Direksiyon Sizde, Peki Veriniz Kimde? Bağlantılı Otomobillerin Konum Takibi KVKK’ya Uygun mu?

Otomobillerin Konum Verisi Toplamasının Türk Hukuku ve Kişisel Verilerin Korunması Hukuku Açısından Değerlendirilmesi

Giriş

Modern otomobiller artık yalnızca mekanik ulaşım araçları değildir. GPS sistemleri, mobil internet bağlantıları, üretici uygulamaları, telematik sistemler, acil çağrı hizmetleri, uzaktan araç kontrolü, filo yönetimi, sürüş analizi ve sigorta teknolojileri nedeniyle günümüzde bir otomobil aynı zamanda sürekli veri üreten hareketli bir dijital platform haline gelmiştir.

Bir bağlantılı otomobil; aracın bulunduğu konumu, hareket ettiği güzergâhı, belirli bir noktada ne kadar süre kaldığını, hızını, kilometre bilgisini, sürüş biçimini ve bazı sistemlerde aracın hangi kullanıcı hesabıyla kullanıldığını belirleyebilir.

Bu durum beraberinde temel bir hukuki soruyu getirmektedir:

Bir otomobil üreticisinin, kiralama şirketinin, işverenin veya mobil uygulama sağlayıcısının aracın konumunu sürekli takip etmesi hukuka uygun mudur?

Cevap koşulsuz biçimde “evet” değildir.

Ancak cevap her durumda “hayır” da değildir.

Türk kişisel verilerin korunması hukuku açısından belirleyici olan, konum verisinin neden, hangi hukuki sebebe dayanılarak, ne kadar süreyle, hangi sıklıkta, kim tarafından ve kimlerle paylaşılmak üzere işlendiğidir.

1. Otomobilin Konumu Kişisel Veri midir?

Bir aracın konum bilgisi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebiliyorsa 6698 sayılı Kişisel Verilerin Korunması Kanunu anlamında kişisel veri niteliğindedir.

Kişisel Verileri Koruma Kurumu da konum verisinin gerçek kişiyi belirlenebilir kılması halinde kişisel veri olduğunu açık biçimde kabul etmektedir. Kurumun konum verisine ilişkin değerlendirmesinde cihazın coğrafi yerini belirleyen ve gerçek kişiyle ilişkilendirilebilen konum bilgisinin KVKK kapsamında olduğu belirtilmektedir.

Örneğin bir otomobilin;

06.45’te bir konuttan ayrıldığı,
07.30’da belirli bir işyerine ulaştığı,
18.15’te işyerinden ayrıldığı ve
19.00’da tekrar aynı konuta döndüğü

bilgileri tek başına araçla ilgili teknik veriler gibi görünebilir.

Ancak araç belirli bir kullanıcıyla ilişkilendirildiğinde bu bilgiler kişinin nerede yaşadığını, nerede çalıştığını ve günlük hareket düzenini ortaya çıkarabilir.

Dolayısıyla otomobilin GPS koordinatı çoğu connected-car uygulamasında yalnızca vehicle data değil aynı zamanda personal data niteliğindedir.

2. Konum Verisi Neden Diğer Araç Verilerinden Daha Hassastır?

Konum verisinin asıl önemi tek bir GPS koordinatından değil, verilerin zaman içinde bir araya getirilmesinden doğmaktadır.

Kişisel Verileri Koruma Kurulu, araç kiralama şirketlerinin araçları takip etmesine ilişkin 23 Aralık 2021 tarihli ve 2021/1303 sayılı kararında bu riske özellikle dikkat çekmiştir.

Kurul; konum takibiyle kişinin yaptığı yolculukların, işyerinin, ikamet yerinin ve ziyaret ettiği diğer yerlerin belirlenebileceğini, bunun kişi hakkında profil çıkarılmasına yol açabileceğini ve hatta kişinin dini inancı veya cinsel hayatı gibi özel nitelikli kişisel verilerinin dolaylı olarak ortaya çıkmasına neden olabileceğini belirtmiştir.

Bu tespit connected vehicle teknolojisi bakımından son derece önemlidir.

