Veri Gizliliği, Veri Güvenliği, Genel Veri Koruma Yönetmeliği (GDPR)
UX Kararları CISO’lar için Nasıl Düzenleyici Yükümlülük Haline Geliyor?
Meryem Şoraka •
13 Ocak 2026
Güvenlik hakkındaki düşüncelerimizde sessiz bir değişim var. Çocuklara ait veriler artık yalnızca bir gizlilik sorunu değil. Bu sadece bir güven ve emniyet meselesi bile değil. Bu bir güven sorunu haline geliyor. Ve karanlık modeller sadece tehlikeli kullanıcı deneyimi değildir; düzenleyiciler bunları, işletmelerin en genç kullanıcılara karşı sadakat ve özen gösterme yükümlülüğünü ihlal ettiklerinin kanıtı olarak giderek daha fazla ele almaktadır.
Ayrıca bakınız: Geleneksel M365 Veri Koruması Artık Yeterli Değil
CISO’lar ve veri yönetişimi liderleri için bu, tehdit modelini temelden değiştiriyor. Risk yalnızca “birinin içeri girip verileri çalması” değildir. Artık “sistemi, bir düzenleyicinin bu verileri kötüye kullandığımıza karar vermesini neredeyse kaçınılmaz kılacak şekilde tasarladık” ifadesini de içeriyor.
Bu çok farklı bir olay.
Savunmadan Manipülasyon Savunmasına
Güvenlik programlarının çoğu dış düşmanlar etrafında oluşturulmuştur. Tehditleri modeller, kontrolleri önceliklendirir ve tespitleri ayarlarlar. Koyu desenler bu anlatıya uymuyor. Saldırganın olmasına gerek yok. Zarar ve sorumluluk binanın içinde doğar.
Düzenleyiciler artık açık bir şekilde eskiden silolarda duran üç şeyi birbirine bağlıyor:
- UX ve ürün gibi arayüzlerin ve varsayılanların tasarımı;
- Pazarlama ve büyümeye ilişkin verilerin nasıl toplandığı, profilinin çıkarıldığı ve bu verilerden nasıl para kazanıldığı;
- Güvenlik, yasal güvenlik ve uyumluluk açısından risk yönetimi ve insanların korunması.
Hindistan’ın Dijital Kişisel Verilerin Korunması Yasası, kişisel verileri işleyen her kuruluşa, çocuk verileriyle ilgili görevlerin artırıldığı bir “veri emanetçisi” muamelesi yapıyor. Genel Veri Koruma Yönetmeliği, Birleşik Krallık’ın yaşa uygun tasarım kodu veya Çocuk Yasası, AB’nin Dijital Hizmetler Yasası, Önerilen Çocukların Çevrimiçi Gizliliğini Koruma Yasası güncellemeleri ve ABD eyalet yasalarının tümü açıkça manipülatif tasarımı hedefler. Avustralya’nın Çevrimiçi Güvenlik Yasası, geliştirilmekte olan Çocukların Çevrimiçi Gizlilik Yasası ve önerilen adil olmayan ticaret reformları, karanlık kalıpları hem güvenlik tehlikesi hem de tüketiciye zarar olarak ele alan bir çerçeve oluşturuyor.
Avustralya’nın Konumu: Güvenlik Hukuku Güvene Dayalı Düşünceyle Buluşuyor
2021 Çevrimiçi Güvenlik Yasası, e-Güvenlik komisyon üyesine, platformların zararlı içerik üzerinde harekete geçmesini ve yaşa uygun korumaları uygulamasını zorunlu kılma yetkisi veriyor. Tasarım gereği güvenlik beklentileri normalleştirildi.
Gizlilik ve Diğer Mevzuatta Değişiklik Yapan 2024 Yasası, OAIC’in Aralık 2026’ya kadar yürürlükte olması gereken bir Çocukların Çevrimiçi Gizlilik Yasası geliştirmesini gerektirmektedir. Bu yasa, çocuklara ait verileri işlerken temel düşünce olarak “çocuğun yüksek yararını” dikkate alacaktır. OAIC, hizmetlerin sonradan akla gelen bir düşünce olarak değil, öncelikle çocukların çıkarları dikkate alınarak tasarlanmasını beklemektedir.
Avustralya Rekabet ve Tüketici Komisyonu ile Tüketici Politikası Araştırma Merkezi, Haziran 2022 tarihli “Tasarımla Kopyalandı” raporuyla Avustralya pazarındaki karanlık kalıpları belgeledi. Federal hükümet, Kasım 2024’te manipülatif tasarımı doğrudan yakalayacak adil olmayan ticaret uygulamalarının yasaklanması için teklifler yayınladı.
Avustralya yalnızca uluslararası eğilimleri kopyalamakla kalmıyor. Gizlilik, güvenlik ve tüketiciye zarar verme ilkelerini birleştiren hibrit bir model yaratıyor. Net etki aynı: Manipülatif UX, düzenleyici bir yükümlülük haline geliyor.
Açık Güvenlik Diliyle Güven Görevi
Bir mütevelli, diğer kişinin çıkarlarına en uygun şekilde hareket etmelidir. Kuruluşlar çocuklara ait verilere uygulandığında şunları yapmamalıdır:
- Gelişimsel güvenlik açıklarından yararlanın;
- Onayı çarpıtmak için dürtmelerden yararlanın;
- Verileri makul beklentileri aşacak şekilde saklayın veya paraya dönüştürün;
- Geliri çocuk kullanıcıların refahının üzerine çıkarın.
