Olivia
Online
Furkan GÖRKEM 🍎
@Graymatterfg
Selçuk Hukuk
Humanities and Social Sciences | Information and Technology Law| Public Relations
Joined February 2026
878 Following
173 Followers
2.5K Posts
Pinned Tweet
An IAEA team has inspected the impact of this morning’s drone strike on the central spent fuel storage facility near the Chornobyl site, reporting that it caused significant structural damage to part of the fuel reception building, including to the IAEA safeguards office located there.
The team of experts observed damage to the building’s facade, walls and staircase, with shattered glass shards, broken bricks and other debris seen scattered on the ground. They confirmed that radiation levels at the facility remained normal, indicating that the incident did not cause any radioactive contamination.
They were also informed that spent fuel was stored in casks a few hundred metres from the damaged building at the time of the attack, while other closer ones had been empty. It remains unclear when the facility will be able to start receiving spent fuel from Ukraine’s operating NPPs again.
DG @rafaelmgrossi says it was an extremely concerning incident and a close call in terms of nuclear safety. Attacking a facility with large amounts of nuclear material is like playing with fire and it must never happen, DG Grossi says, adding that the IAEA will continue to investigate the incident.
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantılı oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının özel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örne��in, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
i��lenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise ��ocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
https://t.co/EitwzmApZe
Türkiye Yapay Zekâ Zirvesi https://t.co/f7oSI2qIXr
@Haber7 https://t.co/EitwzmApZe
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantıl�� oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının ��zel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadı��ını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
@trthaber https://t.co/EitwzmApZe
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantıl�� oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının ��zel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadı��ını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
@tv100 https://t.co/EitwzmApZe
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantıl�� oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının ��zel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadı��ını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
@HaberGlobal https://t.co/EitwzmApZe
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantıl�� oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının ��zel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadı��ını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
@sabah https://t.co/EitwzmApZe
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantıl�� oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının ��zel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadı��ını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
@ahaber https://t.co/EitwzmApZe
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantıl�� oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının ��zel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadı��ını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel kişiler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
Makale Özeti:
BAĞLANTILI OYUNCAKLAR ÖZELİNDE
ÇOCUĞUN KİŞİSEL VERİLERİNİN CEZAİ VE HUKUKİ OLARAK KORUNMASI
My Friends Cayla ve Hello Barbie, bu tür oyuncakların en meşhur örneğidir. Bluetooth aracılığı ile
cihazlara bağlanan bu oyuncaklar, kendisine yöneltilen soruları veya komutları ayrıştırarak tıpkı “Siri
uygulaması” gibi mevcut veri tabanından veya diğer kullanıcıların sormuş olduğu sorulardan oluşan bir
havuzdan ilişkili bilgiyi alıp sese dönüştürerek cevap vermektedir. Tıpkı gerçek bir arkadaş gibi çocukların
iletişim kurduğu Cayla ve Barbie’nin, tüm sorulara cevap verirken onların seslerini, hatta görüntülerini de
kaydedip farklı şekillerde kullanması halinde birtakım hukuki problemler karşımıza çıkmaktadır.
Çalışmada, bağlantılı oyuncaklar olarak adlandırılan bu cihazlar özelinde çocuğun kişisel verilerinin
işlenmesi konuları üzerinde durularak; bu hususlar hukuki ve cezai sorumluluk bağlamında incelenecektir.
Nesnelerin İnterneti:
İlk kez 1999 yılında, MIT Auto-ID Merkezi kurucularından olan İngiliz teknoloji öncüsü Kevin
Ashton tarafından ortaya atılan ve gittikçe daha da yaygın olarak kullanılan “nesnelerin interneti (internet of things/IoT)” kavramı1, Madde 29 Çalışma Grubu’nun nesnelerin interneti konusunda son gelişmelere ilişkin
görüşünde şu şekilde tanımlanmaktadır:
“Günlük hayatta yaygın olarak kullandığımız cihazlara gömülü halde bulunan milyarlarca sensörün,
verileri kaydetmek, işlemek, depolamak veya aktarmak amacıyla tasarlandığı ve benzersiz
tanımlayıcılarla ilişkilendirildikleri için ağa bağlanabilme özelliklerini kullanarak diğer cihazlarla
veya sistemlerle iletişime girdiği bir altyapıdır”.
IoT cihazlar, 20. yüzyılın sonlarına doğru ilk olarak perakende satış teknolojisinde ortaya çıkmıştır.
IoT cihazların ortaya çıkışındaki birincil amaç şirketlerin potansiyel müşterileri hakkında birtakım verileri
toplamada daha verimli olmak istemeleridir. Zira insanlar tarafından manuel olarak bilgi toplamak yerine bu
konuda otomatikleşmeye gitmek daha güvenilir olacaktır.
IoToys’ların bir diğer türü “robotik” olarak adlandırılan oyuncaklardır. Bunlar, sözlü komutlar veya
uygulamalar aracılığıyla kontrol edilebilen oyuncaklardır. Bu türdeki bağlantılı oyuncaklar, işlevlerini yerine getirebilmek için çok çeşitli verileri analiz ettiklerinden dolayı önemli ölçüde veri toplarlar ve bu nedenle hangi tür verilerin işlendiği iyice araştırılmalıdır. Örneğin My Friends Cayla ve Hello Barbie, dışarıdan gelen soruları analiz ederek o sorulara mantıklı cevaplar verme kabiliyetine sahip robotik türde bağlantılı oyuncaklardır.
Nesnelerin interneti kavramının özel bir türü olarak ifade edilebilecek olan bağlantılı oyuncaklar,
tasarımlanma amacı ve teknik yapısı gereği dışarıdan gelen verileri toplar ve harici bir merkeze aktararak
burada depolar. Böyle bir mekanizmaya sahip olması ise bu oyuncakları hukukun önemli bir sorunu haline
getirmektedir. Zira oyuncaklar aracılığıyla toplanan verilerin birçoğu kişisel veri niteliğini haizdir ve kişisel
veriler, günümüz teknoloji çağında ihlal edilmesi en muhtemel değerlerdendir. Bu önemine binaen kişisel
verilerin korunması hem kamu hukuku karakterli hem de özel hukuk karakterli hükümlerle sağlanmaktadır.
Türk Ceza Kanunu’na bakıldığında kişisel verilerin korunmasına ilişkin pek çok hükmün varlığı dikkat
çekmektedir. Bunun yanı sıra daha özel nitelikli kanunlar da kişisel verilerin korunmasına ilişkin hükümleri ihtiva etmektedir. Kişisel veriler, kişilik hakkını oluşturan şahıs varlığı değerlerinden olduğu için kişilik hakkını koruyucu hükümler de yine kişisel verilerin korunmasına hizmet etmektedir.
Son zamanlarda daha da interaktifleşen oyuncaklar, çocuklar için daha eğlenceli ve daha öğretici hale
gelmesine rağmen birçok riski de beraberinde getirmektedir. Bu risklerin başında gizlilik ve mahremiyet yer almaktadır. Zira bağlantılı oyuncakların çeşitlerine göre topladığı veri türleri ve miktarları farklılık arz etse de toplanan verilerin çok büyük bir kısmı çocuğu tanınabilir kılmaktadır; başka bir ifadeyle bu veriler onu tanımlayabilecek verilerdir.
Bağlantılı oyuncaklar aracılığıyla hem çocukların hem de ebeveynlerin kişisel verileri kayda
alınabilmektedir. Çocuğun ve ebeveynlerin doğum tarihi, adı, cinsiyeti, profil resmi, çocuk ve ebeveynler
tarafından gönderilen sohbet mesajları, sesli mesajlar, fotoğraflar, şifre ve arama geçmişi gibi verilerle
ebeveynlere ait e-posta adresi, kredi kartı bilgileri, IP numarası, Wi-Fi şifresi toplanabilecektir27. Bu veriler
dışında ayrıca bağlantılı oyuncak üreticileri, çocuğun oyuncakla etkileşime girdiği ve oyuncağı kullandığı
özel(belirli) yollarla ilgili bilgileri de izleyebilir. Örneğin, çocuğun oynadığı oyunların türleri, girdiği web
siteleri, izlediği videolar, dinlediği müzikler ve tercihleri gibi çocuktan/çocuk hakkında bilgi toplanabilir.
Örneğin My Friends Cayla kaydettiği sesleri, ses biyometrik çözümleri üzerine faaliyet gösteren bir yazılım şirketi olan Nuance’a göndermektedir. Nuance’ın ABD istihbarat teşkilatına ses tanıma hizmetleri sağlayan bir şirket olduğu
bilinmektedir. Kayıt altına alınan seslerin biyometrik çözümleri, bu verilerin nitelikli kişisel veri niteliğinde
olduğu ve özel bir veri işleme rejimine göre işlenmesi gerektiği dikkate alınmaksızın Nuance’ın veri
tabanlarında saklanmaktadır.
Nihayetinde kişisel veriler, kullanıcının
kabulünü aşan amaçlarla işlenmekte ve kullanılmakta tabiri caizse ifşa olmaktadır; bunun kişisel verilerin
üçüncü kişilerce ele geçirilmesine neden olan hacker saldırılarından pratikte herhangi bir farkı
kalmamaktadır. Dolayısıyla, kişisel veriler çerçevesinden bakıldığında bağlantılı oyuncakların başta gizlilik
olmak üzere birçok hukuki soruna sebebiyet vereceği aşikardır.
Avrupa İnsan Hakları Sözleşmesi’nde kişisel verilerin korunmasına yönelik bir düzenlemenin
bulunmadığı yönünde yapılan tartışmalar Avrupa Konseyi’nin 108 No’lu Sözleşmesi ile sonuçlanmıştır.
Ancak zamanla Avrupa İnsan Hakları Mahkemesi kişisel verilerin korunmasını, Avrupa İnsan Hakları
Sözleşmesi’nin 8. maddesinde “herkes özel ve aile hayatına, konutuna ve yazışmasına saygı gösterilmesi
hakkına sahiptir” şeklinde düzenlenen özel hayata ve aile hayatına saygı hakkı çerçevesinde ele almıştır.
Başka bir ifadeyle kişisel verileri koruma hakkı ayrı ve bağımsız bir hak olarak değil özel hayatın korunması
hakkı kapsamında incelenmektedir.
2000 yılında ilan edilen ve 1 Aralık 2009 tarihinde kabul edilen Lizbon Anlaşması’yla bağlayıcılık
kazanan Avrupa Birliği Temel Haklar Şartı’nın 8. maddesinde de “herkes kendisini ilgilendiren kişisel
verilerin korunması hakkına sahiptir” ifadeleriyle kişisel verilerin korunması hakkı düzenlenmiştir. İlgili
madde ayrıca söz konusu temel hakla bağlantılı olarak temel veri koruma ilkelerini de düzenlemiştir.
Tüzük ile birlikte kişisel verilerin işlenmesinde geçerli olacak rıza kavramı da açıklanmıştır. Buna göre rıza, “kendisine dair kişisel verilerin işlenmesi için veri öznesinin kabulüne işaret
eden, özgürce ve bilgilendirilme yapıldıktan sonra alınan rızayı ifade etmekte olup” veri sahibinin rızası,
“veri sahibinin bir beyan yoluyla ya da açık bir onay eylemiyle kendisine ait kişisel verilerin işlenmesine
onay verdiğini gösteren özgür bir şekilde verilmiş spesifik, bilinçli ve açık gösterge”dir. Yukarıda ele
aldığımız uluslararası belgelerin aksine GDPR çocuğun kişisel verileri yönünden, çocuklara yönelik
gerçekleştirilen faaliyetler kapsamında, özel düzenleme getirmiştir. Kişisel veri sahibinin çocuk olması
halinde rızanın geçerli olabilmesi için 16 yaş bir sınır olarak kabul edilmiş, 16 yaşından küçüklerin rızası
için rızanın velayet hakkı sahibi tarafından verilmesi veya çocuk tarafından verilmesi halinde velayet hakkı
sahibi tarafından onaylanması şartı getirilmiştir (m.8).
2010 yılında yapılan Anayasa değişikliğiyle 20. maddeye kişisel verilerin korunmasına ilişkin hüküm eklenmiştir. Buna göre “herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Söz konusu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların
düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını
öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir”.
