Kaliforniya'nın 16 Yaş Altı Sosyal Medya Yasası Konumunuzu Değil Telefonunuzu Kontrol Ediyor: AB 1709 ve AB 1856 VPN Kullanıcıları İçin Ne Anlama Geliyor

Vali Gavin Newsom 10 Eylül’de tek oturumda on üç çocuk güvenliği tasarısını imzaladı. Her manşette yer alan tasarı, sosyal medya platformlarının Kaliforniya’da 16 yaş altındaki herkese “bağımlılık yapıcı özellikler” sunmasını yasaklayan AB 1709. Neredeyse hiç kimsenin yazmadığı tasarı ise AB 1856 ve bir platformun kullanıcının yaşını en başta nasıl bileceğine karar veren tasarı da bu.

Bu hikayenin VPN kullanıcılarına dokunduğu yer o ikinci soru. Son üç yıl interneti belirli bir diziye alıştırdı: bir yasama organı yaş kontrolü yasası çıkarır, web siteleri belge ya da yüz taraması istemeye başlar ve VPN talebi saatler içinde fırlar. 2023’te Utah’ta, Haziran 2025’te Fransa’da, o temmuz Birleşik Krallık’ta ve aralıkta Avustralya’da böyle oldu. Dolayısıyla perşembe gecesi verilen refleks tahmin edilebilirdi: Kaliforniya’nın yasağı geliyor, VPN edinme zamanı.

Kaliforniya’nın sistemi böyle çalışmıyor. Yaş kontrolü hiçbir belge istemiyor ve nerede olduğunuzla ilgilenmiyor. Telefona soruyor. İki tasarının ne yaptığı, yaş sinyalinin nasıl oluşturulduğu, VPN’in neden bu girdilerin hiçbirini değiştirmediği ve yasanın halihazırda VPN kullanan biri için ne anlama geldiği aşağıda.

Kaliforniya 10 Eylül 2026'da Neyi İmzaladı?

Valilik Ofisi o gün Marin County’de imzalanan on üç tasarıyı listeliyor; çocuklara yönelik yoldaş sohbet robotu kurallarından (SB 1119, “Adam’s Law”) oyuncaklarda sohbet robotu yasağına (SB 867) kadar. Newsom açıklamada “Çocuklarımızın güvenliği, teknolojiyle ilgili her konuşmanın merkezinde olmayı hak ediyor” dedi.

On üç tasarıdan ikisi burada önemli.

AB 1709, Long Beach’ten Meclis Üyesi Josh Lowenthal’ın tasarısı, “Kapsamdaki platformlar: yaş sınırlaması: e-Güvenlik Danışma Komisyonu” başlığını taşıyor. 16 yaş altı kuralı bu ve 31 Ağustos’ta her iki meclisten de geçti.

AB 1856, Oakland’dan Meclis Üyesi Buffy Wicks’in tasarısı, “Yaş doğrulama sinyalleri: yazılım uygulamaları” başlığını taşıyor. Wicks’in geçen yıl yazdığı (AB 1043, 13 Ekim 2025’te imzalandı) ve bir telefonun işletim sistemini kullanıcının yaşı konusunda doğruluk kaynağına dönüştüren yasa olan Digital Age Assurance Act’i (Dijital Yaş Güvencesi Yasası) değiştiriyor. AB 1709 bu Yasaya adıyla dayanıyor; iki tasarının birlikte okunması gerekmesinin nedeni de bu.

AB 1709 Neyi Yasaklıyor?

Kabul edilen metindeki işlevsel cümle kısa: “Kapsamdaki bir platform, 16 yaşın altındaki bir kullanıcıya bağımlılık yapıcı bir özellik sunamaz.”

Bağımlılık yapıcı özellik, “etkileşimi en üst düzeye çıkarmayı amaçlayan ve öngörülebilir biçimde kompulsif kullanıma yol açan psikolojik olarak sömürücü özelliklerden” herhangi biri olarak tanımlanıyor ve tasarı ikisini adıyla sayıyor: bağımlılık yapıcı akış ve otomatik oynatma. Başsavcı yönetmelikle başkalarını ekleyebiliyor. Kapsamdaki platform, “kullanıcılara hizmetin önemli bir parçası olarak bağımlılık yapıcı bir özellik sunan ya da sağlayan” herhangi bir site, hizmet ya da uygulama; ticaret siteleri ve bulut depolama kapsam dışı.