Örneğin aracın düzenli olarak;

bir hastaneye,
bir psikiyatri kliniğine,
bir ibadethaneye,
bir siyasi parti binasına veya
belirli bir özel yaşam alanına

gitmesi doğrudan bu hususlara ilişkin veri toplanmasa dahi kişi hakkında son derece hassas çıkarımlar yapılmasını mümkün hale getirebilir.

Bu nedenle konum verisi KVKK’da başlı başına özel nitelikli kişisel veri kategorileri arasında sayılmasa bile, yoğun ve sistematik konum takibi özel nitelikli kişisel verilerin ortaya çıkarılmasına imkan verebilir.

3. Otomobil Üreticisi Konum Bilgisi Toplayabilir mi?

Evet, ancak her amaç için ve sınırsız şekilde değil.

Örneğin konum verisinin;

navigasyon hizmetinin sağlanması,
kullanıcının park ettiği aracını bulabilmesi,
çalınan aracın bulunması,
yol yardım hizmeti verilmesi,
acil durum hizmetlerinin gerçekleştirilmesi veya
belirli bir connected-car özelliğinin kullanılması

için gerçekten gerekli olması halinde veri işlemenin hukuki dayanağı bulunabilir.

Ancak üreticinin aynı veriyi daha sonra;

reklam profili oluşturmak, kullanıcının yaşam alışkanlıklarını analiz etmek, başka şirketlere aktarmak veya başlangıçtaki hizmetle ilgisi bulunmayan ticari amaçlarla kullanmak istemesi ayrı bir veri işleme faaliyeti oluşturur.

KVKK bakımından her kişisel veri işleme faaliyetinin Kanunun 5’inci maddesindeki hukuki işleme şartlarından birine dayanması gerekir. Kurum, açık rızanın bu şartlardan yalnızca biri olduğunu; başka bir hukuki sebep varsa gereksiz yere ayrıca açık rıza alınmaması gerektiğini de açıkça belirtmektedir.

Dolayısıyla otomobil üreticisinin;

“Aracı satın aldığınız için tüm konum verilerinizi istediğimiz amaçla işleyebiliriz.”

şeklinde genel bir yetkiye sahip olduğu söylenemez.

4. Her Konum Takibinde Açık Rıza Alınması Zorunlu mudur?

Hayır.

KVKK sisteminde açık rıza kişisel veri işleme şartlarından yalnızca biridir.

Örneğin belirli bir connected-car hizmetinin yerine getirilebilmesi için konum bilgisinin işlenmesi sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerçekten zorunlu ise Kanunun 5’inci maddesindeki başka bir işleme şartının değerlendirilmesi mümkün olabilir.

Aynı şekilde belirli güvenlik veya fraud-prevention uygulamalarında veri sorumlusunun meşru menfaati gündeme gelebilir.

Ancak “meşru menfaat” sınırsız bir takip yetkisi değildir.

KVKK’nın güncel rehberi, meşru menfaat değerlendirmesinde öncelikle veri sorumlusunun gerçek ve mevcut menfaatinin belirlenmesini, ardından ilgili kişinin temel hak ve özgürlükleriyle denge testi yapılmasını öngörmektedir. Meşru menfaat tüm kişisel veri işleme faaliyetlerini otomatik biçimde hukuka uygun hale getiren genel bir hüküm değildir.

5. “Güvenlik İçin Takip Ediyoruz” Demek Yeterli midir?

Hayır.

Veri sorumlusunun amacı meşru olsa dahi veri işlemenin gerekli ve ölçülü olması gerekir.

Örneğin çalınan aracın bulunması amacıyla aracın konumunun belirlenmesi ile otomobil üreticisinin aracın on yıllık tüm seyahat geçmişini sunucularında saklaması aynı şekilde değerlendirilemez.

İlk işlem güvenlik hizmetinin sağlanması bakımından gerekli olabilir.

İkincisinin ise neden gerekli olduğu ayrıca açıklanmalıdır.

