün versiyonu tasarlaması anlamına gelmektedir. Ekran görüntüsünü engelleme yükümlülüğü ise özellikle web tabanlı erişimde teknik açıdan zorlayıcı olacaktır.
Operasyonel açıdan, milyonlarca mevcut hesabın 31 Mart 2027’ye kadar yeniden doğrulanması ciddi bir kullanıcı kaybı riski taşır. Doğrulama adımı sürtünme yaratır ve bazı kullanıcılar bu süreci tamamlamayabilir. Buna ek olarak platformların e-Devlet belirteci altyapısına teknik entegrasyon yapması, insan incelemeli bir itiraz birimi kurması ve Türkiye’de geçici olarak bulunan yabancılar için ayrı bir akış işletmesi gerekecektir. Mukim olmayan bu kullanıcılar için pasaport bilgileriyle istisnai belirteç oluşturulması öngörülmüştür.
Hukuki sorumluluk açısından, ebeveyn denetiminin platformun kendi koruma yükümlülüğünü ortadan kaldırmadığı açıkça düzenlenmiştir. Dolayısıyla platform, sorumluluğu ebeveynlere aktarmak suretiyle kendini koruyamaz.
3. Yaş Doğrulama Süreçlerinde Kişisel Verilerin Korunması Açısından Nelere Dikkat Edilmeli?
Aslında burada “amacı aşan veri işleme”nin önüne geçilmesi önemlidir. Kullanıcının yaş eşiğini tespitinde, kişinin tam doğum tarihi veya sosyal medya kullanıcı adının bulunmaması önemlidir. Burada yalnızca 15 yaşın, bu eşik aşılmışsa 18 yaşın doldurulup doldurulmadığının değerlendirilmesi ve bu amaçla sınırlı sistemin kurulması gerekmektedir. Yönetmelik, belirtecin başka kişisel bilgi içermesini ve yaş doğrulaması dışında kullanılmasını yasaklar.
Şirketler açısından dikkat edilmesi gereken başlıca noktalar şunlardır:
• Amaç sınırlaması. Belirteç ve doğrulama sonucu yalnızca yaş grubu ataması için kullanılmalı; reklam, analitik veya model eğitimi gibi başka sistemlere aktarılmamalıdır.
• Veri minimizasyonu ve saklama süresi. Belirteç doğrulandıktan sonra ne kadar süre saklanacağı belirlenmeli; platform tarafında yalnızca yaş grubu bilgisinin tutulması tercih edilmelidir.
• Katmanlı denetim riski. Kullanım süresince uygulanacak “makul şüphe” tespitleri, davranışsal analiz veya yüz analizi gibi yöntemlere dayanırsa bu durum yeniden yoğun veri işleme anlamına gelir. Bu yöntemlerin KVKK’nın ölçülülük ilkesi açısından ayrıca değerlendirilmesi, mümkünse bir veri koruma etki değerlendirmesiyle desteklenmesi gerekir. Biyometrik yöntemler özel nitelikli veri rejimine girer.
• Ebeveyn iletişim verisi. Rehber senkronizasyonu yasağının tek istisnası, hesap güvenliği ve ebeveyn denetimi amacıyla ebeveyn iletişim bilgisinin işlenmesidir. Bu dar istisna geniş yorumlanmamalıdır.
• Aydınlatma. Platformun asgari veri işlemesi ve kuralları çocuğun anlayabileceği bir dille açıklaması gerekmektedir. Bu nedenle 15–17 yaşa özel, sade dilde yazılmış bir aydınlatma metni hazırlanmalıdır.
• İtiraz sürecinde veri. İtiraz sonuçlanıncaya kadar hesaba ait içerik ve kişisel veriler silinmez. Bu durum, silme politikalarında itiraz süresine özel bir istisna tanımlanmasını gerektirir.
4. Yükümlülüklere Uyulmaması Hâlinde Hangi Yaptırımlar Söz Konusu Olabilir?
Yönetmelik, yaptırımlar için 5651 sayılı Kanun’un ek 4. maddesine atıf yapar. Yaptırımdan önce aykırılık bildirilir ve aykırılığın niteliğine göre giderilmesi için makul bir süre verilir. Yaptırım belirlenirken aykırılığın ağırlığı, süresi, etkilenen çocuk sayısı ve iyi niyetli uyum çabası dikkate alınır.
Ek 4. maddedeki kademeli sistem şöyle işlemektedir:
• İlk aşamada Siber Güvenlik Başkanlığı tarafından bir önceki takvim yılındaki küresel cironun yüzde üçüne kadar idari para cezası verilebilir.