Görünüşte bu, hesaplara yönelik bir yasak değil. Bir platform küçüğe bağımlılık yapıcı özellikleri olmayan bir sürüm sunmaya devam edebilir. Tasarının dişleri, platform bunu yapmadığında ortaya çıkıyor: bu sürümü sunamayan ya da sunmayacak bir platform “16 yaşın altındaki bir kullanıcının hesabını ve kullanıcıyla ilişkili tüm kişisel bilgileri silmek” zorunda. Newsom’dan tasarıyı veto etmesini isteyen Electronic Frontier Foundation, sonucu “16 yaşın altındaki kişiler için sosyal medya kullanımına fiili bir yasak” olarak nitelendiriyor. Newsom imza günü bunu farklı çerçeveledi ve Los Angeles Times’a “bu, özelliklerin kendisiyle ilgili. Bu, sorunu, kaydırmayı, algoritmaları gerçekten ele almakla ilgili” dedi.

Cezalar platforma düşüyor. Bilerek yapılan bir ihlal etkilenen küçük başına 50.000 dolara, ihmalle yapılan bir ihlal 25.000 dolara kadar mal oluyor. Davayı yalnızca Başsavcı ya da yerel bir savcı açabiliyor ve mahkeme “kapsamdaki platformun büyüklüğünü, ihlalin ağırlığını ve süresini” ve uyum yönündeki iyi niyetli çabalarını “dikkate almak” zorunda. Tasarı ayrıca Adalet Bakanlığı bünyesinde, her ocak ayında Yasama Meclisine rapor veren yedi üyeli bir e-Güvenlik Danışma Komisyonu kuruyor.

Metin kendine ait bir yürürlük tarihi belirlemiyor. Kaliforniya’nın olağan oturumda kabul edilen yasalar için varsayılan kuralı uyarınca bu 1 Ocak 2027 demek; bu da tasarının dayandığı yaş sinyalinin devreye girdiği güne denk geliyor.

Bir Platform Bir Kullanıcının 16 Yaş Altında Olduğunu Nasıl Bilecek?

Kaliforniya’yı şu anda yürürlükteki diğer tüm yaş kontrolü yasalarından tek bir cümle ayırıyor: “Kapsamdaki bir platform, bir kullanıcıya bağımlılık yapıcı bir özellik sunmadan önce kullanıcının yaşını Digital Age Assurance Act uyarınca doğrular.”

Kimlik tarayarak değil. Selfie’den yaş tahmin ederek değil. IP adresi okuyarak değil. İşletim sistemine sorarak.

Meclis Gizlilik Komisyonunun AB 1856 analizi, Yasanın halihazırda içerdiği mekanizmayı ortaya koyuyor. Pratikte Apple, Google ya da Microsoft anlamına gelen bir işletim sistemi sağlayıcısı, hesap kurulumunda “hesap sahibinin o cihazın kullanıcısının doğum tarihini, yaşını ya da her ikisini belirtmesini gerektiren” bir arayüz sunmak zorunda. Bu girdiden işletim sistemi, “kullanıcının doğum tarihinden ya da yaşından türetilen, kişiyi tanımlamayan veri” olarak tanımlanan “yaş aralığı verisini” dört bantta türetiyor: 13 altı, 13 ila 16, 16 ila 18 ve 18 ve üzeri. Bir uygulama indirilip başlatıldığında sinyali talep etmek zorunda; sinyal “makul ölçüde tutarlı, gerçek zamanlı bir uygulama programlama arayüzü aracılığıyla” geliyor. Sinyali alan bir geliştirici “kullanıcının yaş aralığı hakkında fiili bilgiye sahip sayılıyor” ve aksine açık ve ikna edici bilgiye sahip olmadıkça bunu yaşın birincil göstergesi olarak kabul etmek zorunda.

