Otobüs Bileti Alırken T.C. Kimlik Numarası Vermek Zorunlu mu? U-ETDS Yolcu Bildirimi, Araç İçi Kamera ve Otobüs Firmalarında KVKK

Kısa cevap: evet, zorunlu. Şehirlerarası otobüs biletinde yolcunun T.C. kimlik numarasının yer alması firmanın tercihine bırakılmış bir uygulama değil, 8 Ocak 2018 tarihli ve 30295 sayılı Resmî Gazete'de yayımlanan Karayolu Taşıma Yönetmeliği'nin 36. maddesinin ikinci fıkrasının açık hükmü. Türk vatandaşı olmayan yolcularda uyruk ve pasaport numarası ya da varsa yabancı kimlik numarası isteniyor. Bu veri, 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasındaki kanunlarda açıkça öngörülme ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi şartlarına dayanıyor. Dolayısıyla bilet satarken bu kalem için yolcudan açık rıza alınmaz. Alınmaya çalışılması da hatalıdır, çünkü rıza her an geri alınabilen bir iradedir ve kanunun emrettiği bir kaydı ortadan kaldıramaz. Madalyonun öbür yüzü şu: zorunluluk yalnızca mevzuatın saydığı alanlarla sınırlı. Bilet için gereken veriyle kampanya için istenen veri aynı kutuya konulamaz.

Bilette tam olarak neyin bulunması gerektiğini bilmek tartışmayı kısaltıyor. Aynı fıkra; yetki belgesi sahibinin adı veya unvanı, yetki belgesi numarası, adresi, vergi kimlik numarası, biletin seri ve müteselsil sıra numarası, düzenleme tarihi, kalkış ve varış yeri, hareket tarihi ve saati ile yolcunun kimlik numarası, engelli olup olmadığı, adı, soyadı, iletişim bilgisi, koltuk numarası ve taşıma ücretini sayıyor. Bilet acente aracılığıyla kesiliyorsa acentenin bilgileri de ekleniyor. Tarifesiz taşımalarda, yani grup, arızi ve mekik seferlerinde bilet yerine taşıma sözleşmesi var; 37. maddenin ikinci fıkrası sözleşmede, numaralandırılmış oturma yerlerine göre düzenlenmiş ve yolcuların ad, soyad ile kimlik numaralarını içeren bir yolcu listesi arıyor. Listedeki engelli olup olmadığı ifadesi üzerinde durmakta fayda var. Engellilik bilgisi sağlık verisiyle doğrudan bağlantılıdır; bu alanı indirimli tarife hakkının varlığını göstermenin ötesine taşıyıp teşhis, engel oranı ya da rapor fotokopisi toplamaya çevirmek Kanun'un 6. maddesindeki sınırları zorlar. Sistemin bilmesi gereken şey kişinin indirimli tarifeye tabi olduğu, tanısı değil.

Kurum konuyu kendi rehberinde de ele aldı. 16 Ocak 2024'te yayımlanan Türkiye Cumhuriyeti Kimlik Numaralarının İşlenmesi Hakkında Rehber, kimlik numarası işlenmesinin mevzuatta öngörüldüğü halleri tek tek sayarken karayollarında tarifeli ve tarifesiz yolcu taşıma ile biletlemeyi ayrı bir başlık olarak ele alıyor ve Yönetmeliğin 36 ile 37. maddelerine atıf yapıyor. Rehberin asıl değeri numarayı serbest bırakmasında değil, çerçeveyi çizmesinde. Metinde, kimlik numarasının özel nitelikli veriler arasında sayılmamasına rağmen elde edilmesi halinde kişinin bununla ilişkilendirilmiş diğer verilerine de ulaşılabilmesi nedeniyle genel nitelikli veriler içinde ayrı bir yerde durduğu yazıyor. Ölçülülük için verilen örnek akılda kalıcı: bir mobil uygulamada telefon numarasıyla doğrulama yapılabiliyorken kimlik numarasıyla doğrulama yapmak gerekli ve orantılı sayılmıyor. Bilet satışında kimlik numarasını almak zorundasınız; aynı numarayı üyelik, kampanya ve sadakat ekranlarında da anahtar olarak kullanmak zorunda değilsiniz.

