Oyunlarda Çocukların Kişisel Verileri Nasıl Korunur? KVKK, GDPR, COPPA ve Ebeveyn Onayı
Çocuklara yönelik mobil oyunlarda hangi kişisel veriler işlenebilir? Türkiye'de KVKK, Avrupa Birliği'nde GDPR ve DSA, ABD'de COPPA kapsamında yaş doğrulama, ebeveyn izni, reklam ve analitik SDK'ları, profilleme, oyun içi satın alma ve veri güvenliğini karşılaştırmalı olarak inceliyorum.
Bir mobil oyun stüdyosu, çocuklara yönelik eğlenceli ve ücretsiz bir oyun geliştirdiğini düşünelim. Oyunda karakter oluşturma, seviye atlama, arkadaş ekleme ve reklam izleyerek ödül kazanma gibi özellikler bulunuyor.
Oyun Google Play ve App Store üzerinden yayımlanıyor. Türkiye'den, Avrupa Birliği ülkelerinden ve Amerika Birleşik Devletleri'nden oyuncular oyunu indirmeye başlıyor.
Ancak stüdyo, oyunun ücretsiz olması nedeniyle kişisel veri koruma yükümlülüklerinin sınırlı olduğunu düşünüyor.
Geliştirme ekibi bir reklam SDK'sı kullanıyor, analitik araçlarıyla oyuncuların davranışlarını ölçüyor ve kullanıcıların yaşlarını yalnızca kayıt ekranındaki bir kutucukla soruyor.
Oyun çocuklara yönelik olduğu halde ilk açılışta cihaz tanımlayıcıları reklam ağına aktarılabiliyor.
Peki, bu uygulamalar hukuka uygun mu?
Bir oyunun ücretsiz olması, çocukların kişisel verilerinin hukuken korunması gerekliliğini ortadan kaldırmaz. Çocuklara yönelik bir oyunda veri toplanması, reklam gösterilmesi, yaş doğrulama yapılması ve ebeveyn onayı alınması; hedef pazarın mevzuatına, oyunun gerçek özelliklerine ve gerçekleştirilen veri işleme faaliyetlerine göre değerlendirilmelidir.
Özellikle Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği'nde Genel Veri Koruma Tüzüğü (GDPR) ve ABD'de Children's Online Privacy Protection Act (COPPA) kapsamındaki kurallar arasında önemli farklar bulunmaktadır.
Ayrıca Google Play ve Apple App Store'un çocuklara yönelik uygulamalara ilişkin platform kuralları, kanuni yükümlülüklere ek teknik ve ticari şartlar getirebilir.
Bu rehberde çocukların oyunlardaki kişisel verilerinin korunmasını, yaş doğrulama yöntemlerini, ebeveyn onayını, reklam ve analitik SDK'larını, oyun içi sohbet sistemlerini, kişiselleştirilmiş reklamları, oyun içi satın almaları ve uluslararası veri aktarımını karşılaştırmalı olarak ele alıyorum.
1. Oyunlarda Çocukların Kişisel Verilerinin Korunması Neden Önemlidir?
Dijital oyunlar yalnızca eğlence amacıyla kullanılmaz. Pek çok oyun, teknik işleyişi ve ticari modeli gereği kullanıcıların davranışları hakkında bilgi toplar.
Örneğin bir mobil oyun:
Oyuncunun kullanıcı adını,
Cihaz tanımlayıcısını,
IP adresini,
Oyun içindeki hareketlerini,
Satın alma geçmişini,
Arkadaş ve sohbet kayıtlarını,
Hata raporlarını,
Reklam etkileşimlerini,
Bazı durumlarda konum veya ses verilerini
işleyebilir.
Bu bilgiler, belirli veya belirlenebilir bir çocukla ilişkilendirilebildikleri ölçüde kişisel veri niteliğinde olabilir.
Çocukların kişisel verileri bakımından özel dikkat gösterilmesinin nedeni, çocukların dijital faaliyetlerin sonuçlarını, veri paylaşımının uzun vadeli etkilerini ve reklam mekanizmalarını yetişkinlerle aynı düzeyde değerlendiremeyebilmeleridir.
Örneğin bir çocuk, ücretsiz oyun içi ödül kazanmak için reklam izlerken davranışlarının reklam profili oluşturmak amacıyla kullanılabileceğinin farkında olmayabilir.
Bu nedenle oyun stüdyolarının yalnızca oyunun içeriğini değil, veri işleme mimarisini de hedef yaş grubuna uygun tasarlaması önemlidir.
2. Oyunlarda Hangi Bilgiler Kişisel Veri Sayılır?
Kişisel veri yalnızca ad, soyad veya telefon numarasından ibaret değildir.
KVKK m.3 kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Oyun teknolojilerinde kişisel veri niteliği taşıyabilecek bilgiler çok çeşitli olabilir.
Oyuncu hesabı bilgileri
Kullanıcı adı, e-posta adresi, profil fotoğrafı ve hesapla ilişkili diğer bilgiler somut koşullarda kişisel veri olabilir.
Cihaz tanımlayıcıları
Belirli cihaz veya oyuncuyu zaman içinde ayırt etmeyi sağlayan tanımlayıcılar, hukuki koşullara göre kişisel veri kapsamına girebilir.
IP adresi
IP adresinin kişisel veri niteliği, gerçek kişiyle ilişkilendirilebilirlik bakımından değerlendirilmelidir.
Oyun davranışları
Oynama süresi, hangi seviyelerin tamamlandığı, hangi karakterlerin kullanıldığı, hangi ürünlerin satın alındığı gibi bilgiler belirli kullanıcıyla ilişkilendirilebiliyorsa kişisel veri işleme faaliyeti oluşturabilir.
Ses ve görüntü
Çocuğun mikrofon, kamera, profil resmi veya oyun içi iletişim araçları üzerinden paylaştığı ses ve görüntüler kişisel veri içerebilir.
Konum bilgisi
Özellikle hassas konum verileri çocukların güvenliği açısından önemli riskler oluşturabilir.
Ancak bir verinin kişisel veri olması, her durumda KVKK m.6 kapsamındaki özel nitelikli kişisel veri olduğu anlamına gelmez. Bu iki kavram ayrı değerlendirilmelidir.
3. Türkiye'de Çocukların Kişisel Verileri Hangi Kanunla Korunur?
Türkiye'de çocukların kişisel verilerinin korunmasında temel düzenleme 6698 sayılı KVKK'dır.
Özellikle:
m.4: Kişisel verilerin işlenmesinde genel ilkeler,
m.5: Kişisel verilerin işlenme şartları,
m.6: Özel nitelikli kişisel veriler,
m.7: Silme, yok etme ve anonim hale getirme,
m.9: Yurt dışına veri aktarımı,
m.10: Aydınlatma yükümlülüğü,
m.11: İlgili kişinin hakları,
m.12: Veri güvenliği
önem taşır.
Ancak çocukların kişisel verileri bakımından her sorunun yalnızca KVKK'ya bakılarak çözüleceği söylenemez.
Çocuğun fiil ehliyeti, yasal temsil ve velayet ilişkileri bakımından Türk Medeni Kanunu'nun ilgili hükümleri de önem taşıyabilir.
Ayrıca oyun içi satın alma ve abonelik işlemleri bakımından tüketici hukuku uygulanabilir.
Türkiye'de 13 yaş altındaki her oyuncu için ebeveyn onayı zorunlu mu?
Türkiye'de KVKK kapsamında, bütün dijital oyunlardaki bütün veri işleme faaliyetlerine uygulanacak genel bir “13 yaş altı ebeveyn onayı” kuralı bulunmamaktadır.
COPPA'daki 13 yaş sınırı, Türk hukukuna otomatik olarak taşınmamalıdır.
Buna karşılık Türkiye'de çocukların kişisel verilerinin işlenmesinde çocuğun yaşı, ayırt etme gücü, ilgili işlemin niteliği, veri işleme şartı ve yasal temsil ilişkisi önem taşıyabilir.
18 yaşından küçük herkesin bütün verileri için mutlaka veli onayı mı gerekir?
Bu şekilde genel ve kesin bir sonuç da doğru değildir.
Türk Medeni Kanunu kapsamında erginlik ve fiil ehliyeti kuralları ile kişisel veri işleme faaliyetinin niteliği birlikte değerlendirilmelidir.
KVKK'nın kendisi, bütün veri işleme faaliyetleri için tek tip ve ayrıntılı bir dijital ebeveyn onayı rejimi öngörmemektedir.
Dolayısıyla Türkiye'deki oyunlar için doğrudan COPPA veya GDPR yaş sınırını esas alarak hukuki uyum sağlandığı varsayılamaz.
