Sosyal Medyada 15 Yaş Sınırı Nasıl Uygulanacak? Yaş Doğrulama Hangi Veriyi İşleyecek, Kimler Kapsamda ve KVKK Ne Diyor?

Kısa cevap: 1 Kasım 2026'dan itibaren sosyal ağ sağlayıcılar on beş yaşını doldurmamış çocuklara hizmet sunamayacak ve bunu sağlamak için yaş doğrulama dâhil gerekli tedbirleri almak zorunda olacak. Kural, 1 Mayıs 2026 tarihli ve 33240 sayılı Resmî Gazete'de yayımlanan 7578 sayılı Kanun'un 22. maddesiyle geldi; 5651 sayılı Kanun'un ek 4. maddesinin yedinci fıkrası baştan yazıldı. Aynı Kanun'un 27. maddesi bu hükmün yayımı tarihinden altı ay sonra yürürlüğe gireceğini söylüyor. Yaptırım tarafı sert: yedinci fıkradaki yükümlülüğü yerine getirmeyen sosyal ağ sağlayıcıya bir önceki takvim yılındaki küresel cirosunun yüzde üçüne kadar idari para cezası verilebiliyor, ceza sonuç vermezse reklam yasağı, ardından internet trafiği bant genişliğinin daraltılması geliyor. Tartışmalarda genellikle atlanan kısım ise şu: yaş doğrulamanın kendisi bir kişisel veri işleme faaliyeti ve 6698 sayılı Kanun'un ölçülülük kuralları bu faaliyete olduğu gibi uygulanıyor.

Hükmün metnini bilmek işi kolaylaştırıyor. Yeni yedinci fıkra üç cümle. Sosyal ağ sağlayıcı on beş yaşını doldurmamış çocuklara hizmet sunamaz ve bu hizmetin sunulmaması konusunda yaş doğrulama dâhil gerekli tedbirleri almakla yükümlüdür. Sosyal ağ sağlayıcı, on beş yaşını doldurmuş çocuklara özgü ayrıştırılmış hizmet sunma konusunda gerekli tedbirleri alır. Bu fıkra kapsamında alınan tedbirler sosyal ağ sağlayıcının kendi internet sitesinde yayınlanır. Üçüncü cümle küçük duruyor ama bir şeffaflık yükümlülüğü getiriyor; yaş doğrulamayı hangi yöntemle yaptığınızı kamuya açıklamanız gerekecek. Karşılaştırma için eskisine bakın. 13 Ekim 2022 tarihli ve 7418 sayılı Kanun'la eklenen fıkra yalnızca çocuklara özgü ayrıştırılmış hizmet sunma konusunda gerekli tedbirlerin alınacağını söylüyordu. Aradan geçen dört yılda bunun ne anlama geldiği netleşmedi. Şimdi yaş belirli, yasak açık, yöntem ise hâlâ kanunda yazmıyor.

Peki kim kapsamda? 5651'in 2. maddesi sosyal ağ sağlayıcıyı, sosyal etkileşim amacıyla kullanıcıların internet ortamında metin, görüntü, ses, konum gibi içerikleri oluşturmalarına, görüntülemelerine veya paylaşmalarına imkân sağlayan gerçek veya tüzel kişiler olarak tanımlıyor. Asıl dikkat edilecek yer eşikler. Türkiye'de temsilci bulundurma ve kullanıcı verilerini Türkiye'de barındırma yükümlülükleri günlük erişimi bir milyondan fazla olanlara, gecikmesinde sakınca bulunan hâllerde verilen kararları bir saat içinde uygulama yükümlülüğü on milyondan fazla olanlara özgü. Yedinci fıkrada böyle bir eşik yok. Kural yalnızca küresel platformları değil, Türkiye'de kurulmuş küçük bir uygulamayı da bağlıyor. Sınırı Bilgi Teknolojileri ve İletişim Kurulu'nun 28 Mart 2023 tarihli ve 2023/DK-İD/119 sayılı kararıyla kabul edilen Sosyal Ağ Sağlayıcı Hakkında Usul ve Esaslar çiziyor: internet ortamında yapılan yayının sadece belirli bir kısmında sosyal etkileşim amaçlı içeriğe yer verenler sosyal ağ sağlayıcı sayılmıyor, kişisel internet siteleri, elektronik ticaret siteleri ve haber siteleri gibi sosyal etkileşimin ikincil ve yan bir hizmet olarak sunulduğu platformlar kapsam dışı. Ürün sayfasının altında yorum kutusu bulunan bir e-ticaret sitesi bu tanımın dışında kalır. Kullanıcı profili, takip ilişkisi, mesajlaşma ve içerik akışı üzerine kurulu yerli bir uygulama kalmaz.

