Oyun Şirketleri 5651 Kapsamında mı? 1 Kasım 2026'da Başlayan Ek 5. Madde, Yaş Derecelendirme, Temsilci Zorunluluğu ve Oyuncu Verileri

Kısa cevap: oyun şirketlerinin tamamı değil, ama sanılandan fazlası. 1 Kasım 2026'da 5651 sayılı Kanun'a eklenen ek 5. madde yürürlüğe giriyor ve yükümlülükleri tek bir sıfata bağlıyor: oyun platformu. Aynı paketle Kanun'un tanımlar maddesine oyun, oyun platformu, oyun dağıtıcı ve oyun geliştirici tanımları girdi, ancak maddenin yükümlülük cümlelerinin muhatabı yalnızca platform. Üç ana başlık var. Usulüne uygun derecelendirilmemiş oyunlar sunulamıyor, derecelendirilmemiş bir oyunu en yüksek yaş kriterine göre derecelendirmek şartıyla sunmak mümkün. Türkiye'den günlük erişimi yüz binden fazla olan yurt dışı kaynaklı platformlar Türkiye'de temsilci belirlemek zorunda. Her platform ebeveyn kontrol araçları sağlayacak. Düzenlemenin künyesi şu: 1 Mayıs 2026 tarihli ve 33240 sayılı Resmî Gazete'de yayımlanan 7578 sayılı Kanun'un 23. maddesi, yürürlük yayımdan altı ay sonra.

Tanımlar 22 Nisan 2026 tarihli Kanun'un 21. maddesiyle geldi ve oyun platformu tanımı geniş tutuldu: internet üzerinden dijital oyunların ve bunlarla ilişkili ek içeriklerin sergilenmesi, satışı, dağıtımı, indirilmesi veya oynanmasına yönelik yazılımsal ya da teknik altyapı sunan; kullanıcıların oyun veya içeriklere erişimini, lisans yönetimini veya kullanıcılar arası etkileşimi sağlayan ya da koordine eden gerçek ve tüzel kişiler. Son kısımdaki kullanıcılar arası etkileşim ifadesi, akla ilk gelen büyük mağazaların dışına çıkıyor. Kendi istemcisi üzerinden oyun dağıtan, oyun içi mağaza işleten ya da oyuncuların birbiriyle eşya takas ettiği bir katman kuran yerli bir stüdyo da bu tanımın içine girebilir. Buna karşılık oyunu geliştirip başkasının mağazasında yayımlayan stüdyo, ek 5. maddenin değil, Kanun'un 4. maddesindeki içerik sağlayıcı sorumluluğunun muhatabı olmaya devam ediyor. Oyun içinde sohbet, klan panosu veya forum barındırıyorsanız üçüncü bir sıfat daha doğuyor: 5. madde anlamında yer sağlayıcı. Bu sıfat, trafik bilgilerini bir yıldan az ve iki yıldan fazla olmamak üzere yönetmelikte belirlenen süre boyunca saklamayı, doğruluğunu, bütünlüğünü ve gizliliğini sağlamayı getiriyor. Yer sağlayıcılık bildiriminde bulunmayan ya da yükümlülüklerini yerine getirmeyen için öngörülen idari para cezası ise yüz bin liradan bir milyon liraya kadar.

Derecelendirme maddenin ilk fıkrasında ve metin kısa. Oyun platformu usulüne uygun olarak derecelendirilmeyen oyunları sunamıyor, ancak bunları en yüksek yaş kriterine göre derecelendirmek kaydıyla sunabiliyor; içerik veya yer sağlayıcı olmaktan doğan sorumluluğu saklı kalmak üzere, usulüne uygun derecelendirilmemiş içerikleri çıkarmakla da yükümlü. Anahtar ifade usulüne uygun. Usulü kim belirleyecek? Beşinci fıkra, uygulamaya ve yaş kriterlerine göre derecelendirmeye dair usul ve esasları Kurum'un çıkaracağı yönetmeliğe bırakıyor. Bu yazının hazırlandığı 29 Ekim 2026 itibarıyla o yönetmelik ortada yok. Yürürlüğe üç gün kala sektörün elinde PEGI, ESRB ve IARC gibi gönüllü sistemlerin verdiği etiketler var, ulusal bir derecelendirme rejimi yok. Savunulabilir pozisyon şöyle kuruluyor: mevcut derecelendirmeyi mağaza sayfasında ve oyun içinde görünür kılmak, etiketi olmayan içerikleri en yüksek yaş kategorisinde sunmak, yönetmelik çıktığında eşleştirme yapabilmek için hangi içeriğin hangi sistemden hangi etiketi taşıdığını gösteren bir liste tutmak.