Komisyon, Kaliforniya’nın neden bu yolu seçtiği konusunda alışılmadık ölçüde açık sözlü. Belgeye dayalı kontroller, diye yazıyor, “kullanıcıların hassas kimlik belgelerini potansiyel olarak onlarca platforma iletmesini gerektiriyor ve ciddi gizlilik ile veri güvenliği riskleri yaratıyor”; biyometrik ve davranışsal yöntemler ise “kapsamlı veri toplama gerektiriyor” ve “tam da en çok önem taşıyan yaş sınırlarında güvenilmez performans gösteriyor”. Kurulumda beyan edilen yaş aralığı uzlaşma noktası: telefonu kuran yetişkin tarafından bir kez yapılan tek bir giriş, tarih olarak değil aralık olarak paylaşılıyor.

AB 1856 tesisatı sıkılaştırıyor. Yasama Danışmanının özetine göre “kullanıcı”yı cihazın birincil kullanıcısı olan çocukla sınırlayan tanımı kaldırıyor; arayüz yükümlülüğünü yalnızca “bir işletim sistemi bir cihazda çalışıyor ve hesap kurulum özelliğine sahipse” uyguluyor; sinyalin hem uygulama mağazalarına hem de geliştiricilere ulaşmasını zorunlu kılıyor; ve daha önce var olmayan bir yasak ekliyor: “Hiç kimse, bu başlık ya da yürürlükteki başka bir yasa gerektirmedikçe, bir işletim sistemi sağlayıcısından ya da kapsamdaki bir uygulama mağazasından belirli bir kullanıcıya ilişkin sinyal talep edemez.” GrapheneOS gibi projelerin arayüzü inşa etmeyeceklerini kamuoyu önünde açıklamasının ardından açık kaynaklı işletim sistemi dağıtıcıları kapsam dışında bırakıldı. Takvim değişmedi: işletim sistemleri 1 Ocak 2027’den itibaren sinyal sağlamak zorunda, bu tarihten önce kurulmuş cihazlar 1 Temmuz 2027’ye kadar bir arayüz alıyor ve geliştiriciler aynı temmuz tarihine kadar sinyal talep ediyor olmalı.

Apple ve Google yasanın önünde. Eylül 2025’te iOS 26 ile gelen Apple’ın Declared Age Range API’si, “bölgedeki yasal gerekliliklere bağlı olarak yaş bandını ya da yaş kategorisini” ve bu yaşın nasıl belirlendiğini döndürüyor: kendi beyanı, vasi beyanı, resmi kimlikle kontrol, ödeme kartıyla kontrol. Google’ın Play Age Signals API’si, 0-12, 13-15, 16-17 ya da 18+ değerlerini “kendi beyanı”ndan “Resmi kimlik ve selfie”ye uzanan bir kaynak kademesiyle döndürüyor ve Google 29 Temmuz 2026’da bunu dünya genelindeki tüm Play geliştiricilerine açacağını duyurdu.

Bundan sonrası için bir madde daha önemli. Bir platform Yasa aracılığıyla “kullanıcının yaşını doğrulayamazsa”, AB 1709 onu, yaş güvencesi hükmü de 1 Ocak 2027’de işlerlik kazanan ve yöntemlerini Başsavcının yönetmelikle belirlediği 2024 tarihli Protecting Our Kids from Social Media Addiction Act’in (SB 976) yaş belirleme yöntemine yönlendiriyor. İşletim sistemi sinyali olmayan bir masaüstü tarayıcı oturumu bunun bariz örneği. Bu yedek yol, bir belgenin ya da bir tahminin tabloya girebileceği tek yer ve neyi gerektireceği henüz yazılmış değil.

Utah Nerede Olduğunuzu Soruyor. Kaliforniya Kaç Yaşında Olduğunuzu Soruyor.