Anayasa Mahkemesi’ne bireysel başvuru yolunun kabul edilmesiyle birlikte kişisel verilerin
korunması hakkına ilişkin pek çok başvuru yapılmıştır. Kişisel Verilerin Korunması Kanunu yürürlüğe
girmeden önce Mahkeme’nin kişisel verilerin neler olduğu yönünde verdiği kararlar önem taşımaktadır.
Mahkeme,“özel hayatın geniş bir kavram olduğunu ve kapsayıcı bir tanımının yapılmasının zor olduğunu
belirtmiş olmakla birlikte özel hayata saygı hakkının, kişinin maddi ve manevi bütünlüğü, fiziksel ve
sosyal kimliği, bireyin ismi, cinsel yönelimi, cinsel yaşamı gibi unsurları koruduğunu, kişisel bilgiler
ve veriler, kişisel gelişim, aile hayatı vb. hususlarının da ilgili hakkın içinde yer aldığını ”
ifade etmiştir. Ayrıca “kişisel veri -belirli veya kimliği belirlenebilir olmak şartıyla- bir kişiye ilişkin bütün
bilgileri” ifade etmekte olup,
“bireyin adı, soyadı, doğum tarihi ve doğum yeri gibi sadece kimliğini ortaya koyan bilgileri değil
telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, öz geçmiş,
resim, görüntü ve ses kayıtları, parmak izleri, sağlık bilgileri, genetik bilgiler, IP adresi, e -posta
adresi, alışveriş alışkanlıkları, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile
bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler”
bu kapsamdadır.
Kişisel verilerin kaydedilmesi suçu ile hukuka aykırı olarak kişisel verilerin kaydedilmesi yaptırım
altına alınmıştır. TCK’da kişisel veriler kavramı tanımlanmamakla birlikte kişisel veriden söz edebilmek
için, “verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli veya belirlenebilir” nitelikte olması
gerekir. 135. maddenin 2. fıkrasında kişisel verinin, özel nitelikte veri kabul edilen “kişilerin siyasi, felsefi
veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık
durumlarına veya sendikal bağlantılarına ilişkin olması” hali cezanın artırılmasını gerektiren nitelikli hal
olarak düzenlenmiştir.
Verileri yok etmeme suçu ise ancak kişisel verileri sistem içinde yok etmekle yükümlü olanlar
tarafından işlenebilir. Bu bakımdan suçun faili bir kamu görevlisi olabileceği gibi bir meslek veya sanat
sahibi kimse de olabilir.
TCK’da tüzel ki��iler bakımından güvenlik tedbiri uygulanacak suçlar sınırlı sayıda sayılmış
olup, günümüzde bir tüzel kişi faaliyeti çerçevesinde bu suçların işlenmesi sıkça karşımıza çıkabilecek bir
olasılık olduğundan, bu suçlar için böyle bir düzenlemeye yer verilmesi yerinde olmuştur. Bağlantılı
oyuncaklar aracılığıyla kişisel verileri kaydeden, verileri hukuka aykırı olarak veren veya ele geçiren
şirketler bakımından ilgili hüküm çerçevesinde güvenlik tedbirleri uygulanabilecektir.
KVKK’nın 17. maddesiyle kişisel verilere karşı gerçekleştirilecek suçlar bakımından TCK’nın ilgili
maddelerinin uygulanacağı ifade edilmiştir. Ancak Kanun’un 18. maddesinde belirli fiiller kabahat olarak
düzenlenmiştir. Kanun’da düzenlenen kabahatlerden ilki aydınlatma yükümlülüğüne aykırılıktır. Buna göre
veri sorumlusu olan gerçek veya özel hukuk tüzel kişilerinin aydınlatma yükümlülüğüne aykırı davranması
halinde 5.000 Türk lirasından 100.000 Türk lirasına kadar idari para cezası uygulanacaktır. Bir diğer kabahat
de veri güvenliğine ilişkin yükümlülüklere aykırılık olup ilgili yükümlülükleri yerine getirmeyenler
hakkında “15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası” uygulanacaktır.
Bağlantılı oyuncaklar özelinde konuya yaklaşıldığında, TMK m.24’te düzenlenen hukuka uygunluk
nedenlerinden rıza, söz konusu işleme eylemini hukuka uygun hale getirmektedir. Üstün nitelikte özel ve
kamusal yarar ile kanunun verdiği yetki hukuka uygunluk nedenlerinin, söz konusu olaylarda hukuka
uygunluk sağlamalarının pratikte karşılaşılmadığını söylemek yanlış olmayacaktır.
Şahıs varlığı değerlerinin ihlal edilmesi
sonucunda bir gelir elde edilmiş ise bunun vekâletsiz iş görme hükümlerine göre istenebilmesi de aynı
maddenin 3. fıkrası gereğince mümkündür. Bununla birlikte kişisel verileri hukuka aykırı olarak işlenen
kimsenin bir zarara uğraması halinde, kusuru ile bu zarara neden olan kişi TBK m.49 kapsamında bu zararı
gidermekle yükümlüdür.
Nesnelerin interneti kavramının özel bir görünümü olan bağlantılı oyuncaklar aracılığı ile çocukların
kişisel verilerinin ihlal edilmesi halinde, ürün sorumluluğunun gündeme gelip gelmeyeceği de yakın
gelecekte tartışılacak konuların başında gelmektedir. ÜGTDK’da, nesnelerin internetinin doğurabileceği
güvenlik açıkları ve meydana gelebilecek zararlardan sorumluluğa ilişkin herhangi bir düzenleme
bulunmamaktadır. Ancak ürün sorumluluğuna ilişkin uluslararası düzenlemelere bakıldığında Avrupa
Komisyonu’nun (COM) 2020 Final Raporu’nda, yapay zekâ, nesnelerin interneti ve robotik gibi
teknolojilerin ortaya çıkması ile başta ürün güvenliği olmak üzere pek çok zorluğun ortaya çıkabileceği,
mevcut düzenlemelerin bu konular açısından boşluklar içerdiği, bu nedenle Ürün Sorumluluğu Direktifi’nde
ve ulusal sorumluluk düzenlemelerinde söz konusu riskler dikkate alınarak belirlemeler yapılması gerektiği
önemle ifade edilmiştir. Bu nedenle doktrinde, henüz yürürlüğe giren ÜGTDK’nın, bu tavsiyeler
doğrultusunda, daha kapsayıcı ve güncel bir ürün sorumluluğuna yer vermesinin beklendiği ancak bunun
sağlanamadığı haklı olarak ifade edilmektedir.
İşte fiziksel ve psikolojik olgunluğa erişmemiş ancak gelişme sürecinde olan bireylerin, “çocukların”,
kişisel verilerinin korunabilmesi için, bazı temel kriterlerin belirlenmesi gerekmektedir. Zira her geçen gün, gelişen teknolojinin de etkisiyle çocuklar kullandıkları her platformda kişisel verilerini bilinçli ya da bilinçsiz paylaşabilmektedirler. Markets and Markets tarafından yapılan bir araştırmaya göre, küresel ölçekte
bağlantılı oyuncak piyasası büyüklüğünün 2019 yılından 2024 yılına kadar yaklaşık olarak %200 artması
beklenmektedir ki bu da işlenecek olan kişisel verilerin boyutunun ve bu verilerin ihlali ihtimalinin de bir o
kadar artacağına işaret etmektedir. Kişisel verilerin ihlali noktasında ise ilk ve en önemli problem hiç
şüphesiz rızadır.
KVKK’da ise kişisel verilerin işlenmesi, aktarılması ve yurtdışına aktarılmasının, Kanun’da sayılan
istisnalar dışında, ancak açık rızanın varlığı halinde mümkün olduğu ifade edilmiştir. Açık rıza ise KVKK’da
“belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanmıştır.
Bağlantılı oyuncakların hedef kitlesine bakıldığında, bu oyuncakların 1 yaşından 18 yaşına kadar tüm
çocuklara hitap ettiği görülmektedir. Gerçekten de üreticilerin, tasarladıkları oyuncakları tavsiye ettiği yaş
grupları 2-5, 6-8, 9-12 ve 13-18 gibi birçok yaş grubunu kapsamaktadır. Hedef kitlenin yaş aralığının
oldukça geniş olmasından dolayı, bağlantılı oyuncaklar aracılığıyla verilerin işlenmesine rıza
gösterilmesinde tek bir kriter belirleyebilmek mümkün değildir. Zira belirtilen yaş gruplarının fiziksel ve
zihinsel gelişim aşamaları birbirinden farklıdır. Bu nedenle rıza söz konusu olduğunda çözüm, yalnızca
çocuğa danışılmasından, çocuğun ve yasal temsilcisinin paralel rızasına ve hatta çocuk zaten yeterince olgunsa çocuğun tek başına rıza göstermesine kadar ilerleyebilir.
Bununla birlikte bağlantılı oyuncağın hangi tür kişisel
verileri işlediği de rıza açıklamasında yaş sınırının belirlenmesi noktasında bir kriter olarak dikkate
alınmalıdır. Örneğin özel nitelikli kişisel verileri (parmak izi, retina gibi) işleyen robotik türdeki bir bağlantılı
oyuncağın daha fazla bir korumayı gerektirdiğini söylemek yanlış olmayacaktır. Bu verilerin işlenmesi
açısından normal nitelikteki bir kişisel veri için belirlenen asgari yaş sınırından daha yüksek bir sınır
belirlenebilir.
Güvenli bağlantılı oyuncaklar fikri, günümüz teknoloji çağında oldukça zor görünse de imkansız
değildir. Aşırı veri işleyen, çocukların mahremiyetine karşı hassas olmayan ve şeffaflık konusunda yetersiz
olan oyuncaklar açısından ortalama bir standart belirlenmelidir. Bunun sağlanması için ise çocukların nasıl korunacağını daha açıklayıcı bir şekilde tanımlayan düzenlemelere ihtiyacın olduğu açıktır. Pek tabii düzenlemelerin başarı düzeyi de tek taraflı olarak hükümetlerce hazırlanması ile değil konuyla ilişkili sektör paydaşları ile müzakere edilerek hazırlanması ile ilgilidir. Nihayet iç hukukumuzda da genel olarak
nesnelerin internetine ve çocukların kişisel verilerinin korunmasına ilişkin hükümlere yer verilmesi ile
konunun yasal bir zemine kavuşması sağlanabilir.
ÖZTÜRK Nurten/GÜRBÜZ Elif Rumeysa, “Bağlantılı Oyuncaklar Özelinde Çocuğun Kişisel Verilerinin Cezai ve Hukuki
Olarak Korunması”, İnÜHFD, 14(1), 2023, s.43-57
Cumhurbaşkanı Erdoğan: "İstanbul'u yapay zeka alanında Türkiye'nin uluslararası vitrini ve yatırım diplomasisi şehri olarak konumlandıracağız."
Makale Özeti:
METAVERSE VE SANAL GERÇEKLİK ORTAMLARI KARŞISINDA CEZA HUKUKU
İlk ortaya çıkış alanı belli meslek
gruplarına eğitim vermek olan sanal gerçeklik ortamları günümüzde ekonomik bir değer taşımakta, aynı
zamanda da bireylere pek çok imkân sunmaktadır. Sanal gerçeklik ortamına ilişkin hukuki tartışmaların
önemli bir kısmı da ceza hukukuna ilişkindir. Bu ortamda kişilerin hem kimlik hem de mekân olarak anonim olması suç işlenmesini önemli ölçüde kolaylaştırmaktadır. Bu çalışmada da ceza hukukunun sanal gerçeklik ortamlarında işlenen suçlarla mücadelede ne kadar etkili olabileceği tartışmaya açılacaktır.
