Çocuk Hakkı ve Dijital Ortam: Online Koruma ve Yaş Doğrulama

Türkiye’de çocuğun dijital ortamda korunması tek bir kanunda toplanmış değil; 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 5395 sayılı Çocuk Koruma Kanunu, 5237 sayılı Türk Ceza Kanunu ve 5651 sayılı İnternet Kanunu birlikte okunarak uygulanan bir alan. “Yaş doğrulama” konusunda ise platformlara yaş kontrolü yapma zorunluluğu getiren özel bir Türk düzenlemesi bugün itibarıyla yok; bu boşluk KVKK’nın genel açık rıza rejimiyle ve Kişisel Verileri Koruma Kurulunun somut olaylarda verdiği kararlarla dolduruluyor.

Yasal Çerçeve ve Hukuki Dayanak

KVKK’nın 3. maddesi açık rızayı “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlıyor. Kanun çocuk için ayrı bir yaş eşiği koymuyor; bunun yerine 4721 sayılı Türk Medeni Kanunu’nun genel ehliyet rejimine (m.13-16) yollama yapılıyor. Kanunun 6. maddesi sağlık, biyometrik ve genetik verileri “özel nitelikli kişisel veri” sayıyor ve bu verilerin işlenmesini kural olarak açık rızaya bağlıyor; çocuklarla ilgili okul, sağlık ve rehberlik verilerinin büyük kısmı bu kategoriye giriyor. 12. madde veri sorumlusuna “uygun güvenlik düzeyini temin etme” yükümlülüğü yüklüyor, 18. madde ise ihlal hâlinde idari para cezasını düzenliyor.

Ceza tarafında 5237 sayılı TCK’nın 226. maddesi (Müstehcenlik) 3. fıkrasında çocukların, temsili çocuk görüntülerinin veya çocuk gibi görünen kişilerin müstehcen ürün üretiminde kullanılmasını ayrıca ve ağır şekilde cezalandırıyor (5-10 yıl hapis + adli para cezası). 5651 sayılı Kanunun 8. maddesi, TCK m.103 (çocukların cinsel istismarı) ve m.226 (müstehcenlik) kapsamına giren içerikler için içeriğin çıkarılması ve erişimin engellenmesi kararı alınabilmesine imkân tanıyor; toplu kullanım sağlayıcılara (internet kafe, okul, otel vb.) ise 7. madde ile ailenin ve çocukların korunmasına yönelik tedbir alma yükümlülüğü getiriliyor. 5395 sayılı Çocuk Koruma Kanunu ise doğrudan veri koruma değil, korunma ihtiyacı olan çocuklar için koruyucu ve destekleyici tedbirler öngörüyor; dijital ortamda mağdur olan bir çocuk için bu tedbirler ceza muhakemesi sürecinin bir parçası olarak devreye girebiliyor.

Temel Kavramlar: Açık Rıza, Veli Onayı ve Ayırt Etme Gücü

KVKK m.5 uyarınca kişisel veri kural olarak ilgilinin açık rızası olmadan işlenemez. Çocuk söz konusu olduğunda “ilgili kişi” yine çocuğun kendisidir, ama fiil ehliyeti sınırlı olduğundan rızayı kim vereceği tartışmalıdır. Kişisel Verileri Koruma Kurulu, 11.08.2020 tarihli ve 2020/622 sayılı kararında bu boşluğu Türk Medeni Kanunu m.16 üzerinden dolduruyor: ayırt etme gücüne sahip küçükler, “kişiye sıkı sıkıya bağlı hakları” kullanırken veli rızasına muhtaç değildir; kişisel verilerin korunması hakkı da “nispi” nitelikte kişiye sıkı bağlı bir hak sayıldığından, hem küçük hem de velisi bu hakkı kullanmaya yetkili kabul edilmiştir (KVKK Kurulu, 11.08.2020 t. 2020/622 s. Karar). Uygulamada bu, “çocuk büyüdükçe kendi verisi üzerindeki söz hakkı da büyür” şeklinde okunuyor, ama Kurul her olayda somut olarak ayırt etme gücünü tartışıyor; genel bir yaş sınırı (13, 15, 18 gibi) koymuyor.

