İlgili kişinin bir havayolu şirketi hakkında Kuruma intikal eden şikayetinde özetle, uçuş esnasında sunulan internet paketinden yararlanabilmek için belirtilen internet sitesi üzerinden giriş yapmak istediğinde işleme devam edebilmek için üyelik aşamasında iki ayrı onayın talep edildiği, "….. havayolu şirketine bildirmiş olduğum bilgilerimin, internet kullanıcı bilgilerimin doğrulanması amacıyla ilgili makamlar ve ilgili servis sağlayıcı ile paylaşılmasını kabul ediyorum." şeklindeki kutucuk onaylanmadan işleme devam edilemediği, bu hususta Kanun’un 5’inci maddesinde yer alan diğer işleme şartlarına dayanılabilecek olmasına karşın açık rıza alınmasının Kanun’un 4’üncü maddesinde düzenlenen “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırılık teşkil ettiği, havayolu şirketinin internet servis sağlayıcı ile müşterek sorumlu olduğunun düşünüldüğü, ancak havayolu şirketinin kendisine verdiği cevapta söz konusu hizmetin havayolu şirketi tarafından sunulmaması nedeniyle sorumluluğu internet servis sağlayıcıya yüklediği, giriş ekranında aydınlatma yapılmadığı ve kendisine verilen cevapta kişisel verilerin yurtdışına aktarılabileceğinin belirtilmesine karşın bu hususta açık rızasının alınmadığı iddiaları belirtilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde şikâyet edilen havayolu şirketinden savunması talep edilmiş olup havayolu şirketi tarafından verilen cevapta özetle; 5809 sayılı Elektronik Haberleşme Kanunu gereği internet servis sağlayıcı olarak yetkilendirilen şirketler tarafından söz konusu hizmetin sunulabildiği ve havayolu şirketinin internet hizmeti sunumuna yönelik herhangi bir yetkisi bulunmadığı, sunulan hizmette sözleşmenin doğrudan ilgili kişi ve internet servis sağlayıcı arasında kurulduğu, havayolu şirketinin bu sözleşmenin tarafı olmadığı, havayolu şirketi ile internet servis sağlayıcı arasında bir hizmet sözleşmesi bulunduğu ve bu sözleşme kapsamında havayolu şirketinin internet servis sağlayıcıya söz konusu hizmetin sunulmasında bir alan sağlamış olduğu ancak hizmetin sunumuna ilişkin yetki ve sorumluluğun internet servis sağlayıcıda olduğu, sözleşme ilişkisinin kurulduğu arayüz/portalın internet servis sağlayıcıya ait olduğu ve kişisel veri işleme faaliyetinin bu ekran üzerinden internet servis sağlayıcı tarafından gerçekleştirildiği, öte yandan internet servis sağlayıcının 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamındaki yükümlülükleri gereği kullanıcıların hizmetten yararlanması amacıyla belirttikleri soyadı, koltuk numarası, bilet numarası gibi kişisel verilerin doğrulanması gerektiği, kullanıcıların girdiği bilgiler üzerinden internet servis sağlayıcının sorgu atarak doğrulama isteminde bulunduğu ve havayolu şirketinin yalnızca kullanıcının girdiği bilgilerin doğru olup olmadığını sorguladığı ve bilgilerin doğru ya da yanlış olduğuna yönelik bildirimde bulunduğu; ilgili kişinin soyadı ve koltuk numarası gibi kişisel verilerinin halihazırda havayolu şirketi ile yolcu arasındaki taşıma ilişkisi kapsamında Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (c) bendine dayanılarak elde edildiği ve ilgili mevzuata uygun olarak işlendiği, uçuş internet hizmetinin kullanıcıya mevzuattan kaynaklanan yetkilendirmeye istinaden doğrudan internet servis sağlayıcı tarafından sunulduğu, belirtilen hususlar dikkate alındığında uçuş internet hizmeti bakımından veri sorumlusunun internet servis sağlayıcı olduğu, bu hususun da taraflar arasındaki sözleşmede düzenlendiği, veri sorumlusu sıfatını haiz internet servis sağlayıcının aynı zamanda söz konusu hizmet bakımından aydınlatma yükümlülüğünü yerine getirmekle de yükümlü olduğu, yurtdışına aktarım konusunda ise havayolu şirketinin uçuş hizmeti ile ilgili olarak kişisel verileri yurtdışına aktarabildiği ancak şikayete konu internet hizmetinin sunulması bağlamında havayolu şirketi tarafından herhangi bir yurtdışına aktarım faaliyeti gerçekleştirilmediği belirtilmiştir.
