ARABANIZ SİZİ NE KADAR TANIYOR? AKILLI ARAÇLARDA SÜRÜCÜ VERİLERİ, GİZLİ PROFİLLEME VE KİŞİSEL VERİLERİN HUKUKİ SINIRLARI

Konumunuzdan fren alışkanlığınıza kadar her şeyi kaydeden otomobiller çağında verinin sahibi kimdir ve bu bilgiler size karşı kullanılabilir mi?

Otomobiller artık yalnızca ulaşım araçları değildir.

Yeni nesil connected car ve smart vehicle sistemleri; navigasyon, internet bağlantısı, mobil uygulamalar, sürücü destek sistemleri, kameralar, mikrofonlar, sensörler, telematik üniteler ve yapay zekâ destekli sürücü izleme sistemleri sayesinde sürekli olarak veri üretebilmektedir.

Bir araç;

sürücünün nerede bulunduğunu,

hangi güzergâhları kullandığını,

hangi saatlerde araç kullandığını,

ne kadar hızlı sürdüğünü,

ne sıklıkla sert fren yaptığını,

hangi telefonun araca bağlandığını,

hangi adreslerin navigasyona kaydedildiğini,

hangi kişilerin arandığını,

araç içerisinde kimin bulunduğunu,

hatta bazı sistemlerde sürücünün yüzünü, sesini veya dikkat durumunu

tespit edebilir hale gelmiştir.

Bu durum otomotiv sektöründe çok önemli bir hukuki soruyu ortaya çıkarmaktadır:

Bir otomobil sürücüsü hakkında bu kadar fazla bilgiye sahip olabiliyorsa, bu bilgiler kime aittir ve kim tarafından hangi amaçlarla kullanılabilir?

Daha da önemlisi:

Bir otomobil şirketi, sigorta şirketi veya işveren, sürücünün araç tarafından oluşturulan verilerini onun aleyhine kullanabilir mi?

Sorunun cevabı basit değildir.

Çünkü akıllı araç teknolojileri artık yalnızca otomotiv hukukunun değil; kişisel verilerin korunması, tüketici hukuku, sigorta hukuku, iş hukuku, siber güvenlik ve delil hukukunun da konusu haline gelmiştir.

1. Akıllı Araçlar Hangi Verileri Toplayabilir?

Connected vehicle teknolojilerinde toplanabilecek verilerin kapsamı son derece geniştir.

Başlıca veri kategorileri şunlardır:

Konum ve hareket verileri

GPS koordinatları,

gidilen güzergâh,

başlangıç ve varış noktaları,

park edilen yerler,

araç kullanım saatleri,

düzenli ziyaret edilen adresler.

Sürüş davranışına ilişkin veriler

hız,

ani hızlanma,

sert fren,

viraj alma biçimi,

kilometre,

motor kullanım verileri,

sürüş süresi.

Araç içi veriler

kamera görüntüleri,

mikrofon kayıtları,

sürücü dikkat takip sistemleri,

yorgunluk veya uyku hali tespitleri.

Telefon ve infotainment verileri

telefon rehberi,

aranan kişiler,

mesajlar,

müzik tercihleri,

Bluetooth bağlantıları,

navigasyona girilen adresler.

Biyometrik veriler

yüz tanıma,

parmak izi,

ses doğrulama,

bazı sistemlerde göz veya yüz hareketleri.

Teknik ve telematik veriler

arıza kodları,

batarya seviyesi,

yakıt tüketimi,

motor performansı,

kaza öncesindeki araç hareketleri,

sensör kayıtları.

Bu verilerin tamamı otomatik olarak kişisel veri değildir. Ancak verinin belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebildiği durumlarda kişisel veri hukuku devreye girer.

Avrupa Veri Koruma Kurulu da connected vehicle sektörünü özellikle konum, biyometrik bilgiler ve otomatik sistemlerin yoğun biçimde kullanılması nedeniyle veri koruması bakımından yüksek riskli alanlardan biri olarak değerlendirmektedir.

2. Otomobilin Konum Bilgisi Kişisel Veri midir?

Çoğu durumda evet.

Kişisel Verileri Koruma Kurumu, gerçek kişiyi belirlenebilir hale getiren konum verisinin 6698 sayılı Kanun kapsamında kişisel veri olduğunu açıkça kabul etmektedir.

Ancak konum verisinin önemi bundan çok daha büyüktür.