İkinci fıkra temsilciyi düzenliyor ve eşiği net. Türkiye'den günlük erişimi yüz binden fazla olan yurt dışı kaynaklı oyun platformu; Kurum, Erişim Sağlayıcıları Birliği ile adli veya idari makamlardan gelecek tebligat, bildirim ve taleplerin gereğini yerine getirmek üzere Türkiye'de gerçek veya tüzel kişi bir temsilci belirlemek ve bu temsilciye dair bilgileri Kurum'a bildirmek zorunda. Temsilcinin iletişim bilgileri internet sitesinde kolayca görülebilecek ve doğrudan erişilebilecek şekilde yer alacak. Eşiği sosyal ağ tarafıyla karşılaştırınca ölçek daha iyi anlaşılıyor: sosyal ağ sağlayıcılarda temsilci yükümlülüğü günlük bir milyon erişimden başlarken oyun tarafında sınır yüz bin. Orta ölçekli bir yabancı mağaza, yayıncı ya da tek oyunla çalışan bir platform bile kapsama girebilir. Türkiye'de yerleşik şirketler için temsilci atama yükümlülüğü yok; derecelendirme, ebeveyn araçları ve bilgi verme yükümlülükleri onlar için de geçerli.

Yaptırım merdiveni altıncı ve yedinci fıkralarda ve her basamağı otuz gün. Yükümlülüğünü yerine getirmeyen platforma önce bildirim yapılıyor. Bildirimden itibaren otuz gün içinde gereği yapılmazsa bir milyon liradan on milyon liraya kadar idari para cezası verilebiliyor; tutar, ihlalin niteliği, ağırlığı, kullanıcılar üzerindeki etkisi ve meydana gelen zarar dikkate alınarak takdir ediliyor. Cezanın tebliğinden sonra otuz gün daha geçer ve uyum sağlanmazsa bu kez on milyon liradan otuz milyon liraya kadar ikinci bir ceza geliyor. Sonraki basamak para değil, bant genişliği. Başkan sulh ceza hâkimliğinden internet trafiği bant genişliğinin yüzde otuz oranında daraltılmasını isteyebiliyor; kararın uygulanmasından itibaren otuz gün içinde hâlâ uyum yoksa oran yüzde elliye kadar çıkabiliyor. Hâkim ikinci başvuruda, yüzde otuzdan düşük olmamak kaydıyla sunulan hizmetin niteliğini dikkate alarak daha düşük bir oran belirleyebiliyor, kararlar erişim sağlayıcılara bildirildikten sonra derhal ve en geç dört saat içinde uygulanıyor. Geri dönüş kapısı da açık: yükümlülük yerine getirilirse verilen idari para cezalarının dörtte biri tahsil ediliyor ve hâkim kararları kendiliğinden hükümsüz kalıyor. Dördüncü fıkrayı ayrıca not edin, çünkü süresi en kısa olan yükümlülük orada. Kurum, kurumsal yapı, bilişim sistemleri ve veri işleme mekanizmaları dâhil olmak üzere açıklama isteyebiliyor; istenen bilgi ve belgeler derhal ve on beş günü geçmemek üzere Kurum'un belirleyeceği sürede verilmek zorunda.

Metinde iki ayrı makam geçiyor ve bu, uyum ekibinin kime yazacağını belirlediği için kâğıt üzerindeki bir ayrıntıdan fazlası. Bildirim, bilgi talebi ve yönetmelik Kurum'a ait, idari para cezası ile sulh ceza hâkimliğine başvuru Başkan'a. 24 Temmuz 2026 tarihli ve 7590 sayılı Kanun, 5651'in 2. maddesindeki Başkan tanımını değiştirerek Siber Güvenlik Başkanı'nı işaret eder hâle getirdi; Kurum tanımı Bilgi Teknolojileri ve İletişim Kurumu olarak kaldı ve Kanun'a ayrıca Siber Güvenlik Başkanlığı'nı gösteren bir Başkanlık tanımı eklendi. Aynı Kanun 5651'in 2, 3, 6, 6/A, 7, 8, 9/A, 10, 11, ek 1, ek 3 ve ek 4. maddelerini değiştirdi, henüz yürürlüğe girmemiş olan ek 5. madde bu listede yer almadı. Yani 1 Kasım'da yürürlüğe girecek metin, cezayı Siber Güvenlik Başkanı'na, bildirimi ve yönetmeliği Bilgi Teknolojileri ve İletişim Kurumu'na bırakan bir görünümle başlıyor. Sosyal ağ tarafındaki yaş doğrulama yönetmeliğinin Siber Güvenlik Başkanlığı tarafından hazırlanmış olması, oyun tarafındaki ikincil düzenlemenin hangi kapıdan çıkacağını takip etmeye değer kılıyor.

