Elektronik Bilet (Passolig) ve Kişisel Veriler: Taraftarın KVKK Hakları

Elektronik bilet sistemi, sporda şiddetin önlenmesi mevzuatına dayanır: kimlik ve seyirci bilgilerinin bu amaçla işlenmesi kanuni zorunluluktur ve ayrıca rıza gerektirmez. Buna karşılık verilerin bankacılık ve pazarlama amaçlarıyla kullanımı, açık rızaya tabidir ve rıza her zaman geri alınabilir; taraftar, veri sorumlusuna başvuru ve Kişisel Verileri Koruma Kuruluna şikâyet haklarına sahiptir.

Tribüne Girmenin Veri Bedeli

Türkiye’de üst lig futbol maçına gitmek, bir bilet almaktan fazlasıdır: kimliğinizle eşleşen bir elektronik kart çıkarır, verilerinizi bir sisteme kaydettirir, turnikeden o kimlikle geçersiniz. Sporda şiddeti önleme amacıyla kurulan bu düzen, on yılı aşkın süredir tribün kültürünün ve aynı zamanda Türkiye’nin en büyük kişisel veri tartışmalarından birinin merkezindedir: Hangi verim, kimde, hangi amaçla duruyor? Sorunun cevabı; sporda şiddet mevzuatı ile kişisel verilerin korunması hukukunun kesişiminde yatar ve taraftarın bilmediği her kural, ya gereksiz bir rıza imzasına ya da kullanılmayan bir hakka dönüşür. Bu rehber; elektronik bilet ekosisteminin veri haritasını ve taraftarın KVKK cephaneliğini anlatıyor.

Sistemin Hukuki Omurgası: Zorunlu Çekirdek

Elektronik bilet uygulamasının dayanağı, sporda şiddet ve düzensizliğin önlenmesine ilişkin kanundur: belirli liglerdeki müsabakalara girişte elektronik kart esası; seyircinin kimliğinin doğrulanmasını, koltuk-kart eşleşmesini ve olay çıkaranların tespitini mümkün kılmak üzere kurulmuştur — kartın çıkarılması için alınan kimlik ve iletişim bilgileri ile fotoğraf, bu güvenlik mimarisinin çekirdek verisidir. KVKK terazisinde bu çekirdeğin konumu nettir: kişisel verilerin işlenmesi, kanunlarda açıkça öngörülme hukuki sebebine dayanır — yani müsabakaya seyirci olarak girmek isteyen kişinin bu çekirdek verilerinin işlenmesi için ayrıca açık rıza aranmaz; sistemin anayasal denetimden geçtiği ve elektronik kart esasının iptal istemlerinin reddedildiği de bilinmelidir. Ancak “rıza aranmaz” cümlesinin sınırı, amacın sınırıdır: kanuni dayanak, veriyi yalnızca güvenlik ve müsabaka yönetimi amacıyla meşrulaştırır — işlemenin bu amaçla bağlantılı, sınırlı ve ölçülü kalması, KVKK’nın genel ilkeler maddesinin emridir; çekirdek amacın dışına taşan her kullanım, ayrı bir hukuki sebebe (çoğu kez açık rızaya) muhtaçtır. Ekosistemin çok aktörlü yapısı da haritaya işlenmelidir: federasyon, kulüpler, merkezi sistem işletmecisi ve kart hizmetini yürüten finans kuruluşu; her biri, yürüttüğü işleme faaliyeti bakımından veri sorumlusu sıfatı taşıyabilir — taraftarın aydınlatma metinlerinde araması gereken ilk bilgi, “hangi verim için muhatabım kim” sorusunun cevabıdır.

Kritik Ayrım: Güvenlik Verisi ile Pazarlama Verisi

Tartışmanın kalbi, kartın çift kimliğidir: elektronik bilet kartı, aynı zamanda bir banka-ödeme ürünü olarak yapılandırılmıştır ve işte tam bu noktada iki veri evreni ayrışır: (1) Zorunlu evren — maça giriş için gereken çekirdek işleme: kanuni dayanaklı, rızasız, ama amaçla sınırlı. (2) İhtiyari evren — bankacılık ürünleri, kredi teklifleri, kampanya-pazarlama iletileri, üçüncü kişilerle veri paylaşımına dayalı reklam profilleme: bunların hiçbiri “maça girmenin” zorunlu parçası değildir ve her biri açık rızaya tabidir — üstelik rıza; hizmet şartına bağlanamaz (“pazarlamaya izin vermezsen kart yok” dayatması, rızayı sakatlar), özgürce ve ayrıştırılmış verilmelidir ve her zaman geri alınabilir. Taraftarın pratik kontrol listesi buradan çıkar: kart başvurusunda pazarlama-paylaşım kutucuklarını ayrı ayrı okuyun; istemediğiniz izinleri işaretlemeyin, işaretlediklerinizi dilediğinizde geri çekin; ticari elektronik ileti izinlerinizi ileti yönetim sisteminden denetleyin. Üçüncü ve hassas katman, yasaklama kayıtlarıdır: seyirden yasaklama tedbir ve kararları, elektronik sisteme işlenir ve kart bu kişilere satış yapılmasını engeller — koruma amaçlı bu kayıtların da hukuku vardır: yasağın süresi dolduğunda kaydın güncellenmesini ve sonuç doğurmamasını istemek, yanlış-mükerrer kayıtların düzeltilmesini talep etmek; taraftarın veri doğruluğu hakkının doğrudan uygulamasıdır (seyirden yasaklamanın ceza boyutunu ayrı rehberimizde işledik).

