Anayasa’nın 20. ilgili maddesi;

- Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir.

- Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar.

- Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir, şeklindedir.

Maddede kullanılan “herkes” ibaresi hak ehliyeti olan tüm kişileri kapsadığından şüphesiz mümeyyiz küçükleri de içerisine almaktadır. Bu sebeple kişisel verileri işlenen mümeyyiz küçüklerin de tıpkı ergin gerçek kişilerde olduğu gibi, kişisel verilerinin işlenmesi sırasında temel hak ve hürriyetleri ve mahremiyetleri korunacak, veri güvenlikleri sağlanacak, yasal veri işleme şartları veya açık rızaları bulunmadığı sürece kişisel verileri işlenemeyecektir.  

Açık rıza ile ilgili olarak, KVKK’nın 3. maddesinde “Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklinde birt anımlama yapılmıştır. Bu tanım çerçevesinde, açık rızanın kanunen geçerli olabilmesi için ilgili madde tanımında sayılan belirli bir konuya ilişkin olma, bilgilendirmeye dayanma ve özgür irade ile açıklanma unsurlarının bir arada bulunması gerekmektedir. Açık rızanın temin edilmesi ise herhangi bir şekil şartına tabi kılınmadığı gibi açık rızanın temin edildiğinin ispat edilmesi, veri sorumlusunun yükümlülüğüne bırakılmıştır.

Kişisel Verileri Koruma Kurumu tarafından “Çocuklar Tarafından Dikkat Edilmesi Gerekenler” rehberi yayınlanmış olsa da, KVKK’da mümeyyiz küçüklerin veri işleme faaliyetlerinin gerçekleştirilmesi ve açık rızalarının alınmasına ilişkin özel bir düzenleme bulunmamaktadır. Bu halde mümeyyiz küçüklerin açık rızalarının alınması konusunda Türk Medeni Kanunu’ndaki velayete ilişkin genel hükümlerin yorumlanması doğru olacaktır. İlgili hükümler çerçevesinde, anne ve baba velâyetleri çerçevesinde üçüncü kişilere karşı çocuklarının yasal temsilcisidir ve aynı zamanda haklarını koruma ve menfaatlerini gözetmekle yükümlüdür. Bu nedenle mümeyyiz küçüğün kişisel verilerinin işlenmesi amacıyla bir faaliyet gerçekleştirilmeden önce veliden/vasiden mümeyyiz küçük adına açık rıza alınması değerlendirilebilecektir.

Çocuğun hak ve menfaatlerinin gözetilmesi hususunda önemli bir nokta da, çocuğun velisi/vasisi tarafından haklarının ihlal edilip edilmediği ihtimalinin değerlendirilmesidir. Türk Medeni Kanunu’nun16. maddesinin 1. fıkrasının birinci cümlesine göre, Türk hukukunda sınırlı ehliyetsizler, ayırt etme gücüne sahip küçük ya da kısıtlılar olarak tanımlanmaktadır. Maddenin devamı incelendiğinde Türk Medeni Kanunu’nun küçükleri kural olarak ehliyetsiz kabul ettiği, küçüklerin istisnai durumlarda tam fiil ehliyetine sahip olduğu anlaşılmaktadır. Bu bağlamda, yine kuralolarak sınırlı ehliyetsizin geçerli bir işlem yapabilmesi için yasal temsilcisinin rızası aranmaktadır.

Bu kurala istisna teşkil eden durumlardan biri olarak kişiye sıkı sıkıya bağlı haklar gösterilmektedir. Sınırlı ehliyetsizler kişiye sıkı sıkıya bağlı haklarını tek başlarına kullanabilmektedirler. Doktrinde kişiye sıkı sıkıya bağlı olarak tanımlanan haklar, “başkasına devredilemeyen, miras yoluyla geçmeyen, hak sahibinin kişiliğini yakından ilgilendiren, mali değer taşımayan ve kural olarak yasal temsilci yoluyla kullanılmayıp bizzat hak sahibi tarafından kullanılması gereken” haklardır. Kişiler, şahsen kullanılacak bir hakkı kullanma kararını alma konusunda yetkili bir temsilci tayin edemezler. Özel hayatın gizliliği ve korunmasına ilişkin hakların niteliği ve önemi göz önüne alındığında bu hakların da kişiye sıkı sıkıya bağlı haklardan olması ihtimali de tartışılabilecektir.