4. Çocuklara Yönelik Her Oyun Aynı Hukuki Kurallara mı Tabi?
Hayır.
Bir oyun yalnızca yetişkinleri hedefleyebilir, doğrudan çocuklar için tasarlanmış olabilir veya farklı yaş gruplarından oyunculara birlikte sunulabilir.
Bu durum özellikle COPPA ve uygulama mağazası politikaları bakımından önemlidir.
Çocuklara yönelik oyun
Örneğin 6–10 yaş grubu için hazırlanmış eğitici bir mobil oyun doğrudan çocukları hedefliyor olabilir.
Genel kitle oyunu
Örneğin yetişkin oyunculara yönelik karmaşık bir strateji oyunu genel veya yetişkin kullanıcı kitlesini hedefleyebilir.
Karma yaş grubu oyunu
Örneğin hem gençlerin hem de yetişkinlerin oynadığı çok oyunculu bir oyun, farklı yaş kategorilerine yönelik özellikler içerebilir.
Hedef kitlenin belirlenmesinde yalnızca geliştiricinin “Bu oyun yetişkinler içindir.” demesi yeterli olmayabilir.
Oyunun görsel tasarımı, karakterleri, pazarlama dili, gerçek kullanıcı kitlesi ve platform sınıflandırmaları gibi unsurlar da önem taşıyabilir.
5. Oyunun Yaş Derecelendirmesi ile KVKK Uyumlu Olması Aynı Şey midir?
Hayır.
PEGI ve ESRB gibi derecelendirme sistemleri, oyunun içeriğinin farklı yaş gruplarına uygunluğunun değerlendirilmesinde kullanılır.
Örneğin oyundaki şiddet, korku, dil ve belirli içerik unsurları yaş derecelendirmesini etkileyebilir.
Buna karşılık veri koruma mevzuatı, oyuncuların kişisel verilerinin nasıl işlendiğiyle ilgilidir.
PEGI 3 oyunu otomatik olarak KVKK'ya uygun mudur?
Hayır.
Bir oyunun küçük çocuklar için uygun içerik taşıması, reklam SDK'larının veya kullanıcı verisi işlemenin hukuka uygun olduğu anlamına gelmez.
App Store yaş derecelendirmesi ebeveyn rızası yerine geçer mi?
Hayır.
Uygulama mağazasının yaş kategorisi ile kişisel veri işlenmesine yönelik gerekli hukuki onaylar farklıdır.
Ayrıca platformun çocuk uygulamalarına ilişkin kendi teknik koşulları bulunabilir.
6. GDPR Çocukların Kişisel Verilerini Nasıl Korur?
Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), çocukların kişisel verilerinin korunmasına ilişkin özel hükümler ve ilkeler içermektedir.
GDPR'ın 38. gerekçesi, çocukların kişisel verileri konusunda özel korunmaya ihtiyaç duyabileceklerini vurgulamaktadır.
Bunun yanında GDPR m.8, bilgi toplumu hizmetlerinin doğrudan çocuklara sunulması ve belirli veri işleme faaliyetlerinde rızaya dayanılması halinde özel bir düzenleme getirir.
GDPR m.8'de yaş sınırı kaçtır?
GDPR m.8'de temel yaş sınırı 16'dır.
Ancak Avrupa Birliği üye devletleri bu sınırı 13 yaşından aşağı olmamak üzere daha düşük belirleyebilir.
Bu nedenle ilgili üye devletin mevzuatı kontrol edilmelidir.
Bütün Avrupa Birliği ülkelerinde 13 yaş sınırı mı var?
Hayır.
GDPR kapsamında üye devletlerin çocukların rızasına ilişkin yaş sınırları farklılık gösterebilir.
Örneğin aynı oyunun farklı Avrupa ülkelerinde sunulması halinde ilgili yerel yaş sınırlarının ayrıca değerlendirilmesi gerekebilir.
GDPR m.8 bütün veri işleme faaliyetlerinde ebeveyn onayı mı istiyor?
Hayır.
GDPR m.8, doğrudan çocuğa sunulan bilgi toplumu hizmetlerinde veri işlemenin GDPR m.6/1-a kapsamındaki rızaya dayandığı durumlarla ilgilidir.
Dolayısıyla bu madde, GDPR kapsamındaki bütün çocuk verisi işlemlerinde tek ve zorunlu hukuki sebebin ebeveyn rızası olduğu anlamına gelmez.
Ancak başka bir veri işleme şartına dayanılması düşünüldüğünde bunun gerçekten uygulanabilir ve çocukların haklarıyla uyumlu olup olmadığı ayrıca değerlendirilmelidir.
Resmî kaynak: Avrupa Komisyonu – Çocukların Kişisel Verilerine İlişkin Koruma
7. GDPR Kapsamında Ebeveyn Onayı Nasıl Doğrulanır?
GDPR m.8/2, veri sorumlusunun mevcut teknolojiyi dikkate alarak rızanın gerçekten çocuğun ebeveyn sorumluluğunu taşıyan kişi tarafından verildiğini doğrulamak için makul çaba göstermesini öngörmektedir.
Ancak bu düzenleme bütün oyunlarda her ebeveynin kimlik belgesinin kopyasının alınması gerektiği anlamına gelmez.
Ebeveynin e-posta adresini istemek yeterli mi?
Bu sorunun yanıtı uygulanan hukuki rejime, verinin niteliğine ve kullanılan doğrulama mekanizmasına bağlıdır.
Yalnızca bir e-posta adresi girilmesi, ilgili kişinin gerçekten ebeveyn veya yetkili yasal temsilci olduğunu her durumda kanıtlamayabilir.
Ebeveyn doğrulaması yapılırken hangi veriler toplanabilir?
Doğrulama için gerekli bilgiler, veri minimizasyonu ve güvenlik ilkeleri gözetilerek belirlenmelidir.
Örneğin yalnızca belirli yaş eşiğinin aşıldığının teyidi yeterliyse tam kimlik belgesinin veya gereksiz biyometrik verilerin toplanması ayrıca sorgulanmalıdır.
Önemli olan, hukuken gerekli doğrulamanın çocuk hakkında aşırı veri toplanmasına dönüşmemesidir.
8. COPPA Nedir? ABD'de Çocuklara Yönelik Oyunları Nasıl Etkiler?
Children's Online Privacy Protection Act (COPPA), ABD'de çocukların çevrim içi kişisel verilerinin korunmasına ilişkin özel düzenlemedir.
COPPA ve ilgili FTC kuralları, belirli koşullarda 13 yaşından küçük çocuklara yönelik çevrim içi hizmetleri kapsamaktadır.
Mobil oyunlar ve diğer çevrim içi uygulamalar da bu rejim açısından önem taşıyabilir.
COPPA hangi oyunlara uygulanır?
Genel olarak:
ABD'deki 13 yaş altı çocuklara yönelik çevrim içi hizmetler,
13 yaşından küçük çocuklardan kişisel veri topladığını fiilen bilen ve ilgili şartları taşıyan genel kitle hizmetleri,
İlgili diğer kapsam koşullarını karşılayan hizmetler
bakımından COPPA yükümlülükleri gündeme gelebilir.
Ancak bir oyunun Türkiye'de geliştirilmiş olması, COPPA'nın uygulanabilirliği değerlendirmesini kendiliğinden ortadan kaldırmaz.
Özellikle ABD'deki çocukları hedefleyen faaliyetler bakımından sınır ötesi uygulama önem taşıyabilir.
COPPA'da temel yükümlülükler nelerdir?
Kapsama giren faaliyetlerde, istisnalar saklı kalmak üzere:
Ebeveynlere gerekli bildirimlerin yapılması,
Doğrulanabilir ebeveyn onayının alınması,
Kişisel veri toplama ve kullanma sınırlarına uyulması,
Ebeveynlerin ilgili haklarının sağlanması,
Uygun veri güvenliği tedbirlerinin alınması,
Verilerin gereğinden uzun tutulmaması
gündeme gelir.
13 yaşından büyük olmak COPPA ve bütün veri koruma yükümlülüklerini sona erdirir mi?
Hayır.
COPPA'nın genel yaş kapsamı ile GDPR, KVKK, uygulama mağazası politikaları ve ilgili diğer mevzuatın kapsamı aynı değildir.
Örneğin 15 yaşındaki oyuncu COPPA'nın 13 yaş altına ilişkin genel rejimine girmese de GDPR ve ilgili başka düzenlemeler kapsamında özel koruma gerektirebilir.
9. 2025 COPPA Değişiklikleri 2026'da Neden Önemli?
FTC, COPPA kuralında 2025 yılında önemli değişiklikler yapmıştır.
