Çocuğun Kişisel Verisi İçin Veli Rızası Şart mı? KVKK'da Yaş Sınırı, Ayırt Etme Gücü ve Boşanmada Velayet

Kısa cevap: her zaman değil, ama çoğu durumda evet. 6698 sayılı Kanun'da çocukların verilerine özgü bir madde ya da ayrı bir rıza yaşı bulunmuyor. Bu boşluk işlemenin serbest olduğu anlamına gelmiyor; cevap Türk Medeni Kanunu'nun ayırt etme gücü ve velayet hükümlerinde aranıyor. Ayırt etme gücüne sahip olmayan küçük yaştaki bir çocuk adına rızayı velisi verir. Ayırt etme gücüne sahip bir ergen ise kişisel verilerinin korunmasını isteme hakkını kural olarak bizzat kullanabilir. Uygulamada en çok atlanan kısım şu: bir işlemenin hukuka uygun olması için her zaman rıza gerekmez. Okul kaydı, kreş sözleşmesi, sağlık hizmeti ve mevzuatta açıkça öngörülen bildirimler Kanun'un 5. maddesindeki diğer şartlara dayanır. Veli imzası toplamak, dayanağı yanlış kurulmuş bir işlemeyi hukuka uygun hale getirmez.

Kanun'un neden sustuğunu anlamak için karşılaştırma yapmak gerekiyor. Avrupa Birliği Genel Veri Koruma Tüzüğü'nün 8. maddesi, bilgi toplumu hizmetlerinin doğrudan çocuğa sunulduğu hallerde 16 yaşın altındaki çocuğun verilerinin işlenmesini velayet sorumluluğunu taşıyan kişinin izni şartına bağlıyor ve üye devletlere bu eşiği 13 yaşın altına inmemek kaydıyla düşürme yetkisi tanıyor. 6698 sayılı Kanun'da bunun bir karşılığı yok. Kişisel Verileri Koruma Kurumu Başkanı Prof. Dr. Faruk Bilir, 16 Nisan 2025'te Fatih Sultan Mehmet Vakıf Üniversitesi'nde düzenlenen Dijital Oyunlar ve Kişisel Verilerin Korunması Sempozyumu'nda Avrupa mevzuatında dijital rıza yaşının 16 olarak belirlendiğini hatırlatırken, Türkiye'de 40 milyonu aşkın mobil oyuncu bulunduğunu ve bu kitlenin en yoğun bölümünü çocuklarla gençlerin oluşturduğunu söyledi. Kanuni bir eşik olmayınca karar veri sorumlusunun üzerinde kalıyor. Hangi yaşta kimden rıza alacağınıza siz karar veriyorsunuz, yanlış kararın faturası da size çıkıyor.

Boşluğu dolduran metin 4721 sayılı Türk Medeni Kanunu. 13. madde ayırt etme gücünü akla uygun biçimde davranma yeteneği olarak tanımlıyor ve bunu sabit bir yaşa değil duruma bağlıyor. 16. madde, ayırt etme gücüne sahip küçüklerin yasal temsilcilerinin rızası olmadıkça kendi işlemleriyle borç altına giremeyeceğini, ancak kişiye sıkı sıkıya bağlı hakları kullanmada bu rızanın gerekmediğini söylüyor. 335. maddeye göre ergin olmayan çocuk ana ve babasının velayeti altında, 342. maddeye göre de ana ve baba velayetleri çerçevesinde üçüncü kişilere karşı çocuğun yasal temsilcisi. Kurul bu hükümleri 11 Ağustos 2020 tarihli ve 2020/622 sayılı kararında bir araya getirdi. Olay sade: 18 yaşını doldurmamış bir kişiye ait sağlık raporunun imhası için babası veri sorumlusuna başvurmuş, cevap alamayınca şikayeti çocuğun kendisi yapmıştı. Kurul, kişisel verilerin korunmasını isteme hakkını nispi nitelikte kişiye sıkı sıkıya bağlı hak saydı. Sonucu şu: ayırt etme gücüne sahip çocuk bu hakkı bizzat kullanabilir, velisi de onun adına ve hesabına kullanabilir. Yani on altı yaşındaki bir gencin kendi verisi için yaptığı başvuruyu velisi imzalamadı diye reddetmek doğru değil.