İnceleme kapsamında ayrıca internet servis sağlayıcıdan da savunması talep edilmiş olup internet servis sağlayıcı tarafından verilen cevapta ise özetle, somut olayda ana hizmetin havayolu şirketi tarafından sunulan uçuş hizmeti olduğu, sunulan wifi internet hizmetinin ise yolcularının uçakta belirlenen kotalar dahilinde ücretsiz wifi internet hizmeti alabilmelerini sağlayan ek fayda niteliğinde bir hizmet olduğu; şikayette belirtilen internet sitesinin, wifi internet hizmetine ilişkin genel bilgilendirme yapılan bir site olduğu ve ilgili kişinin verilerinin bu siteden temin edilmediği; uçuş internet hizmeti kapsamında işlenen kişisel verilerin ad, soyadı, T.C. kimlik numarası, pasaport numarası, koltuk numarası, bilet numarası, satın alınan paket bilgileri, IP adres bilgileri, kullanıcı adı bilgisi olduğu; bu verilerin uçak içerisinde hizmetin verilebilmesi için elektronik haberleşme sektörüne ilişkin mevzuat kapsamında log kayıtlarının tutulabilmesi havayolu şirketinden için elde edildiği ve Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (c), (ç) ve (e) bentlerinde yer alan kişisel veri işleme şartlarına dayanılarak işlendiği; wifi internet hizmetinin kullanılabilmesi için havayolu şirketinin yolcusu olunması gerektiği, ilgili kişilerin kullanıcı sıfatı ile koltuk numarası ve soyadı ile “Son Kullanıcı Sözleşmesini onaylıyorum” kutucuğunu işaretleyip menüye tıkladığında hizmete ilişkin Sözleşmeyi bütün hükümleri ile birlikte kabul ettiği ve hizmetten yararlandığı, Kullanıcı Sözleşmesi içerisinde aydınlatma metnine ilişkin link verildiği; internet servis sağlayıcılara getirilen yükümlülükler kapsamında uçak içi portalda havayolu şirketinin sistemleri ile entegre olunarak kullanıcı doğrulamasının yaptırıldığı, doğrulama işleminin havayolu şirketinin sistemlerinden alınan bilgiler ile yapıldığı, kullanıcıların uçuş bilgisi, soyadı ve koltuk no ile sorgulanarak gerekli bilgilerin edinildiği, sistemde o an o uçuşta olmayan hiçbir yolcunun doğrulamayı geçemediği, bu bilgilerin doğruluğunun sağlanması sorumluluğunun uçuş hizmetini vermekte olan veri sorumlusu havayolu şirketinde olduğu, yolcu doğrulama aşamasından sonra hizmetin ifası aşamasına geçildiği; wifi hizmeti kapsamında her iki Şirketin de kendi sundukları hizmet alanları kapsamında ayrı ayrı veri sorumlusu niteliğini haiz oldukları, aralarındaki iş ilişkisi kapsamında genel olarak havayolu şirketinin veri sorumlusu, şirketlerinin ise veri işleyen konumunda olduğu, havayolu şirketinin belirlediği koşullar (kampanya şartları-ücret gibi) kapsamında bu hizmetin ifasının sağlandığı, örneğin üyelik tipi ve sınıfına göre hangi paketlerin tanımlanacağının havayolu şirketi tarafından belirlendiği; test ortamı ve canlı portal çalışmaları, ekran görüntülerinde tasarımsal geliştirmeler/ değişiklikler, kullanıcı geliştirmesindeki tasarımlar ve entegrasyon süreçleri, ücretli-ücretsiz paketlere yönelik tanımlamaların ne şekilde olacağı gibi hizmete ilişkin analiz çalışmaları, tasarımlar ve geliştirmelerin havayolu şirketinin yönlendirmesiyle karşılıklı mutabakat sağlanarak yapıldığı ifade edilmektedir.
