Kiralık Araç GPS ile Takip Ediliyor mu? Araç Kiralamada KVKK, KABİS Bildirimi ve Kara Liste

Kısa cevap: evet, takip ediliyor ve bu şirketin tercihi değil, kanun gereği. 1774 sayılı Kimlik Bildirme Kanunu'nun ek 3. maddesi, 7533 sayılı Kanunla yapılan ve 30 Kasım 2024 tarihli 32738 sayılı Resmî Gazete'de yayımlanan değişiklikten sonra araç kiralama işletmelerine kiraladıkları araçlarda GPS cihazı bulundurma ve araçlara ait konum bilgisine ilişkin kayıtları üç yıl saklama zorunluluğu getirdi. Aynı madde, kiralayan şahıs ile kiralanan araç bilgilerinin araç teslimi esnasında genel kolluk kuvvetlerine sistem üzerinden anlık olarak bildirilmesini de istiyor. Her ikisi de 6698 sayılı Kanun'un 5. maddesindeki hukuki yükümlülüğün yerine getirilmesi şartına oturuyor, yani açık rızanıza bağlı değil. Sınır şurada başlıyor: şirketin bu konum verisini kolluğa sunmak dışında kendi ticari amaçlarıyla kullanması, örneğin hız raporundan ek ücret çıkarması ya da müşteri segmentasyonunda kullanması, ayrı bir işleme faaliyetidir ve ayrı bir hukuki sebep ister.

Ek 3. madde sanılandan geniş bir paket. Araç kiralama işletmesinin sorumlu işletmecileri ve yöneticileri; kiralanan araç bilgilerini, kiralayanların kimlik bilgilerini ve kira sözleşmesiyle buna ilişkin tüm bilgi, belge ve kayıtları usulüne uygun şekilde bilgisayarda tutmak, genel kolluk kuvvetlerinin her an incelemelerine hazır bulundurmak, bilgisayar terminallerini kolluğun terminallerine bağlamak ve teslim anında sistem üzerinden anlık bildirim yapmak zorunda. Bildirim, Emniyet Genel Müdürlüğü'nün arackiralama.egm.gov.tr adresinden işleyen Kiralık Araç Bildirim Sistemi üzerinden yapılıyor. Kiralayan bir kamu kurum veya kuruluşuysa madde istisna tanıyor; o halde sadece kurumla yapılan sözleşme ile araç bilgileri sisteme kaydediliyor. 7533 sayılı Kanun ters yönde bir akış da ekledi: kolluk kuvvetlerince tutulan verilerden şahısların devam eden aktif araç kiralamasının olup olmadığı bilgisi kiralama işletmeleriyle paylaşılıyor. Yükümlülüklere uymayanlar için maddede iki kademeli idari para cezası var; tekrarı halinde ceza iki katına çıkıyor, dördüncü kez işlenmesinde işletme ruhsatı iptal ediliyor. Tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. Bir de ceza hukuku ayağı var: kiralama sırasında gerçeğe aykırı kimlik kullananlar ile bu kapsamda elde edilen bilgi ve kayıtları hukuka aykırı olarak kullanan, bir başkasına veren, yayan veya ele geçiren kişiler Türk Ceza Kanunu hükümlerine göre cezalandırılıyor.

Konum verisinde iki ayrı soru birbirine karışıyor. Cihazın araçta bulunması ve kayıtların üç yıl saklanması tartışmaya kapalı, kanuni. Bu kaydı kimin, hangi ekranda, hangi amaçla gördüğü ise tamamen veri sorumlusunun tasarımına kalmış. Aracın konumu, onu kullanan gerçek kişiyle eşleştirilebildiği anda kişisel veri haline geliyor; tüzel kişiye kiralanmış araçlarda bile kaza tutanağı, servis kaydı veya sürücü atama formu üzerinden eşleştirme mümkün olabiliyor. Sahada üç kayma sık görülüyor: canlı takip ekranının satış ve operasyon ekibine sınırsız açılması, hız ve şehir dışı çıkış raporlarının sözleşmede hiç yazmayan cezai şartlara gerekçe yapılması, üç yıllık arşivin hiç imha edilmeden birikmesi. GPS hizmetini dışarıdan alıyorsanız o firma kural olarak veri işleyendir ve 12. madde size onunla yazılı sözleşme yapma, yetkilerini sınırlama ve denetleme yükümlülüğü yüklüyor. Sağlayıcı veriyi kendi amaçlarıyla, mesela kendi filo analitiği ürününü geliştirmek için kullanıyorsa tablo değişiyor ve ortak sorumluluk tartışması açılıyor. Aydınlatma metninde araç takip sistemi ifadesini tek satırla geçmek yetmiyor; verinin ne kadar tutulduğu, kime aktarıldığı ve hangi hallerde görüntülendiği yazılmalı.

