Uçakta İnternet İçin Açık Rıza Zorunlu mu? Havayolu Yolcu Verilerinde KVKK, PNR Sızıntısı ve Biyometrik Biniş

Kısa cevap: hayır. Uçak içi internet hizmetine bağlanırken önünüze çıkan onay kutusunu işaretlemeden hizmeti alamıyorsanız, karşılaştığınız uygulama büyük olasılıkla hukuka aykırıdır. Kişisel Verileri Koruma Kurulu bu soruyu 15 Ağustos 2024 tarihli ve 2024/1393 sayılı kararında yanıtladı ve hizmeti sunan internet servis sağlayıcısına 90.000 TL idari para cezası verdi. Kararın özeti Kurumun yayımladığı yeni karar özetleri arasında bu yaz kamuoyuna açıldı. Gerekçe sade: bağlantı kurulurken işlenen veriler zaten sözleşmenin ifası gibi başka işleme şartlarına dayanabiliyordu, dolayısıyla yolcuyu ayrıca açık rızaya yöneltmek 6698 sayılı Kanun'un 4. maddesindeki hukuka ve dürüstlük kurallarına uygun olma ilkesini zedeliyordu. Bir ayrıntı daha var ve sektör açısından asıl önemli olan o: Kurul cezayı havayoluna değil, uçakta interneti fiilen sunan şirkete kesti.

Şikâyetin konusu, uçuş sırasında internete bağlanmak isteyen bir yolcunun karşısına çıkan iki onay kutusuydu. Bunlardan biri, bilgilerin doğrulama amacıyla ilgili mercilerle ve şirketle paylaşılmasının kabul edildiğine dairdi. Kurul incelemesinde hizmetin verilebilmesi için gereken verilerin yolcunun soyadı, koltuk numarası ve bilet bilgisinden ibaret olduğunu tespit etti. Bu veriler Kanun'un 5. maddesinin ikinci fıkrasında sayılan sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ve bir hakkın tesisi, kullanılması ya da korunması için zorunlu olma şartları kapsamında işlenebilirdi. Yani açık rızaya ihtiyaç yoktu, istenen rıza yolcu açısından yanıltıcıydı. Ceza da doğrudan rıza istenmesi üzerinden değil, hukuka aykırı işlemeyi önleyecek tedbirlerin alınmaması üzerinden, 12. maddenin birinci fıkrası ve 18. maddenin birinci fıkrasının (b) bendi işletilerek verildi. 2024 tarifesindeki 90.000 TL bugün küçük görünebilir; aynı aykırılık 2026 yılında 256.357 TL ile 17.092.242 TL arasında bir aralıkta değerlendiriliyor.

Kararın üzerinde en çok durulması gereken kısmı ise sorumluluğun kime ait olduğu. Bir uçuşta yolcunun verisine dokunan tek bir şirket yok: bileti satan acente ya da havayolu, rezervasyonu tutan dağıtım sistemi, check-in ve bagaj süreçlerini yürüten yer hizmetleri kuruluşu, kabin içi bağlantıyı satan internet sağlayıcısı, ödemeyi alan kuruluş. Kurul, uçak içi internet hizmeti bakımından veri sorumlusunun havayolu değil hizmeti sunan şirket olduğunu tespit etti. Zincirin içindeki herkes için pratik sonuç şu: "biz yalnızca altyapıyı sağlıyoruz, veriyi havayolu topluyor" cümlesi sorumluluğu devretmiyor. Kimin veri sorumlusu, kimin veri işleyen olduğunu sözleşmede yazılı hâle getirmediyseniz bu ayrımı ihlalden sonra Kurul yapıyor ve o aşamada itiraz edecek belgeniz olmuyor.

Açık rızayı yedek lastik gibi kullanmak yaygın bir alışkanlık, üstelik pahalıya patlıyor. Başka bir işleme şartı varken rıza istemek, kişiye gerçekte var olmayan bir seçim sunar; kişi rızasını geri çektiğinde işleme yine devam edecektir, çünkü dayanağı baştan beri başkadır. Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı bu karışıklığı ayrıca ele aldı. Karara göre aydınlatma metni ile açık rıza metni farklı başlıklar taşıyan ayrı belgeler olarak düzenlenmeli, aydınlatma metni için onay değil yalnızca okunduğuna dair teyit alınmalı, metinler açık, anlaşılır ve sade bir dille yazılmalı, başka bir veri sorumlusunun metni olduğu gibi kopyalanmamalı, yurt dışına aktarım yapılmadığı hâlde yapılıyormuş izlenimi verilmemeli. Kurul bu gereklilikleri 12. maddenin birinci fıkrası anlamında idari ve teknik tedbir saydı; uymamanın karşılığı yine 18. madde.

