Araç kiralamada ‘kara liste’ uygulamaları hukuka aykırı bulundu

Kişisel Verileri Koruma Kurulu (KVKK), araç kiralama sektöründe yaygın kullanılan kara liste uygulamalarıyla ilgili ilke kararı yayımladı.

Resmi Gazete’de yer alan kararda, araç kiralamada “kara liste” adı verilen birtakım yazılım, program ve uygulamalara başvurulduğu, bunlar sayesinde araç kiralayan kişilerin kişisel verilerinin işlendiği, işlenen veriler arasında araçların kullanım sürecinde meydana gelen olumsuzlukları veya araç kiralama firmasının yorumlarını da içeren bilgilerin yer aldığı belirtildi.

Kuruma başvurular üzerine KVKK tarafından incelemeler yapıldığı belirtilen kararda, söz konusu yazılımların, bir araç kiralama firmasının kendi girdiği verileri diğer araç kiralama firmalarına da açmasına olanak veren sistemler olarak tasarlandığının tespit edildiği aktarıldı.

Araç kiralayan kişilerin kişisel verilerinin de bu sayede karşılıklı olarak paylaşıldığı, söz konusu kişilerin, bu durumdan bilgi sahibi olmadığı bildirildi.

Araç kiralama ve yazılım şirketleri “ortak veri sorumlusu”

KVKK’nin kararında, kara liste uygulamalarında araç kiralama firmalarının gerçek kişi müşterilerden kişisel verilerini ilk elden toplayan veri sorumluları olduğu, ayrıca yapılan uygulama nedeniyle yazılım şirketlerinin de ortak veri sorumluluğunun ortaya çıktığı kaydedildi.

Söz konusu uygulamaların hukuka aykırı olduğunu tespit eden KVKK, uygulamalara son verilerek, araç kiralama sektöründe kişisel veri işleme süreçlerinin Kişisel Verilerin Korunması Kanunu’na uygun olması ve bu kapsamda gereken her türlü teknik ve idari tedbirlerin kişisel verileri işleyen gerçek ve tüzel kişi veri sorumluları tarafından alınması gerektiğine karar verdi.

Kararda, kişisel verilerin korunmasına yönelik gerekli teknik ve idari tedbirleri almaksızın veri işleyen ve kanun hükümlerine aykırı şekilde araç kiralama sektöründe kara liste uygulamasına başvuran veri sorumluları hakkında, kanun hükümleri çerçevesinde işlem tesis edileceği belirtildi.

Ayrıca kişisel verilerin araç kiralama firmalarınca işlenmesinin mümkün olduğu fakat veri işleme faaliyetinin hukuka ve Kişisel Verilerin Korunması Kanunu hükümlerine uygun olmak kaydıyla gerçekleşebileceği ifade edildi.

İlke kararı ne anlama geliyor

Kişisel Verilerin Korunması Kanunu’nun 15’inci maddesine göre, Kişisel Verileri Koruma Kurulu, şikayet üzerine veya resen yaptığı inceleme sonucunda, ihlalin yaygın olduğunu tespit etmesi halinde “ilke kararı” alma yetkisine sahip.

Yine kanuna göre, kişisel verileri işleyen gerçek ve tüzel kişilerin, yani kanundaki ifadeyle veri sorumlularının, KVKK tarafından verilen kararları yerine getirme yükümlülüğü bulunuyor. Dolayısıyla yayımlanan ilke kararında öngörülen kanuni yükümlülüklerin ivedilikle yerine getirilmesi gerekiyor.