Otopark Borcu Plakayla Herkese Açık Sorgulanabilir mi? KVKK 2023/924
Kısa ve net cevap: Otopark işletmecisinin park borcunu tahsil etmek, dava veya icra sürecinde hakkını kullanmak amacıyla araç plakasından araç sahibinin kimlik bilgilerine ulaşması ve araca ilişkin fotoğrafları dava dosyasına sunması somut olayda 6698 sayılı Kanun m.5/2-e kapsamında hukuka uygun bulundu. Ancak aynı işletmenin plaka girildiğinde borç bilgisinin internet üzerinden ek doğrulama olmaksızın görüntülenmesine imkân veren sistemi ile aydınlatma yükümlülüğünü yerine getirmemesi ayrı hukuki sorun oluşturdu. Kişisel Verileri Koruma Kurulunun 1 Haziran 2023 tarihli ve 2023/924 sayılı kararında, otopark işletmecisinin aydınlatma yükümlülüğünü ihlal etmesi nedeniyle KVKK m.18/1-a uyarınca 75.000 TL idari para cezası uygulandı. Kurul ayrıca plaka ile borç sorgulanan web sisteminde mümkünse çift faktörlü doğrulama kullanılmasını; bu güvenli yapı kurulamayacaksa Kanun m.15/7 kapsamında söz konusu veri işleme faaliyetine son verilmesini istedi.
KVKK 2023/924 Kararındaki Olay Nedir?
İlgili kişi hakkında otopark işletmecisi tarafından park ücretinin ödenmediği iddiasıyla icra takibi başlatıldı. İlgili kişi takibe itiraz edince otopark işletmecisi tüketici mahkemesinde itirazın iptali davası açtı. Dava dosyasına araç fotoğrafları ve araç sahibine ilişkin bilgiler sunuldu.
Şikâyetçi, araç ruhsat bilgilerine nasıl ulaşıldığının belirsiz olduğunu, aracının fotoğraflarının kim tarafından hangi gerekçeyle çekildiğini bilmediğini, kendisine kişisel veri işleme konusunda aydınlatma yapılmadığını ve internet sitesinde yalnız plaka girilerek borç bilgisine erişilebildiğini ileri sürdü.
Kurul uyuşmazlığı tek bir “hukuka aykırı veri işleme” başlığı altında toplamadı. Plaka üzerinden araç sahibine ulaşılması, aracın fotoğrafının çekilmesi ve dava dosyasına sunulması; alacağın tahsili ve hakkın korunması bakımından ayrı değerlendirildi. İnternet üzerinden borç sorgulama ile aydınlatma yükümlülüğü ise farklı sonuçlara bağlandı.
Bu ayrım kararın en önemli yönüdür. Bir veri sorumlusunun belirli kişisel veriyi belirli amaçla hukuka uygun işlemesi, aynı veriyi her kanalda ve her yöntemle serbestçe kullanabileceği anlamına gelmez. Amaç, erişim modeli ve ilgili kişiye verilen bilgi her işlem faaliyeti için ayrıca denetlenir.
Araç Plakası Kişisel Veri midir?
Plaka tek başına bir harf ve rakam dizisidir. Ancak belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebildiğinde 6698 sayılı Kanun m.3 anlamında kişisel veri niteliği kazanır. Yetkili kayıt sistemleri üzerinden plakanın araç sahibine bağlanabilmesi bu ilişkilendirmeyi mümkün kılar.
Plakanın sisteme kaydedilmesi, park giriş-çıkışına bağlanması, borç kaydıyla eşleştirilmesi, ödeme ekranında sorgulanması veya araç sahibiyle ilişkilendirilmesi kişisel veri işleme faaliyeti oluşturabilir.
Bu nedenle “plaka zaten kamusal alanda herkesçe görülebilir” savunması veri koruma hukukunu ortadan kaldırmaz. Bir verinin fiziki ortamda görünür olması ile sistematik şekilde kaydedilmesi, geçmiş hareketlerle eşleştirilmesi ve kişi hakkında sonuç doğuracak biçimde kullanılması aynı işlem değildir.
Otopark işletmecileri plaka verisini hangi amaçlarla kullandığını envanterde açıkça belirlemeli; giriş-çıkış takibi, ödeme, abonelik, güvenlik, borç takibi ve dava süreçlerini birbirinden ayırmalıdır.
Plakadan Araç Sahibinin Kimlik Bilgilerine Ulaşmak Hukuka Uygun mu?
