- Giriş
Elektrikli araç kullanımının yaygınlaşmasıyla birlikte şarj hizmetleri yalnızca elektrik enerjisinin araçlara aktarılmasından ibaret bir hizmet olmaktan çıkmış; mobil uygulamalar, dijital üyelik sistemleri, ödeme altyapıları, konum servisleri, uzaktan erişim, müşteri sadakat programları ve farklı şarj ağı işletmecileri arasındaki ortak dolaşım (roaming) uygulamalarıyla bütünleşmiş dijital bir ekosisteme dönüşmüştür. Bu dönüşüm, şarj hizmetinin sunulması sırasında önemli miktarda kullanıcı verisinin toplanmasını ve işlenmesini beraberinde getirmektedir.
Şarj hizmeti kapsamında ad-soyad, telefon numarası, e-posta adresi, üyelik bilgileri, ödeme ve fatura bilgileri, araç bilgileri, şarj işlemlerinin tarih ve saatleri, kullanılan istasyon ve soket bilgileri, şarj edilen enerji miktarı, işlem geçmişi, IP adresi, cihaz bilgileri ve kimi durumlarda konum verileri işlenebilmektedir. Bu verilerin bir kısmı tek başına kişiyi belirlemeye yeterli olmasa dahi başka verilerle ilişkilendirildiğinde belirli veya belirlenebilir gerçek kişiye ilişkin hale gelebilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) bakımından belirleyici olan da verinin niteliğinden ziyade belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilir olup olmadığıdır.
Dolayısıyla elektrikli araç şarj hizmetlerinde veri işleme faaliyetlerinin, yalnızca enerji piyasası mevzuatı açısından değil, aynı zamanda KVKK’nın kişisel verilerin işlenmesine ilişkin genel uygulamaları bakımından da değerlendirilmesi gerekmektedir.
- Şarj Hizmetlerinde Veri İşleme Faaliyetinin Hukuki Çerçevesi
Türkiye’de elektrikli araç şarj hizmetlerinin temel düzenlemesi, 6446 sayılı Elektrik Piyasası Kanunu’na dayanılarak çıkarılan Şarj Hizmeti Yönetmeliği'dir (“Yönetmelik”). Yönetmelik, şarj ünitesi ve istasyonlarının kurulması ve işletilmesi, mobil şarj istasyonlarının işletilmesi, şarj ağının oluşturulması, şarj ağı işletmecilerinin lisanslandırılması ve faaliyetlerinin düzenlenmesi, şarj ağı işletmecileri ve şarj istasyonu işletmecileri ile kullanıcıların hak ve yükümlülükleri, serbest erişim platformunun kurulması ve işletilmesine ilişkin usul ve esasları düzenlemektedir.
Yönetmeliğin veri bakımından önemli sonuçlarından biri, şarj ağı işletmecilerine belirli verileri toplama, saklama ve Enerji Piyasası Düzenleme Kurumu’na (“EPDK”) aktarma konusunda yükümlülükler getirmesidir. Yönetmelik uyarınca şarj hizmeti kapsamında toplanan verilerin, hizmetin verildiği tarihten itibaren en az beş yıl süreyle güvenli biçimde saklanması gerekmektedir. Ayrıca EPDK, şarj ağı işletmecilerinden topladığı verileri kullanma, raporlama, yayımlama ve kamunun kullanımına açma hakkına sahiptir.
Bununla birlikte, bir verinin enerji piyasası mevzuatı kapsamında tutulmasının zorunlu olması, söz konusu verinin otomatik olarak KVKK bakımından sınırsız şekilde işlenebileceği anlamına gelmemektedir. Aksine, aynı veri işleme faaliyeti hem sektörel mevzuata hem de KVKK'ya uygun olmak zorundadır.
Nitekim EPDK da şarj ağı işletmecilerinin kullanıcı verilerini KVKK başta olmak üzere ilgili mevzuata uygun şekilde işlemesi gerektiğini belirtmekte; kullanıcı verilerinin gizliliği, doğruluğu ve güvenliğinin sağlanmasını ve yetkisiz erişim, ifşa, değiştirme ve kötüye kullanıma karşı korunmasını öngörmektedir. Bu nedenle şarj ağı işletmecileri bakımından temel mesele, “hangi verinin toplandığı”, “hangi amaçla toplandığı”, “hangi hukuki sebebe dayanıldığı”, “ne kadar süreyle saklandığı” ve “kimlerle paylaşıldığı” sorularının birbirinden ayrılarak değerlendirilmesidir.