Sanal gerçeklik esasen ilk defa Metaverse ile hayatımıza girmiş değildir. Sanal gerçeklik edebiyata
ve sanata sıklıkla konu olmuştur. Ray Bradburry’nin The Veldt isimli hikâyesi konuya ilişkin ilginç
örneklerden birisidir. Hikâyenin kahramanları evli bir çifttir. Çift çocukları için sanal gerçeklik ortamı
sağlayan bir çocuk odası inşa ederler. Zamanla çocuklar bu odaya o kadar bağımlı hale gelirler ki odadan
çıkmak istemezler ve ebeveynlerini tuzağa düşürerek öldürürler.Sanal gerçeklik ortamı bireylerin birbirleri ile avatar adı verilen simgelerle temas kurdukları ve esasen
ulaşılacak belli bir amacın olmadığı sanal bir alanı ifade eder. Bilgisayar oyunlarında ise sanal gerçeklik
dünyasından farklı olarak ortada bir amaç vardır ve bu amaç bireyler söz konusu oyun ortamına katılmadan
belirlenmiştir.Sanal gerçeklik ilk olarak askeri eğitim vb. amaçlarla kullanılmış daha sonra da günlük hayatlarımızın bir parçası haline gelmiştir.
Sanal gerçeklik gerçek hayattaki gibi yönetilen bir alan değildir. Kişiler diledikleri gibi davranabildiklerinden bu alan onları özgürleştirmektedir. Bu durum kişilerin toplumda öğrendikleri kontrol mekanizmasını önemli ölçüde zayıflatır.
Burada kısaca artırılmış gerçeklik kavramından da söz etmek gerekir. Sanal gerçeklik ortamında
kişinin gerçek dünya ile bağlantısı deyim yerindeyse kesilir; buna karşılık arttırılmış gerçeklikte dijital içerik
gerçek dünya üzerinde görülür. Bunun en akılda kalıcı örneği Pokemon Go oyunudur. Bu oyunda da dijital
içerikler gerçek dünyada görünür hale gelmiş idi.
Örneğin Second Life isimli sanal ortamda kullanıcılar birbirlerine cinsel olarak yakınlaşabilmektedir. Bu durumda cinsel taciz, çocuk pornografisi gibi suçların ortaya çıkıp çıkmayacağı tartışılmalıdır.Sanal gerçeklik ortamları bakımından ortaya çıkan bir diğer olasılıkta ise kullanıcılar bir şekilde programın yazılımına müdahale edebilirler ve bu yolla bir suç işleyebilirler. Örneğin bilgisayardaki verileri hukuka aykırı şekilde ele geçirebilirler yahut bilgisayarın fizik varlığına zarar verebilirler.
Esasen sanal ortamda işlenmesi halinde ceza hukuku normlarının en kolay uygulanabileceği suç tipi
dolandırıcılıktır. Zira dolandırıcılıktaki hile unsurunun çevrimiçi yahut çevrimdışı işlenmesi arasında bir fark
yoktur. Sıklıkla örneklere konu olan Second Life ortamı da dolandırıcılık fiillerine sahne olmuştur. Bu
ortama ilişkin bir blogda, ortamda kullanılan para birimi olan Linden dolarlarının yasadışı yollardan satın
alınırken dolandırıcılık fiillerinin işlendiği haberi yer almıştır. 2008 yılında ise bir kullanıcı diğerlerine
kendisini bankacı olarak tanıtmış ve kullanıcıların Second Life ATM’leri aracılığıyla Linden dolarlarını
kendisine teslim etmelerini sağlamıştır19.
Hukukumuz bakımından konu TCK m.157 ve 158 kapsamında ele alınmalıdır. TCK bakımından
dolandırıcılık suçu, hileli davranışlarla bir kimsenin aldatılarak o kişinin yahut başkasının zararına olarak
failin kendisine veya bir başkasına zarar sağlaması şeklinde işlenir. TCK m.158/1(f) uyarınca suçun bilişim
sistemlerinin araç olarak kullanılması suretiyle işlenmesi daha ağır cezayı gerektiren bir nitelikli haldir.
Örneğin sanal ortamda yer alan avatarların yahut onlara ait eşyaların kopyalanması ve başka kişiler
tarafından kullanılması halinde hukuken nasıl bir değerlendirme yapmak gerekecektir? Sanal gerçeklik
ortamındaki avatarların eşyalarına karşı işlenen fiiller bakımından iki olasılık ortaya çıkabilir: bu eşyalar
tamamen sanal ortamın özelliklerinden faydalanılarak ele geçirilebilir. Yahut gerçek hayatta işlenen bazı
fiillerle sanal gerçeklik ortamındaki varlıkların el değiştirmesi sağlanabilir.
İlk olasılığa örnek olarak Second Life uygulaması içinde copybot yazılımı ile avatarların eşyalarını
sahiplerinin rızası olmadan kopyalaması verilebilir. Yine Habbo Hotel isimli ortamda benzer fiiller
işlenmiştir. Bu ortamda bazı kullanıcılar sanal odalarda yer alan eşyaları ele geçirmek için diğer
kullanıcıların mail adreslerini hackleyerek şifrelerini yenilemişler ve onların hesaplarına girerek eşyaları
kendi hesaplarına aktarmışlardır. Bu eylemin phishing teşkil ettiği ifade edilmektedir. Ancak mahkeme
başkasına ait eşyalar üzerinde suçun işlendiği gerekçesiyle hırsızlık suçundan mahkumiyet hükmü
vermiştir.
Sanal gerçeklik ortamlarında kullanılan sanal eşyaların bir kısmı ciddi bir ekonomik değere sahip
olabilir. Hatta bunların zaman zaman satılması ve paraya çevrilmesi de söz konusu olmaktadır. Öte yandan bu eşyalar yukarıda ifade edilen maddi varlığa sahip olma kriterini karşılamamaktadırlar 28. Bu durum
uygulamada da karışıklığa neden olabilmektedir. Özellikle ilk derece mahkemeleri sanal eşyalar bakımından hırsızlık suçundan hüküm kurma yoluna gitse de Yargıtay’ın bu tür olaylarda TCK m.244 kapsamında değerlendirme yaptığı görülmektedir. Nitekim Yargıtay 13. Ceza Dairesi de bir kararında Knight Online isimli oyundaki karakterin, kullanıcının e-mail hesabına müdahale edilerek elde edilmesi ve üçüncü bir kişiye para karşılığı satılmasının TCK m.244 kapsamında değerlendirilmesi gerektiği yönünde karar
vermiştir. Dolayısıyla Yargıtay sanal ortamda i��lenen bu tür fiilleri bilişim suçu olarak görmektedir.
Örneğin epilepsi yahut migren hastası olan kişilerin sanal gerçeklik ortamında parlak ışıklara maruz bırakılarak hastalıklarının tetiklenmesi
mümkündür. Dolayısıyla kasten yaralama suçunun sanal gerçeklik ortamında işlenebileceğini
düşünmekteyiz.
Sanal gerçeklik ortamı bakımından ilk bakışta kasten öldürme suçunun işlenmesinin mümkün olmayacağı sonucuna varılabilir. Öte yandan örneğin kalp hastası olduğu bilinen mağdurun kasten korkutularak ölümüne neden olunması halinde kasten öldürme suçu meydana gelmiş olacaktır.
Siber alanların bir diğer özelliği de sosyal hayatlarında diğer insanlarla iletişim kuramayan kişilerin
pek çok kişiye ulaşabilmesidir. Bu durum genelde olumlu olsa da zaman zaman deyim yerindeyse kendisine kurban arayan tehlikeli kişiler için elverişli bir ortama dönüşmektedir. Rotenburg yamyamı olarak anılan Armin Meiwers de internetten tanıştığı kişileri öldürerek yemiştir.
Nefret söylemi olarak ifade edilen eylemler bakımından da aynı esastan hareket edilebilir. Bir kişinin
sarf ettiği sözler ister gerçek dünyada ister sanal gerçeklik ortamlarında sarf edilmiş olsun nefret söylemi
teşkil edebilecektir.Hukukumuza yakın zamanda giren ısrarlı takip suçu da sanal gerçeklik ortamında işlenebilecek suçlardandır. TCK m.123/a’da ısrarlı takip şu şekilde düzenlenmiştir: “Israrlı bir şekilde; fiziken takip etmek ya da haberleşme ve iletişim araçlarını, bilişim sistemlerini
veya üçüncü kişileri kullanarak temas kurmaya çalışmak suretiyle bir kimse üzerinde ciddi bir
huzursuzluk oluşmasına ya da kendisinin veya yakınlarından birinin güvenliğinden endişe duymasına
neden olan faile altı aydan iki yıla kadar hapis cezası verilir.”
Wall’dan hareketle Laue bilişim suçlarının dört türü olduğunu ifade etmektedir:
- Siber İhlal: Hackleme/ virüs gönderme gibi yöntemlerle bir kişinin bilgisayarına müdahale edilmesi
yahut zarar verilmesini ifade eder.
- Siber Hırsızlık/Dolandırıcılık: Maddi varlığı olan yahut olmayan kaynakların banka ve kredi
kartlarının kullanılması yahut dolandırıcılık yoluyla çalınması.
- Siber Pornografi/Müstehcenlik: Çalışmanın yapıldığı tarih itibariyle internetteki web sitelerinin %2-
12’sinin pornografik içerik barındırdığı ifade edilmektedir.
- Siber Şiddet: Siber şiddetten kasıt internet ortamında ısrarlı takip ve siber zorbalık fiilleridir.
Konu TCK açısından ele alındığında TCK m.243 vd. hükümlere göre bir değerlendirme yapmak
gerekecektir. TCK’da m.243’te bilişim sistemine girme, m.244’te sistemi engelleme, bozma, verileri yok
etme veya değiştirme, m.245’te banka ve kredi kartlarının kötüye kullanılması, m.245/A’da yasak cihaz veya programlar suçları düzenlenmiştir.
Sanal ortamda suç işlemeyi kolaylaştıran en önemli unsurlardan birisi de sanal paralardır. Sanal
paranın esas itibariyle iki türü olduğu ifade edilmektedir: Tanımlanmış sanal para ve anonim sanal para.Tanımlanmış sanal paranın değişim değeri vardır ve bir kurumdan nakit olarak çekilebilir. Öte yandan
anonim sanal paranın takip edilmesi mümkün değildir. Bunlar çoğu zaman bir kurumdan çekilir ve mevcut
bankacılık kuralları nedeniyle izleri kaybolur.
Özellikle kara para aklama fiilleri sanal ortamda çok daha kolay işlenmektedir. Kara para sisteme
PayPal gibi çok az kimlik bilgisi talep eden bir vasıtayla sokulur. Bu para gerçek dünyada farklı hesaplar
vasıtasıyla çeşitli eşyalar almak için kullanılır. Daha sonra bu eşyalar satılarak paraya çevrilir. Böylece temiz
bir şekilde sisteme dâhil olur.
Sanal gerçeklik ortamlarına özgü iki ilginç örnekten söz etmek gerekecektir. Bunlardan ilki altın
madenciliği olarak anılan fiildir. Burada failler sanal gerçeklik ortamında bazı eşyalar satın alarak daha sonra bunları gerçek para karşılığı satmaktadırlar. Failin sanal ortamda oynadığı oyuna ilişkin bir hırsı yahut sosyal etkileşimde bulunma amacı yoktur. Tek istediği oyunda kazandığı/satın aldığı eşyaları satarak para
kazanmaktır. Esasen ilk bakışta bu fiilde büyük zarar meydana getirecek bir potansiyel yokmuş gibi
görünmektedir. Öte yandan bu pazar giderek büyümekte ve ekonomilere zarar verici boyuta ulaşmaktadır. Bu nedenle Çin sanal para kullanımına bir sınır getirmek zorunda kalmıştır. Burada kara para aklama söz konusu değildir fakat yine de ekonomik bir suçtur. Çin’de infaz koruma memurları hükümlüleri hücrelerinde saatlerce altın madenciliği yapmaya zorlamıştır.İkinci ilginç örnek ise Japonya’da yaşanmıştır. Maple Story isimli oyunda tanıştığı bir kişiyle aynı ortamda evlenen kişi terk edilince o kişinin hesabına girerek sanal paralarını gerçek paraya çevirir ve sanal
ortamdaki bütün izlerini siler. Sanal cinayet olarak isimlendirilen bu fiil de sanal gerçeklik ortamına özgü
suçlardan biri olarak ortaya çıkmaktadır.
Bu mecralarda işlenen suçlara ilişkin düzenleme yaparken şu hususlara dikkat etmek gerektiği ifade
edilmektedir:
- Bu suçlar düşük maliyet ve çabayla çok ciddi ekonomik zararlar meydana getirebilmektedir.
