23.12.2021 tarihinde Kişisel Verileri Koruma Kurumu tarafından verilen, Araç Kiralama Sektöründeki Kara Liste Uygulamaları Hakkında İlke Kararı 20.01.2022 tarihli Resmî Gazete’de yayımlandı.
Kişisel Verileri Koruma Kurumuna gelen ihbarlar üzerine, Kanunun 15’inci maddesi uyarınca Kişisel Verileri Koruma Kurulu (Kurul) yaptığı incelemeler sonucunda araç kiralama sektöründe ‘‘kara liste’’ uygulamalarına başvurulduğunu tespit etmiştir.
Araç kiralama sektöründe kullanılan ‘‘kara liste’’ uygulamaları ile;
- Araç kiralama yazılımcısı ve satıcısı olan kişilerin ‘‘kara liste’’ özelliğini içeren araç kiralama yazılımlarını, araç kiralama firmalarına veya araç kiralama işi yapan gerçek kişilere sundukları,
- Araç kiralama firmalarının araç kiralayan gerçek kişilerin kişisel verilerini işlediği ve işlediği bu verilerin araçların kullanımı sırasında oluşan olumsuzlukları veya araç kiralama firmasının yorumlarını da içeren ‘‘kara liste’’ bilgilerinin olduğu ve bu bilgilerin sonraki kiralamalar için karar verme sürecinde kullanılmak üzere işlendiği,
- ‘‘Kara liste’’ yazılımının, bir araç kiralama firmasının kendi girdiği verileri diğer araç kiralama firmalarına da açmasına imkan tanıyan bir sistem olduğu, söz konusu yazılım ile bir araç kiralama firmasından diğer araç kiralama firmalarına kara listeye ilişkin veri paylaşımı sağlayan bir tasarım oluşturularak araç kiralayan ilgili kişilerin kişisel verilerinin paylaşıldığı,
- Araç kiralayan gerçek kişi ile araç kiralama firması arasındaki kiralama sözleşmesi kapsamında gerekli olan kişisel veriler söz konusu iken, gerçek kişinin firma ile yaşadığı olumlu/olumsuz durumların, araca verdiği zarar, ödeme sürecindeki problemler gibi kişisel verilerinin de kara liste yazılımı sayesinde araç kiralama firması dışında bilinmeyen sayıda kullanıcı ile paylaşıldığı,
anlaşılmıştır.
Araç kiralayan gerçek kişi ile araç kiralama firması arasında akdedilen bir sözleşme olması ve Kanunun 5’inci maddesinin 2.fıkrasının (c) bendinde yer alan kişisel verilerin işlenmesi bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla söz konusu olabileceği hüküm altına alınmıştır.
İhbara konu kara liste uygulamalarında, ilgili kişisel verileri ilk elden toplayan veri sorumlularıdır. Ancak bu veriler bilinmeyen sayıda kullanıcı ile paylaşıldığı için araç kiralama şirketleri ile yazılım şirketlerinin ortak veri sorumluluğunun ortaya çıkacağı değerlendirilmiştir.
SONUÇ: Kanunun ilgili maddelerinde düzenlenen genel ilkelere, işleme şartlarına ve aktarıma ilişkin hükümlere aykırı olarak kara liste uygulaması kapsamında kişisel verilerin işlenmesi halinde araç kiralama şirketleri ve yazılım şirketlerinin ortak veri sorumlusu olarak değerlendirileceklerine, veri sorumlularının gerekli teknik ve idari tedbirleri almaları gerektiğine ve idari para cezalarını düzenleyen Kanun m.18 kapsamında işlem tesis edileceğine dair karar verilmiştir.