Çünkü bir kişinin sürekli konum verisini takip etmek yalnızca:

“Bu kişi saat 18.00’de Beşiktaş’taydı.”

bilgisini vermez.

Uzun süreli takip sonucunda:

kişinin evi,

işyeri,

çocuğunun okulu,

düzenli olarak ziyaret ettiği kişiler,

sağlık kuruluşları,

ibadethaneler,

sosyal yaşamı

hakkında ciddi çıkarımlar yapılabilir.

Kişisel Verileri Koruma Kurulu’nun araç kiralama sektörüne ilişkin 2021/1303 sayılı kararında da araç konumlarının takip edilmesinin kişinin yaşam alışkanlıklarının ortaya çıkarılmasına, profil oluşturulmasına ve hatta kişinin özel nitelikli kişisel verileri hakkında çıkarım yapılmasına yol açabileceği özellikle vurgulanmıştır. Kurul bu nedenle konum takibinin istisnai ve ölçülü şekilde değerlendirilmesi gerektiğini belirtmiştir.

Bu yaklaşım connected cars bakımından son derece önemlidir.

Bir aracın GPS özelliğinin bulunması, üreticinin sürücünün bütün hareketlerini sınırsız biçimde izleyebileceği anlamına gelmez.

3. Aracın Topladığı Veri Otomobil Üreticisinin midir?

Her zaman değil.

Burada “verinin sahibi” şeklindeki klasik mülkiyet yaklaşımından çok kişisel veri hukukundaki veri sorumlusu, veri işleyen ve ilgili kişi kavramlarına bakmak gerekir.

Örneğin aynı araç içerisinde;

otomobil üreticisi,

araç işletim sistemi sağlayıcısı,

navigasyon şirketi,

mobil uygulama sağlayıcısı,

sigorta şirketi,

filo işletmecisi,

araç kiralama şirketi

farklı veri işleme faaliyetleri gerçekleştirebilir.

Kimlerin veri sorumlusu olduğu ise yalnızca sunucuya kimin sahip olduğuna göre belirlenmez.

Esas olarak:

verinin hangi amaçla ve hangi araçlarla işleneceğine kimin karar verdiği

incelenir.

KVKK Kurulu da araç kiralama yazılımlarına ilişkin kararında, ortak amaç ve veri işleme araçlarının birlikte belirlenmesi halinde birden fazla kuruluşun ortak veri sorumlusu durumuna gelebileceğini kabul etmiştir.

Dolayısıyla otomobil üreticisinin:

“Bu veri bizim aracımız tarafından üretildi, dolayısıyla istediğimiz gibi kullanabiliriz.”

şeklinde bir yaklaşım benimsemesi kişisel veri hukuku bakımından yeterli değildir.

4. Akıllı Araç Verilerinin İşlenmesi İçin Her Zaman Açık Rıza Gerekir mi?

Hayır.

KVKK bakımından en sık yapılan hatalardan biri her kişisel veri işleme faaliyetinin açık rızaya dayanması gerektiğini düşünmektir.

6698 sayılı Kanun m.5 kapsamında kişisel verilerin işlenmesi;

açık rıza dışında,

kanunda açıkça öngörülme,

sözleşmenin kurulması veya ifası için zorunlu olma,

hukuki yükümlülüğün yerine getirilmesi,

bir hakkın tesisi, kullanılması veya korunması,

temel haklara zarar vermemek kaydıyla meşru menfaat

gibi başka hukuki sebeplere de dayanabilir.

Örneğin aracın fren sistemindeki kritik bir arızanın tespit edilmesi için teknik sensör verilerinin işlenmesi ile sürücünün konum geçmişinin reklam amacıyla analiz edilmesi aynı hukuki zeminde değerlendirilemez.

İlk işlem araç güvenliği ve sözleşmenin ifası kapsamında gerekli olabilir.

İkincisi ise çok daha ağır bir gizlilik müdahalesi oluşturabilir.

Bu nedenle her veri işleme amacı ayrı ayrı değerlendirilmelidir.

5. “Araç Kullanım Koşullarını Kabul Ettiniz” Demek Yeterli midir?

Hayır.

Kişisel veri işleme faaliyetinin uzun bir araç satış sözleşmesinin veya mobil uygulama kullanım şartlarının içerisinde saklanması tek başına hukuka uygunluk sağlamaz.