Kurul, kiralama sırasında dayatılan açık rızaya iki kez net cevap verdi. 5 Mayıs 2020 tarihli ve 2020/335 sayılı kararda, mevzuatın gerektirdiğinin ötesindeki işlemeler için hazırlanmış açık rıza metnini imzalamayan kişiye hizmet verilmedi. Kurul, şirketin 1774 sayılı Kanun'dan doğan kayıt ve bildirim yükümlülüğünün zaten bir işleme şartı oluşturduğunu, buna rağmen her türlü işleme için battaniye niteliğinde genel bir rıza alınmasının ve rıza verilmeyince hizmetin reddedilmesinin hukuka aykırı olduğunu belirterek 50.000 TL idari para cezası uyguladı. 20 Temmuz 2023 tarihli ve 2023/1234 sayılı karar aynı çizginin devamı. Bir rezervasyon platformu üzerinden aracı kiralayıp ödemesini yapan kişiden, aracı teslim alacağı sırada Findeks raporuna erişim izni istendi; vermeyince rezervasyon iptal edildi. Kurul, Findeks verisinin ancak açık rızaya dayanabileceğini, açık rızanın hizmetin şartına bağlanamayacağını, platformun aracı konumda olduğunu ve veri sorumlusunun kiralama şirketi olduğunu tespit ederek 100.000 TL ceza verdi. Kiralama öncesinde kredi skoru ya da finansal risk raporu bakan işletmelerin bu iki karara ayrı ayrı bakması gerekiyor.

Sektörün en köklü alışkanlığı olan kara liste ise 23 Aralık 2021 tarihli ve 2021/1303 sayılı ilke kararıyla kapandı; karar 20 Ocak 2022 tarihli Resmî Gazete'de yayımlandı. İncelemeye konu yapıda araç kiralama yazılımını satan firmalar, programın içine ortak bir liste kurmuştu. Bir müşterinin herhangi bir firmadaki olumsuz kaydı, yani hasar, ödeme sorunu ya da personelin yazdığı değerlendirme notu, aynı yazılımı kullanan diğer firmalarca görülebiliyordu. Kurul bunu hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç ile ölçülülük ilkelerine aykırı buldu, aktarımın 8. maddedeki şartlara dayanmadığını saptadı ve yazılım firmalarını kiralama firmalarıyla birlikte ortak veri sorumlusu saydı. Kararın pratik karşılığı şu: bir işletme kendi müşterisiyle yaşadığı olumsuz deneyimi ileriki kiralamalarda kullanmak üzere kendi kayıtlarında tutabilir, ancak bu kaydın sektördeki diğer firmalara açılmasını engelleyecek tedbiri almak zorundadır. Hukuka aykırı işlenmiş liste kayıtlarının imhası da talimatlandırıldı. Yasal alternatif zaten mevzuata girmiş durumda: kişinin devam eden aktif kiralaması olup olmadığını kolluk sisteminden görebiliyorsunuz, meslektaşınızın ekranından not okumanıza gerek yok.