VPN’ler yaş doğrulama tartışmasına farklı türde bir yasa yüzünden girdi. Utah’ın SB 73 yasası, “3 Eylül’de yürürlüğe giriyor” manşetlerinin yanlış çıktığı sırada ele aldığımız yasa, konum üzerine kurulu. Varsayılan konum hükmü, bir bireyin “sanal özel ağ, proxy sunucusu ya da coğrafi konumunu gizlemeye veya yanlış göstermeye yarayan başka bir araç kullanıp kullanmadığına bakılmaksızın…, fiilen eyalet sınırları içinde bulunuyorsa web sitesine bu eyaletten erişiyor sayıldığını” söylüyor. Web sitesi bu ziyaretçinin yaşını buna göre doğrulamak zorunda. Bütün mesele nerede olduğunuzu bilmeye dayanıyor. VPN’in değiştirdiği tek şey de bu; Utah’ın taslak kuralında şimdi “coğrafi konum gizleme” üzerine bir bölüm olmasının ve Aylo’nun dava açmasının nedeni de bu.

Kaliforniya’nın iki tasarısında benzer bir madde yok. AB 1709 konumdan, IP adreslerinden ya da VPN’lerden söz etmiyor. AB 1856 da etmiyor. ABD hukukunda artık üç ayrı model var ve VPN’e çok farklı davranıyorlar:

Akılda tutulmaya değer çizgi: bir yaş sinyali, telefonu kimin kurduğuna dair bir ifadedir. VPN ise telefonun nerede göründüğüne dair bir ifadedir. İkisi hiçbir zaman kesişmez.

VPN Kaliforniya'nın 16 Yaş Altı Kuralını Aşar mı?

Hayır ve bunun için tasarlanmış da değil.

VPN iki şey yapar. Web sitelerinin ve uygulamaların gördüğü IP adresini VPN sunucusunun adresiyle değiştirir; böylece karşı taraf ev bağlantınızı değil Paris’i ya da Frankfurt’u görür. Ve cihazınızla o sunucu arasındaki her şeyi şifreler; böylece kafedeki yönlendirici ve internet servis sağlayıcınız trafiğinizi değil şifreli bir tünel görür. İkisi de işe yarar. Hiçbiri cihazdaki Apple ya da Google hesabına kayıtlı yaş aralığına ya da bu aralığı uygulamaya ileten cihaz üzerindeki API’ye ulaşmaz. Ebeveyninin kurulumda 2011 doğum tarihi girdiği on beş yaşındaki bir genç, Los Angeles’taki bir Wi-Fi ağında da Amsterdam’daki bir VPN sunucusunda da aynı 13 ila 16 aralığını taşır.

Konum tek bir yerde devreye giriyor ve bunun neresi olduğu konusunda kesin olmakta yarar var. AB 1709 Kaliforniya’daki kullanıcıları koruyor ve metni bir platformun bir kullanıcının Kaliforniyalı olduğuna nasıl karar vereceğini öngörmüyor. Pratikte tedarikçiler eyalete özgü davranışlarını anlık ağa değil hesaba bağladı: Apple, Teksas’ın gerekliliklerini 1 Ocak 2026’dan itibaren “Teksas’taki yeni Apple Hesaplarına”, Google ise 28 Mayıs 2026’dan sonra oluşturulan Teksas hesaplarına uyguladı. Kaliforniya’da bir küçüğün doğum tarihiyle kurulan bir hesap, telefon nereden bağlanırsa bağlansın Kaliforniyalı bir küçüğün hesabı olarak işlem görecek.

İki çekince, çünkü yukarıdaki derli toplu anlatım bunları gizliyor. Yedek yol mevcut ve Başsavcı SB 976 yönetmeliklerini yazana kadar sinyal almayan bir platformun ne isteyeceğini kimse söyleyemez. Ve yukarıdaki tablodaki her model, Kaliforniya’nınki dahil, kurulumda girilenin doğruluğuna bağlı: bir yetişkinin doğum tarihiyle yapılandırılan cihaz bir yetişkinin aralığını taşır ve komisyon analizi şunu kabul ediyor: yalnızca doğum tarihi sormak kimseye yük getirmez, ama bir küçüğün dürüstçe yanıtlamaya istekli olmadığı hiçbir şeyi doğrulamaz da. Kaliforniya’nın bahsi, kurulumda tarihi girenin çocuk değil ebeveyn olduğu.