Kullanıcının;

hangi verilerin toplandığını,

neden toplandığını,

kimlerle paylaşılabileceğini,

ne kadar süre saklanacağını,

yurt dışına aktarılıp aktarılmadığını

anlayabilmesi gerekir.

Özellikle bir fonksiyon için gerekli olmayan veri işlemenin aracın kullanılabilmesinin zorunlu şartı haline getirilmesi açık rızanın özgür iradeye dayanıp dayanmadığı yönünden sorun yaratabilir.

Dolayısıyla:

“Aracı kullanıyorsanız bütün verilerinizin kullanılmasına izin vermiş sayılırsınız.”

yaklaşımı veri koruma hukukunun temel ilkeleriyle bağdaşmaz.

6. Sürücünün Konum Bilgileri Reklam İçin Kullanılabilir mi?

Burada ciddi bir amaçla bağlılık problemi ortaya çıkar.

Örneğin otomobil şirketi GPS verisini navigasyon hizmetinin sağlanması amacıyla işliyor olabilir.

Ancak aynı verinin daha sonra:

sürücünün alışveriş yaptığı yerleri tespit etmek,

restoran tercihlerini çıkarmak,

reklam profili oluşturmak,

kişiye özel ticari kampanya göndermek

amacıyla kullanılması farklı bir işleme faaliyetidir.

Bir verinin hukuka uygun şekilde toplanmış olması, o verinin daha sonra sınırsız amaçlarla kullanılabileceği anlamına gelmez.

6698 sayılı Kanunun veri işlemede benimsediği amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri bakımından yeni kullanım amacı ayrıca değerlendirilmelidir. KVKK’nın araç kiralama sektöründeki kararında da kişisel verilerin belirsiz sayıdaki diğer işletmelere açılmasının ve amaç dışı kullanılmasının temel veri işleme ve aktarım ilkeleriyle bağdaşmayabileceği belirtilmiştir.

7. Sigorta Şirketi Sürüş Verilerini Prim Belirlemek İçin Kullanabilir mi?

Akıllı araçların en önemli ticari kullanım alanlarından biri usage-based insurance modelidir.

Sigorta şirketi teorik olarak:

yıllık kilometre,

sürüş saatleri,

ani fren,

hızlanma,

hız ihlalleri,

sürüş yapılan bölgeler

üzerinden bir risk profili oluşturabilir.

Örneğin sistem:

“Bu sürücünün risk skoru 82/100.”

sonucuna ulaşabilir.

Bunun sonucunda sigorta primi artırılabilir veya farklı şartlar sunulabilir.

Bu tür sistemlerin hukuken tamamen yasak olduğunu söylemek mümkün değildir.

Ancak kişinin davranışlarının otomatik sistemlerle analiz edilmesi ve bunun kişi aleyhine sonuç doğurması çok daha ağır veri koruma yükümlülükleri doğurabilir.

KVKK m.11, ilgili kişiye işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu kendisi aleyhine bir sonuç ortaya çıkmasına itiraz etme hakkı tanımaktadır.

GDPR bakımından da otomatik karar verme ve profillemeye ilişkin ayrıca koruyucu hükümler bulunmaktadır.

Dolayısıyla gelecekte:

“Aracımın yaptığı sert frenler nedeniyle sigorta primim neden iki katına çıktı?”

sorusu gerçek bir kişisel veri hukuku uyuşmazlığına dönüşebilir.

8. İşveren Şirket Aracındaki Çalışanı Sürekli Takip Edebilir mi?

Şirket araçlarında GPS kullanılması özellikle filo yönetiminde oldukça yaygındır.

Ancak aracın işverene ait olması, çalışanın bütün hareketlerinin sınırsız biçimde takip edilebileceği anlamına gelmez.

Örneğin:

çalışanın mesai sırasında teslimat güzergâhının takip edilmesi

ile

çalışanın mesai bittikten sonra gittiği bütün yerlerin kaydedilmesi

aynı ölçülülük seviyesinde değildir.

Takibin;

gerçek bir iş amacı taşıması,

gerekli olması,

daha az müdahaleci yöntem bulunmaması,

çalışanın bilgilendirilmesi,

gerekli olmayan zamanlarda devre dışı bırakılması

gibi hususlar önem taşır.

