Konunun Özeti: Araç kiralama sektöründeki kara liste uygulamaları kapsamında gelen ihbarlar sonucu Kurum inceleme başlatmıştır.
Araç kiralama sektöründeki kara liste uygulamaları ile yazılımlara araç kiralama firmalarının kendi müşterilerinin kişisel verilerinin işlendiği, araç kullanım sürecinde meydana gelen olumsuzları ve yorumlarını da içeren bir kara liste olarak oluşturulduğu, sonraki kiralamalar için karar verirken bu bilgilerin kullanıldığı, işlenen kişisel verilere diğer araç kiralama firmalarının da erişebildiği, dolayısıyla araç kiralama firmasından yazılıma, yazılımdan da söz konusu yazılımı kullanan tüm araç kiralama firmalarına veri akışı olduğu tespit edilmiş olup, veri akışı karşılıklı olarak yapılmıştır.
Kara liste kaydına erişimin bir firma ile sınırlı kalmadığı, yazılıma aktarılan kişisel verilere yazılımı kullanan diğer araç kiralama firmalarının da erişim sağlayabildiği ve veri üzerinde hakimiyetleri olduğu dikkate alındığında, araç kiralama şirketleri ile yazılım şirketlerinin ortak veri sorumluluğunun ortaya çıkacağı değerlendirilmektedir.
Ortak veri sorumluları arasında kusurluluk belirlenirken,
- işlenen verinin ilk ve son kullanıcısının kim olduğu,
- veri girişini kimin yaptığı,
- hangi amaçla söz konusu verinin girildiği,
- verinin değiştirilmesine veya silinmesine yahut aktarılmasına kimin karar verdiği,
- veriyi toplayan dışında kalan veri sorumlularının bu veri ile hangi faaliyetleri gerçekleştirdiği
gibi etkenlere dikkat edilecektir.
Kara liste kapsamında kişisel veri işlenmesi kişilerin Kanunun 11. Maddesinden kaynaklanan haklarını gereği gibi kullanabilmelerinin önünde engel teşkil etmektedir. Yapılan profilleme neticesinde ilgili kişi hakkında olumsuz sonuç ortaya çıkmakta oluğu, ancak araç kiralayan ilgili kişinin kişisel verilerinin paylaşıldığı diğer araç kiralama firmalarının kim olduğunu bilecek durumda olmaması nedeniyle, madde 11’den kaynaklanan haklarını bu veri sorumluları nezdinde ileri sürebilmesi güçleşecektir.
Tüm bu değerlendirmeler ışığında,
- Araç kiralama sektöründe kara liste uygulamaları kapsamında kişisel verilerin işlenmesi halinde, söz konusu veriler üzerinde hakimiyeti bulunan araç kiralama şirketlerinin yazılım şirketleri ile ortak veri sorumlu olarak değerlendirileceklerine,
- Hukuka aykırı bu gibi uygulamalara son verilerek, araç kiralama sektöründe kişisel veri işleme süreçlerinin Kanuna uygun olmasını teminen Kanunun 12. Maddesinde düzenlenen gerekli teknik ve idari tedbirlerin veri sorumlularınca alınması gerektiğine,
- Söz konusu önlemleri almaksızın ve Kanun hükümlerine aykırı şekilde araç kiralama sektöründe kara liste uygulamasına başvuran veri sorumluları hakkında Kanunun 18. Maddesi hükümleri çerçevesinde işlem tesis edileceği hususunda kamuoyunun bilgilendirilmesine,
Oy birliği ile karar [1]verilmiştir.