Cezaların bu hususlar dikkate alınarak belirlenmesi gerekir.
- Hizmet sağlayıcı gibi üçüncü kişilerin sorumluluğu da düzenlemelerde dikkate alınmalıdır.
- Sanal gerçeklik ortamlarında suç işlemeyi kolaylaştıran en önemli unsur anonimliktir. Söz konusu
ortamlarda anonimliğin önüne geçecek düzenlemeler (dijital imza kullanımı gibi) yapılmalıdır.
Anonimliğin önüne geçilmesi konusunda şirketlere de önlem almaları zorunluluğu getirilebilir.
Hansen ise sanal ortamda işlenen fiillere ilişkin olarak ihdas edilecek yeni suçlarda şu hususlara dikkat
edilmesi gerektiğini ifade etmektedir:
- Kanunda sanal gerçeklikten ne anlaşıldığı açıkça ifade edilmelidir.
- Mevcut hukuki durum rehber olabilir ancak bu ortamın gerektirdiği farklılıklar dikkate alınmalıdır.
- Düzenleme kapsayıcı ve gelişime açık olmalıdır.
- Kanunun amacı açıkça belirtilmelidir.
- Hukuki düzenleme yapmak ileri bir tarihe bırakılacaksa bu esnada gerekli tedbirler alınmalıdır.
- Yargılama aşamasında ortaya çıkması muhtemel sorunlar nedeniyle düzenleme yapmaktan imtina
edilmemelidir.
- Sanal gerçeklik geliştiricileri ve kanun koyucu işbirliği yapmalıdır.
Oxford Üniversitesi tarafından yapılan bir deneyde denekler sanal gerçeklik gözlükleri ile yüksek bir
yerde oldukları simülasyonuna dâhil olmuşlardır. Denekler gerçek dünyada yüksekliğe ne tepki veriyorlarsa (kalp atışlarının hızlanması, terleme gibi) aynı tepkileri vermişlerdir.Sanal gerçeklik ortamında bireylerin ne şekilde davrandığına ilişkin bir başka deneyde ünlü Milgram deneyi sanal ortamda tekrarlanmıştır. Bu deneyde denekler sanal gerçeklik ortamında olduklarını bilmelerine rağmen gerçek dünyada yapılan deneyle aynı şekilde davranmışlardır.
Yine bir başka çalışmada konutta hırsızlık suçu işleyen ve sabıkasız kişilerden oluşan iki farklı grup sanal ortamda tasarlanmış bir eve girmişler ve daha sonra gerçek bir eve girmişlerdir. Her iki araştırmadan elde edilen sonuca göre kişilerin sanal gerçeklik ortamında ve gerçek dünyada gösterdikleri davranışlar büyük ölçüde örtüşmektedir. Dolayısıyla sanal gerçeklik teknolojisinin risk değerlendirmede isabetli sonuçlar verebileceği ifade edilmektedir. Sanal gerçeklik ortamlarının ceza hukuku alanındaki bir diğer kullanımı da faillerin rehabilitasyonudur. Failleri rehabilite etmek için genelde bilişsel davranış terapisi yöntemi uygulanmaktadır ve terapi görenlerin gerçek hayatta karşılaşacakları durumlarda ne şekilde hareket edecekleri öğretilmektedir.Çalışmalarda bilişsel davranış terapisinin tekerrür oranlarında ciddi düşüşe neden olduğu ifade edilmektedir.Doktrinde sanal gerçeklik ortamının rehabilitasyon için elverişli olabileceği görüşü dile getirilmektedir. Bu ortamda kişilere gerçek hayatla örtüşen senaryolar sunularak bu durumlarda ne şekilde davranacakları ele alınabilir. Aynı şekilde bilişsel davranış terapisinde etik nedenlerle ele alınamayan bazı travmalar da sanal gerçeklik yardımıyla faile yaşatılabilir ve bu durumlardaki davranış şekilleri de irdelenebilir. Keza failler farklı cinsiyet yahut ırkı temsil eden avatarlarla kendilerini temsil ederek bu bireylerin uğradıkları davranışları deneyimleyerek empati yeteneği de kazanabilirler. Son olarak öfke kontrol problemi olan
şiddete eğilimli failler de sanal gerçeklik ortamında çeşitli senaryolar deneyimleyerek öfke kontrol
becerilerini geliştirebilirler.
Maruz kaldıkları suç nedeniyle travma sonrası stres bozukluğu yaşayan mağdurların terapisi için de sanal
gerçeklik ortamından istifade edilmektedir. Mağdurların maruz kaldıkları suça benzer senaryolar yaratılarak
tepkileri gözlemlenmektedir. Yapılan araştırmalar, sanal ortamda gerçekleşen terapinin de klasik maruz
kalma terapisi kadar etkili sonuçlar ortaya koyduğunu göstermektedir.
Sanal gerçekliğin faillerin rehabilitasyonunda kullanılması oldukça etkili bir yöntem olmakla birlikte,
kullanılacak araçlar ve personel eğitiminin ciddi bir maliyeti olacağı ifade edilmektedir.
BACAKSIZ Pınar “Metaverse ve Sanal Gerçeklik Ortamları Karşısında Ceza Hukuku”, İnÜHFD, 14(1), 2023, s.289-303.
Cumhurbaşkanımız @RTErdogan, Venezuela Cumhurbaşkanı Vekili Delcy Rodriguez ile Cumhurbaşkanlığı Dolmabahçe Ofisi'nde görüştü.
Cumhurbaşkanımız @RTErdogan, Nijer Cumhurbaşkanı Abdourahamane Tiani ile anlaşmaların imza töreni ve ortak basın toplantısına katıldı.
“Afrika halklarının kara gün dostu olarak elimizdeki tüm imkânlarla Nijer'in kalkınma mücadelesini destekliyoruz.”
Cumhurbaşkanımız @RTErdogan, Sudan Egemenlik Konseyi Başkanı Abdulfettah el Burhan ile Cumhurbaşkanlığı Külliyesi'nde bir araya geldi.
Hükûmetlerimiz döneminde zirve diplomasisinde nereden nereye geldiğimize şöyle bir bakalım…
“Kafa karışıklığı iyidir, insan bir kafası olduğunu anlar.”
İsmet Özel
Makale Özeti:
FİKRİ MÜLKİYET HUKUKUNUN DABUS’LA İMTİHANI:
YAPAY ZEKÂ SİSTEMLERİ BULUŞ SAHİBİ OLARAK KABUL EDİLEBİLİR Mİ?
Fikri mülkiyet hukukunda patent
hakkına ilişkin olarak yenilik, yaratıcılık, çözüm üretme ve özgünlük bağlamında buluşu yapan kavramı,
uzunca bir süre akla yalnızca insanı getirmiştir. Ancak bu kabul, yapay zekâ sistemlerinin otonom olarak ve
tasarımcısını aşacak özgünlükte patentlenebilir nitelikte çıktılar üretebilmesinin mümkün olduğunun
anlaşılmasıyla birlikte hızla sarsılmaya başlamıştır. Fikri mülkiyet alanında insan buluşçu kabulünü sarsan
yapay zekâ sistemlerinden biri olan DABUS1, ürettiği çıktılar ve bu çıktılara yönelik buluşçusu olarak yine
bu sistemin işaret edilmesi gerektiğini savunan Yapay Mucit Projesi (The Artificial Inventor Project)
hareketiyle birlikte, pek çok ülkede yaklaşan dijital dönüşümün hukuk gündemine taşınmasında öncülük
etmiştir.
DABUS, Imagination Engines Incorporated adlı teknoloji şirketinin başkan ve CEO’su olan Dr.
Stephen Thaler tarafından geliştirilmiş bir yapay zekâ sistemidir. Salt hukuk bilgisiyle, karmaşık bir yapay
zekâ sisteminin çalışma mekanizması ve çıktılarının oluşturulma süreçlerinin detaylıca açıklanması ve analiz
edilmesinin zorluğu açıktır. Ancak sistemin çıktıları hakkında isabetli bir hukuki değerlendirme
yapılabilmesi için sistemin çalışma mekanizmasının çerçevesinin doğru çizilmesi ve genel olarak
kavranmasının gerekli olduğu düşünülmektedir.
Keşif sistemi ağı, yalnızca bir bilinç akışı olarak adlandırılabilecek
şeyleri göstermekteyken, eleştirel sistem ağı, keşif ağı içindeki bilişsel dönüşüm hakkında bir tutum da
geliştirmektedir7. Cihaz, hiçbir öğrenme olmadan başlayarak, kümülatif deney ve öğrenme döngüleri yoluyla kendini giderek daha yüksek uyarlanabilir veya yaratıcı yetkinlik seviyelerine çıkarabilmektedir. Dolayısıyla bu sistem bir yönüyle “Yaratıcılık Makinesi” olarak çalışmaktadır.
DABUS’un patent başvurularına konu edilen ikinci çıktısı ise nöral alev (Neural Flame) buluşudur.
Özellikle marka işaretleri, logolar ve tabelalar gibi dikkat çekilmesi istenen alanlarda faydalı olacağı
düşünülen bu buluş, çevredeki enerji ve hareketi algılayarak bir bakıma dikkatler üzerine çekildiğinde daha
da parlayan, bu sayede sabit bir frekans yerine dikkatleri çektiği ölçüde frekansını değiştirerek çevredekilerin dikkat ve odaklanma süresini artırmayı sağlayan bir ışık kaynağından yayılan nöral alevdir.
Yapay Mucit Projesi ile yürütülen faaliyetin öz amacı, yapay zekâ gibi öncü teknolojilerin sosyal,
ekonomik ve hukuki etkileri konusunu gündemde tutmak, belirsizlikleri görünür kılmak ve bunları
gidermeye yönelik tartışma ve değerlendirmeleri teşvik etmektir. Bu yolla da yapay zekâ tarafından üretilen
��ıktıların korunması konusunda fikri mülkiyet alanı başta olmak üzere etkilenen her alanda hakların
tanınması, korunması ve dijital dönüşümün sonuçları konusunda yasal stratejilere rehberlik edilmesi
hedeflenmektedir. Gerçekten de bu proje sayesinde, yapay zekâ sistemlerinin inovasyon ve yaratıcılık
alanında insan yeteneğini aşması olasılığında, bu orijinal çıktıların nasıl ele alınması gerektiği konusundaki belirsizlik görünür hale getirilmiş ve bir bakıma hukuk bu konuyu ele almaya zorlanmıştır.
Yapay Mucit Projesi kapsamında, buluşçu olarak DABUS’un gösterildiği pek çok patent
başvurusunda bulunulmuştur. Bu başvurulardan şu an için Avustralya ve Avrupa Patent Ofisi (EPO)’ne
yapılan başvurular reddedilmiştir. Amerika Birleşik Devletleri, Birleşik Krallık ve Almanya’da yapılan
başvurular ise itiraz aşamasındadır. Brezilya, Kanada, Çin, Hindistan, İsrail, Japonya, Yeni Zelanda, Kore
Cumhuriyeti, Suudi Arabistan14, Singapur, İsviçre, Tayvan ve son olarak eski başvuru değiştirilerek tekrar
EPO’ya yapılan patent başvuruları ise inceleme aşamasındadır. Şu an için sadece Güney Afrika’da yapılan patent başvurusu olumlu sonuçlanmış ve Güney Afrika, yapay zekâ sistemlerini buluşçu olarak kabul eden
ve açıkça buluşun otonom olarak bir yapay zekâ sistemi tarafından oluşturulduğunu ortaya koyan ilk ülke
olmuştur.
Proje ekibinin temel iddiası, insan katkısı olmaksızın patentlenebilir çıktılar sunan yapay zekâ
sistemlerinin buluşçu olarak gösterilmesinin, fikri mülkiyet hukukuna hakim olan gerçek buluş sahibi
ilkesinin bir gereği olduğu, sistem sahiplerinin katkısı olmadığı için bu kişilerin buluş sahibi olarak
gösterilmesinin gerçeği yansıtmayacağı, hukukun gerçek durumu yansıtmakla yükümlü olduğu, kişi
olmayan yapay zekâ sistemlerinin buluş sahibi olarak gösterilmesi üzerine bu başvuruların kabul
edilmemesinin ise yine fikri mülkiyet hukukunun varlık nedeni olan teknolojinin geliştirilmesi ve
yeniliklerin teşvik edilmesi amacına aykırılık oluşturacağı, ayrıca gerçek kişi buluşçuların, buluşçunun
yapay zekâ sistemi olduğu açıklanmayan patentler sebebiyle motivasyonlarının azalabileceği yönündedir.