Konuya ilişkin yürütülen inceleme neticesinde Kişisel Verileri Koruma Kurulunun 15/08/2024 Tarihli ve 2024/1393 Sayılı Kararı ile,
- Somut olaya konu kişisel veri işleme faaliyetinin, havayolu şirketine ait kablosuz internet haberleşme sistemine sahip uçakta yolculara uçuş hizmetinin verildiği süre boyunca internet servis sağlayıcı tarafından sunulan internet erişim hizmetinden faydalanılabilmesi amacıyla uçak yolcusu olan ilgili kişiye ait soyadı ve koltuk numarası veya bilet numarası bilgisinin internet servis sağlayıcının portal ekranına giriş yapılması ve söz konusu kişisel verilerin havayolu şirketi sistemlerince doğrulanarak internet servis sağlayıcıya bildirilmesi suretiyle gerçekleştiği,
- Taraflar arasındaki ilişkinin bir hizmet ve marka ortaklığı sözleşmesine dayandığı,
- Havayolu şirketine ait, kablosuz internet haberleşme sistemine sahip uçakta yolculara uçuş hizmetinin verildiği süre boyunca internet servis sağlayıcı tarafından sunulan internet erişim hizmetinin sunulabilmesi için gerekli olan uçak yolcusu ilgili kişiye ait soyadı ve koltuk numarası veya bilet numarası bilgisinin internet servis ağlayıcıya ait portal ekranına giriş yapılması ve söz konusu kişisel verilerin havayolu şirketinin sistemlerince doğrulanarak internet servis sağlayıcıya bildirilmesi suretiyle gerçekleşen kişisel veri işleme faaliyetinde havayolu şirketi ve internet servis sağlayıcı arasında kişisel veri aktarımı olduğu, havayolu şirketi ve internet servis sağlayıcının iki ayrı veri sorumlusu olduğu sonucuna varıldığı,
- İlgili kişi tarafından şikayet ekinde iletilen ekran görüntüsü incelendiğinde; ilgili internet sitesinde “Bussiness Class Girişi” ekranında “Kullanım Sözleşmesini onaylıyorum” ve "Havayolu şirketine bildirmiş olduğum bilgilerimin, internet kullanıcı bilgilerimin doğrulanması amacıyla ilgili makamlar ve Şirket ile paylaşılmasını kabul ediyorum." açıklamalı iki adet onay kutucuğunun yer aldığının görüldüğü, internet servis sağlayıcı tarafından Kuruma sunulan ekran görüntüsünde ise yalnızca “Son Kullanıcı Sözleşmesi’ni onaylıyorum” açıklamalı tek onay kutucuğunun yer aldığı tespit edilmiş olup şikayete konu onay kutucuğunun kaldırıldığı kanaatine varıldığı, şikayete konu kişisel veri işleme faaliyetinde, uçuş süresi boyunca kablosuz internet erişim hizmetinden faydalanılabilmesi için o an o uçakta yolculuk edilmesi gerekliliği nedeniyle yolculara sunulan söz konusu hizmet kapsamında ilgili kişinin soyadı, koltuk numarası/ bilet numarasının havayolu şirketi tarafından internet servis sağlayıcıya sistem üzerinden aktarımının yapılması suretiyle işlenmesinin hizmetin ifası gereği zorunlu olduğu ve bu hizmetten faydalanan uçak yolcusu ile internet servis sağlayıcı arasında Kullanıcı Sözleşmesi’nin akdedildiği dikkate alındığında; söz konusu kişisel veri işleme faaliyetinin Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (c), (ç) ve (e) bendinde yer alan kişisel veri işleme şartlarına dayanılarak gerçekleştirildiği, açık rıza şartına dayanılarak gerçekleştirilemeyeceği kanaatine varıldığı,
