Araç Plakası Kişisel Veri mi? Sosyal Medyada Plaka Paylaşmak, Plaka Sorgulama ve Plaka Tanıma Sistemlerinde KVKK

Kısa cevap: evet, araç plakası kişisel veridir. 6698 sayılı Kanun'un gerekçesinde motorlu taşıt plakası, telefon numarası ve pasaport numarasıyla birlikte, dolaylı da olsa kişiyi belirlenebilir kıldığı için kişisel veri sayılması gereken veriler arasında geçiyor. Bu, plakası görünen her fotoğrafın hukuka aykırı olduğu anlamına gelmiyor. Belirleyici olan plakayla ne yaptığınız. Bir aracın fotoğrafını telefonunuzda tutmak başka, plakayı hedef göstererek yaymak başka, plakadan araç sahibinin kimliğine ulaşmayı vaat eden bir uygulamaya para ödemek daha da başka. Kurul'un bugüne kadarki kararları üç noktada net. Plakayı kimlik, telefon ya da borç bilgisiyle eşleştirip herkese açık hâle getirmek hukuka aykırı. Plaka tanıma sistemi kuran site ve işletmeler aydınlatma, ölçülülük ve saklama süresi kurallarına tabi. Hukuka aykırı elde edilmiş veriler üzerinden sorgulama yapan yazılımlar ise hem idari yaptırım hem savcılık konusu.

Plakaya tek başına bakınca ortada bir harf ve rakam dizisi var. Kanun'un kişisel veri tanımı zaten bunu karşılıyor: kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Belirlenebilirlik ölçütü, verinin herhangi bir kayıtla ilişkilendirildiğinde kişiye ulaşılmasını sağlayıp sağlamadığına bakıyor. Tescil kayıtları üzerinden plakanın bir kişiye bağlanabiliyor olması bu ölçütü karşılamaya yetiyor, Kurumun Uygulama Rehberi de aynı örneği kullanıyor. Bir ayrımı baştan yapalım: plaka özel nitelikli kişisel veri değil, Kanun'un 6. maddesindeki listede yer almıyor. Yani parmak izi ya da sağlık verisi kadar ağır bir rejime tabi değil. Ama plaka, giriş çıkış saatiyle ve konumla birleştiğinde başka bir şeye dönüşüyor. Kişinin nerede, ne zaman bulunduğunu gösteren bir hareket kaydı çıkıyor ortaya. Sitelerin bariyer kayıtlarını tartışırken asıl konuştuğumuz şey bu.

Trafikte çekilen videolar bu işin en çok sorulan tarafı. Kanun'un 28. maddesi, gerçek kişilerin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri kapsamında yaptığı veri işlemeyi kapsam dışında bırakıyor, ama iki şartla: veriler üçüncü kişilere verilmeyecek ve veri güvenliğine ilişkin yükümlülüklere uyulacak. Telefonunuzda duran bir kaza görüntüsü bu istisnaya girer. Aynı görüntüyü plaka okunur hâldeyken herkese açık bir hesapta yayımladığınızda üçüncü kişilere vermiş olursunuz ve istisnanın şartı düşer. İşin bir de ceza tarafı var. Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak bir başkasına vermeyi, yaymayı veya ele geçirmeyi iki yıldan dört yıla kadar hapisle cezalandırıyor. Pratikte riski büyüten şey paylaşımın tonu. Trafik akışını gösteren bir video ile "şu plakalı sürücüye dikkat edin, arabasını şurada park ediyor" diyen bir gönderi aynı yerde durmuyor. Anlatmak istediğiniz olaysa plakayı bulanıklaştırmak çoğu amacı karşılar, gerçek bir ihlal varsa muhatap zaten kolluk.

Kendi plakanızı paylaşmak serbest, ama sonuçları oluyor. İkinci el ilanlarında plakanın okunur biçimde durması, ilanınızın başka sitelerde sahte olarak yeniden yayımlanmasını kolaylaştırıyor. Plaka üzerinden muayene, sigorta ya da otopark borcu sorgulayan sistemlerin bir kısmı da tek adımda, başka hiçbir doğrulama istemeden bilgi döndürüyor; Kurul'un bu konudaki tutumuna birazdan geleceğim. Sokak görüntüleri tarafında ise durum daha rahat. Google, Street View görüntülerinde tanınabilir yüzleri ve araç plakalarını otomatik olarak bulanıklaştırıyor. Sonucu yeterli bulmazsanız görüntü üzerindeki sorun bildirme bağlantısından evinizin, aracınızın ya da kendinizin tümüyle bulanıklaştırılmasını isteyebiliyorsunuz ve Google uygulanan bulanıklaştırmanın kalıcı olduğunu belirtiyor.