Üç hakimden oluşan Yüksek mahkemede ise bir
hakim, buluşçunun gerçek ve ilk mucit olarak gösterilmesinin bir anılma hakkı olduğunu ve asıl olanın patent hakkı sahibi olduğunu vurgulayarak, buluşçu olarak gösterilenin kişi olma vasfını taşımaması sebebiyle buluşçuyu gösterme yükümlülüğünün yerine getirilmediği sonucuna ulaşılamayacağı ve buluşu yapanın makine olmasının başvuru sahibine patent verilmesine engel bir durum oluşturmayacağını belirtmiş ve Dr. Thaler’ın itirazını kabul etmişse de diğer iki hakim ilk mahkemenin değerlendirmelerine katıldığından, temyiz talebi reddedilmiştir.
Sonuç olarak, ilgili düzenlemeler ışığında, kişi olarak kabul edilemeyen bir yapay zekâ sisteminin
başvuru sahibi olarak gösterilmesi durumunda, SMK m.90/3-b hükmünde düzenlenen kimlik ve iletişim
bilgileri gerekliliği yerine getirilmediğinden, başvurunun işleme dahi alınmaması gerekecektir (SMK m.95/1
ve SMKY m.71/4). Nitekim SMK, başvuruda bulunanın “kişi” olması gerektiğini normatif olarak açıkça
ortaya koymaktadır. Patent başvurusunda bulunamayacağı açık olan yapay zekâ sistemlerinin bir kişinin yaptığı patent başvurusunda buluşu yapan olarak gösterilmesi de yukarıdaki açıklamalar doğrultusunda mümkün görünmemektedir. Dolayısıyla buluşu yapanın gösterilmemesi, gösterilmekle birlikte hukuken
“kişi” olarak kabul edilmeyen yapay zekâ sistemlerinin gösterilmesi, buluşu yapanın “adının” gizlenmesi
talebinin ise kişi olmayan bir sistem tarafından istenemeyeceği de göz önünde bulundurulduğunda, her olasılıkta da başvuruda bulunanın buluşu yapan olarak işaret edilmemesi üzerine, patent başvuru hakkını ne şekilde elde ettiğini geçerli bir şekilde gösterememesi, başvurunun şekli şartları sağlayamaması anlamına gelmektedir. Dolayısıyla şekli şartlardaki eksiklik üzerine TÜRKPATENT’in yapacağı bildirimden itibaren 2 ay içinde, eksikliğin mevzuatın gereklerine uygun şekilde giderilmemesi halinde, başvurunun reddedilmesi
gerekecektir.
Yapay zekâ sistemleri de o dönemlerin
fotoğraf makinesi kadar şaşırtıcı, üstün, yenilikçi ve en nihayetinde yine de bir araç durumundadır. Esasında
tek fark, fotoğrafçının, makineyi de çıktıyı da sahiplenmekte en ufak bir tereddüt etmemesinden
kaynaklanmaktadır. Kaldı ki fotoğraf makineleri yaygınlık kazandığında bile yine çıktılar üzerinde makineyi her kullanan kişi hak iddia etmeyi sürdürmüş, kimse fotoğraf makinesine sanatçı olarak bakmayı
düşünmediği gibi makineyi insan dışında kullananlar için bile kapsamı genişletmeyi düşünmemiştir59. Bilinç,irade ve hukuken reddi zor bir otonomluk aşamasına gelinmediği sürece, DABUS ‘un da Dr. Thaler’ın gözetimindeki bir araç olarak kabul edilmesi mevcut duruma en uygun yaklaşım olacaktır.
Muhtemelen insandan çok yapay zekâ
sistemlerinin katkı sunduğu ancak açıkça bunun ortaya koyulmadığı pek çok buluş çoktan patentlenmiştir ve
patentlenmeye de devam edecektir. Fakat Dr. Thaler’ın bir iddiası oldukça yerindedir. Buluşta insandan çok
yapay zekâ sistemlerinin etkin olduğu durumlarda, makine yardımının ya da doğrudan salt makinenin çıktısı olduğunun gizlenmesi, insan buluşçular için uzun emek ve çalışma gerektiren yenilikler üzerine çalışılması
yönündeki motivasyonu azaltabilecektir.
Yapay zekâ sistemlerinin çıktılarına
yönelik ayrı bir kategori açılması önerisinin, fikir ve sanat eserleri açısından ele alındığı mevzuat örnekleri
de bulunmaktadır. Bu şekilde yeni alanların ve kategorilerin açılması her ne kadar makineler lehine
algılansa da aslında bu açılım hem teknoloji hem insan yaratıcılığının gelişmesi için büyük fırsatlar
taşımaktadır. İlk fotoğraf makinesini icat edenin fotoğrafları için övgüler ve resim odaklı görsel çıktıları esas alarak fotoğraflara yönelik yapılan tartışmalar anlamlı olsa da herkesin fotoğraf makinesine ulaşabilmesiyle kimse ressam olamadığı gibi ayrı bir sanata evrilen fotoğrafçılıkta da en kaliteli makineye sahip olmak en sanatsal fotoğrafları çekmek anlamına gelmemiştir. Sonuç olarak her alanda ve her durumda özgünlük, yaratıcılık ve emeğin onurlandırılmasında insan yine de makine karşısındaki üstünlüğünü korumayı başarmıştır.
Fikri mülkiyet hukukunun amacının yenilikleri teşvik etmek, ödüllendirmek ve teknolojinin
ilerletilmesini sağlamak olduğu düşünüldüğünde, yapay zekâ sistemlerinin etkisinin artmasıyla birlikte, bu
alan, amaç ve geleneksel yapı arasında sarsılmaya başlamaktadır. Fikri mülkiyet hukuku alanında
tartışmaya açılan yapay zekâ sistemlerinin buluş sahibi olarak kabul edilip edilmeyeceği, fikri mülkiyet
hukukunun amaçları yanında bu alana hakim olan gerçek ve ilk buluşçunun gösterilmesi ilkesi, ortaya çıkan çıktıda emek harcanması, katkı sunulması gibi uzunca bir süre insan egemenliğinde ve tekelinde olan alanları odağına aldığı için, konunun yalnızca fikri mülkiyet alanına özgü dar bir sorun olarak anlaşılması hatasına düşülmektedir. Ancak hem fikri mülkiyet hukukunun ve hem de teknolojinin gelişmesiyle birlikte diğer hukuk alanlarının yüzleştiği asıl sorun “yapay zekâ sistemlerinin hak sahibi olarak kabul edilip
edilmeyeceği”, başka bir deyişle “makine hakları”dır.
Eğer yapay zekâ sistemleri de hak sahibi olarak kabul
edilmeye değer görülecekse, bunun köklü bir dönüşüm ve zihniyet yapısı değişikliği, anayasa düzeyinde
kanunlaştırma ve hatta halkoylamasını gerektirecek bir uzlaşı sağlanmasını gerektirdiği düşünülmektedir.
Yapay zekâ sistemlerinin hak sahibi olarak kabul edilmesi de başlı başına sorunu çözmeye
yetmemektedir. Nitekim bu halde de bu sistemlerden hakları kanun gereği devralmış kabul edilecek kişilerin
kim ya da kimler olacağı meselesi ortaya çıkmaktadır. Yapay zekâ teknolojileriyle oluşturulan sistemlerin
her bileşeni çeşitli şekillerde fikri mülkiyet haklarından oluşan bir yumak gibidir.
Çalışanların buluşları çerçevesinde bile yine çalışanların çeşitli beyan yükümlülükleri ve hakları bulunduğu ortadadır. Mevcut patent sistemi içerisinde, yapay zekâ sistemlerinin hak sahipliğine yönelik hukukta köklü bir değişim gerçekleşmeden ve kapsayıcı bir hukuki çerçeve oluşturulmadan patent hukukuna dahil edilmesi uygun değildir.
Yapay zekâ sistemlerinin otonom olarak ve tasarımcısını aşarak özgün ve yenilikçi çıktılar ortaya çıkarması karşısında, yapay zekâ sistemlerinin buluş sahibi olarak kabul edilip edilemeyeceği sorusu, yargının hazırlıklı olmadığı bir meseledir. Bazı uygulama ve mevzuat arasındaki belirsizlikler, yargısal yorum yoluyla giderilebilse de bu mesele, yasama faaliyetini zorunlu kılan, uygulama ve mevzuat arasındaki derin bir uçurumu işaret etmektedir.
Sonuç olarak yapay zekâ sistemlerinin buluş sahibi olarak kabul edilmesi gerektiği düşünülüyorsa bu
kararın yargının değil yasamanın faaliyet alanına girdiğinin kabulü gerekmektedir. Ancak yine de bu
meselenin yargı alanında tartışılması ve gündemde tutulması önemlidir.
Teknoloji, geçmiş alışkanlık ve kabulleri sarstıkça, teknolojik
materyallerin hukuk sahnesindeki yerini sağlamlaştırması ve dijital dönüşümün hız kazanması da mümkün
olacaktır. John Maynard Keynes’in de vurguladığı gibi:
“Zorluk, yeni fikirlerde değil, çoğumuz gibi yetiştirilenler için zihnimizin her köşesine dal budak
salan eski fikirlerden kaçmakta yatmaktadır.”
BORA ÇINAR, Sevda, “Fikri Mülkiyet Hukukunun Dabus’la İmtihanı: Yapay Zekâ Sistemleri Buluş Sahibi Olarak Kabul
Edilebilir Mi?”, İnÜHFD, 14(2), 2023, s.387-400.
@ahaber https://t.co/0pSEZf9Fib
Makale Özeti:
METAVERSE VE SANAL GERÇEKLİK ORTAMLARI KARŞISINDA CEZA HUKUKU
İlk ortaya çıkış alanı belli meslek
gruplarına eğitim vermek olan sanal gerçeklik ortamları günümüzde ekonomik bir değer taşımakta, aynı
zamanda da bireylere pek çok imkân sunmaktadır. Sanal gerçeklik ortamına ilişkin hukuki tartışmaların
önemli bir kısmı da ceza hukukuna ilişkindir. Bu ortamda kişilerin hem kimlik hem de mekân olarak anonim olması suç işlenmesini önemli ölçüde kolaylaştırmaktadır. Bu çalışmada da ceza hukukunun sanal gerçeklik ortamlarında işlenen suçlarla mücadelede ne kadar etkili olabileceği tartışmaya açılacaktır.
Sanal gerçeklik esasen ilk defa Metaverse ile hayatımıza girmiş değildir. Sanal gerçeklik edebiyata
ve sanata sıklıkla konu olmuştur. Ray Bradburry’nin The Veldt isimli hikâyesi konuya ilişkin ilginç
örneklerden birisidir. Hikâyenin kahramanları evli bir çifttir. Çift çocukları için sanal gerçeklik ortamı
sağlayan bir çocuk odası inşa ederler. Zamanla çocuklar bu odaya o kadar bağımlı hale gelirler ki odadan
çıkmak istemezler ve ebeveynlerini tuzağa düşürerek öldürürler.Sanal gerçeklik ortamı bireylerin birbirleri ile avatar adı verilen simgelerle temas kurdukları ve esasen
ulaşılacak belli bir amacın olmadığı sanal bir alanı ifade eder. Bilgisayar oyunlarında ise sanal gerçeklik
dünyasından farklı olarak ortada bir amaç vardır ve bu amaç bireyler söz konusu oyun ortamına katılmadan
belirlenmiştir.Sanal gerçeklik ilk olarak askeri eğitim vb. amaçlarla kullanılmış daha sonra da günlük hayatlarımızın bir parçası haline gelmiştir.
Sanal gerçeklik gerçek hayattaki gibi yönetilen bir alan değildir. Kişiler diledikleri gibi davranabildiklerinden bu alan onları özgürleştirmektedir. Bu durum kişilerin toplumda öğrendikleri kontrol mekanizmasını önemli ölçüde zayıflatır.