- Bu kapsamda; şikayete konu kişisel veri işleme faaliyetinde Kanun’un 5’inci maddesinin (2) numaralı fıkrasında öngörülen açık rıza dışındaki diğer işleme şartlarına dayanıldığı dikkate alındığında ilgili kişiden açık rıza talep edilerek ilgili kişinin yanıltılması ve yanlış yönlendirilmesi suretiyle veri sorumlusu internet servis sağlayıcı tarafından Kanun’un 4’üncü maddesinin (2) numaralı fıkrasının (a) bendinde öngörülen “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırı hareket edildiği kanaatine varılmış olup Kanun’un 12’inci maddesinde düzenlenen veri güvenliği yükümlülüklerine aykırı hareket ettiği değerlendirilen veri sorumlusu hakkında Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca idari para cezasının uygulanması gerektiği
değerlendirmelerinden hareketle;
- Havayolu şirketine ait kablosuz internet haberleşme sistemine sahip uçakta yolculara uçuş hizmetinin verildiği süre boyunca internet servis sağlayıcı tarafından sunulan internet erişim hizmetinden faydalanılabilmesi amacıyla uçak yolcusu olan ilgili kişiye ait soyadı ve koltuk numarası veya bilet numarası bilgisinin intermet servis sağlayıcının portal ekranına giriş yapılması ve söz konusu kişisel verilerin havayolu şirketi sistemlerince doğrulanarak internet servis sağlayıcıya bildirilmesi suretiyle gerçekleşen kişisel veri işleme faaliyetinin Kanun’un 5’inci maddesinin (2) numaralı fıkrasının (c), (ç) ve (e) bendinde yer alan kişisel veri işleme şartlarına dayanılarak gerçekleştirildiği dikkate alındığında; söz konusu hizmetin alınabilmesi için giriş yapılan internet servis sağlayıcıya ait portalda sunulan onay kutucuğunda yer alan "Havayolu şirketine bildirmiş olduğum bilgilerimin, internet kullanıcı bilgilerimin doğrulanması amacıyla ilgili makamlar ve Şirket ile paylaşılmasını kabul ediyorum." ifadesi ile ilgili kişiden açık rıza talep edilerek ilgili kişinin yanıltılması ve yanlış yönlendirilmesi suretiyle Kanun’un 4’üncü maddesinin (2) numaralı fıkrasında öngörülen “hukuka ve dürüstlük kurallarına uygun olma” ilkesine aykırı hareket edildiği kanaatine varılmış olup Kanun’un 12’nci maddesinin (1) numaralı fıkrasında düzenlenen veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğünü yerine getirmediği değerlendirilen veri sorumlusu internet servis sağlayıcı hakkında Kanun’un 18’inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 90.000 TL idari para cezası uygulanmasına,
- İlgili kişi tarafından Kanun’un 13’üncü maddesi uyarınca Kanun’un uygulanmasıyla ilgili taleplerin veri sorumlusuna iletilmesi neticesinde başvurusunun veri sorumlusunca reddedilmesi, başvuruya verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde Kanun’un 14’üncü maddesi uyarınca Kurula şikayette bulunulabileceği dikkate alındığında; ilgili kişinin veri sorumlusunu muhatap başvurusunda yer vermediği “aydınlatma yükümlülüğünün yerine getirilmediği” iddiası ile ilgili olarak Kurula şikayette bulunmasının usul açısından uygun olmaması nedeniyle söz konusu hususun şikayetin incelenmesi sürecine dahil edilmediği hususunda ilgili kişiye bilgi verilmesine,
- İlgili kişinin veri sorumlusuna başvurusunda yer alan Kanun'un 11'inci maddesinin birinci fıkrasının (ç) bendi kapsamında “kişisel verilerinin yurt dışına aktarıldığı” hususundaki bilgi talebi ile ilgili olarak veri sorumlunun gerekli ve yeterli açıklamalarda bulunduğu dikkate alındığında, bu hususta Kanun kapsamında havayolu şirketi hakkında tesisi edilecek herhangi bir işlem bulunmadığına
karar verilmiştir.