22 Nisan 2025 tarihinde yayımlanan değişikliklerin büyük bölümü bakımından uyum için son tarih 22 Nisan 2026 olarak belirlenmiştir. Bazı hükümler için farklı tarihler öngörülmüştür.
Dolayısıyla 2026 yılında ABD pazarına yönelik çocuk oyunlarını değerlendiren stüdyoların yalnızca eski COPPA açıklamalarına dayanması yeterli değildir.
Hedeflenmiş reklam için ne değişti?
2025 değişiklikleri kapsamında, belirli üçüncü taraf veri paylaşımları ve hedeflenmiş reklam faaliyetleri bakımından ayrı doğrulanabilir ebeveyn onayına ilişkin düzenleme getirilmiştir.
Bu nedenle yalnızca oyunu kullanmaya ilişkin genel onayın alınmış olması, üçüncü taraf reklam ağıyla gerçekleştirilen bütün veri paylaşımlarının otomatik olarak hukuka uygun olduğu anlamına gelmez.
Veri saklama açısından ne değişti?
FTC düzenlemesi, kişisel verilerin belirli amaç için makul olarak gerekli olandan uzun süre saklanmaması üzerinde durmaktadır.
Çocuk kullanıcıların kişisel bilgilerinin belirsiz ve sınırsız süre saklanması hukuki risk doğurabilir.
Biyometrik veriler bakımından ne değişti?
2025 değişiklikleri, belirli biyometrik tanımlayıcıları ve resmî kimlik tanımlayıcılarını kişisel bilgi tanımında daha açık biçimde ele almıştır.
Örneğin çocuk oyuncuların kimlik veya yaş doğrulaması için yüz görüntülerinin işlenmesi, ayrıca dikkatli değerlendirme gerektirebilir.
Resmî kaynak: FTC – 2025 COPPA Kural Değişiklikleri
10. COPPA Kapsamında Yaş Doğrulama İçin 2026'da Yeni Bir Gelişme Var mı?
Evet.
FTC, Şubat 2026'da yaş doğrulama teknolojilerinin kullanımına ilişkin bir politika açıklaması yayımlamıştır.
Açıklamada, genel kitleye veya karma yaş grubuna yönelik belirli hizmetlerin yalnızca kullanıcının yaşını belirlemek amacıyla kişisel veri işlediği durumlarda, açıklanan şartlara uyulması halinde FTC'nin COPPA kapsamında yaptırım uygulamama yaklaşımı duyurulmuştur.
Ancak bu açıklama, bütün yaş doğrulama işlemlerinin sınırsız biçimde serbest bırakıldığı anlamına gelmez.
Özellikle:
Verilerin yalnızca yaş doğrulama amacıyla kullanılması,
Gerekli süreden uzun tutulmaması,
Uygun güvenlik tedbirleri alınması,
Üçüncü taraflarla veri paylaşımının sınırlandırılması,
Doğrulama yönteminin yeterliliğinin değerlendirilmesi
gibi koşullar önemlidir.
Ayrıca bu politika açıklaması, COPPA'nın bütün ebeveyn onayı ve veri koruma yükümlülüklerini ortadan kaldıran genel bir kanun değişikliği değildir.
Resmî kaynak: FTC – Şubat 2026 Yaş Doğrulama Politikası
11. Yaş Doğrulama (Age Verification) ile Yaş Tahmini (Age Estimation) Aynı Şey midir?
Hayır.
Yaş doğrulama ve yaş tahmini farklı teknik yöntemlerdir.
Age Verification, kullanıcının belirli yaş koşulunu karşılayıp karşılamadığının doğrulanmasına yönelik yöntemleri ifade edebilir.
Age Estimation ise çeşitli göstergeler üzerinden kullanıcının yaşının veya yaş aralığının tahmin edilmesiyle ilgilidir.
Bu yöntemlerin hukuki uygunluğu somut hizmete ve kullanılan teknolojilere göre değerlendirilmelidir.
Her oyunda kimlik kartıyla yaş doğrulaması yapılmalı mı?
Hayır.
Bütün oyunlar için tek tip ve kimlik belgesi yüklemeye dayalı yaş doğrulaması zorunluluğu bulunduğu söylenemez.
Örneğin küçük çocuklara yönelik bir oyunla yetişkinlere yönelik sınırlı erişimli bir hizmetin riskleri aynı olmayabilir.
Age Gate nedir?
Age Gate, kullanıcının belirli yaş kategorisine girip girmediğini belirlemeyi amaçlayan giriş veya kayıt mekanizmasıdır.
Ancak yalnızca yaş sorusunun bulunması, ilgili bütün hukuki yükümlülüklerin yerine getirildiğini göstermez.
Nötr yaş ekranı neden önemli?
Özellikle çocuk oyunculara hangi yaşın seçilmesi gerektiğini ima eden tasarımlar, yaşın doğru belirlenmesini engelleyebilir.
Örneğin “13 yaşından küçüksen oyunun en güzel özelliklerini kullanamazsın” şeklindeki yönlendirme, çocuğu gerçek dışı yaş beyanına teşvik edebilir.
Bu nedenle yaş tespit mekanizmasının manipülatif olmaması önemlidir.
Yaş doğrulama verileri reklam amacıyla kullanılabilir mi?
Yaş doğrulama için toplanan bilgilerin başka amaçlarla kullanılması, veri koruma ve ilgili özel düzenlemeler bakımından ayrıca değerlendirilmelidir.
Yaş tespiti amacıyla aşırı veri toplanması veya bu verilerin reklam profiline dönüştürülmesi özel riskler doğurabilir.
12. Oyun Açılmadan Önce Reklam SDK'sı Veri Topluyorsa Ne Olur?
Mobil oyunlarda en önemli veri koruma risklerinden biri, oyun ilk kez açılır açılmaz üçüncü taraf SDK'ların otomatik çalışmaya başlamasıdır.
Örneğin oyun stüdyosu bir reklam SDK'sı, analitik aracı veya crash reporting sistemi kullanıyor olabilir.
Bu araçlar, teknik yapılarına göre:
Cihaz tanımlayıcıları,
IP adresi,
Kullanım ve oturum bilgileri,
Reklam etkileşimleri,
Hata kayıtları,
Belirli uygulama olayları
işleyebilir.
Çocuk henüz yaşını belirtmeden veri aktarılması sorun olur mu?
Somut durumda olabilir.
Örneğin oyun çocuklara yönelikse ve ilgili SDK daha yaş veya ebeveyn onayı mekanizması tamamlanmadan kişisel verileri üçüncü taraf reklam ağına aktarıyorsa COPPA, GDPR veya KVKK bakımından hukuki inceleme gerekebilir.
Burada önemli olan yalnızca onay ekranının bulunması değil, veri akışının gerçekten ne zaman başladığıdır.
SDK'ların gizlilik sözleşmesini kabul etmek yeterli mi?
Hayır.
SDK sağlayıcısının kendi gizlilik politikası bulunması, oyun stüdyosunun bütün veri işleme yükümlülüklerinin kendiliğinden yerine getirildiği anlamına gelmez.
Oyuncunun verilerini kimin, hangi amaçla ve hangi hukuki sıfatla işlediği değerlendirilmelidir.
Çocuk oyuncular için ayrı SDK yapılandırması yapılabilir mi?
Teknik olarak uygun sistemlerde yaşa duyarlı yapılandırma, reklam ve analitik işlevlerinin sınırlandırılması veya belirli bileşenlerin devre dışı bırakılması değerlendirilebilir.
Ancak hangi yöntemin hukuken yeterli olduğu uygulanabilir mevzuat ve platform koşullarına bağlıdır.
13. Çocuklara Kişiselleştirilmiş Reklam Gösterilebilir mi?
Oyunların gelir modellerinden biri reklamdır.
Özellikle ücretsiz mobil oyunlarda reklam gösterimi ve reklam karşılığında ödül verilmesi yaygındır.
Ancak çocuklara yönelik reklamlarda hedefleme yöntemi önemlidir.
Contextual Advertising nedir?
Contextual Advertising, reklamın belirli kullanıcı profiline dayalı davranışsal hedefleme yerine içeriğin bağlamıyla ilişkilendirilerek gösterilmesidir.
Örneğin bulmaca oyunu içerisinde oyunun genel kategorisine uygun reklam sunulması bağlamsal reklam örneği olabilir.
Ancak bir reklamın bağlamsal olarak adlandırılması, onun bütün veri işleme ve çocuk koruma şartlarını otomatik olarak karşıladığı anlamına gelmez.
Behavioral Advertising nedir?