Pratikte veli rızası hâlâ asıl kural: okul, kurs, sağlık kuruluşu veya uygulama, küçüğün özel nitelikli verisini işlerken (sağlık, psikolojik test sonucu, biyometrik veri gibi) veli veya vasinin açık rızasını almak zorunda, aksi hâlde işleme hukuka aykırı sayılıyor.

Uygulamada Karşılaşılan Sorunlar — KVKK Kurulu Kararları

Konunun soyut değil somut olduğunu göstermesi için Kişisel Verileri Koruma Kurulunun çocuklarla ilgili yayımlanmış karar özetlerinden dördü:

• Okulda psikolojik test — açık rıza yok (2020/255): Bir eğitim kurumu, veli rızası ve aydınlatma yapmadan öğrencilere CAS (bilişsel değerlendirme) testi uyguladı. Kurul, test sonucunun öğrencinin ruh sağlığına ilişkin özel nitelikli veri olduğuna, velinin açık rızası alınmadığına ve aydınlatma yükümlülüğünün yerine getirilmediğine karar vererek okula 50.000 TL idari para cezası uyguladı, ayrıca hukuka aykırı işlenen verilerin silinmesini/yok edilmesini talimatlandırdı (KVKK Kurulu, 02.04.2020 t. 2020/255 s. Karar).
• Pazarlama şirketi — 8 yaşındaki çocuğa broşür (2022/776): Bir doğrudan satış şirketinin bayisi, 8 yaşındaki bir çocuğun isim ve adres bilgisini kullanarak eve tanıtım broşürü gönderdi; veli hiçbir rıza vermemişti. Kurul, işlemin şirketin değil bağımsız bayinin sorumluluğunda olduğunu, KVKK m.5’teki işleme şartlarından hiçbirine dayanmadığını tespit ederek bayiye 30.000 TL idari para cezası verdi (KVKK Kurulu, 03.08.2022 t. 2022/776 s. Karar).
• Okul broşüründe öğrenci fotoğrafı (2021/572): Bir okul, öğrenci fotoğrafını tanıtım broşüründe ve internet sitesinde kullandı. Bu olayda veli önceden yazılı ve konuya özel açık rıza verdiğinden (imzalı “sosyal medya paylaşımı” izin formu), Kurul veri işlemeyi hukuka uygun buldu — ama öğrencinin okuldan ayrılmasından sonra fotoğrafın hâlâ yayında kalmasını ayrı bir sorun olarak görüp okulun görüntüyü silmesini/bulanıklaştırmasını talimatlandırdı (KVKK Kurulu, 09.06.2021 t. 2021/572 s. Karar).
• 18 yaş altı — sağlık raporunun imhası (2020/622): Reşit olmayan bir hastanın babası, oğlunun sağlık raporunun imhasını istedi ama cevap alamayınca çocuğun kendisi Kurula şikâyette bulundu. Kurul, ayırt etme gücüne sahip küçüğün bu tür bir şikâyeti bizzat yapabileceğine karar vererek incelemeyi başlattı (KVKK Kurulu, 11.08.2020 t. 2020/622 s. Karar).

Dört karardan çıkan ortak ders: Kurul, “veli rızası şart mı” sorusunu her olayda verinin niteliğine (özel nitelikli mi, sağlık verisi mi), rızanın konuya özel ve yazılı olup olmadığına ve çocuğun ayırt etme gücüne bakarak çözüyor — tek bir yaş sınırı yok.

Risk Yönetimi ve Önleyici Yaklaşım

Okul, kurs, oyun/uygulama geliştiricisi veya e-ticaret sitesi gibi çocuk verisiyle çalışan veri sorumluları için pratik önlemler: (i) veli rızasını konuya özel, yazılı ve geri alınabilir şekilde almak — genel bir “kabul ediyorum” kutucuğu KVKK m.3’teki açık rıza tanımını karşılamaz; (ii) aydınlatma metnini m.10’a uygun ayrı bir belge olarak sunmak, rızayla karıştırmamak; (iii) çocuk okuldan/kurumdan ayrıldığında veya amaç sona erdiğinde veriyi m.7 gereği silmek, yok etmek veya anonimleştirmek; (iv) özel nitelikli veri (sağlık, psikolojik test, biyometrik) için ayrıca m.6/4’teki “yeterli önlemler” listesini uygulamak. Yaş doğrulama açısından ise Türkiye’de platformlara özel bir teknik zorunluluk (kimlik doğrulama, yüz yaşı tahmini vb.) bugün için yok; KVKK Kurulu bu konuyu genel açık rıza ve orantılılık ilkeleri üzerinden, olay bazında değerlendiriyor.

