Bir GrapheneOS Kullanıcısı Yaş Doğrulama Sırasında Cihazı Yüzünden Yetkililere Bildirildiğini İddia Etti: Yoti Ne Dedi, Bu Olay Hangi Gizlilik Gerilimlerini Gözler Önüne Seriyor?

Haziran 2026’nın başında, bir kullanıcının Sony PlayStation Network için Yoti aracılığıyla yaş doğrulaması yapmaya çalışırken yaşadıkları, internetin mahremiyet ve teknoloji odaklı forumlarında büyük yankı uyandırdı. Kullanıcı, güvenlik ve mahremiyet odaklı açık kaynaklı bir Android işletim sistemi olan GrapheneOS yüklü cihazıyla bu işlemi gerçekleştirmek istedi. Sonuç olarak Yoti’den aldığını öne sürdüğü bir e-posta, tartışmaların fitilini ateşledi.

Ne Oldu?

Kullanıcının paylaştığı ekran görüntülerine ve çevrimiçi forumlarda yaptığı paylaşımlara göre, Yoti'nin destek ekibi kendisine şu yanıtı verdi: “Geçmiş güvenlik endişeleri nedeniyle Yoti, birden fazla doğrulama denemesini ve GrapheneOS çalıştıran tüm cihazları otomatik olarak işaretler. Bu durumlar otomatik olarak hem yetkililere hem de güvenlik ekibimize bildirilir.”

Bu ifade, bir kullanıcının sırf tercih ettiği işletim sistemi nedeniyle fişlenmesi ve “yetkililere” bildirilmesi anlamına geliyordu. Olay, kısa sürede Reddit, Hacker News ve GrapheneOS’un kendi tartışma forumları gibi platformlarda yayıldı. Kullanıcının iddiasına göre, birden fazla doğrulama denemesi yapmıştı ve bu denemeler ile işletim sistemi birleşince Yoti tarafından “şüpheli aktivite” olarak sınıflandırılmıştı.

Yoti ve GrapheneOS Cephesinden Yanıtlar

• Yoti’nin Kullanıcıya Doğrudan Yanıtı: Yukarıda bahsedilen e-posta, Yoti destek ekibi tarafından onaylanmış ve yazılı olarak kullanıcıya iletilmiş bir bildirimdi. Bu iletişimde GrapheneOS cihazlarının otomatik olarak işaretlendiği ve bu durumun yetkililere raporlandığı net bir şekilde belirtiliyordu.
• GrapheneOS Projesinin Teknik Tespiti: GrapheneOS geliştiricileri ve topluluğu, teknik olarak bir uygulamanın, Android’in

  Hardware Attestation

  (Donanım Doğrulama) API’sini kullanarak cihazda GrapheneOS yüklü olup olmadığını tespit edebileceğini doğruladı. Bu, Yoti’nin uygulamasının, kullanıcının işletim sistemini ayırt edebilecek altyapıya sahip olduğunu gösteriyor. Ancak GrapheneOS tarafı, “yetkililere bildirme” iddiasının, bir kullanıcıyı başından savmak isteyen “sorumsuz bir destek çalışanının” korkutma taktiği olabileceğini ve bunun gerçeği yansıtmadığını düşündüklerini belirtti.
• Resmi Bir Açıklamanın Yokluğu: Mevcut raporların hiçbiri, Yoti’nin bu olayla ilgili kapsamlı ve halka açık bir kurumsal açıklama yaptığına dair bir bilgi içermiyor. “Yetkililere bildirildi” ifadesinin harici bir kolluk kuvveti raporunu mu, yoksa şirket içi bir güvenlik uyarısını mı kastettiği belirsizliğini koruyor.

Olayın Gözler Önüne Serdiği Daha Geniş Bağlam: Mahremiyet Gerilimi

Bu münferit gibi görünen olay, aslında çok daha büyük bir buzdağının görünen kısmı. Yaş doğrulama teknolojileri, cihaz parmak izi çıkarma ve bireysel mahremiyet arasındaki derin çatışmayı net bir şekilde ortaya koyuyor.

