Bağlantılı araçlar üzerinden toplanan konum verileri, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebildiği takdirde 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kişisel veri niteliği taşır. Kişisel Verileri Koruma Kurumu da konum verisinin gerçek kişiyi belirlenebilir kılması durumunda kişisel veri olduğunu kabul etmektedir. Bu çerçevede bağlantılı araç teknolojilerinde yürütülen konum izleme faaliyetlerinin hukuka uygunluğu, kanundaki işleme şartlarının varlığına ve temel ilkelere riayet edilmesine bağlıdır.
Konum Verisinin Niteliği ve Profilleme Riskleri
Yoğun ve sistematik konum takibi, aracın anlık yerini tespit etmenin ötesinde ilgili kişinin hayat akışına dair kapsamlı değerlendirmeler yapılmasına zemin hazırlar. Konum takibi vasıtasıyla kişinin yaptığı yolculuklar, işyeri, ikametgahı ve ziyaret ettiği diğer mekanlar tespit edilebilmektedir. Bu durum kişi hakkında profil çıkarılmasına yol açabileceği gibi, ziyaret edilen yerler üzerinden kişinin dini inancı veya cinsel hayatı gibi özel nitelikli kişisel verilerinin dolaylı olarak ortaya çıkmasına da neden olabilmektedir.
Hukuki İşleme Şartları ve Meşru Menfaat Sınırı
Kişisel verilerin işlenmesi sürecinde Kanunun 5. maddesinde öngörülen hukuki işleme şartlarından en az birinin bulunması zorunludur. Açık rıza bu şartlardan yalnızca birini teşkil etmekte olup, mevzuatta yer alan başka bir hukuki sebebin varlığı durumunda ayrıca açık rıza aranmasına gerek bulunmamaktadır. Belirli bir bağlantılı araç hizmetinin yerine getirilebilmesi için konum bilgisinin işlenmesi sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve zorunlu ise ya da güvenlik ve dolandırıcılığı önleme gayelerinde olduğu gibi veri sorumlusunun meşru menfaati söz konusuysa kanundaki diğer işleme şartları gündeme gelebilmektedir.
Meşru menfaate dayanılarak konum verisi işlenebilmesi için veri sorumlusunun gerçek ve mevcut bir menfaatinin ortaya konulması, ardından ilgili kişinin temel hak ve özgürlükleriyle denge testi yapılması şarttır. Meşru menfaat, veri sorumlusuna sınırsız bir veri toplama veya izleme yetkisi tanımaz. Nitekim şirket aracını kullanan bir çalışanın 24 saat boyunca ve özellikle mesai saatleri dışında sürekli olarak takip edilmesi, özel hayata etkisi sebebiyle ölçülülük sınırlarını aşabileceğinden işverenin menfaati ile çalışanın hakları arasında ölçülü ve gerçek bir denge kurulmalıdır.
Aydınlatma Yükümlülüğü ve Açık Rıza Standartları
Veri sorumluları, 6698 sayılı Kanunun 10. maddesi uyarınca kimliklerini, verilerin işlenme amaçlarını, kimlere ve hangi amaçla aktarılabileceğini, veri toplama yöntemini, hukuki sebebini ve ilgili kişinin haklarını içeren şeffaf bir aydınlatma yapmakla yükümlüdür. İşleme faaliyetinin açık rızaya dayandığı durumlarda ise bu rızanın belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle verilmesi şarttır. Her türlü kişisel verinin her türlü amaçla işlenmesine peşinen olanak tanıyan genel ve belirsiz nitelikteki battaniye rızalar hukuken geçerli sayılmamaktadır. Bu doğrultuda bağlantılı araç hizmetlerinde talep edilen rızaların, farklı veri işleme amaçları mümkün olduğunca birbirinden ayrılacak biçimde tasarlanması gerekir.
Yurt Dışına Veri Aktarımı ve Uluslararası Düzenlemeler
Bağlantılı araçlardan elde edilen verilerin yurt dışındaki sunuculara aktarılması durumunda, Kanunun 5. maddesindeki genel şartların yanı sıra 9. maddede düzenlenen aktarım rejimine de uyulmalıdır. 10 Temmuz 2024 tarihinde yürürlüğe giren Yönetmelik ile birlikte yurt dışı aktarımlarında yeterlilik kararının yanı sıra standart sözleşmeler veya bağlayıcı şirket kuralları gibi uygun güvence mekanizmalarının tesis edilmesi aranmaktadır.
Küresel standartlar bakımından Avrupa Veri Koruma Kurulu'nun 9 Mart 2021 tarihli Guidelines 01/2020 rehberi, bağlantılı araçlarda veri korumasını tasarım gereği ve varsayılan olarak gizlilik ilkeleri ekseninde ele almaktadır. Bunun yanında Avrupa Birliği'nin 2023/2854 sayılı Veri Yasası, bağlantılı ürün verilerine ekonomik erişim rejimi getirirken kişisel verilerin korunması bakımından Genel Veri Koruma Tüzüğü kurallarını muhafaza etmektedir.
İlgili Kişilerin Kanuni Hakları
İlgili kişiler, 6698 sayılı Kanunun 11. maddesi uyarınca veri sorumlusuna başvurarak araç üzerinden konum verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna dair bilgi talep etme, işleme amacını ve aktarım yapılan tarafları öğrenme hakkına sahiptir. Bununla birlikte hatalı verilerin düzeltilmesini, kanuni şartları oluştuğunda ise konum verilerinin silinmesini veya yok edilmesini talep etme yetkisi bulunmaktadır.
Bağlantılı araçların konum bilgisi kişisel veri sayılır mı?
Evet, aracın konum bilgisi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebiliyorsa 6698 sayılı Kanun kapsamında kişisel veri sayılır ve Kişisel Verileri Koruma Kurumu bu niteliği açıkça kabul etmektedir.
Şirket araçlarının mesai saatleri dışında izlenmesi hukuka uygun mudur?
Çalışanın şirket aracını mesai dışında ve 24 saat boyunca kesintisiz takip edilmesi ölçülülük sınırlarını aşabileceğinden meşru menfaat sınırsız bir izleme yetkisi vermez; işverenin menfaati ile çalışanın temel hakları arasında denge testi yapılmalıdır.
Bağlantılı araçlarda verilen genel veri onayları hukuken geçerli midir?
Hayır, her türlü verinin her türlü amaçla işlenmesine izin veren battaniye rızalar geçersiz olup açık rızanın belirli bir konuya ilişkin, bilgilendirilmiş ve özgür iradeyle verilmiş olması gerekir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy