Kiralık Araçlarda GPS Takibi: Konum Verileri Bakımından Hukuki Yükümlülük İşverene mi, Araç Kiralama Şirketine mi Ait?

---

1774 sayılı Kimlik Bildirme Kanunu’nda yapılan değişiklikle birlikte kiralık araçlarda GPS cihazı bulundurma ve konum kayıtlarını üç yıl süreyle saklama yükümlülüğü gündeme geldi. Ancak düzenlemenin özellikle şirket filoları bakımından doğru yorumlanması gereken önemli bir yönü bulunuyor:

GPS takibi ve konum verilerinin üç yıl süreyle saklanmasına ilişkin kanuni yükümlülüğün muhatabı, aracı kendi çalışanlarına tahsis etmek üzere kiralayan şirket değil; aracı kiraya veren ve araç kiralama faaliyetini yürüten işletmedir.

Dolayısıyla bir şirketin filo veya araç kiralama şirketinden araç kiralayarak bu araçları çalışanlarına tahsis etmesi, söz konusu şirketi 1774 sayılı Kanun kapsamında GPS takibi yapmak veya çalışanların konum verilerini üç yıl boyunca saklamakla yükümlü hale getirmemektedir. 

Bu ayrım, çalışanların konum verilerinin işlenmesi bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) açısından son derece önemlidir. Zira araç kiralama şirketinin kanundan kaynaklanan yükümlülüğü ile kiracı işverenin personelinin konum verisine erişmesi, aynı veri üzerinden gerçekleşse dahi iki ayrı kişisel veri işleme faaliyetidir.

Kanuni yükümlülük kiraya verene ait

21 Kasım 2024 tarihli 7533 sayılı Kanun ile 1774 sayılı Kimlik Bildirme Kanunu’nun Ek 3. maddesinde yapılan değişiklik kapsamında araç kiralama faaliyeti yürüten işletmelere; kiralanan araçlarda GPS cihazı bulundurma, konum kayıtlarını üç yıl süreyle saklama ve belirli bilgileri Kiralık Araç Bildirim Sistemi (KABİS) üzerinden genel kolluğa bildirme yükümlülüğü getirilmiştir.

Buradaki yükümlülüğün süjesi araç kiralama faaliyetini yürüten kiraya veren işletmedir.

Buna karşılık ticari faaliyeti araç kiralama olmayan ve yalnızca çalışanlarının kullanımına tahsis etmek amacıyla araç kiralayan şirket, kira ilişkisinde kiracı konumundadır. Şirketin araçları personeline kullandırması, araç kiralama şirketine yüklenen yükümlülüğünün kiracı şirkete geçmesi sonucunu doğurmaz. 

Bu nedenle; “Kullandığımız kiralık araçlarda GPS bulunması kanunen zorunlu, dolayısıyla çalışanlarımızın konumunu takip etmek de şirketimizin hukuki yükümlülüğüdür.” şeklindeki bir yaklaşım isabetli değildir.

Kanun, kiracı işverene çalışanını GPS üzerinden takip etme yönünde bir yükümlülük yüklememektedir.

Aracın konumu ne zaman çalışanın kişisel verisine dönüşür?

Bir aracın coğrafi konumu tek başına değerlendirildiğinde bir nesneye ilişkin teknik bilgi niteliğinde görülebilir.

Ancak aracın belirli bir çalışana tahsis edilmesi veya aracı kullanan kişinin belirlenebilir olması halinde durum değişmektedir. Aracın bulunduğu yer, izlediği rota, hareket saatleri ve seyir bilgileri çalışanla ilişkilendirilebilir hale gelmektedir.

Bu durumda GPS kayıtları; çalışanın nerede bulunduğu, hangi güzergâhı kullandığı, çalışma saatleri içerisindeki hareketleri ve kimi durumlarda çalışma performansı hakkında bilgi ortaya koyabilmektedir. Dolayısıyla konum bilgisi kişisel veri niteliği kazanmaktadır. 