Biletteki bilgi firmanın kendi veritabanında da kalmıyor. Yönetmeliğin 40. maddesinin dördüncü fıkrası, tarifeli yolcu taşımacılığı yapan B1 ve D1 yetki belgesi sahiplerine; sefere gönderilecek taşıtın plakası ve araç takip sistemi bilgileri, taşıtta görevli personel bilgileri ile birlikte yolcu bilgilerini seyahat başlayıncaya kadar Bakanlığın U-ETDS sistemine işleme ve iletme zorunluluğu getiriyor. Seyahati yapamayan veya tamamlamayan yolcuların bilgileri, bu durumun meydana geldiği saatten en geç 30 dakika sonrasına kadar bildiriliyor. Üçüncü fıkra, tarifesiz arızi, grup ve mekik seferleri yapan A1, A2, B2 ve D2 belgeli firmalar için aynı bildirimi seyahatin başlangıç saatinden en geç bir saat öncesine çekiyor. Bu bir yurt içi aktarımdır ve dayanağı açık rıza değil, hukuki yükümlülüktür. Pratik sonucu basit: aydınlatma metninizde Ulaştırma ve Altyapı Bakanlığına aktarım başlığı yoksa metin eksiktir. Yönetmeliğin 51. maddesi elektronik ortamda paylaşılan verilerin gizliliğinin korunmasından veriyi alan tarafı sorumlu tutuyor, ama bu sizin kendi sisteminizdeki kaydı koruma yükümlülüğünüzü hafifletmiyor.

Sahada en sık görülen hata, zorunlu kaydı serbest bir veri havuzu sanmak. Biletleme için alınan telefon numarasının kampanya mesajı göndermeye de yetki verdiği düşünülüyor. Vermiyor. Ticari elektronik ileti için 6563 sayılı Kanun kapsamında ayrı bir onay ve bu onayın İleti Yönetim Sistemine yüklenmesi gerekiyor; kişisel veri tarafında da pazarlama amaçlı işleme için ayrı bir hukuki sebep aranıyor. Kurul'un 10 Haziran 2025 tarihli ve 2025/1072 sayılı ilke kararı bu noktayı sertleştirdi. 26 Haziran 2025 tarihli Resmî Gazete'de yayımlanan karara göre, işlemin tamamlanabilmesi için gönderilen doğrulama kodunun aynı zamanda ticari elektronik ileti onayı sayılması geçerli bir rıza doğurmuyor; aydınlatma ile açık rıza süreçleri birbirinden ayrılmalı ve ileti onayı hizmetin ön koşulu haline getirilmemeli. Bilet alırken gelen kodun altına bu kodu girmeniz kampanya mesajlarını kabul ettiğiniz anlamına gelir cümlesini iliştiren akışlar tam olarak bu kararın hedefinde.

Sektörün en somut KVKK dersi yine bir otobüs bileti platformundan geldi. Kurul'un 16 Mayıs 2019 tarihli ve 2019/141 sayılı kararına konu olan Clickbus Seyahat Hizmetleri A.Ş.'nin sunucularında zararlı dosyalar bulunmuş, bazı kaynak kod dosyaları uzaktan erişime izin verecek şekilde değiştirilmişti. Sızıntı 25 Eylül 2018 ile 25 Kasım 2018 arasında sürdü ve Türkiye'de yerleşik 67.519 kişiyi etkiledi. Karar metni etkilenen veri kalemlerini tek tek sayıyor: cinsiyet, ad, soyad, kimlik numarası ve doğum tarihi gibi kimlik bilgileri; telefon, e-posta ve ticari elektronik ileti izni gibi iletişim bilgileri; yolculuk numarası, sipariş numarası, kalkış ve varış yeri ile saati gibi müşteri işlem bilgileri; kart üzerinde yazan isim, kart numarası, son kullanma tarihi ve kart güvenlik kodu dahil ödeme bilgileri. Kurul, ihlalin iki ay boyunca sürmesini gerekli denetimlerin yapılmadığının, 21 Kasım'da tespit edilmesine rağmen dört gün daha devam etmesini ise idari tedbirlerin yetersizliğinin göstergesi saydı. Veri güvenliği yükümlülüğü için 450.000 TL, bildirimin en kısa sürede yapılmaması için 100.000 TL olmak üzere toplam 550.000 TL idari para cezası uygulandı. Kart güvenlik kodunun etkilenen veriler arasında yer alması ayrı bir başlık; kart bilgisinin saklanması kendi mevzuatında da sıkı sınırlara tabi.

