Sosyal medyada yaş doğrulama çıkmazı

YASEMİN ÖZKEREM / RÖPORTAJ

Sosyal medyada çocukların korunması amacıyla gündeme gelen ve e-Devlet altyapısıyla entegre edilen yeni yaş doğrulama modeli, toplumun tüm kesimlerini yakından ilgilendiren hukuki, teknik ve güvenlikle ilgili tartışmaları da beraberinde getiriyor. Metinde, çocukların güvenliğini sağlama gibi meşru bir amacın, 18 yaş üstü milyonlarca vatandaşın yaşını doğrulatmak zorunda bırakılması nedeniyle doğurduğu hak ihlalleri, anayasaya uygunluk sorunları ve orantılılık tartışmaları ele alınıyor.

Hukukçu Mustafa Yılmaz ile sosyal medya kapsamında 15 yaş altına gelen yasak ile ilgili Kent Bursa Gazetesi olarak bir röportaj gerçekleştirdik.

Konuyla ilgili gazetemize önemli açıklamalarda bulunan Hukukçu Mustafa Yılmaz; röportaj sorularımızı cevaplamadan önce Kent Bursa okurları için kısa bir hatırlatma yaparak şunları söyledi:

“15 yaş altı yasağı, Meclis’ten Nisan 2026’da geçen 7578 sayılı Kanun’la 5651 sayılı Kanun’a eklendi ve 1 Kasım’da yürürlüğe girdi. İşin nasıl işleyeceğini ise Siber Güvenlik Başkanlığı’nın 10 Ekim’de Resmî Gazete’de yayımlanan yönetmeliği belirledi. Bu ayrımı akılda t utmak gerekiyor; çünkü tartışılan sorunların çoğu kanunun kendisinden değil, yönetmeliğin seçtiği yöntemden, yani e-Devlet belirtecinden kaynaklanıyor. Mevcut hesaplar için son tarih de 31 Mart 2027.”

Yetişkinlerin de e-Devlet doğrulamasına tabi tutulması Anayasa ile bağdaşıyor mu?

Amaç meşru, ama yöntem tartışmalı. Çocukların korunması Anayasa’nın 41. maddesinde devlete verilmiş bir görev; buna kimsenin itirazı yok. Sorun, bir çocuğun 15 yaşını doldurup doldurmadığını anlamak için 18 yaş üstü milyonlarca insanın da yaşını doğrulatmak zorunda bırakılması. Bu, ifade özgürlüğüne ve özel hayatın gizliliğine bir müdahale ve Anayasa’nın 13. maddesine göre böyle bir müdahalenin kanunla öngörülmüş, amaca uygun ve ölçülü olması gerekiyor. İlk takıldığım nokta kanunilik. Kanun, platformlara “yaş doğrulama dahil gerekli tedbirleri alın” diyor; ama bunun tek yolunun e-Devlet olacağını kanun değil, yönetmelik söylüyor. Yani hakka müdahalenin asıl ağırlığını oluşturan kuralı Meclis değil, idare koymuş durumda. Anayasa Mahkemesi’nin yerleşik yaklaşımı, temel haklara müdahalenin esaslı unsurlarının kanunda yazmasını arar. Bu nokta ileride hem iptal davalarında hem bireysel başvurularda gündeme gelecektir. İkinci nokta ölçülülük. Aynı amaca daha az müdahaleci bir yolla ulaşılabiliyor muydu? Platformların kendi yaş tahmin sistemleri, cihaz veya uygulama mağazası üzerinden doğrulama, yalnızca şüpheli hesaplarda doğrulama istemek gibi seçenekler vardı. Avustralya mesela platformlara “makul adımlar atın” dedi, merkezi bir devlet kimliğini zorunlu kılmadı. Türkiye’nin seçtiği “herkes, tek kapı, devlet altyapısı” modeli belki en etkilisi, ama ölçülülük açısından en zor savunulanı. Bir de gözden kaçan bir boyut var. Hesabınızın bir şekilde kimliğinizle ilişkilendirildiğini bilmek, hesap gerçekten anonim kalsa bile insanların yazma davranışını değiştirir. Buna hukukta caydırıcı etki diyoruz ve hem Anayasa Mahkemesi hem Avrupa İnsan Hakları Mahkemesi bunu bir müdahale biçimi olarak kabul ediyor. Sonuçta bu düzenlemenin anayasaya uygun olup olmadığını büyük ölçüde teknik uygulama, yani belirtecin gerçekten anonimliği koruyup korumadığı belirleyecek.