Ayırt etme gücünün sabit bir yaşı olmaması işletmeler için asıl zorluk. Ölçüt, çocuğun o işlemin anlamını ve sonuçlarını kavrayıp kavrayamadığı. Aynı çocuk bir işlem bakımından ayırt etme gücüne sahip sayılırken diğeri bakımından sayılmayabilir. On beş yaşındaki birinin spor kulübünün duyuru listesine kendi telefon numarasını yazması ile aynı çocuğun yüz tanımayla turnike geçişine onay vermesi aynı ağırlıkta değil. Pratikte işe yarayan yaklaşım risk temelli olanı. İşlemenin çocuk üzerindeki etkisi arttıkça, yani profil çıkarma, konum takibi, biyometri, görüntü yayını ya da pazarlama söz konusu oldukça veliye gidin. Etkisi düşük ve çocuğun günlük hayatının olağan parçası olan işlemlerde ergenlik çağındaki bir çocuğun kendi beyanı yeterli olabilir. Hangi yaşı neden sınır aldığınızı envanterinizde yazılı olarak gerekçelendirmek, sonradan savunulabilir tek yol.

Çocuk verisinde en sık yapılan hata her işleme için veliden açık rıza toplamak. Kanun'un 5. maddesinin ikinci fıkrası; kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve meşru menfaat gibi şartlar sayıyor. Bir okulun öğrenci kaydını tutması, bir kreşin sözleşme gereği acil durumda ulaşılacak kişi bilgisini alması, bir sağlık kuruluşunun tedavi kaydı oluşturması bu şartlara dayanır; üstüne bir de açık rıza istemek yanlıştır, çünkü hizmetin şartına bağlanmış bir rıza zaten geçerli sayılmaz. Açık rıza gerektiren alan daha dar: tanıtım fotoğrafı, sosyal medya paylaşımı, pazarlama iletisi, isteğe bağlı ek hizmetler ve zorunlu olmayan ölçme uygulamaları. Kurul'un 3 Ağustos 2022 tarihli ve 2022/776 sayılı kararı sınırı net çiziyor. Bir veli, çocuğunun adını kullanarak e-ticaret üzerinden ürün almış; satıcı, siparişten yaklaşık dört buçuk ay sonra aynı adrese çocuk adına tanıtım broşürü göndermişti. Kurul, tanıtım amaçlı bu işlemenin Kanun'daki şartlardan hiçbirine dayanmadığına hükmetti ve 30.000 TL idari para cezası uyguladı. Geçmişte verilen bir sipariş, sonradan pazarlama yapma hakkı doğurmuyor.

Okullarda en çok gözden kaçan başlık ölçme ve rehberlik uygulamaları. Kurul'un 2 Nisan 2020 tarihli ve 2020/255 sayılı kararında bir eğitim kurumu, velilerin iznini almadan ve aydınlatma yükümlülüğünü yerine getirmeden öğrencilere bilişsel değerlendirme testi uygulamıştı. Test çıktıları dikkat eksikliği, hiperaktivite ve kaygı gibi başlıklar içerdiği için Kurul bunları ruh sağlığına ilişkin özel nitelikli kişisel veri saydı. Açık rıza yok, aydınlatma eksik. Karar 50.000 TL idari para cezası ve hukuka aykırı elde edilen verilerin silinmesi talimatıyla sonuçlandı. Buradan sık görülen bir yanlış anlamayı da düzeltelim. Bir verinin çocuğa ait olması onu tek başına özel nitelikli yapmaz; Kanun'un 6. maddesindeki liste sınırlı sayıdadır ve yaş o listede yoktur. Ne var ki okul dosyalarının içi özel nitelikli veriyle doludur: sağlık raporu, kronik hastalık ve alerji bilgisi, engel durumu, din dersi muafiyeti dilekçesi, rehberlik servisi kayıtları. Okul, kreş ve kurs arşivleri bu yüzden pratikte özel nitelikli veri rejimine göre korunmalı.