Olay 2019'da kalmadı. Kurul, 14 Ağustos 2025 tarihli ve 2025/1481 sayılı kararıyla Biletal İç ve Dış Ticaret A.Ş. hakkında veri ihlali bildirimi kamuoyu duyurusu yayımlanmasına karar verdi. Duyuruya göre şirket, Bilgi Teknolojileri ve İletişim Kurumundan gelen yazı üzerine yaptığı incelemede ihlali 11 Ağustos 2025'te tespit etti; etkilenen veriler kimlik, iletişim ve müşteri işlem verileriydi ve etkilenen kişi sayısı yaklaşık 7.800 olarak bildirildi. İki olayın ortak dersi bildirim hızında toplanıyor. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kuruma bildirimde bulunmasını istiyor. Clickbus kararındaki ikinci ceza tam olarak bu sürenin kaçırılmasının bedeliydi. Bir otobüs firmasında bildirim zincirinin kimden başlayıp kime gideceği yazılı değilse, 72 saat ilk telefon trafiğinde eriyip gidiyor.

Kimin veri sorumlusu olduğu sorusu bu sektörde fazlasıyla bulanık duruyor. Taşıma hukuku tarafında hüküm net: Yönetmeliğin 40. maddesinin birinci fıkrası, acentelerin bu sıfatla yaptıkları faaliyet ve işlemlerden taşımacılarla müştereken ve müteselsilen sorumlu olduğunu söylüyor. Kişisel veri tarafında denklem farklı işliyor. Yazıhane, firmanın belirlediği amaç ve araçlarla bilet kesiyorsa veri işleyendir ve aranızda Kanun'un 12. maddesinin ikinci fıkrasına uygun yazılı bir sözleşme bulunması gerekir; o fıkra veri işleyeni güvenlik tedbirleri bakımından veri sorumlusuyla müştereken sorumlu tutuyor. Buna karşılık kendi üyelik sistemini kuran, kendi ödeme altyapısını işleten ve kendi kampanyasını yürüten bir çevrimiçi bilet platformu kendi başına veri sorumlusudur. Uygulamada en çok gözden kaçan ayrıntı ise yetkilendirme. Bir terminal yazıhanesindeki kullanıcının firmanın bütün yolcu geçmişini sorgulayabilmesi, hiçbir sözleşmeyle kapatılamayacak bir açıklık.

Otobüsün içindeki kamera da mevzuattan geliyor. Yönetmeliğin 24. maddesinin ikinci fıkrasının (l) bendi, A1 ve A2 belgeli taşıtlar hariç olmak üzere yolcu taşımacılığında kullanılacak taşıtlarda iç ve dış kamera ile en az yedi gün süreli kayıt yapabilen kayıt cihazı bulundurulmasını zorunlu kılıyor; geçici 2. madde ile bu zorunluluğa uyum için süre tanınmıştı. Kameranın zorunlu olması kaydın serbest olduğu anlamına gelmiyor. Araçta görünür bir bilgilendirme bulunması, kayıtlara kimin hangi gerekçeyle erişebileceğinin yazılı olması, saklama süresinin amaca göre belirlenip süre dolduğunda imhanın gerçekten yapılması gerekiyor. Yedi gün bir asgari süre; kaydı altı ay tutmanın gerekçesini yazamıyorsanız tutmayın. Aynı bentteki araç takip sistemi bilgileri de sürücü bakımından bir konum verisi üretiyor, yani çalışan takibi başlığı burada kendiliğinden açılıyor. Kaza ya da suç şüphesi yokken bir araç içi görüntünün sosyal medyaya veya personel gruplarına düşmesi başlı başına bir ihlaldir.