Behavioral Advertising, kullanıcının davranışları, etkileşimleri veya farklı hizmetlerdeki faaliyetleri üzerinden reklam hedeflemesi yapılmasıdır.
Çocuklara yönelik davranışsal reklamlar, özellikle COPPA ve Avrupa Birliği düzenlemeleri bakımından önemli sınırlamalara tabi olabilir.
COPPA hedeflenmiş reklamı tamamen yasaklıyor mu?
2025 değişiklikleri kapsamında, belirli üçüncü taraf veri paylaşımları ve hedeflenmiş reklam faaliyetleri için ayrı doğrulanabilir ebeveyn onayı mekanizması önem taşımaktadır.
Bu nedenle COPPA'nın bütün reklam gösterimlerini koşulsuz olarak yasakladığı veya genel ebeveyn onayının tüm veri paylaşımları için yeterli olduğu şeklindeki iki farklı genelleme de doğru değildir.
Çocuğun reklam izleyerek ödül kazanması hukuka uygun mu?
Rewarded Ads olarak adlandırılan bu sistemlerin hukuki değerlendirmesi reklamın niteliğine, kullanılan veri işleme yöntemine, çocukların korunmasına ilişkin kurallara ve platform politikalarına bağlıdır.
Özellikle çocukların yanlışlıkla reklama tıklamasına yol açan veya aşırı ticari baskı oluşturan tasarımlar ayrıca önem taşır.
14. Dijital Hizmetler Yasası (DSA) Çocuklara Yönelik Oyunları Etkiler mi?
Avrupa Birliği Dijital Hizmetler Yasası (Digital Services Act – DSA), belirli aracı hizmet ve çevrim içi platformları düzenlemektedir.
Ancak her dijital oyun, yalnızca internete bağlı olduğu için otomatik olarak DSA kapsamında bir çevrim içi platform sayılmaz.
Örneğin oyuncuların içerik paylaşabildiği, bunları diğer kullanıcılara yayabildiği belirli platform yapıları ile yalnızca oyun işlevi sağlayan bir uygulamanın hukuki durumu farklı olabilir.
DSA m.28 neyi düzenler?
DSA m.28, küçüklere erişilebilir çevrim içi platformlarda çocukların yüksek düzeyde gizlilik, emniyet ve güvenlik içinde hizmetten yararlanabilmesi için uygun ve orantılı tedbirleri düzenlemektedir.
Ayrıca m.28/2, ilgili platformun kullanıcının küçük olduğunu makul kesinlikle bildiği durumlarda, kişisel veriler üzerinden profillemeye dayalı reklam sunulmasını yasaklamaktadır.
DSA bütün çocuk reklamlarını yasaklıyor mu?
Hayır.
DSA m.28/2 kapsamında belirli profillemeye dayalı reklamlar yasaklanmıştır.
Bu düzenlemenin kapsamı, bütün reklam türlerinin ve bütün oyun uygulamalarının otomatik olarak yasaklandığı şeklinde genişletilmemelidir.
DSA daha fazla kişisel veri toplanmasını zorunlu kılıyor mu?
DSA m.28/3, ilgili madde kapsamındaki yükümlülüklere uyumun, kullanıcının küçük olup olmadığını değerlendirmek amacıyla ek kişisel veri işlenmesini zorunlu hale getirmediğini düzenlemektedir.
Bu ayrım, yaş doğrulama sistemlerinin veri minimizasyonuna uygun hazırlanması bakımından önemlidir.
2025 tarihli AB çocuk koruma rehberi ne getiriyor?
Avrupa Komisyonu, 14 Temmuz 2025 tarihinde DSA kapsamında çocukların korunmasına ilişkin rehber yayımlamıştır.
Rehber, çocukların çevrim içi güvenliği, mahremiyeti, yaşa uygun tasarım, zararlı ticari uygulamalar ve çeşitli platform riskleri bakımından öneriler içermektedir.
Ancak bu rehberin bütün tavsiyeleri tek başına bağlayıcı kanun hükmü olarak değerlendirilmemelidir.
Resmî kaynak: Avrupa Komisyonu – Çocukların Çevrim İçi Korunmasına İlişkin DSA Rehberi
15. Google Play Families Policy Oyun Geliştiricilerinden Ne İstiyor?
Google Play, çocuklara yönelik uygulamalar ve çocukları da hedefleyen karma yaş grubu uygulamaları için Families Policy adı altında özel şartlar öngörmektedir.
Bu kuralların kapsamı, uygulamanın hedef yaş grubu ve özelliklerine bağlıdır.
Çocuklara yönelik oyunlarda reklam SDK'sı kullanılabilir mi?
Google Play'in Families Policy hükümlerine göre çocuklara veya yaş grubu bilinmeyen kullanıcılara reklam sunulması halinde belirli sertifikalı reklam SDK'larının kullanılması ve ilgili diğer şartların sağlanması gerekir.
Örneğin çocuklara sunulan reklamların yaşa uygun olması ve ilgi alanına dayalı reklam veya yeniden hedefleme faaliyetlerine ilişkin platform sınırlamalarına uyulması önemlidir.
Karma yaş grubu oyunlarında ne yapılabilir?
Oyunun hem çocuklara hem de daha büyük kullanıcılara yönelik olduğu durumda yaş taraması ve reklam sisteminin yaş gruplarına göre yönetilmesi gerekebilir.
Özellikle çocuklara gösterilen reklamların uygun reklam SDK'ları üzerinden sunulması önemlidir.
Oyun içi satın alma ekranları da Families Policy kapsamında mı?
Evet, ilgili platform koşulları bakımından oyun içi satın alma teklifleri ve diğer ticari içerikler de değerlendirilir.
Çocuk kullanıcıları yanıltabilecek veya istenmeyen satın almaya yönlendirebilecek tasarımlar risk oluşturabilir.
Google Play politikası kanun mudur?
Hayır.
Google Play'in geliştirici politikaları, platformda yayın yapmanın sözleşmesel ve teknik koşullarıdır.
Buna rağmen kurallara uyulmaması uygulamanın reddedilmesine, kaldırılmasına veya geliştirici hesabı hakkında yaptırımlara neden olabilir.
Ayrıca platform kurallarına uyulması, uygulanabilir KVKK, GDPR veya COPPA hükümlerinin kendiliğinden karşılandığını göstermez.
Resmî kaynak: Google Play – Families Policy Requirements
16. Apple App Store Kids Category Hangi Kuralları Getiriyor?
Apple, çocuklar için tasarlanan uygulamalara ilişkin Kids Category ve App Review Guidelines kapsamında özel koşullar belirlemektedir.
Bu kurallar özellikle çocukların kişisel verilerinin korunması, uygulama dışına yönlendirme, reklam ve analitik araçları bakımından önemlidir.
Apple Kids Category'de üçüncü taraf reklam kullanılabilir mi?
Apple, çocuklara yönelik uygulamalarda üçüncü taraf reklam ve analitik kullanımını önemli ölçüde sınırlandırmaktadır.
Belirli istisnai koşullarda sınırlı uygulamalara izin verilebilse de çocukların kişisel ve cihaz verilerinin korunması bakımından özel şartlar bulunmaktadır.
Parental Gate nedir?
Parental Gate, çocukların belirli işlemleri ebeveyn bilgisi veya gözetimi olmaksızın gerçekleştirmesini zorlaştırmayı amaçlayan platform mekanizmasıdır.
Örneğin uygulama dışına çıkma veya oyun içi satın alma fırsatlarına erişim bakımından kullanılabilir.
Ancak parental gate, veri koruma mevzuatında gerekli olabilecek doğrulanabilir ebeveyn onayıyla aynı şey değildir.
Kids Category seçilmezse çocuk verisi kuralları uygulanmaz mı?
Hayır.
Bir oyunun mağazada belirli kategoriye yerleştirilmemesi, çocuklara yönelik faaliyetin gerçek niteliğine ve uygulanabilir veri koruma hukukuna ilişkin değerlendirmeyi kendiliğinden ortadan kaldırmaz.
Resmî kaynak: Apple – App Review Guidelines, Kids Category
17. Oyunlarda Çocukların Konum, Kamera ve Mikrofon Verileri İşlenebilir mi?
Bazı oyunlar kamera, mikrofon veya konum erişimi gerektirebilir.
Örneğin artırılmış gerçeklik oyunu kamerayı, çok oyunculu bir oyun sesli sohbeti veya konum tabanlı bir oyun cihazın konumunu kullanabilir.
Ancak teknik olarak erişim izni bulunması, ilgili kişisel veri işleme faaliyetinin bütün hukuki şartlarının yerine getirildiği anlamına gelmez.
Çocuk oyununda konum verisi zorunlu olabilir mi?
