Bağlantılı araçlar internet ve haricî ağ bağlantıları üzerinden sürekli veri alışverişi gerçekleştiren taşıtlar olup, bu sistemlerin mevcudiyeti aracın kendi kendine sürüş yeteneğine sahip otonom bir araç olduğu anlamına gelmez. Bir aracın ağa bağlı çalışması ile otonom sürüş icra etmesi hukuken ve teknik yönden birbirinden farklı kavramlardır. Bu araçlardan toplanan telemetri, kat edilen mesafe, parça aşınması, sürüş tarzı, konum bilgileri ve kamera kayıtları doğrudan bir kimsenin ismiyle etiketlenmemiş olsa dahi, sürücü veya araç içerisindeki yolcularla ilişkilendirilebildiği takdirde kişisel veri niteliği kazanır.
Araç İçi Verilerin Niteliği ve Yolcuların Hukuki Durumu
Bağlantılı taşıtlarda bulunan kamera, mikrofon ve algılayıcılar yalnızca sürücünün değil, araçta seyahat eden diğer yolcuların da sesini, görüntüsünü ve davranışlarını kaydedebilmektedir. Dolayısıyla araç sahibinin veri işleme süreçlerine onay vermiş olması, araç içerisindeki tüm yolcular bakımından kendiliğinden geçerli bir hukuki dayanak meydana getirmez. Öte yandan sürücü izleme sistemleri vasıtasıyla takip edilen yüz ve fizyolojik göstergeler biyometrik veri vasfı taşımakta olup, 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 6 uyarınca özel nitelikli kişisel veri sayılır ve özel işleme şartlarına tabi tutulur.
Ekosistem Aktörlerinin Rolleri ve Verilerin Yurt Dışına Aktarımı
Bağlantılı araç yapısında araç üreticisi, yetkili servis ağı, telekomünikasyon operatörü ve dijital servis sağlayıcıların hukuki konumu somut olayın şartlarına göre farklılaşır. İlgili veri işleme faaliyetinde amaç ve vasıtaları kimin belirlediği incelenerek tarafların veri sorumlusu, veri işleyen veya ortak veri sorumlusu sıfatları belirlenir. Araç sistemlerinin topladığı verilerin yurt dışındaki sunuculara veya bulut altyapılarına aktarılması ise 6698 sayılı Kanun m. 9 kapsamında düzenlenen aktarım rejimine tabidir.
6698 sayılı Kanun m. 9/1 uyarınca kişisel veriler, kanuni işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması hâlinde yurt dışına aktarılabilir. Yeterlilik kararı Kurul tarafından verilir, Resmî Gazete'de yayımlanır, en geç dört yılda bir değerlendirilir ve Kurulca ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir veya kaldırılabilir. Yeterlilik kararının bulunmadığı durumlarda ise aktarım; ilgili kişinin aktarım ülkesinde haklarını arama ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla bağlayıcı şirket kuralları veya standart sözleşme gibi kanunda belirtilen uygun güvencelerden birinin sağlanmasıyla mümkündür. İlan edilmiş standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi zorunludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararı bulunmadığında ve kanunda öngörülen uygun güvenceler temin edilemediğinde, sınır ötesi veri aktarımı ancak süreklilik arz etmeyen istisnai hâllerde gerçekleştirilebilir. Bu çerçevede muhtemel riskler hakkında aydınlatılan ilgilinin rıza vermesi veya sözleşmesel edimlerin ifası için aktarımın zorunlu olması gibi sınırlı durumlara başvurulabilir. Verilerin yurt dışındaki başka taraflara ya da uluslararası kuruluşlara sonradan aktarılması da Kanunun 9 uncu maddesindeki esas ve teminatlara tabidir. Uluslararası anlaşmalardan doğan kurallar saklı kalmak kaydıyla, kamusal menfaatlerin veya şahsın haklarının ciddi boyutta zarar görebileceği hâllerde ise aktarım işlemi ancak ilgili idari kuruluşun görüşü alınarak Kurulun izniyle icra edilebilir.
