Otomobiliniz Sizi Ne Kadar Tanıyor? Bağlantılı ve Elektrikli Araçlarda Kişisel Verilerin Korunması, Konum Takibi ve Siber Güvenlik Hukuku

Connected Cars, Telematik Veriler, Araç İçi Kameralar, Elektrikli Araçlar ve KVKK Kapsamında Yeni Nesil Otomotiv Hukuku

Giriş

Modern otomobiller artık yalnızca insanları bir noktadan diğerine taşıyan mekanik araçlar değildir. İnternete bağlı navigasyon sistemleri, mobil uygulamalar, araç içi kameralar, mikrofonlar, GPS, telematik sistemler, sürüş destek teknolojileri, uzaktan yazılım güncellemeleri ve elektrikli araç şarj sistemleri nedeniyle günümüz otomobili aynı zamanda sürekli veri üreten hareketli bir dijital platforma dönüşmektedir.

Bir connected car potansiyel olarak aracın nerede bulunduğunu, hangi güzergâhları kullandığını, hangi saatlerde hareket ettiğini, ne hızla kullanıldığını, kimin telefonunun araca bağlandığını, hangi adreslerin navigasyonda arandığını, aracın ne zaman şarj edildiğini ve bazı yeni nesil sistemlerde sürücünün yüzü, sesi veya fiziksel durumuyla ilgili bilgileri işleyebilir.

Bu nedenle bağlantılı araç teknolojilerindeki en önemli hukuki sorulardan biri şudur:

Bir otomobilin topladığı veriler kime aittir ve bu veriler kim tarafından, hangi amaçlarla kullanılabilir?

Türkiye bakımından bu sorunun merkezinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) bulunmaktadır. Kişisel Verileri Koruma Kurumu da otonom araçlar ve yapay zekâ teknolojilerinde kişisel veri ve veri mahremiyetini özel olarak gündemine almış durumdadır.

Avrupa Birliği bakımından ise European Data Protection Board (“EDPB”), bağlantılı araçlar ve mobilite uygulamalarına özel Guidelines 01/2020 on Processing Personal Data in the Context of Connected Vehicles and Mobility Related Applications rehberini yayımlamıştır. Rehber, connected vehicle sektörünü kişisel veri hukuku bakımından ayrı ve özel bir alan olarak değerlendirmektedir.

---

1. Connected Car Nedir ve Araç Hangi Verileri Toplayabilir?

Bağlantılı araç, elektronik haberleşme sistemleri aracılığıyla üreticinin sunucuları, mobil uygulamalar, servis sağlayıcıları veya başka araç ve altyapı sistemleriyle veri alışverişi gerçekleştirebilen araç olarak düşünülebilir.

Bu sistemlerde işlenen veriler son derece geniş olabilir.

Bunların arasında:

• GPS ve konum verileri,
• hız ve sürüş davranışları,
• ani fren veya hızlanma kayıtları,
• kilometre ve kullanım verileri,
• aracın teknik hata kayıtları,
• bakım geçmişi,
• batarya seviyesi ve şarj geçmişi,
• şarj istasyonlarının konumu,
• mobil uygulama hesap bilgileri,
• telefon rehberi ve Bluetooth bağlantıları,
• sesli komut kayıtları,
• araç içi kamera görüntüleri,
• sürücünün yüz veya göz hareketleri,
• sürüş destek sistemlerinin sensör verileri,
• navigasyon geçmişi

bulunabilir.

Bir verinin “araç tarafından üretilmiş teknik veri” olarak adlandırılması, onun kişisel veri olmadığı anlamına gelmez.

Bir verinin belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebilmesi halinde KVKK bakımından kişisel veri niteliği gündeme gelir. Nitekim KVKK Kurulu, araç plakası ve araçla bağlantılı bilgilerin başka bir sisteme aktarılmasını dahi yeni bir kişisel veri işleme faaliyeti olarak değerlendirmiştir.

Dolayısıyla “araç verisi” ile “kişisel veri” arasında mutlak bir ayrım yoktur.

---

2. Konum Verisi Neden En Hassas Alanlardan Biridir?

Bir otomobilin sürekli GPS kaydı tutması, kişinin yalnızca o an nerede olduğunu göstermez.

Uzun süreli konum geçmişinden kişinin:

ev adresi,

işyeri,

çocuğunun okulu,

sık ziyaret ettiği kişiler,

hastane ziyaretleri,

ibadethane ziyaretleri,

sosyal yaşamı

ve günlük rutinleri hakkında önemli çıkarımlar yapılabilir.

Bu nedenle bağlantılı araç sistemlerinde konum verilerinin sınırsız şekilde toplanması ciddi bir mahremiyet riski yaratır.