Taraftarın Cephaneliği: Başvuru, Şikâyet ve Uyum Notları

KVKK, karta kayıtlı herkese işleyen bir hak seti verir: verinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacına uygun kullanılıp kullanılmadığını sorma, aktarıldığı üçüncü kişileri öğrenme, eksik-yanlış verilerin düzeltilmesini, şartları oluştuğunda silinmesini-yok edilmesini isteme ve zarar hâlinde tazminat. Usul zinciri iki basamaklıdır: (1) Önce ilgili veri sorumlusuna başvuru — yazılı ya da sistemdeki kayıtlı kanallarla; sorumlu, talebi en geç otuz gün içinde sonuçlandırmak zorundadır. (2) Cevap gelmez, ret gelir ya da yetersiz kalırsa: cevabı öğrenmeden itibaren otuz gün ve her hâlde başvurudan itibaren altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyet; Kurulun bu ekosisteme dair karar pratiği (aydınlatma eksikleri, rıza kurgusu ve amaç aşımı denetimleri) şikâyetin emsal zeminidir. Saklama sorusu da sorulmalıdır: kart ilişkisi biten, sistemden ayrılan taraftarın verileri; mevzuattaki saklama süreleri saklı kalmak üzere, amacın ortadan kalkmasıyla imha politikalarının konusudur — “hesabımı kapattım, verim ne oldu” sorusu, meşru ve cevaplanması zorunlu bir başvurudur. Kulüp ve organizatörler için uyum notu: aydınlatma metinlerinin katmanlı ve anlaşılır kurulması, rıza kutucuklarının hizmet şartından ayrıştırılması, kamera-tribün görüntüleme sistemlerinin ayrıca aydınlatılması ve yasaklama kayıtlarının güncellik denetimi; hem Kurul yaptırımlarının hem taraftar davalarının panzehiridir. Kapanış cümlesi tribünlere asılacak türdendir: takımını desteklemek kimliğini teslim etmek değildir — çekirdek veri kanunun, gerisi senin imzanın meselesidir; imzanı bilinçli at, hakkını süresinde iste.

Sıkça Sorulan Sorular

Elektronik kart için verilerimin işlenmesine rıza vermek zorunda mıyım?

Çekirdek işleme — kimlik, iletişim, fotoğraf — sporda şiddet mevzuatındaki kanuni dayanağa oturur ve ayrıca rıza gerektirmez; ancak işleme güvenlik amacıyla sınırlı ve ölçülü kalmak zorundadır.

Kartımın bankacılık-pazarlama kullanımı da zorunlu mu?

Hayır; pazarlama, kampanya ve veri paylaşımı açık rızaya tabidir. Rıza hizmet şartına bağlanamaz, ayrıştırılmış verilmelidir ve her zaman geri alınabilir.

Seyirden yasağım bitti ama sistem hâlâ satış yapmıyor, ne yaparım?

Kaydın güncellenmesini ve yanlış-mükerrer kayıtların düzeltilmesini veri sorumlusundan yazılı talep edin; sonuç alamazsanız Kurul şikâyeti ve yargı yolu açıktır.

KVKK başvurusu nasıl yapılır, süreler nedir?

Önce veri sorumlusuna başvurulur; otuz günde sonuçlandırma zorunludur. Ret veya cevapsızlıkta, öğrenmeden otuz ve her hâlde başvurudan altmış gün içinde Kişisel Verileri Koruma Kuruluna şikâyet edilir.

Karttan ayrılırsam verilerim silinir mi?

Mevzuattaki saklama süreleri saklı kalmak üzere, amacı ortadan kalkan veriler imha politikalarının konusudur; silme-yok etme talebi meşru bir başvurudur ve cevaplanması zorunludur.