Kurul, araç sahibine ilişkin bilgiye ulaşmak için mutlaka ruhsat belgesinin ele geçirilmesinin gerekmediğini belirtti. Araç plakası üzerinden yetkili makam veya sistemler vasıtasıyla araç sahibinin tespit edilmesinin mümkün olduğu ve şikâyetçinin ruhsat bilgilerinin hukuka aykırı ele geçirildiği iddiasını destekleyen somut belge sunmadığı ifade edildi.
Somut olayda işletmecinin alacağın tahsili amacıyla araç sahibini belirlemesi gerekiyordu. İcra takibi ve sonrasında açılan itirazın iptali davası, bir hakkın tesisi, kullanılması veya korunmasıyla doğrudan bağlantılıydı.
Bu nedenle Kurul, plakanın sorgulanarak ilgili kişinin kimlik bilgilerine ulaşılması şeklindeki veri işleme faaliyetini m.5/2-e kapsamında değerlendirdi ve bu başlıkta Kanun kapsamında yapılacak işlem bulunmadığına karar verdi.
Bu sonuç, herkesin dilediği plakayı sorgulayarak araç sahibini öğrenebileceği anlamına gelmez. İşleme ancak somut hukuki hak veya süreçle bağlantılı, gerekli ve ölçülü olduğunda aynı hukuki sebebe dayanabilir. Merak, pazarlama veya profil çıkarma amacı m.5/2-e kapsamında değildir.
Otoparkta Aracın Fotoğrafını Çekmek Hukuka Uygun mu?
Kararda aracın otopark alanındaki fotoğraflarının çekilmesi ve dava dosyasına sunulması da incelendi. Fotoğraf, aracın belirli tarihte ve yerde bulunduğunu kanıtlamak amacıyla kullanılıyordu. Plaka görünüyorsa gerçek kişi araç sahibiyle ilişkilendirilebilen veri ortaya çıkıyordu.
Kurul, park hizmetinden doğan alacağın ispatlanması ve yargısal süreçte hakkın korunması amacıyla bu görüntülerin işlenmesini de m.5/2-e kapsamında hukuka uygun buldu.
Ancak bu sonuç otoparkta sınırsız fotoğraf veya video çekilebileceği anlamına gelmez. Görüntünün kapsamı, çekim açısı, saklama süresi ve amacı ölçülü olmalıdır. Aracın konumunu göstermek için gerekli olmayan şekilde yolcunun yüzünün, araç içinin veya çevredeki kişilerin ayrıntılı görüntülenmesi ayrıca değerlendirilir.
Fotoğrafların yalnız uyuşmazlık süresi boyunca ve ilgili mevzuatın gerektirdiği ölçüde saklanması gerekir. Saklama amacı sona erdiğinde KVKK m.7 ve imha mevzuatı uygulanmalıdır.
KVKK m.5/2-e “Bir Hakkın Tesisi, Kullanılması veya Korunması” Ne Demektir?
6698 sayılı Kanun m.5/2-e, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması hâlinde açık rıza aranmaksızın kişisel veri işlenmesine izin verir. Dava açmak, icra takibi yapmak, sözleşmeden doğan alacağı ispatlamak veya savunma hakkını kullanmak bu kapsamda değerlendirilebilir.
Otopark işletmecisi bakımından park ücretine ilişkin alacak hakkının varlığını ve aracın otoparkı kullandığını kanıtlamak için belirli kişisel verilerin işlenmesi gerekliydi. Kurul bu bağlantıyı kabul etti.
Ancak veri sorumlusu “ileride dava olur” gerekçesiyle her türlü veriyi sınırsız süre saklayamaz. M.5/2-e için veri ile korunacak hak arasında gerçek ve gerekli bir bağ bulunmalıdır. M.4’teki amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri uygulanmaya devam eder.
Örneğin park borcunu ispatlamak için plaka, giriş-çıkış zamanı ve gerektiğinde araç görüntüsü yeterliyse, kişinin aile bilgileri veya ilgisiz finansal verilerinin toplanması m.5/2-e ile açıklanamaz.
Borç Bilgisinin İnternetten Plakayla Görülebilmesi Neden Sorun Oldu?
Şikâyete konu internet sisteminde kullanıcı araç plakasını girerek park borcunu sorgulayabiliyordu. Bu yapı, plaka bilgisine sahip ilgisiz üçüncü kişilerin de bir aracın borç bilgisine erişebilmesine yol açabilecek nitelikteydi.
Borç bilgisi kişiye ilişkin mali nitelikte bir kişisel veridir. Bir kişinin belirli otoparkı ne zaman kullandığı, ödeme yapıp yapmadığı ve borcu bulunup bulunmadığı bilgileri kolay erişilebilir hâle getirildiğinde mahremiyet riski doğar.