“’KİMLİK TESPİTİ YAPILMAZ’ SÖZÜ TEKNİK GERÇEKLİKLE ÇELİŞİR”

e-Devlet doğrulaması anonimliği tamamen ortadan kaldırıyor mu?

Önce küçük bir düzeltme: Türk hukukunda “anonim kalma hakkı” diye ayrı bir hak yok. Anonimlik, ifade özgürlüğünün ve özel hayatın bir parçası olarak korunuyor. Avrupa İnsan Hakları Mahkemesi 2015’teki Delfi kararından bu yana internette anonimliğin ifade özgürlüğü için ne kadar önemli olduğunu söylüyor; Anayasa Mahkemesi de anonim ifadeyi koruma altında görüyor. Ama şunu da unutmayalım: Türkiye’de anonimlik zaten mutlak değildi. Savcılıklar yargı kararıyla bir hesabın arkasındaki kişiyi her zaman tespit edebiliyordu. Asıl soru, bu tespitin istisnai ve yargı denetimine bağlı bir işlem olmaktan çıkıp sürekli bir eşleştirmeye dönüşüp dönüşmediği. Yönetmelik kâğıt üzerinde anonimliği koruyor. Belirteç yalnızca 15 ve 18 yaş eşiğini gösteriyor; isim, kimlik numarası ya da kullanıcı adı taşımıyor. Dolayısıyla platform sizin kim olduğunuzu belirteçten öğrenemiyor, rumuzla hesap açma serbestisi devam ediyor. Platforma karşı anonimlik bu açıdan korunmuş sayılır. Mesele devlete karşı anonimlik. Belirteç e-Devlet’te kimlik doğrulamasından sonra üretiliyor ve platform bu belirtecin gerçek olduğunu Başkanlık’a teyit ettiriyor. Eğer her belirtecin tekil bir numarası varsa, bu numara üretim anında kimlik numaranızla birlikte devlet tarafında kaydediliyorsa ve teyit sırasında platform bu numarayı geri iletiyorsa, iki kaydı birleştirerek “hangi vatandaş hangi platformda hangi hesabı doğruladı” sorusuna cevap vermek teknik olarak mümkün hale gelir. O zaman ortada anonimlik değil, istendiğinde kaldırılabilen bir perde var demektir. Yönetmelik tam da bu konuda sessiz. Belirteç kayıtlarının tutulup tutulmayacağı, ne kadar süreyle saklanacağı, kimin erişebileceği yazmıyor; hepsi Başkanlık’ın hazırlayacağı teknik rehbere bırakılmış. En kritik soruların bir rehberle çözülecek olması hukuki güvence açısından sorunlu. Belirteçler tek kullanımlık, kısa ömürlü ve geriye takip edilemez şekilde tasarlanırsa anonimlik büyük ölçüde korunur; aksi halde yönetmeliğin “kimlik tespiti yapılmaz” sözü teknik gerçeklikle çelişir.

“ 15 YAŞINDAN BÜYÜK MÜ, 18 YAŞINDAN BÜYÜK MÜ?”

Uluslararası platformlar bu entegrasyon üzerinden dolaylı profil çıkarabilir mi?

Belirtecin içinde iki bilgi var: 15 yaşından büyük mü, 18 yaşından büyük mü. Buradan doğrudan kimlik çıkarmak mümkün değil. Ama kişisel veri hukukunda risk çoğu zaman verinin içeriğinden değil, bağlamından doğar. Doğrulama yapmış olmanız başlı başına bir veri. Platform bundan sizin e-Devlet hesabı olan biri olduğunuzu, yani büyük ihtimalle Türkiye’de yaşayan bir vatandaş olduğunuzu anlıyor; yabancılar için ayrı bir pasaport belirteci olduğundan bu ayrım da görünür oluyor. Yaş bilginiz artık sizin beyanınız değil, devletin doğruladığı bir bilgi; reklam pazarında doğrulanmış yetişkin kullanıcı çok daha değerli. Üstüne belirteci yüklediğiniz an, IP adresiniz ve cihaz bilgileriniz ekleniyor; aynı cihazdan birkaç hesap doğruladıysanız bunlar birbirine bağlanabiliyor. Platform zaten elinde olan davranış profilini bu verilerle birleştirdiğinde, belirteç kimliğinizi vermese de profili bir anlamda mühürlemiş oluyor. Mevzuat buna karşı ne diyor? Yönetmelik belirtecin yaş doğrulama dışında kullanılamayacağını söylüyor, KVKK’nın amaçla sınırlılık ilkesi de geçerli. Ama dikkat çekici bir eksik var: profilleme ve kişiselleştirilmiş reklam yasağı yalnızca 15-18 yaş grubu için getirilmiş. Yetişkinler için belirteç kaynaklı verinin profillemede kullanılmasına dair özel bir yasak yok; yetişkinler yalnızca genel KVKK kurallarıyla korunuyor. Bir de denetim sorunu var. Bu platformların çoğu yurt dışında; doğrulama anında oluşan verinin yurt dışına aktarımı KVKK’ya tabi, ama “amaç dışı kullanmadık” sözünün yabancı bir şirketin sunucularında gerçekten denetlenmesi çok zor. Kanundaki yaptırımlar, yani para cezası, reklam yasağı ve bant daraltma caydırıcı; ama ihlali önce tespit etmek gerekiyor. Kısacası doğrudan kimlik profili çıkarılamaz, ama dolaylı profil zenginleştirme riski sıfır değil. Bu riskin büyüklüğünü belirtecin nasıl tasarlandığı, yani tek kullanımlık mı, her platform için farklı mı, zaman damgalı mı olduğu belirleyecek.

