KVKK'dan Uçakta İnterneti Açık Rıza Şartına Bağlayan Servis Sağlayıcıya 90 Bin TL Ceza

Uçakta internete bağlanmak isteyen bir yolcunun karşısına çıkan "kişisel verilerimin işlenmesine açık rıza veriyorum" kutucuğu, Kişisel Verileri Koruma Kurulu'nun önüne gelen yeni bir şikâyetin konusu oldu. Kurul, uçakta internet hizmetini açık rıza şartına bağlayan internet servis sağlayıcısına 90.000 TL idari para cezası verdi. Karar, 5 Eylül 2026'da kamuoyuna duyuruldu ve Kurul'un son dönemde giderek netleşen bir çizgisini bir kez daha teyit etti: bir hizmet, kullanıcının kişisel verilerinin işlenmesine rıza vermesi şartına bağlanamaz.

Bu yazıda kararın ne söylediğini, hangi kurala dayandığını ve benzer bir dayatmayla karşılaşan bireysel kullanıcının hangi adımları atabileceğini ele alıyoruz. Yazı yalnızca genel bilgilendirme amacı taşır; somut bir uyuşmazlıkta durumunuzu bir avukatla değerlendirmeniz uygun olur.

Ne Oldu?

Kamuoyuna yansıyan bilgilere göre olay şöyle gelişti:

• Bir yolcu, uçuş sırasında sunulan internet hizmetinden yararlanmak istedi.
• Bağlantı ekranında, hizmeti kullanabilmek için kişisel verilerinin işlenmesine açık rıza vermesi zorunlu tutuldu.
• Verilerinin işlenmesini istemeyen yolcu bu uygulamaya itiraz etti ve Kişisel Verileri Koruma Kurumu'na şikâyette bulundu.
• Kurul yaptığı incelemede, hukuka aykırı biçimde açık rıza isteyen tarafın havayolu şirketi değil, uçak içi internet hizmetini sunan servis sağlayıcı olduğunu tespit etti.
• Servis sağlayıcıya 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında 90.000 TL idari para cezası uygulandı.

Kararda, internet kullanımı için kullanıcıya sunulan sözleşmenin "açık rıza vermeye yönlendirme" niteliği taşıdığı ve bunun Kanun'a aykırı olduğu belirtildi. Kurul ayrıca, açık rıza dışında Kanun'da başka veri işleme şartlarının da bulunduğunu hatırlatarak, servis sağlayıcının uygulamasının "hukuka ve dürüstlük kurallarına uygunluk" ilkesini ihlal ettiğini kaydetti.

Kararın Dayandığı Kurallar

Kararın anlaşılması için 6698 sayılı Kanun'un üç temel hükmüne bakmak gerekiyor.

Açık rıza "özgür irade" ile verilmelidir (m. 3)

Kanun, açık rızayı "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlar. Bir hizmetten yararlanmanın tek yolu rıza kutucuğunu işaretlemekse, kullanıcının gerçek bir seçim hakkı yoktur. Kurul'un yerleşik yaklaşımına göre bu durumda rıza özgür iradeyle verilmiş sayılmaz ve hukuken geçersizdir.

Veri işlemenin tek dayanağı açık rıza değildir (m. 5)

Kanun'un 5. maddesi, kişisel verilerin açık rıza olmadan da işlenebileceği hâlleri sayar. Bunlardan biri, veri işlemenin "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması" hâlidir.

Uçakta internet hizmeti tam da bu kapsama giren bir örnektir. Bağlantıyı kurmak için gereken cihaz bilgisi, oturum kaydı ya da ödeme verisi, hizmet sözleşmesinin ifası için zaten işlenebilir. Bu veriler için ayrıca açık rıza istemek, hem gereksizdir hem de kullanıcıyı yanıltır. Kurul'un "açık rıza dışında diğer işleme şartlarının da bulunduğu" hatırlatması tam olarak bu noktaya işaret ediyor: Kanun'da başka bir dayanak varken açık rızaya sığınmak, hukuka uygun bir yol değildir.