Rızayı kimin vereceği sorusu aile dağıldığında zorlaşıyor. Türk Medeni Kanunu'nun 336. maddesi, evlilik devam ettiği sürece velayetin ana ve baba tarafından birlikte kullanılacağını, boşanmada ise velayetin çocuk kendisine bırakılan tarafa ait olacağını söylüyor. 342. maddenin ikinci fıkrası veri sorumlusunun işini bir ölçüde kolaylaştırıyor: iyiniyetli üçüncü kişiler, eşlerden her birinin diğerinin rızasıyla işlem yaptığını varsayabilir. Evli bir çiftte tek velinin imzası bu nedenle kural olarak yeterli sayılır. Varsayımın işlemediği iki durum var. Birincisi, diğer ebeveynin açık itirazını öğrendiyseniz artık iyiniyetli sayılmazsınız; iki veliden birinin okul fotoğrafı paylaşımına yazılı olarak itiraz ettiğini biliyorsanız paylaşmazsınız. İkincisi, boşanmış ailelerde velayetin kimde olduğunu bilmeden alınan imzanın bir değeri yok. Kayıt formuna velayet durumu alanı koymak ve velayet değişikliklerini güncel tutmak, sonradan çıkacak ihtilafların çoğunu baştan keser.

Velayeti olmayan ebeveynin bilgiye erişimi ayrı bir başlık ve cevabı çoğu kişinin beklediği gibi değil. Kamu Denetçiliği Kurumu, 3 Haziran 2026 tarihli kararında, velayeti anneye verilmiş bir çocuğun eğitim bilgilerine babanın erişiminin okul müdürlüğünce annenin onayına bağlanmasını yürürlükteki mevzuata ve çocuğun üstün yararı ilkesine uygun buldu, başvuruyu reddetti. Karar; Türk Medeni Kanunu'nun 182. maddesi ile 323 ve devamındaki kişisel ilişki hükümlerine, 336. maddedeki velayet düzenlemesine ve Birleşmiş Milletler Çocuk Haklarına Dair Sözleşme'nin 3. maddesine dayandı. Çıkan tablo şu: çocukla kişisel ilişki kurma hakkı, çocuğun eğitim ve sağlık kayıtlarına doğrudan erişim hakkı anlamına gelmiyor. Okul, kreş ya da kurs yönetiyorsanız izlenecek sıra bellidir. Önce mahkeme kararına bakarsınız; kararda velayeti olmayan ebeveynin bilgilendirilmesine ilişkin özel bir hüküm varsa ona uyarsınız. Böyle bir hüküm yoksa velayet sahibinin onayını ararsınız. Telefonda kendini baba olarak tanıtan birine çocuğun not ortalamasını okumak, iyi niyetle yapılsa bile hukuka aykırı bir aktarımdır.

Sağlık tarafında aynı mesele Kurul'un önüne somut bir dosyayla geldi. 6 Ağustos 2021 tarihli ve 2021/761 sayılı kararda bir çocuğun epikriz raporları hastane üzerinden, velayet hakkı bulunmayan ebeveynin vekiline ulaşmıştı. Kurul; verileri görüntüleyen hekimin çocuğa muayene ve tedavi hizmeti veren kişi olmadığını, sunulan vekaletnamede özel nitelikli verilerin paylaşılabileceğine dair özel bir hüküm bulunmadığını ve o sırada velayetin annede olduğunu tespit etti. Otomasyon sisteminde bütün personelin bütün hasta kayıtlarına erişebilmesini de işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı buldu. Verilen talimatlar bugün hâlâ iyi bir kontrol listesi: tedaviyle ilgili personelle sınırlı yetki matrisi, görüntüleme işlemini de kapsayan log kaydı, personel eğitimi. Kişisel Sağlık Verileri Hakkında Yönetmelik'te 3 Aralık 2025'te yapılan değişiklikle çocukların verilerine erişimde velayet durumunun esas alınması ve velayeti bulunmayan ebeveynin talebinin ayrı bir başvuru yoluna bağlanması da aynı çizgiyi izliyor.

