Uçakta Wi-Fi İçin Açık Rıza Zorunlu mu? KVKK 2024/1393
Kısa ve net cevap: Hayır. Uçuş sırasında sunulan Wi-Fi hizmetinin kurulması ve yürütülmesi için gerekli kişisel veri işleme faaliyetleri 6698 sayılı Kanun m.5/2’deki başka bir hukuki sebebe dayanıyorsa, kullanıcıdan ayrıca “açık rıza” alınması doğru değildir. Kişisel Verileri Koruma Kurulunun 15 Ağustos 2024 tarihli ve 2024/1393 sayılı kararında, uçak içi internet hizmetinde yolcunun soyadı ile koltuk veya bilet bilgisinin havayolu şirketi sistemlerinde doğrulanarak internet servis sağlayıcıya aktarılması; hizmet sözleşmesinin kurulması ve mevzuattan doğan yükümlülüklerin yerine getirilmesi kapsamında m.5/2-c, m.5/2-ç ve m.5/2-e şartlarına dayalı bulundu. Buna rağmen internet servis sağlayıcının portalında “bilgilerimin paylaşılmasını kabul ediyorum” kutusunun zorunlu tutulması, ilgili kişiyi açık rıza vermek zorundaymış gibi yanıltan ve yanlış yönlendiren bir uygulama sayıldı. Kurul, KVKK m.4/2-a ve m.12/1 bağlantısıyla internet servis sağlayıcı hakkında m.18/1-b uyarınca 90.000 TL idari para cezası uygulanmasına karar verdi.
KVKK 2024/1393 Kararındaki Olay Nedir?
İlgili kişi uçuş sırasında havayolu şirketinin yolculara sunduğu Wi-Fi hizmetinden yararlanmak istedi. Portal ekranında iki ayrı kutu ile karşılaştı. Bunlardan biri son kullanıcı sözleşmesine ilişkin onaydı. Diğer kutuda ise havayolu şirketine bildirilmiş kişisel bilgilerin internet kullanıcı bilgilerinin doğrulanması amacıyla ilgili makamlar ve internet servis sağlayıcı ile paylaşılmasının kabul edildiği yönünde bir ifade bulunuyordu.
İlgili kişi ikinci kutuyu işaretlemeden hizmete devam edemediğini, oysa veri işlemenin açık rıza dışındaki hukuki sebeplere dayanabileceğini belirterek Kuruma şikâyette bulundu. Şikâyette havayolu şirketi ile internet servis sağlayıcının rollerinin ne olduğu, aydınlatma yükümlülüğünün kime ait olduğu ve yurt dışına aktarım iddiası da gündeme getirildi.
Kurul incelemesinde uçak içi internet hizmetinin teknik ve sözleşmesel yapısını araştırdı. Hizmetin elektronik haberleşme mevzuatı uyarınca yetkili internet servis sağlayıcı tarafından sunulduğu, havayolu şirketinin ise yolcunun uçuş ve koltuk bilgilerini kendi sisteminde doğrulayarak servis sağlayıcının portalına sonuç bildirdiği tespit edildi.
İnceleme sırasında servis sağlayıcının daha sonra portal tasarımını değiştirdiği ve tartışmalı ikinci onay kutusunu kaldırdığı da görüldü. Ancak Kurul, geçmişteki uygulamanın hukuka uygunluğunu ayrıca değerlendirdi ve zorunlu açık rıza modelinin KVKK ilkelerine aykırı olduğuna karar verdi.
Uçuş Wi-Fi Hizmetinde Hangi Kişisel Veriler İşlendi?
Karar özetinde internet servis sağlayıcının uçuş internet hizmeti kapsamında ad, soyadı, T.C. kimlik numarası, pasaport numarası, koltuk numarası, bilet numarası, satın alınan paket bilgisi, IP adresi ve kullanıcı adı gibi verileri işleyebildiği açıklandı. Somut doğrulama akışında özellikle soyadı ile koltuk numarası veya bilet numarası ön plana çıktı.
Bu verilerden bir kısmı yolcunun gerçekten ilgili uçuşta bulunduğunu doğrulamak, bir kısmı internet hizmeti sözleşmesini kurmak, bir kısmı da elektronik haberleşme ve internet mevzuatından doğan kayıt yükümlülüklerini yerine getirmek için kullanılıyordu.