Bir karışıklığı baştan kesmekte fayda var: ek 5. madde yaş doğrulama istemiyor. Derecelendirme, oyunun hangi yaş grubuna uygun olduğunu söyleyen etikettir; yaş doğrulama ise karşıdaki kullanıcının yaşını teyit eden işlemdir. İkisi aynı kanun paketiyle geldi ama farklı adreslere yazıldı. Yaş doğrulama yükümlülüğü sosyal ağ sağlayıcılara ait ve o da 1 Kasım 2026'da başlıyor. 10 Ekim 2026 tarihli ve 33396 sayılı Resmî Gazete'de yayımlanan yönetmelik, hesap açılışında e-Devlet Kapısı üzerinden alınan ve yalnızca on beş ile on sekiz yaş eşiklerinin aşılıp aşılmadığını gösteren bir doğrulama öngörüyor; mevcut hesaplar için verilen süre 31 Mart 2027. Oyun şirketleri açısından asıl soru şu: ürününüz aynı zamanda sosyal ağ sağlayıcı sayılır mı? Bilgi Teknolojileri ve İletişim Kurumu'nun sosyal ağ sağlayıcılara ilişkin usul ve esaslarında, sosyal etkileşim amaçlı içeriğin ikincil ve yan bir hizmet olarak sunulduğu platformlar kapsam dışında tutulmuştu. Oyununuzdaki sohbet gerçekten yan unsursa bu tartışmanın dışında kalırsınız. Ürün zamanla oyun görünümlü bir paylaşım ağına dönüştüyse kalmazsınız.

Ebeveyn kontrol araçları 5651 tarafında bir yükümlülük, 6698 tarafında başlı başına bir veri işleme faaliyeti. Üçüncü fıkrada sayılan mekanizmalar arasında hesap ayarlarının kontrol edilmesi ile satın alma, kiralama ve ücretli üyelik gibi ücrete dayalı işlemlerin ebeveyn iznine veya onayına tabi kılınması yer alıyor; sosyal ağlar için metne yazılan kullanım süresinin izlenmesi ve sınırlandırılması oyun maddesinde geçmiyor. Aracı kurarken iki soru belirleyici. Birincisi ebeveyn ile çocuk hesabı arasındaki bağın nasıl doğrulandığı. Doğrulanmamış bir bağlantı talebini onaylamak, çocuğun verisini üçüncü bir kişiye açmak anlamına gelebilir ve velayetin kimde olduğu boşanmış ailelerde ayrı bir mesele. İkincisi ölçülülük. Ebeveyne satın alma onayı verdirmek için oyun geçmişinin tamamını, sohbet kayıtlarını ya da arkadaş listesini göstermek gerekmiyor. Hukuki sebep tarafında cevap kolay: yükümlülük kanundan doğduğu için 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasındaki kanunlarda açıkça öngörülme ve veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olma şartları işliyor. Bunu açık rızaya bağlarsanız, kullanıcı rızayı geri aldığı anda kanuni yükümlülüğünüzü yerine getiremez duruma düşersiniz.

Oyun şirketlerinin KVKK dosyasındaki asıl hacim başka yerde: oyun içi veri. Cihaz kimliği, reklam kimliği, IP adresi, oturum süreleri, satın alma geçmişi, davranış telemetrisi, eşleştirme için tutulan beceri puanları, sohbet kayıtları ve hile tespiti için toplanan sistem bilgileri. Bunların büyük kısmı 6698'in 3. maddesindeki tanım gereği kişisel veri. Üç nokta sahada sürekli hata üretiyor. Birincisi üçüncü taraf yazılım geliştirme kitleri; reklam ağı, analitik, çökme raporu ve ödeme modülleri veriyi kendi sunucularına taşır ve kullanıcı bunu oyuna verdiği izinden ayırt edemez. Kurum'un mobil uygulamalara ilişkin rehberi, izin mimarilerinin uygulamaya ve uygulamaya entegre üçüncü taraflara ayrı ayrı izin verme imkânı tanımamasını başlı başına bir sorun olarak işaret ediyor. İkincisi çocuk oyuncuya yönelik profilleme ve kişiselleştirilmiş reklam. Sosyal ağ yönetmeliği çocuk hesapları için bunu açıkça yasakladı; oyun maddesinde böyle bir yasak yazmıyor, ama 4. maddedeki amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi yerinde duruyor. Üçüncüsü aydınlatma ile rızanın aynı ekranda eritilmesi. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, işleme açık rızaya dayanıyorsa aydınlatma ile açık rıza alınması işlemlerinin ayrı ayrı yerine getirilmesini istiyor. Kayıt ekranındaki tek kutucuk bu şartı karşılamıyor.

