Kişisel Verileri Koruma Kurulu (“Kurul”), Kişisel Verilerin Korunması Kanunu'nun (“KVKK”) 15'inci maddesine göre, şikayet üzerine veya re’sen yaptığı inceleme sonucunda, ihlalin yaygın olduğunu tespit etmesi halinde "ilke kararı" alma yetkisine sahiptir. Bunun yanında, Veri sorumlularının, Kurul tarafından verilen kararları yerine getirme yükümlülüğü bulunmaktadır. Dolayısıyla yayımlanan ilke kararında öngörülen kanuni yükümlülüklerin ivedilikle yerine getirilmesi gerekmektedir. Tam olarak bu doğrultuda Kurul, araç kiralama sektöründe yaygın kullanılan “Kara Liste” uygulamalarıyla ilgili olarak bir ilke kararı yayınlamıştır. Kurul, araç kiralama şirketlerinin bir sonraki kiralamada kullanmak üzere kendi müşterilerine yönelik böyle bir liste tutabileceğini, ancak bunların başka kiralama şirketleriyle paylaşılmasının engellenmesi yönünde tedbir alınması gerektiğine karar vermiştir. Kararda kara listelerin, kişilerin araç kullanımında meydana gelen olumsuzlukları içeren bilgilerini içerdiği kaydedilmiştir.
20 Ocak 2022 Perşembe günü yayınlanan, Kuruma başvuru üzerine inceleme yapıldığı belirtilen bu karara göre, araç kiralama sektöründe "kara liste" adı verilen birtakım yazılım, program ve uygulamalara başvurulduğu, bunlar sayesinde araç kiralayan kişilerin kişisel verilerinin işlendiği, işlenen veriler arasında araçların kullanım sürecinde meydana gelen olumsuzlukları veya araç kiralama firmasının yorumlarını da içeren bilgilerin yer aldığı belirlenmiştir. Araç kiralama yazılımı satan kişilerin, araç kiralama firmalarına kara liste özelliği de içeren yazılımlar sunduklarını fakat bu yazılımların, sistemin başka araç kiralama firmalarına açılacak şekilde tasarlandığı belirlenmiştir. Bu sayede bu yazılımlar, araç kiralayan kişilerin kişisel verilerini, araç kiralayan kişilere herhangi bir bilgilendirme yapılmaksızın karşılıklı olarak üçüncü kişiler ile paylaşılması olanağı sağlamaktadır.
Yine aynı kararda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. maddesi uyarınca istisnai haller dışında kişisel verilerin açık rıza olmaksızın işlenemeyeceği ve araç kiralama şirketlerinin gerçek kişi müşterilerinden kişisel verilerini toplayan kişilerin, bu şirketlerin veri sorumluluları olduğu belirtilmiş, ayrıca “kara liste” işlemi için kullanılan yazılım sebebiyle, yazılım şirketlerinin de ortak veri sorumlusu olarak değerlendirileceği belirtilmiştir. Bu doğrultuda Kurul, bu sektörün KVKK kapsamında gereken her türlü teknik ve idari tedbirlerin, kişisel verileri işleyen gerçek ve tüzel kişi veri sorumluları tarafından alınması gerektiğine karar vermiştir. Kararda son olarak, önlem almadan kanuna aykırı şekilde kara liste uygulamasına başvuran şirketlere, Kanunun 18’inci maddesi uyarınca 1 milyon liraya kadar idari para cezası uygulanacağı belirtilmiştir.