KVKK açısından bir veri alanının “teknik olarak gerekli” olması tek başına yeterli değildir. Veri sorumlusu hangi veriyi hangi amaçla ve hangi m.5 işleme şartına dayanarak kullandığını belirlemelidir. Koltuk numarası uçuş doğrulaması için gerekli olabilirken, aynı verinin pazarlama veya farklı profil çıkarma amacıyla kullanılması ayrı bir hukuki değerlendirme gerektirir.
Bu nedenle uçuş Wi-Fi sistemi kurulurken veri akış şeması hazırlanmalı; havayolu sisteminden servis sağlayıcıya hangi alanların geçtiği, hangi alanların yalnız doğrulama sonucu olarak döndüğü ve hangi kayıtların ne kadar süre saklandığı açık şekilde belgelenmelidir.
Havayolu Şirketi ile İnternet Servis Sağlayıcının Rolü Ne?
Kararın önemli yönlerinden biri veri sorumlusu rollerinin ayrıştırılmasıdır. Havayolu şirketi, ana uçuş hizmetini sunan ve yolcu/rezervasyon verilerini bu ilişki kapsamında işleyen ayrı bir veri sorumlusudur. İnternet servis sağlayıcı ise uçuş Wi-Fi hizmetini kendi elektronik haberleşme yetkisi ve son kullanıcı sözleşmesi kapsamında sunan ayrı bir veri sorumlusudur.
Kurul, tartışmalı doğrulama sürecinde iki şirket arasında kişisel veri aktarımı bulunduğunu kabul etti. Yolcu, servis sağlayıcının portalına soyadı ile koltuk veya bilet bilgisi giriyor; bu bilgi havayolu sistemleriyle doğrulanıyor ve doğrulama sonucu servis sağlayıcıya bildiriliyordu. Bu teknik akış, tarafların kendi hizmet alanları içinde ayrı veri sorumlusu oldukları sonucunu değiştirmedi.
Bir şirketin teknik entegrasyon kullanması onu otomatik olarak “veri işleyen” yapmaz. Veri sorumluluğu belirlenirken işleme amacını ve vasıtalarını kimin belirlediği, kullanıcıyla hangi sözleşmenin kurulduğu, mevzuat yükümlülüğünün kime ait olduğu ve sistem kararlarının kim tarafından alındığı değerlendirilir.
Bu nedenle havayolu, otel, ödeme kuruluşu, platform veya telekom gibi çok aktörlü dijital hizmetlerde sözleşmeye yalnız “A veri sorumlusu, B veri işleyen” yazmak yeterli değildir. Gerçek operasyon bu role uymalıdır.
KVKK m.5/2-c, m.5/2-ç ve m.5/2-e Neden Uygulandı?
Kurul, Wi-Fi hizmetinin sunulabilmesi için ilgili yolcunun gerçekten o uçakta bulunmasının doğrulanması gerektiğini tespit etti. Yolcu internet servis sağlayıcıyla son kullanıcı sözleşmesi kuruyor ve hizmetten yararlanıyordu. Bu nedenle sözleşmenin kurulması veya ifasıyla doğrudan ilgili veri işleme bakımından m.5/2-c gündeme geldi.
İnternet servis sağlayıcının elektronik haberleşme ve internet mevzuatından doğan loglama, kullanıcı doğrulama ve benzeri yükümlülükleri bulunduğu için veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi amacıyla m.5/2-ç de değerlendirmeye alındı.
Kararda ayrıca bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartını düzenleyen m.5/2-e’ye de dayanıldı. Hizmet ilişkisinin kurulması ve tarafların hak/borçlarının belirlenmesi bu bağlamda ele alındı.
Bu üç hukuki sebep somut işleme faaliyetini karşılıyorsa, aynı işlem için “bir de açık rıza alalım” yaklaşımı hukuken daha güvenli hale gelmez. Tam tersine, zorunlu hizmetin rızaya bağlandığı izlenimi yaratarak rızanın özgür iradeye dayandığı yönündeki temel kavramı zedeleyebilir.
Açık Rıza Neden Yanlış Hukuki Sebep Oldu?