EDPB’nin connected vehicles rehberi de konum verileri başta olmak üzere araçlardan elde edilen verilerin kapsamlı biçimde kişinin hareketlerini ve davranışlarını ortaya çıkarabileceğine dikkat çekmekte ve data minimisation ile privacy by design ilkelerinin önemini vurgulamaktadır.

Türkiye’de ise KVKK’nın temel ilkeleri gereğince veri işleme faaliyetinin belirli, açık ve meşru amaçlara dayanması; işlenen verilerin amaçla bağlantılı, sınırlı ve ölçülü olması gerekir. KVKK Kurumu da veri işleme faaliyetlerinde öncelikle açık rıza dışındaki kanuni işleme şartlarının bulunup bulunmadığının değerlendirilmesini istemektedir.

Örneğin navigasyon hizmeti sağlamak için anlık konuma ihtiyaç duyulabilir.

Ancak navigasyon hizmeti tamamlandıktan sonra kullanıcının bütün güzergâh geçmişinin yıllarca reklam veya profil oluşturma amacıyla saklanması ayrıca hukuki dayanak gerektirecektir.

---

3. Otomobil Üreticisi Her Veriyi “Açık Rıza” ile Toplayabilir mi?

Hayır.

KVKK uygulamasında açık rıza her veri işleme faaliyetini otomatik olarak hukuka uygun hâle getiren genel bir izin değildir.

Öncelikle işleme faaliyetinin Kanunda yer alan diğer hukuki sebeplerden birine dayanıp dayanmadığının değerlendirilmesi gerekir. Kurumun güncel rehberinde de açık rıza dışındaki hukuki sebeplerden biri mevcutsa işleme faaliyetinin buna dayanması gerektiği vurgulanmaktadır.

Örneğin aracın garanti hizmetinin yürütülmesi amacıyla zorunlu teknik arıza verilerinin işlenmesi ile sürücünün konum geçmişinin kişiselleştirilmiş reklam amacıyla işlenmesi aynı hukuki temelde değerlendirilmeyebilir.

Daha önemlisi, kullanıcının aracı veya temel hizmetleri kullanabilmesinin zorunlu olmayan veri işleme faaliyetlerine rıza vermesine bağlanması da sorun yaratabilir. KVKK Kurumu, hizmetin açık rıza şartına bağlanmasının rızanın özgür iradeye dayanmasını ortadan kaldırabileceğini açıkça belirtmektedir.

Örneğin:

“Aracınızı kullanmak için pazarlama amaçlı konum takibini kabul etmelisiniz.”

şeklindeki bir sistem KVKK açısından ciddi tartışma yaratacaktır.

---

4. Aydınlatma Metnini Otomobilin Ekranında Onaylatmak Yeterli mi?

Connected car sektöründe önemli sorunlardan biri de şeffaflıktır.

Bir araç satın alan kişinin karşısında aynı anda otomobil üreticisi, Türkiye distribütörü, mobil uygulama sağlayıcısı, navigasyon şirketi, telematik hizmet sağlayıcısı, bulut hizmet sağlayıcısı ve yetkili servis bulunabilir.

Bu durumda kullanıcı açısından şu soruların cevaplandırılması gerekir:

Veri sorumlusu kimdir?

Hangi veriler toplanmaktadır?

Hangi amaçla kullanılmaktadır?

Veriler kimlere aktarılmaktadır?

Yurt dışına aktarım yapılmakta mıdır?

KVKK bakımından aydınlatma yükümlülüğü açık rızadan bağımsızdır ve hukuki sebep ne olursa olsun yerine getirilmesi gerekir.

Üstelik Kurulun 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararı, aydınlatma metni ile açık rızanın iç içe geçirilerek tek metin şeklinde sunulmasını uygun görmemekte; bu iki sürecin ayrı yürütülmesi gerektiğini yeniden açık biçimde ortaya koymaktadır.

Bu karar connected car mobil uygulamaları açısından özellikle önemlidir.

“Accept All” düğmesi altında hem zorunlu araç telematiğini hem pazarlamayı hem konum izlemeyi hem de yurt dışı aktarımı tek seferde kabul ettiren tasarımlar hukuki risk yaratabilir.

---

5. Araç İçi Kameralar Sürücüyü Kaydedebilir mi?

Yeni nesil araçlarda Driver Monitoring System ve kabin kameraları giderek yaygınlaşmaktadır.

Bu sistemler:

sürücünün gözlerinin açık olup olmadığını,

yola bakıp bakmadığını,

uykulu görünüp görünmediğini,

araç içerisindeki kişilerin varlığını

ve bazı durumlarda yüz özelliklerini analiz edebilir.