Özellikle çalışan ile işveren arasındaki güç dengesizliği, rızanın gerçekten özgür olup olmadığı konusunda ayrıca dikkate alınmalıdır. KVKK Kurulu da 2026 tarihli biyometrik veri ilke kararında işçi-işveren ilişkisindeki güç dengesizliğinin açık rızanın özgür iradeye dayanıp dayanmadığı bakımından önemli olduğunu özellikle vurgulamıştır.

9. Araç İçindeki Kamera Sadece Sürücüyü Değil, Yolcuları da Kaydedebilir

Connected cars bakımından önemli sorunlardan biri de sürücü dışındaki kişilerdir.

Aracın sahibi kullanım koşullarını kabul etmiş olabilir.

Fakat araca binen:

eş,

arkadaş,

müşteri,

taksi yolcusu,

çalışan

aynı sözleşmenin tarafı değildir.

Araç içerisindeki mikrofon sürekli açıksa yapılan özel konuşmalar da kaydedilebilir.

Kamera sistemi sürücünün yüzünü tespit ederken yolcuların görüntülerini de işleyebilir.

Bu nedenle araç içi gözetim sistemleri tasarlanırken yalnızca araç sahibinin değil, araç içerisindeki diğer ilgili kişilerin hakları da dikkate alınmalıdır.

EDPB, kamera ve biyometrik sistemlerin kullanımında amaç, gereklilik, ölçülülük ve veri minimizasyonunun özellikle değerlendirilmesini istemektedir.

10. Yüz Tanıma ve Ses Tanıma Sistemleri Daha Büyük Risk Taşır

Bazı yeni araçlarda kişiselleştirilmiş sürücü profilleri bulunmaktadır.

Araç sürücüyü tanıyarak:

koltuğu,

aynaları,

klimayı,

navigasyon tercihlerini,

müzik sistemini

otomatik olarak ayarlayabilir.

Bu tanımlama yüz, parmak izi veya başka biyometrik yöntemlerle yapılıyorsa özel nitelikli kişisel verilerin işlenmesi gündeme gelebilir.

Türkiye’de özel nitelikli kişisel veriler KVKK m.6 kapsamında diğer verilere göre daha sıkı bir koruma rejimine tabidir. Kurum da bu verilerin ayrımcılık veya mağduriyet yaratma potansiyeli nedeniyle daha yüksek düzeyde korunması gerektiğini belirtmektedir.

Dolayısıyla yalnızca sürücünün koltuk ayarını otomatik yapmak amacıyla merkezi sunucuda yıllarca biyometrik şablon tutulmasının gerçekten gerekli olup olmadığı ayrıca sorgulanmalıdır.

Teknik olarak mümkün olan her veri işleme faaliyeti hukuken gerekli değildir.

11. Sürücü Takip Sistemi Sağlık Verisi Üretebilir mi?

Burada oldukça ilginç bir hukuki sınır bulunmaktadır.

Örneğin araç;

göz kapaklarının hareketini,

baş pozisyonunu,

tepki süresini

analiz ederek sürücünün yorgun olduğunu tespit edebilir.

Bu veri başlangıçta yalnızca bir sürüş güvenliği verisi olabilir.

Ancak sistemin sürücünün sağlık durumu hakkında çıkarım yapmaya başlaması halinde özel nitelikli kişisel veri rejimine yaklaşılabilir.

Aynı durum araç içindeki sağlık sensörleri, kalp ritmi ölçümleri veya acil sağlık sistemleri açısından daha da önemlidir.

Bu nedenle geleceğin connected car uyuşmazlıklarında sadece hangi verinin toplandığı değil, o veriden hangi sonucun çıkarıldığı da kritik olacaktır.

12. Araç Verileri Bir Kazada Delil Olarak Kullanılabilir mi?

Evet, belirli şartlarda mümkündür.

Akıllı araçlarda bulunan sistemler bir kazadan önce:

hızı,

fren kullanımını,

direksiyon hareketlerini,

sensör uyarılarını,

araç konumunu

kaydetmiş olabilir.

Bu veriler trafik kazasının nasıl meydana geldiğini belirlemek bakımından son derece değerli olabilir.

Kişisel veri olması bu verinin hiçbir hukuki uyuşmazlıkta kullanılamayacağı anlamına gelmez.

KVKK m.5 kapsamında bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması açık rıza dışındaki hukuki sebeplerden biridir.