6698 sayılı Kanun’da açık rıza, kişisel veri işlemenin tek ve üstün hukuki sebebi değildir. M.5/2’de sayılan şartlardan biri mevcutsa veri işleme açık rıza olmadan yürütülebilir. Veri sorumlusunun öncelikle gerçek işleme sebebini tespit etmesi gerekir.
2024/1393 kararında yolcunun Wi-Fi hizmetinden yararlanabilmesi için verilerin doğrulanması hizmetin kurulması ve mevzuat yükümlülükleri açısından zaten gerekliydi. Kullanıcıya “paylaşılmasını kabul ediyorum” kutusunu zorunlu işaretletmek, sanki veri işlemenin kişinin seçimine bağlı olduğu izlenimini doğuruyordu. Oysa kişi rıza vermese bile hizmetin hukuki yapısı gereği belirli verilerin işlenmesi gerekiyordu.
Açık rıza, Kanun m.3’e göre belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Hizmetin ifası için zorunlu veriyi işlemek bakımından kullanıcıya gerçek bir seçim sunulmuyorsa, bu işlemi açık rıza formuna dönüştürmek doğru değildir.
Benzer sorun üyelik, kargo, bankacılık, iş ilişkisi ve sağlık hizmetlerinde de görülür. Kanuni zorunlulukla alınması gereken veriye “rıza veriyorum” kutusu eklemek, uyum sağlamak yerine hukuki sebep karmaşası yaratabilir.
Dürüstlük Kuralı ve Yanıltıcı Rıza Nasıl Bağlantılı?
6698 sayılı Kanun m.4/2-a, kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesini zorunlu kılar. Kurul, açık rıza dışındaki hukuki şartlar mevcutken kullanıcının rıza vermek zorundaymış gibi yönlendirilmesini bu ilkeye aykırı buldu.
Buradaki ihlal yalnız formun teknik tasarımından ibaret değildir. Kullanıcı hangi hakka sahip olduğunu yanlış anlar. Rızasını geri çekerse hizmetin devam edip etmeyeceğini, verinin hangi hukuki sebeple işlendiğini ve gerçekten seçenek sahibi olup olmadığını bilemez.
Şeffaflık, “çok sayıda kutu göstermek” demek değildir. Doğru hukuki sebebi doğru isimle açıklamak gerekir. Sözleşme için gerekli veri “sözleşmenin ifası”, kanuni yükümlülük için gerekli veri “hukuki yükümlülük”, gerçekten tercih bağlı işlem ise şartları varsa “açık rıza” ile ilişkilendirilmelidir.
Kurul bu yanlış yönlendirmeyi m.12/1 kapsamındaki gerekli teknik ve idari tedbir yükümlülüğüyle de bağlantılandırdı ve internet servis sağlayıcı hakkında m.18/1-b uyarınca 90.000 TL idari para cezası uyguladı.
Son Kullanıcı Sözleşmesini Kabul Etmek ile Açık Rıza Aynı Şey midir?
Hayır. Sözleşme onayı, taraflar arasında hizmet ilişkisi kurulmasına yöneliktir. Açık rıza ise belirli bir kişisel veri işleme faaliyeti için Kanun’da tanımlanan ayrı bir hukuki irade açıklamasıdır.
Uçuş Wi-Fi portalında “Son Kullanıcı Sözleşmesini onaylıyorum” kutusu ile kişisel verilerin paylaşılmasına ilişkin ikinci kutunun bulunması bu ayrımı görünür hale getirdi. Kurul, sözleşme kapsamında gerekli kişisel veri işlemenin m.5/2-c gibi hukuki sebeplere dayanabileceğini; bunun ayrıca açık rızaya bağlanmasının uygun olmadığını belirledi.
Sözleşme metninin içinde kişisel veri hükümleri bulunabilir; ancak bunlar sözleşmenin ifası için gerekli işleme faaliyetlerini açıklamalıdır. Sözleşmeyle ilgisi olmayan, isteğe bağlı reklam/profil çıkarma gibi faaliyetler varsa bunların hukuki sebebi ayrıca değerlendirilir.
Aydınlatma metni de ne sözleşme ne açık rızadır. Aydınlatma, veri sorumlusunun m.10 kapsamındaki bilgi verme yükümlülüğüdür. Bu üç belge ve hukuki işlev birbirine karıştırılmamalıdır.
