Kişisel Verileri Koruma Kurulu 2023’in son günlerinde vermiş olduğu bir karar[1] ile araç kiralama şirketlerini mercek altına aldı.

Kişisel Verileri Koruma Kurulu (“Kurul”), 20/07/2023 tarihli ve 2023/1234 sayılı kararında araç kiralama şirketleri tarafından gerçekleştirilen Findeks sorgularında açık rızanın hizmet şartına bağlanmasının altını çizerek, idari para cezasına hükmetmiştir.

İlgili kararda kullanıcılar tarafından araç kiralama başvuruları ve rezervasyon taleplerinin alındığı bir Platform üzerinden araç kiralayan ilgili kişinin kredi kartından ödeme yapıldığı, araç teslimi aşamasında  ilgili kişinin ayrıca Findeks raporuna erişilmek istendiğine ilişkin SMS iletildiği ve rapordaki verilerin işlenmesi konusunda açık rıza vermesi gerektiği, aksi halde araç kiralama hizmetinden faydalanamayacağının belirtildiği olayda ilgili kişinin açık rıza vermemesi sonucunda hizmetin ifasının araç kiralama şirketi tarafından gerçekleştirilmediği, aynı gün ilgili kişiye “firmamızın prosedürlerini kabul etmediğinizden rezervasyonunuz iptal edilmiştir” şeklinde bildirim yapılmıştır.

Kurul tarafından yapılan inceleme sonucunda,

• Platform’un araç kiralama hizmeti vermediği yalnızca rezervasyon taleplerini almakta olduğu bu nedenle araç kiralama hizmetleri ile ilgili kişisel verilerin işleme amaçlarının ve vasıtalarının belirlenmesi durumu söz konusu olmadığından bu hizmetler bakımından Platform’un veri sorumlusu sıfatını haiz olmadığı, 
• 1174 sayılı Kimlik Bildirme Kanunu’nun Ek Madde 3’ü gereği, araç kiralama şirketlerinin kiralanan araç bilgileri ile aracı kiralayanların kimlik bilgileri ve kira sözleşmesi kayıtlarını usulüne uygun şekilde günü gününe tutmakla ve bu kapsamda mevcut bilgi, belge ve kayıtları genel kolluk kuvvetlerinin her an incelemelerine hazır bulundurmak zorunda oldukları,
• İlgili kişinin araç kiralama hizmetinden faydalandırılmasının, Findeks raporuna erişilmesine ilişkin açık rıza şartına bağlandığının, ilgili kişi tarafından açık rıza verilmemesi üzerine rezervasyonun iptal edildiğinin anlaşıldığı, 
• Veri sorumlusu tarafından Findeks raporu temin edilmeksizin kiralama işlemi yapılmaması suretiyle açık rızanın hizmet şartına bağlandığı dikkate alındığında Kanundan kaynaklı yükümlülüklerinin yerine getirilmediği,
• İlgili kişinin, veri sorumlusu nezdinde tutulan ve işlenen tüm kişisel verilerinin imha edilmesi buna ilişkin kaydın kendisine verilmesi, kişisel verilerin aktarıldığı 3. kişiler var ise silme işleminin bu 3. kişiler nezdinde de yerine getirilmesi, hukuka aykırı uygulamaya son verilmesi yönündeki taleplerine veri sorumlusu tarafından bir yanıt verilmediği

değerlendirmelerinden hareketle Findeks raporu bilgileri sorgulanması suretiyle kişisel verilerin işlenmesinin ancak açık rıza ile gerçekleştirebileceği, bu kapsamda veri sorumlusu tarafından Findeks raporu temin edilmeksizin kiralama işlemi yapılmaması suretiyle açık rızanın hizmet şartına bağlandığı dikkate alındığında veri sorumlusu aleyhine 100.000 TL idari para cezası uygulanmasına, ilgili kişiler tarafından yapılacak veri sorumlusuna başvurularda etkin, hukuka ve dürüstlük kuralına uygun şekilde, gerekçe belirterek ve süresi içinde sonuçlandırılması gerektiği hususunun veri sorumlusuna hatırlatılmasına karar verilmiştir.

Özetle;

İlgili kişilerden alınacak açık rızanın,

• ilgili kişinin özgür iradesini yansıtması,
• ilgili kişiye verilen hizmet kapsamında zorunlu tutulmaması,
• ilgili kişi aydınlatıldıktan/bilgilendirildikten sonra alınmış olması,
• checkbox ile alındığı hallerde, ilgili kişiye önceden işaretli biçimde sunulmaması,
• muğlak ve geniş ifadelerle ve/veya yanıltıcı biçimde alınmaması gerekmektedir.

[1] Bir Araç kiralama şirketi tarafından ilgili kişiden Findeks raporu talep edilmesi suretiyle kişisel verilerinin işlenmesi” Hakkında Kişisel Verileri Koruma Kurulunun 20/07/2023 tarihli ve 2023/1234 sayılı Karar Özeti

https://kvkk.gov.tr/Icerik/7772/2023-1234