Somut oyunun özelliklerine ve işleme amacına göre değerlendirilebilir.
Örneğin gerçek zamanlı hassas konum bilgisinin toplanması gerçekten gerekli değilse bu verinin işlenmesi veri minimizasyonu ve çocuk güvenliği bakımından risk oluşturabilir.
Mikrofon izni verilmesi sesin bütün amaçlarla kullanılmasına izin verir mi?
Hayır.
Bir cihazın mikrofon izni, işletim sistemi düzeyinde teknik erişimi ifade edebilir.
Ancak ses verisinin kaydedilmesi, analiz edilmesi, üçüncü taraflara aktarılması veya başka amaçla kullanılması ayrıca hukuki değerlendirme gerektirir.
Çocuğun profil fotoğrafı herkese açık olabilir mi?
Oyunun sosyal özelliklerine bağlı olarak profilin görünürlüğü, diğer kullanıcılarla etkileşim ve çocuk güvenliği riskleri değerlendirilmelidir.
Özellikle çocuk oyuncuların kişisel fotoğraf veya kimlik belirleyici bilgileri herkese açık biçimde paylaşmaya yönlendirilmesi ek riskler yaratabilir.
18. Çok Oyunculu Oyunlarda Sohbet ve Arkadaşlık Sistemleri Nasıl Yönetilmeli?
Çocuk oyuncuların katıldığı çok oyunculu oyunlarda veri koruma, yalnızca hesap oluşturma ve reklam faaliyetleriyle sınırlı değildir.
Oyun içi sohbet ve sosyal etkileşim özellikleri de hukuki değerlendirme gerektirebilir.
Örneğin çocuk:
Başka oyuncularla mesajlaşabilir.
Profil fotoğrafı paylaşabilir.
Sesli görüşme yapabilir.
Arkadaşlık isteği alabilir.
Kullanıcı tarafından oluşturulmuş içerikleri görüntüleyebilir.
Bu işlevler çocuk güvenliği ve kişisel veri işleme bakımından farklı riskler doğurabilir.
Sohbet kayıtları saklanabilir mi?
Somut amaç, hukuki dayanak ve veri minimizasyonu ilkesi kapsamında değerlendirilebilir.
Örneğin güvenlik ihlallerinin araştırılması için belirli kayıtların tutulmasıyla bütün çocuk konuşmalarının belirsiz süre saklanması aynı şey değildir.
Sohbet moderasyonu kişisel veri işleme midir?
Otomatik veya insan denetimiyle yapılan moderasyon, kişisel veri işleme faaliyetleri içerebilir.
Bu nedenle moderasyon amacı, kullanılan teknoloji, erişim yetkileri ve saklama süresi belirlenmelidir.
Çocuklara yönelik güvenlik ayarları nasıl olabilir?
Örneğin yaşa uygun mesajlaşma sınırları, engelleme ve şikâyet mekanizmaları, profillerin görünürlüğüne ilişkin ayarlar ve belirli içerik moderasyon önlemleri değerlendirilebilir.
Ancak bütün oyunların aynı teknik moderasyon sistemini kurmak zorunda olduğu söylenemez.
19. Çocuklara Yönelik Oyunlarda Profil Oluşturma ve Davranış Analizi Yapılabilir mi?
Bir oyun şirketi, oyuncuların hangi seviyelerde zorlandığını veya hangi özellikleri kullandığını analiz etmek isteyebilir.
Bu analizler teknik geliştirme ve oyun deneyiminin iyileştirilmesi amacıyla yapılabilir.
Ancak bireysel kullanıcı profili oluşturulmasıyla anonim veya toplulaştırılmış istatistiklerden yararlanılması farklı veri işleme faaliyetleridir.
Gameplay Analytics kişisel veri işleme oluşturur mu?
Belirli kullanıcıyla ilişkilendirilebilir davranış kayıtları tutuluyorsa kişisel veri işleme gündeme gelebilir.
Örneğin oyuncunun kimliğiyle bağlantılı satın alma eğilimi, oyun süresi ve reklam etkileşimlerinin birleştirilmesi kişisel veri profili oluşturabilir.
Çocukların davranışlarını reklam için analiz etmek hukuka uygun mu?
Bu sorunun yanıtı uygulanabilir mevzuata ve işlemenin kapsamına bağlıdır.
Özellikle GDPR, DSA ve COPPA kapsamında çocukların davranışsal reklam hedeflemesine ilişkin özel şart ve sınırlamalar bulunabilir.
Anonim veri kullanmak mümkün mü?
Gerçekten anonim hale getirilmiş ve belirlenebilir kişiyle ilişkilendirilemeyen veri kümeleri, kişisel verilerden farklı değerlendirilir.
Ancak yalnızca kullanıcı adını kaldırmak veya rastgele kullanıcı numarası vermek her durumda hukuken yeterli anonimleştirme anlamına gelmez.
20. Oyun İçi Satın Almalarda Ebeveyn Onayı Zorunlu mu?
Oyunlarda çocukların korunması yalnızca kişisel veri hukukuyla ilgili değildir.
Özellikle oyun içi satın almalar, abonelikler, Battle Pass, sanal para birimleri ve diğer dijital ürünler tüketici hukuku ve fiil ehliyeti bakımından da değerlendirilmelidir.
Çocuğun oyun içinde satın alma yapması geçerli mi?
4721 sayılı Türk Medeni Kanunu'nun fiil ehliyetine ilişkin hükümleri önemlidir.
Özellikle ayırt etme gücüne sahip küçüklerin yasal temsilci rızası olmadan kendi işlemleriyle borç altına girememelerine ilişkin TMK m.16 çerçevesinde somut satın alma değerlendirilmelidir.
Ancak bütün oyun içi işlemlerin her yaş için aynı sonuca tabi olduğu veya çocuk tarafından yapılan her ödemenin otomatik olarak iade edilmesi gerektiği söylenemez.
Veri işleme için verilen ebeveyn onayı satın almaya da izin verir mi?
Hayır.
Bir ebeveynin belirli kişisel verilerin işlenmesini hukuken uygun biçimde kabul etmesi ile çocuğun ücretli dijital ürün satın almasına yetki vermesi farklıdır.
Benzer şekilde App Store veya Google Play içindeki satın alma onayı mekanizmaları, kişisel veri işleme bakımından bütün rıza şartlarının otomatik olarak sağlandığını göstermez.
Battle Pass ve loot box sistemlerinde dikkat edilmesi gerekenler
Çocuklara yönelik oyunlarda fiyatlandırma, rastlantısal ödüller, oyun içi para birimleri ve yanıltıcı ticari uygulamalar ayrıca önem taşır.
Örneğin ücretsiz görünen oyunda çocukların yanlışlıkla ücretli ürün satın almasına yönlendirilmesi, tüketici hukuku açısından değerlendirilebilir.
Konuya ilişkin ayrıntılı açıklamalar için Oyun İçi Satın Alımlar ve Tüketici Hukuku: Geliştiriciler İçin Risk Yönetimi ve Battle Pass ve Oyun Aboneliklerinde İptal ve İade Hakları başlıklı makalelerimi inceleyebilirsiniz.
21. Çocuklara Yönelik Oyunlarda Gizlilik Politikası Nasıl Hazırlanmalı?
Bir oyun şirketinin gizlilik politikası, gerçek veri işleme faaliyetlerini açık biçimde yansıtmalıdır.
Örneğin yalnızca:
“Uygulamamız kişisel verilerinizi gizli tutmaktadır.”
şeklindeki genel bir ifade, veri koruma yükümlülüklerinin yerine getirildiğini göstermeyebilir.
Gizlilik politikasında hangi konular bulunabilir?
Özellikle:
Veri sorumlusunun kimliği,
Toplanan veri kategorileri,
İşleme amaçları,
Hukuki işleme sebepleri,
Üçüncü taraf hizmet sağlayıcılar,
Reklam ve analitik sistemleri,
Varsa yurt dışına aktarım ilişkileri,
Saklama ve silme süreçleri,
İlgili kişinin hakları,
Başvuru ve iletişim kanalları.
Bu konuların kapsamı uygulanabilir hukuk çerçevesinde belirlenmelidir.
Çocuklar için ayrı aydınlatma gerekli mi?
Çocukların doğrudan muhatap olduğu bilgilendirmelerin yaşa uygun, anlaşılır ve açık biçimde hazırlanması önemlidir.
Özellikle GDPR m.12, çocuklara yöneltilen bilgilerin açık ve sade bir dille sunulmasını gerektirir.
Türkiye'de KVKK m.10 kapsamındaki aydınlatma yükümlülüğünün de gerçek ve anlaşılabilir şekilde yerine getirilmesi önemlidir.
