KVKK Kurul Kararı 2020/608 “Bilet Almadım Ama Uçak Bileti SMS’i Geldi” Vakası

1. Kararın Konusu ve Olay Akışı

Karara konu olayda; ilgili kişinin cep telefonuna, bir havayolu şirketi tarafından Umman’dan İzmir aktarmalı İstanbul’a uçak bileti satın alındığına ilişkin SMS gönderilmiştir. İlgili kişi, mesajı görür görmez veri sorumlusunu aramış ancak görüşme sağlayamamış; bunun üzerine çevrimiçi şikâyet formu doldurmuştur. Başvuruyu takiben veri sorumlusu tarafından aranarak biletin iptal edildiği bilgisi paylaşılmıştır.

İlgili kişi; adını ve telefon numarasını kullanarak söz konusu bileti kimin satın aldığına ilişkin bilginin tarafına yazılı olarak bildirilmesini talep etmiş, ancak bu talebine yanıt alamadığını belirtmiştir. Şikâyet bu kapsamda Kurum’a intikal etmiş ve inceleme başlatılmıştır.

Kararın Uyum Bakış Açısından Önemi

Bu vaka; “yanlış numaraya bildirim” gibi görünmekle birlikte, iki kritik uyum alanını birlikte gündeme taşır:

• Bildirim sistemleri: Manuel veri girişine izin veren kurgularda doğrulama ve kontrol mekanizması nasıl tasarlanmalı?
• Başvuru yönetimi: İlgili kişi taleplerine süresi içinde ve usule uygun cevap verme yükümlülüğü nasıl işletilmeli?

2. Veri Sorumlusunun Savunması: PNR ve SMS Alanı

İnceleme kapsamında veri sorumlusundan savunma istenmiş; veri sorumlusu özetle, ilgili kişi adına sonradan oluşturulmuş bir üyelik hesabı bulunduğunu, ancak şikâyet tarihine kadar ilgili kişiye ilişkin üyelik kaydı bulunmadığını belirtmiştir.

PNR Kapsamı ve “Ücretli SMS Bildirimi” Alanı

Veri sorumlusu; şikâyete konu PNR kapsamında ilgili kişiye ait tek kişisel verinin telefon numarası olduğunu, bu verinin de bileti satın alan mobil uygulama kullanıcısı tarafından tercihe bağlı “ücretli SMS bildirimi” alanına girildiğini açıklamıştır. SMS içeriğinin iletimi için yalnızca telefon numarasının hat operatörü ile paylaşıldığı ifade edilmiştir.

Zorunlu Alanlar ve Eşleşme Mantığı

Savunmada; mobil uygulama üzerinden bilet satışında bazı bilgilerin zorunlu olduğu, ancak SMS bilgilendirme hizmetinin zorunlu olmadığı vurgulanmıştır. Ayrıca ilgili kişinin telefon numarasının PNR’daki müşteri iletişim alanı ile sistemsel olarak eşleşmediği; ilgili kişiye ait kimlik bilgilerinin (ad-soyad, T.C. kimlik no vb.) ilgili PNR kapsamında işlenmediği belirtilmiştir.

3. Kurul Değerlendirmesi: Kişisel Veri, KVKK m.12 ve Sonuç

Kurul değerlendirmesinde; telefon numarasının, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin olduğunda kişisel veri niteliği taşıdığı; özellikle ad-soyad ve T.C. kimlik numarası gibi bilgilerle eşleştirilerek saklandığında kimliğe ulaşma sonucunu doğurduğu vurgulanmıştır.

Somut Olayın Özgünlüğü: “Sehven Girilen Numara”

Somut olayda ise ilgili kişiye ait telefon numarasının, veri sorumlusunun sistemlerinde ilgili kişiye ait bir kayıtla eşleşmediği; aksine bileti satın alan kişi tarafından manuel veri girişi ile sehven sisteme girildiği anlaşılmıştır. Veri sorumlusu; mobil uygulama üzerinden bilet alan gerçek kişinin, biletle ilişkili SMS bildirimi için ilgili kişiye ait numarayı paylaştığını göstermiş; Kurum da bu hususu tevsik edici bilgi ve belgeleri incelemiştir.

KVKK m.12 Yönünden Sonuç

Kurul; veri sorumlusu tarafından ilgili kişinin iletişim bilgisinin başka bir kullanıcı tarafından sisteme girilmesi suretiyle ve kastı bulunmaksızın işlendiği; ayrıca sisteme girilen telefon numaralarının kime ait olduğunun belirlenmesine yönelik sistemsel bir eşleştirme/veri tabanı bulunmadığı dikkate alındığında, KVKK m.12 kapsamında “uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alma yükümlülüğünün ihlali” yönünde somut olay özelinde bir tespit yapılamadığı değerlendirmesiyle, konuya ilişkin Kanun kapsamında tesis edilecek bir işlem olmadığına karar vermiştir.

