Bir otopark girişinde kamera, aracın plakasını okuduğu anda bir soru doğar: bu görüntü ve okunan metin, hukuken kimin verisidir ve hangi kurallara tabidir? Araç plakası kişisel veri midir sorusunun cevabı evettir; ve bu cevap, otopark işletmecisine somut yükümlülükler yükler.
Bu rehber, plaka tanıma teknolojisinin nasıl çalıştığını değil; plaka kişisel veri midir sorusunun hukuki temelini, KVKK Kurulu'nun otopark işletmecisi hakkındaki somut kararını ve bir plaka tanıma sisteminin KVKK'ya uygun kurulması için izlenmesi gereken adımları anlatır.
Bu yazıda şunları öğreneceksiniz:
- Araç plakasının neden kişisel veri sayıldığı ve hangi hukuki dayanaklarla işlenebileceği
- KVKK Kurulu'nun otopark işletmecisine 75.000 TL idari para cezası verdiği 2023/924 sayılı kararın detayları
- Plaka tanıma sisteminde 6 adımlı KVKK uyum süreci
- Aydınlatma metninde ve veri güvenliğinde sık yapılan hatalar
Araç Plakası Kişisel Veri midir?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesi, kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar. Bir araç plakası, tek başına bir isim taşımasa da, trafik tescil kayıtları veya otoparkın kendi kayıtlarıyla eşleştirildiğinde araç sahibi ya da sürücüyle ilişkilendirilebilir. Bu "belirlenebilirlik" koşulu, plakayı kişisel veri kapsamına sokmaya yeterlidir.
Dolayısıyla plaka kişisel veri midir sorusunun cevabı açıktır: evet. Bu durum, plaka tanıma sistemi kullanan her otopark işletmecisini KVKK'nın veri sorumlusu yükümlülükleri kapsamına sokar. Plaka tanıma teknolojisinin görüntüden karara kadar hangi teknik adımlardan geçtiğini merak ediyorsanız plaka tanıma sistemi nasıl çalışır rehberimize bakabilirsiniz; bu yazı ise doğrudan hukuki uyum sorusuna odaklanır.
Otopark İşletmecisi İçin Hukuki Dayanak
Kişisel veri işlemek için her durumda açık rıza gerekmez. KVKK'nın 5. maddesi, açık rıza dışında da veri işlemeye izin veren hukuki dayanaklar sayar. Otopark işletmeciliği açısından öne çıkan başlıca dayanaklar şunlardır:
- Sözleşmenin kurulması veya ifası: Ücretli otoparkta plaka, hizmetin (park süresi ve ücretlendirme) gereği olarak işlenir.
- Veri sorumlusunun meşru menfaati: Güvenlik, hırsızlık ve kayıp önleme amacıyla kayıt tutulması, ilgili kişinin temel hak ve özgürlüklerine zarar vermediği ölçüde bu kapsamda değerlendirilebilir.
- Hukuki yükümlülüğün yerine getirilmesi: Bazı denetim veya güvenlik mevzuatının öngördüğü kayıt tutma zorunlulukları.
Hangi dayanağın kullanıldığından bağımsız olarak, işletmecinin bu seçimi aydınlatma metninde açıkça belirtmesi zorunludur. Dayanağı belirtmeden veri toplamak, dayanağın kendisi uygun olsa bile ayrı bir ihlal oluşturur.
KVKK Kurulu'nun Otopark Kararı: 2023/924
Bu konudaki en somut örnek, Kişisel Verileri Koruma Kurulu'nun 01/06/2023 tarihli ve 2023/924 sayılı kararıdır. Olayda bir otopark işletmecisi, araç park borcu nedeniyle bir kişi hakkında icra takibi başlatmış; şikâyetçi ise plaka verisinin nasıl elde edildiğinin belirsiz olduğunu ve kendisine hiçbir aydınlatma yapılmadığını öne sürmüştür.
Kurul, incelemede iki ayrı ihlal tespit etmiştir:
| İhlal | Kurul'un tespiti |
|---|---|
| Aydınlatma yükümlülüğü (KVKK m.10) | İşletmeci, işlediği plaka verisi bakımından ilgili kişileri aydınlatmamıştır. |
| Veri güvenliği (KVKK m.12) | Plaka sorgu sistemi yeterli teknik güvenlik önlemi olmadan, herkesin erişimine açık şekilde kurulmuştur. |
Bu karar, otopark işletmeciliğinde plaka verisinin "sadece teknik bir kayıt" olmadığını, hukuki sorumluluk doğuran bir kişisel veri olduğunu somut biçimde ortaya koyar.
KVKK Uyum Süreci: 6 Adım
Plaka tanıma sistemi kullanan bir otoparkın KVKK'ya uyumlu çalışması için izlenebilecek adımlar şu sırayı takip eder:
Aydınlatma Metninde Neler Bulunmalı?
