Günlük hayatımızda bazılarımızın yolu araç kiralama firmalarına çıkmış olabilir. Araç kiralama sektöründe de kişisel bilgilerimiz işlenebilmektedir. İşte bu durumda karşımıza kişisel verilerimizin korunması hususu ortaya çıkmakta. Araç kiralama firmalarının da kişisel verilerimizi hukuka uygun olarak işlemesi, koruması ve imha etmesi gerekmektedir.
Tüm sektörlerde olduğu gibi araç kiralama hizmeti veren şirketlerde veri sorumlusu olarak aydınlatma yükümlülüklerini yerine getirmek zorundadır. Kanunun öngördüğü haller dışında, işlenen kişisel verilere ilişkin ilgili kişilerden açık rıza alınması gerekmektedir. Kişisel veriler işlenirken ilgili kişinin açık rızası gerekmektedir. Araç kiralama hizmeti sırasında veri sorumluları ilgili kişileri aydınlatma yükümlülüğü altındadır. Hukuka uygun bilgilendirme yapıldıktan sonra kişilerden açık rızaları alınarak kişisel verileri işlenebilecektir. Kişisel verilerin işlenmesinde önemli bir kavram olan açık rıza kavramı hakkında daha fazla bilgi için yazımıza buradan ulaşabilirsiniz. Açık rıza kavramı hakkında önceki yazılarımızı okumanızı tavsiye ederiz.
Burada açık rıza ile ilgili ele alacağımız karar; araç kiralama hizmeti sırasında ilgili kişinin şikâyeti ile Kurul tarafından ele alınan ve karara bağlanan 05/05/2020 tarihli ve 2020/335 sayılı Kararı ‘dır.
Söz konusu olayda veri sorumlusu olan araç kiralama şirketi, ilgili kişiden kişisel verilerinin işlenmesine rıza göstermesini istemiş ve bu rızayı vermemesi halinde araç kiralama işlemini gerçekleştiremeyeceğini belirtmiştir. Bunun üzerine ilgili kişi usulüne uygun şekilde Kurul’a şikâyette bulunmuştur. Kurulun bu olaya ilişkin vermiş olduğu karar, araç kiralama hizmeti sırasında kişisel verilerin işlenmesine ilişkin önemli bilgiler içermektedir.
Araç kiralama hizmeti sırasında 1174 Sayılı Kimlik Bildirme Kanunu’nu dikkate alınarak Emniyet Genel Müdürlüğü tarafından hazırlanan KABİS’e (Kiralık Araç Bildirim Sistemi), ilgili kişilerin bazı kişisel verilerinin işlenmesi zorunludur. KVKK 5. Md. incelediğimizde de ilgili kişinin kişisel verilerinin işlenmesinde açık rıza şartının aranmadığı istisnai durumlardan biri “Kanunlarda açıkça öngörülmesi” halidir.
Söz konusu olayda ise veri sorumlusu olan araç kiralama şirketi kanunda sayılan istisnai haller dışında kişisel verilerin işlenmesi için ilgili kişinin açık rızasına başvurmuş; ancak bu açık rızanın alınmasını hizmet sözleşmesinin bir şartı olarak belirtmiş, rızanın verilmemesi halinde araç kiralama hizmetinin gerçekleşmeyeceğini belirtmiştir. Kurul kararında kişinin iradesini sakatlayacak her türlü eylemin açık rızayı da sakatlayacağı, rızanın özgür irade ile açıklanması gerektiği, hizmetin ya da ürünün faydalanılmasında rızanın ön şart olarak ileri sürülemeyeceği, söz konusu olayda istisnai hal dışında kişisel verilerin işlenmesi ya da aktarılması için açık rıza verilmesinin, hizmetin kullanılmasının ön şartı olarak sunulması; ayrıca kanundan doğan kişisel veri işleme şartının varlığının olmasına rağmen açık rıza alınmasının ilgili kişiyi yanıltmaya veya yanlış yönlendirmeye yönelik olduğundan hakkın kötüye kullanılması olarak değerlendirmiş ve veri sorumlusu olan araç kiralama şirketine idari para cezası vermiştir.
Kurul gündem de yer alan bu konuyla ilgili “Araç kiralama sektöründeki kara liste uygulamaları hakkında ilke kararını” 20 Ocak 2022 tarihli Resmi Gazete’de yayınladı. Bu Kararı incelediğimizde birçok kişi tarafından şikâyet konusu olan araç kiralama sektöründe “kara liste” adı altında yazılım program ve uygulamalarına yer verildiği; bu bilgilerin bir sonraki kiralamaya karar verilmesinde kullanıldığı ve kullanılan programın/uygulamanın başka araç kiralama firmalarının da kişisel verileri görmesine olanak sağladığı anlaşılmıştır. Kara liste adı altında tutulan verilerin ilgili kişilerin firmaya verdikleri bilgiler, firma ile yaşadığı olumlu olumsuz olaylar, kiralanan araca zarar verip vermediği, ödeme sırasında sorun yaşanıp yaşanmadığı gibi hususlar olduğu belirtilmiştir. Araç kiralama şirketleri ile yazılım şirketleri bu kayıtları tutmalarından dolayı ortak veri sorumlusu olacaklardır. Bilinmeyen sayıda araç kiralama firması ile bu bilgilerin paylaşılması halinde Kanun 4 md. düzenlenen ilkelere aykırılık teşkil edeceğini belirten Kurul bu tarz yazılımlar kullanarak kişisel verilerin işlenmesinin ve aktarılmasının hukuka aykırı olacağını İlke Kararında belirtmiş ve veri sorumlularına hukuka aykırı eylemlerini sonlandırmaları konusunda uyarmış ve kara liste uygulamasına başvuran veri sorumlularının yaptırımla karşılaşacağını belirtmiştir.
Kısaca özetlemek gerekirse araç kiralama sektöründe bulunan veri sorumlularının, KVKK’ya uygun şekilde kişisel verileri işlemesi gerekmektedir ve KABİS’e işlenmesi gereken zorunlu kişisel verilerin dışında kişisel verileri işlemek ve aktarmak istemesi halinde ilgili kişinin açık rızasını almak zorundadır. Açık rıza hizmetin kullandırılması için bir ön şart olarak ileri sürülemez. Yukarıda açıkladığımız şekilde önlem alınmaksızın ve hukuka aykırı olarak birden fazla bilinmeyen araç kiralama firmalarına açık şekilde verilerin paylaşılmasına olanak sağlayan yazılım program/uygulamalarının kullanılması halinde veri sorumlularının yaptırımla karşılaşabileceklerini hatırlatmak isteriz.