Tek bir uzun gizlilik politikası yeterli mi?
Her durumda değil.
Örneğin ebeveynlere yönelik ayrıntılı bilgilendirme ile küçük yaştaki oyuncunun anlayabileceği kısa açıklamalar ayrı katmanlar halinde hazırlanabilir.
Ancak bilgilendirme ekranlarının bulunması, gerekli işleme şartlarının veya hukuki onayların kendiliğinden sağlandığı anlamına gelmez.
22. Çocuk Verileri Yurt Dışındaki Sunucularda Saklanabilir mi?
Bir oyun şirketi AWS, Google Cloud veya başka uluslararası bulut hizmetlerini kullanıyor olabilir.
Bu durumda kişisel verilerin yurt dışına aktarımı bakımından KVKK m.9 gündeme gelebilir.
Ancak yalnızca yabancı bir bulut hizmeti kullanılması, her durumda aynı hukuki aktarım modelinin geçerli olduğu anlamına gelmez.
Gerçek veri akışı, hizmet sağlayıcıların rolleri, sunucu ve erişim konumları değerlendirilmelidir.
KVKK m.9 kapsamında hangi yöntemler bulunur?
2024 yılında değiştirilen KVKK m.9 kapsamında yeterlilik kararı, uygun güvenceler ve kanunda düzenlenen istisnai aktarım halleri önem taşır.
Bu nedenle bütün yurt dışına veri aktarımlarının yalnızca açık rızaya dayanması gerektiği şeklinde genel bir ifade doğru değildir.
Çocukların verileri için daha fazla dikkat gerekir mi?
Evet.
Aktarılan veri kategorileri, işleme amaçları, üçüncü tarafların niteliği ve uygulanabilir güvenlik tedbirleri değerlendirilmelidir.
Özellikle çocuklara ait davranış, ses, fotoğraf veya iletişim verilerinin üçüncü taraflarla paylaşılması halinde riskler artabilir.
ABD ve Avrupa'daki oyuncuların verileri aynı sunucuda tutulabilir mi?
Bu sorunun yanıtı veri işleme ve aktarım faaliyetlerinin gerçek yapısına bağlıdır.
Farklı coğrafyalardaki veri koruma kuralları ve ilgili hizmet sağlayıcı ilişkileri birlikte değerlendirilebilir.
Tek bir küresel gizlilik politikası bulunması, bütün bölgesel yükümlülüklerin otomatik olarak yerine getirildiği anlamına gelmez.
23. Çocukların Kişisel Verileri Ne Kadar Süre Saklanabilir?
Oyun şirketleri, oyuncuların hesaplarını, satın alma kayıtlarını ve teknik verilerini belirli süreler boyunca saklayabilir.
Ancak farklı veri kategorilerinin saklama ihtiyaçları aynı değildir.
Örneğin:
Kullanıcı hesabı,
Satın alma belgeleri,
Destek talepleri,
Sohbet kayıtları,
Reklam tanımlayıcıları,
Oyun içi davranış kayıtları
farklı amaç ve hukuki sebeplerle işlenebilir.
Çocuk oyunu silerse bütün veriler hemen silinir mi?
Her durumda değil.
Oyunun cihazdan kaldırılması ile şirketin sunucularındaki oyuncu hesabının silinmesi ayrı işlemlerdir.
Ancak verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde uygulanabilir silme, yok etme veya anonimleştirme yükümlülükleri gündeme gelir.
COPPA bakımından saklama sınırı var mı?
FTC'nin 2025 değişiklikleri, çocukların kişisel verilerinin ilgili amaç için makul olarak gerekli olandan daha uzun tutulmaması gerektiğini vurgulamaktadır.
Bu nedenle verilerin belirsiz ve sınırsız süre saklanması hukuki risk oluşturabilir.
KVKK bakımından saklama nasıl değerlendirilir?
KVKK m.4'teki amaçla bağlantılı, sınırlı ve ölçülü olma ile gerekli süre kadar muhafaza etme ilkeleri önem taşır.
Ayrıca KVKK m.7 ve ilgili imha yönetmeliği dikkate alınmalıdır.
24. Çocuklara Yönelik Bir Oyunda Veri İhlali Yaşanırsa Ne Yapılmalı?
Bir oyun şirketinin sistemlerine yetkisiz erişim sağlanması veya oyuncu verilerinin sızdırılması, çocukların kişisel verilerini etkiliyorsa önemli hukuki sonuçlar doğurabilir.
Örneğin saldırganlar:
Kullanıcı e-posta adreslerini,
Hesap bilgilerini,
Sohbet kayıtlarını,
Profil fotoğraflarını,
Oyun içi satın alma verilerini
ele geçirmiş olabilir.
KVKK kapsamında bildirim gerekir mi?
KVKK m.12/5 ve Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli, 2019/10 sayılı kararı kapsamında, kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde ilgili bildirim yükümlülükleri gündeme gelir.
Kurula bildirim bakımından ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içerisinde bildirim yapılmasına ilişkin düzenleme bulunmaktadır.
Ancak her teknik hata veya hizmet kesintisi otomatik olarak aynı bildirim yükümlülüğünü doğurmaz.
GDPR kapsamında da bildirim gerekebilir mi?
GDPR'ın uygulanabildiği faaliyetlerde m.33 ve m.34 kapsamındaki bildirim yükümlülükleri ayrıca değerlendirilebilir.
Ancak bütün kişisel veri ihlallerinde hem otoriteye hem de ilgili kişilere aynı koşullarda bildirim yapılacağı söylenemez.
Oyun stüdyosu hangi teknik delilleri korumalı?
Örneğin:
Erişim logları,
Etkilenen veri kategorileri,
Olayın zaman çizelgesi,
Sistem değişiklik kayıtları,
SDK ve üçüncü taraf hizmet bilgileri,
İlgili bildirim ve müdahale kayıtları
hukuka uygun biçimde korunabilir.
Çocukların verileri söz konusu olduğunda güvenlik olayının etkisi değerlendirilirken oyuncuların yaşları ve maruz kalabilecekleri riskler özellikle önemlidir.
25. Oyunun Publisher veya Reklam Şirketi Veri İşlemeden Sorumlu Olabilir mi?
Bir oyun stüdyosu, ürününü doğrudan yayımlamayabilir.
Publisher, reklam ağı, analitik sağlayıcısı veya başka bir iş ortağı sürece katılabilir.
Ancak oyun stüdyosunun başka şirketlerle çalışması, bütün kişisel veri koruma yükümlülüklerinin kendiliğinden bu şirketlere geçtiği anlamına gelmez.
Veri sorumlusu kimdir?
KVKK m.3 kapsamında veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulması ile yönetilmesinden sorumlu olan kişidir.
Bu nedenle hangi şirketin hangi veri işleme amacı ve yöntemlerini belirlediği önemlidir.
Reklam ağı sadece veri işleyen midir?
Her durumda değil.
Bir reklam ağının oyuncu verilerini yalnızca oyun stüdyosunun talimatlarına göre işlemesi ile kendi amaçları için reklam profili oluşturması farklı hukuki ilişkiler meydana getirebilir.
Publisher sözleşmesinde veri koruma nasıl düzenlenmeli?
Özellikle:
Tarafların veri işleme rolleri,
Veri kategorileri,
Kullanılan SDK'lar,
Reklam ve analitik amaçları,
Ebeveyn onayı ve yaş doğrulama sorumlulukları,
Alt hizmet sağlayıcılar,
Güvenlik,
İhlal bildirimi,
Veri iadesi ve silme
konuları değerlendirilebilir.
Oyun şirketlerinin yayın öncesi hukuki hazırlığına ilişkin diğer kontrolleri Bir Oyun Stüdyosunun Hukuki Check-Up'ı: Global Pazara Çıkmadan Önce Yapmanız Gerekenler başlıklı makalemde ayrıca ele aldım.
26. Örnek Olay: Çocuklara Yönelik Mobil Oyunda Reklam SDK'sı Veri Topluyor
Türkiye'de kurulu Atlas Games AŞ isimli bir oyun stüdyosunun 8–12 yaş aralığındaki çocuklara yönelik bir mobil bulmaca oyunu geliştirdiğini düşünelim.
Oyun Türkiye, Almanya ve ABD'de yayımlanıyor.
Atlas Games, oyun gelirlerini ücretsiz oynama ve reklam gösterimi modeliyle elde etmek istiyor.
Bu amaçla uygulamaya iki üçüncü taraf hizmet ekleniyor:
Oyuncuların davranışlarını analiz eden bir analitik SDK'sı.
Reklam gösteren bir reklam SDK'sı.
