Araç takip sistemleri, işletmelerin operasyonel verimliliğini artırmak, güvenliği sağlamak ve maliyetleri düşürmek amacıyla sıkça başvurduğu teknolojik çözümlerden biridir. Ancak bu sistemler, bireylerin konum bilgisi gibi kişisel verilerini işlemeleri sebebiyle hem Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) hem de Türkiye'de yürürlükte olan 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında önemli yükümlülükler doğurur. Bu makalede, araç takip sistemlerinin hukuki boyutu, kişisel veri güvenliği açısından taşıdığı riskler ve uyulması gereken mevzuat hükümleri kapsamlı şekilde ele alınmaktadır.
Dijitalleşmenin etkisiyle birlikte araç filolarının takibi ve yönetimi daha kolay ve verimli hale gelmiştir. Araç takip sistemleri, GPS teknolojisi aracılığıyla anlık konum verisi toplayarak, araçların nerede olduğunu, ne kadar süre kullanıldığını ve hangi güzergâhların tercih edildiğini tespit edebilmektedir. Ancak bu verilerin bir bireyle ilişkilendirilebilir nitelikte olması, söz konusu sistemleri kişisel verilerin korunması hukukunun doğrudan konusuna dahil etmektedir.
Kişisel veri; kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgi olarak tanımlanır. Araç takip sistemlerinin topladığı konum, tarih-saat, sürüş süresi, araç içi davranışlar gibi bilgiler, doğrudan veya dolaylı olarak bir kişiyi tanımlamaya elverişli olduğu için kişisel veri niteliğindedir.
Özellikle işverenin çalışanına zimmetlediği araçlar üzerinden yapılan takip faaliyetleri, çalışanların özel hayatına müdahale teşkil edebilecek düzeyde olduğunda yasal sorunlar doğurabilir. Bu nedenle, bu tür sistemlerin kullanımı şeffaflık, hukuka uygunluk ve orantılılık ilkeleri çerçevesinde ele alınmalıdır.
GDPR Madde 6, kişisel verilerin işlenebilmesi için geçerli yasal zeminler belirlemiştir. Araç takip sistemleri için genellikle "meşru menfaat" gerekçesi kullanılsa da, bu menfaatin açık, meşru ve bireyin temel haklarına üstün gelmeyecek şekilde tanımlanması gereklidir. Alternatif olarak çalışanlardan alınacak "açık rıza" da geçerli olabilir; ancak işveren-çalışan ilişkisi nedeniyle bu rızanın özgür iradeyle verilmiş olup olmadığı tartışmalıdır.
GDPR çerçevesinde veri işleme şu ilkelere uygun olmalıdır:
Hukuka uygunluk, şeffaflık ve dürüstlük,
Amaçla sınırlılık,
Veri minimizasyonu (gerektiğinden fazla veri toplamama),
Doğruluk ve güncellik,
Saklama süresiyle sınırlılık,
Gizlilik ve güvenlik.
Bu bağlamda araç takip sistemlerinin sadece işin gereği kadar veri toplaması ve bu verileri gereksiz yere saklamaması zorunludur.
Bazı sistemler, sürücüye özel kullanım sırasında GPS verisinin devre dışı bırakılmasına imkân tanıyan "Personal Mode" gibi özellikler sunar. Bu tür uygulamalar, iş dışı zamanlarda çalışanın mahremiyetini korumak açısından önemlidir ve GDPR’a uyum açısından da pozitif katkı sağlar.
Türkiye'de yürürlükte olan 6698 sayılı Kişisel Verilerin Korunması Kanunu, GDPR ile büyük oranda paralel düzenlemeler içermektedir. Araç takip sistemleri bağlamında KVKK'nın öngördüğü yükümlülükler şunlardır:
Aydınlatma yükümlülüğü: Veri sorumluları, verisi işlenen kişilere hangi verilerin ne amaçla işlendiğini açıkça bildirmelidir.
Açık rıza alma yükümlülüğü: Kanunun öngördüğü haller dışında, kişisel veriler ancak ilgili kişinin açık rızasıyla işlenebilir.
Veri minimizasyonu: İşlenmesi gerekmeyen kişisel veriler toplanmamalı ve saklanmamalıdır.
Veri güvenliği yükümlülüğü: Gerekli teknik ve idari tedbirler alınmalı, erişim kontrolleri ve veri şifreleme sağlanmalıdır.
Veri saklama politikası: Kişisel veriler sadece işlenme amacına hizmet ettiği süre boyunca saklanmalı, ardından silinmelidir.
KVKK’ya aykırı davranılması durumunda, idari para cezaları ve diğer yaptırımlar söz konusu olabilir. Nitekim Kişisel Verileri Koruma Kurulu, bazı araç kiralama firmalarına bu alandaki ihmaller nedeniyle idari para cezası uygulamıştır.
Araç takip sistemlerinde veri güvenliğini sağlamak ve mevzuata uygunluğu temin etmek için aşağıdaki adımlar önerilmektedir:
Açık ve meşru amaç belirlenmeli, takip işlemi sadece bu amaçlarla sınırlı tutulmalıdır.
Gereksiz verilerin toplanmasından kaçınılmalı, araç dışında çalışanın kişisel hayatını izlemeye yönelik işlemlerden uzak durulmalıdır.
Çalışanlara yönelik şeffaf aydınlatma yapılmalı, sistemin ne amaçla kullanıldığı detaylı şekilde anlatılmalıdır.
Rıza gerektiren durumlarda açık rıza alınmalı, bu rızanın özgür iradeye dayandığı ispatlanabilir olmalıdır.
Veri güvenliği teknik olarak sağlanmalı: Şifreleme, log kayıtları, erişim kontrolleri gibi önlemler uygulanmalıdır.
Düzenli denetim ve güncelleme yapılmalı, sistemler periyodik olarak gözden geçirilmelidir.
Araç takip sistemleri, işletmelere önemli operasyonel faydalar sağlasa da, kişisel verilerin korunması noktasında dikkatli ve bilinçli bir yaklaşım gerektirir. Gerek Avrupa Birliği düzeyinde yürürlüğe giren GDPR, gerekse Türkiye’deki KVKK; bireyin temel hak ve özgürlüklerini korumak adına araç takip uygulamalarında şeffaflık, sınırlılık ve güvenlik ilkelerini zorunlu kılmıştır. Bu bağlamda, teknik altyapının yanı sıra hukuki uyum süreci de eş zamanlı olarak yönetilmeli; çalışanların mahremiyeti ile kurumsal ihtiyaçlar dengeli bir biçimde gözetilmelidir.
Osman Yılmaz Mahallesi, İstanbul Caddesi, 649/1. Sokak, No:2, 41000 Gebze/Kocaeli