• Cezanın tebliğinden itibaren 30 gün içinde uyum sağlanmazsa, Türkiye’de mukim vergi mükelleflerinin platforma yeni reklam vermesi, yeni sözleşme kurması ve buna ilişkin para transferi yapması yasaklanır.
• Reklam yasağından itibaren 3 ay içinde uyum sağlanmazsa, sulh ceza hâkimliği kararıyla bant genişliği yüzde 50 oranında daraltılabilir.
• Bu karardan sonra 30 gün içinde de uyum sağlanmazsa daraltma yüzde 90’a kadar çıkabilir.
5. Şirketler Yönetmeliğe Uyum İçin Hangi Hazırlıkları Yapmalı?
Takvim oldukça dardır: yayım 10 Ekim 2026, yürürlük 1 Kasım 2026, mevcut hesaplar için son tarih ise 31 Mart 2027’dir. Önceliklendirme şu şekilde yapılabilir:
• Kısa vadede (1 Kasım’a kadar): Yeni hesap açılış akışına belirteç doğrulamasının entegre edilmesi gerekmektedir. Ancak teknik yapı, bilgi formatı ve uygulama süreci Başkanlığın hazırlayıp sağlayıcılarla paylaşacağı bir rehberde ayrıntılandırılacaktır. Bu nedenle Başkanlıkla iletişim kanalının hemen kurulması ve rehberin takip edilmesi gerekir. Ayrıca 15–17 yaş hesapları için varsayılan ayarların (gizli hesap, mesaj kısıtı, reklam ve profilleme kapatma) yapılandırılması ve itiraz biriminin insan incelemesi kapasitesiyle kurulması bu aşamada tamamlanmalıdır.
• Orta vadede (31 Mart 2027’ye kadar): Mevcut kullanıcı tabanı için kademeli bir yeniden doğrulama kampanyası planlanmalıdır. 15 yaş altı hesapların bilgilendirilerek kapatılması ve 15–17 yaş hesaplarının ayrıştırılmış hizmete taşınması için iş akışları hazırlanmalıdır.
• Yönetişim ve belgeleme: Şirket içinde bir boşluk analizi yapılmalı ve her madde için sorumlu birim atanmalıdır. Veri koruma etki değerlendirmesi hazırlanmalı, aydınlatma metinleri ve kullanım koşulları güncellenmelidir. Alınan tedbirler, şeffaflık yükümlülüğü gereği internet sitesinde yayımlanmalıdır. Uyum adımları tarihli olarak kayıt altına alınmalıdır.
Ek 4. maddeye ilişkin diğer yeni yükümlülükler de aynı uyum programına dâhil edilmelidir.
6. Çocukların Dijital Ortamda Korunması ile Kullanıcı Mahremiyeti Arasında Nasıl Bir Denge Kurulmalı?
Bu sorunun tek doğru bir cevabı bulunmamakla birlikte, yönetmeliğin kendisi bazı denge noktaları önermektedir. Birincisi, kimlik bilgisinin devlet tarafında kalması ve platforma yalnızca yaş eşiğinin iletilmesi, mahremiyeti koruyan bir tasarım tercihidir. İkincisi, ebeveyn kontrollerinin çocuğun mahremiyetini orantısız biçimde ortadan kaldırmaması, iletişim, öğrenme ve güçlenmeyi esas alması ve etkinleştirildiğinde çocuğa bildirilmesi gerekmektedir. Bu yaklaşım, söyleşide atıf yapılan BM Çocuk Haklarına Dair Sözleşme’deki çocuğun kendini ifade etme hakkıyla örtüşmektedir.
Öte yandan eleştirel bakış açıları da mevcuttur. Merkezi bir e-Devlet doğrulaması, platform tarafında veri azaltırken devlet tarafında hangi kullanıcının hangi platform için belirteç ürettiğine dair bir iz oluşturup oluşturmadığı sorusunu gündeme getirmektedir. Bu durumun anonim ifade özgürlüğü bakımından nasıl değerlendirileceği tartışmaya açıktır.
Uygulamada dengenin ölçütleri şunlar olabilir: veri minimizasyonu, belirtecin amaç dışı kullanım yasağına sıkı uyum, sürekli denetimde müdahaleci yöntemlerden kaçınma, insan incelemeli ve etkin bir itiraz hakkı ve ebeveyn araçlarının gözetim değil rehberlik aracı olarak tasarlanması