Aynı maddeye eklenen diğer fıkralar da 1 Kasım'da devreye giriyor. Sosyal ağ sağlayıcı; açık, anlaşılır ve kullanıma elverişli ebeveyn kontrol araçları sağlayacak. Bu araçlar hesap ayarlarının kontrol edilmesine, satın alma, kiralama ve ücretli üyelik gibi ücrete dayalı işlemlerin ebeveyn iznine veya onayına tabi kılınmasına, kullanım süresinin izlenmesi ve sınırlandırılmasına ilişkin mekanizmaları içerecek. Bir sonraki fıkra aldatıcı reklamları engelleyici tedbirleri istiyor. Oyun tarafı ise ilk kez ayrı düzenleniyor. 5651'e eklenen ek 5. madde, oyun platformunun usulüne uygun derecelendirilmeyen oyunları sunmasını yasaklıyor, günlük erişimi yüz binden fazla olan yurt dışı kaynaklı oyun platformlarına Türkiye'de temsilci bulundurma yükümlülüğü getiriyor ve ebeveyn kontrol araçlarını burada da zorunlu kılıyor. Oyun platformlarında ceza sistemi farklı işliyor: bildirimden itibaren otuz gün içinde uyulmazsa bir milyon ile on milyon lira arası, devam ederse on milyon ile otuz milyon lira arası idari para cezası, sonrasında yüzde otuz ve yüzde elliye kadar bant daraltma.

Şimdi asıl soru. Yaş nasıl doğrulanacak? Kanun bunu söylemiyor. Metinde geçen ifade yaş doğrulama dâhil gerekli tedbirler ve yöntemin ayrıntısı ikincil düzenlemeye bırakılmış durumda. Bu yüzden internette dolaşan e-Devlet ile kimlik doğrulaması zorunlu oldu cümlesine temkinli yaklaşın, kanun metninde böyle bir zorunluluk yok. İşi biraz daha karıştıran bir gelişme daha var. 31 Temmuz 2026 tarihli Resmî Gazete'de yayımlanan 7590 sayılı Kanun'la Bilgi Teknolojileri ve İletişim Kurumu'nun 5651 kapsamındaki görev ve yetkileri Siber Güvenlik Başkanlığına devredildi, Kanun'un 2. maddesine Başkanlık ibaresinin Siber Güvenlik Başkanlığını ifade ettiği yönünde bir tanım eklendi. Yani 1 Kasım'da yürürlüğe girecek kuralın teknik şartlarını belirleyecek merci de değişti. Uygulamadaki karşılığı şu: doğrulama mimarinizi tek bir yönteme kilitlemeyin, sağlayıcı ya da yöntem değiştiğinde sökülüp yenisi takılabilecek bir katman olarak kurun.