- Şarj Hizmetlerinde İşlenen Verilerin Kişisel Veri Niteliği
Şarj hizmetlerinde işlenen verilerin önemli bir bölümü KVKK anlamında kişisel veri niteliği taşıyabilir. Örneğin üyelik hesabına bağlı olarak gerçekleştirilen bir şarj işleminin hangi tarihte, hangi istasyonda ve hangi araçla gerçekleştirildiğine ilişkin bilgiler, kullanıcı hesabı ile ilişkilendirilebiliyorsa kişisel veri niteliğindedir.
Özellikle şarj işleminin istasyon ve zaman bilgisiyle birlikte kaydedilmesi önemlidir. Tek bir şarj işlemi kişiye ilişkin sınırlı bir bilgi ifade ediyor gibi görünse de düzenli şarj geçmişinin tutulması halinde kişinin hareket ve kullanım alışkanlıkları hakkında çıkarımlar yapılabilmesi mümkündür.
Konum verileri bakımından ise KVKK uygulaması daha dikkatli bir yaklaşımı gerektirmektedir. KVKK’nın 3. maddesinde kişisel veri, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlanmıştır. Bu çerçevede, belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilen konum verileri de kişisel veri niteliğinde değerlendirilmektedir. Nitekim Kişisel Verileri Koruma Kurumu, konum verilerinin işlenmesine ilişkin açıklamasında, gerçek kişileri belirlenebilir kılan konum verilerinin KVKK kapsamında kişisel veri olduğunu açıkça belirtmiştir.
Kişinin düzenli olarak belirli bir istasyonda şarj işlemi gerçekleştirmesi; bu istasyonun konut, işyeri veya başka bir düzenli güzergâhın yakınında bulunması; şarj zamanlarının sistematik biçimde kaydedilmesi gibi veriler bir araya geldiğinde kişinin yaşam alışkanlıkları hakkında oldukça ayrıntılı sonuçlara ulaşılması mümkün olabilir.
Bu husus Kişisel Verileri Koruma Kurulu'nun (“Kurul”) araç kiralama sistemlerine ilişkin 23.12.2021 tarihli ve 2021/1303 sayılı kararı ile de yakından ilişkilidir. Kurul, araçların konum bilgilerinin izlenmesinin kişinin işyeri, ikamet yeri ve ziyaret ettiği diğer yerlerin ortaya çıkarılmasına, dolayısıyla yaşam alışkanlıkları hakkında profil oluşturulmasına yol açabileceğini değerlendirmiştir. Kurul, konum verilerinin bu niteliği nedeniyle işlenmesinin istisnai bir uygulama olması gerektiğine işaret etmiştir.
Bu yaklaşım elektrikli araç şarj hizmetleri açısından da önem taşımaktadır. Şarj ağı işletmecisinin hizmetin sunulması için gerekli olmayan sürekli konum takibi yapması ile yalnızca şarj istasyonunun konumunun veya belirli bir işlem sırasında gerekli teknik konum bilgisinin işlenmesi aynı şekilde değerlendirilmemelidir.
- Hukuki Sebep ve Açık Rıza
KVKK’nın 5. maddesi uyarınca kişisel verilerin işlenmesi kural olarak ilgili kişinin açık rızasına bağlı olmakla birlikte, KVKK’da sayılan diğer hukuki sebeplerin bulunması halinde ayrıca açık rıza aranması gerekmemektedir. Bunlar arasında kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası için gerekli olma, hukuki yükümlülüğün yerine getirilmesi, hakkın tesisi veya korunması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması gibi haller bulunmaktadır.
Şarj hizmetleri açısından özellikle üç hukuki sebep ön plana çıkmaktadır:
- İlk olarak, kullanıcı ile şarj ağı işletmecisi arasında üyelik veya hizmet sözleşmesi kurulmuşsa, sözleşmenin kurulması veya ifası için zorunlu olan verilerin işlenmesi bakımından KVKK'nın 5/2-c maddesinden yararlanılması mümkündür. Örneğin kullanıcının hesabının oluşturulması, şarj işleminin başlatılması, tüketilen enerjinin hesaplanması ve hizmet bedelinin tahsil edilmesi için gerekli verilerin işlenmesi, somut olayın özelliklerine göre bu hukuki sebep kapsamında değerlendirilebilir.
