Kişisel Verileri Koruma Kurumuna intikal eden ihbarlar kapsamında kanunun 15’inci  maddesi çerçevesinde Kişisel Verileri Koruma Kurulu tarafından yürütülen incelemeler sonucunda araç kiralama sektöründe ‘‘Kara Liste” yazılımlarına/programlarına/  uygulamalarına başvurulduğu anlaşılmıştır.
Bahse konu Kara Liste uygulamaları ile araç kiralama yazılımcısı ve satıcısı kişilerin araç kiralama firmalarına (veya bu işi yapan gerçek kişilere) Kara Liste özelliği de içeren  araç kiralama yazılımı sundukları, Araç kiralama firmalarının bu yazılımlara kendi  müşterileri olan araç kiralayan gerçek kişilerin kişisel verilerinin işlendiği ve bu veriler kapsamında araçta meydana gelen olumsuzluklar, araç kiralama firmasının bu konu hakkındaki yorumları, firma ile yaşanan olumlu/olumsuz ilişkiler, araca verilen zarar, ödeme sürecinde yaşanan sorunlar gibi kişisel veri bilgilerinin yer aldığı, Bu bilgilerin araç kiralama firmaları tarafından sonraki kiralamalar için karar verirken kullanılmak üzere işlendiği, ayrıca mevzu bahis yazılımların bir araç kiralama firmasının kendi girdiği verileri diğer araç kiralama firmalarına da açmasına da olanak veren sistemler olarak tasarlandığı ve sonuç olarak söz konusu yazılımı kullanan diğer araç kiralama firmalarına kara listeye ilişkin veri paylaşımı sağlayan bir sistem oluşturulduğu ve böylece araç kiralayan ilgili kişilerin kişisel verilerinin bu vesile ile karşılıklı olarak paylaşılmakta olduğu anlaşılmıştır.

Kişisel Verilerin Korunması Kanunu’nun 8. Maddesinde;
‘’(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.
(2) Kişisel veriler;
a) 5 inci maddenin ikinci fıkrasında,
b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında,
Belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.
(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.’’ Öte yandan kanunun 11. Maddesinde ilgili kişinin hakları düzenlenmekte olup, maddenin 1(g)
bendinde işlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını içermektedir.
1774 Sayılı Kimlik Bildirme Kanununun ilgili maddeleri gereğince araç kiralama faaliyetinin kolluk kuvvetlerine bildirilme zorunluluğunun bulunması, Kişisel Verilerin  Korunması Kanununun 5. Maddesinin 2 numaralı fıkrasının A bendinde yer alan ‘’ Kanunlarda açıkça öngörülmesi’’ işleme şartı ile Ç bendinde yer alan veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması işleme şartları kapsamında değerlendirilebilecektir.
Ayrıca araç kiralama firmasının işlediği kişisel verileri yazılım vasıtasıyla bilinmeyen  sayıda araç kiralama firması ile paylaşmasının Kanunun 4’üncü maddesinde düzenlenen genel ilkelerden “Hukuka ve dürüstlük kurallarına uygun olma” , “belirli, açık ve meşru amaçlar işlenme” , “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkelerine aykırılık teşkil edeceği değerlendirilmektedir.
Araç kiralama şirketleri ve yazılım şirketlerinin ortak veri sorumluluğun ortaya çıkacağı değerlendirilmektedir. Ortak veri sorumluları arasında kusurluluk belirlenirken  işlenen verinin ilk ve son kullanıcısının kim olduğu, veri girişini kimin yaptığı, hangi amaçla söz konusu verinin girildiği, verinin değiştirilmesine veya silinmesine yahut aktarılmasına kimin karar verdiği, veriyi toplayan dışında kalan veri sorumlularının bu veri ile hangi faaliyetleri gerçekleştirdiği vb. etkenlere dikkat edilecektir.
Tüm bu değerlendirmeler ışığında;
- Kanunun 4’üncü maddesinde düzenlenen genel ilkelere, Kanunun 5’inci maddesinde düzenlenen işleme şartlarına ve Kanunun 8’inci maddesinde düzenlenen aktarıma ilişkin hükümlere aykırı olarak araç kiralama sektöründe kara liste uygulamaları
kapsamında kişisel verilerin işlenmesi halinde, söz konusu veriler üzerinde hakimiyeti
bulunan araç kiralama şirketlerinin yazılım şirketleri ile birlikte ORTAK VERİ SORUMLUSU OLARAK DEĞERLENDİRİLECEKLERİNE,
- Hukuka aykırı bu gibi uygulamalara son verilerek, araç kiralama sektöründe kişisel veri işleme süreçlerinin Kanuna uygun olmasını teminen Kanun’un 12. Maddesinde düzenlenen gerekli teknik ve idari tedbirlerin veri sorumlularınca alınması gerektiğine, 
- Söz konusu önlemleri almaksızın ve Kanun hükümlerine aykırı şekilde araç kiralama sektöründe kara liste uygulamasına başvuran veri sorumluları hakkında Kanunun 18. Maddesi hükümleri çerçevesinde işlem tesis edileceği hususunda kamuoyunun bilgilendirilmesine 

Oybirliği ile Karar verilmiştir.

BOZANOĞLU HUKUK BÜROSU