KVKK rejimindeki temel yaklaşım, kişisel verilerin belirli, açık ve meşru amaçlarla ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini gerektirir. İşleme sebebi ortadan kalktığında kişisel verilerin süresiz şekilde tutulması da kabul edilebilir değildir; Kurumun saklama ve imha düzenlemeleri, işleme şartları sona erdiğinde verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini öngörmektedir.

6. Araç Her Saniye Takip Edilebilir mi?

Teknik olarak mümkün olması hukuken gerekli olduğu anlamına gelmez.

Bir hizmet için aracın konumunun saatlik olarak bilinmesi yeterliyse saniye saniye koordinat toplanmasının ölçülülüğü tartışmalı hale gelecektir.

Aynı şekilde yalnızca hırsızlık durumunda kullanılacak sistemin normal zamanda sürekli ve ayrıntılı seyahat geçmişi oluşturması da amaçla bağlantılılık ve veri minimizasyonu bakımından değerlendirilmelidir.

Kişisel Verileri Koruma Kurulu’nun araç kiralama sistemleri hakkındaki kararı, yoğun konum takibinin kişinin yaşam alışkanlıklarını ve ziyaret ettiği yerleri ortaya çıkarabileceğini açıkça vurgulamaktadır.

Bu nedenle kanaatimizce otomotiv sektöründe hukuka en uygun tasarım;

“mümkün olan en fazla veriyi topla”

yerine;

“belirlenen hizmet için gerçekten gerekli olan en az veriyi topla”

yaklaşımıdır.

7. Araç Kiralama Şirketleri Müşteriyi Takip Edebilir mi?

Araç kiralama sektöründe konum takibi özellikle hassas bir konudur.

Araç sahibinin malını korumakta meşru bir menfaatinin bulunduğu kuşkusuzdur. Örneğin aracın çalınması, sözleşmeye aykırı şekilde belirli bir ülkeye çıkarılması veya ciddi güvenlik riski ortaya çıkması halinde konum verisinin kullanılması için güçlü hukuki gerekçeler bulunabilir.

Ancak bu durum kiralama şirketinin müşterinin bütün seyahatini sürekli izleme konusunda otomatik bir hakka sahip olduğu anlamına gelmez.

KVKK’nın 2021/1303 sayılı kararında araç kiralama uygulamalarındaki konum takibi özel olarak ele alınmış ve kişinin işyeri, ikametgâhı ve ziyaret ettiği diğer yerlerin öğrenilebilmesinin ciddi mahremiyet riski yarattığı belirtilmiştir.

Dolayısıyla rental-car tracking sisteminin tasarımında en azından;

takibin amacı,
takibin hangi olaylarda aktive edildiği,
verinin ne kadar süre tutulduğu,
kimlerin erişebildiği ve
müşteriye hangi bilgilerin verildiği

belirlenmelidir.

8. Şirket Aracını Kullanan Çalışan Sürekli Takip Edilebilir mi?

Bu soru özellikle şirket filolarında önemlidir.

İşverenin;

araç güvenliği,
lojistik planlama,
teslimat kontrolü veya
iş organizasyonu

gibi meşru amaçları bulunabilir.

Ancak çalışanın 24 saat boyunca ve özellikle mesai dışında kullandığı araç üzerinden hareketlerinin sürekli takip edilmesi, kişinin özel hayatına etkisi nedeniyle daha ağır bir ölçülülük incelemesi gerektirir.

KVKK’nın meşru menfaat yaklaşımına göre veri sorumlusunun menfaati ile çalışanın temel hak ve özgürlükleri arasında gerçek bir denge kurulmalıdır; meşru menfaat veri sorumlusuna sınırsız veri toplama yetkisi vermez.

Bu nedenle örneğin şirket aracının özel kullanımına izin veriliyorsa mesai dışındaki konum verilerinin kapatılması, daha düşük hassasiyetle işlenmesi veya yalnızca güvenlik olayı gerçekleştiğinde erişilebilir hale getirilmesi gibi yöntemler ölçülülük bakımından değerlendirilmelidir.

9. Aydınlatma Metninde “Konum Verisi İşliyoruz” Yazması Yeterli midir?

Hayır.