Ödeme tarafında 27 Şubat 2020 tarihli ve 2020/166 sayılı karar öğretici. Bir günlük kiralama yapan müşteri, sözleşmede belirli bir kartın kullanılmasına izin verdi. Kiralama sırasında oluşan HGS geçiş bedelleri ise müşterinin daha önceki bir sözleşmede verdiği, bu işlem için hiç yetkilendirmediği başka bir karttan tahsil edilmeye çalışıldı. Kurul, sözleşmedeki daha önce bildirilen ödeme araçlarının kullanılabileceği yönündeki hükmü dürüstlük kuralına ve tüketicinin makul beklentisine aykırı, haksız bir şart olarak değerlendirdi. Kart verisinin işlenmesinin 5. maddedeki şartlara dayanmadığını, 4. maddedeki ilkelerin ve 12. maddedeki güvenlik yükümlülüğünün ihlal edildiğini tespit ederek 75.000 TL idari para cezası uyguladı. Depozito blokesi, trafik cezası mahsubu, eksik yakıt ve hasar bedeli için ayrı ayrı yetkilendirme almak, işlem bitince eski kart kayıtlarını imha etmek ve kart verisini kendi sunucunuzda tutmak yerine ödeme kuruluşunun saklama yapısını kullanmak bu riski büyük ölçüde bitiriyor.

Teknik tarafta 24 Ağustos 2023 tarihli ve 2023/1465 sayılı karar kısa ama can yakıcı. Bir araç kiralama şirketinin internet sitesinde, müşteri bilgilerini güncelleyen algoritmanın hatalı çalışması yüzünden kullanıcı girişi yapan kişi başka bir müşterinin hesabına düştü; adres, telefon numarası, TC kimlik numarası ve ehliyet bilgileri görüntülenebilir hale geldi. Etkilenen kişi sayısı dörttü. Kurul yine de veri güvenliğine ilişkin yükümlülüklerin yerine getirilmediğini saptayarak 200.000 TL idari para cezası uyguladı. İhlalin küçük olması cezayı engellemiyor. Üyelik ve rezervasyon ekranı olan her kiralama şirketinin oturum yönetimini, kullanıcı eşleştirme mantığını ve yetkilendirme kontrollerini düzenli teste sokması, özellikle hesap birleştirme ve e-posta güncelleme akışlarını ayrıca denemesi gerekiyor. İhlal fark edildiğinde 12. maddenin beşinci fıkrasındaki 72 saatlik bildirim süresi işlemeye başlıyor.

15 Ağustos 2026 tarihli ve 33341 sayılı Resmî Gazete'de yayımlanan Motorlu Kara Taşıtlarının Kiralanması Hakkında Yönetmelik sektöre yeni bir katman ekledi. Yönetmelik 1 Ocak 2027'de yürürlüğe giriyor, mevcut işletmelere yetki belgesi almaları için 1 Temmuz 2027'ye kadar süre tanınıyor ve tüketiciler tarafından yapılan kısa süreli kiralamaları kapsıyor; uzun süreli kiralamalar, kiracısı tüketici olmayan kısa süreli kiralamalar ve kamp taşıtı kiralamaları kapsam dışında. Kişisel veri açısından iki hükmü not etmek gerekiyor. Kira sözleşmesinde kiracının TC kimlik numarası ve sürücü belgesi bilgileri, varsa ek sürücülerin kimlik veya pasaport numaraları ile sürücü belgesi bilgileri yer alacak. İşletmeler kira sözleşmeleri ile kiralamaya ilişkin diğer belge ve formları beş yıl süreyle fiziki olarak veya elektronik ortamda saklayacak ve incelemeye hazır bulunduracak. Böylece aynı dosyada üç ayrı saat birden çalışmaya başlıyor: sözleşme ve ekleri için beş yıl, konum kayıtları için üç yıl, ticari defter ve faturalar için Türk Ticaret Kanunu'nun aradığı on yıl. Tek bir cümlelik imha politikasıyla bunları yönetmek mümkün değil, kategori bazlı bir saklama tablosu kurmak gerekiyor.

