Bağlantılı Araç ve Telemetri Verisi: Otomotiv Markaları İçin KVKK

Araç Artık Bir Veri Kaynağı

Yeni nesil araçlar yalnızca yolculuk yapılan bir taşıt değil, sürekli veri üreten bağlantılı cihazlardır. Araç içindeki modem, sensörler ve mobil uygulama; konum, sürüş tarzı, yakıt veya şarj durumu, arıza kodları ve bazen araç içi kamera görüntüleri gibi bilgileri üreticinin ya da hizmet sağlayıcının sunucularına iletir. Bu nedenle araç telemetri KVKK açısından, otomotiv markalarının satış ve satış sonrası süreçlerinde giderek daha sık karşılaştığı bir uyum başlığıdır.

Bu yazıda bağlantılı araçlardan hangi verilerin toplandığını, konum ve sürüş davranışı verisinin neden ayrıca dikkat gerektirdiğini, araç sahibi ile sürücü ve yolcu arasındaki farkı, yurt dışındaki üreticiye yapılan aktarımı ve ikinci el satışta verinin akıbetini ele alıyoruz. Amaç, distribütör ve bayi yöneticilerinin kendi kurumları için riskleri görebilmesidir.

Araçtan hangi veriler toplanıyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar. Araç verisi doğrudan bir isim taşımasa bile şasi numarası, plaka, uygulama hesabı veya satış kaydı üzerinden araç sahibine ya da sürücüye bağlanabiliyorsa kişisel veri niteliği kazanır. Avrupa Veri Koruma Kurulu (EDPB) da bağlantılı araçlara ilişkin rehberinde, aracın teknik özelliklerine ilişkin verilerin bile çoğunlukla sürücü veya yolcuyla ilgili olduğunu vurgular.

Bağlantılı araçlarda sık karşılaşılan veri grupları şunlardır:

Bu verilerin büyük kısmı servis planlama, arıza teşhisi, acil durum desteği veya sürüş güvenliği gibi meşru amaçlarla toplanır. Sorun, amacın belirsiz bırakılması ve verinin ilk amacın dışında, örneğin pazarlama veya kişiselleştirilmiş fiyatlama için kullanılmasıyla başlar. KVKK'nın 4. maddesi, verinin belirli, açık ve meşru amaçlarla işlenmesini ve bu amaçlarla bağlantılı, sınırlı ve ölçülü olmasını şart koşar.

Bağlantılı araçta tipik veri grupları

Bağlantılı araçlarda sık karşılaşılan veri grupları ve kişisel veri açısından taşıdıkları anlam:

Konum ve sürüş davranışı

Konum verisi KVKK'nın 6. maddesinde sayılan özel nitelikli veriler arasında değildir; ancak etkisi bakımından en hassas veri gruplarından biridir. EDPB rehberi, konum verisinin kişilerin yaşam alışkanlıklarını belirgin biçimde ortaya koyduğunu ve özellikle müdahaleci olduğunu belirtir. Düzenli rotalar ev ve iş adresini, belirli saatlerde gidilen yerler ise sağlık kuruluşu ziyareti ya da ibadet yeri gibi özel nitelikli bilgileri dolaylı olarak açığa çıkarabilir.

Sürüş davranışı verisi de benzer bir risk taşır. Sert frenleme ve hız verileri, araç bakımı için toplandığında makul olabilir; aynı veri sürücüyü puanlamak, sigorta primini belirlemek ya da bir kampanyaya uygunluğu değerlendirmek için kullanıldığında farklı bir işleme faaliyeti ortaya çıkar. EDPB, bakım amacıyla toplanan telemetri verisinin kullanıcının rızası olmadan sürüş profili oluşturmak üzere sigorta şirketlerine açıklanamayacağını örnek olarak verir.

KVKK'nın 11. maddesi, ilgili kişiye işlenen verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhine bir sonuç çıkmasına itiraz hakkı tanır. Sürüş puanına dayalı otomatik kararlar bu hakkı doğrudan gündeme getirir. Bu nedenle konum ve sürüş verisi için varsayılan ayarların asgari düzeyde tutulması ve ek amaçlar için ayrı bir seçim sunulması, riski belirgin biçimde azaltır.

Araç sahibi, sürücü ve yolcu ayrımı

Bağlantılı araç senaryosunda veri sahibi tek kişi değildir. Satış sözleşmesini imzalayan araç sahibidir; ancak aracı eşi, çocuğu, şirket çalışanı ya da kiralayan kişi de kullanabilir. Yolcular ise ne sözleşmenin ne de mobil uygulamanın tarafıdır. EDPB, aydınlatmanın çoğu zaman yalnızca araç sahibine yapıldığını ve sürücü ile yolcuların yeterince bilgilendirilmediğini bir bilgi asimetrisi olarak tanımlar.

Bu ayrımın pratik sonuçları vardır:

Rollerin belirlenmesi de aynı derecede önemlidir. Bağlantılı hizmetin amacını ve araçlarını kim belirliyorsa veri sorumlusu odur; bu çoğu zaman üreticidir, ancak distribütör kendi pazarlama veya müşteri ilişkileri amaçlarıyla aynı veriyi kullanıyorsa kendi faaliyeti bakımından ayrıca veri sorumlusu olabilir. Bu ayrımı veri sorumlusu ve veri işleyen farkı yazımızda örneklerle anlattık.