Hukuka ve dürüstlük kurallarına uygunluk (m. 4)

Kanun'un 4. maddesi, kişisel verilerin hukuka ve dürüstlük kurallarına uygun biçimde işlenmesini zorunlu kılar. Hizmete erişimi rıza şartına bağlayan bir ekran tasarımı, kullanıcıyı gerçekte ihtiyaç duyulmayan bir onaya zorladığı için bu ilkeyle çelişir. Kurul'un kararında ihlal edilen ilke olarak bu maddenin anılması, cezanın yalnızca "rıza alınış biçimi" değil, veri işlemenin bütünündeki dürüstlük eksikliği üzerinden verildiğini gösteriyor.

Neden Havayolu Değil, Servis Sağlayıcı?

Kararın dikkat çeken bir yönü, cezanın havayolu şirketine değil internet servis sağlayıcısına kesilmiş olması. Bunun nedeni, Kanun'daki veri sorumlusu kavramıdır. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen kişidir. Uçak içi internet hizmetinde bağlantı ekranını tasarlayan, rıza metnini hazırlayan ve verileri işleyen taraf servis sağlayıcı olduğundan, yükümlülük ve sorumluluk da ona aittir.

Bireysel kullanıcı açısından bu ayrımın pratik bir sonucu var: bir şikâyet başvurusunda doğru veri sorumlusunu muhatap almak gerekir. Kurul incelemesinde bunu kendisi tespit etmiş olsa da, veri sorumlusuna başvuru dilekçesi hazırlarken aydınlatma metninde hangi şirketin veri sorumlusu olarak gösterildiğine bakmak, süreci hızlandırır.

Kurul'un İstikrarlı Çizgisi: Rıza Bir Hizmetin Şartı Olamaz

Bu karar tek başına bir örnek değil. Kurul, Ağustos 2026'nın sonlarında canlı maç yayınını reklam onayına bağlayan platforma 250.000 TL ceza vermişti. İki hafta arayla gelen iki karar, aynı ilkeyi farklı sektörlerde uyguluyor:

Ortak nokta şudur: Kullanıcının hizmeti almak için "evet" demekten başka seçeneği yoksa, verilen onay hukuken rıza değildir. Kurul bu yaklaşımı yıllardır ilke kararlarında ve bireysel şikâyetlerde uyguluyor; son iki karar, uygulamanın dijital hizmetlerde de sıkı biçimde sürdürüldüğünü gösteriyor.

Ceza tutarları arasındaki fark, ihlalin niteliğine, etkilenen kişi sayısına ve veri sorumlusunun ekonomik durumuna göre belirleniyor. 2026 yılı için Kurul'un uygulayabileceği idari para cezaları, ihlal türüne göre yaklaşık 85.437 TL ile 17.092.242 TL arasında değişiyor. Güncel tutarları Kişisel Verileri Koruma Kurumu'nun resmî sitesinden teyit etmekte yarar var.

Günlük Hayatta Benzer Dayatmalar

"Rıza vermezsen hizmet yok" yaklaşımı yalnızca uçaklarda görülmüyor. Kullanıcıların sıkça karşılaştığı örnekler:

• Kafe, otel ve AVM Wi-Fi ağları: Bağlantı için telefon numarası, e-posta ve pazarlama onayı istenmesi.
• Mobil uygulamalar: Uygulamayı açmak için konum, rehber veya reklam kimliği paylaşımına zorlanma.
• Üyelik formları: Kampanya SMS'lerine onay verilmeden kaydın tamamlanamaması.
• Çevrim içi alışveriş: Sipariş adımında "kişisel verilerimin tüm iştiraklerle paylaşılmasını kabul ediyorum" kutusunun zorunlu tutulması.

Bu örneklerde ayırt edici soru şudur: İstenen veri, hizmetin sunulması için gerçekten gerekli mi? Wi-Fi bağlantısı için pazarlama onayı gerekli değildir. Ürün teslimatı için adres gereklidir, ancak reklam profillemesi için rıza gerekli değildir. Gereksiz olan her onay, hizmetin şartı hâline getirildiğinde hukuka aykırılık riski doğurur.