Burada kısaca artırılmış gerçeklik kavramından da söz etmek gerekir. Sanal gerçeklik ortamında
kişinin gerçek dünya ile bağlantısı deyim yerindeyse kesilir; buna karşılık arttırılmış gerçeklikte dijital içerik
gerçek dünya üzerinde görülür. Bunun en akılda kalıcı örneği Pokemon Go oyunudur. Bu oyunda da dijital
içerikler gerçek dünyada görünür hale gelmiş idi.
Örneğin Second Life isimli sanal ortamda kullanıcılar birbirlerine cinsel olarak yakınlaşabilmektedir. Bu durumda cinsel taciz, çocuk pornografisi gibi suçların ortaya çıkıp çıkmayacağı tartışılmalıdır.Sanal gerçeklik ortamları bakımından ortaya çıkan bir diğer olasılıkta ise kullanıcılar bir şekilde programın yazılımına müdahale edebilirler ve bu yolla bir suç işleyebilirler. Örneğin bilgisayardaki verileri hukuka aykırı şekilde ele geçirebilirler yahut bilgisayarın fizik varlığına zarar verebilirler.
Esasen sanal ortamda işlenmesi halinde ceza hukuku normlarının en kolay uygulanabileceği suç tipi
dolandırıcılıktır. Zira dolandırıcılıktaki hile unsurunun çevrimiçi yahut çevrimdışı işlenmesi arasında bir fark
yoktur. Sıklıkla örneklere konu olan Second Life ortamı da dolandırıcılık fiillerine sahne olmuştur. Bu
ortama ilişkin bir blogda, ortamda kullanılan para birimi olan Linden dolarlarının yasadışı yollardan satın
alınırken dolandırıcılık fiillerinin işlendiği haberi yer almıştır. 2008 yılında ise bir kullanıcı diğerlerine
kendisini bankacı olarak tanıtmış ve kullanıcıların Second Life ATM’leri aracılığıyla Linden dolarlarını
kendisine teslim etmelerini sağlamıştır19.
Hukukumuz bakımından konu TCK m.157 ve 158 kapsamında ele alınmalıdır. TCK bakımından
dolandırıcılık suçu, hileli davranışlarla bir kimsenin aldatılarak o kişinin yahut başkasının zararına olarak
failin kendisine veya bir başkasına zarar sağlaması şeklinde işlenir. TCK m.158/1(f) uyarınca suçun bilişim
sistemlerinin araç olarak kullanılması suretiyle işlenmesi daha ağır cezayı gerektiren bir nitelikli haldir.
Örneğin sanal ortamda yer alan avatarların yahut onlara ait eşyaların kopyalanması ve başka kişiler
tarafından kullanılması halinde hukuken nasıl bir değerlendirme yapmak gerekecektir? Sanal gerçeklik
ortamındaki avatarların eşyalarına karşı işlenen fiiller bakımından iki olasılık ortaya çıkabilir: bu eşyalar
tamamen sanal ortamın özelliklerinden faydalanılarak ele geçirilebilir. Yahut gerçek hayatta işlenen bazı
fiillerle sanal gerçeklik ortamındaki varlıkların el değiştirmesi sağlanabilir.
İlk olasılığa örnek olarak Second Life uygulaması içinde copybot yazılımı ile avatarların eşyalarını
sahiplerinin rızası olmadan kopyalaması verilebilir. Yine Habbo Hotel isimli ortamda benzer fiiller
işlenmiştir. Bu ortamda bazı kullanıcılar sanal odalarda yer alan eşyaları ele geçirmek için diğer
kullanıcıların mail adreslerini hackleyerek şifrelerini yenilemişler ve onların hesaplarına girerek eşyaları
kendi hesaplarına aktarmışlardır. Bu eylemin phishing teşkil ettiği ifade edilmektedir. Ancak mahkeme
başkasına ait eşyalar üzerinde suçun işlendiği gerekçesiyle hırsızlık suçundan mahkumiyet hükmü
vermiştir.
Sanal gerçeklik ortamlarında kullanılan sanal eşyaların bir kısmı ciddi bir ekonomik değere sahip
olabilir. Hatta bunların zaman zaman satılması ve paraya çevrilmesi de söz konusu olmaktadır. Öte yandan bu eşyalar yukarıda ifade edilen maddi varlığa sahip olma kriterini karşılamamaktadırlar 28. Bu durum
uygulamada da karışıklığa neden olabilmektedir. Özellikle ilk derece mahkemeleri sanal eşyalar bakımından hırsızlık suçundan hüküm kurma yoluna gitse de Yargıtay’ın bu tür olaylarda TCK m.244 kapsamında değerlendirme yaptığı görülmektedir. Nitekim Yargıtay 13. Ceza Dairesi de bir kararında Knight Online isimli oyundaki karakterin, kullanıcının e-mail hesabına müdahale edilerek elde edilmesi ve üçüncü bir kişiye para karşılığı satılmasının TCK m.244 kapsamında değerlendirilmesi gerektiği yönünde karar
vermiştir. Dolayısıyla Yargıtay sanal ortamda işlenen bu tür fiilleri bilişim suçu olarak görmektedir.
Örneğin epilepsi yahut migren hastası olan kişilerin sanal gerçeklik ortamında parlak ışıklara maruz bırakılarak hastalıklarının tetiklenmesi
mümkündür. Dolayısıyla kasten yaralama suçunun sanal gerçeklik ortamında işlenebileceğini
düşünmekteyiz.
Sanal gerçeklik ortamı bakımından ilk bakışta kasten öldürme suçunun işlenmesinin mümkün olmayacağı sonucuna varılabilir. Öte yandan örneğin kalp hastası olduğu bilinen mağdurun kasten korkutularak ölümüne neden olunması halinde kasten öldürme suçu meydana gelmiş olacaktır.
Siber alanların bir diğer özelliği de sosyal hayatlarında diğer insanlarla iletişim kuramayan kişilerin
pek çok kişiye ulaşabilmesidir. Bu durum genelde olumlu olsa da zaman zaman deyim yerindeyse kendisine kurban arayan tehlikeli kişiler için elverişli bir ortama dönüşmektedir. Rotenburg yamyamı olarak anılan Armin Meiwers de internetten tanıştığı kişileri öldürerek yemiştir.
Nefret söylemi olarak ifade edilen eylemler bakımından da aynı esastan hareket edilebilir. Bir kişinin
sarf ettiği sözler ister gerçek dünyada ister sanal gerçeklik ortamlarında sarf edilmiş olsun nefret söylemi
teşkil edebilecektir.Hukukumuza yakın zamanda giren ısrarlı takip suçu da sanal gerçeklik ortamında işlenebilecek suçlardandır. TCK m.123/a’da ısrarlı takip şu şekilde düzenlenmiştir: “Israrlı bir şekilde; fiziken takip etmek ya da haberleşme ve iletişim araçlarını, bilişim sistemlerini
veya üçüncü kişileri kullanarak temas kurmaya çalışmak suretiyle bir kimse üzerinde ciddi bir
huzursuzluk oluşmasına ya da kendisinin veya yakınlarından birinin güvenliğinden endişe duymasına
neden olan faile altı aydan iki yıla kadar hapis cezası verilir.”
Wall’dan hareketle Laue bilişim suçlarının dört türü olduğunu ifade etmektedir:
- Siber İhlal: Hackleme/ virüs gönderme gibi yöntemlerle bir kişinin bilgisayarına müdahale edilmesi
yahut zarar verilmesini ifade eder.
- Siber Hırsızlık/Dolandırıcılık: Maddi varlığı olan yahut olmayan kaynakların banka ve kredi
kartlarının kullanılması yahut dolandırıcılık yoluyla çalınması.
- Siber Pornografi/Müstehcenlik: Çalışmanın yapıldığı tarih itibariyle internetteki web sitelerinin %2-
12’sinin pornografik içerik barındırdığı ifade edilmektedir.
- Siber Şiddet: Siber şiddetten kasıt internet ortamında ısrarlı takip ve siber zorbalık fiilleridir.
Konu TCK açısından ele alındığında TCK m.243 vd. hükümlere göre bir değerlendirme yapmak
gerekecektir. TCK’da m.243’te bilişim sistemine girme, m.244’te sistemi engelleme, bozma, verileri yok
etme veya değiştirme, m.245’te banka ve kredi kartlarının kötüye kullanılması, m.245/A’da yasak cihaz veya programlar suçları düzenlenmiştir.
Sanal ortamda suç işlemeyi kolaylaştıran en önemli unsurlardan birisi de sanal paralardır. Sanal
paranın esas itibariyle iki türü olduğu ifade edilmektedir: Tanımlanmış sanal para ve anonim sanal para.Tanımlanmış sanal paranın değişim değeri vardır ve bir kurumdan nakit olarak çekilebilir. Öte yandan
anonim sanal paranın takip edilmesi mümkün değildir. Bunlar çoğu zaman bir kurumdan çekilir ve mevcut
bankacılık kuralları nedeniyle izleri kaybolur.
Özellikle kara para aklama fiilleri sanal ortamda çok daha kolay işlenmektedir. Kara para sisteme
PayPal gibi çok az kimlik bilgisi talep eden bir vasıtayla sokulur. Bu para gerçek dünyada farklı hesaplar
vasıtasıyla çeşitli eşyalar almak için kullanılır. Daha sonra bu eşyalar satılarak paraya çevrilir. Böylece temiz
bir şekilde sisteme dâhil olur.
Sanal gerçeklik ortamlarına özgü iki ilginç örnekten söz etmek gerekecektir. Bunlardan ilki altın
madenciliği olarak anılan fiildir. Burada failler sanal gerçeklik ortamında bazı eşyalar satın alarak daha sonra bunları gerçek para karşılığı satmaktadırlar. Failin sanal ortamda oynadığı oyuna ilişkin bir hırsı yahut sosyal etkileşimde bulunma amacı yoktur. Tek istediği oyunda kazandığı/satın aldığı eşyaları satarak para
kazanmaktır. Esasen ilk bakışta bu fiilde büyük zarar meydana getirecek bir potansiyel yokmuş gibi
görünmektedir. Öte yandan bu pazar giderek büyümekte ve ekonomilere zarar verici boyuta ulaşmaktadır. Bu nedenle Çin sanal para kullanımına bir sınır getirmek zorunda kalmıştır. Burada kara para aklama söz konusu değildir fakat yine de ekonomik bir suçtur. Çin’de infaz koruma memurları hükümlüleri hücrelerinde saatlerce altın madenciliği yapmaya zorlamıştır.İkinci ilginç örnek ise Japonya’da yaşanmıştır. Maple Story isimli oyunda tanıştığı bir kişiyle aynı ortamda evlenen kişi terk edilince o kişinin hesabına girerek sanal paralarını gerçek paraya çevirir ve sanal
ortamdaki bütün izlerini siler. Sanal cinayet olarak isimlendirilen bu fiil de sanal gerçeklik ortamına özgü
suçlardan biri olarak ortaya çıkmaktadır.
Bu mecralarda işlenen suçlara ilişkin düzenleme yaparken şu hususlara dikkat etmek gerektiği ifade
edilmektedir:
- Bu suçlar düşük maliyet ve çabayla çok ciddi ekonomik zararlar meydana getirebilmektedir.
Cezaların bu hususlar dikkate alınarak belirlenmesi gerekir.
- Hizmet sağlayıcı gibi üçüncü kişilerin sorumluluğu da düzenlemelerde dikkate alınmalıdır.
- Sanal gerçeklik ortamlarında suç işlemeyi kolaylaştıran en önemli unsur anonimliktir. Söz konusu
ortamlarda anonimliğin önüne geçecek düzenlemeler (dijital imza kullanımı gibi) yapılmalıdır.
Anonimliğin önüne geçilmesi konusunda şirketlere de önlem almaları zorunluluğu getirilebilir.
Hansen ise sanal ortamda işlenen fiillere ilişkin olarak ihdas edilecek yeni suçlarda şu hususlara dikkat
edilmesi gerektiğini ifade etmektedir:
- Kanunda sanal gerçeklikten ne anlaşıldığı açıkça ifade edilmelidir.
- Mevcut hukuki durum rehber olabilir ancak bu ortamın gerektirdiği farklılıklar dikkate alınmalıdır.