Sahip, sürücü ve yolcu ayrımının pratik sonuçları

Yurt dışındaki üreticiye aktarım

Bağlantılı araç platformlarının sunucuları çoğu zaman üreticinin merkezinin bulunduğu ülkede veya küresel bir bulut hizmetinde yer alır. Araçtan Türkiye dışındaki bir sunucuya giden veri, KVKK'nın 9. maddesi kapsamında yurt dışına aktarım sorusunu doğurur. Kişisel Verileri Koruma Kurumu'nun Yurt Dışına Aktarım Rehberi, üçüncü bir ülkeden uzaktan erişimin ve yurt dışında bulunan bir bulutta depolamanın, rehberde sayılan ölçütler karşılandığında aktarım olarak kabul edileceğini belirtir.

7499 sayılı Kanunla 01.06.2024'ten itibaren yürürlükte olan düzenlemeye göre yurt dışına aktarım üç kademede değerlendirilir: aktarılacak ülke veya sektör için Kurul'un yeterlilik kararı; yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle taahhütname gibi uygun güvenceler; bunlar da yoksa yalnızca arızi nitelikteki istisnai haller. Düzenli ve sürekli veri akışı içeren bir telemetri platformu, arızi aktarım istisnasına dayandırılamaz. Standart sözleşme kullanılıyorsa, imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi gerekir.

Distribütörler açısından kritik soru, aktarımı kimin yaptığıdır. Veri doğrudan araçtan üreticiye gidiyorsa ve Türkiye'deki şirket bu akışın bir parçası değilse, değerlendirme farklılaşabilir. Buna karşılık distribütör müşteri, satış veya servis kayıtlarını üreticinin küresel sistemine yüklüyorsa aktaran tarafta yer alır. Bu konudaki genel çerçeveyi yurt dışına veri aktarımı uygulama rehberi yazımızda özetledik. Somut olay özelinde hukuki değerlendirme alınmalıdır.

İkinci el satışta veri

Bir araç el değiştirdiğinde önceki sahibin verisi çoğu zaman araçla birlikte gider. Navigasyon geçmişi, kayıtlı ev ve iş adresleri, eşleştirilmiş telefonun rehberi ve arama kayıtları, garaj kapısı kumandası ayarları ya da hâlâ önceki sahibin hesabına bağlı mobil uygulama bunun tipik örnekleridir. Son durum iki yönlü risk taşır: önceki sahip aracın konumunu görmeye devam edebilir, yeni sahip ise önceki sahibin verisine erişebilir.

EDPB rehberi, araç satışa çıkarılmadan önce kişilerin kişisel verilerini kalıcı olarak silebilmesini ve sahiplik değişikliğinin artık gerekmeyen verilerin silinmesini tetiklemesini önerir. KVKK'nın 7. maddesi de işlenmesini gerektiren sebepler ortadan kalktığında verinin silinmesini, yok edilmesini veya anonim hale getirilmesini ister.

Takas veya ikinci el satış yapan bayiler için bu, satış öncesi kontrol listesine “araç içi verilerin fabrika ayarlarına döndürülmesi” ve “uygulama hesabı bağlantısının kaldırıldığının teyidi” adımlarının eklenmesi anlamına gelir. İkinci el ticaretinde düzenlenen belgeler de araç verisi içerir: Motorlu Kara Taşıtlarının Ticareti Hakkında Yönetmelik, belirli araç sınıflarında satış öncesinde ekspertiz raporu alınmasını ve raporun satıcı işletme ile ekspertiz işletmesi tarafından en az beş yıl saklanmasını öngörür. Bu tür yasal saklama yükümlülükleri, saklama ve imha politikasında ayrıca gösterilmelidir.

Uyum çerçevesi

Araç telemetri verisiyle ilgili riskler tek bir belgeyle yönetilemez; satış, satış sonrası, bilgi teknolojileri ve hukuk ekiplerinin birlikte çalışmasını gerektirir. Otomotiv markaları ve distribütörler için genel bir uyum çerçevesi şu başlıklardan oluşur:

Bu çerçeve, ürün geliştirme aşamasında gizliliğin baştan tasarlanmasıyla daha kolay kurulur; yazılım ekipleri için bu yaklaşımı tasarımdan gizlilik yazımızda anlattık.

Otomotiv için uyum çerçevesi başlıkları

Sonuç ve sonraki adım

Araç telemetri KVKK açısından konum, sürüş davranışı ve araç durumu verilerinin birlikte değerlendirilmesini gerektirir. Bu verilerin kimin adına toplandığı, kimlere ve hangi ülkelere aktarıldığı ve araç el değiştirdiğinde ne olacağı netleşmeden atılan her adım, hem müşteri güvenini hem de uyum durumunu zayıflatır.

İlk adım olarak kendi kurumunuzun bu veri akışlarındaki yerini belirlemek, yani hangi verileri aldığınızı, kime ilettiğinizi ve hangi faaliyette veri sorumlusu olduğunuzu ortaya koymak yeterli bir başlangıç sağlar. Otomotiv sektörüne özgü uyum başlıklarını sektör sayfamızda bulabilirsiniz.

Sık sorulan sorular