Bir bilet, göründüğünden fazla veri taşır. Ad ve soyad, iç hat uçuşlarında fotoğraflı ve T.C. kimlik numarası bulunan bir belgeyle doğrulanan kimlik bilgisi, dış hatlarda pasaport numarası ve uyruk, doğum tarihi, telefon ve e-posta, ödeme bilgisi, koltuk tercihi, bagaj kaydı ve özel yemek talebi. Son kalem çoğu zaman gözden kaçar. Özel yemek kodları bir yolcunun dini inancına veya sağlık durumuna işaret eder; helal ya da koşer bir talep de, glutensiz ya da diyabetik bir menü de Kanun'un 6. maddesindeki özel nitelikli veri alanına girer. Kimlik tarafındaki sınır da nettir: iç hat uçuşunda kimlik ibrazı zorunludur, ama ibraz edilen belgenin fotokopisini almak ya da fotoğrafını çekip saklamak ayrı bir işleme faaliyetidir ve ayrı bir dayanak ister. Kurul'un konaklama sektörü için verdiği 6 Kasım 2025 tarihli ve 2025/2120 sayılı ilke kararının mantığı bu nokta için de yol gösterici.

PNR güvenliği havayolu tarafının en kırılgan başlığı. Kurul'un 3 Ağustos 2023 tarihli ve 2023/1309 sayılı kararına konu olayda bir yolcu, acenteden aldığı paket tur kapsamındaki uçuşta havayolunun mobil uygulamasından PNR kodu ve soyadıyla check-in yapmak istedi. Karşısına kendi kaydı değil, farklı soyadlara sahip dört yabancının adı, cinsiyeti, doğum tarihi, uyruğu, pasaport ve vize bilgileri çıktı. Üstelik bu kişilerin biletlerinde iptal ve değişiklik yapabiliyordu. Havayolu, sistemin yalnızca aynı soyadı taşıyan yolcuları gösterdiğini savundu; şikâyetçinin ekran görüntüleri bunun böyle olmadığını ortaya koydu. Kurul hem yetkisiz erişimi engelleyecek teknik tedbirlerin alınmadığını hem de olayın veri ihlali olarak Kurula bildirilmediğini tespit ederek 300.000 TL idari para cezası uyguladı, ayrıca ek tedbirlerin alınıp sonucunun bildirilmesine karar verdi. Çıkarılacak ders basit: grup rezervasyonlarında PNR ile soyad birleşimi bir kimlik doğrulama yöntemi değil, yalnızca bir arama yöntemidir.

İçeriden erişim tarafında da eski ama hâlâ güncel bir karar var. 13 Şubat 2020 tarihli ve 2020/124 sayılı kararda bir havayolu çalışanı, görevi gereği sahip olduğu sorgulama yetkisini kişisel bir husumet nedeniyle kullanarak bir yolcunun kayıtlarına baktı ve bilgiyi başka bir çalışanla paylaştı. Sorgulama tek seferlik değildi: 2018 Kasım'ında bir, Aralık'ta on iki, 2019 Ocak'ında beş, Mart'ında on kez sorgu yapılmıştı. Şirket erişim loglarını tutuyordu, ama bu logları şüpheli hareket açısından analiz etmiyordu; sorgulama sayısına bir sınır konmamış, eğitimler seyrek kalmıştı. Kurul, 12. madde kapsamındaki veri güvenliği yükümlülüklerinin yerine getirilmediği sonucuna vararak 100.000 TL idari para cezası verdi. Kayıt tutmakla kayıt izlemek arasındaki fark, bu dosyaların çoğunda sonucu belirliyor.

Havayolu verisinin en hassas bölümü sağlıkla ilgili olanı. Engelli veya hareket kabiliyeti kısıtlı yolcuların hizmet talepleri, Sivil Havacılık Genel Müdürlüğü'nün 24 Kasım 2015 tarihli SHT-ENGELSİZ talimatıyla düzenleniyor. Talimat, yardım talebinin uçuştan en az 48 saat önce hava taşıyıcısına iletilmesini, taşıyıcının da bu bilgiyi kalkıştan en az 36 saat önce yer hizmetleri kuruluşuna bildirmesini istiyor. Bu cümlenin içinde bir veri aktarımı duruyor. Tekerlekli sandalye ihtiyacı, sedye talebi, refakatçi durumu veya uçuşa engel bulunmadığına dair doktor raporu 6. madde anlamında sağlık verisidir ve havayolundan yer hizmetleri şirketine, oradan kabin ekibine kadar uzanan bir hat üzerinde dolaşır. Sorulacaklar bellidir: hizmeti verecek kişinin görmesi gereken asgari bilgi nedir, teşhis bilgisi gerçekten gerekli mi, kayıt uçuştan sonra ne kadar duruyor, yer hizmetleri kuruluşuyla aranızdaki ilişki yazılı bir sözleşmeye bağlanmış mı.