Trafik cezalarında da düzen değişti ve bu değişiklik veri akışını doğrudan ilgilendiriyor. 27 Şubat 2026 tarihli ve 33181 sayılı Resmî Gazete'de yayımlanan 7574 sayılı Kanun, 2918 sayılı Karayolları Trafik Kanunu'nun 116. maddesini değiştirdi. Yeni düzenlemeye göre ihlal tarihinde aracın kiralanmış olduğu Kimlik Bildirme Kanunu kapsamında tutulan veriler üzerinden tespit edilirse ve kiracının geçerli bir adresi varsa, trafik idari para cezası karar tutanağı kiracı adına düzenlenip kiracıya tebliğ ediliyor. Eskiden ceza plakaya, yani kiralama şirketine geliyordu; şirket de sürücü bilgisini bildirerek cezayı devretmeye çalışıyordu. Yeni yapıda bu ikinci adım büyük ölçüde ortadan kalkıyor. İşletme açısından anlamı iki başlıkta toplanıyor: kiracı verisinin ceza sürecinde kullanıldığı aydınlatma metninde açıkça yer almalı ve şirket kendi inisiyatifiyle üçüncü kişilere sürücü bilgisi vermeye devam etmemeli.

Şubede en çok tartışılan konu ise kimlik ve ehliyet fotokopisi. Mevzuat kimlik bilgilerinin kaydedilmesini ve sisteme bildirilmesini istiyor, belgenin tamamının fotokopisini veya taranmış görüntüsünü süresiz arşivlemeyi değil. Aradaki fark küçük görünüyor, denetimde büyüyor. Kimlik kartının arka yüzünde ve sürücü belgesinde kiralama işlemi için hiç gerekmeyen alanlar bulunabiliyor; ölçülülük ilkesi bunların ya hiç alınmamasını ya da maskelenmesini gerektiriyor. Yabancı müşterilerde pasaport ve uluslararası sürücü belgesi için de aynı mantık işliyor. Diyelim ki bir şube tüm belgeleri telefonla fotoğraflayıp WhatsApp üzerinden merkeze gönderiyor. Bu akış hem güvenlik hem aktarım bakımından savunulabilir değil; belgeler doğrudan sisteme, yetkilendirilmiş bir alana yüklenmeli ve telefondaki kopyalar silinmeli.

Rezervasyon platformları, acenteler ve franchise şubeler sorumluluk haritasını bulanıklaştırıyor. Kurul 2023/1234 sayılı kararda platformun aracı konumda olduğunu ve veri sorumlusunun kiralama şirketi olduğunu belirtmişti, ancak bu her yapı için otomatik sonuç değil; platform veriyi kendi amaçlarıyla da işliyorsa kendi sorumluluğu doğuyor. Yurt dışı merkezli rezervasyon platformlarıyla çalışıyorsanız akış yurt dışına aktarım hükümlerine takılıyor ve 9. maddedeki yöntemlerden birine oturtulması gerekiyor. Franchise ve acente yapılarında ise faaliyetin veri sorumlusunun nam ve hesabına yürütüldüğü açıkça düzenlenmişse şube veri işleyen sıfatını taşıyor. Bu, sorumluluğun devri değil paylaşımı; merkeze denetim yükümlülüğü kalıyor. Şube personelinin sisteme ortak bir kullanıcı adıyla girdiği yapılarda hangi müşteri kaydını kimin açtığını kanıtlayamayacağınızı da hesaba katın.

Kısa bir kontrol listesi işe yarıyor. KABİS bildirimlerini kimin hangi yetkiyle yaptığı kayıt altında mı, GPS ekranını görebilenler sınırlı mı, üç yılı dolan konum kayıtları gerçekten imha ediliyor mu, sözleşmeye eklenen açık rıza metni yalnızca pazarlama gibi gerçekten rızaya bağlı işlemeleri mi kapsıyor, depozito ve ek tahsilatlar için ayrı yetkilendirme alınıyor mu, sistemde kara liste niteliğinde bir alan varsa dışarıya kapalı mı, kimlik ve ehliyet görüntüleri hangi sistemde ve ne kadar tutuluyor, aydınlatma metniniz GPS, KABİS ve trafik cezası akışlarını gerçekten anlatıyor mu? Bu soruların cevabı belgeyle gösterilemiyorsa 1 Ocak 2027 öncesi düzeltmek için makul bir zaman aralığı var. KVKK Danışman olarak araç kiralama, filo ve mobilite şirketleri için ücretsiz ön değerlendirme yapıyoruz; sözleşme setinizi, GPS ve rezervasyon altyapınızı ve saklama sürelerinizi inceleyip önce hangi eksiğin kapatılması gerektiğini yazılı olarak paylaşıyoruz.

Randevu Al