Akaryakıt Sektöründe “Denge Testi”: Meşru Menfaat ve Araç Tanıma Sistemleri (Karar: 2019/78)
Kişisel Verileri Koruma Kurulu (Kurul), 25/03/2019 tarihli bu emsal kararıyla, veri sorumlularının ellerindeki verileri farklı bir amaçla kullanmak istediklerinde “Meşru Menfaat” (Md. 5/2-f) şartına nasıl dayanabileceklerini netleştirmiştir. Karar, akaryakıt sektöründeki “hatalı yakıt dolumu” sorununa çözüm getiren teknolojik projelerin hukuki altyapısını kurmaktadır.
1. Olayın Özeti: EPDK Verilerinden “Araç Tanıma Projesi”ne
Olay: Bir akaryakıt dağıtım şirketi, mevzuat (EPDK kararları) gereği kurduğu otomasyon sisteminde araçların “plaka, yakıt türü, miktar” gibi verilerini halihazırda işlemektedir. Şirket, bu verileri kullanarak “Araç Tanıma Projesi” geliştirmek istemiştir.
Projenin Amacı: İstasyona gelen aracın plakası ile sistemdeki yakıt türünü eşleştirerek, dizel araca benzin (veya tersi) basılmasını otomatik olarak engellemek. Böylece hem tüketicinin aracı bozulmayacak hem de şirketin hatalı dolumdan kaynaklanan maddi ve hukuki sorumluluğu (tazminat riski) ortadan kalkacaktır.
2. Kurulun Hukuki Değerlendirmesi: “Meşru Menfaat” ve Denge Testi
Kurul, bu yeni veri işleme faaliyetinin açık rıza alınmadan yapılıp yapılamayacağını şu kriterlerle analiz etmiştir:
- Hukuki Yükümlülük (Md. 5/2-ç): Şirketin EPDK için bu verileri toplaması zaten yasal bir zorunluluktur. Ancak bu verileri “Araç Tanıma” gibi farklı bir projede kullanmak yeni bir işleme faaliyeti sayılır ve yeni bir hukuki dayanak gerektirir.
- Meşru Menfaat Kriterleri (Md. 5/2-f): Kurul, bu maddeye dayanabilmek için bir “Denge Testi” yapılması gerektiğini belirtmiştir:
- Menfaat Belirli ve Mevcut mu? Evet, hatalı dolum kronik bir sorundur.
- Zorunluluk Var mı? Evet, bu yarar başka bir yolla (kişisel veri işlemeden) aynı etkinlikte sağlanamaz.
- Denge Testi: Şirketin maddi ve marka değerini koruma menfaati ile tüketicinin hatalı yakıttan korunma menfaati, veri gizliliği hakkıyla yarışabilir düzeydedir.
- Tüketicinin Korunması: Hatalı dolum durumunda dağıtıcı şirketin müteselsil sorumluluğu (tazminat ödeme yükü) olması, şirketin bu veriyi işlemesini “meşru ve zorunlu” kılmaktadır.
3. Karar Sonucu: “Açık Rıza Almadan Kullanılabilir”
Kurul inceleme neticesinde;
- Hatalı yakıt ikmalini önlemenin hem şirketin hem de tüketicinin yararına olduğu,
- Bu işlemin “Meşru Menfaat” kapsamında değerlendirilebileceği,Nedenleriyle; aydınlatma yükümlülüğünü yerine getirmek ve verileri başka amaçla kullanmamak kaydıyla, şirketin açık rıza almadan bu sistemi hayata geçirmesinin hukuka uygun olduğuna karar vermiştir.
4. Özgür Eralp Perspektifi: “Meşru Menfaat, Açık Rızanın Alternatifidir”
Bilişim hukuku dünyasında “Açık Rıza” her zaman en güvenli liman gibi görünse de, bazı operasyonel süreçlerde rıza toplamak imkansız veya verimsiz olabilir. Kurul bu kararla, “Eğer bir iş hem sana hem müşterine yarıyorsa ve müşterinin temel haklarını zedelemiyorsa rıza peşinde koşma, dürüstçe aydınlatmanı yap ve veriyi işle” demiştir. Bu, “Denge Testi”nin Türkiye’deki en somut örneklerinden biridir.
Bir yatırımcı avukat vizyonuyla uyarım şudur: Meşru menfaate dayanmak bir “açık çek” değildir. Şirketler bu karara güvenip plaka verilerini reklam ajanslarına satamaz veya profil oluşturamaz. Sadece “yanlış yakıtı önleme” amacı ile sınırlı kalmalıdırlar. Ayrıca istasyonlarda görünebilir tabelalarla (aydınlatma) müşteriye “Plakanız yanlış dolumu önlemek için sistemimizle eşleştirilmektedir” bilgisi mutlaka verilmelidir.
Sıkça Sorulan Sorular
1. Pompa görevlisi plakamı sisteme girdiğinde KVKK ihlali mi yapar?
Hayır. Kurul kararına göre bu işlem, sizin aracınızı korumak ve şirketin hatalı işlem yapmasını önlemek adına “meşru menfaat” kapsamındadır. Açık rızanız gerekmez ancak aydınlatılmanız gerekir.
2. “Meşru Menfaat” her durumda kullanılabilir mi?
Hayır. Kurul’un belirlediği “Denge Testi”nden geçmesi gerekir. Eğer veri işleme sadece şirketin kârını artırıyor ama bireye hiçbir fayda sağlamıyor veya mahremiyetini ağır zedeliyorsa bu maddeye dayanılamaz.
3. Bu sistemde toplanan plaka verilerimle bana kampanya mesajı atabilirler mi?
Hayır. Araç Tanıma Projesi için toplanan veri sadece bu amaçla (güvenli dolum) sınırlıdır. Kampanya mesajı atmak için ayrıca “Pazarlama Açık Rızası” almaları gerekir.
4. Aydınlatma yükümlülüğü nasıl yerine getirilmeli?
İstasyonlardaki pompa yanlarında, market girişlerinde veya ödeme noktalarında kolayca okunabilecek tabelalar veya karekodlar (QR) vasıtasıyla “Kişisel Verilerin Korunması Aydınlatma Metni” sunulmalıdır.
5. Hatalı yakıt dolumunda şirketin sorumluluğu nedir?
Yargıtay ve Tüketici Kanunu uyarınca, yanlış yakıt nedeniyle araçta oluşan tüm hasardan istasyon işletmecisi ve dağıtıcı ana şirket birlikte (müteselsilen) sorumludur. Bu hukuki risk, şirketin meşru menfaatini doğuran ana unsurdur.
Kaynaklar
- KVKK Kurumu – 2019/78 Sayılı Karar Özeti
- 6698 Sayılı KVKK (Madde 4 ve 5/2-f)
- 5015 Sayılı Petrol Piyasası Kanunu
Etiketler
KVKK, Meşru Menfaat, Araç Tanıma Sistemi, Akaryakıt Sektörü, Karar Analizi, 2019/78 Sayılı Karar, Denge Testi, Bilişim Hukuku, Özgür Eralp, Veri İşleme Şartları, Hukuki Yükümlülük, EPDK, Plaka Verisi
Avukat-Hukuk Danışmanı,
Dijital İçerik oluşturucu,
Kitle fonlama girişimci ve yatırımcısı,
ODTÜ Felsefe Öğrencisi:)
AÖF Yönetim Bilişim Sistemleri Öğrencisi:),