Yönetmelikte çoğu firmanın hiç okumadığı bir fıkra daha var. 40. maddenin otuz dokuzuncu fıkrası, yetki belgesi sahiplerinin yolcu ve gönderilerle ilgili her türlü bilgiyi açığa vurmasını, üçüncü kişilere bilgi vermesini veya herhangi birinin bunları yapmasına neden olmasını yasaklıyor. Günlük hayatta bu kural en çok telefonda çiğneniyor. Eşim bugün sizin otobüsle mi gitti, kardeşim kaç numaralı koltukta oturuyor, şu kişi biletini iptal etti mi gibi sorulara verilen iyi niyetli cevaplar hem bu fıkrayı hem Kanun'un 12. maddesini ihlal ediyor. Gişede kimlik numarasını sesli tekrar etmek, sıradaki yolcunun ekranı görebilmesi, iade işlemi için kimlik fotoğrafını WhatsApp'tan istemek de aynı başlığın altında. Kişisel sorumluluk da masada: Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörüyor.

Genellikle kimsenin görev tanımına girmeyen birkaç başlık daha var. Araç içinde yolcuya Wi-Fi veriyorsanız 5651 sayılı Kanun kapsamında internet toplu kullanım sağlayıcı sıfatı doğuyor; iç IP dağıtım kayıtlarının tutulup iki yıl saklanması ve konusu suç oluşturan içeriklere erişimi önleyici tedbirlerin alınması gündeme geliyor. Saklama süresi tarafında tek bir rakam yok. Biletin mali belge yönü Vergi Usul Kanunu'nun beş yıllık, ticari defter ve belge yönü Türk Ticaret Kanunu'nun on yıllık süresine bakar; kamera kaydı, çağrı merkezi kaydı ve pazarlama izni bunlardan tamamen ayrı sürelerle yönetilir. Her veri kategorisi için ayrı süre yazılmış bir saklama ve imha politikanız yoksa, pratikte hiçbir şey silinmiyor demektir. Yolcu tarafında da gerçekçi olmakta fayda var. Kanun'un 11. maddesine dayanarak silme talebinde bulunabilirsiniz ve firma en geç otuz gün içinde cevap vermek zorundadır, ama saklanması kanunen zorunlu bir kaydı sildiremezsiniz. Buna karşılık pazarlama iznini her zaman geri çekebilir, İleti Yönetim Sistemi üzerinden reddedebilir ve kampanya listesinden çıkarılmayı isteyebilirsiniz.

İki mevzuatın yaptırım ölçeği arasındaki fark, sektörün nereye bakması gerektiğini de anlatıyor. U-ETDS bildirimini zamanında yapmayan yetki belgesi sahibine Yönetmelik on uyarma veriyor; uyarmalar belirlenen bedel ödenerek kaldırılabiliyor ve bu bedel her yıl yeniden değerleme oranında artıyor. Kişisel veri tarafındaki tablo bambaşka. 2026 yılında aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 256.357 TL ile 17.092.242 TL, Kurul kararlarını yerine getirmeyenler hakkında 427.263 TL ile 17.092.242 TL arasında idari para cezası uygulanıyor. Bir otobüs firmasında işe başlanacak yer de bellidir: bilet ekranındaki her alanın hangi mevzuat maddesine dayandığını tek tek yazın, acente ve platform sözleşmelerinizi veri işleyen hükümleri bakımından gözden geçirin, kamera ve çağrı kayıtlarına erişim yetkilerini daraltın, 72 saatlik bildirim zincirini isim vererek belirleyin. Yolcu verisi akışınızın hangi noktada mevzuatın çizdiği sınırın dışına taştığından emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde bilet, acente, U-ETDS ve kamera başlıklarını birlikte gözden geçirebiliriz.

Randevu Al