Kurul, bu sistemin güvenli hâle getirilmesini istedi. Plaka tek başına erişim anahtarı olarak yeterli görülmedi. Mümkünse çift faktörlü doğrulama uygulanması; teknik veya operasyonel olarak bu mümkün değilse Kanun m.15/7 kapsamında söz konusu kişisel veri işleme faaliyetine son verilmesi gerektiğine karar verildi.
Bu yaklaşım, ödeme kolaylığı ile veri güvenliği arasında denge kurulması gerektiğini gösterir. Kullanıcı deneyimini hızlandırmak amacıyla kişisel veri herkesçe sorgulanabilir hâle getirilemez.
Çift Faktörlü Doğrulama Neden İstendi?
Çift faktörlü doğrulama, yalnız plaka gibi kolay öğrenilebilen tek bir bilgiye dayanmak yerine ikinci bağımsız doğrulama unsurunun kullanılmasını sağlar. Örneğin kayıtlı telefon numarasına tek kullanımlık kod gönderilmesi veya araç sahibine özel işlem kodu kullanılması düşünülebilir.
Kurulun kararı belirli bir teknik yöntemi zorunlu kılmamakla birlikte erişimin yalnız plaka bilgisine bırakılmasını yetersiz gördü. Hangi ikinci faktörün kullanılacağı veri sorumlusunun risk analizi ve hizmet tasarımına göre belirlenebilir.
Doğrulama sistemi kurarken yeni gereksiz veri toplamaktan kaçınılmalıdır. Sırf borç sorgulamak için T.C. kimlik numarası gibi daha yüksek riskli veri istemek her zaman ölçülü olmayabilir. Güvenlik artarken veri minimizasyonu korunmalıdır.
Ayrıca doğrulama kodu yanlış kişiye gidiyorsa sistem yine risklidir. Telefon ve e-posta gibi iletişim bilgilerinin doğruluğu güncel tutulmalı, erişim denemeleri loglanmalı ve olağan dışı sorgu sayıları için alarm kurulmalıdır.
Otopark İşletmecisi Aydınlatmayı Nasıl Yapmalıdır?
KVKK m.10 gereğince kişisel verilerin elde edilmesi sırasında veri sorumlusunun kimliği, işleme amacı, kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile m.11’deki ilgili kişi hakları açıklanmalıdır.
Kurul, otopark işletmecisinin bu yükümlülüğü yerine getirmediğini tespit etti ve m.18/1-a uyarınca 75.000 TL idari para cezası uyguladı. Ayrıca Kanun ve Aydınlatma Tebliği’ne uygun bir aydınlatma metni hazırlanması ve hangi durumlarda kişisel verilerin işleneceğinin açıkça belirtilmesi talimatı verildi.
Aydınlatma yalnız web sitesinin ulaşılması zor bir köşesinde yer almamalıdır. Otopark girişinde plaka tanıma veya fotoğraf çekimi yapılıyorsa sürücünün makul biçimde görebileceği kısa katmanlı bilgilendirme bulunmalı; ayrıntılı metne QR kod veya web bağlantısı verilebilir.
Abonelik veya ödeme sırasında kullanılan web/mobil ekranlarda da işleme amacı ve hukuki sebep şeffaf olmalıdır. Aydınlatma, açık rıza istemek değildir; veri sorumlusu m.5/2-e gibi başka hukuki sebebe dayanıyorsa bunu doğru şekilde açıklamalıdır.
İcra ve Dava Dosyasında Kişisel Veri Kullanımı Nasıl Sınırlandırılır?
İcra veya mahkeme sürecinde kişisel veri işleme m.5/2-e’ye dayanabilir; ancak dosyaya yalnız uyuşmazlık için gerekli belgeler sunulmalıdır. Karşı tarafın ilgisiz kişisel verilerinin dilekçe ekine konulması ölçülülük ilkesini ihlal edebilir.
Otopark borcu uyuşmazlığında aracın belirli tarih ve yerde bulunduğunu gösteren görüntü, plaka ve park kayıtları gerekli olabilir. Buna karşılık kişinin başka günlerdeki hareketleri veya başka araçlara ilişkin kayıtları dosyaya eklemek gereksiz olabilir.
Mahkeme dosyasında kişisel verinin bulunması, bu verinin internet sitesinde yayımlanabileceği veya şirket içinde herkesçe erişilebileceği anlamına gelmez. Hukuki süreçteki kullanım ayrı amaçtır.
Avukat ve hukuk birimleri de kendilerine iletilen veri setlerini dosya bazlı, erişim kontrollü ve gerekli süreyle sınırlı tutmalıdır. Dava sona erdiğinde saklama yükümlülükleri ve mesleki mevzuat ayrıca değerlendirilir.
