Oto Sektörü KVKK Uyum Paketi (Kimlik, Ehliyet, Kamera)

Türkiye'deki her oto servis, galeri ve kiralama şirketi müşteri verisi işler. Bu verinin büyük bölümü KVKK kapsamında kişisel ve zaman zaman özel nitelikli kişisel veri sayılır. Yasa karşısında işletme büyüklüğü veya şube sayısı ayrımı yoktur; birkaç araçlık küçük bir bağımsız servis de büyük zincir kadar yükümlüdür.

Sektöre özgü riskler şöyle sıralanır:

• Oto servisler: İş emri açmak için alınan araç ruhsatı fotokopisi ve müşteri kimlik bilgisi kişisel veri sayılır. Servis sonrası SMS veya e-posta göndermek için toplanan iletişim bilgisi işleme faaliyetidir. Tamir alanı, ödeme noktası veya bekleme salonundaki kamera kayıtları da kapsam içindedir. Bunların tamamı kayıt yükümlülüğü doğurur.
• Araç galerileri: Satış sözleşmesi için alınan kimlik fotokopisi ve ehliyet taraması hassas veridir. Araç test sürüşünde ehliyet kaydı tutulur; bu bilginin ne kadar süre saklandığı ve kim tarafından erişilebildiği yasal çerçeveye bağlıdır. Galeri içindeki kamera sistemi ve müşteri veri tabanı da ayrı dikkat gerektirir.
• Rent a car şirketleri: Kiralama için zorunlu olan ehliyet fotokopisi ve kimlik belgesi, kefil bilgileri, kredi kartı verisi ve bazı araçlarda kullanılan seyahat verileri KVKK'nın en sıkı baktığı alanlar arasındadır. Bu sektör oto kategorisinde en yoğun kişisel veri işleyendir; denetim riskleri de buna paralel olarak yüksektir.
• Ekspertiz firmaları: Araç sahibinin kimlik ve araç bilgileri ile hasar tespitinde çekilen fotoğraflar işlenir. Bu firmaların veri sorumlusu ile veri işleyen arasındaki hukuki farkı kavraması ve sözleşmelerine yansıtması gerekir; aksi hâlde sorumluluk belirsizleşir.

Bu paketi şimdi almak için KVKK ihlali yaşamış olmak ya da Kurul tarafından inceleniyor olmak gerekmez. Denetim riskini proaktif biçimde ortadan kaldırmak ve işletmenizi güvence altına almak isteyen tüm oto işletmeleri için tasarlanmıştır.

Oto sektöründe KVKK uyumsuzluğu üç tipik biçimde ortaya çıkar ve her biri denetimde ciddi risk yaratır:

Kimlik ve ehliyet fotokopilerinin gelişigüzel saklanması: Müşteri arabayı getirirken verdiği kimlik fotokopisi dosya rafına kaldırılır veya dijital ortama taranır; ancak nerede saklandığı, kimin erişebildiği ve ne zaman imha edileceği belli değildir. Bu belgeler çöpe atılırken imha tutanağı tutulmaz. KVKK bu durumun tamamını açık ihlal olarak değerlendirir ve Kurul denetiminde anında tespite yol açar.

Açık rıza alınmadan veri işleme: Müşterinin iletişim bilgisi alınır, servis hatırlatma SMS'i gönderilir veya kampanya e-postası iletilir. Ancak müşteri bu iletişime rıza gösterdi mi? Rıza beyanı yazılı mı, tarihli mi, içeriği KVKK şartlarına uyuyor mu ve ispat edilebilir mi? Çoğu serviste bu soruların yanıtı olumsuzdur. Bir müşteri şikâyeti tüm SMS ve e-posta kampanyalarını devre dışı bırakabilir.

Kamera kayıtlarının hukuki altyapı olmadan tutulması: Servisin girişine, bekleme salonuna veya tamir alanına kurulan kameralar müşterileri ve personeli kaydeder. Aydınlatma yükümlülüğü yerine getirilmiş mi? Kayıtlar kaç gün tutulmaktadır? Kimlerin erişim yetkisi var? Erişimler loglanıyor mu? Bu soruların yanıtları bir KVKK şikâyeti veya Kurul denetiminde ilk on dakikada sorulur. Yanıt verilemezse ihlal tespit edilmiş sayılır.

Kişisel Verileri Koruma Kurulu özellikle sektör ve şikâyet bazlı denetim yürütmektedir. Tek bir müşteri şikâyeti tüm işletmeyi sürece dahil edebilir. Bu paketteki belgeler ve teknik altyapı, denetimde ibraz edilecek kapsamlı kanıt dosyasını oluşturur. Boş formlar değil, gerçekten çalışan ve ispat edilebilir bir uyum sistemi kurulur. Teknik altyapı (şifreli saklama, erişim kontrolü, otomatik silme) ile hukuki belgeler (aydınlatma metni, açık rıza formu, veri envanteri, imha tutanağı) aynı anda hayata geçer.