- İkinci olarak, Yönetmelik ve diğer ilgili mevzuattan kaynaklanan saklama, raporlama ve EPDK’ya veri aktarımı yükümlülükleri bakımından “hukuki yükümlülüğün yerine getirilmesi” hukuki sebebi gündeme gelebilir. Ancak bu durumda dahi işlenen verinin ilgili hukuki yükümlülüğün kapsamını aşmaması gerekir.
- Üçüncü olarak, dolandırıcılığın önlenmesi, bilgi güvenliğinin sağlanması veya hizmet altyapısının güvenliğinin korunması gibi amaçlarla bazı verilerin meşru menfaat hukuki sebebine dayanılarak işlenmesi mümkün olabilir. Ancak Kurul’un yaklaşımına göre meşru menfaat değerlendirmesi otomatik bir sonuç doğurmamakta; veri sorumlusunun menfaati ile ilgili kişinin temel hak ve özgürlükleri arasında somut bir denge kurulmasını gerektirmektedir.
Bu nedenle şarj ağı işletmecilerinin “tüm verileri açık rıza ile işleme” şeklinde yeknesak bir yaklaşım benimsemesi de hukuken uygun olmayacaktır. Zira açık rızanın gerekli olmadığı durumlarda hizmetin açık rızaya bağlanması, açık rızanın hizmetin ön koşulu haline getirilmesi ve farklı amaçların tek bir rıza metninde birleştirilmesi ayrıca hukuki sorunlar yaratabilir.
- Şarj Geçmişi, Konum Verisi ve Profilleme
Elektrikli araç şarj sistemlerinin KVKK bakımından en önemli risklerinden biri, şarj geçmişinin uzun süreli ve sistematik biçimde analiz edilmesidir. Örneğin bir kullanıcıya ilişkin son iki yıllık şarj kayıtlarının; istasyon konumu, tarih, saat, enerji tüketimi, araç modeli ve ödeme bilgileriyle birlikte saklandığı bir sistem düşünülmelidir. Böyle bir veri seti, yalnızca “şarj hizmeti verildi” bilgisini değil, kullanıcının belirli zaman dilimlerindeki hareketlilik ve tüketim alışkanlıklarını da ortaya koyabilir.
Bu tür verilerin müşteri segmentasyonu, kişiselleştirilmiş fiyatlandırma, reklam hedefleme veya davranış analizi amacıyla kullanılması halinde veri işleme faaliyetinin başlangıçtaki şarj hizmeti amacından ayrılması söz konusu olabilir. KVKK'nın 4. maddesinde yer alan hukuka ve dürüstlük kurallarına uygun olma, belirli, açık ve meşru amaçlar için işlenme ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkeleri bu noktada belirleyici olacaktır.
Kurul’un 23.12.2021 tarihli ve 2021/1303 sayılı kararı da profilleme bakımından yol göstericidir. Kurul, otomatik veri işleme yoluyla kişiler hakkında değerlendirme ve tahmin yapılmasının profilleme niteliği taşıyabileceğini; bu tür sistemlerde ilgili kişinin aleyhine sonuç doğurabilecek otomatik karar mekanizmalarının ayrıca değerlendirilmesi gerektiğini belirtmiştir.
Bu çerçevede şarj hizmeti sağlayıcısının, örneğin belirli bir kullanıcıyı “yüksek riskli müşteri” olarak sınıflandırarak hizmete erişimini kısıtlaması veya farklı fiyat uygulaması gibi otomatik sonuçlar doğuran sistemler kullanması halinde, yalnızca genel bir gizlilik metniyle yetinmesi yeterli olmayacaktır. İşlemenin amacı, hukuki dayanağı, kullanılan kriterler ve ilgili kişinin KVKK'dan doğan hakları ayrıca değerlendirilmelidir.
- Veri Sorumlusu ve Veri İşleyen Kavramları
Şarj hizmetlerinde veri sorumlusu ve veri işleyen sıfatlarının belirlenmesi, teknik altyapının karmaşık olması nedeniyle özel önem taşımaktadır.