Kamera görüntülerinin belirlenebilir gerçek kişilere ilişkin olması halinde kişisel veri işleme söz konusudur. KVKK Kurumu da kamera ile görüntü kaydını açık biçimde kişisel veri işleme faaliyeti olarak değerlendirmektedir.

Araç içerisindeki kamera yalnızca çarpışma önleme amacıyla cihaz üzerinde anlık analiz yapıyor ve görüntüyü kaydetmiyorsa veri koruma riski farklı olabilir.

Buna karşılık görüntülerin üreticinin merkezi sunucularına gönderilmesi, uzun süre saklanması veya sürücü profili oluşturmak amacıyla kullanılması daha kapsamlı bir KVKK analizi gerektirir.

Buradaki temel yaklaşım privacy by design olmalıdır:

Mümkün olan veri araç içerisinde işlenmeli, gereksiz merkezi aktarım yapılmamalı ve saklama süreleri minimum düzeyde tutulmalıdır.

---

6. Otomobilin Mikrofonu ve Sesli Asistan Hukuken Daha Riskli Olabilir

Araçlarda Siri benzeri voice assistant sistemlerinin yaygınlaşması başka bir mahremiyet alanı yaratmaktadır.

Sürücü:

“Beni eve götür.”

“Annemi ara.”

“En yakın hastaneyi bul.”

gibi komutlar verdiğinde sistem yalnızca ses kaydı değil; kişinin rehberi, konumu ve kullanım alışkanlıkları hakkında da veri işleyebilir.

Ses kaydı bakımından ölçülülük özellikle önemlidir.

KVKK Kurulu, başka kamera uygulamalarında görüntü kaydının yanında sürekli ses kaydının alınmasının ayrıca değerlendirilmesi gerektiğini ve ses kaydının amaç bakımından daha müdahaleci olabileceğini ortaya koymuştur.

Connected car tasarımında da mikrofonun sürekli açık olması ile yalnızca “wake word” sonrasında devreye girmesi arasında veri koruma bakımından ciddi fark bulunmaktadır.

---

7. Biyometrik ve Sağlık Verileri

Bazı yeni nesil araçlar sürücünün yüzünü tanıyabilir, göz hareketlerini inceleyebilir veya sağlık durumuyla bağlantılı sensörler kullanabilir.

Bu noktada KVKK’nın özel nitelikli kişisel verilere ilişkin m.6 rejimi gündeme gelebilir.

6698 sayılı Kanunun özel nitelikli kişisel verilerin işlenmesine ilişkin 6. maddesi 2024 yılında önemli ölçüde değiştirilmiş ve yeni rejim 1 Haziran 2024’te yürürlüğe girmiştir.

Örneğin sürücünün yüz geometrisi kimlik doğrulama amacıyla biyometrik şablona dönüştürülüyorsa sıradan kamera görüntüsünden farklı bir hukuki değerlendirme gerekebilir.

Benzer şekilde araç içi sensörlerden kişinin kalp ritmi, fiziksel rahatsızlığı veya sağlık durumuna ilişkin veri elde edilmesi halinde özel nitelikli kişisel veri kuralları dikkate alınmalıdır.

---

8. Elektrikli Araçlar Neden Ayrı Bir Veri Koruma Sorunu Yaratıyor?

Elektrikli araç ekosistemi yalnızca otomobil üreticisinden oluşmaz.

Araç sahibinin verisi ayrıca:

şarj istasyonu işletmecisi,

mobil şarj uygulaması,

elektrik sağlayıcısı,

ödeme kuruluşu,

roaming platformu

ve araç üreticisi arasında dolaşabilir.

Örneğin kişinin aracını her gece saat 23.00 civarında belirli bir lokasyonda şarj etmesi, o lokasyonun kişinin evi olduğu yönünde güçlü bir çıkarım oluşturabilir.

Şarj geçmişi üzerinden kişinin günlük güzergâhları ve seyahat alışkanlıkları da ortaya çıkabilir.

Bu nedenle EV charging data yalnızca “elektrik tüketim kaydı” olarak görülmemelidir.

Belirlenebilir kişiyle ilişkilendirilebildiği ölçüde KVKK bakımından kişisel veri rejimine tabi olabilir. Bu sonuç, KVKK’nın araç/plaka bağlantılı verileri kişisel veri işleme faaliyeti olarak değerlendiren yaklaşımıyla da uyumludur.

---

9. Aracın Verileri Yurt Dışına Gönderilebilir mi?

Connected car üreticilerinin önemli bölümü global şirketlerden oluşmaktadır.