Tablodaki hiçbir modelin yapmadığı şey kullanıcıyı cezalandırmak. AB 1709 ya da AB 1856’daki hiçbir hüküm, hangi amaçla olursa olsun VPN kullanan bir kişiye para cezası vermiyor. Manşetlere rağmen Utah’ın yasası için de böyleydi ve burada da böyle. VPN’lerin nerede yasal olduğuna ilişkin 2026 rehberimiz, yanıtın farklı olduğu bir avuç ülkeyi ele alıyor.

Yaş Kontrolleri Geldiğinde Birleşik Krallık, Avustralya ve Fransa'da Ne Oldu?

Kaliforniya bu işe geç kaldı. Önce giden üç yargı bölgesinin her biri farklı bir tasarımı sınadı ve her biri rakamlar üretti.

Birleşik Krallık web sitesi modelini seçti. 25 Temmuz 2025’ten itibaren Online Safety Act, yetişkin içeriği ve yaş kısıtlamalı başka içerikler barındıran sitelerin sitede “son derece etkili yaş güvencesi”, yani fotoğraflı kimlik eşleştirme, yüzden yaş tahmini ya da benzeri bir yöntem uygulamasını zorunlu kıldı. Top10VPN’in talep takipçisi Birleşik Krallık’taki VPN talebini 25 Temmuz’da önceki 28 günlük ortalamasının %1.327, 26 Temmuz’da %1.712 ve 27 Temmuz’da %1.987 üzerinde kaydetti. Bir yıl sonra, 2026 Temmuz ortasında yayımlanan Ofcom’un yaş güvencesine ilişkin ilk yasal raporu, 2025’in ikinci yarısında 32 hizmetten oluşan bir örneklemde 69 milyondan fazla yaş kontrolü saydı; bu, önceki altı aya göre 23 kat artış anlamına geliyordu ve rapor, son derece etkili bir kontrolle karşılaşan çocukların payının Temmuz 2025 ile Ocak 2026 arasında %25’ten %43’e çıktığını söyledi. Kontroller işe yarıyor; kontroller aynı zamanda insanları VPN’lere yönlendiriyor. İkisi de doğru ve Birleşik Krallık’ın VPN pazarı o günden beri farklı görünüyor.

Avustralya zorunlu bir yöntem olmaksızın bir platform yükümlülüğü seçti. 16 yaş altı asgari yaş kuralı 10 Aralık 2025’te yürürlüğe girdi; platformların 16 yaş altını uzak tutmak için “makul adımlar” atmasını gerektiriyor, 49,5 milyon Avustralya dolarına kadar para cezası öngörüyor ve çocuklara ya da ebeveynlere ceza getirmiyor. 16 Ocak 2026’da eSafety, platformların aralık ortasına kadar 4,7 milyon 16 yaş altı hesabın erişimini kaldırdığını bildirdi; Meta, 30 Haziran 2026 itibarıyla tek başına 750.000’den fazla Facebook ve Instagram hesabının erişimini kaldırdığını söylüyor. Top10VPN 7 Aralık’ta %103’lük bir talep sıçraması kaydetti. Newsom’un Avustralya yaklaşımına ilişkin yargısı, Los Angeles Times’a göre, gençlerin “hepsinin o sistemi alt etmenin bir yolunu bulduğu” yönündeydi; hesaplar yerine özellikleri hedeflemenin gerekçesi de bu.

Fransa 15 yaş altı yasağını seçti ve en yüksek mahkemesi bunu iptal etti. 14 Ağustos 2026’da Conseil constitutionnel’in 2026-911 DC sayılı kararı, 15 yaş altını 1 Eylül’den itibaren sosyal ağlardan uzak tutacak yasanın 1. Maddesini iptal etti. Mahkeme yasağın ifade özgürlüğüne orantısız bir kısıtlama olduğuna hükmetti ve yasa, yasama organı bunun koşullarını ve sınırlarını belirlemeksizin “kendiliğinden, reşit olsa bile her kişinin yaşını kanıtlamasını gerektirdiği” için gizliliği ihlal ediyordu. Hükümet şimdi metni 2027 baharına kadar yeniden yazmayı hedefliyor. Fransa site düzeyindeki kontrollerin VPN talebine ne yaptığını zaten görmüştü: Top10VPN, yaş doğrulamasının yetişkin sitelerine geldiği 5 Haziran 2025’te normalin %570 üzerinde bir talep ölçtü. EFF, Fransız kararına, Kaliforniya’nın yasayı imzaladığı gün yayımladığı açıklamada atıfta bulundu.