Şarj ağı işletmecisi, mobil uygulama sağlayıcısı, ödeme kuruluşu, bulut hizmet sağlayıcısı, şarj istasyonu işletmecisi ve roaming kapsamında hizmet sunan başka bir şarj ağı işletmecisi aynı veri işleme ekosisteminde yer alabilir. KVKK bakımından belirleyici olan, tarafların sözleşmelerde kendilerine hangi sıfatı verdikleri değil, fiilen veri işleme amaç ve vasıtalarını kimin belirlediğidir. Kurul’un 23.12.2021 tarihli ve 2021/1303 sayılı kararı bu hususu açık biçimde ortaya koymaktadır. Kurul, yalnızca teknik hizmet sağlayıcısı olmanın otomatik olarak veri işleyen sıfatını doğurmadığını; veri işleme amaçları ve temel araçları üzerinde karar verme yetkisinin kimde olduğunun somut olarak incelenmesi gerektiğini belirtmiştir. Ayrıca bazı durumlarda ortak veri sorumluluğunun da gündeme gelebileceğini kabul etmiştir.
Bu yaklaşım roaming sistemleri açısından özellikle önemlidir. Yönetmelikte ortak dolaşım sözleşmeleri, farklı şarj ağı işletmecilerinin birbirlerinin kullanıcılarına doğrudan hizmet sağlaması amacıyla yaptıkları ve veri ile ödeme alışverişini de kapsayan sözleşmeler olarak tanımlanmaktadır. Dolayısıyla roaming kapsamında kullanıcıya ilişkin hangi verilerin karşı şarj ağı işletmecisine aktarıldığı, aktarımın hangi amaçla yapıldığı, hangi hukuki sebebe dayandığı, verilerin ne kadar süreyle tutulduğu ve ilgili kişinin hangi taraf nezdinde haklarını kullanabileceği açık şekilde belirlenmelidir.
Kurul’un 23.12.2021 tarihli ve 2021/1303 sayılı kararında Kurul, kişisel verilerin başka kuruluşların erişimine açılmasının yalnızca teknik bir veri aktarımı olarak görülmemesi gerektiğini; aktarımın ayrıca KVKK'nın 8. maddesi çerçevesinde hukuka uygunluk sebebine dayanması gerektiğini vurgulamıştır.
- Aydınlatma Yükümlülüğü ve Şeffaflık
Şarj hizmetlerinde KVKK uyumunun önemli unsurlarından biri de aydınlatma yükümlülüğüdür. Kullanıcıya yalnızca “kişisel verileriniz işlenmektedir” şeklinde genel bir bildirim yapılması yeterli değildir. İşlenen veri kategorileri, işleme amaçları, hukuki sebepler, aktarım yapılabilecek kişi veya kişi grupları ve ilgili kişinin hakları açık ve anlaşılır biçimde ortaya konulmalıdır.
Kurul’un ulaşım hizmeti sunan mobil uygulamaya ilişkin 27.01.2020 tarihli ve 2020/65 sayılı kararı bu açıdan dikkat çekicidir. Kurul, uygulamada kullanıcıların puanlanmasına ilişkin veri işleme faaliyetinin aydınlatma metni ve kullanım koşullarında yeterince açıklanmamasını KVKK’nın 4. maddesindeki temel ilkelere ve 10. maddesindeki aydınlatma yükümlülüğüne aykırı değerlendirmiştir.
Bu yaklaşım şarj uygulamaları bakımından da geçerli olarak değerlendirilebilir. Örneğin bir uygulama kullanıcının şarj geçmişini yalnızca hizmetin sunulması amacıyla değil, aynı zamanda davranış analizi veya kişiselleştirilmiş kampanya oluşturma amacıyla kullanıyorsa, bu amaçların kullanıcıya açıkça bildirilmesi gerekir.
Ayrıca farklı amaçlar bakımından farklı hukuki sebeplerin bulunması halinde bunların birbirinden ayrıştırılması, özellikle açık rıza alınan hallerde rızanın belirli bir konuya ilişkin ve özgür iradeye dayalı olmasını sağlayacaktır.
- Veri Güvenliği, Saklama Süresi ve İmha
Şarj hizmetlerinin büyük ölçüde dijital altyapıya dayanması, veri güvenliği bakımından önemli riskleri beraberinde getirmektedir. Mobil uygulama hesapları, ödeme bilgileri, araç tanımlayıcıları, istasyon kullanım kayıtları ve konum verilerinin aynı ekosistemde bulunması, yetkisiz erişim veya siber saldırı halinde önemli miktarda verinin tek seferde açığa çıkmasına neden olabilir.
