Araç Kiralama Firmalarının Kara Liste Uygulamaları Hakkında Kişisel Verileri Koruma Kurulu Kararı

Özet

Kişisel Verileri Koruma Kurumu, araç kiralama sektöründe kullanılan “kara liste” uygulamaları/yazılımları ile ilgili ilke karar yayınlamıştır. Kişisel Verileri Koruma Kurumu, araç kiralama firmalarının ilgili yazılımları kullanmak suretiyle kişisel veri işlediğini, bu veriler arasında kullanım sürecine ilişkin olumsuz görüşlerin ve araç kiralama firmalarının görüşlerinin yer aldığını, bu bilgilerin söz konusu araç kiralama firması tarafından sonraki araç kiralama süreçlerinde kullanılabildiğini ve bu verilerin yazılımı kullanan diğer araç kiralama firmalarının da erişimine açılabildiğini tespit etmiştir.

Kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. maddesi uyarınca istisnai haller dışında kişisel verilerin açık rıza olmaksızın işlenemeyeceği belirtilmiştir. Ayrıca veri sorumlularının kişisel verileri hukuka uygun işlemek ve kişisel verilerin güvenliğini sağlamak üzere uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlü olduğu ifade edilmiştir. Bunun yanında kararda;

• Araç kiralama firmalarının 1774 sayılı Kimlik Bildirme Kanunu uyarınca araç kiralama işlemini kolluk kuvvetlerine bildirmesinin ve sözleşme kapsamında gerekli verileri toplamasının KVKK md. 5’te öngörülen veri işleme şartlarına uygun olduğu; ve
• Kara liste için kullanılan veri tabanları ile gerçekleştirilen işlemin kişilerin temel hak ve özgürlüklerine zarar verdiği, yapılan işlemin KVKK md. 4’te öngörülen genel ilkelerden hukuka ve dürüstlük kurallarına uygun olma, belirli ve meşru amaçlar için işlenme, amaçla bağlantılı, sınırlı ve ölçülü olma ilkelerine aykırı olduğu belirtilmiştir.

Bu karar ile KVKK’da yer almayan ancak GDPR kapsamında düzenlenen ‘ortak veri işleme’ kavramına yer verilmiştir. Kurul, yapmış olduğu değerlendirmeler neticesinde kara liste yazılımı kullanan araç kiralama firmaları ile yazım şirketlerinin ortak veri sorumlusu olarak değerlendirilmesi gerektiğini belirtmiştir. Bu kapsamda veri sorumluları tarafından KVKK md. 12’de öngörülen gerekli teknik ve idari tedbirlerin alınmasına ve gerekli önlemleri almaksızın KVKK’ya aykırı şekilde kara liste uygulamasına başvuran araç kiralama şirketleri hakkında idari para ceza uygulanmasına karar vermiştir.