Oyunda yaş sorusu bulunuyor. Ancak SDK'lar uygulama ilk açıldığında otomatik çalışmaya başlıyor.
Bu nedenle kullanıcı henüz yaşını belirtmeden belirli cihaz tanımlayıcıları ve kullanım bilgileri üçüncü taraflara aktarılıyor.
Ayrıca ebeveynler için hazırlanmış ayrı bir onay mekanizması bulunmuyor.
Oyunda kullanıcılar birbirleriyle sohbet edebiliyor ve reklam izleyerek oyun içi ödül kazanabiliyor.
Bir oyuncunun ebeveyni, çocuğunun verilerinin hangi şirketlerle paylaşıldığını öğrenmek istiyor.
Bu olayda hangi hukuki sorunlar incelenmelidir?
Birinci mesele: Oyunun gerçek hedef kitlesi
Oyunun 8–12 yaş grubunu hedeflediği, mağaza sınıflandırmaları ve pazarlama faaliyetleriyle birlikte değerlendirilir.
İkinci mesele: Veri akışının başlangıcı
SDK'ların yaş ve onay mekanizmasından önce hangi kişisel verileri işlediği belirlenir.
Üçüncü mesele: Türkiye'deki KVKK yükümlülükleri
KVKK m.4, m.5, m.10 ve m.12 kapsamındaki şartlar ve çocuklara ilişkin temsil meseleleri değerlendirilir.
Dördüncü mesele: Almanya'daki GDPR yükümlülükleri
Almanya pazarındaki oyuncular bakımından GDPR'ın ve ilgili ulusal uygulamanın kapsamı incelenir.
Beşinci mesele: ABD'deki COPPA yükümlülükleri
Oyunun ABD'de 13 yaş altındaki çocuklara yönelmesi nedeniyle COPPA'nın uygulanabilirliği değerlendirilir.
Altıncı mesele: Ebeveyn onayının niteliği
Hangi veri işleme faaliyetlerinde hangi hukuki onayın gerekli olduğu, bu onayın nasıl doğrulanacağı ve istisnalar belirlenir.
Yedinci mesele: Reklam verilerinin üçüncü taraflara aktarımı
Reklam ağına aktarılan bilgiler ve hedeflenmiş reklam faaliyetleri incelenir.
Sekizinci mesele: 2025 COPPA değişiklikleri
Özellikle belirli üçüncü taraf veri paylaşımı ve hedeflenmiş reklam için ayrı ebeveyn onayı düzenlemeleri değerlendirilir.
Dokuzuncu mesele: Google Play ve App Store kuralları
Oyunun hedef yaş grubu bakımından ilgili Families Policy ve Kids Category koşullarına uyulup uyulmadığı incelenir.
Onuncu mesele: Sohbet özelliği
Çocuklar arasındaki iletişim, profil görünürlüğü ve veri güvenliği riskleri değerlendirilir.
On birinci mesele: Ebeveynin bilgi talebi
Uygulanabilir KVKK, GDPR ve COPPA hükümleri bakımından ebeveynin ve ilgili çocuğun hakları ayrı incelenir.
On ikinci mesele: Yurt dışına aktarım
Türkiye'deki oyuncuların verilerinin yabancı reklam veya analitik sistemlerine aktarılması halinde KVKK m.9 değerlendirmesi yapılır.
On üçüncü mesele: Veri saklama ve silme
Reklam ve analitik verilerinin hangi süreyle tutulduğu, hangi kayıtların gerekli olduğu ve silme mekanizmaları incelenir.
On dördüncü mesele: Teknik düzeltmeler
Yaş belirleme, SDK yapılandırması, kullanıcı grupları, veri minimizasyonu ve güvenlik süreçlerinin nasıl yönetileceği değerlendirilir.
Bu örnekte Atlas Games'in temel sorunu yalnızca ebeveyn onayı ekranının bulunmaması değildir. Oyunun veri toplama mimarisinin, hedef yaş grubu ve faaliyet gösterilen ülkelerin hukuki şartlarıyla uyumlu biçimde tasarlanmamış olmasıdır.
27. Oyun Stüdyoları İçin Çocuk Verileri Hukuki Kontrol Listesi
Çocuklara yönelik oyun geliştiren şirketler, ürünü yayımlamadan önce aşağıdaki konuları değerlendirebilir.
Hedef kitle ve ülke analizi
Oyun hangi yaş gruplarını hedefliyor?
Çocuklara yönelik veya karma yaş gruplu bir oyun mu?
Hangi ülkelerde yayımlanacak?
İlgili ülkelerde hangi özel veri koruma hükümleri uygulanabilir?
Mağaza yaş sınıflandırmaları doğru mu?
Veri işleme
Hangi kişisel veriler işleniyor?
Her veri kategorisinin işleme amacı belirli mi?
KVKK veya GDPR kapsamında uygun hukuki sebep mevcut mu?
Gereksiz tanımlayıcılar ve davranış verileri toplanıyor mu?
Yaş belirleme tamamlanmadan önce veri aktarımı yapılıyor mu?
Ebeveyn izni ve bilgilendirme
Hangi işlemlerde ebeveyn veya yasal temsilci yetkisi gerekli?
Onay yöntemleri uygulanabilir hukuka uygun mu?
Çocuklara yönelik bilgiler anlaşılır mı?
Ebeveynler gerekli haklarını kullanabiliyor mu?
Onay ile satın alma izni birbirinden ayrılmış mı?
Reklam ve SDK'lar
Kullanılan SDK'ların listesi mevcut mu?
Hangi SDK hangi verileri aktarıyor?
Çocuklar bakımından hedeflenmiş reklam sınırlamaları uygulanıyor mu?
Google Play ve Apple kurallarına uyum sağlanıyor mu?
Yaşa duyarlı teknik ayarlar mevcut mu?
Güvenlik ve kullanıcı etkileşimi
Sohbet ve profil görünürlüğü değerlendirilmiş mi?
Çocuklara ilişkin güvenlik riskleri analiz edilmiş mi?
Erişim yetkileri sınırlandırılmış mı?
Veri ihlali müdahale süreci mevcut mu?
Veri saklama ve imha süreçleri belirli mi?
Ticari model
Oyun içi satın alma şartları anlaşılır mı?
Ebeveyn onayıyla satın alma onayı ayrılmış mı?
Çocukları yanıltabilecek reklam veya ödeme tasarımları bulunuyor mu?
Abonelik veya Battle Pass koşulları açık mı?
Bu kontrol listesi bütün oyun şirketleri için aynı hukuki yükümlülüklerin bulunduğu anlamına gelmez. Gerçek yükümlülükler ürünün özelliklerine, hedef pazarına ve uygulanabilir mevzuata göre belirlenmelidir.
28. Oyunlarda Çocukların Kişisel Verileri Hakkında Sık Sorulan Sorular
Oyunlarda çocukların kişisel verileri korunmak zorunda mı?
Evet. Kişisel veri işleme faaliyetinin niteliğine ve uygulanabilir mevzuata göre KVKK, GDPR, COPPA ve başka kurallar gündeme gelebilir.
Türkiye'de çocuklar için KVKK yaş sınırı kaç?
KVKK, bütün dijital oyun veri işleme faaliyetleri için tek tip bir 13 yaş veya 16 yaş ebeveyn onayı sınırı öngörmemektedir. Çocuğun yaşı, hukuki işlem, veri işleme şartı ve yasal temsil ilişkisi birlikte değerlendirilmelidir.
Türkiye'de 18 yaş altındaki herkes için ebeveyn onayı gerekir mi?
Bütün veri işleme faaliyetleri bakımından otomatik olarak aynı sonuç çıkarılamaz. KVKK ve Türk Medeni Kanunu hükümleri somut olaya göre değerlendirilmelidir.
GDPR çocuklarda ebeveyn onayını kaç yaşına kadar arar?
GDPR m.8 kapsamındaki belirli rızaya dayalı bilgi toplumu hizmetlerinde temel sınır 16'dır. Üye devletler bu sınırı 13 yaşına kadar indirebilir.
GDPR m.8 bütün çocuk verileri için geçerli mi?
Hayır. Özellikle doğrudan çocuğa sunulan bilgi toplumu hizmetlerinde veri işlemenin rızaya dayandığı durumlarla ilgilidir.
COPPA nedir?
ABD'de belirli çevrim içi hizmetlerde 13 yaş altındaki çocukların kişisel verilerinin korunmasına ilişkin düzenlemedir.
COPPA Türk oyun şirketlerine uygulanabilir mi?
İlgili hizmet ABD'deki çocukları hedefliyor veya COPPA'nın diğer kapsam koşullarını karşılıyorsa uygulanabilirlik gündeme gelebilir. Şirketin Türkiye'de kurulmuş olması tek başına muafiyet sağlamaz.