Benzer Bir Dayatmayla Karşılaşırsanız Ne Yapabilirsiniz?

Kişisel Verilerin Korunması Kanunu, bireye önce veri sorumlusuna başvurma, sonuç alamazsa Kurul'a şikâyet etme hakkı tanır. Adımlar şöyle özetlenebilir:

1. Kanıt toplayın. Rıza ekranının ekran görüntüsünü, tarih ve saat bilgisini, varsa aydınlatma metnini kaydedin.
2. Veri sorumlusunu belirleyin. Aydınlatma metninde veya gizlilik politikasında hangi şirketin veri sorumlusu olarak gösterildiğine bakın. Uçak içi internet örneğinde bu, havayolu değil servis sağlayıcıydı.
3. Veri sorumlusuna yazılı başvurun. Kanun'un 13. maddesi uyarınca veri sorumlusu, başvurunuzu en geç 30 gün içinde yanıtlamak zorundadır. Başvuruda hangi verinin hangi amaçla işlendiğini, rızanın neden zorunlu tutulduğunu ve verilerinizin silinmesini talep edebilirsiniz.
4. Kurul'a şikâyet edin. Başvurunuz reddedilir, yetersiz yanıtlanır veya 30 gün içinde yanıt verilmezse, Kurul'a şikâyet yoluna gidebilirsiniz. Şikâyet süresi, yanıtı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gündür. Başvuru adımlarını KVKK şikâyeti nasıl yapılır yazısında ayrıntılı anlattık.
5. Tüketici haklarınızı da hatırlayın. Hizmet bir tüketici sözleşmesi kapsamındaysa, haksız şart niteliğindeki dayatmalar için tüketici hukuku kapsamındaki yollar da gündeme gelebilir.

Kurul'un uçak içi internet kararı, bu yolun tek bir kullanıcının şikâyetiyle bile sonuç verebildiğini gösteriyor.

Şirketler Açısından Ne Değişiyor?

Karar, dijital hizmet sunan işletmeler için de somut mesajlar içeriyor:

• Doğru hukuki dayanağı seçin. Hizmetin ifası için gereken veriler zaten sözleşme dayanağıyla işlenebilir; bunlar için ayrıca açık rıza istemek hem gereksiz hem risklidir.
• Rıza gerektiren işlemeleri ayrıştırın. Pazarlama, profilleme veya üçüncü taraflarla paylaşım gibi amaçlar için rıza, hizmete erişimden bağımsız ve reddedilebilir bir seçenek olarak sunulmalıdır.
• Ekran tasarımı da denetime tabidir. Kullanıcıyı onaya yönlendiren, "hayır" seçeneğini gizleyen veya zorlaştıran arayüzler, Kurul tarafından "açık rıza vermeye yönlendirme" olarak nitelendirilebilir.
• Veri sorumlusu kimliğini net gösterin. Birden fazla şirketin yer aldığı hizmet zincirlerinde, aydınlatma metninde veri sorumlusunun açıkça belirtilmesi gerekir.

Sonuç

Kişisel Verileri Koruma Kurulu'nun uçak içi internet kararı, açık rızanın bir hizmetin ön şartı olamayacağı ilkesini bir kez daha somutlaştırdı. Kurul'a göre servis sağlayıcı, Kanun'da başka bir işleme şartı mevcutken kullanıcıyı rıza vermeye yönlendirdi ve dürüstlük kuralını ihlal etti. 90.000 TL'lik ceza, tutarından çok taşıdığı mesajla önemli: kullanıcı, verilerinin işlenmesini istemediğinde bunu söyleyebilir ve hizmet bu yüzden esirgenemez.

Benzer bir uygulamayla karşılaştığınızda ekran görüntüsü alıp veri sorumlusuna başvurmak ve gerekirse Kurul'a şikâyet etmek mümkündür. Bu yazıdaki bilgiler genel niteliktedir; somut olayınıza ilişkin değerlendirme için bir avukata danışmanız uygun olur.