Sıradaki tartışma biniş kapılarında yaşanacak. Yüz tanımayla temassız biniş, yurt dışındaki bazı hatlarda uygulanmaya başlanan ve İstanbul ile İzmir için de duyurulan bir yöntem. Yüz görüntüsünden üretilen şablon biyometrik veridir, yani 6. maddedeki özel nitelikli veriler arasındadır ve kural olarak açık rıza ister. Kurumun 16 Ekim 2021 tarihli biyometrik veri rehberi ise açık rızanın tek başına yeterli sayılmadığı bir çerçeve çiziyor: yöntem amaca uygun olmalı, o amaç bakımından gerçekten gerekli olmalı, amaçla ölçülü kalmalı, hangi biyometri türünün neden tercih edildiği gerekçesiyle belgelenmeli, saklama süresi saklama ve imha politikasında gösterilmeli, gereklilik ortadan kalktığında veri gecikmeden imha edilmeli. Kurul'un 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, mesai takibinde biyometrik yöntemleri, çalışanın rızasının özgür iradeye dayandığının kabul edilemeyeceği ve daha az müdahaleci alternatiflerin bulunduğu gerekçesiyle kabul etmedi. Yolcu ile taşıyıcı arasında aynı türden bir bağımlılık yok, ama ölçüt burada da işliyor: rıza vermeyen yolcu normal kapıdan aynı hizmeti alabilmeli, daha uzun kuyruk ya da ek ücret gibi bir bedel ödememeli. Sistemi kuranın cevaplaması gereken diğer soru da şablonun nerede tutulduğu ve uçuştan sonra ne kadar saklandığı.

Uluslararası uçuşta veri sınırı da geçiyor. Gidilen ülkenin mevzuatı yolcu bilgilerinin uçuş öncesinde o ülkenin yetkili makamlarına iletilmesini isteyebiliyor ve havayollarının aydınlatma metinlerinde bu aktarım açıkça yazıyor. Türkiye tarafında ölçüt 9. madde. Yeterlilik kararı bulunan bir ülkeye aktarım ilk yol; yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları, taahhütname ya da kamu kurum ve kuruluşları arasındaki anlaşma gibi uygun güvencelerden biri gerekiyor. Maddenin sonundaki istisnalar ise yalnızca arızi hâller için tanınmış. Her uçuşta tekrarlanan bir aktarım arızi sayılmaz; bu yüzden "nasılsa sözleşmenin ifası için zorunlu" demek rutin aktarımı tek başına ayakta tutmuyor. Standart sözleşme kullanılıyorsa imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekiyor ve bu bildirimi yapmamanın 2026 karşılığı 90.308 TL ile 1.806.377 TL arasında bir idari para cezası.

Bir de yolcunun kendi yaptıkları var. Kabinde yaşanan bir tartışmayı çekip paylaşmak ya da yan koltuktaki kişiyi ve kabin ekibini kadraja almak, Kanun'un 28. maddesindeki kişisel faaliyet istisnasının dışına çıkmak demek; çünkü o istisna, verinin üçüncü kişilere verilmemesi şartına bağlı. Görüntü sosyal medyaya düştüğü anda tablo değişir ve olay, somut duruma göre Türk Ceza Kanunu'nun 133. maddesindeki konuşmaların kayda alınması ya da 134. maddesindeki özel hayatın gizliliğini ihlal suçuna kadar uzayabilir. Hakların kullanılmasında ise sıra bellidir: önce veri sorumlusuna yazılı başvuru, otuz gün içinde cevap gelmezse veya cevap yetersizse Kurula şikâyet. 2024/1393 sayılı kararda Kurul, aydınlatma yükümlülüğüne ilişkin iddia bakımından şikâyetçiye 13. madde gereği önce veri sorumlusuna başvurması gerektiğini hatırlattı. Sırayı atlamak, haklı bir talebin usulden kapanmasına yol açıyor.

Havayolu, acente, yer hizmetleri ya da kabin içi hizmet sağlayıcı olarak bu zincirin bir yerinde duruyorsanız ilk bakılacak yer, hangi verinin hangi işleme şartına dayandığı ve kimin veri sorumlusu sayıldığı. KVKK Danışman'ın ücretsiz ön değerlendirmesinde aydınlatma ve rıza metinlerinizi, rezervasyon sistemlerindeki doğrulama ve erişim yöntemlerini, log takibinizi ve yurt dışı aktarım dayanaklarınızı birlikte gözden geçiriyoruz.

Randevu Al