İstanbulkart'ın 'kişiselleştirilmesi' kişisel verilerin korunmasına aykırı mı?

Sinem UĞURLU

İstanbul- İstanbul’da ulaşımda yeni bir dönem başlıyor. 31 Aralık 2022 tarihinden sonra anonim ulaşım kartları (kişiye özel olmayan) kullanıma kapatılacak. Ayrıca İstanbul Büyükşehir Belediyesi (İBB) ile Mastercard arasında yapılan anlaşmaya ile de Mastercard logolu İstanbulkartlar yurt içi ve yurt dışı tüm ödeme ağında geçerli olacak.

Konunun gündeme gelmesinin ardından, “anonim seyahat etme hakkı”, “veri güvenliği” gibi konular da pandemideki HES kodu uygulamasının ulaşım kartlarına entegresi döneminde olduğu gibi tartışılmaya başladı.

İstanbul Büyükşehir Belediyesi Ulaşım Dairesi Başkanı Utku Cihan Artı Gerçek ve Artı TV'ye uygulamanın detaylarını anlattı. İletişim Uzmanı Şevket Uyanık ve Avukat Ceyda Cimilli Akaydın da merak edilen soruları yanıtladı.

1) İBB neden “İstanbulkart kişiselleştirme” uygulamasına geçti?

İBB, yeni uygulamanın iki amaçla yapıldığını savunuyor. İstanbul Büyükşehir Belediyesi Ulaşım Dairesi Başkanı Utku Cihan bu iki amacı şöyle detaylandırdı.

*Bakiye güvenliği: “İstanbulkart, birçok zincir marketlerde ya da alışverişte kullanılan bir kart haline geliyor yavaş yavaş. İçerisinde büyüyen bir bakiye oranı var. Kişiselleştirme yöntemiyle beraber kartın güvenliğini de sağlamış oluyoruz. Kayıp-çalıntı halinde vatandaşlarımız başvuru yaparak kartı kullanıma kapattırabilirler ve eski bakiyelerini geri alabilirler.”

*Ulaşım planlaması: “Kampanyalar yapmak istiyoruz. Bu kampanyalardan kimler yararlanıyor ya da ne çeşit kampanyalar yapabiliriz? Kişiselleştirmeyle beraber bunları daha iyi planlayabiliriz. Bu aynı zamanda ulaşımın planlanması açısından da önemli. Ulaşım indirimi yaptığımızda kimin yararlanacağını planlayarak, görerek yapmak istiyoruz.”

2) İstanbul kartı kişiselleştirmek zorunlu mu? Son gün ne zaman?

Resmi tatil olan 29 Ekim'de (dün) kişiselleştirilmemiş kartı olanlar ücretsiz ulaşım hizmetinden yararlanamadı. Kişiselleştirmede son tarih ise 31 Aralık 2022. Bu tarihten sonra kişiselleştirilmemiş kartlar kullanıma kapatılacak.

3) Anonim şekilde seyahat etmek artık mümkün değil mi? Alternatif yok mu?

Bir İstanbullunun anonim şekilde seyahat etmesi fiili olarak artık mümkün değil. Tek alternatif, “Sınırlı Kullanımlı Kartlar.” Utku Cihan, Artı Gerçek'e anonim kartlar kullanıma kapandıktan sonra da “Sınırlı Kullanımlı Kartlar” uygulamasının devam edeceği bilgisini verdi.

Ancak belirli geçiş hakkı veren bu kartlar sürekli ve aktarmalı şekilde toplu taşıma kullanan İstanbullular için avantajlı değil.

Alo 153'ten kartlara dair edindiğimiz güncel fiyat bilgisi şöyle:

Bir Geç: 15 TL
İki Geç: 25 TL
Üç Geç: 35 TL
Beş Geç: 45 TL
On Geç: 90 TL

Biletmatikler'de satılan kartların geçerlilik süresi ise 60 gün.

'VERİLERİ SADECE BİR NUMARA OLARAK ALIYORUZ'

4) İBB'nin topladığı ulaşım verilerimiz güvende mi?

Utku Cihan, verilerin BELBİM'in veri tabanında, EPDK tarafından denetlenen bir sistem tarafından tutulduğu bilgisini verdi ve verilerin dışarı çıkarılmasının kesinlikle mümkün olmadığını savundu. Cihan, “Verileri; kime ait olduğuna göre değil, sadece onu temsil eden bir numara olarak alıyoruz ve değerlendiriyoruz” dedi.

5) Ulaşım verilerinin yerel otoritede toplanması yasal mı?