Dolayısıyla bir trafik kazasında tazminat davasının kurulması veya savunulması amacıyla ilgili araç verilerinin işlenmesi belirli şartlarda hukuka uygun olabilir.

Ancak burada iki farklı soru birbirinden ayrılmalıdır:

Verinin kişisel veri hukuku bakımından işlenebilmesi

verinin mahkemede hukuka uygun delil olarak kabul edilmesi.

Bir verinin delil olarak kullanılabilirliği ayrıca ilgili usul hukuku hükümleri ve verinin nasıl elde edildiği dikkate alınarak değerlendirilmelidir.

Bu nedenle gizlice ve hukuka aykırı biçimde yapılan sürekli takip ile araç sisteminde hukuka uygun biçimde oluşturulmuş kaza kaydının aynı şekilde değerlendirilmesi doğru değildir.

13. Üretici Araç Verisini Garanti Talebini Reddetmek İçin Kullanabilir mi?

Bu da gelecekte sık karşılaşılabilecek bir uyuşmazlık türüdür.

Örneğin otomobil üreticisi aracın telematik kayıtlarından;

motorun uzun süre aşırı devirde kullanıldığını,

bataryanın kullanım talimatlarına aykırı şekilde şarj edildiğini,

yetkisiz yazılım müdahalesi yapıldığını

tespit ettiğini ileri sürebilir.

Bunun üzerine garanti talebini reddedebilir.

Bu verinin işlenmesi sözleşmenin ifası veya bir hakkın tesisi ve savunulması gibi hukuki sebeplerle belirli şartlarda mümkün olabilir.

Ancak üretici tarafından kullanılan verinin:

doğru olması,

hangi sensörden geldiğinin bilinmesi,

manipüle edilmemiş olması,

kullanıcıya ait olduğunun gösterilebilmesi

son derece önemlidir.

Çünkü otomatik sistem tarafından oluşturulan yanlış bir kayıt tüketicinin milyonlarca liralık garanti hakkını kaybetmesine yol açabilir.

KVKK m.11 kapsamında ilgili kişi kendisiyle ilgili işlenen verilere ilişkin bilgi talep edebilir, yanlış verilerin düzeltilmesini isteyebilir ve hukuka aykırı işleme nedeniyle zarar görmesi halinde zararın giderilmesini talep edebilir.

14. Polis veya Savcılık Araç Verilerine Ulaşabilir mi?

Connected car verilerinin ceza soruşturmalarında önemi giderek artacaktır.

Örneğin bir araç;

belirli bir tarihte olay yerinde bulunup bulunmadığını,

hangi saatte hareket ettiğini,

hangi güzergâhı kullandığını

gösterebilir.

Ancak otomobil üreticisinin veri tabanında kişisel veri bulunması, kolluğun bu veriye sınırsız şekilde erişebileceği anlamına gelmez.

Yetkili makamların veri talebinin ilgili ceza muhakemesi ve diğer kanuni yetkilere dayanması gerekir.

Aynı şekilde otomobil üreticisinin yalnızca:

“Savcılık istedi.”

diyerek hukuki dayanak ve kapsam değerlendirmesi yapmaksızın bütün sürüş geçmişini açıklaması da kişisel veri hukuku açısından ayrıca sorun yaratabilir.

Talep edilen verinin kapsamı ve hukuki dayanağı somut olay özelinde değerlendirilmelidir.

15. Akıllı Araç Verileri Yurt Dışına Gönderilebilir mi?

Birçok global otomotiv üreticisinde araç Türkiye’de bulunmasına rağmen connected services altyapısının sunucuları başka ülkelerde bulunabilir.

Bu durumda aracın topladığı kişisel verilerin yabancı sunuculara gönderilmesi yurt dışına kişisel veri aktarımı oluşturabilir.

KVKK m.9 sistemi 1 Haziran 2024 tarihinde önemli ölçüde değiştirilmiştir. Güncel sistemde yeterlilik kararı, standart sözleşmeler, bağlayıcı şirket kuralları ve diğer uygun güvence mekanizmaları üzerinden yurt dışı aktarım modelleri öngörülmektedir.

Kurumun yurt dışına aktarım rehberinin gerekçesinde otomotiv sektörünün sektörel yeterlilik kararlarına örnek olarak verilmiş olması da connected car ekonomisi bakımından dikkat çekicidir.