Otopark İşletmeleri İçin Uyum Modeli
Veri akışını ayırın: Plaka tanıma, ödeme, abonelik, borç takibi, güvenlik kamerası ve dava süreçlerini ayrı işleme faaliyetleri olarak tanımlayın.
Erişim güvenliği kurun: Borç ve geçmiş kullanım verisine yalnız plakayla erişim vermeyin. Uygun ek kimlik doğrulama katmanı kullanın.
Aydınlatmayı görünür yapın: Otopark girişinde, web sitesinde ve ödeme ekranında veri işleme faaliyetlerini açık ve tutarlı şekilde açıklayın.
Saklama sürelerini belirleyin: Park kaydı ve görüntüler sonsuza kadar tutulmamalı; hukuki ve operasyonel ihtiyaç sona erince imha edilmelidir.
Personel yetkilerini sınırlandırın: Her çalışan tüm araç geçmişini görmemeli. Borç takip birimi, güvenlik ve teknik personel farklı yetkilere sahip olmalıdır.
Loglama yapın: Hangi çalışanın hangi plakayı sorguladığı kayıt altında tutulmalı; toplu veya olağan dışı sorgular denetlenmelidir.
Sık Yapılan Hatalar
- Plaka kamusal alanda görünüyor diye KVKK dışında sanmak: Kişiyle ilişkilendirilen plaka kişisel veridir.
- Alacak hakkı varsa bütün verilerin serbestçe işlenebileceğini düşünmek: M.5/2-e yalnız gerekli ve ölçülü işleme için uygulanır.
- Borç sorgusunu yalnız plakayla açmak: İlgisiz üçüncü kişi erişimi riski doğurur.
- Fotoğraf çekimini amaçtan bağımsız yapmak: Görüntü yalnız ispat ve güvenlik için gerekli kapsamda tutulmalıdır.
- Aydınlatmayı rıza formuyla karıştırmak: M.10 bilgi verme yükümlülüğüdür; açık rıza ayrı hukuki kurumdur.
- Web ödeme kolaylığını veri güvenliğinin önüne geçirmek: Kullanıcı deneyimi m.12 yükümlülüğünü ortadan kaldırmaz.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurulu 01.06.2023 tarihli ve 2023/924 sayılı karar özeti
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.3, m.5, m.10, m.12, m.15 ve m.18
- Aydınlatma Yükümlülüğü Tebliği
Sık Sorulan Sorular
1. Otopark işletmesi plakadan araç sahibini bulabilir mi?
Somut bir alacak ve hukuki süreç için gerekli ise m.5/2-e kapsamında mümkün olabilir. 2023/924 kararında bu işlem hukuka uygun bulundu.
2. Araç fotoğrafı çekmek yasak mı?
Hayır. Alacağın ispatı veya güvenlik gibi hukuki amaçlarla gerekli ve ölçülü çekim yapılabilir.
3. Otopark borcu yalnız plaka girilerek gösterilebilir mi?
Kurul bu yapıyı güvenli bulmadı; mümkünse çift faktörlü doğrulama kurulmasını, mümkün değilse işleme faaliyetine son verilmesini istedi.
4. Kararda para cezası ne kadardı?
Aydınlatma yükümlülüğünün ihlali nedeniyle m.18/1-a uyarınca 75.000 TL idari para cezası uygulandı.
5. Plaka kişisel veri midir?
Gerçek kişiyle ilişkilendirildiğinde evet.
6. Araç sahibinin ruhsat bilgileri ele geçirilmiş sayıldı mı?
Hayır. Şikâyetçi bu iddiayı somut belgeyle destekleyemedi; araç sahibine plaka üzerinden yetkili sorguyla ulaşılabileceği kabul edildi.
7. Otopark girişinde aydınlatma yapılmalı mı?
Evet. Plaka, görüntü veya başka kişisel veri elde ediliyorsa m.10 ve Tebliğ’e uygun aydınlatma yapılmalıdır.
8. İcra takibi için açık rıza gerekir mi?
Bir hakkın tesisi, kullanılması veya korunması için veri işleme zorunluysa m.5/2-e açık rıza dışındaki hukuki sebeptir.
9. Borç bilgisi kişisel veri midir?
Gerçek kişiyle ilişkilendirildiğinde mali nitelikte kişisel veridir.
10. Çift faktörlü doğrulama için T.C. kimlik numarası istemek zorunlu mu?
Hayır. Kurul belirli bir ikinci faktör dayatmadı; veri minimizasyonunu gözeten uygun güvenli yöntem seçilmelidir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