İBB verilerin güvende olduğunu ve başka amaçlarla kullanılamayacağını söylese de, ulaşım verilerinin toplanıyor olması dahi çeşitli endişelere yol açıyor. Pandemi sürecindeki HES kodu uygulamasının ulaşım kartlarına entegresi döneminde de konu çokça tartışılmıştı.

Kartların kişiselleştirilmesi ve Mastercard ile işbirliği anlaşmasının gündeme gelmesiyle birlikte sosyal medyada çok sayıda vatandaş bu kaygılarını dile getirdi ve anonim seyahat etme hakkına vurgu yaptı.

Örneğin Gazeteci Pınar Öğünç sosyal medya hesabından “Kamu hizmetinde "Mastercard", yurttaşların doğrudan muhatabı değildir, olamaz. Bu "iş birliği", rızası alınmadan kentlilere dayatılamaz. Kişiselleştirilmiş toplu taşıma kartlarının zorunlu kılınması, anayasal bir hak olan seyahat özgürlüğünün kısıtlanmasıdır” diye yazdı.

Hukukçular ve uzmanlar; bu uygulamada “gerekli aydınlatmanın yapılması ve rızanın alınması” konusuna dikkat çekiyor.

'BU VERİLER NE KADAR SAKLANIYOR, NE AMAÇLA KULLANILIYOR BİLMİYORUZ'

Artı Gerçek’e konuşan İletişim Uzmanı Şevket Uyanık’a göre; buradaki temel sorun verilerimizi emanet ettiğimiz otoritelerin onları hukuka ve dürüstlük kurallarına göre koruyup korumadığı. Uyanık, Türkiye'nin bu anlamdaki sicilinin yeterince temiz olmamasına dikkat çekerek şunları söyledi:

“Yıllar önce tüm vatandaşların kimlik bilgilerine ulaşabiliyordunuz. Çeşitli forumlarda bu bilgiler yer alıyordu ya da sağlık verilerimizin DATAMED isimli yabancı bir firmaya satıldığını biliyoruz. İnsanların da şüphe duyduğu ve huzursuz hissettiği tamamen bu. Bir diğer taraftan da şeffaflık yok. Bu veriler ne kadar saklanıyor, ne zaman siliniyor, bu veriler ne amaçla kullanılıyor bilmiyoruz. Bilgi edinme hakkından yararlansak bile belli bir noktaya kadar öğrenebiliyoruz. Büyük şirketler için de aynı durum geçerli. Kısaca insanlar güvenmiyor. Bu sebeple internette denildiği gibi ‘ne kadar az ayak izi bırakırsak o kadar iyi’ herhalde.”

Avukat Ceyda Cimilli Akaydın da, konuyu Kişisel Verilerin Korunması Kanunu (KVKK) açısında değerlendirdi. Akaydın, yasal düzenlemelerin amacının yurttaşlara kendi verilerini işlemek isteyen kişi ve kurumlara teslim edip etmeme bu konuda seçim yapma ve karar verme hakkı tanımak olduğunu ifade etti. KVKK veri sahibinin rızası olmadan verisinin işlenemeyeceği düzenlemesini getirdikten sonra, veri sahibinin rızası alınmadan hatta rızasının aksine verisinin işlenebileceği istisnaları da düzenlediğini (pandemi gibi) söyleyen Akaydın, “Ancak burada da yerel yönetimin bu verileri başka hiçbir amaçla kullanmaması ve korunması için tüm önlemleri alması gereklidir” dedi.

Anadolu Ajansı'na konuşan Kişisel Verileri Koruma Kurumu (KVKK) uzmanı avukat Merve Bayram da rıza unsuruna dikkat çekerek, “Şayet kişiselleştirerek kullanma ya da anonim olarak kullanma şeklinde seçenek olmaksızın sadece ve sadece kişiselleştirerek kullanılabilirliğin dayatılması hukuka uygun olmayacaktır” dedi. Kişisel verileri hukuka aykırı olarak işlenen kişilerin KVKK kuruluna şikayette bulunabileceğini belirten Bayram, bu kişilerin hak ihlali nedeniyle yargı yoluna gidebileceğini kaydetti.

'SEYAHAT EDERKEN İZLENDİĞİNİ BİLMEK HOŞ OLMASA GEREK'

6) Şehir içi ulaştırma hizmetini anonim kalarak almak bir hak değil mi

Avukat Ceyda Cimilli Akaydın, “Bir yurttaşlık hakkı olarak anonim kalarak seyahat etme hakkı tabii ki olmalıdır. Bu prensip gereği taşıma hizmetinin verilmesi verinin işlenmesine izin verilmesi şartına bağlanamaz. Ancak burada da kamu sağlığı, kamu düzeni ve güvenliği gibi konular da göz önüne alınmalıdır. Ayrıca, kişinin yaşı, öğrenci olması vb nedenlerle kendine özel indirimler kullanmak istemesi halinde bu işlemin yapılabilmesi için kişinin verisinin işlenmesi zorunlu olduğundan bu tür hizmetlerin kullanılması durumunda da veri sahibinin rızasının alınmasına gerek yoktur” fikrini savundu.