Havayolundan İnternet Servis Sağlayıcıya Veri Aktarımı Nasıl Değerlendirildi?
Kurul, yolcu bilgisi doğrulamasında havayolu şirketi ile internet servis sağlayıcı arasında kişisel veri aktarımı gerçekleştiğini kabul etti. Kullanıcı portalda soyadı ile koltuk veya bilet numarası giriyor; havayolu sistemi bu bilgilerin doğruluğunu kontrol ediyor ve sonuç servis sağlayıcıya iletiliyordu.
Aktarımın hukuka uygunluğu, Wi-Fi hizmetinin kurulması için gerekli doğrulama süreci ve tarafların hukuki yükümlülükleriyle birlikte değerlendirildi. Verinin aktarılması, tek başına mutlaka açık rıza gerektiren bir işlem olarak ele alınmadı.
Şirketlerin benzer entegrasyonlarda “veri aktarımı var, o halde açık rıza gerekir” şeklinde otomatik sonuç çıkarmaması gerekir. Yurt içi veri aktarımı bakımından 6698 sayılı Kanun’un güncel aktarım hükümleri ve işleme şartları birlikte değerlendirilmelidir.
Öte yandan hizmet için gerekli olmayan veri alanlarının aktarılması, gereğinden uzun saklama veya aktarımın farklı amaçlarla kullanılması halinde aynı hukuki sonuç çıkmaz. Her veri alanı ve amaç ayrı incelenmelidir.
Aydınlatma Yükümlülüğü İddiası Neden Esastan İncelenmedi?
Kararın usul bakımından önemli bir bölümü de budur. İlgili kişi Kurula şikâyetinde, portalda aydınlatmanın gerektiği gibi yapılmadığını da ileri sürdü. Ancak bu iddia daha önce Kanun m.13 kapsamında veri sorumlusuna yaptığı başvuruda yer almıyordu.
Kanun m.13 ve m.14 sistemi gereğince ilgili kişi, Kanun’un uygulanmasına ilişkin taleplerini önce veri sorumlusuna iletmelidir. Veri sorumlusunun cevabı yetersiz bulunursa, başvuru reddedilirse veya süresinde cevap verilmezse Kurula şikâyet edilebilir.
Kurul, aydınlatma iddiasının önce veri sorumlusuna yöneltilmemesi nedeniyle bu hususu şikâyetin inceleme kapsamına dahil etmedi. Bu sonuç, KVKK şikâyeti hazırlarken veri sorumlusuna yapılacak ilk başvurunun kapsamının önemini gösterir.
Başvuruda yalnız “verilerim hukuka aykırı işlendi” demek yerine, aydınlatma, hukuki sebep, aktarım, saklama, silme veya erişim gibi hangi ihlaller ileri sürülecekse açıkça belirtilmesi gerekir. Bu konuda aydınlatma ile açık rızanın ayrılması yazımızı da inceleyebilirsiniz.
Dijital Hizmet Sağlayıcılar İçin Uyum Modeli
Hukuki sebep haritası: Her veri alanı için m.5 veya m.6’daki gerçek işleme şartı belirlenmelidir. Açık rıza yalnız gerçekten gerekli olduğu yerde kullanılmalıdır.
Arayüz denetimi: Web ve mobil ekranlar hukuk ekibinin hazırladığı metinlerden bağımsız tasarlanmamalıdır. Zorunlu kutular, önceden işaretli seçimler, “kabul etmezsen hizmet yok” akışları düzenli olarak incelenmelidir.
Rol analizi: Entegrasyondaki her şirketin veri sorumlusu/veri işleyen rolü fiili karar yetkisine göre belirlenmeli; sözleşme ile operasyon birbiriyle uyumlu olmalıdır.
Veri minimizasyonu: Kullanıcının hizmet için gerçekten gerekli bilgilerinden fazlası istenmemeli ve doğrulama sonucu mümkünse “eşleşti/eşleşmedi” gibi sınırlı bir veriyle yürütülmelidir.