Yurt dışına aktarım bu sektörde istisna değil, varsayılan durum. Yayıncı yurt dışında, bulut sağlayıcı yurt dışında, reklam ve analitik ağı yurt dışında, oyuncu destek sistemi çoğu zaman yurt dışında. 6698'in 9. maddesi 2024'te yeniden yazıldı; bugün işleyen yol, hakkında yeterlilik kararı bulunmayan ülkelere aktarımda uygun güvencelerden birine dayanmak. Pratikte en çok kullanılan araç standart sözleşme ve onun atlanan bir ayrıntısı var: standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmek zorunda. Bildirimi yapmamak başlı başına bir yaptırım sebebi. Arızi aktarımlar için öngörülen istisnalara yaslanmak da işe yaramıyor, çünkü bir oyunun telemetrisi arızi değil, günün her saati akan sürekli bir veri trafiği. Sözleşmeyi imzalamadan önce hangi modülün hangi ülkeye ne gönderdiğini çıkarmak, olaydan sonra yapılan bir aktarım envanterinden çok daha ucuza geliyor.

Veri ihlali tarafında oyun hesapları kendine özgü bir hedef. İçinde bakiye, envanter, ödeme yöntemi ve yıllarca biriktirilmiş bir oyuncu kimliği var; ele geçirilen hesap doğrudan paraya çevrilebiliyor. Kurum'a yapılan ihlal bildirimleri arasında oyun şirketleri de yer alıyor. Mobile Legends oyununun veri sorumlusu Shanghai Moonton Technology, 12 Eylül 2022 ile 15 Eylül 2022 arasında gerçekleşen ve 3 Kasım 2022'de tespit edilen ihlali Kuruma bildirdi. Bildirime göre 3.375 kullanıcı ve forum üyesi etkilenmişti; etkilenen veriler arasında kimlik ve iletişim bilgileri, işlem güvenliği bilgileri, kullanıcı adı, forum hareketleri ile kayıt ve son ziyaret IP adresleri vardı. Buradaki asıl mesaj şirketin nerede kurulu olduğuyla ilgili. Türkiye'deki oyuncular etkileniyorsa bildirim yükümlülüğü de Türkiye'de doğuyor. Ölçü, Kurul'un ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde Kuruma bildirim yapılmasını arayan kararı; etkilenen kişilere de makul olan en kısa sürede bildirim yapılması gerekiyor.

Üç günde bitirilebilecek bir kontrol listesi çıkarmak mümkün. Önce sıfatınızı yazın: içerik sağlayıcı mısınız, oyun içi sohbet nedeniyle yer sağlayıcı mı oldunuz, ek 5. madde anlamında oyun platformu musunuz, sosyal etkileşim katmanınız sizi sosyal ağ tartışmasına sokuyor mu? Sonra derecelendirme envanterini çıkarıp etiketi olmayan içerikleri işaretleyin. Ebeveyn kontrol akışınızda bağın nasıl doğrulandığını ve ebeveyne hangi verinin gösterildiğini yazılı hâle getirin. Yurt dışı kaynaklıysanız günlük erişim sayınızı ölçün, yüz bin eşiğine yakınsanız temsilci kararını bugün verin. Sitenizdeki tanıtıcı bilgilerin güncelliğini kontrol edin; 5651'in 3. maddesi bunu ayrı bir yükümlülük sayıyor ve yerine getirmeyene iki bin liradan elli bin liraya kadar idari para cezası öngörüyor. KVKK tarafında da envanter, aydınlatma metni, rıza akışı ve aktarım listesini aynı masaya koyun. Hangi sıfatla hangi yükümlülüğün muhatabı olduğunuzdan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde ürün akışınızı ve 1 Kasım'a kadar yetiştirilmesi gereken başlıkları birlikte gözden geçirebiliriz.

Randevu Al