Tutarlar 6698 sayılı Kanunun 2 Mart 2024 tarihli 7499 sayılı Kanunla değişik 18. maddesindeki kanuni taban değerlerdir; Kurul bu tutarları her yıl yeniden değerleme oranında artırarak uygular, bu nedenle güncel yıl için Kurulun resmî duyurusuna bakılmalıdır.

Yargısal Süreç ve Çözüm Yolları

Çocuğun verisiyle ilgili bir ihlalde izlenecek sıra: önce veri sorumlusuna KVKK m.13 uyarınca yazılı başvuru yapılır (posta, KEP, güvenli elektronik imza veya veri sorumlusunun bildirdiği yöntemle). Veri sorumlusu 30 gün içinde cevap vermez veya cevap yetersiz bulunursa, cevabın öğrenildiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 6 ay içinde Kurula şikâyet edilebilir (m.15). Kurulun verdiği idari para cezasına karşı 2024 değişikliğiyle eklenen m.18/3 uyarınca idare mahkemelerinde iptal davası açılabilir. Ayrıca çocuğun verisinin hukuka aykırı işlenmesi TCK m.135 vd. (kişisel verilerin kaydedilmesi/yayılması suçları) veya m.226/3 (çocuk içeren müstehcen ürün) kapsamına giriyorsa, ayrıca Cumhuriyet Başsavcılığına suç duyurusunda bulunulabilir; bu iki yol (idari ve cezai) birbirini dışlamaz. 5651 sayılı Kanun kapsamında erişim engelleme talebi için ise BTK’ya veya doğrudan Sulh Ceza Hâkimliğine başvuru yolu işletilir.

Hukuki Destek

ALYAR LAW & CONSULTANCY, çocuğun dijital ortamda korunmasına ilişkin KVKK şikâyeti, okul/kurum ile yapılan yazışmalar, veri silme talepleri ve gerektiğinde suç duyurusu süreçlerinde veli ve kurumlara destek vermektedir. Her başvuru, verinin niteliğine, ihlalin ağırlığına ve somut olayın koşullarına göre ayrı değerlendirilir.

Sıkça Sorulan Sorular

Okul, öğrencinin fotoğrafını veli izni olmadan sosyal medyada paylaşabilir mi?

Hayır. KVKK m.5 uyarınca fotoğraf kişisel veridir ve paylaşım için ilgilinin/velinin konuya özel, yazılı ve geri alınabilir açık rızası gerekir. Kurul, genel bir “veli izni” değil, “hangi mecrada, hangi amaçla” kullanılacağını açıkça belirten bir rıza metni arıyor (2021/572 sayılı karar).

Çocuğun psikolojik test sonucu veli rızası olmadan işlenebilir mi?

Hayır, çünkü bu tür sonuçlar sağlığa ilişkin özel nitelikli veri sayılıyor ve KVKK m.6 gereği kural olarak açık rıza şart. Kurul, rehberlik hizmeti kapsamında olsa bile açık rıza ve aydınlatma yapılmadan test uygulanmasını hukuka aykırı bulmuş ve idari para cezası vermiştir (2020/255 sayılı karar).

Kaç yaşından itibaren çocuk kendi verisiyle ilgili KVKK’ya doğrudan şikâyette bulunabilir?

Kanunda sabit bir yaş yok; Kurul, Türk Medeni Kanunu m.16’daki “ayırt etme gücü” ölçütünü kullanıyor ve bunu her olayda ayrı değerlendiriyor. Ayırt etme gücüne sahip bir küçük, kişiye sıkı sıkıya bağlı nitelikteki bu hakkı veli onayı olmadan da kullanabiliyor (2020/622 sayılı karar).