7) Anonim şekilde seyahat etmek neden önemli?

İletişim Uzmanı Şevket Uyanık: Bazı insanlar için önemsiz olabilir. Ama seyahat ederken izlendiğini bilmek hoş bir duygu olmasa gerek. Bu durum, şehirlerin her yerine takılan ve sayıları gün geçtikçe artan kamera sistemlerini andırıyor biraz da. Güvenlik diye tüm vatandaşlarınızı izleyemezsiniz. Bu konuda yapılan araştırmaların çoğunda zaten gözetim teknolojilerinin istenildiği düzeyde başarı sağlayamadığını görüyoruz. Bu teknolojilere yapılan büyük bütçeli yatırımlar kentlerimiz için çok daha vatandaş odaklı yatırımlar için harcanabilir.

Avukat Ceyda Cimilli Akaydın: Kişinin nerede olduğu bilgisi de kişisel verilerindendir. Kişinin hangi tarih ve saatte nereye gittiğine, hatta diğer kişilerin verisi ve gidilen yerlerdeki kurum ve etkinliklere ilişkin veriler de birleştirildiğinde kişi ile ilgili pek çok çıkarım yapılabilir. Tüm bu nedenlerle anonim seyahat etme hakkı önemlidir. Ancak güvenlik kameraları, karayollarından geçişi ölçümleyen kameralar, şehirlerarası seyahat ve yolcu taşımacılığı mevzuatı nedeniyle günümüzde anonim seyahat zaten çok mümkün olmamaktadır.

8) BELBİM ile Mastercard arasında yapılan anlaşma nedir?

İstanbul Büyükşehir Belediyesi'ne (İBB) bağlı olan BELBİM Elektronik Para ve Ödeme Hizmetleri A.Ş. ile Mastercard'la geçtiğimiz günlerde anlaşma imzaladı. Anlaşma ile İstanbul'da toplu taşımada İstanbulkart’ın yanı sıra yurt içi ve yurt dışı temassız kredi, banka ve ön ödemeli kartlarla da ödeme yapılacak.

Mastercard'ın internet sitesinden yapılan açıklamada, toplu ulaşım araçlarında temassız ödeme hizmeti veren kredi, banka ve ön ödemeli kartlarla ödeme yapılabilmesi için BELBİM A.Ş. ile Mastercard arasında anlaşma imzalandığı aktarıldı.

"Proje, diğer kredi kartları, banka kartları ve ön ödemeli kartların ulaşımda geçerli olmasıyla sınırlı değil" denilen açıklamada, "Toplu ulaşımda kredi kartları, banka kartları ve ön ödemeli kartlarla ödeme yapabilmeyi takiben, projenin ikinci bacağı devreye girecek. Ulaşımda kredi, banka kartlarıyla ve ön ödemeli kartlarla ödeme yapabilmenin yanında 2023 yılında kullanıma sunulacak Mastercard logolu İstanbulkartlar yurt içi ve yurt dışı tüm ödeme ağında geçerli olacak" ifadeleri kullanıldı.

'TELEFONLARI ARAÇLARA UYUMLU HALE GETİRSELERDİ DAHA MANTIKLIYDI'

9) Mastercard, İBB'nin İstanbulkart için herkesten topladığı kişisel verilere erişebilecek mi?

Anlaşmanın detayları henüz bilinmiyor. Konu güvenlik açısından tartışıldığı gibi maddi açıdan da tartışılıyor. Yani banka ya da kredi kartlarımızın arasına bir yenisinin daha eklenmesi, ne kadar komisyon alınacağı…

Hukukçu ve uzmanlar anlaşma metni henüz bilinmediği için net bir açıklama yapmaktan kaçınıyor. Ancak benzer uygulama ve sözleşmeler üzerinden tahmin yürütmek mümkün.