- Düzenleme kapsayıcı ve gelişime açık olmalıdır.
- Kanunun amacı açıkça belirtilmelidir.
- Hukuki düzenleme yapmak ileri bir tarihe bırakılacaksa bu esnada gerekli tedbirler alınmalıdır.
- Yargılama aşamasında ortaya çıkması muhtemel sorunlar nedeniyle düzenleme yapmaktan imtina
edilmemelidir.
- Sanal gerçeklik geliştiricileri ve kanun koyucu işbirliği yapmalıdır.
Oxford Üniversitesi tarafından yapılan bir deneyde denekler sanal gerçeklik gözlükleri ile yüksek bir
yerde oldukları simülasyonuna dâhil olmuşlardır. Denekler gerçek dünyada yüksekliğe ne tepki veriyorlarsa (kalp atışlarının hızlanması, terleme gibi) aynı tepkileri vermişlerdir.Sanal gerçeklik ortamında bireylerin ne şekilde davrandığına ilişkin bir başka deneyde ünlü Milgram deneyi sanal ortamda tekrarlanmıştır. Bu deneyde denekler sanal gerçeklik ortamında olduklarını bilmelerine rağmen gerçek dünyada yapılan deneyle aynı şekilde davranmışlardır.
Yine bir başka çalışmada konutta hırsızlık suçu işleyen ve sabıkasız kişilerden oluşan iki farklı grup sanal ortamda tasarlanmış bir eve girmişler ve daha sonra gerçek bir eve girmişlerdir. Her iki araştırmadan elde edilen sonuca göre kişilerin sanal gerçeklik ortamında ve gerçek dünyada gösterdikleri davranışlar büyük ölçüde örtüşmektedir. Dolayısıyla sanal gerçeklik teknolojisinin risk değerlendirmede isabetli sonuçlar verebileceği ifade edilmektedir. Sanal gerçeklik ortamlarının ceza hukuku alanındaki bir diğer kullanımı da faillerin rehabilitasyonudur. Failleri rehabilite etmek için genelde bilişsel davranış terapisi yöntemi uygulanmaktadır ve terapi görenlerin gerçek hayatta karşılaşacakları durumlarda ne şekilde hareket edecekleri öğretilmektedir.Çalışmalarda bilişsel davranış terapisinin tekerrür oranlarında ciddi düşüşe neden olduğu ifade edilmektedir.Doktrinde sanal gerçeklik ortamının rehabilitasyon için elverişli olabileceği görüşü dile getirilmektedir. Bu ortamda kişilere gerçek hayatla örtüşen senaryolar sunularak bu durumlarda ne şekilde davranacakları ele alınabilir. Aynı şekilde bilişsel davranış terapisinde etik nedenlerle ele alınamayan bazı travmalar da sanal gerçeklik yardımıyla faile yaşatılabilir ve bu durumlardaki davranış şekilleri de irdelenebilir. Keza failler farklı cinsiyet yahut ırkı temsil eden avatarlarla kendilerini temsil ederek bu bireylerin uğradıkları davranışları deneyimleyerek empati yeteneği de kazanabilirler. Son olarak öfke kontrol problemi olan
şiddete eğilimli failler de sanal gerçeklik ortamında çeşitli senaryolar deneyimleyerek öfke kontrol
becerilerini geliştirebilirler.
Maruz kaldıkları suç nedeniyle travma sonrası stres bozukluğu yaşayan mağdurların terapisi için de sanal
gerçeklik ortamından istifade edilmektedir. Mağdurların maruz kaldıkları suça benzer senaryolar yaratılarak
tepkileri gözlemlenmektedir. Yapılan araştırmalar, sanal ortamda gerçekleşen terapinin de klasik maruz
kalma terapisi kadar etkili sonuçlar ortaya koyduğunu göstermektedir.
Sanal gerçekliğin faillerin rehabilitasyonunda kullanılması oldukça etkili bir yöntem olmakla birlikte,
kullanılacak araçlar ve personel eğitiminin ciddi bir maliyeti olacağı ifade edilmektedir.
BACAKSIZ Pınar “Metaverse ve Sanal Gerçeklik Ortamları Karşısında Ceza Hukuku”, İnÜHFD, 14(1), 2023, s.289-303.
@tvnet https://t.co/0pSEZf9Fib
Makale Özeti:
METAVERSE VE SANAL GERÇEKLİK ORTAMLARI KARŞISINDA CEZA HUKUKU
İlk ortaya çıkış alanı belli meslek
gruplarına eğitim vermek olan sanal gerçeklik ortamları günümüzde ekonomik bir değer taşımakta, aynı
zamanda da bireylere pek çok imkân sunmaktadır. Sanal gerçeklik ortamına ilişkin hukuki tartışmaların
önemli bir kısmı da ceza hukukuna ilişkindir. Bu ortamda kişilerin hem kimlik hem de mekân olarak anonim olması suç işlenmesini önemli ölçüde kolaylaştırmaktadır. Bu çalışmada da ceza hukukunun sanal gerçeklik ortamlarında işlenen suçlarla mücadelede ne kadar etkili olabileceği tartışmaya açılacaktır.
Sanal gerçeklik esasen ilk defa Metaverse ile hayatımıza girmiş değildir. Sanal gerçeklik edebiyata
ve sanata sıklıkla konu olmuştur. Ray Bradburry’nin The Veldt isimli hikâyesi konuya ilişkin ilginç
örneklerden birisidir. Hikâyenin kahramanları evli bir çifttir. Çift çocukları için sanal gerçeklik ortamı
sağlayan bir çocuk odası inşa ederler. Zamanla çocuklar bu odaya o kadar bağımlı hale gelirler ki odadan
çıkmak istemezler ve ebeveynlerini tuzağa düşürerek öldürürler.Sanal gerçeklik ortamı bireylerin birbirleri ile avatar adı verilen simgelerle temas kurdukları ve esasen
ulaşılacak belli bir amacın olmadığı sanal bir alanı ifade eder. Bilgisayar oyunlarında ise sanal gerçeklik
dünyasından farklı olarak ortada bir amaç vardır ve bu amaç bireyler söz konusu oyun ortamına katılmadan
belirlenmiştir.Sanal gerçeklik ilk olarak askeri eğitim vb. amaçlarla kullanılmış daha sonra da günlük hayatlarımızın bir parçası haline gelmiştir.
Sanal gerçeklik gerçek hayattaki gibi yönetilen bir alan değildir. Kişiler diledikleri gibi davranabildiklerinden bu alan onları özgürleştirmektedir. Bu durum kişilerin toplumda öğrendikleri kontrol mekanizmasını önemli ölçüde zayıflatır.
Burada kısaca artırılmış gerçeklik kavramından da söz etmek gerekir. Sanal gerçeklik ortamında
kişinin gerçek dünya ile bağlantısı deyim yerindeyse kesilir; buna karşılık arttırılmış gerçeklikte dijital içerik
gerçek dünya üzerinde görülür. Bunun en akılda kalıcı örneği Pokemon Go oyunudur. Bu oyunda da dijital
içerikler gerçek dünyada görünür hale gelmiş idi.
Örneğin Second Life isimli sanal ortamda kullanıcılar birbirlerine cinsel olarak yakınlaşabilmektedir. Bu durumda cinsel taciz, çocuk pornografisi gibi suçların ortaya çıkıp çıkmayacağı tartışılmalıdır.Sanal gerçeklik ortamları bakımından ortaya çıkan bir diğer olasılıkta ise kullanıcılar bir şekilde programın yazılımına müdahale edebilirler ve bu yolla bir suç işleyebilirler. Örneğin bilgisayardaki verileri hukuka aykırı şekilde ele geçirebilirler yahut bilgisayarın fizik varlığına zarar verebilirler.
Esasen sanal ortamda işlenmesi halinde ceza hukuku normlarının en kolay uygulanabileceği suç tipi
dolandırıcılıktır. Zira dolandırıcılıktaki hile unsurunun çevrimiçi yahut çevrimdışı işlenmesi arasında bir fark
yoktur. Sıklıkla örneklere konu olan Second Life ortamı da dolandırıcılık fiillerine sahne olmuştur. Bu
ortama ilişkin bir blogda, ortamda kullanılan para birimi olan Linden dolarlarının yasadışı yollardan satın
alınırken dolandırıcılık fiillerinin işlendiği haberi yer almıştır. 2008 yılında ise bir kullanıcı diğerlerine
kendisini bankacı olarak tanıtmış ve kullanıcıların Second Life ATM’leri aracılığıyla Linden dolarlarını
kendisine teslim etmelerini sağlamıştır19.
Hukukumuz bakımından konu TCK m.157 ve 158 kapsamında ele alınmalıdır. TCK bakımından
dolandırıcılık suçu, hileli davranışlarla bir kimsenin aldatılarak o kişinin yahut başkasının zararına olarak
failin kendisine veya bir başkasına zarar sağlaması şeklinde işlenir. TCK m.158/1(f) uyarınca suçun bilişim
sistemlerinin araç olarak kullanılması suretiyle işlenmesi daha ağır cezayı gerektiren bir nitelikli haldir.
Örneğin sanal ortamda yer alan avatarların yahut onlara ait eşyaların kopyalanması ve başka kişiler
tarafından kullanılması halinde hukuken nasıl bir değerlendirme yapmak gerekecektir? Sanal gerçeklik
ortamındaki avatarların eşyalarına karşı işlenen fiiller bakımından iki olasılık ortaya çıkabilir: bu eşyalar
tamamen sanal ortamın özelliklerinden faydalanılarak ele geçirilebilir. Yahut gerçek hayatta işlenen bazı
fiillerle sanal gerçeklik ortamındaki varlıkların el değiştirmesi sağlanabilir.
İlk olasılığa örnek olarak Second Life uygulaması içinde copybot yazılımı ile avatarların eşyalarını
sahiplerinin rızası olmadan kopyalaması verilebilir. Yine Habbo Hotel isimli ortamda benzer fiiller
işlenmiştir. Bu ortamda bazı kullanıcılar sanal odalarda yer alan eşyaları ele geçirmek için diğer
kullanıcıların mail adreslerini hackleyerek şifrelerini yenilemişler ve onların hesaplarına girerek eşyaları
kendi hesaplarına aktarmışlardır. Bu eylemin phishing teşkil ettiği ifade edilmektedir. Ancak mahkeme
başkasına ait eşyalar üzerinde suçun işlendiği gerekçesiyle hırsızlık suçundan mahkumiyet hükmü
vermiştir.
Sanal gerçeklik ortamlarında kullanılan sanal eşyaların bir kısmı ciddi bir ekonomik değere sahip
olabilir. Hatta bunların zaman zaman satılması ve paraya çevrilmesi de söz konusu olmaktadır. Öte yandan bu eşyalar yukarıda ifade edilen maddi varlığa sahip olma kriterini karşılamamaktadırlar 28. Bu durum
uygulamada da karışıklığa neden olabilmektedir. Özellikle ilk derece mahkemeleri sanal eşyalar bakımından hırsızlık suçundan hüküm kurma yoluna gitse de Yargıtay’ın bu tür olaylarda TCK m.244 kapsamında değerlendirme yaptığı görülmektedir. Nitekim Yargıtay 13. Ceza Dairesi de bir kararında Knight Online isimli oyundaki karakterin, kullanıcının e-mail hesabına müdahale edilerek elde edilmesi ve üçüncü bir kişiye para karşılığı satılmasının TCK m.244 kapsamında değerlendirilmesi gerektiği yönünde karar
vermiştir. Dolayısıyla Yargıtay sanal ortamda işlenen bu tür fiilleri bilişim suçu olarak görmektedir.
Örneğin epilepsi yahut migren hastası olan kişilerin sanal gerçeklik ortamında parlak ışıklara maruz bırakılarak hastalıklarının tetiklenmesi
mümkündür. Dolayısıyla kasten yaralama suçunun sanal gerçeklik ortamında işlenebileceğini
düşünmekteyiz.
Sanal gerçeklik ortamı bakımından ilk bakışta kasten öldürme suçunun işlenmesinin mümkün olmayacağı sonucuna varılabilir. Öte yandan örneğin kalp hastası olduğu bilinen mağdurun kasten korkutularak ölümüne neden olunması halinde kasten öldürme suçu meydana gelmiş olacaktır.
