Kurul’un 23/12/2021 tarih ve 2021/1304 Karar Sayılı Araç Kiralama Sektöründeki Kara Liste Uygulamaları Hakkında İlke Kararı 20 Ocak 2022 tarih ve 31725 sayılı Resmi Gazete’de yayınlandı.
Kurula yapılan şikayetler neticesinde Kurul tarafından yapılan incelemelerde araç kiralama sektöründe “kara liste” uygulamasına başvurulduğu belirlenmiştir. Kara liste; araç kiralama şirketlerinin, kendilerinden araç kiralayan gerçek kişilerin söz konusu yazılımlara kişisel verilerini işlemesinin yanı sıra, araçları kiralayan gerçek kişilerin kullanım süresince meydana gelen olumsuzlukları veya araç kiralama şirketlerinin yorumlarını da içeren bilgilerin yer almasıdır. Bu bilgiler araç kiralama şirketlerince daha sonraki kiralamalarda karar verirken kullanılmak üzere işlenmektedir. Fakat kullanılan yazılımlar diğer araç kiralama şirketlerince de işbu kişisel verilerin görülmesine olanak sağlamaktadır. Bu durum da açıkça Kanuna aykırıdır.
Yazılım şirketlerince sunulan hizmet Software as a Service (SaaS) şeklindedir. Bu hizmet şekline göre veri tabanı ve yazılımın yönetimi yazılım şirketindedir. Araç kiralama firmalarında ve yazılım şirketlerinde admin yetkisine sahip kullanıcılar bulunmaktadır. Yazılım şirketlerince sunulan hizmet, hazır bir SaaS hizmetidir. Bu nedenle araç kiralama şirketlerinin yazılım kodlarına müdahalesine izin bulunmamakta, araç yazılım şirketlerinin yalnızca içerik sağlayabilmektedirler. Araç kiralama şirketlerinin müşterileri ise, aralarında imzalamış oldukları araç kiralama sözleşmesi kapsamında kişisel verilerini verirken; araç kiralama sektöründe kullanılan yazılımlar dolayısıyla vermiş oldukları işbu kişisel verilerin araç kiralama şirketleri haricinde çok sayıda başka yerlerle paylaşıldığı hakkında bilgi sahibi değildirler.
Tüm bunlar neticesinde söz konusu karar da; Kanunun 4., 5. Ve 8. Maddesinde düzenlenen genel ilkelere, işleme şartlarına ve aktarıma ilişkin hükümlere aykırı olarak kişisel verilerin işlenmesi halinde, söz konusu veriler üzerinde hakimiyeti bulunan araç kiralama şirketleri ile işbu şirketlere “kara liste” özelliği de içeren araç kiralama yazılımları sunan yazılım şirketleri ortak veri sorumlusu olarak değerlendirileceğini açıkça ifade etmektedir.
Ayrıca işbu karar uyarınca hukuka aykırı olan kara liste uygulamalarına son verilip, araç kiralama sektöründe kişisel verileri işleme aşamalarının Kanunun 12. Maddesinde düzenlenen idari ve teknik tedbirler veri sorumlularınca alınacaktır. Eğer ki gerekli tedbirler alınmaz ve Kanuna aykırı şekilde kara liste uygulamalarına başvurmaya devam edilir ise, devam eden veri sorumluları hakkında Kanunun 18. Maddesi uyarınca işlem tesis edilecektir.
Bahsi geçen ilke kararının detayları için tıklayınız.