Çocukların kişisel verileri dünyada nasıl korunuyor?

Amerika Birleşik Devletleri

ABD’de COPPA (Çocukların Çevrimiçi Gizliliğini Koruma Yasası) adında özel bir düzenleme bulunuyor. Bu yasa çocuklara yönelik ticari web siteleri ve çevrimiçi hizmetler için uygulanıyor.  Bu uygulama kapsamında operatörlerin 13 yaş altındaki çocukların kişisel verileri toplamadan önce ebeveynlerinden  izin alması gerekiyor. Toplanan kişisel veriler hakkında ebeveynleri bilgilendirerek onların bu verilerin kullanılmasına devam edilip edilmeyeceği konusunda karar vermesini sağlayacak mekanizmalar oluşturmak da  operatörlerin yükümlülükleri arasında yer alıyor.

Avrupa Birliği

GDPR’da çocuğun rızasına ilişkin özel düzenleme bulunuyor. Buna göre bilgi toplumu hizmetleriyle ilgili 16 yaşından küçük çocukların verilerinin işlenmesi durumunda velinin rızası gerekiyor. Ancak üye devletler 16 yaş sınırını 13 yaşına kadar indirebiliyor.

Fransa

Fransa’da GDPR ile birlikte Fransız Veri Koruma Yasası da uygulanıyor. Bu yasaya göre çocukların kişisel verilerin işlenmesine rıza göstermesi için 15 yaşından büyük olması gerekiyor.

Çin

Bireylerin sürekli devletin gözetimi altında olduğu ve mahremiyet hakkının varlığından çok da söz edemeyeceğimiz Çin’de şaşırtıcı bir şekilde 2019 yılında yayımlanan Çocukların Kişisel Verilerinin Korunmasına Dair Yönetmelik bulunuyor. Bu yönetmeliğin  uygulama alanı, bilgi toplumu hizmeti gibi herhangi bir ayrım yapılmadan neredeyse tüm veri işleme faaliyetleri olarak belirlenmiş. Yönetmeliğe göre 14 yaşın altındaki çocukların verilerinin işlenmesi için ebeveyn/vasi rızası aranıyor.

Birleşik Krallık

Birleşik Krallık AB üyeliğinden çıksa da GDPR hükümlerini Birleşik Krallık GDPR olarak uygulamaya devam ediyor. GDPR’la uyumlu olarak 13 yaşın altındaki çocuklar için bilgi toplumu hizmetlerinde veri işlenmesi ebeveyn izni şartına bağlanmış. Ayrıca Birleşik Krallık Veri Koruma Otoritesi ICO tarafından 2021 yılından beri Yaşa Uygun Tasarım Kodu( Çocuk Kodu) adlı standartlar uygulanıyor. Bu standartlar 18 yaşından küçük çocuklara daha güvenli bir internet ortamı sağlıyor ve ebeveynler ve çocukların  mahremiyet haklarını kullanmaları için daha fazla yetki veriyor.

Türkiye

KVKK’da çocuklara ilişkin özel bir hüküm yer almıyor ancak geçen haftaki bültenimizde yer verdiğimiz BTK kararında yaşa ilişkin bir düzenleme olmasa da çocuklara özelleştirilmiş hizmet sunulması noktasında platformlara yükümlülük getirdiğini hatırlatalım, belki ilerleyen zamanlarda ülkemizde de KVKK’da bu konuyla ilgili hüküm yer alabilir. Şimdilik bu konuda genel düzenlemelere bakmak gerekiyor. 

Genel düzenlemelerden rıza ile ilgili şartlara bakıyoruz çünkü KVKK’da kişisel verilerin işlenmesi için belli istisnalar dışında açık rıza bulunması şartı aranıyor. Bu açık rızanın belirli bir konuya ilişkin olması, bu konuda bilgilendirme yapılmış olması ve özgür iradeyle rıza verilmiş olması kanuni gereklilikler arasında yer alıyor.

Kurul, 11.08.2020 tarihli ve 2020/622 sayılı kararında kişisel verilerin korunmasını isteme hakkının “kişiye sıkı sıkıya bağlı haklar”dan olduğunu kabul etmiş. Kişiye sıkı sıkıya bağlı haklar bazı istisnalarla birlikte sadece kişinin kendisi tarafından kullanılabiliyor yani veli veya vasi gibi yasal temsilciler kullanamıyor. 

Peki çocuklar bu hakkı kendi başına kullanabilir mi, yani çocukların bu konuda açıkladığı rıza geçerli olur mu?

Medeni Kanun’da çocuklara ilişkin bir tanım yok ancak 18 yaş altındakilerin küçük kabul edildiğine dair düzenleme var. Burada küçüklerin yaptıkları fiilin anlam ve sonuçlarını anlamaya göre bir ayrım yapılıyor ve buna göre belli hakları kullanılıp kullanamayacağına göre karar veriliyor yani kesin bir yaş sınırı yok. Bu duruma 10 yaşındaki bir çocuğun kalem satın alabileceği ancak velisi veya vasisi olmadan telefon satın alamayacağı örneğini verebiliriz. Bu örneği kişisel verilerin işlenmesine ilişkin rıza vermeye uyarlarsak 10 yaşındaki bir çocuk bir internet sitesinde oyun oynarken sesinin ve görüntüsünün kaydedilmesine kendisi izin verebilir mi yoksa velisinin rızası mı gerekir? Bunu rızanın şartları bakımından değerlendirirsek bilgilendirme çocuğun anlayabileceği şekilde yapılmış olsa dahi ki çoğunlukla yetişkinlerin bile kolaylıkla anlayamayacağı şekilde bilgilendirme metinleri bulunuyor bu yaştaki bir çocuğun özgür iradeyle değil oyun oynama hevesiyle rıza vereceğini öngörebiliriz.  Elbette bu durumun yaşa, rızanın hangi konuya ilişkin olduğuna göre her durumda farklı değerlendirilmesi gerekiyor.

Değerlendirme

Ülkelerin düzenlemelerine baktığımızda çocukların kişisel verilerine ilişkin ayrı yasalar veya hükümler getirilmesinin en başta çocukların çevrimiçi ortamlarda daha iyi korunması sağlamak bakımından etkili olduğunu,  diğer yandan da veri sorumlularının çocuklar hakkında daha dikkatli veri toplamaya ve veri işlemeye sevk edildiğini söyleyebiliriz.

Belli yaşın altındaki çocuklar için ebeveyn izni şartı aranması kabul edilse de bu durumun yaş sınırı sona erdikten sonra çocuğun kişisel verilerinin korunması konusunda yeterince farkındalık kazanmamış olabileceği endişesi çokça dile getiriliyor. Bu noktada ebeveynlere fazlasıyla sorumluluk düştüğünü, onların çocuklarının yaşına göre anlayabileceği düzeyde bu konular hakkında bilgi vererek eğitmesinin faydalı olabileceği düşüncesindeyiz.

Bir diğer endişe ise özellikle kişisel verilerin işlenmesine rıza vermeye ilişkin yaş sınırının yüksek olduğu ülkelerde ebeveynlerin büyük yaştaki çocukların kişisel verileri üzerinde söz hakkına sahip olmasının bu çocukların özel hayatına saygı hakkını ihlal ettiği yönünde. Bu durumun da uygulaması zor olsa da haklar arasında denge gözetilerek çözülmesi gerekiyor.

Her halükarda toplumda kişisel verilerin korunması konusunda farkındalık oluşmasının en etkili koruma yöntemi olduğunu görebiliyoruz :)