Siber alanların bir diğer özelliği de sosyal hayatlarında diğer insanlarla iletişim kuramayan kişilerin
pek çok kişiye ulaşabilmesidir. Bu durum genelde olumlu olsa da zaman zaman deyim yerindeyse kendisine kurban arayan tehlikeli kişiler için elverişli bir ortama dönüşmektedir. Rotenburg yamyamı olarak anılan Armin Meiwers de internetten tanıştığı kişileri öldürerek yemiştir.
Nefret söylemi olarak ifade edilen eylemler bakımından da aynı esastan hareket edilebilir. Bir kişinin
sarf ettiği sözler ister gerçek dünyada ister sanal gerçeklik ortamlarında sarf edilmiş olsun nefret söylemi
teşkil edebilecektir.Hukukumuza yakın zamanda giren ısrarlı takip suçu da sanal gerçeklik ortamında işlenebilecek suçlardandır. TCK m.123/a’da ısrarlı takip şu şekilde düzenlenmiştir: “Israrlı bir şekilde; fiziken takip etmek ya da haberleşme ve iletişim araçlarını, bilişim sistemlerini
veya üçüncü kişileri kullanarak temas kurmaya çalışmak suretiyle bir kimse üzerinde ciddi bir
huzursuzluk oluşmasına ya da kendisinin veya yakınlarından birinin güvenliğinden endişe duymasına
neden olan faile altı aydan iki yıla kadar hapis cezası verilir.”
Wall’dan hareketle Laue bilişim suçlarının dört türü olduğunu ifade etmektedir:
- Siber İhlal: Hackleme/ virüs gönderme gibi yöntemlerle bir kişinin bilgisayarına müdahale edilmesi
yahut zarar verilmesini ifade eder.
- Siber Hırsızlık/Dolandırıcılık: Maddi varlığı olan yahut olmayan kaynakların banka ve kredi
kartlarının kullanılması yahut dolandırıcılık yoluyla çalınması.
- Siber Pornografi/Müstehcenlik: Çalışmanın yapıldığı tarih itibariyle internetteki web sitelerinin %2-
12’sinin pornografik içerik barındırdığı ifade edilmektedir.
- Siber Şiddet: Siber şiddetten kasıt internet ortamında ısrarlı takip ve siber zorbalık fiilleridir.
Konu TCK açısından ele alındığında TCK m.243 vd. hükümlere göre bir değerlendirme yapmak
gerekecektir. TCK’da m.243’te bilişim sistemine girme, m.244’te sistemi engelleme, bozma, verileri yok
etme veya değiştirme, m.245’te banka ve kredi kartlarının kötüye kullanılması, m.245/A’da yasak cihaz veya programlar suçları düzenlenmiştir.
Sanal ortamda suç işlemeyi kolaylaştıran en önemli unsurlardan birisi de sanal paralardır. Sanal
paranın esas itibariyle iki türü olduğu ifade edilmektedir: Tanımlanmış sanal para ve anonim sanal para.Tanımlanmış sanal paranın değişim değeri vardır ve bir kurumdan nakit olarak çekilebilir. Öte yandan
anonim sanal paranın takip edilmesi mümkün değildir. Bunlar çoğu zaman bir kurumdan çekilir ve mevcut
bankacılık kuralları nedeniyle izleri kaybolur.
Özellikle kara para aklama fiilleri sanal ortamda çok daha kolay işlenmektedir. Kara para sisteme
PayPal gibi çok az kimlik bilgisi talep eden bir vasıtayla sokulur. Bu para gerçek dünyada farklı hesaplar
vasıtasıyla çeşitli eşyalar almak için kullanılır. Daha sonra bu eşyalar satılarak paraya çevrilir. Böylece temiz
bir şekilde sisteme dâhil olur.
Sanal gerçeklik ortamlarına özgü iki ilginç örnekten söz etmek gerekecektir. Bunlardan ilki altın
madenciliği olarak anılan fiildir. Burada failler sanal gerçeklik ortamında bazı eşyalar satın alarak daha sonra bunları gerçek para karşılığı satmaktadırlar. Failin sanal ortamda oynadığı oyuna ilişkin bir hırsı yahut sosyal etkileşimde bulunma amacı yoktur. Tek istediği oyunda kazandığı/satın aldığı eşyaları satarak para
kazanmaktır. Esasen ilk bakışta bu fiilde büyük zarar meydana getirecek bir potansiyel yokmuş gibi
görünmektedir. Öte yandan bu pazar giderek büyümekte ve ekonomilere zarar verici boyuta ulaşmaktadır. Bu nedenle Çin sanal para kullanımına bir sınır getirmek zorunda kalmıştır. Burada kara para aklama söz konusu değildir fakat yine de ekonomik bir suçtur. Çin’de infaz koruma memurları hükümlüleri hücrelerinde saatlerce altın madenciliği yapmaya zorlamıştır.İkinci ilginç örnek ise Japonya’da yaşanmıştır. Maple Story isimli oyunda tanıştığı bir kişiyle aynı ortamda evlenen kişi terk edilince o kişinin hesabına girerek sanal paralarını gerçek paraya çevirir ve sanal
ortamdaki bütün izlerini siler. Sanal cinayet olarak isimlendirilen bu fiil de sanal gerçeklik ortamına özgü
suçlardan biri olarak ortaya çıkmaktadır.
Bu mecralarda işlenen suçlara ilişkin düzenleme yaparken şu hususlara dikkat etmek gerektiği ifade
edilmektedir:
- Bu suçlar düşük maliyet ve çabayla çok ciddi ekonomik zararlar meydana getirebilmektedir.
Cezaların bu hususlar dikkate alınarak belirlenmesi gerekir.
- Hizmet sağlayıcı gibi üçüncü kişilerin sorumluluğu da düzenlemelerde dikkate alınmalıdır.
- Sanal gerçeklik ortamlarında suç işlemeyi kolaylaştıran en önemli unsur anonimliktir. Söz konusu
ortamlarda anonimliğin önüne geçecek düzenlemeler (dijital imza kullanımı gibi) yapılmalıdır.
Anonimliğin önüne geçilmesi konusunda şirketlere de önlem almaları zorunluluğu getirilebilir.
Hansen ise sanal ortamda işlenen fiillere ilişkin olarak ihdas edilecek yeni suçlarda şu hususlara dikkat
edilmesi gerektiğini ifade etmektedir:
- Kanunda sanal gerçeklikten ne anlaşıldığı açıkça ifade edilmelidir.
- Mevcut hukuki durum rehber olabilir ancak bu ortamın gerektirdiği farklılıklar dikkate alınmalıdır.
- Düzenleme kapsayıcı ve gelişime açık olmalıdır.
- Kanunun amacı açıkça belirtilmelidir.
- Hukuki düzenleme yapmak ileri bir tarihe bırakılacaksa bu esnada gerekli tedbirler alınmalıdır.
- Yargılama aşamasında ortaya çıkması muhtemel sorunlar nedeniyle düzenleme yapmaktan imtina
edilmemelidir.
- Sanal gerçeklik geliştiricileri ve kanun koyucu işbirliği yapmalıdır.
Oxford Üniversitesi tarafından yapılan bir deneyde denekler sanal gerçeklik gözlükleri ile yüksek bir
yerde oldukları simülasyonuna dâhil olmuşlardır. Denekler gerçek dünyada yüksekliğe ne tepki veriyorlarsa (kalp atışlarının hızlanması, terleme gibi) aynı tepkileri vermişlerdir.Sanal gerçeklik ortamında bireylerin ne şekilde davrandığına ilişkin bir başka deneyde ünlü Milgram deneyi sanal ortamda tekrarlanmıştır. Bu deneyde denekler sanal gerçeklik ortamında olduklarını bilmelerine rağmen gerçek dünyada yapılan deneyle aynı şekilde davranmışlardır.
Yine bir başka çalışmada konutta hırsızlık suçu işleyen ve sabıkasız kişilerden oluşan iki farklı grup sanal ortamda tasarlanmış bir eve girmişler ve daha sonra gerçek bir eve girmişlerdir. Her iki araştırmadan elde edilen sonuca göre kişilerin sanal gerçeklik ortamında ve gerçek dünyada gösterdikleri davranışlar büyük ölçüde örtüşmektedir. Dolayısıyla sanal gerçeklik teknolojisinin risk değerlendirmede isabetli sonuçlar verebileceği ifade edilmektedir. Sanal gerçeklik ortamlarının ceza hukuku alanındaki bir diğer kullanımı da faillerin rehabilitasyonudur. Failleri rehabilite etmek için genelde bilişsel davranış terapisi yöntemi uygulanmaktadır ve terapi görenlerin gerçek hayatta karşılaşacakları durumlarda ne şekilde hareket edecekleri öğretilmektedir.Çalışmalarda bilişsel davranış terapisinin tekerrür oranlarında ciddi düşüşe neden olduğu ifade edilmektedir.Doktrinde sanal gerçeklik ortamının rehabilitasyon için elverişli olabileceği görüşü dile getirilmektedir. Bu ortamda kişilere gerçek hayatla örtüşen senaryolar sunularak bu durumlarda ne şekilde davranacakları ele alınabilir. Aynı şekilde bilişsel davranış terapisinde etik nedenlerle ele alınamayan bazı travmalar da sanal gerçeklik yardımıyla faile yaşatılabilir ve bu durumlardaki davranış şekilleri de irdelenebilir. Keza failler farklı cinsiyet yahut ırkı temsil eden avatarlarla kendilerini temsil ederek bu bireylerin uğradıkları davranışları deneyimleyerek empati yeteneği de kazanabilirler. Son olarak öfke kontrol problemi olan
şiddete eğilimli failler de sanal gerçeklik ortamında çeşitli senaryolar deneyimleyerek öfke kontrol
becerilerini geliştirebilirler.
Maruz kaldıkları suç nedeniyle travma sonrası stres bozukluğu yaşayan mağdurların terapisi için de sanal
gerçeklik ortamından istifade edilmektedir. Mağdurların maruz kaldıkları suça benzer senaryolar yaratılarak
tepkileri gözlemlenmektedir. Yapılan araştırmalar, sanal ortamda gerçekleşen terapinin de klasik maruz
kalma terapisi kadar etkili sonuçlar ortaya koyduğunu göstermektedir.
Sanal gerçekliğin faillerin rehabilitasyonunda kullanılması oldukça etkili bir yöntem olmakla birlikte,
kullanılacak araçlar ve personel eğitiminin ciddi bir maliyeti olacağı ifade edilmektedir.
BACAKSIZ Pınar “Metaverse ve Sanal Gerçeklik Ortamları Karşısında Ceza Hukuku”, İnÜHFD, 14(1), 2023, s.289-303.
Last Seen Users on Sotwe
BlowJobsTvEs
Seen from Turkey
موسڪوャ¹🖤
Seen from Saudi Arabia
Zeeshan Khan
Seen from Turkey
.
Seen from Switzerland
Larry Downblouse
Seen from Turkey
App Phitchayapha
Seen from Thailand
mymo
Seen from Egypt
Blue Kemonom
Seen from United Kingdom
Hijab NSFW 700
Seen from Indonesia
TooGassyTy- :📍DALLAS 📍
Most Popular Users
Elon Musk
@elonmusk
240.2M followers
Barack Obama
@barackobama
119.3M followers
Donald J. Trump
@realdonaldtrump
111.6M followers
Cristiano Ronaldo
@cristiano
109.4M followers
Narendra Modi
@narendramodi
106.9M followers
Rihanna
@rihanna
97.4M followers
NASA
@nasa
92.1M followers
Justin Bieber
@justinbieber
90.7M followers
KATY PERRY
@katyperry
87.1M followers
Taylor Swift
@taylorswift13
80.9M followers
Lady Gaga
@ladygaga
72.4M followers
Kim Kardashian
@kimkardashian
69.5M followers
Virat Kohli
@imvkohli
69M followers
YouTube
@youtube
68.6M followers
Bill Gates
@billgates
63.5M followers
The Ellen Show
@theellenshow
62.5M followers
CNN
@cnn
61.9M followers
Neymar Jr
@neymarjr
61.6M followers
X
@x
60.9M followers
Selena Gomez
@selenagomez
60.2M followers