KVKK m.10 kapsamındaki aydınlatma yükümlülüğünün amacı, ilgili kişinin hangi veri işlemenin gerçekleştiğini gerçekten anlayabilmesidir.

Veri sorumlusu;

kim olduğunu,
verinin hangi amaçla işlendiğini,
kimlere ve hangi amaçla aktarılabileceğini,
toplama yöntemini ve hukuki sebebini ve
ilgili kişinin haklarını

açıklamalıdır. Kurumun açıklamaları da aydınlatmanın bu unsurları kapsaması gerektiğini göstermektedir.

Dolayısıyla;

“Hizmetlerimizin geliştirilmesi amacıyla kişisel verileriniz işlenebilir.”

şeklinde soyut bir ifade connected-car konum takibi açısından yeterli şeffaflık sağlamayabilir.

Bunun yerine kullanıcının;

hangi konum bilgisinin toplandığını,
gerçek zamanlı mı yoksa periyodik mi toplandığını,
seyahat geçmişinin tutulup tutulmadığını ve
hangi şirketlere aktarılabileceğini

anlayabilmesi gerekir.

10. Aracı Satın Almak Konum Takibine Rıza Vermek Anlamına Gelir mi?

Hayır.

Bir otomobil satın alma sözleşmesiyle bütün gelecekteki kişisel veri işleme faaliyetlerine topluca rıza verilmiş olduğu kabul edilemez.

Kişisel Verileri Koruma Kurumu açık rızanın;

belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan

bir irade beyanı olması gerektiğini belirtmektedir.

“Her türlü kişisel verimin her türlü amaçla işlenmesine izin veriyorum” türündeki genel ifadeler Kurum tarafından battaniye rıza olarak nitelendirilmekte ve hukuken geçerli kabul edilmemektedir.

Bu nedenle connected-car hizmetleri bakımından ihtiyaç duyulan rızalar, farklı amaçların mümkün olduğunca birbirinden ayrıldığı şekilde tasarlanmalıdır.

11. Aracı Birden Fazla Kişi Kullanıyorsa Ne Olur?

Connected-car hukukunun en zor sorunlarından biri budur.

Otomobilin sahibi başka, sürücüsü başka olabilir.

Aracı;

eş, çocuk, çalışan, arkadaş, valet personeli veya araç kiralama müşterisi

kullanabilir.

Bu durumda sadece aracın sahibinden alınmış bir onay üzerinden aracın bütün kullanıcılarının davranışlarının izlenmesi kişisel veri hukuku bakımından sorun yaratabilir.

Avrupa Veri Koruma Kurulu’nun connected vehicles ve mobility applications alanına özgü Guidelines 01/2020 belgesi de connected-car ekosistemini temel veri koruma prensipleri ve privacy-by-design yaklaşımıyla ele almaktadır.

Bu nedenle otomobilin bilgi-eğlence sistemi veya mobil uygulamasının;

guest mode, privacy mode veya location sharing off

gibi kullanıcı bazlı seçeneklere sahip olması mahremiyet açısından güçlü bir tasarım yöntemi olacaktır.

12. Araç Üreticisi Konum Verisini Sigorta Şirketine Satabilir mi?

Bu tür ikincil kullanımlar ayrı bir hukuki değerlendirme gerektirir.

Örneğin konum ve sürüş verilerinin sigorta primi hesaplamak amacıyla sigorta şirketine aktarılması, navigasyon hizmetinin çalışması için konum verisinin kullanılmasından tamamen farklı bir amaçtır.

Bu nedenle ilk veri toplama işlemindeki hukuki sebebin otomatik olarak ikinci faaliyeti de hukuka uygun hale getirdiği söylenemez.

Kullanıcı;

hangi verinin,
hangi sigorta şirketine,
hangi amaçla ve
hangi hukuki sebebe dayanılarak

aktarılacağını bilmelidir.

Aksi halde purpose limitation ve şeffaflık sorunları doğabilir.

13. Türkiye’deki Otomobil Verilerinin Yabancı Sunuculara Gönderilmesi

Connected-car üreticilerinin önemli bir bölümü global teknoloji altyapısı kullanmaktadır.

