Bir kapının önünde durduğunuzu düşünün. Görevli yalnızca yetişkinlerin girebileceği bir yere geldiğinizi söylüyor. Siz de yetişkin olduğunuzu kanıtlıyorsunuz. Burada iki ayrı işlem mümkün: Görevli yaş sınırını geçtiğinizi öğrenir; ya da kimlik numaranızı, adınızı ve ne zaman hangi kapıdan geçtiğinizi defterine yazar. Her ikisi de kapıyı açabilir. Fakat özgürlük açısından aynı şey değildir.

10 Ekim 2026’da yayımlanan, 1 Kasım’da yürürlüğe giren yönetmeliğin 7. maddesi, Türkiye’deki modeli tarif ediyor. Kullanıcı e-Devlet üzerinden kimliğini doğrulayacak, Siber Güvenlik Başkanlığının hizmetinden bir yaş doğrulama belirteci oluşturacak ve bunu sosyal ağ platformuna yükleyecek. Platform da belirtecin geçerli olup olmadığını ve kullanıcının 15 ile 18 yaş eşiklerinden hangisini geçtiğini kontrol edecek.

Metindeki önemli güvence açık: Belirteç ad, soyad, T.C. kimlik numarası, doğum tarihi veya sosyal medya kullanıcı adı taşımayacak; yaş grubunu gösteren bilgiyle sınırlı kalacak. Platformun belirteci başka amaçla kullanması da yasaklanıyor. Bunu yok sayamayız. Fakat bir bilgi paketinin içinde isim yazmaması, o paketin bir kişiye sonradan bağlanamayacağı anlamına da gelmiyor.

Düşünelim: Her kullanıcıya tekil bir belirteç veriliyorsa ve aynı belirteç farklı ağlarda geçiyorsa, platformlar doğrudan isim görmeden de hesaplar arasında ilişki kurabilir mi? Her platform için ayrı belirteç üretildiğinde bu risk gideriliyor mu? Belirteç doğrulanırken merkezi bir sunucuya istek gidiyor mu? Gidiyorsa o sunucu hangi platformun, hangi saatte, hangi bağlantıdan sorgu yaptığını kaydediyor mu? Belirtecin sahibi ile kullanıldığı hesap arasında bir kayıt tutuluyor mu? Bunlar suçlama değil, cevaplanması gereken mimari sorular.

Üstelik “devlet öğrenir” ile “devlet isterse öğrenebilir” arasında da fark var. Bugün bütün anonim hesapların devlet tarafından bilindiğini kanıtlayan bir veri yok. Ancak bu eşleştirmeyi teknik olarak imkânsız kılan güvencelerin kamuya açık biçimde gösterildiğini de söyleyemiyoruz. Yönetmelik, teknik ayrıntıların Başkanlıkça hazırlanacak rehberde düzenlenmesini öngörüyor. Bu ayrıntılar, uzmanlar tarafından incelenebilir olmadıkça mahremiyet tartışması bitmez.

Bir başka karışıklık da şurada: Sosyal medya şirketiyle devlet aynı taraf değil. Şirket adınızı bilmeden yaşınızı doğrulayabilir; buna karşılık belirteci üreten kurumun hangi hesapta kullanıldığını öğrenebilmesi ayrı bir risk olur. Ya da tam tersi: Devlet kullanımı görmezken platform çeşitli çerezler, IP kayıtları ve cihaz verileriyle sizi zaten tanıyabilir. Yaş doğrulaması tek başına mutlak anonimlik sağlamaz. Mesele, var olan izleme imkânlarına bir yenisini ekleyip eklemediğidir.

Peki başka yol var mı? Avrupa Komisyonunun geliştirdiği yaş doğrulama taslağı, buna teknik bir yanıt sunuyor. 2026’da kullanıma hazır hâle getirilen model, yetişkinlik kanıtını kimlik bilgisi paylaşmadan sunmayı ve doğrulama hizmetine hangi siteye girildiğini bildirmemeyi hedefliyor. Sıfır bilgi ispatı gibi kriptografik yöntemlerde kişi, doğrulamak istediği özelliği kanıtlayabilir; arkasındaki kişisel bilgileri açıklamak zorunda kalmaz. Elbette bunun başarısı uygulamanın güvenliğine ve bağımsız denetime bağlı.

Bu nedenle Türkiye’de asıl talep, bütün teknik ayrıntıların gizli kalması pahasına soyut bir güven sözü olmamalı. Belirteçlerin tekil mi, yeniden kullanılabilir mi olduğu; kimlik ve hesap eşleştirmesine karşı hangi önlemlerin bulunduğu; işlem günlüklerinin saklanma süresi; verilerin kimlerle paylaşıldığı; bağımsız güvenlik ve kişisel veri denetiminin nasıl yapılacağı açıklanmalı. Denetleyemediğimiz bir gizlilik vaadi, teknik güvence yerine geçmez.

Çocukların korunması elbette amaç olabilir. Ama amaç, yetişkinlerin görünmez bir dijital nüfus kütüğüne yazılmasını zorunlu kılmaz. Devletin bilmesi gereken tek şey yaş sınırını geçtiğimse, sistemin bundan fazlasını öğrenemeyecek biçimde kurulması gerekir. Asıl soru “Bana güveniyor musunuz?” değil: “Beni takip edemeyeceğinizi nasıl kanıtlıyorsunuz?”