1. Mevcut durum analizi (1. hafta): İşletmenizde hangi kişisel verilerin, hangi yöntemlerle, nerede ve ne kadar süreyle saklandığı tespit edilir. Kimlik fotokopileri fiziksel dosyada mı, dijital tarama klasöründe mi yoksa servis yazılımında mı? Kamera sistemi hangi markaya ait, kayıtlar kaç gün tutuluyor ve kim erişebiliyor? Müşteri iletişim bilgileri hangi yazılımda ve ne amaçla kullanılıyor? Bu envanter, uyum açıklarını eksiksiz ortaya koyar.
2. Veri envanteri ve VERBİS hazırlığı (1-2. hafta): KVKK'nın öngördüğü veri işleme envanteri oluşturulur. VERBİS kaydı gereken işletmeler için kayıt içeriği hazırlanır. Hangi verinin hangi amaçla, ne kadar süreyle, hangi yasal dayanakla ve hangi üçüncü taraflarla paylaşılarak işlendiği belgelenir. Bu kayıt hem iç referans hem denetim kanıtı işlevi görür.
3. Hukuki belgeler seti hazırlama (2-4. hafta): Sektöre ve işletme türüne özgü aydınlatma metni, açık rıza formu, kamera uyarı levhası metni, veri saklama ve imha politikası hazırlanır. Tüm belgeler Türkçe ve anlaşılır dilde yazılır; müşteriye sunulmaya ve imzalatılmaya hazır forma getirilir. Gerekliyse İYS kayıt bilgilendirmesi de eklenir.
4. Teknik uyum altyapısı kurulumu (3-6. hafta): Dijital ortamdaki kimlik ve ehliyet taramalarının şifreli saklanması, saklama süresi dolunca otomatik silinmesi ve erişim loglarının tutulması sağlanır. Kamera kayıt sistemi için saklama süresi politikası yapılandırılır; sistemin bu politikayı destekleyip desteklemediği test edilir. Servis yazılımına veri minimizasyon kontrolü eklenir: yalnızca gerekli alanlar zorunlu hale getirilir, fazlası kaldırılır.
5. Personel KVKK farkındalık eğitimi (5-7. hafta): Müşteri karşılayan, iş emri açan, kimlik/ehliyet kopyalayan ve kamera sistemine erişen personele uygulamalı eğitim verilir. Eğitimde soyut kural ezberletilmez; gerçek senaryolar üzerinden ne yapılması ne yapılmaması gerektiği somut örneklerle aktarılır. Katılım listesi ve imzalı eğitim belgesi düzenlenir; bu belge denetimde kanıt olarak sunulur.
6. Uyum doğrulama ve teslim (7-8. hafta): Tüm bileşenler standart kontrol listesiyle denetlenir. Açıklar kapatılır. Son teslimatta uyum kanıt dosyası işletmeye teslim edilir: belgeler, teknik yapılandırma kanıtı, eğitim belgeleri ve veri envanteri düzenli bir arşivde sunulur.

Uyum tek seferlik bir proje değildir. Kurul kararları ve yönetmelik değişiklikleri izlenerek yıllık gözden geçirme önerilir; isteğe bağlı bakım paketi ayrıca fiyatlandırılır.

Bu paketin kendisi bir güvenlik ve uyum çözümüdür. Kurduğumuz altyapının ve hazırladığımız belgelerin amacı, işletmenizin veri işleme faaliyetlerini şeffaf, kontrollü ve ispat edilebilir hale getirmektir. Uygulanan başlıca teknik ve idari tedbirler aşağıdaki tabloda özetlenmiştir:

Paket kapsamında hazırlanan belgeler hukuki danışmanlık niteliği taşımaz; KVKK uyum altyapısı kurulumunu kapsar. Karmaşık ihtilaflı durumlarda veya Kurul nezdinde açılmış bir süreçte kişisel verileri hukuku alanında uzman avukattan ayrıca destek alınması zorunludur. Bu sınır müşterilere dürüstçe ve önceden bildirilir; yanıltıcı bir garanti verilmez.

Proje süresince paylaşılan tüm işletme verileri (iş emri örnekleri, kamera sistem bilgisi, personel listesi, müşteri verisi örnekleri) gizlilik taahhüdü çerçevesinde işlenir ve hiçbir üçüncü tarafla paylaşılmaz. Proje ekibi de KVKK kapsamında veri işleyen sıfatıyla hareket eder ve bu sorumluluğu sözleşmeyle kabul eder. Proje bittikten sonra aktarılan tüm örnek veriler imha edilir ve buna ilişkin tutanak düzenlenir.