Başvuruya Cevap Yükümlülüğü: Talimatlandırma

Bununla birlikte Kurul; veri sorumlusunun, ilgili kişiler tarafından Kanun çerçevesinde yapılan başvurulara süresi içinde ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun şekilde cevap vermesi hususunda talimatlandırılmasına karar vermiştir.

4. Uygulama Çıkarımları: Neyi Nasıl Kurgulamalısınız?

Karar; özellikle e-ticaret, havayolu, seyahat, kargo/lojistik ve abonelik bazlı hizmetlerde yaygın olan “bildirim için farklı numara girme” modelinin, yanlış kişiye bilgilendirme riskini doğurduğunu göstermektedir. Kurumlar bu riski; kullanıcı deneyimini bozmadan, ölçülebilir kontrollerle yönetebilir.

1) Bildirim Alanlarında Doğrulama ve Onay Mekanizması

• Çift doğrulama: “Ücretli SMS” gibi opsiyonel alanlara girilen numaraya kısa bir onay kodu gönderilmesi,
• Format/ülke kodu kontrolü: Hatalı girişleri azaltan doğrulama kuralları,
• Hata azaltıcı UX: “Rezervasyon iletişim numarası ile aynı” seçeneğini varsayılan yapmak,
• Sınırlı deneme ve hız limiti: Kötüye kullanım senaryolarını azaltmak

2) Asgari Veri ve İçerik Minimizasyonu

Yanlış kişiye SMS gitmesi ihtimalinde, SMS içeriğinin “zarar etkisini” düşürmek için içerik tasarımı kritik bir kaldıraçtır:

• SMS’te gereksiz detay (tam isim, kimlik bilgisi, kapsamlı rota) yerine asgari bilgilendirme,
• İptal/itiraz için güvenli doğrulama ile çalışan kısa yol (müşteri hizmetleri/online form),
• Link kullanılacaksa tek kullanımlık ve süreli bağlantı.

3) İlgili Kişi Başvurularında Standart Operasyon

Karar, başvuruya cevap sürecinin operasyonel olarak zayıf kaldığında Kurul’un talimatlandırma yoluna gittiğini açıkça gösterir. Bu nedenle:

• Çağrı merkezi/online form üzerinden gelen başvurular için tekil kayıt ve takip numarası,
• İç SLA’lar (ilk geri dönüş, analiz, nihai cevap) ve tutanak/kanıt üretimi,
• Yanıtların Tebliğ’e uygun içerikte ve sürelerde verilmesi

kurum içi standart haline getirilmelidir.

5. Teknik ve İdari Önlemler: Pratik Kontrol Listesi

Benzer vakaları sistematik şekilde önlemek ve doğru yönetmek için, aşağıdaki kontrol seti “minimum uygulanabilir” bir çerçeve sunar:

1. Bildirim Modülü Kontrolleri

• Opsiyonel SMS alanı için doğrulama (OTP / onay linki) uygulanıyor mu?
• Girilen numara, rezervasyon iletişim numarasıyla farklıysa kullanıcıya açık uyarı gösteriliyor mu?
• SMS içeriği “asgari bilgi” prensibine göre tasarlandı mı?
• Yanlış bildirimlerde hızlı iptal/durdurma için operasyonel “acil aksiyon” akışı var mı?

2. Kayıt İzleri ve Denetlenebilirlik

• Hangi kullanıcı hangi numarayı ne zaman girdi? (IP/cihaz bilgisi dahil) loglanıyor mu?
• İlgili kişi şikâyeti geldiğinde, olayın kök neden analizi için gerekli loglar erişilebilir mi?
• Log saklama süresi ve erişim yetkileri politika ile belirlenmiş mi?

3. Başvuru Yönetimi ve Tebliğ Uyum Adımları

• Başvurular için standart şablonlar, görev atama ve iç onay mekanizması var mı?
• Yanıtlar süre içinde ve Tebliğ’e uygun formatta veriliyor mu?
• Yanıt verilemeyen hallerde gerekçe ve süreç planı ilgili kişiye iletiliyor mu?
• Başvurunun kapanışı; iptal/aksiyon/kanıt ile birlikte dokümante ediliyor mu?

6. Sık Sorulan Sorular (SSS)