2025 COPPA değişiklikleri ne zaman uygulanmaya başladı?
Değişiklikler 23 Haziran 2025 tarihinde yürürlüğe girmiştir. Büyük bölümü bakımından uyum tarihi 22 Nisan 2026 olarak belirlenmiştir; bazı hükümler için farklı tarihler bulunmaktadır.
COPPA'da hedeflenmiş reklam için ebeveyn onayı gerekir mi?
2025 değişiklikleri kapsamında ilgili üçüncü taraf veri paylaşımları ve hedeflenmiş reklam faaliyetleri için ayrı doğrulanabilir ebeveyn onayına ilişkin koşullar önemlidir.
Age Gate nedir?
Oyuncunun belirli yaş grubuna girip girmediğini anlamaya yönelik giriş veya kayıt mekanizmasıdır.
Oyuncunun doğum tarihi sorulması yeterli mi?
Her durumda değil. Kullanılan yöntem, oyunun niteliği ve uygulanabilir yaş doğrulama şartları değerlendirilmelidir.
Çocuğun kimliğini yüklemesi zorunlu mu?
Bütün oyunlar için böyle genel bir zorunluluk yoktur. Doğrulama yöntemi, gereklilik, orantılılık ve veri minimizasyonu açısından değerlendirilmelidir.
Oyunlarda reklam SDK'sı çocuklardan veri toplayabilir mi?
Kullanılan SDK'nın işlediği veriler, işleme amacı, hedef yaş grubu, hukuki dayanak ve platform kuralları birlikte değerlendirilmelidir.
Google Play Families Policy nedir?
Google Play'in çocukları hedefleyen uygulamalar için getirdiği içerik, veri koruma, reklam ve ticari uygulama koşullarını içeren platform politikasıdır.
Apple Kids Category nedir?
Apple'ın çocuklara yönelik uygulamalar için belirlediği kategori ve ilgili özel inceleme kurallarıdır.
Apple Parental Gate ebeveynin veri işleme rızası mıdır?
Hayır. Platformun parental gate mekanizması ile veri koruma mevzuatının aradığı ebeveyn onayı aynı değildir.
Çocuklara kişiselleştirilmiş reklam gösterilebilir mi?
Uygulanabilir mevzuata ve platform kurallarına bağlıdır. Özellikle DSA'nın kapsama giren çevrim içi platformlarda küçüklere ilişkin profillemeye dayalı reklam yasağı önemlidir.
Oyunlarda DSA uygulanır mı?
Her dijital oyun otomatik olarak DSA kapsamında çevrim içi platform değildir. Hizmetin gerçek işlevi ve ilgili hukuki tanımlar değerlendirilmelidir.
Çocuklar oyun içi satın alma yapabilir mi?
Satın alma işleminin niteliği, çocuğun fiil ehliyeti, yasal temsil ilişkisi ve tüketici mevzuatı dikkate alınmalıdır.
Ebeveyn veri işlemeye izin verdiyse çocuk satın alma yapabilir mi?
Veri işleme rızası ile ücretli sözleşme veya satın alma yetkisi farklıdır.
Çocuğun ses kaydı kişisel veri midir?
Belirli veya belirlenebilir kişiyle ilişkilendirilebiliyorsa kişisel veri olabilir. Kullanım amacı ve ilgili diğer koşullar ayrıca değerlendirilmelidir.
Çocukların verileri yurt dışında tutulabilir mi?
Uygulanabilir veri işleme ve aktarım şartları sağlanıyorsa değerlendirilebilir. Türkiye bakımından KVKK m.9 önemlidir.
Çocuk oyunu silince verileri de otomatik silinir mi?
Her durumda değil. Uygulamanın cihazdan kaldırılmasıyla sunucudaki verilerin hukuki akıbeti farklıdır.
Çocuk verisi ihlalinde KVKK'ya bildirim süresi nedir?
KVKK m.12/5 ve 2019/10 sayılı Kurul kararı kapsamındaki ihlaller bakımından, öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim düzenlenmiştir.
Oyun stüdyosu COPPA, GDPR ve KVKK'ya aynı anda tabi olabilir mi?
Evet. Somut faaliyetlerin ilgili düzenlemelerin uygulama alanına girmesi halinde birden fazla veri koruma rejimi birlikte önem taşıyabilir.
Sonuç: Çocuklara Yönelik Oyunlarda Veri Koruma, Ürün Tasarımının Bir Parçası Olmalıdır
Çocuklara yönelik dijital oyunlarda veri koruma yükümlülükleri yalnızca gizlilik politikası hazırlanmasından veya kayıt ekranına yaş sorusu eklenmesinden ibaret değildir.
Oyunun gerçek hedef kitlesi, hangi verilerin toplandığı, hangi SDK'ların kullanıldığı, reklam gösteriminin nasıl gerçekleştirildiği, ebeveyn onayı mekanizmasının hangi işlemleri kapsadığı ve veri güvenliğinin nasıl sağlandığı birlikte değerlendirilmelidir.
Türkiye'de KVKK, Avrupa Birliği'nde GDPR ve ilgili durumlarda DSA, Amerika Birleşik Devletleri'nde ise COPPA farklı hukuki mekanizmalar öngörmektedir.
Özellikle 2025 COPPA değişikliklerinin 2026 itibarıyla uygulanabilir hale gelmesi ve Avrupa Birliği'nin çocukların çevrim içi korunmasına ilişkin DSA rehberleri, oyun stüdyolarının uluslararası faaliyetlerinde güncel değerlendirme yapılmasını önemli hale getirmiştir.
Ancak Türkiye'deki çocuk veri koruma yükümlülüklerini doğrudan COPPA'nın 13 yaş sınırı veya GDPR m.8 kapsamındaki ülkeye göre değişen sınırlarla aynı kabul etmek doğru değildir.
Bir oyun stüdyosunun çocukların kişisel verilerini koruması, yalnızca ebeveyn onayı toplamasıyla değil; veri minimizasyonunun, yaşa uygun tasarımın, güvenli SDK yapılandırmasının, şeffaf bilgilendirmenin ve hukuken uygun veri işleme süreçlerinin birlikte sağlanmasıyla mümkündür.
Bu nedenle çocuklara yönelik oyunların hukuki değerlendirmesi, ürün piyasaya çıktıktan sonra değil, geliştirme ve tasarım aşamasında başlamalıdır.
Hukuki Dayanaklar ve Resmî Kaynaklar
Türk mevzuatı
6698 sayılı Kişisel Verilerin Korunması Kanunu; özellikle m.3–12.
4721 sayılı Türk Medeni Kanunu; özellikle m.11, m.13, m.16 ve velayet ile yasal temsile ilişkin ilgili hükümler.
6502 sayılı Tüketicinin Korunması Hakkında Kanun.
Mesafeli Sözleşmeler Yönetmeliği.
Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
Avrupa Birliği düzenlemeleri
GDPR (AB 2016/679); özellikle m.5, m.6, m.8, m.12, m.25 ve m.32–34.
Dijital Hizmetler Yasası (DSA – AB 2022/2065); özellikle m.28.
Avrupa Komisyonunun 14 Temmuz 2025 tarihli çocukların çevrim içi korunmasına ilişkin DSA rehberi.
ABD düzenlemeleri
Children's Online Privacy Protection Act (COPPA).
16 CFR Part 312 – COPPA Rule.
22 Nisan 2025 tarihli COPPA Rule değişiklikleri.
FTC'nin Şubat 2026 tarihli yaş doğrulama teknolojileri politika açıklaması.
Platform politikaları
Google Play Developer Program Policy – Families Policy Requirements.
Apple App Review Guidelines – Kids Category ve Privacy.
İlgili platformların yaş derecelendirme ve oyun içi satın alma kuralları.
Resmî kaynak bağlantıları
Yazar
Av. Şenay Yağmur Efe
Oyun hukuku, bilişim hukuku, kişisel verilerin korunması, teknoloji sözleşmeleri, fikri mülkiyet hakları ve oyun stüdyolarının uluslararası faaliyetlerine ilişkin hukuki çalışmalar yürütmektedir.
Bu makale 5 Kasım 2026 itibarıyla genel hukuki bilgilendirme amacıyla hazırlanmıştır. Çocuklara yönelik oyunlarda kişisel veri işleme, ebeveyn onayı, reklam faaliyetleri, yaş doğrulama ve uluslararası veri aktarımı; oyunun gerçek hedef kitlesi, teknik özellikleri ve uygulanabilir ülke hukukuna göre ayrıca değerlendirilmelidir.