Dolayısıyla Türkiye’deki bir otomobilin konum verisi fiilen başka bir ülkedeki sunucuya gönderilebilir.

Bu durumda yalnızca KVKK m.5 kapsamında veri işleme şartının bulunması yeterli değildir; KVKK m.9 kapsamındaki yurt dışına aktarım rejimi de ayrıca değerlendirilmelidir.

6698 sayılı Kanunun m.9 hükmü 2024 yılında önemli ölçüde değiştirilmiş; yeni sistemde yeterlilik kararının yanı sıra standart sözleşmeler ve bağlayıcı şirket kuralları gibi uygun güvence mekanizmaları öngörülmüştür. İlgili Yönetmelik 10 Temmuz 2024 tarihinde yürürlüğe girmiştir.

Dolayısıyla global otomobil üreticileri açısından “cloud architecture” aynı zamanda bir KVKK cross-border transfer meselesidir.

14. Araç Satıldığında Eski Sahibin Verileri Ne Olur?

İkinci el connected-car satışlarında önemli fakat çoğu zaman unutulan bir problem de budur.

Araçta veya üreticinin hesabında;

ev adresi,
favori konumlar,
son gidilen yerler,
telefon rehberi,
navigasyon geçmişi ve
kullanıcı profili

kalabilir.

Bu nedenle otomobilin mülkiyetinin devri ile dijital kullanıcı profilinin devrinin aynı şey olmadığı kabul edilmelidir.

Verinin tutulmasını gerektiren hukuki sebep sona ermişse kişisel verilerin silinmesi, yok edilmesi veya uygun şekilde anonimleştirilmesi gündeme gelir. KVKK’nın saklama ve imha yaklaşımına göre kişisel verilerin muhafazası için meşru amaç sona erdiğinde verilerin tutulmasına devam edilmemelidir.

Bu nedenle üreticilerin ikinci el satışları için factory reset / ownership transfer protocol oluşturması önem taşır.

15. Kullanıcı Araç Üreticisinden Kendi Konum Geçmişini İsteyebilir mi?

Evet, koşulları varsa KVKK m.11 kapsamındaki ilgili kişi hakları kullanılabilir.

İlgili kişi veri sorumlusuna başvurarak;

kişisel verisinin işlenip işlenmediğini öğrenebilir,
işlenmişse bilgi isteyebilir,
işleme amacını öğrenebilir,
verilerin aktarıldığı üçüncü kişileri öğrenebilir,
yanlış verilerin düzeltilmesini ve şartları varsa verilerin silinmesini veya yok edilmesini talep edebilir.

Dolayısıyla bir otomobil sahibinin üreticisine;

“Benim aracımla ilişkilendirilmiş hangi konum verilerini tutuyorsunuz, bu verileri ne kadar süre saklıyorsunuz ve kimlerle paylaşıyorsunuz?”

şeklinde başvurması KVKK bakımından önemli bir hak kullanımıdır.

16. Avrupa Birliği Hukuku: Connected Cars İçin GDPR Yaklaşımı

Avrupa Birliği’nde connected cars doğrudan GDPR kapsamındaki veri koruma prensipleriyle birlikte değerlendirilmektedir.

European Data Protection Board, Guidelines 01/2020 on Processing Personal Data in the Context of Connected Vehicles and Mobility Related Applications başlıklı özel rehberini 9 Mart 2021 tarihinde kabul etmiştir. Rehber connected vehicles alanını temel veri koruma ilkeleri, teknoloji ve privacy by design and by default perspektifinden ele almaktadır.

GDPR açısından da processing’in hukuka uygun, adil ve şeffaf olması; verinin amaçla sınırlı tutulması, gerekli olandan fazla veri toplanmaması ve uygun güvenlik tedbirlerinin uygulanması temel prensiplerdir. GDPR ayrıca Article 25 kapsamında data protection by design and by default yaklaşımını düzenlemektedir.

Bu yaklaşım geleceğin otomobillerinde mahremiyetin yalnızca privacy policy ile değil, doğrudan otomobilin yazılım mimarisiyle korunması gerektiğini göstermektedir.