Kurul'un 2 Kasım 2021 tarihli ve 2021/1110 sayılı kararı, plakanın ne zaman soruna dönüştüğünü iyi gösteriyor. Bir şirket, icra takibi başlattığı müşterilerinin T.C. kimlik numarası, telefon numarası, araç plakası ve adres bilgisini herkesin erişimine açık bir internet sitesinde yayımlamıştı. Site üzerinde plakaya, şehre ve ilçeye göre arama yapılabiliyordu. Savunma, yakalama kararı bulunan araçların bulunması ve ihbar edilmesiydi. Kurul bunu kabul etmedi. Kararda işlemenin hukuka ve dürüstlük kurallarına uygun olma ile belirli, açık ve meşru amaçlar için işlenme ilkelerine aykırı olduğu, herhangi bir veri işleme şartına da dayanmadığı tespit edildi, veri güvenliği yükümlülüğünün ihlal edildiği de belirtildi ve 200.000 TL idari para cezası uygulandı. Alacağını tahsil etmek meşru bir amaç. Borçlunun plakasını internete asmak o amacın aracı değil.

İşletmeler için daha doğrudan yol gösteren karar ise 1 Haziran 2023 tarihli ve 2023/924 sayılı karar. Olayda bir otopark işletmecisi, park ücretini ödemeyen kişi hakkında icra takibi başlatmış, aracın plakasını ilgili makamlardan sorgulatarak kimlik bilgilerine ulaşmıştı. Kurul bu kısmı hukuka aykırı bulmadı, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartı kapsamında değerlendirdi. Sorun başka yerdeydi. İşletmenin internet sitesinde plaka yazılarak borç bilgisine ulaşılabiliyordu ve aydınlatma yükümlülüğü yerine getirilmemişti. Kurul aydınlatma ihlali nedeniyle 75.000 TL idari para cezası verdi, ayrıca iki talimat yazdı: aydınlatma metni hazırlanacak, plaka sorgusu ikinci kademede kişiye özel olarak belirlenecek bir bilgi ya da SMS veya e-postaya iletilen bir şifre gibi bir adımla yapılacak. Bu mümkün değilse Kanun'un 15. maddesinin yedinci fıkrası uyarınca kişisel verilerin işlenmesine son verilecek.

Bu talimatın kapsamı otoparkla sınırlı değil. Plaka yazınca bilgi döndüren her ekran aynı testten geçiyor: servis takip sayfası, oto yıkama abonelik sorgusu, sanayi sitesi borç listesi, filo bakım portalı. Tek adımlı sorgu, plakayı bilen herkesi o kaydın sahibi yerine koyuyor. Plaka ise saklanan bir bilgi değil, otoparkta yan yana park eden herkes görüyor. İkinci doğrulama adımı eklemek çoğu yazılımda birkaç saatlik iş. Bunun ötesine geçen bir grup uygulama daha var, plakadan araç sahibinin adını, adresini ya da telefonunu bulmayı vaat edenler. Kurul 18 Ekim 2019 tarihli ve 2019/308 sayılı ilke kararında, hukuka aykırı olarak elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgilerinin sorgulanmasına imkân tanıyan yazılım, program ve uygulamaları ele aldı. Bunları kullandığı tespit edilenler hakkında Türk Ceza Kanunu kapsamında adli işlem tesisi için Cumhuriyet başsavcılıklarına bildirimde bulunulacağını, veri sorumluları hakkında da Kanun'un 18. maddesi çerçevesinde idari işlem yapılacağını duyurdu. Kararı tek cümleyle özetlemek gerekirse, kullanan da sorumlu.

Plaka tanıma sistemine gelelim. Site girişine bariyer ve kamera koyup plakaya göre kapı açan bir düzen kurduğunuzda kişisel veri işliyorsunuz ve bunun bir veri sorumlusu var, o da apartman ya da site yönetimi. Her sakinden tek tek açık rıza toplamak gerekmiyor. Ortak yerlerin korunması ve güvenliğin sağlanması meşru amaç kapsamında değerlendirilebiliyor, kararı da 634 sayılı Kat Mülkiyeti Kanunu uyarınca kat malikleri kurulu veriyor. Kurum 8 Haziran 2026'da apartmanlarda güvenlik kamerası kullanımına ilişkin bir kamuoyu duyurusu yayımladı. Duyuru, ortak alanlara kamera kurulabileceğini söylerken sakinlerin makul mahremiyet beklentisinin gözetilmesini, kameraların daire kapısı açıldığında bağımsız bölümün içinin görüneceği biçimde konumlandırılmamasını ve kamera bulunan yerlere binanın kamerayla izlendiğini bildiren levhalar asılmasını istiyor. Bariyerdeki kamera için de ölçü aynı. Görüş açısı plakayı okuyacak kadar olsun, karşı bloktaki balkonu değil.