“E-DEVLET ŞİFREMİ BİR YERE GİREYİM”

e-Devlet’in bu şekilde platformlara bağlanması siber saldırı ve olta dolandırıcılığı açısından ne gibi riskler yaratır?

Hukukçu olarak en somut gördüğüm risk bu. e-Devlet, adres kaydınızdan sağlık verinize, icra dosyanızdan vergi borcunuza kadar her şeye açılan tek anahtar. Bu anahtarı milyonlarca insanın sosyal medya gibi sıradan ve sık tekrarlanan bir iş için kullanmaya başlaması hem saldırı yüzeyini genişletiyor hem de insanları “e-Devlet şifremi bir yere gireyim” davranışına alıştırıyor. Dolandırıcılar tam olarak bu alışkanlıktan beslenir. Nitekim uygulama daha başlamadan Siber Güvenlik Başkanlığı, doğrulamanın yalnızca turkiye.gov.tr ya da resmî e-Devlet uygulaması üzerinden yapılması gerektiğini duyurmak zorunda kaldı. “Hesabınız 31 Mart’ta kapatılacak, hemen doğrulayın” mesajları önümüzdeki aylarda en sık göreceğimiz dolandırıcılık senaryosu olacak. Bu fiiller ceza hukukunda karşılıksız değil. Bilişim sistemleri kullanılarak işlenen dolandırıcılık, kişisel verilerin ele geçirilmesi ve bilişim sistemine girme suçları Türk Ceza Kanunu’nda ağır yaptırımlara bağlı. Sahte belirteç üretmek de belgede sahtecilik kapsamında tartışılır. Ama bir boşluk var: bir yetişkinin kendi belirtecini çocuğa vermesi ya da belirteçlerin alınıp satılması ayrı bir suç olarak düzenlenmemiş. Bunun uygulamada sorun yaratacağını düşünüyorum. Vatandaş açısından asıl soru şu: Şifresi çalınan kişi zararını kimden isteyecek? e-Devlet şifresi ele geçirildiğinde kaybedilen şey bir sosyal medya hesabı değil, bütün kamu kimliği. Bankacılıkta mahkemeler müşterinin kusuruyla bankanın güvenlik yükümlülüğünü tartıyor; e-Devlet için böyle bir içtihat henüz yok. İdareye karşı hizmet kusuru davası, platforma karşı KVKK ve haksız fiil temelli tazminat yolu açık; ama bunların nasıl işleyeceğini zaman gösterecek. Bir de şu var: belirteç kayıtları gerçekten “kim hangi platformda” bilgisini tutuyorsa, bu kayıtların sızması Türkiye’nin gördüğü en hassas veri ihlallerinden biri olur. Haksız yere hesabı kapatılanlar içinse yönetmelik Türkçe, ücretsiz ve insan incelemesine dayalı bir itiraz yolu öngörüyor; itiraz bitene kadar veriler silinemiyor ve yargı yolu açık. Bu olumlu, ama yabancı platformlarda gerçekten işleyip işlemeyeceğini göreceğiz. Okuyuculara tavsiyem basit: Doğrulamayı yalnızca turkiye.gov.tr veya resmî uygulama üzerinden yapın, SMS ya da mesajla gelen hiçbir bağlantıya tıklamayın, e-Devlet’te iki aşamalı doğrulamayı açın. Şüpheli bir şey olduğunda da ekran görüntülerini silmeden hemen savcılığa başvurun.