Değişiklik yönetimi: Arayüzde hukuka aykırı kutu sonradan kaldırılmış olsa bile önceki dönemdeki işleme faaliyetleri ayrıca değerlendirilmelidir. Tasarım değişiklikleri loglanmalı ve hukuki onay süreci işletilmelidir.
Başvuru süreci: İlgili kişinin hangi iddiaları ileri sürdüğü doğru kayda alınmalı ve cevap kapsamı, daha sonra Kurula yapılabilecek şikâyetin usulünü etkileyebileceği için eksiksiz olmalıdır.
Sık Yapılan Hatalar
- “Açık rıza almak her zaman en güvenli yöntemdir” sanmak: Başka hukuki sebep varsa gereksiz rıza kullanıcıyı yanıltabilir.
- Sözleşme onayıyla açık rızayı aynı şey saymak: Hukuki işlevleri farklıdır.
- Entegrasyondaki diğer şirketi otomatik olarak veri işleyen görmek: Fiili rol ayrıca analiz edilmelidir.
- Hizmet için gerekli veriyi rıza verilmezse işlenmeyecekmiş gibi sunmak: Bu, özgür irade ve dürüstlük sorununa yol açar.
- Aydınlatma iddiasını ilk KVKK başvurusuna yazmamak: Sonraki Kurul şikâyetinde usul sorunu çıkabilir.
- Arayüz değiştirildiğinde geçmiş ihlalin ortadan kalktığını düşünmek: Düzeltme geleceği korur; önceki faaliyetin hukuki değerlendirmesini otomatik silmez.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurulu 15.08.2024 tarihli ve 2024/1393 sayılı karar özeti
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.3, m.4, m.5, m.12, m.13, m.14 ve m.18
- 5809 sayılı Elektronik Haberleşme Kanunu
- 5651 sayılı Kanun
Sık Sorulan Sorular
1. Uçakta Wi-Fi kullanmak için açık rıza vermek zorunlu mudur?
Hizmet için gerekli veri işleme m.5/2’deki başka bir hukuki sebebe dayanıyorsa açık rıza zorunlu değildir. 2024/1393 kararında zorunlu rıza kutusu hukuka aykırı bulundu.
2. Kurul hangi maddeleri uyguladı?
İşleme şartları bakımından m.5/2-c, m.5/2-ç ve m.5/2-e; temel ilkeler bakımından m.4/2-a; güvenlik ve yaptırım bakımından m.12/1 ile m.18/1-b uygulandı.
3. İdari para cezası ne kadardı?
İnternet servis sağlayıcı hakkında 90.000 TL idari para cezası uygulandı.
4. Havayolu şirketi ile servis sağlayıcı aynı veri sorumlusu mu?
Kurul, kendi hizmet alanları bakımından iki ayrı veri sorumlusu oldukları sonucuna vardı.
5. Yolcu bilgileri neden havayolu sisteminde doğrulandı?
Wi-Fi hizmetinden gerçekten o uçakta bulunan yolcunun yararlanmasını sağlamak ve elektronik haberleşme hizmetini yürütmek için doğrulama yapılıyordu.
6. Son kullanıcı sözleşmesini onaylamak açık rıza mıdır?
Hayır. Sözleşme kurulmasına ilişkin onay ile KVKK açık rızası farklı hukuki işlemlerdir.
7. Açık rızayı almak neden cezaya yol açtı?
Çünkü somut işleme zaten başka yasal sebeplere dayanıyordu; zorunlu rıza talebi kullanıcının yanıltılması ve yanlış yönlendirilmesi olarak değerlendirildi.
8. Aydınlatma iddiası neden incelenmedi?
İlgili kişi bu iddiayı önce m.13 kapsamında veri sorumlusuna yaptığı başvuruda ileri sürmediği için usul şartı oluşmamıştı.
9. Tartışmalı kutu daha sonra kaldırılmış mıydı?
Evet. Kurul incelemesinde sunulan sonraki ekran görüntüsünde yalnız son kullanıcı sözleşmesi kutusunun kaldığı görüldü.
10. Bu karar yalnız uçak Wi-Fi hizmetleri için mi önemlidir?
Somut karar uçuş interneti hakkındadır; ancak başka hukuki sebep varken gereksiz açık rıza istenmemesi ilkesi tüm veri sorumluları için genel KVKK yaklaşımıdır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