Kayıt tarafı çoğu sitede boşta duruyor. Aynı gün yayımlanan iş yerlerine ilişkin duyuruda Kurum, kayıtların gereğinden uzun saklanmasının Kanuna aykırılık oluşturabileceğini, mümkün olan en kısa sürenin yeterli görülmesi gerektiğini ve sistemde otomatik imha mekanizması bulunması gerektiğini yazdı. Bariyer yazılımınızda geçiş kayıtları için tanımlı bir saklama süresi var mı, süre dolduğunda kayıtlar gerçekten siliniyor mu, bunu bir kez kontrol edin. Erişim de yazılı olmalı: kayıtları kim açabiliyor, hangi durumda açıyor, açtığı iz olarak kalıyor mu. Bir de amaç kayması riski var. Aynı duyuru, çalışanların performans ya da verimlilik değerlendirmesi amacıyla izlenmesini meşru görmüyor. Otoparka giriş saatini mesai takibine çevirmek, güvenlik için kurulmuş bir sistemi başka bir amaca taşımak demek. Site tarafındaki karşılığı da şu: kimin kaçta geldiğini gösteren listenin yönetim grubunda dolaşması.

Uygulamada tekrarlanan birkaç hata var. Plakayla daire numarasını eşleştiren çizelgeyi güvenlik kulübesinde herkesin göreceği yere asmak bunların başında geliyor. Ziyaretçi plakasını kimlik numarasıyla birlikte deftere yazmak da yaygın, oysa teslimatçının kimlik numarası bariyerden geçmek için gerekli değil ve veri minimizasyonu ilkesine takılıyor. Bariyer yazılımının bulut panelinde kurulumdan kalan varsayılan parolayı değiştirmemek, sistemi kuran ve bakımını yapan firmayla yazılı sözleşme yapmamak da sık görülüyor. İkincisinin doğrudan bir karşılığı var: sizin adınıza ve talimatınızla veri işleyen taraf veri işleyendir ve Kanun'un 12. maddesi güvenlik tedbirlerinin alınması bakımından sizi onunla birlikte müştereken sorumlu tutuyor. Kullandığınız panelin sunucusu yurt dışındaysa aktarım kurallarına ayrıca bakmanız gerekir. Bu maddelerin hiçbiri büyük yatırım istemiyor, çoğu bir öğleden sonrada kapanır.

Karşı taraftan bakalım. Kendinizle ilgili bir geçiş kaydının işlenip işlenmediğini öğrenme, amacını sorma ve kayda erişme hakkınız Kanun'un 11. maddesinde yazılı. Talebi site yönetimine ya da işletmeye yazılı olarak iletiyorsunuz, veri sorumlusu en geç otuz gün içinde cevaplamak zorunda. Cevap gelmezse ya da yetersiz kalırsa Kurula şikâyet yolu açık. İki noktayı baştan bilin. Kayıtta başka araçlar ve kişiler de görünüyorsa veri sorumlusunun onların verisini maskeleyerek cevap vermesi gerekir, başkasının verisi var diyerek talebi tümden reddetmesi ayrı bir sorundur. İkincisi, saklama süreleri kısa tutulduğu için istediğiniz tarihe ait kayıt çoktan silinmiş olabilir. Bir olay yaşadıysanız talebinizi günler içinde yapın, haftalar sonra değil.

Rakamlar tarafı da bu yıl güncellendi. 2026'da aydınlatma yükümlülüğünü yerine getirmemenin idari para cezası 85.437 TL ile 1.709.200 TL arasında, Kanun'un 12. maddesindeki veri güvenliği yükümlülüklerinin ihlali 256.357 TL ile 17.092.242 TL arasında, Kurul kararlarına uymamak ise 427.263 TL ile 17.092.242 TL arasında değişiyor. Bir site yönetimi ya da tek şubeli bir otopark işletmesi için bu tutarların alt sınırı bile ağır. Kendi durumunuzu ölçmek isterseniz beş soruyla başlayın: bariyer kameranızın görüş açısı ve bilgilendirme levhanız yerinde mi, geçiş kayıtları için tanımlı bir saklama süresi ve otomatik imha var mı, plaka yazınca bilgi döndüren bir sorgu ekranınız varsa ikinci doğrulama adımı içeriyor mu, sistemi kuran firmayla sözleşmeniz var mı, kayıtlara kimlerin eriştiği iz olarak tutuluyor mu. KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu başlıkları mevcut kurulumunuzla karşılaştırıp eksikleri ve öncelik sırasını çıkarıyoruz.

Randevu Al