İletişim Uzmanı Şevket Uyanık: Veri çağımızdaki en önemli olgulardan biri ve parasal değeri yüksek olan bir kavram. Bu anlamda yapılan anlaşma ile elbette ki firmanın verilere sahip olacağını biliyoruz. Visa, Mastercard gibi oluşumlar kripto paraların aksine merkezi finans modelleridir ve ekonomik rekabette merkezi modeller kazanır ve gözetimi/veri işlemeyi zorunlu kılar. İfade özgürlüğünde olduğu gibi iktisadi ilişkilerde de özgürlük ve gizlilik önemlidir. Bu merkezi model kartları düşününce aklıma Wikileaks'ten Jullian Assange ve arkadaşlarının yazdığı "Şifrepunk" isimli kitapta bahsedilen şu cümle geldi: "Yani Putin çıkıp -kartıyla- bir kola aldığında, 30 saniye sonra Washington bundan haberdar oluyor". Evet, izlendiğimiz doğru ama bunu ne için kullandıklarını şeffaf olarak bilemememiz sorun bence. Bu tarz kararları alırken şehirdeki insanlara, STK'lere ve diğer oluşumlara sormalısınız, sonrasında da net olarak halka açıklamalısınız. Olayın bir diğer tarafı da bu tarz kart maliyetlerinin halka yüklenmesi. Bu da doğru değil. Kartlarımızın arasına yeni bir kart eklemek teknolojik bir çözüm gibi gelmiyor. Hepimizin telefonlarında ödeme sistemleri var, toplu taşıma araçlarındaki cihazları buna uyumlu hale getirselerdi çok daha mantıklı bir iş yapmış olurlardı.

'AYDINLATMA METİNLERİNDE BELİRTMELERİ GEREKMEKTE'

Avukat Ceyda Cimilli Akaydın: Avrupa Birliği ve Amerika’da GDPR (genel veri koruma düzenlemesi) adı altında ülkemizdeki KVKK benzeri düzenlemeler mevcut. MasterCard benzeri şirketler de kendi ülkelerinde ve faaliyet gösterdikleri ülkelerde bu ve benzeri düzenlemelere uymakla yükümlü olduklarından zaten süreçlerini kişisel verilerin koruma düzenlemelerine uygun olarak düzenlemişlerdir. MasterCard entegrasyonunun sadece bu özelliğe sahip kartları ve hizmetleri kullanmak isteyen kullanıcılarla ve bu kullanıcılar entegrasyon çerçevesinde hangi verilerinin hangi kurum ve kuruluşlarla paylaşılacağı belirtilip aydınlatıldıktan sonra açık rızalarının alınması şartıyla gerçekleştirilebilir. Yani, veri sahibi olan yurttaşın rızasının usulüne uygun olarak alınması durumunda bu entegrasyon kapsamında veri paylaşılmasının yasaya aykırı bir yanı yoktur. Ancak burada iki husus unutulmamalıdır, öncelikle veriyi veri sahibinden alan asıl veri sorumlusu yerel yönetim olacağından verinin güvenliğinin ihlali durumunda verinin ihlali veriyi alan üçüncü şahıs tarafından veya onun ihmali ile bile gerçekleşse veri sahibine karşı yerel yönetim sorumlu olacaktır. İkinci olarak hem yerel yönetimi hem veriyi teslim alan üçüncü şahısların sadece veriyi hangi amaçlarla, ne şekilde işleyeceklerini aydınlatma metinlerinde belirtmeleri ve buna uygun davranmaları gerekmektedir.

'AÇIK RIZA VERMEDEN BUNU UYGULAYAMAZSINIZ'

10) İBB'nin Masterpass anlaşması kişisel verilerin korunması yasaları ve uluslararası sözleşmelere aykırı değil mi?

Uzman ve hukukçular da bu konuda da “açık ve olumlu rıza” kavramına dikkat çekiyor.

Şevket Uyanık: Gördüğüm kadarıyla Mastercard bir karbon ayak izi ölçümü yapıyor. Diyelim ben birçok farklı toplu taşıma aracına binerek, aktarmalar yaparak 12-13 saat boyunca İstanbul'un gezebildiğim kadar yerini gezmek istiyorum. Karbon ayak izi aşımı olarak sistem bunu algılayıp seyahatimi sonlandıracak mı? Estonya, İsveç gibi ülkelerde birçok teknolojik çözüm var keşke onları inceleselerdi. Açık rıza ifadesi vardır. Vatandaşlar açık rıza vermeden bunu uygulayamazsınız. Hatta Avrupa'daki GDPR kapsamında bu ifade "açık ve olumlu rıza" diye geçer. Bu sebeple bir inisiyatif ya da Sivil Toplum Örgütü tarafından KVKK'ya yapılacak toplu bir itiraz başvurusu, İBB yönetimini tekrar düzenlemeye zorlayabilir.