Dolayısıyla global bir otomobil markası için KVKK uyumu yalnızca araç ekranında bir privacy notice yayımlamaktan ibaret değildir.

Arka plandaki uluslararası veri mimarisi de hukuka uygun olmalıdır.

16. Otomobil Satıldığında Eski Sürücünün Verilerine Ne Olur?

İkinci el araç piyasasında oldukça önemli fakat çoğu zaman gözden kaçan bir sorun budur.

Bir sürücü aracını sattığında araç içerisinde:

ev adresi,

iş adresi,

telefon rehberi,

arama geçmişi,

Bluetooth cihazları,

navigasyon geçmişi,

kullanıcı hesabı

kalabilir.

Yeni araç sahibinin bu bilgilere ulaşabilmesi ciddi bir kişisel veri güvenliği problemi yaratabilir.

Benzer şekilde üreticinin artık araçla hiçbir ilişkisi bulunmayan eski sahibin sürüş geçmişini süresiz şekilde saklaması da saklama süresi ve amaçla sınırlılık ilkeleri bakımından sorgulanmalıdır.

KVKK uyarınca verilerin işlenmesini gerektiren sebepler ortadan kalktığında silme, yok etme veya anonim hale getirme yükümlülüğü gündeme gelebilir.

Bu nedenle “factory reset” artık yalnızca teknolojik bir özellik değil, kişisel veri koruma fonksiyonudur.

17. Araç Hacklenirse Problem Yalnızca Otomobil Güvenliği Değildir

Connected cars aynı zamanda hareket eden bilgisayarlardır.

Bir siber saldırganın otomobil sistemine erişmesi halinde yalnızca aracın teknik sistemleri değil;

konum geçmişi,

telefon rehberi,

sürücü profili,

kullanıcı hesabı,

kamera kayıtları

da ele geçirilebilir.

Bu nedenle veri sorumlularının KVKK m.12 kapsamında kişisel verilere hukuka aykırı erişimi ve işlemeyi önlemek ve verilerin güvenli şekilde muhafazasını sağlamak üzere gerekli teknik ve idari tedbirleri almaları gerekir. KVKK Kurumu da veri güvenliği bakımından teknik ve idari tedbirleri temel bir veri sorumlusu yükümlülüğü olarak kabul etmektedir.

Connected car açısından cybersecurity ile privacy artık birbirinden ayrı iki alan değildir.

18. Avrupa Birliği Data Act Akıllı Araçlarda Neyi Değiştiriyor?

Avrupa Birliği bakımından connected car verileri yalnızca GDPR ile düzenlenmemektedir.

EU Data Act – Regulation (EU) 2023/2854, bağlı ürünlerin kullanımı sonucunda ortaya çıkan verilere erişim ve kullanım bakımından yeni bir sistem oluşturmuştur.

Data Act genel olarak 12 Eylül 2025 tarihinden itibaren uygulanmaktadır. Ürünün veriyi kullanıcıya erişilebilir kılacak şekilde tasarlanmasına ilişkin Article 3(1) yükümlülüğü ise 12 Eylül 2026 sonrasında piyasaya sunulan connected products ve bunlarla bağlantılı hizmetler açısından uygulanacaktır.

Avrupa Komisyonu ayrıca 15 Eylül 2025 tarihinde doğrudan vehicle data konusunda Data Act’e eşlik eden özel bir rehber yayımlamıştır. Rehber, araç kullanıcılarının ve onların seçtiği üçüncü kişilerin connected vehicle verilerine erişimine ilişkin sistemi açıklamaktadır.

Bu gelişmenin otomotiv sektörü açısından çok önemli bir sonucu vardır:

Araç tarafından üretilen veri artık yalnızca üreticinin kontrol ettiği kapalı bir ekonomik varlık olarak görülemez.

Ancak Data Act kişisel verilerin sınırsız şekilde kullanılmasına izin veren bir düzenleme değildir.

Veri kişisel veri niteliği taşıyorsa GDPR ve diğer veri koruma hükümleri uygulanmaya devam eder.

19. Sürücü Kendi Aracının Verilerini Talep Edebilir mi?

Türk hukuku bakımından ilgili kişinin önemli hakları bulunmaktadır.