Örüntü üçünde de geçerli. VPN dalgası, web sitesinin belge kontrolü yapmasını zorunlu kılan yasaların ardından geliyor. Kaliforniya’nın tasarımı belgeden kaçınıyor, ki Fransız mahkemesinin itirazı da buydu, ve konumdan kaçınıyor, ki Utah’ta VPN’i ilgili kılan da bu. Bunun dalgadan da kaçınıp kaçınmadığı Eylül 2026’nın değil, Ocak 2027’nin sorusu.

Bunların Hangisi Ne Zaman Başlıyor?

• 10 Eylül 2026: AB 1709 ve AB 1856 imzalandı.
• 22 Ekim 2026: Hakim ihtiyati tedbir hakkında daha önce karar vermezse Utah'ın Aylo'ya karşı uygulamama dönemi sona eriyor.
• 1 Ocak 2027: AB 1709 yürürlüğe giriyor. İşletim sistemi sağlayıcıları Digital Age Assurance Act kapsamında yaş sinyali sağlamaya başlamak zorunda. SB 976'nın yaş güvencesi hükmü işlerlik kazanıyor.
• 1 Temmuz 2027: 2027'den önce kurulmuş cihazlarda yaş arayüzü için ve Ocak 2026'dan bu yana güncellenen uygulamaların geliştiricilerinin sinyal talep ediyor olması için son tarih.
• 2027 baharı: Fransız hükümetinin yeniden yazılmış 15 yaş altı yasası için hedefi.
• Mahkeme tarihleri: henüz yok. NetChoice'un imzaya tepkisi, "eyalet bir ifadeyi basitçe bağımlılık yapıcı olarak tanımlayıp sonra ona erişimi düzenleme hakkı iddia edemez", taslak halindeki bir dava dilekçesi gibi okunuyor. Dokuzuncu Daire Eylül 2025'te SB 976'nın büyük bölümünün yürürlükte kalmasına izin verdi; Teksas'ın uygulama mağazası yasası Yüksek Mahkemenin müdahale etmeyi reddetmesine kadar ayakta kaldı. Dava bekleyin ve yukarıdaki yürürlük tarihlerinin ilk hedef olmasını bekleyin.

Kaliforniya'da VPN Kullanıyorsanız Bu Ne Anlama Geliyor

Bir yetişkin için hiçbir şey değişmiyor. Hesabınız bir yetişkin aralığı taşıyor; uygulamalar ocaktan itibaren bunu okuyacak ve size bugün davrandıkları gibi davranacak. VPN’iniz onu ne için satın aldıysanız onu yapmaya devam ediyor: IP adresinizi her sitenin kayıtlarından uzak tutmak, otel ve havalimanı ağlarında trafiğinizi şifrelemek ve seyahatteyken evinizdeki hizmetlere ulaşmanızı sağlamak. Bunlardan herhangi birinde yeniyseniz Amerika Birleşik Devletleri’nde VPN kullanma rehberimiz başlamak için doğru yer; Le VPN’in planları aynı anda 10 cihazı kapsıyor ve 30 günlük para iade garantisiyle geliyor.

Bir ebeveynseniz yasanın çocuğunuza sağladığı koruma artık tek bir girişe dayanıyor: telefonunu kurarken yazdığınız doğum tarihi. Kendi tarihinizi girerseniz cihaz her uygulamaya bir yetişkine ait olduğunu söyler. Çocuğunuzunkini girerseniz yaş aralığı telefonu takip eder. Kaliforniya’nın kuralı herhangi bir uygulamanın ayarlar sayfasında değil, o tek alanda başlıyor. Ocaktan önce çocukların cihazlarının nasıl kurulduğuna daha geniş bir bakış atmaya değer.