KVKK tarafına geçelim. Yaş doğrulama artık kanunla öngörülen bir yükümlülük olduğuna göre hukuki sebebi de bellidir: 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (a) bendindeki kanunlarda açıkça öngörülme şartı ve (ç) bendindeki veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması şartı. Bunu açık rızaya dayandırmak yaygın ama hatalı bir refleks. Açık rıza her zaman geri alınabilir, 5651'den doğan yükümlülük geri alınamaz; kullanıcı rızasını çektiğinde elinizde ne bir hukuki sebep kalır ne de yasağı uygulama imkânı. Hizmetin verilmesini rızaya bağlarsanız zaten o rıza özgür irade ile açıklanmış sayılmaz. Aydınlatma yükümlülüğü ise yerli yerinde duruyor. Doğrulama ekranında hangi verinin toplandığını, hangi hukuki sebeple işlendiğini, doğrulamayı kimin yaptığını ve verinin ne kadar süreyle saklanacağını yazmanız gerekiyor.

Ölçülülük burada belirleyici. Kanun'un 4. maddesi kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor. Yaş doğrulamada cevaplanacak soru tek: bu kullanıcı on beş yaşını doldurmuş mu? Cevap evet ya da hayır. Kimlik belgesinin görüntüsünü kalıcı olarak arşivlemek, TC kimlik numarasını kullanıcı kaydına yazıp orada tutmak, doğrulama sırasında çekilen görüntüyü öneri algoritmasına girdi yapmak bu soruyu cevaplamak için gerekli değil. Sağlıklı kurgu şöyle işliyor: doğrulamayı ayrı bir sağlayıcı yapıyor, platforma yalnızca sonuç ve doğrulama tarihi geçiyor, ham belge doğrulayanın elinde ve kısa süre kalıyor. Bir de amaç sınırlaması var. Yaş doğrulaması için toplanan veriyi reklam hedeflemesinde ya da başka bir üründe kullanamazsınız. Kullanırsanız 5651'e uyayım derken 6698'i ihlal etmiş olursunuz.

Biyometride bir ayrımı doğru yapmak gerekiyor. Kameradan alınan görüntüye bakıp yaş aralığı tahmin eden bir model ile yüz şablonu çıkarıp kişiyi tekil olarak eşleştiren bir sistem aynı şey değil. İkincisi 6698 sayılı Kanun'un 6. maddesi anlamında biyometrik veri, yani özel nitelikli kişisel veri. 7499 sayılı Kanun'la yeniden yazılan ve 1 Haziran 2024'te yürürlüğe giren 6. madde işleme şartlarını genişletti, ancak dördüncü fıkra özel nitelikli veri işlenirken Kurul tarafından belirlenen yeterli önlemlerin alınmasını ayrıca şart koşuyor. Buradaki referans Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı: erişim yetkilerinin kapsam ve süresinin net tanımlanması, periyodik yetki kontrolü, özel nitelikli veriler için ayrı politika ve prosedür, işleyen personele düzenli eğitim ve fiziksel güvenlik. Pratik kural basit. Doğrulama biter bitmez ham görüntüyü silin. Saklamanız gereken şey kararın kendisi, görüntü değil.

On beş yaşından küçük bir kullanıcı tespit edildiğinde ne yapılacağı ayrı bir başlık. Hesabı kapatmak tek başına yeterli değil. İşleme şartı ortadan kalktığı anda 6698'in 7. maddesi ile 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik devreye giriyor. Veri sorumlusu, ilgili kişinin talebi olmasa da resen silme, yok etme veya anonim hale getirme yükümlülüğü altında; periyodik imha süresi altı ayı geçemiyor ve imha işlemlerine ilişkin kayıtlar başka bir hukuki yükümlülük yoksa en az üç yıl saklanıyor. Somut örnek üzerinden bakalım. On iki yaşındaki bir kullanıcıyı tespit ettiniz, hesabı dondurdunuz, yüklediği fotoğraflar ve mesaj geçmişi sunucuda duruyor. Bu tablo sizi ihlalden çıkarmaz. Ters yöndeki risk de gerçek: on beş yaş altını ayıklamak için bütün kullanıcı tabanınızın kimlik belgesini toplayıp saklarsanız, kanunu uygulama gayretiyle 12. madde ihlali üretmiş olursunuz.

