Uluslararası Hukukta Çocukların Kişisel Verilerinin Korunması

Günümüzde internet kullanıcılarının önemli bir bölümünü oluşturan çocuklar, dijital ortamlarda gezinirken büyük miktarda kişisel veri üretmektedir. Bu kişisel veriler, eğitim ve eğlence gibi meşru amaçlarla kullanılabildiği gibi profilleme, hedefli reklamcılık veya kötü niyetli istismar eylemleri için de işlenebilmektedir. Bu durum, uluslararası hukuk düzeninde çocukların çevrimiçi mahremiyetinin özel olarak korunması gerekliliğini doğurmuştur. Evrensel insan hakları belgeleri, çocuğun mahremiyet hakkını temel bir değer olarak kabul ederken, teknolojinin gelişimiyle birlikte çocuk verilerinin toplanması ve işlenmesi hususunda daha spesifik normlar ihdas edilmiştir. Uluslararası arenada, özellikle Avrupa Birliği ve Amerika Birleşik Devletleri başta olmak üzere, çocukların kişisel verilerini güvence altına almak amacıyla asgari veri toplama, amaçla sınırlılık ve ebeveyn rızası gibi ilkeler katı kurallara bağlanmıştır. Yeni medya platformlarının sınır aşan yapısı, uluslararası veri koruma hukuku standartlarının teknoloji şirketleri üzerinde doğrudan uygulanabilirliğini artırmış ve çocukların dijital dünyadaki onurunu koruyacak hukuki mekanizmaların gelişimini hızlandırmıştır.

BM Çocuk Haklarına Dair Sözleşme ve Genel Yorum No. 25

Birleşmiş Milletler Çocuk Haklarına Dair Sözleşme (ÇHS), 16. maddesi ile çocukların özel yaşamına, ailesine veya iletişimine yönelik keyfi ve hukuka aykırı müdahaleleri yasaklayarak mahremiyet hakkını evrensel bir güvenceye kavuşturmuştur. Dijital çağın getirdiği yeni riskler karşısında BM Çocuk Hakları Komitesi, 2021 yılında yayınladığı Genel Yorum No. 25 ile bu koruma kalkanını çevrimiçi ortamlara da genişletmiştir. Bu belge, devletlerin ve veri sorumlularının çocukların dijital dünyada saygınlıklarını koruması gerektiğini, özellikle geniş çaplı veri toplama ve davranışsal reklam gibi uygulamaların çocuk mahremiyetine ağır bir müdahale oluşturabileceğini vurgulamaktadır. Komite, çocuk verilerinin işlenmesinde amaçla sınırlılık ve asgari veri toplama ilkelerinin titizlikle uygulanmasını, aynı zamanda çocuğun rızasının yetersiz kaldığı durumlarda ebeveynin açık rızasının alınmasını şart koşmaktadır.

Avrupa Birliği Hukukunda GDPR ve Dijital Hizmetler Yasası

Avrupa Birliği, 2018 yılında yürürlüğe giren Genel Veri Koruma Tüzüğü (GDPR) ile çocukların çevrimiçi mahremiyetini koruma konusunda küresel bir standart belirlemiştir. GDPR’ın 8. maddesi, bilgi toplumu hizmetlerinde çocukların kişisel verilerinin işlenmesi için asgari yaş sınırını kural olarak 16 olarak belirlemiş, üye devletlere bu sınırı 13 yaşına kadar indirme yetkisi tanımıştır. Bu yaşın altındaki bireylerin verilerinin işlenebilmesi için ebeveyn onayının doğrulanması yasal bir zorunluluktur. Ayrıca GDPR, çocukların veri işlemenin risklerini tam olarak kavrayamayacağı gerekçesiyle, pazarlama ve profilleme amacıyla veri kullanımına özel sınırlamalar getirmiştir. Avrupa Parlamentosu tarafından kabul edilen Dijital Hizmetler Yasası (DSA) ise bu koruma ağını daha da güçlendirerek, büyük çevrimiçi platformların çocuklara yönelik hedefli reklam faaliyetlerinde bulunmasını tamamen yasaklamış ve sistemik risk değerlendirmesi yapma yükümlülüğü getirmiştir.

Amerika Birleşik Devletleri ve COPPA Düzenlemeleri

Amerika Birleşik Devletleri’nde çocukların çevrimiçi kişisel verilerinin korunması, esas olarak federal düzeyde uygulanan Çocukların Çevrimiçi Gizliliğini Koruma Yasası (COPPA) ile güvence altına alınmıştır. 1998 yılında yürürlüğe giren COPPA, 13 yaşından küçük çocukları hedefleyen web siteleri ve çevrimiçi hizmetlerin, çocuklara ait kişisel bilgileri toplamadan önce ebeveynlerinin doğrulanmış onayını almasını zorunlu kılmaktadır. Yasa, platformlara gizlilik politikalarını şeffaf bir biçimde yayımlama ve ebeveynlere çocuklarının verilerini silme veya onayı geri çekme hakkı tanıma gibi ağır sorumluluklar yüklemiştir. Federal Ticaret Komisyonu (FTC) tarafından sıkı bir şekilde denetlenen bu yasa kapsamında, çocuk verilerini izinsiz toplayan dev teknoloji firmalarına milyonlarca dolarlık rekor para cezaları verilmektedir. Federal düzeydeki bu koruma kalkanı, Kaliforniya gibi eyaletlerin Tüketici Gizliliği Yasası (CCPA) gibi yerel regülasyonlarıyla 16 yaş altı bireyleri de kapsayacak şekilde opt-in ve opt-out mekanizmalarıyla genişletilmektedir.

Asya, Afrika ve Latin Amerika'da Veri

Uluslararası hukuk düzleminde, çocuk verilerinin güvenliği Asya, Afrika ve Latin Amerika bölgelerinde de son yıllarda ivme kazanan yasal reformlara konu olmaktadır. Çeşitli ülkeler, Avrupa ve Amerika’daki modellere benzer şekilde yerel mevzuatlarında çocuk mahremiyetine odaklanan özel kurallar ihdas etmiştir:

• Çin: Kişisel Bilgilerin Korunması Yasası (PIPL) uyarınca 14 yaşından küçük çocukların verilerinin işlenmesi için ebeveyn izni zorunlu tutulmuştur.
• Güney Afrika: Kişisel Bilgilerin Korunması Yasası (POPIA), çocukların verilerini özel nitelikli kişisel bilgi kategorisine alarak işlenmesini genel kural olarak yasaklamış ve sıkı istisnalara bağlamıştır.
• Brezilya: Genel Veri Koruma Yasası (LGPD), 12 yaşından küçük çocukların kişisel verilerinin işlenmesinde mutlaka ebeveyn rızası alınmasını ve çocuğun üstün yararının gözetilmesini şart koşmaktadır.
• Güney Kore: Kişisel Bilgilerin Korunması Yasası (PIPA) ile 14 yaş altı bireylerin verilerinin işlenmesinde ebeveyn onayı şartı getirilmiş, platformlara artırılmış gizlilik önlemleri alma zorunluluğu yüklenmiştir.