KVKK'nın 12. maddesi uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Yönetmelik, şarj hizmetleri kapsamında veri güvenliğine ilişkin özel yükümlülükler de öngörmektedir. Yönetmeliğin 18. maddesi uyarınca şarj ağı işletmecileri, şarj hizmeti kapsamında toplanan verilerin gizliliği, bütünlüğü, erişilebilirliği, doğruluğu ve güvenliğinin sağlanmasına yönelik gerekli tedbirleri almakla yükümlüdür. Aynı maddenin ikinci fıkrası kapsamında, şarj hizmetinin sunulmasında kullanılan yazılım sistemleri ile şarj cihazları ve bunlara uzaktan erişim süreçlerine ilişkin bilişim altyapısının TS ISO/IEC 27001 standardının güncel sürümüne uygun olması; yetkisiz erişimlerin önlenmesi, güvenli iletişim kanallarının kullanılması, kimlik doğrulama ve erişim yetkilendirmesi gibi güvenlik tedbirlerinin uygulanması ve bulut bilişim hizmetlerinden yararlanılması hâlinde buna ilişkin güvenlik önlemlerinin alınması gerekmektedir.
Burada önemli bir ayrım yapılmalıdır: Yönetmeliğin belirli veriler için öngördüğü beş yıllık saklama yükümlülüğü, her türlü kişisel verinin hiçbir ayrım yapılmaksızın beş yıl süreyle tutulabileceği anlamına gelmez. Beş yıllık süre, ilgili sektörel yükümlülüğün kapsamındaki veriler açısından değerlendirilmelidir. Bunun dışında kalan veriler bakımından KVKK'nın amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi ile saklama amacı ortadan kalktığında verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin hükümler dikkate alınmalıdır.
- Sonuç
Elektrikli araç şarj istasyonlarında kullanıcı verilerinin işlenmesi, enerji piyasasına ilişkin sektörel mevzuat ile kişisel verilerin korunması hukukunun kesişiminde yer alan çok katmanlı bir konudur. Şarj ağı işletmecilerinin kullanıcıya hizmet sunabilmek için veri işlemesi kaçınılmaz olmakla birlikte, bu durum sınırsız veri toplama ve kullanım yetkisi sağlamamaktadır.
Özellikle kullanıcı hesabı, ödeme bilgileri, şarj işlem geçmişi, araç bilgileri ve konum verileri bakımından her bir veri kategorisinin ayrı ayrı değerlendirilmesi; işleme amacının belirlenmesi ve uygun KVKK hukuki sebebinin tespit edilmesi gerekir. Şarj hizmetinin ifası için zorunlu veriler ile pazarlama, profilleme, analiz veya kişiselleştirilmiş hizmetler için kullanılan verilerin birbirinden ayrılması bu bakımdan önem taşımaktadır.
Bunun yanında roaming ve platform ekonomisinin gelişmesiyle birlikte veri sorumlusu, veri işleyen ve gerektiğinde ortak veri sorumlusu sıfatlarının somut veri akışları üzerinden belirlenmesi gerekecektir. Kurul’un araç kiralama sistemleri ve konum verilerine ilişkin değerlendirmeleri, elektrikli araç şarj ekosisteminde ortaya çıkabilecek benzer veri işleme modelleri bakımından önemli bir kıyaslama alanı oluşturmaktadır.
Sonuç olarak şarj ağı işletmecileri bakımından KVKK uyumu yalnızca bir aydınlatma metni hazırlanmasından ibaret görülmemelidir. Veri envanterinin oluşturulması, işleme amaçlarının ve hukuki sebeplerin belirlenmesi, veri akışlarının haritalandırılması, roaming ve hizmet sağlayıcı sözleşmelerinin veri koruma perspektifiyle düzenlenmesi, erişim yetkilerinin sınırlandırılması, saklama ve imha politikalarının oluşturulması ve gerektiğinde veri koruma etki değerlendirmesi yapılması bütüncül bir uyum programının unsurları olarak ele alınmalıdır.
Elektrikli araç şarj sektörünün büyümesiyle birlikte özellikle konum verisi, davranışsal analiz, otomatik karar verme, roaming yoluyla veri aktarımı ve ödeme verileri bakımından KVKK uygulamasının daha fazla önem kazanacağı açıktır. Bu nedenle sektördeki aktörlerin, yalnızca enerji piyasası düzenlemelerine değil, kişisel verilerin korunmasına ilişkin temel ilkelere de tasarım aşamasından itibaren uyum sağlamaları önem taşımaktadır.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
