“Kara liste” uygulaması kanuna aykırı bulundu

Kişisel Verileri Koruma Kurulu’nun, araç kiralama sektöründeki kara liste uygulamalarına yönelik şikayetler üzerine oybirliğiyle aldığı ilke kararı, Resmi Gazete’nin bugünkü sayısında yayınlandı.

İlke kararında, araç kiralama yazılımcısı ve satıcısı kişilerin araç kiralama firmalarına ‘kara liste’ özelliği de içeren yazılımlar sunduğu; firmaların bu yazılımlara kendi müşterilerinin kişisel verilerini işlediği; işlenen bu veriler arasında, araçların kullanım sürecinde meydana gelen olumsuzlukları veya araç kiralama firmasının yorumlarını da içeren ‘kara liste’ bilgilerinin yer aldığı; bahse konu bu yazılımların, bir araç kiralama firmasının kendi girdiği verileri diğer araç kiralama firmalarına açmasına olanak veren sistemler olarak tasarlandığı belirtildi.

Kararda, “Araç kiralayan bir gerçek kişinin, müşterisi olduğu araç kiralama firmasına kiralama sözleşmesi kapsamında firmaya sağladığı kişisel verilerin, firma ile yaşadığı olumlu/olumsuz ilişkinin, araca verdiği zarar, ödeme sürecinde yaşanan sorunlar gibi kişisel verilerinin kara liste özelliği içeren yazılımlar vasıtasıyla müşterisi olduğu araç kiralama firması haricinde bilinmeyen sayıda kullanıcı ile paylaşıldığına dair bilgi sahibi olmadığı anlaşılmıştır” denildi.

Bu durumun 6698 sayılı Kişisel Verileri Koruma Kanunu’nun 4. maddesinde yer alan genel ilkelere aykırı olduğu belirtilen kararda, araç kiralama firmalarının müşterilerinin kişisel verilerini işleyebileceğini, ancak bu verileri diğer firmalarla paylaşılmasının temel hak ve özgürlüklerin ihlal edilmemesi şartına aykırı olduğu vurgulandı.

1 MİLYON TL’YE KADAR PARA CEZASI

İlke kararında, söz konusu veriler üzerinde hakimiyeti bulunan araç kiralama şirketlerinin yazılım şirketleri ile ortak veri sorumlusu olarak değerlendirileceği, kanun hükümlerine aykırı şekilde araç kiralama sektöründe kara liste uygulamasına başvuran veri sorumluları hakkında Kişisel Verileri Koruma Kanunu’nun 18 inci maddesi hükümleri çerçevesinde işlem yapılacağı belirtildi.

Kişisel Verilesi Koruma Kanunu’nun 18. maddesinin c bendinde, kurul tarafından verilen kararları yerine getirmeyenlere 25 bin TL’den 1 milyon TL’ye kadar idari para cezası kesilebileceği hükmü yer alıyor.