Hindistan bunu “veri güveni” diliyle açıkça ortaya koyuyor. Avrupa bunu tasarım kodları ve koyu desen kısıtlamaları yoluyla işlevsel hale getiriyor. Avustralya, terminoloji aynı olmasa bile mahremiyet, güvenlik ve tüketici yasasını aynı yönde hizalıyor.
Güvenlik liderleri için bu onların rollerini değiştirir. Artık sadece sistemlerin koruyucusu değiller. Giderek artan bir şekilde, bu sistemler içindeki insanların savunmasızlığının koruyucusu olarak görülüyorlar.
Karanlık Desenler Kontrol Arızasına Dönüştüğünde
Yaygın ürün kararları artık güvenlik ve uyumluluk riskine neden oluyor:
1. Reşit Olmayanlar İçin Varsayılan Ayarlar
18 yaşın altındaki vatandaşlara yönelik varsayılan izleme veya kişiselleştirilmiş reklamlar çoğu yargı bölgesinde savunulamaz hale geliyor. AB ve Birleşik Krallık rehberliğinde yüksek gizlilik varsayılanları bekleniyor. Hindistan, çocukların refahı üzerinde zararlı etkilere neden olan çocuk verilerinin işlenmesini yasaklıyor ve izlemeyi, davranışsal izlemeyi ve çocuklara yönelik hedefli reklamları yasaklıyor. Gizlilik düşmanı varsayılanları, denetimin yanlış yapılandırılması olarak değerlendirin.
2.Rıza Akışları ve Çıplak Kullanıcı Arayüzü
Büyük boyutlu “tümünü kabul et” düğmeleri, kafa karıştırıcı geçiş basamakları, gömülü reddetme seçenekleri ve zaman baskısı işaretleri artık onayı geçersiz kılma olarak değerlendiriliyor. Güvenlik açısından bu bir karar bütünlüğü hatasıdır. Eğer arayüz bir “evet” cevabı üretecek şekilde tasarlanmışsa, bir çocuk anlamlı bir şekilde reddedemez.
3. Saklama ve İkincil Kullanım
GDPR, Hindistan’ın DPDP Yasası ve Avustralya reformlarının tümü, çocuklara ait veriler için katı amaç sınırlaması ve daha kısa saklama süreleri için baskı yapıyor. Bir kişinin veri gölleri bu sınırları göz ardı ederse, yalnızca analiz yürütmekle kalmaz, aynı zamanda sorumluluk da biriktirmiş olurlar.
4. Para Kazanma Stratejileri
Ganimet kutuları, zaman baskısı teklifleri, davranışsal yönlendirmeler ve ekran başında geçirilen sürenin algoritmik olarak en üst düzeye çıkarılması, bunların hepsi çocukların bilişsel olgunlaşmamışlığıyla kesişiyor. Düzenleyiciler giderek bunları tasarım gereği zararlı olarak görüyor. Bir mütevelli, koruması gereken kullanıcıyı istismar etmeye dayanan özellikleri haklı gösteremez.
CISO’nun Kapsamı Açısından Bu Ne Anlama Geliyor?
Eski örgütsel bölünme artık tehlikelidir. İşte ortaya çıkan gerçek:
- Güvenlik tasarım incelemesine dahil edilmelidir;
- Tehdit modellemesi dahili teşvikleri içermelidir;
- UX bütünlüğü bir güvenlik kontrolü olarak ele alınmalıdır;
- Güvenlik, yüksek riskli özellikleri engelleme yetkisine sahip olmalıdır.
Avustralya’nın reformları bunu açıkça ortaya koyuyor. Bir tasarım çocuğun yüksek yararına değilse, gelecekteki Çocukların Çevrimiçi Gizlilik Yasası muhtemelen bunun değiştirilmesini gerektirecektir. Güvenliğin, kuruluşun bunu dikkate aldığını göstermesi gerekecektir.
Rahatsız Edici Takas
Güvene dayalı bir duruş bazı iş ölçütlerine zarar verecektir: profil oluşturmanın azalması, reklam gelirinin azalması veya oturum sürelerinin kısalması. Ancak dünya çapındaki düzenleyiciler birleşiyor. Bir mütevelli, koruması gereken kişiyi riske attığında kar maksimizasyonunu savunamaz. Çocuklara ait veriler bu etik ve yasal çerçeveye giriyor.
Nereden Başlamalı?
- Çocukların sistemleri kullanabileceği harita;
- Her akışı en iyi çıkarlara ve manipülasyona karşı testlere göre değerlendirin;
- Bunları Veri Koruma Etki Değerlendirmelerine ve risk kayıtlarına entegre edin;
- Manipülatif tasarımı bir olay kategorisi olarak ele alın;
- Ürün, büyüme ve tasarım ekiplerini güvene dayalı beklentiler konusunda eğitin.
Çocuklar mimariyi seçmiyor. Veri akışlarını anlayamazlar. Teşvik yapılarının kullandıkları arayüzleri nasıl şekillendirdiğini göremiyorlar. Bu asimetri, güvene dayalı düşüncenin mahremiyet, tüketici hukuku ve çevrimiçi güvenlik alanlarında yayılmasının nedenidir. Hindistan bunu kodladı. Avrupa bunu uyguluyor. Avustralya hızla uyum sağlıyor.
CISO’lar için soru artık “Saldırganları nasıl dışarıda tutarız?” değil. Soru şu: “Kendi kurduğumuz sistemlerden bile çocukları nasıl koruruz?”