Türkiye’de sosyal medya platformları için zorunlu bir yaş doğrulama sistemi var mı?

Hayır, bugün itibarıyla platformlara teknik yaş doğrulaması yapma zorunluluğu getiren özel bir Türk düzenlemesi bulunmuyor. Koruma, KVKK’nın genel açık rıza rejimi ve platformların kendi kullanım koşullarındaki yaş beyanı üzerinden sağlanıyor.

Çocuğun cinsel istismarına ilişkin görüntü paylaşımı hangi suçu oluşturur?

TCK m.226/3 kapsamında, müstehcen ürün üretiminde çocuk, temsili çocuk görüntüsü veya çocuk gibi görünen kişi kullanılması 5 ila 10 yıl hapis ve adli para cezasını gerektirir; ürünleri ülkeye sokan, çoğaltan veya bulunduranlar için de ayrı ceza öngörülmüştür. Ayrıca TCK m.103 (çocukların cinsel istismarı) bağımsız bir suçtur.

Bu tür içerikler için erişim engelleme nasıl istenir?

5651 sayılı Kanunun 8. maddesi, TCK m.103 ve m.226 kapsamına giren içerikler için doğrudan içeriğin çıkarılması ve erişimin engellenmesi kararı alınabilmesine imkân tanıyor; başvuru BTK’ya veya Sulh Ceza Hâkimliğine yapılabiliyor, gecikmesinde sakınca bulunan hâllerde BTK re’sen karar verebiliyor.

Okul, veli rızası olmadan öğrenci verisini ne zaman işleyebilir?

KVKK m.5/2’deki istisnalardan biri varsa açık rıza aranmaz — örneğin Millî Eğitim Bakanlığı mevzuatının doğrudan zorunlu kıldığı kayıt işlemleri “hukuki yükümlülük” istisnasına girebilir. Ama sağlık verisi gibi özel nitelikli veriler söz konusuysa bu istisna dar yorumlanıyor ve çoğu zaman yine açık rıza gerekiyor.

Veli, çocuğun daha önce verdiği açık rızayı geri alabilir mi?

Evet. Açık rıza kişiye sıkı sıkıya bağlı bir haktır ve her zaman geri alınabilir; geri alma beyanı veri sorumlusuna ulaştığı andan itibaren ileriye dönük olarak hüküm doğurur, veri sorumlusu o andan sonraki işlemeyi durdurmak zorundadır.

KVKK’ya şikâyet için süre kaçırılırsa ne olur?

KVKK m.15 uyarınca cevabın öğrenildiği tarihten itibaren 30 gün ve başvuru tarihinden itibaren her hâlde 6 ay içinde şikâyet edilmezse Kurul incelemesi yapılamaz; bu durumda genel hükümlere göre (haksız fiil, kişilik hakkı ihlali) hukuk mahkemesinde tazminat davası açma yolu ayrıca değerlendirilebilir.

İdari para cezasına karşı ne yapılabilir?

2024 değişikliğiyle eklenen KVKK m.18/3 uyarınca Kurulun verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabilir; dava açma süresi tebliğden itibaren genel idari yargılama usulüne göre 60 gündür.

Sonuç

Çocuğun dijital ortamda korunması Türk hukukunda tek bir “çocuk interneti kanunu” ile değil, KVKK’nın genel açık rıza rejimi, TCK’nın ağırlaştırılmış ceza normları ve 5651 sayılı Kanunun erişim engelleme mekanizmasının birlikte işletilmesiyle sağlanıyor. Kişisel Verileri Koruma Kurulunun somut kararları gösteriyor ki uygulamada asıl mesele soyut bir yaş sınırı değil, rızanın konuya özel, yazılı ve geri alınabilir şekilde alınıp alınmadığı ve veri sorumlusunun aydınlatma yükümlülüğünü yerine getirip getirmediği. Bir ihlal şüphesinde önce veri sorumlusuna yazılı başvuru, sonuç alınamazsa süresi içinde Kurula şikâyet, ağır ihlallerde ayrıca suç duyurusu yolları birlikte değerlendirilmelidir.