Bu nedenle Türkiye’de kullanılan bir otomobilin telematik verileri Almanya, ABD veya başka ülkelerde bulunan merkezî sunuculara aktarılabilir.

Bu durum KVKK m.9 kapsamında yurt dışına kişisel veri aktarımı sorununu ortaya çıkarır.

Türkiye’nin yurt dışı veri aktarımı sistemi 2024 yılında önemli ölçüde değiştirilmiştir. Yeni modelde yeterlilik kararlarının yanında uygun güvenceler kullanılarak aktarım yapılabilmesi; bu kapsamda Kurul tarafından yayımlanan standart sözleşmeler ve bağlayıcı şirket kuralları gibi mekanizmaların kullanılması mümkündür.

Kurul veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım için dört farklı standart sözleşme modeli yayımlamıştır.

Bu nedenle yabancı otomotiv markalarının Türkiye operasyonlarında yalnızca “global privacy policy” kullanılması yeterli olmayabilir.

Türkiye’den yurt dışındaki OEM merkezi, cloud provider veya analytics şirketine gerçekleştirilen her veri akışının KVKK m.9 açısından hukuki mekanizması ayrıca belirlenmelidir.

---

10. Aracın İkinci El Satılması: Önceki Sahibin Verileri Ne Olacak?

Connected cars açısından günlük hayatta en çok gözden kaçabilecek problemlerden biri ikinci el araç satışıdır.

Araç içerisinde:

önceki sahibin ev adresi,

iş adresi,

navigasyon geçmişi,

telefon rehberi,

Bluetooth eşleşmeleri,

arama geçmişi,

müzik hesapları

ve kullanıcı profilleri kalmış olabilir.

Bu nedenle ikinci el araç tesliminde klasik “anahtarı ver, ruhsatı değiştir” sistemi dijital araçlarda yeterli değildir.

Otomotiv şirketlerinin ve kullanıcıların secure digital reset mekanizması oluşturması gerekir.

Aracın önceki sahibinin kişisel verilerinin yeni sahibine aktarılması veri güvenliği ihlali niteliği kazanabilir.

---

11. Kiralık ve Şirket Araçlarında Çalışan Takibi

Filo ve şirket araçlarında connected car teknolojileri işverenlere çalışanların araç kullanımını gerçek zamanlı izleme imkânı verebilir.

Araç:

nerede,

hangi hızda,

kaç dakika bekledi,

hangi rotaya saptı

gibi bilgileri işverene gönderebilir.

Ancak şirket aracının işverene ait olması, çalışanın sınırsız biçimde takip edilebileceği anlamına gelmez.

KVKK Kurulu elektronik gözetleme uygulamalarında işverenin meşru amaçları ile çalışanın mahremiyet beklentisi arasında denge kurulması ve ölçülülük ilkesine uyulması gerektiğini vurgulamıştır.

Özellikle çalışanın mesai sonrasında özel kullanımına izin verilen aracın 24 saat boyunca konumunun izlenmesi daha ciddi mahremiyet sorunu yaratacaktır.

---

12. Siber Saldırı Aynı Zamanda KVKK İhlali Olabilir

Connected cars fiziksel güvenlik ile veri güvenliğinin birleştiği nadir teknoloji alanlarından biridir.

Bir saldırgan aracın kullanıcı hesabına veya üreticinin telematik sistemlerine erişirse yalnızca verileri çalmayabilir; teorik olarak araç fonksiyonlarını da hedefleyebilir.

Bu nedenle automotive cybersecurity aynı zamanda data protection meselesidir.

UNECE UN Regulation No. 155, araçların siber güvenliği ve üreticilerin Cyber Security Management System kurması bakımından uluslararası bir düzenleyici çerçeve oluşturmaktadır. UNECE, düzenlemenin araç üreticilerinden siber risklerin yönetilmesini ve otomotiv siber güvenliğinin araç yaşam döngüsü boyunca ele alınmasını amaçladığını belirtmektedir.

KVKK bakımından ise veri sorumluları kişisel verilerin hukuka aykırı erişimini önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Bir kişisel veri ihlalinin öğrenilmesi durumunda Türkiye’de Kurula yapılacak bildirim bakımından uygulanan süre en geç 72 saattir; etkilenen kişilere de makul olan en kısa sürede bildirim yapılması gerekir.

Bir connected car platformuna yönelik büyük ölçekli siber saldırı bu nedenle aynı anda ürün güvenliği, siber güvenlik, sözleşmesel sorumluluk ve KVKK sorumluluğu doğurabilir.