Ebeveyn kontrol araçları da kendi başına bir veri işleme faaliyeti. Kullanım süresi, hesap ayarları, satın alma talepleri; hepsi çocuğa ait kişisel veri ve ebeveyne aktarılıyor. İki noktaya dikkat edin. Birincisi ebeveyn ile çocuk hesabı arasındaki bağın doğrulanması. Bağlantı talebini kontrol etmeden onaylarsanız çocuğun verisini üçüncü bir kişiye açmış olabilirsiniz; velayetin kimde olduğu boşanmış ailelerde gerçekten sorun çıkarıyor. İkincisi gösterilen bilginin ayrıntı düzeyi. Kanun ebeveyne kullanım süresini izleme imkânı veriyor, çocuğun mesaj içeriklerini okuma imkânı vermiyor. Kurumun çocuklara yönelik ürün ve hizmet geliştirenler için yayımladığı tavsiyeler de aynı yöne bakıyor: veri işlemeyi minimizasyon ilkesine uygun olarak en az seviyede tutmak, çocukların algı düzeyine uygun, sade ve gerektiğinde görsellerle desteklenmiş bir aydınlatma metni hazırlamak, mevcut teknolojiyi dikkate alarak yaş doğrulayacak sistemler kullanmak, teknik ve idari tedbirleri daha hassas ele almak.

Sık yapılan bir yorum hatasını da baştan kesmek gerekiyor. 5651'deki on beş yaş, sosyal ağ hizmetine erişimin sınırı; KVKK'da açık rızanın geçerli sayılacağı yaş değil. 6698 sayılı Kanun'da çocuğun rızası için bir yaş eşiği yok. GDPR'ın 8. maddesi bilgi toplumu hizmetleri bakımından on altı yaşı esas alıp üye devletlere on üçe kadar indirme imkânı tanıyor, bizde bunun karşılığı bulunmuyor. Türk hukukunda ölçü Türk Medeni Kanunu'nun 16. maddesindeki ayırt etme gücü ve küçüğün kişiye sıkı sıkıya bağlı haklarını kendisinin kullanabilmesi kuralı. Pratik sonucu şu: bir eğitim platformu, bir kreş uygulaması ya da bir çocuk oyunu sosyal ağ sağlayıcı sayılmadığı için on beş yaş yasağının dışında kalabilir, ama velinin rızası, çocuğa özel aydınlatma ve minimizasyon yükümlülükleri onlar için de geçerli.

İki ayrı denetim hattı işliyor ve muhatapları farklı. 5651 tarafında karşınızda Siber Güvenlik Başkanlığı var, 6698 tarafında Kişisel Verileri Koruma Kurulu. Kurul konuyu zaten izliyor: 20 Şubat 2026 tarihli kamuoyu duyurusuyla TikTok, Instagram, Facebook, YouTube, X ve Discord hakkında, çocukların kişisel verilerinin nasıl işlendiği ve hangi tedbirlerin alındığı yönünden re'sen inceleme başlatıldığı açıklandı. İlk somut karar ise yeni değil; 1 Mart 2023 tarihli ve 2023/134 sayılı kararla TikTok'a 1.750.000 TL idari para cezası verilmişti. 2026 rakamlarıyla aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında ceza gerektiriyor ve bunlar 5651'deki yaptırımlardan bağımsız işliyor. 1 Kasım'a kadar cevaplamanız gereken beş soru var: hizmetiniz sosyal ağ sağlayıcı tanımına giriyor mu; giriyorsa yaş doğrulamayı hangi veriyle ve kimin üzerinden yapacaksınız; doğrulama verisinin saklama süresi imha politikanızda yazıyor mu; ebeveyn kontrol araçları için ayrı bir aydınlatma metniniz var mı; on beş yaş altı tespit edildiğinde çalışacak imha akışı tanımlı mı. KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu beş başlığı mevcut ürününüzle karşılaştırıp önce nereye bakmanız gerektiğini çıkarıyoruz.

Randevu Al