İşverenin söz konusu verilere erişmesi de KVKK kapsamında bağımsız bir veri işleme faaliyeti oluşturur.

Aynı GPS verisi, iki farklı hukuki ilişki

Kiralık araçlarda ortaya çıkan veri işleme faaliyetlerini iki ayrı katmanda değerlendirmek gerekir.

İlk katmanda kiraya veren araç kiralama şirketi bulunmaktadır. Araç kiralama şirketi, GPS verilerini 1774 sayılı Kanun’dan kaynaklanan yükümlülükleri doğrultusunda işlemekte ve saklamaktadır.

İkinci katmanda ise kiracı işveren ile çalışan arasındaki ilişki bulunmaktadır. İşverenin aynı araç üzerindeki GPS sistemine erişerek çalışanının konumunu, rotasını veya araç kullanımını kendi operasyonel amaçları doğrultusunda takip etmesi, kiraya verenin kanuni yükümlülüğünden bağımsızdır. 

Bu ayrım aynı zamanda tarafların KVKK kapsamındaki rollerini de belirlemektedir.

Kiraya veren şirket, kanundan kaynaklanan GPS saklama faaliyeti bakımından kendi veri işleme sürecinin veri sorumlusudur.

Kiracı işveren ise çalışanlarının konum verilerine örneğin filo yönetimi, araç güvenliği veya saha operasyonlarının yürütülmesi amacıyla erişiyorsa, bu faaliyetin amaç ve vasıtalarını kendisi belirlediğinden çalışanlarına karşı ayrı bir veri sorumlusu olarak hareket etmektedir.

İşveren “hukuki yükümlülük” hukuki sebebine dayanabilir mi?

Kanaatimizce yeni düzenlemenin KVKK bakımından en kritik sonucu burada ortaya çıkmaktadır.

KVKK’nın 5. maddesinde kişisel verilerin açık rıza olmaksızın işlenebileceği çeşitli hukuki sebepler düzenlenmektedir. Bunlardan biri kişisel veri işlemenin kanunlarda açıkça öngörülmesi, bir diğeri ise veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olmasıdır.

Ancak 1774 sayılı Kanun’daki GPS yükümlülüğü kiracı işverene yöneltilmiş değildir.

Bu nedenle işverenin çalışanına tahsis ettiği kiralık aracın konum verisine erişmesini yalnızca bu düzenlemeye dayanarak KVKK m. 5/2-a kapsamında “kanunlarda açıkça öngörülme” veya m. 5/2-ç kapsamında “hukuki yükümlülüğün yerine getirilmesi” hukuki sebebine dayandırması mümkün görünmemektedir. 

Başka bir ifadeyle, araç kiralama şirketine yüklenen bir hukuki yükümlülük, kiracı işveren açısından otomatik olarak bir kişisel veri işleme yetkisine dönüşmez.

İşverenin GPS verilerine erişmesi ayrıca ve kendi koşulları içerisinde değerlendirilmelidir.

Meşru menfaat kapsamında konum takibi mümkün mü?

İşverenin şirket araçlarının güvenliğinin sağlanması, saha operasyonlarının yönetilmesi, rota planlamasının yapılması, yakıt ve filo maliyetlerinin kontrol edilmesi gibi meşru işletmesel menfaatleri bulunabilir.

Bu nedenle gerekli şartların sağlanması halinde işverenin konum verilerini işlemesi KVKK m. 5/2-f kapsamında meşru menfaat hukuki sebebine dayanabilir.

Ancak meşru menfaat, çalışanın sınırsız biçimde izlenebileceği anlamına gelmez.

KVKK m. 5/2-f kapsamında veri işlenebilmesi için veri sorumlusunun meşru menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında bir denge kurulması gerekir.

Bu nedenle konum takibinin; iş amacıyla bağlantılı olması, gerekli olması, mümkün olan en dar kapsamda gerçekleştirilmesi ve çalışanın özel hayatına ölçüsüz şekilde müdahale etmemesi gerekir.