---

13. Kullanıcı Verilerine Erişebilir ve Sildirebilir mi?

Araç üreticisinin veriyi teknik olarak kontrol ediyor olması, verinin hukuki olarak sınırsız biçimde üreticiye ait olduğu anlamına gelmez.

KVKK kapsamındaki ilgili kişi, şartları varsa kendisiyle ilgili kişisel verilerin:

işlenip işlenmediğini öğrenme,

işlenmişse bilgi talep etme,

işlenme amacını öğrenme,

aktarıldığı üçüncü kişileri bilme,

düzeltilmesini isteme

ve Kanundaki koşullar kapsamında silinmesi veya yok edilmesini talep etme

haklarına sahiptir.

Bu hakların connected car sistemlerinde fiilen kullanılabilir hâle getirilmesi gerekir.

İdeal model, kullanıcının mobil uygulama veya araç hesabı üzerinden hangi veri kategorilerinin işlendiğini görebilmesi ve zorunlu olmayan veri işleme tercihlerini yönetebilmesidir.

---

14. Otomotiv Şirketleri İçin KVKK Uyum Modeli Nasıl Olmalıdır?

Connected car ve elektrikli araç üreticileri açısından yalnızca uzun bir gizlilik politikası yayımlamak yeterli değildir.

Uyum sistemi teknolojinin tasarım aşamasına yerleştirilmelidir.

Bu nedenle üretici ve mobilite şirketlerinin özellikle:

Data Mapping: Araçtan hangi verilerin çıktığını ve nereye gittiğini tespit etmesi,

Role Mapping: OEM, distribütör, servis, cloud provider ve mobil uygulama sağlayıcısının veri sorumlusu/veri işleyen rollerini belirlemesi,

Legal Basis Mapping: Her veri işleme amacının KVKK’daki hukuki sebebini belirlemesi,

Data Minimisation: Gereksiz araç ve konum verilerinin toplanmaması,

Privacy by Design: Mümkün olan işlemlerin araç içerisinde gerçekleştirilmesi,

Retention Policy: Telematik veriler için belirli saklama süreleri oluşturulması,

Cross-Border Transfer: KVKK m.9 mekanizmalarının kurulması,

Cybersecurity: Araç ve backend sistemlerinin saldırılara karşı korunması,

Incident Response: 72 saatlik KVKK ihlal bildirim sürecine hazır olunması

gerekmektedir. Yurt dışına aktarım ve veri ihlal bildirim mekanizmaları bakımından güncel KVKK sistemi bu yükümlülükleri doğrudan önemli hâle getirmektedir.

---

Sonuç: Modern Otomobil Aynı Zamanda Hareket Eden Bir Veri Merkezi

Connected cars ve elektrikli araçlarla birlikte otomotiv hukukunun konusu değişmektedir.

Artık bir otomobil uyuşmazlığında yalnızca:

motor,

batarya,

garanti,

ayıplı mal

ve trafik kazası

konuşulmayacaktır.

Bunun yanında:

GPS verisi kimin?

Araç üreticisi sürücüyü ne kadar takip edebilir?

Kabin kamerası görüntüleri nerede saklanıyor?

Şarj geçmişi üçüncü kişilerle paylaşılabilir mi?

Araç verileri Türkiye dışındaki sunuculara hangi hukuki mekanizmayla aktarılıyor?

Otomobil hacklenirse veri ihlalinden kim sorumlu olacak?

soruları otomotiv hukukunun merkezi meseleleri hâline gelmektedir.

EDPB’nin bağlantılı araçlara özel veri koruma rehberi yayımlaması ve UNECE’nin otomotiv siber güvenliği için UN Regulation No. 155 sistemini oluşturması, otomobilin artık yalnızca mekanik bir ürün olarak değerlendirilemeyeceğini göstermektedir.

Türkiye bakımından ise KVKK’nın veri minimizasyonu, hukuki işleme şartları, aydınlatma, özel nitelikli kişisel veriler, yurt dışına aktarım ve veri güvenliği hükümleri connected car ekosisteminin doğrudan hukuki çerçevesini oluşturmaktadır. Özellikle Kurulun 18 Şubat 2026 tarihli İlke Kararıyla açık rıza ile aydınlatmanın ayrı süreçler olarak yürütülmesi gerektiğinin yeniden vurgulanması, otomotiv mobil uygulamalarının ve dijital araç arayüzlerinin de bu doğrultuda tasarlanmasını gerekli kılmaktadır.

Geleceğin otomobil üreticisi bu nedenle yalnızca iyi bir araç üretmek zorunda değildir.

Aynı zamanda güvenli, şeffaf ve hukuka uygun bir veri ekosistemi tasarlamak zorundadır.