Teknik ve İdari Veri Güvenliği Tedbirleri
6698 sayılı Kanun m. 12/1 gereğince veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde, bu güvenlik tedbirlerinin alınması hususunda veri sorumlusu veri işleyenle birlikte müştereken sorumludur. Veri sorumlusu kendi kurum veya kuruluşunda kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri bizzat yapmak veya yaptırmakla yükümlüdür.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri sorumluları ve veri işleyen kişiler öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu sır saklama yükümlülüğü görevden ayrılmalarından sonra da devam eder. İşlenen araç verilerinin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda ise veri sorumlusu bu veri ihlalini en kısa sürede hem ilgili kişiye hem de Kurula bildirmek zorundadır. Kurul lüzum görmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.
Siber Güvenlik Standartları ve Uzaktan Yazılım Güncellemeleri
Bağlantılı araçların uğrayabileceği siber müdahalelerin ve zafiyetlerin engellenmesi amacıyla uluslararası tip onayı süreçlerinde UNECE UN Regulation No. 155 düzenlemesi uygulanır ve üreticilerin siber güvenlik yönetim sistemleri kurması aranır. Benzer şekilde araç sistemlerinin uzaktan kablosuz yöntemlerle güncellenmesi süreçleri de UNECE UN Regulation No. 156 çerçevesinde yazılım güncelleme yönetim sistemleri standartlarına bağlanmıştır.
İkinci El Satışta Dijital Devir
Bağlantılı araçların mülkiyeti ikinci el satış yoluyla el değiştirdiğinde araç içi sistemlerde dijital devir sürecinin işletilmesi gerekir. Önceki kullanıcıya ait hesap araç bilgi-eğlence sisteminden kaldırılmalı, araç hafızasında saklanan konum geçmişi, telefon rehberi ve arama kayıtları gibi kişisel veriler güvenli bir biçimde silinmeli ve üreticinin mobil uygulamasındaki araç sahipliği kaydı yeni kullanıcıya devredilmelidir.
Yazılım Kusurları ve Ürün Güvenliğinden Doğan Sorumluluk
Bağlantılı taşıtlarda yazılım fonksiyonları aracın esaslı unsurları arasında bulunuyorsa, meydana gelen ağır yazılım hataları somut olayın niteliğine göre 6502 sayılı Tüketicinin Korunması Hakkında Kanun kapsamında ayıp incelemesine konu edilebilir. Bunun yanında güvensiz bir ürünün ölüme, yaralanmaya veya başka bir mala zarar vermesi durumunda 7223 sayılı Ürün Güvenliği ve Teknik Düzenlemeler Kanunu gereğince imalatçı veya ithalatçının tazminat sorumluluğu doğar. Uluslararası çerçevede bağlı ürün verilerine erişim hakkı sağlayan Avrupa Birliği Veri Yasası gibi düzenlemeler de veri erişimini belirlerken kişisel verilerin korunması rejiminin uygulanmasını ortadan kaldırmamaktadır.
Araçtan toplanan sürüş ve konum verileri kişisel veri sayılır mı?
Evet, araçtan toplanan telemetri, kat edilen mesafe, konum ve kamera kayıtları doğrudan bir kimsenin ismine bağlı olmasa bile sürücü veya yolcularla ilişkilendirilebildiğinde kişisel veri sayılır.
Araç sahibinin rızası yolcuların verilerinin işlenmesi için yeterli midir?
Hayır, araç içi izleme sistemleri yolcuların ses, görüntü veya davranışlarını işlediğinde yalnızca araç sahibinden alınan rıza diğer yolcular yönünden hukuki dayanak oluşturmaz.
Yurt dışı veri aktarımında kullanılan standart sözleşme nereye bildirilir?
Kurul tarafından ilan edilmiş standart sözleşmenin, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.
Araç verilerine yönelik bir veri ihlali gerçekleştiğinde ne yapılmalıdır?
İşlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür.
İkinci el bağlantılı araç satışında dijital devir neleri kapsar?
Dijital devir kapsamında araç hafızasındaki konum ve arama kayıtları gibi kişisel veriler güvenli şekilde silinir, kullanıcı hesabı araçtan kaldırılır ve mobil uygulamadaki sahiplik bağlantısı devredilir.
Bağlantılı araçtaki ağır bir yazılım hatası hukuken ayıp sayılabilir mi?
Evet, yazılım fonksiyonları aracın esaslı özelliklerinden birini oluşturuyorsa ortaya çıkan ağır yazılım hataları 6502 sayılı Kanun kapsamında ayıp değerlendirmesine konu olabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy