Araç kiralama sektöründe "kara liste" uygulamalarını hukuka aykırı olarak kullanan firmalara yaptırım uygulanacaktır

• Tarih: 20.01.2022
• Yazar: Stj. Av. Sıla Özdemir

Araç kiralama sektöründe "kara liste" uygulamalarını hukuka aykırı olarak kullanan firmalara yaptırım uygulanacaktır

Kişisel Verileri Koruma Kurumu'nun işbu kararına konu olan "kara liste" uygulamalarının, yazılım şirketleri tarafından diğer araç kiralama firmalarının da ulaşabileceği yazılımlar olarak tasarlandığı, hukuka aykırı olarak verilerin depolandığı ve sonraki kiralamalarda karar verirken araç kiralama firmalarınca kullanıldığı Kuruma gelen ihbar ve şikayetler neticesinde tespit edilmiştir.

Bir başka deyişle araç kiralayan bir kişi araç kiralama sürecinde herhangi bir olumsuzluk yaşayıp (Örneğin; araca verilen zarar, ödemede yaşanılan sıkıntılar vb.) araç kiraladığı firma hakkında olumsuz yorum yaparsa bu yorumlar, araç kiralama firmasının kullandığı “kara liste” uygulamasına kaydedilmekte ve araç kiralama firması tarafından bir sonraki araç kiralamanın gerçekleşmesinde karar verirken bu verilerin kullanıldığı anlaşılmıştır. Üstelik bu veriler, kullanılan yazılımlar neticesinde diğer araç kiralama firmaları ve bilinmeyen sayıda kullanıcının da erişim sağlayabileceği şekilde tasarlanarak kişinin araç kiralamasını -değişkenlik gösteren somut olaylara göre- zorlaştırabileceği belirtilmiştir.

Ancak yazılım şirketleri tarafından araç kiralama firmalarının kullanımına sunulan bu uygulamaların yönetimi yazılım şirketlerinde olduğundan araç kiralama firmalarının yazılımlara doğrudan müdahale etmesinin mümkün olmayacağı yalnızca içerik sağlamada katkıda bulunulabilecek şekilde tasarlanmıştır. Dolayısıyla işlenen verilerin ne kadar fazla kullanıcı ile paylaşıldığı da bilinmemektedir.

Kişisel Verileri Koruma Kanunu’nun 5. maddesinde kişisel verilerin ilgilinin açık rızası olmadan işlenemeyeceği, ancak;

-Kanunlarda açıkça öngörülmesi,

-Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olması veya rızasına hukuki geçerlilik tanınmayan kişinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

-Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,

-Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

-İlgili kişinin kendisi tarafından alenileştirilmiş olması,

-Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

-İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

şartlarından birinin varlığı halinde ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkün olduğu hükme bağlanmıştır.

Kanunun 8. maddesinde ise yukarıda bahsi geçen şartlardan birinin bulunması halinde kişisel verilerin yeterli önlemler alınarak aktarılabileceği düzenlenmiştir.

Bu düzenlenmeler ışığında Kararda araç kiralama firmalarının “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” nedeniyle müşterilerinin kişisel verilerini işleyebileceğinin mümkün olduğu belirtilmiştir.

Ancak araç kiralama firmaları tarafından müşterilerinin kişisel verilerinin işlenmesinin ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması söz konusu ise ve ilgili kişinin menfaatleri daha baskın ise kara liste uygulamasının somut olayda ayrıca değerlendirilmek suretiyle uygulanabileceğini fakat bu verilerin yazılım şirketleri ve diğer kişiler ile paylaşılması halinde temel hak ve özgürlüklerinin ihlal edilmemesinin mümkün olamayacağını buna ek olarak bu durumun “hukuka ve dürüstlük kurallarına uygun olma”, “belirli ve açık meşru amaç için işlenme”, “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine de aykırılık teşkil edeceği belirtilmiştir.

Kara liste uygulamaları ile meydana gelen hukuka aykırılıkta veri sorumlusunun kim olduğu çelişkisine de Kurum, yazılım şirketlerinin veri üzerindeki hakimiyeti ve kara liste uygulamasını kendi menfaati için kullanan araç kiralama firmalarının ortak veri sorumlusu olarak değerlendirilmesi gerektiğini ifade ederek;

-Hukuka aykırı bu uygulamanın açıklanan gerekçeler ile sonlandırılmasına yahut veri işleme sürecinin Kanun’a uygun hâle getirilmesi amacıyla gerekli teknik ve idari tedbirlerin veri sorumluları tarafından alınmasına,

-Sonlandırılmaması yahut gerekli tedbirlerin alınmaması halinde veri sorumluları hakkında işlem tesis edileceğine

OYBİRLİĞİ İLE karar vermiştir.

Kararın tam metni için tıklayınız.