Türk hukukunun genel prensipleri çerçevesinde, küçüğün kişisel verilerinin işlenebilmesi ve açık rızasının alınması konuları yukarıdaki şekilde yorumlanırken, Avrupa’da 25 Mayıs 2018 tarihinde yürürlüğe giren Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) ile küçüklerin açık rızalarına ilişkin birtakım özel düzenlemeler getirilmiştir. GDPR’ın giriş kısmının 38. paragrafında “Çocukların, verilerinin işlenmesinden doğan hakların, yükümlülüklerin, sonuçların ve korumaların daha az farkında olabilecekleri ve buna bağlı olarak özel koruma önlemlerinin alınması gerektiği”  ve yine “Belirtilen korumanın özellikle pazarlama, karakter ya da kullanıcı profili oluşturma ve doğruda çocuklara yöneltilen hizmetlerin sunulması kapsamında işlenen kişisel verilere uygulanması gerektiği” ibareleri yer almaktadır. Buradan anlaşılmaktadır ki GDPR, çocukların kişisel verilerinin işlenmesini ve korunmasını özellikli bir durum olarak kabul etmiş ve ayrıca düzenlemiştir.  

GDPR’ın 8. maddesi, yalnızca, GDPR kapsamında açık rızaya tabi olan ve doğrudan çocuklara yönelik bilgi toplumu hizmetlerine ilişkin veri işleme faaliyetlerine uygulanmak üzere düzenlenmiştir. Maddeye göre, ilgili veri işleme faaliyetleri, çocuğun 16 yaşından büyük olduğu durumda hukuka uygun kabul edilebilecek ve çocuğun açık rızası kendisinden temin edilebilecektir. Buna ek olarak, madde, 16 yaşın altındaki çocuklar için veri işleme faaliyetlerinin hukuka uygunluğunu, ebeveyn sorumluluğu altındaki kişilerden ya da bu sorumluluk altındaki kişilerce yetkilendirilen 3. taraflardan temin edilecek açık rızaya bağlamıştır. Maddede ayrıca üye ülkelerin, lehine geçerli açık rıza verilebilecek en düşük çocuk yaşının en az 13 olarak belirleyebileceği de düzenlenmiştir.

GDPR kapsamında doğrudan çocuklardan temin edilecek açık rıza konusunda da belirli koşullar bulunmaktadır. Bu noktada, KVKK’da olduğu gibi, GDPR’da da açık rızanın, bilgilendirme temeline dayanması gerektiği esası kabul edilmektedir. Burada çocuk tarafından verilecek açık rızanın hukuken geçerli olabilmesi için, açık rızayı talep eden veri sorumlularının, veri işleme faaliyetlerine yönelik bilgilendirmeleri açık ve yalın bir dille yapmaları gerekmektedir. Çocuk lehine verilecek açık rızalar bakımından ise rızayı verecek ve ebeveyn sorumluluğu altındaki ya da bu kişilerce yetkilendirilmiş tarafların anlayabileceği bilgilendirmeler geçerli kabul edilebilecektir.

Gerek ulusal gerek uluslararası düzenlemeler değerlendirildiğinde anlaşılmaktadır ki, Türk hukukunun anayasal ve genel hukuk düzenlemeleri nezdinde hak ehliyetine sahip 18 yaşın altındaki bireyler, fiil ehliyeti bakımından sınırlamalara tabitutulmaktadır. Buna bağlı olarak KVKK tahtında küçüğün kişisel verilerinin işlenmesi ve açık rızasının alınmasına ilişkin herhangi bir özel düzenlemeye rastlanılmamaktadır. Öte yandan, emsal teşkil edebilecek uluslararası kaynaklarda çocuğun kişisel verilerinin işlenmesi ve açık rızasının alınması ile ilgili olarak birtakım özel düzenlemelerin mevcut olduğu görülmektedir. Bu kapsamda, mümeyyiz küçüklerin açık rızasının temin edilmesi gereken durumlarda uluslararası mevzuat dikkate alınabilecekse de Türk hukukunda belirlenen sınırlamaların esas olduğu ve bu sınırlamalara uygun hareket edilmesi gerektiği unutulmamalıdır.

Küçüklerin kişisel verilerinin işlenmesine ilişkin özel bir düzenleme getirilmesi ihtiyacının onların özellikle korunmaya muhtaç olmasından kaynaklandığı gözönünde bulundurularak, kişisel verilerinin işlenmesine ve açık rızalarının alınmasına ilişkin meydana gelebilecek sorunların da, KVKK’nın temel ilkeleri ve kişilik haklarına ilişkin yapılacak tartışmalarla ve uluslararası düzenlemelerin de uygun düştüğü ölçüde benimsenmesiyle çözümlenmesi gerekecektir. 

.