17. AB Data Act Connected-Car Verilerini Nasıl Etkiliyor?

Avrupa Birliği’nde connected products alanında GDPR’ın yanına artık Regulation (EU) 2023/2854 – Data Act de eklenmiştir.

Data Act connected products ve related services tarafından oluşturulan verilere erişim ve bunların kullanımı konusunda yeni bir ekonomik veri rejimi kurmaktadır. Araçlar da connected-product ekonomisinin önemli örneklerinden biridir.

Ancak Data Act’in veri erişim hakları, kişisel veriler söz konusu olduğunda GDPR’ın ortadan kalktığı anlamına gelmez.

Dolayısıyla geleceğin connected-car hukukunda iki farklı sorunun birlikte sorulması gerekecektir:

Araç verisine ekonomik olarak kim erişebilir?

Bu veri bir gerçek kişiyi belirlediğinde hangi veri koruma kurallarına uyulmalıdır?

18. Otomobil Üreticileri İçin Hukuka Uygun Bir Sistem Nasıl Kurulmalı?

Kanaatimizce connected-car üreticilerinin uyum sisteminin temelinde şu anlayış bulunmalıdır:

Araç kullanıcısının konumunu izlemek varsayılan durum değil, belirli bir hizmetin gerektirdiği ölçüde kullanılan kontrollü bir fonksiyon olmalıdır.

Bunun için üreticilerin;

konum toplama amaçlarını birbirinden ayırması, veri minimizasyonu uygulaması, saklama sürelerini belirlemesi, gereksiz location history oluşturmaması, kullanıcılara privacy controls sağlaması, farklı sürücüler için ayrı profiller sunması ve uluslararası aktarım altyapısını KVKK m.9 kapsamında değerlendirmesi gerekir.

Yüksek yoğunlukta ve uzun süreli konum takibinin bireyin yaşam alışkanlıklarını ve hatta hassas özelliklerini ortaya çıkarabilmesi nedeniyle privacy-by-design yaklaşımı otomotiv sektöründe yalnızca teknik bir iyi uygulama değil, hukuki risk yönetiminin temel parçası haline gelmektedir.

Sonuç: Otomobil Sizi Takip Edebilir; Fakat Sınırsız Şekilde Değil

Bir otomobilin konum verisi toplaması tek başına hukuka aykırı değildir.

Ancak:

araçta GPS bulunması, üreticiye sürücünün hayatını sürekli kaydetme yetkisi vermez.

Konum verisinin işlenmesinde;

hukuki sebep, amaçla bağlantılılık, gereklilik, ölçülülük, şeffaflık, saklama süresi, güvenlik ve üçüncü kişilere/yurt dışına aktarım

ayrı ayrı değerlendirilmelidir.

Özellikle sürekli konum geçmişi oluşturulması sıradan bir teknik telemetri faaliyeti olarak görülmemelidir. Kişisel Verileri Koruma Kurulunun da açıkça vurguladığı üzere bu veriler kişinin evi, işyeri ve ziyaret ettiği yerler üzerinden yaşam alışkanlıklarını ortaya çıkarabilir ve hatta kişinin özel nitelikli kişisel verilerine ilişkin sonuçlar çıkarılmasını mümkün kılabilir.

Gelecekte otomobil üreticileri yalnızca motor gücü, batarya menzili veya otonom sürüş performansı üzerinden değil, kullanıcılarının dijital mahremiyetini ne kadar iyi korudukları üzerinden de hukuki sorumluluk taşıyacaktır.

Çünkü connected-car çağında otomobil artık yalnızca nereye gittiğimizi bilmemektedir.

Nerede yaşadığımızı, nerede çalıştığımızı, kimi ziyaret ettiğimizi ve hayatımızın nasıl ilerlediğini de anlayabilecek kadar veri üretebilmektedir.

Hukuk Makaleleri

Direksiyon Sizde, Peki Veriniz Kimde? Bağlantılı Otomobillerin Konum Takibi KVKK’ya Uygun mu?