Özellikle çalışanlara özel kullanım imkânı da tanınan araçların mesai dışında, hafta sonlarında veya tatil günlerinde 7/24 takip edilmesi önemli hukuki riskler doğurabilir. 

Üç yıllık saklama süresi işveren için de geçerli mi?

Burada dikkat edilmesi gereken bir başka konu da saklama süresidir.

1774 sayılı Kanun kapsamında getirilen üç yıllık GPS kayıtlarını saklama yükümlülüğü kiraya veren araç kiralama işletmesine aittir.

Kiracı şirketin çalışanlarına ilişkin konum verilerini de üç yıl boyunca saklaması gerektiği yönünde bir düzenleme bulunmamaktadır.

Dolayısıyla araç kiralama şirketinin; “Bu kayıtları kanunen üç yıl saklamak zorundayım.” diyebilmesi, kiracı işverenin; “Ben de çalışanımın konum verilerini üç yıl saklayabilirim.” sonucuna ulaşmasını sağlamaz.

İşverenin saklama süresi, kendi kişisel veri işleme amacı bakımından ayrıca belirlenmeli ve amaç için gerekli olan süre ile sınırlandırılmalıdır.

Açık rıza almak yeterli olur mu?

Çalışanların konum verilerinin işlenmesinde açık rıza da her durumda risksiz bir çözüm olarak görülmemelidir.

İş ilişkisinin doğası gereği işveren ile çalışan arasında ekonomik ve hiyerarşik bir güç farklılığı bulunmaktadır. Bu nedenle çalışanın verdiği açık rızanın gerçekten özgür iradeyle verilip verilmediğinin değerlendirilmesi gerekir.

Özellikle çalışanın rıza vermemesi halinde olumsuz bir sonuçla karşılaşabileceği izleniminin oluşması, açık rızanın geçerliliğini tartışmalı hale getirebilir.

Bu nedenle konum takibinin hukuki dayanağını yalnızca çalışan açık rızası üzerine kurmak yerine, veri işlemenin gerçekten gerekli olup olmadığının ve meşru menfaat koşullarının bulunup bulunmadığının değerlendirilmesi daha sağlıklı olacaktır. 

Şirketler uygulamada nelere dikkat etmeli?

Yeni düzenleme sonrasında özellikle kiralık araçlarını çalışanlarına tahsis eden şirketlerin mevcut araç takip uygulamalarını KVKK açısından yeniden değerlendirmeleri önem taşımaktadır.

Öncelikle kiraya veren araç kiralama şirketinin kanuni GPS faaliyeti ile kiracı işverenin çalışanlarına yönelik konum takibi birbirinden açık biçimde ayrıştırılmalıdır.

Çalışanlara yapılacak aydınlatmada da bu fark net şekilde ortaya konulmalıdır. Araç üzerinde GPS bulunduğu, verilerin hangi tarafça hangi amaçla işlendiği, işverenin bu verilere erişip erişmediği, erişiyorsa hangi amaçlarla ve ne kadar süreyle eriştiği çalışanlara açıklanmalıdır.

İşveren tarafından konum takibi gerçekleştiriliyorsa erişim yetkilerinin sınırlandırılması, saklama sürelerinin belirlenmesi ve özellikle mesai dışı özel kullanımlarda konum verisi akışını engelleyen veya maskeleyen “gizlilik modu” benzeri teknik tedbirlerin değerlendirilmesi de önemlidir. 

Ayrıca KVKK m. 5/2-f kapsamında meşru menfaat hukuki sebebine dayanılıyorsa, veri sorumlusunun menfaati ile çalışanın temel hak ve özgürlükleri arasındaki denge değerlendirmesinin somutlaştırılması ve mümkünse yazılı hale getirilmesi gerekir.

Fatih Beyguoğulları

Kurucu Avukat | Beyguoğulları Avukatlık Bürosu