KVKK m.11 kapsamında kişi veri sorumlusundan:

kendisi hakkında veri işlenip işlenmediğini öğrenebilir,

işlenen veriler hakkında bilgi isteyebilir,

işleme amacını öğrenebilir,

verilerin kimlere aktarıldığını sorabilir,

yanlış verilerin düzeltilmesini,

şartları varsa silinmesini

ve hukuka aykırı işlem nedeniyle uğradığı zararın giderilmesini

talep edebilir.

Ayrıca münhasıran otomatik analiz sonucunda kişi aleyhine sonuç doğmasına itiraz hakkı bulunmaktadır.

Kurum ayrıca bilgi talep etme hakkının somut olaylarda kişinin kişisel verilerine erişim hakkını da kapsayabileceğini kabul etmektedir.

Bu nedenle sürücünün:

“Aracım benim hakkımda hangi bilgileri topluyor?”

sorusu hukuken anlamsız bir soru değildir.

Aksine veri koruma hukukunun merkezindeki haklardan biridir.

20. Akıllı Araçlar Hak İhlaline Sebep Olabilir mi?

Evet.

Fakat hak ihlali aracın veri toplamasından otomatik olarak doğmaz.

Sorun daha çok;

gereğinden fazla veri toplanması,

sürücünün gizlice takip edilmesi,

verinin belirtilmeyen amaçlarla kullanılması,

üçüncü kişilere aktarılması,

sürücünün davranışlarından gizli profiller oluşturulması,

otomatik sistemlerin kişi aleyhine karar vermesi,

verilerin gereğinden uzun saklanması,

yurt dışına hukuka aykırı aktarılması,

yetersiz siber güvenlik nedeniyle verilerin ele geçirilmesi

durumlarında ortaya çıkar.

En ciddi tehlike ise tek tek bakıldığında önemsiz görünen verilerin bir araya getirilmesidir.

Bir kişinin:

GPS verisi,

sürüş saatleri,

telefon bağlantıları,

navigasyon geçmişi,

araç içi kamera görüntüsü

birlikte değerlendirildiğinde kişinin günlük hayatının son derece ayrıntılı bir haritası çıkarılabilir.

KVKK Kurulu’nun konum verileriyle ilgili yaklaşımının önemi de tam olarak burada ortaya çıkmaktadır: araç hareketlerinden kişinin yaşam alışkanlıklarına ve hassas bilgilerine ilişkin sonuçlar çıkarılması mümkündür.

SONUÇ: GELECEĞİN OTOMOBİLİNDE EN DEĞERLİ PARÇA MOTOR DEĞİL, VERİ OLABİLİR

Akıllı otomobiller otomotiv sektörünün ekonomik yapısını değiştirmektedir.

Gelecekte otomobil üreticileri yalnızca araç satan şirketler olmayabilir.

Aynı zamanda;

veri platformu,

yazılım sağlayıcısı,

mobil hizmet sağlayıcısı,

sigorta veri kaynağı,

dijital hizmet işletmecisi

haline gelebilirler.

Bu değişimin hukuki sonucu açıktır:

Aracın sürücü hakkında veri toplayabilmesi, bu verinin sınırsız biçimde kullanılabileceği anlamına gelmez.

Her kullanım bakımından;

hangi verinin işlendiği,

hangi amaçla işlendiği,

hukuki sebebinin ne olduğu,

ne kadar süre saklandığı,

kime aktarıldığı,

yurt dışına gönderilip gönderilmediği,

otomatik karar vermede kullanılıp kullanılmadığı

ayrı ayrı incelenmelidir.

Sürüş verileri araç güvenliği, bakım, kaza incelemesi, garanti veya bir hukuki hakkın korunması amacıyla belirli şartlarda kullanılabilir.

Ancak aynı verilerin fark ettirilmeden reklam profiline, çalışan gözetimine, müşteri skoruna veya ayrımcı otomatik karar sistemine dönüştürülmesi ciddi kişisel veri ve özel hayat ihlallerine yol açabilir.

Bu nedenle connected car çağının temel hukuki sorusu artık:

“Otomobil hangi verileri toplayabiliyor?”

değildir.

Asıl soru şudur:

“Otomobil sizin hakkınızda öğrendiklerini ne kadar kullanabilir?”

Hukuk Makaleleri

ARABANIZ SİZİ NE KADAR TANIYOR? AKILLI ARAÇLARDA SÜRÜCÜ VERİLERİ, GİZLİ PROFİLLEME VE KİŞİSEL VERİLERİN HUKUKİ SINIRLARI