Yoti’nin Avrupa’daki GDPR Sicili

Olay, Yoti’nin zaten tartışmalı olan veri koruma geçmişinin üzerine geldi. Kasım 2025’te İspanya Veri Koruma Ajansı (AEPD), Yoti Ltd.’ye Genel Veri Koruma Tüzüğü’nü (GDPR) ihlal ettiği gerekçesiyle toplamda €950.000 para cezası kesti. Ceza gerekçeleri oldukça ağırdı:

• €500.000: Biyometrik verileri hukuka aykırı işleme. Yoti, kullanıcıların özçekimlerinden (selfie) biyometrik modeller oluşturarak kimlik belgeleriyle eşleştirme yapıyordu. Bu işlem, özel nitelikli kişisel verilerin işlenmesi için GDPR’ın aradığı sıkı koşulları karşılamıyordu.
• €200.000: Geçerli rıza almadan veri işleme. Şirketin, araştırma amaçlı veri toplamak için önceden işaretlenmiş onay kutuları kullandığı ve bunun GDPR’ın “özgürce verilmiş rıza” şartını karşılamadığı tespit edildi.
• €250.000: Veri saklama sürelerinin aşılması. Yoti’nin, kullanıcıların hangi yaş kısıtlamalarına tabi olduğunu belirlemek için kullanılan coğrafi konum verilerini beş yıla kadar sakladığı ve bunun “amaçla sınırlı saklama” ilkesine aykırı olduğu belirtildi.

Avrupa Parlamentosu’na sunulan bir soru önergesi de bu cezaya atıfta bulunarak, Yoti’nin Meta, TikTok ve Pornhub gibi siteler tarafından kullanıldığını vurguladı ve Avrupa Komisyonu’na, yaş doğrulama araçlarının kullanıcı verilerini riske atmasını önlemek için harekete geçip geçmeyeceğini sordu. Yoti ise bu kararı reddederek İspanya Yüksek Mahkemesi’ne itiraz ettiğini duyurdu.

Cihaz Parmak İzi ve İşletim Sistemi Ayrımcılığı

Asıl korkutucu olan, yaş doğrulamanın basit bir “18 yaşından büyük müsün?” sorusundan çok daha fazlası olması. Bir yaş doğrulama akışı, sessizce bir cihaz güvenlik taramasına dönüşebiliyor:

• Teknik olarak mümkün: GrapheneOS topluluğunun da doğruladığı gibi, uygulamalar

  Hardware Attestation

  API’si ile cihazın işletim sistemi hakkında detaylı bilgi toplayabiliyor.
• “Şüpheli” kullanıcı profili: Bu yetenek, GrapheneOS gibi mahremiyet ve güvenliği artırmak için tasarlanmış işletim sistemlerini kullanan kişilerin, sistemler tarafından peşinen “şüpheli” veya “potansiyel tehdit” olarak etiketlenmesine yol açabilir.
• Donanım seviyesinde gözetim: Bu, yalnızca bir çerez veya tarayıcı parmak izi değil, doğrudan cihazın donanım ve işletim sistemi seviyesinde bir doğrulamadır. Kullanıcının anonim kalma veya izlenmeme çabası, daha en baştan baltalanmış olur.

Temel Politika Çatışması

Hükümetler ve düzenleyiciler, çocukları korumak adına çevrimiçi hizmetler için giderek daha sıkı yaş doğrulama sistemleri talep ediyor. Bu talep, Yoti gibi şirketler için büyüyen bir pazar yaratıyor. Ancak bu sistemler, doğası gereği hassas kimlik, biyometrik veya cihaz tabanlı kontroller gerektirdiği için, kullanıcıların mahremiyeti ve anonimlik hakkı ile doğrudan çatışıyor. Bu GrapheneOS olayı, yaş doğrulama sürecinin nasıl kolayca bir işletim sistemi tespit ve ihbar mekanizmasına evrilebileceğinin canlı bir örneğini sundu.

Yanıtsız Kalan Sorular

Olayın yarattığı infiale rağmen, bazı kritik sorular hala cevaplanmış değil:

• “Yetkililer” kim? Yoti’nin e-postasında bahsi geçen “yetkililer” ifadesi, gerçekten bir polis birimine veya resmi bir kuruma yapılan bir bildirimi mi, yoksa şirket içi bir güvenlik ekibine yapılan rutin bir yönlendirmeyi mi ifade ediyor? Kaynaklar bu dilin muğlak olduğunu ve yanlış yorumlanmış olabileceğini öne sürüyor.
• Pratik sonuçlar neler? Kullanıcının “yetkililere bildirilmesinin” somut bir hukuki veya idari sonucu olup olmadığı bilinmiyor. Polis tarafından ziyaret edilme veya herhangi bir yaptırımla karşılaşma gibi bir durum bildirilmedi.

Sonuç olarak, bu olay bireysel bir mağduriyetten çok, dijital dünyada kontrolün kimde olduğuna dair rahatsız edici bir uyarı niteliğinde. Kullanıcılar, bir hizmete erişmek için sadece yaşlarını değil, aynı zamanda kullandıkları yazılımın “kabul edilebilir” olup olmadığını da kanıtlamak zorunda kalacakları bir geleceğe doğru hızla ilerliyor olabilir.