Kurul'un dijital taraftaki referans dosyası TikTok. 1 Mart 2023 tarihli ve 2023/134 sayılı kararda, 13 yaşın altındaki çocukların kişisel verilerinin uygun ebeveyn izni olmaksızın işlendiği, yaş doğrulamanın yalnızca kullanıcı beyanına dayandığı için etkisiz kaldığı ve hesapların varsayılan olarak herkese açık bırakıldığı tespit edildi. Toplam 1.750.000 TL idari para cezasının yanında, hizmet koşullarının Türkçeye çevrilmesi ve politika metinlerinin Kanun'a uygun hale getirilmesi talimatı verildi. Dosya kapanmış değil. Kurum, 20 Şubat 2026 tarihli kamuoyu duyurusunda, çocukların kişisel verilerinin nasıl işlendiği ve hangi tedbirlerin alındığı hususlarında TikTok, Instagram, Facebook, YouTube, X ve Discord hakkında re'sen inceleme başlatıldığını açıkladı. Buna 1 Kasım 2026'da yürürlüğe girecek yaş sınırı düzenlemesi ekleniyor. Çocuklara hizmet veren bir uygulama, oyun ya da platform işletiyorsanız incelemenin çıktısını beklemeden iki şeye bakın: yaş kapınız kullanıcı beyanının ötesine geçiyor mu, çocuk hesapları varsayılan olarak en korumalı ayarla mı açılıyor.

Ebeveynin kendi paylaşımı da masanın üstünde. Kanun'un 28. maddesinin birinci fıkrasının (a) bendi, gerçek kişilerin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında yaptığı işlemeyi Kanun'un dışında tutuyor, ama bunu üçüncü kişilere verilmemesi şartına bağlıyor. Çocuğunuzun fotoğrafını telefonunuzda tutmak istisnanın içindedir. Aynı fotoğrafı herkese açık bir hesapta yayımlamak değildir. Okul kıyafetiyle, servis durağında ya da apartman girişinde çekilmiş bir kare çocuğun görüntüsüyle birlikte konumunu da taşır. Veli gruplarında dolaşan sınıf listeleri, doğum günü listeleri ve not çizelgeleri de aynı kapıya çıkıyor; bir velinin elindeki liste, diğer çocukların verisidir. Başkasının çocuğunun görüntüsünü izinsiz yayımlamak Türk Ceza Kanunu'nun 134. maddesindeki özel hayatın gizliliğini ihlal suçunu da gündeme getirebilir.

Şirket tarafında toparlamak gerekirse birkaç soru işinizi görür. Kayıt formlarınızda velinin verisi ile çocuğun verisi birbirinden ayrılmış mı; aydınlatma metniniz hem veliye hem de anlayabileceği yaştaki çocuğa hitap ediyor mu; fotoğraf ve tanıtım izni kayıt sözleşmesinin içine gömülü mü, yoksa ayrı ve reddedilebilir biçimde mi alınıyor; velayet durumu kayıt altında mı; rehberlik ve ölçme uygulamalarınız için ayrı bir onay ve saklama süresi belirlenmiş mi; öğrenci ayrıldıktan sonra dosyası ne kadar duruyor. 2026 yılında aydınlatma yükümlülüğüne aykırılık 85.437 TL ile 1.709.200 TL, Kanun'un 12. maddesindeki veri güvenliği yükümlülüklerinin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu oluyor. Okul, kreş, kurs, spor kulübü ya da çocuklara hizmet veren bir uygulama işletiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde formlarınızı, rıza akışınızı ve velayet kontrollerinizi birlikte gözden geçirip hangi adımın önce atılması gerektiğini çıkarabiliriz.

Randevu Al