Avukat Ceyda Cimilli Akaydın: Kişisel verilerin korunmasına yönelik düzenlemeler tek düzedir. Bu düzenlemelerin temelinde de kişinin aydınlatılmasının ardından vermiş olduğu açık rızasının varlığı halinde veri işleme ve paylaşmanın düzenlemeye uygun olmasıdır. Bu nedenle gerekli aydınlatmanın yapılması ve rızanın alınması koşuluyla yerel yönetimlerle yerli ve /veya yabancı özel hukuk tüzel kişiler arasında yapılacak veri paylaşımları yerel ve uluslararası düzenlemelere uygun olacaktır.

11) İstanbulkart kişiselleştirmesinde öğrenci kartı, öğretmen kartı, anne kartı ve 65 yaş kartına sahip olanlar ne yapacak?

Öğrenci kartları, öğretmen kartları, anne kartları ya da 65 yaş gibi kartlar zaten kişiselleştirilmiş kartlar. İstanbul Büyükşehir Belediyesi Ulaşım Dairesi Başkanı Utku Cihan'ın verdiği bilgilere göre; bu kartlara sahip vatandaşların herhangi bir işlem yapmasına gerek yok.

12) İstanbul’da ne kadar kart kişisel değil ve şimdiye kadar kaç kart kişiselleştirildi?

İstanbul'da kişiselleştirilmemiş yaklaşık 3 milyon anonim kart var. Utku Cihan, uygulamanın duyurulmasından beri 1 milyon kişinin kartını kişiselleştirdiğini söyledi. 2 milyon civarında İstanbullu ise henüz kartını kişiselleştirmedi.

13) Turistler ne yapacak?

İstanbul'da yabancı turistler için ayrı bir “İstanbul City Card” kullanılıyor. Kartta, 1 ile 15 günlük sınırsız ulaşım hakkı ve turistik otobüs turu seçeneği bulunuyor.

14) Mülteciler ne yapacak?

Uygulamanın en çok eleştirilen yanlarından biri de mültecilerin ulaşım hakkı oldu. Geçici kimlik numarası olanlar kişiselleştirme yapabilecekken, henüz statüsü olmayan mültecilerin ise mağdur olacağı, ulaşım hizmetinden yaralanamayacağı eleştirileri yapılıyor.

Cihan bu eleştirilere kanunu işaret ederek yanıt verdi: “Kişiselleştirme, Türkiye Cumhuriyeti vatandaşı olan ya da vatandaşlık haklarından yaralanan herkesin yararlanabileceği bir uygulama. Mevzuatta tanımlanmış kurallar içinde, bu tanıma giren herkes İstanbulkartlarını kişiselleştirebilecek. Biz herhangi bir ulaşım hakkını engelleyecek bir çalışma yapmıyoruz. Kampanya, indirim yaptığımızda bunlardan kimlerin yararlanacağına dair düzenleme yapıyoruz. Herkes için ayrı uygulamalar var. Yabancılar için ayrı düzenlemeler var. Kısa ziyaretler için hazırlanmış farklı bilet türleri var.”

15) Uyum sürecinde olan transların durumu ne olacak?

LGBTİ+’lar son günlerde İstanbulkart kullanımı sırasında yaşadıkları sorunları sosyal medyada dile getiriyor. Uyum sürecinde olan translar, dış görünüşleri ve akbillerindeki cinsiyet hanesindeki farklılık yüzünden kartlarının iptal edildiğini anlatıyor. Cihan bu konuyla ilgili olarak da çözüm masasına başvurulmasını önerdi: “Her bir otobüs ve turnikede kamera sistemimiz var. Bize gelen şikayetlerde kameralı bir inceleme yaparak değerlendiriyoruz. Sadece LGBTİ'ler değil, bir yanlış olduğunu düşünen herkes çözüm masasına başvuru yapabilir. Eğer bir hata varsa kartın kullanımı geriye açıyoruz.”

16) İstanbulkart kişiselleştirmesi nasıl yapılıyor?

İstanbulkartlarını kişiselleştirmek isteyenler, İstanbulkart Mobil uygulaması üzerinden ya da kişiselleştirme.istanbulkart.istanbul adresinden kayıtlarını gerçekleştirebiliyor.

Kişiselleştirme yapmak içim uygulamaya giriş yapın ve ana sayfadan “Kart ekle” alanındaki yönlendirmeleri takip edilerek tanımlama işlemini tamamlayın.

Diğer bir yol ise www.bireysel.istanbulkart.istanbul veya www.kisisellestirme.istanbulkart.istanbul adreslerinden gerekli bilgiler doldurularak kartlar kişiselleştirilebilir.

İstanbulkart mobil uygulamasından ya da 153’ü arayarak da İstanbulkart kişiselleştirme işlemini yapabilirsiniz.