KVKK'nın 10. maddesi uyarınca aydınlatma yükümlülüğü, ilgili kişinin veri işleme faaliyetinden haberdar olmasını sağlamayı amaçlar. Otopark özelinde aydınlatma metni ve/veya girişteki bilgilendirme tabelası en az şu unsurları içermelidir:
- Veri sorumlusunun kimliği (işletmeci unvanı ve iletişim bilgisi)
- Plaka verisinin hangi amaçla işlendiği (ücretlendirme, güvenlik, giriş-çıkış kaydı)
- Verinin hukuki dayanağı (sözleşme, meşru menfaat vb.)
- Verinin aktarıldığı üçüncü taraflar varsa bunların belirtilmesi
- İlgili kişinin KVKK kapsamındaki haklarına nasıl başvurabileceği
2023/924 sayılı kararda da görüldüğü gibi, teknik altyapı doğru kurulsa bile bu bilgilendirme eksikse ihlal oluşur; aydınlatma, sistemin bir "eklentisi" değil, kurulumun zorunlu bir parçasıdır.
Sürücünün KVKK Kapsamındaki Hakları
KVKK'nın 11. maddesi, verisi işlenen kişiye (bu örnekte otoparka giren sürücüye) belirli haklar tanır. Bir otopark işletmecisinin bu talepleri karşılayabilecek bir süreci olması gerekir:
- Bilgi talep etme: Plakasının işlenip işlenmediğini, işleniyorsa amacını öğrenme hakkı.
- Erişim ve düzeltme: İşlenen veriye erişme, eksik veya yanlış işlenmişse düzeltilmesini isteme hakkı.
- Silme talebi: İşleme amacı ortadan kalktığında verinin silinmesini veya yok edilmesini isteme hakkı.
- İtiraz hakkı: İşlemenin, kişinin temel hak ve özgürlüklerine aykırı sonuçlar doğurduğunu düşündüğü durumlarda itiraz etme hakkı.
Bu başvurular genellikle yazılı olarak veya aydınlatma metninde belirtilen kanaldan yapılır; işletmecinin başvuruyu makul bir sürede (uygulamada çoğunlukla 30 gün içinde) yanıtlaması beklenir. Bu süreç tanımlanmamışsa, sistemin teknik olarak KVKK'ya uygun kurulmuş olması tek başına yeterli olmaz.
Veri Güvenliğinde Sık Yapılan Hatalar
KVKK Kurulu'nun kararında altı çizilen veri güvenliği ihlali, sahada sık rastlanan birkaç hatadan kaynaklanır:
- Sorgu ekranının herkese açık olması: Plaka sorgu arayüzüne kimlik doğrulama olmadan erişilebilmesi, verinin yetkisiz kişilerce görüntülenmesine yol açar.
- Tek faktörlü erişim: Yönetim paneline yalnızca kullanıcı adı/şifre ile erişim, hesap ele geçirme risklerine karşı yetersiz kalır.
- Süresiz veri tutma: Amacı sona ermiş verinin silinmemesi, hem gereksiz risk hem de "amaçla sınırlılık" ilkesine aykırılık oluşturur.
Bu üç hatanın düzeltilmesi genellikle büyük bir teknik yatırım değil, erişim kontrolü, iki faktörlü doğrulama ve düzenli veri temizliği gibi operasyonel önlemler gerektirir.
Sonuç
Araç plakası, kimliği belirlenebilir bir kişiyle ilişkilendirilebildiği için KVKK kapsamında kişisel veridir ve otopark işletmecisini veri sorumlusu yükümlülükleriyle karşı karşıya bırakır. KVKK Kurulu'nun 2023/924 sayılı kararı, bu yükümlülüklerin göz ardı edilmesinin somut bir bedeli olduğunu gösterir: 75.000 TL idari para cezası ve düzeltici talimatlar.
Aydınlatma, açık amaç, sınırlı saklama süresi, yetkilendirme, veri güvenliği ve zamanında silme/anonimleştirme — bu altı adım, plaka tanıma sistemini hem yasal hem de güvenli bir altyapıya oturtur.
Sıkça Sorulan Sorular
Araç plakası kişisel veri midir?
Evet. 6698 sayılı KVKK'nın 3. maddesindeki tanıma göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Plaka, araç sahibi veya sürücüyle eşleştirilebildiği için bu tanıma girer ve KVKK'nın koruması altındadır.
Otopark işletmecisi plaka verisini işlemek için açık rıza almak zorunda mı?
Her zaman değil. KVKK'nın 5. maddesi, sözleşmenin kurulması/ifası veya veri sorumlusunun meşru menfaati gibi açık rıza dışı hukuki dayanaklara da izin verir. Ancak hangi dayanağın kullanıldığı aydınlatma metninde açıkça belirtilmelidir.
KVKK Kurulu otopark işletmecilerine ceza verdi mi?
Evet. Kurul'un 2023/924 sayılı kararında bir otopark işletmecisine, aydınlatma yükümlülüğünü yerine getirmemesi ve plaka sorgu sisteminde yeterli güvenlik önlemi almaması nedeniyle 75.000 TL idari para cezası uygulanmıştır.
Plaka verisi ne kadar süre saklanabilir?
KVKK'da sabit bir süre belirtilmez; veri, işleme amacının gerektirdiği süre kadar saklanmalıdır. Otoparklarda bu genellikle tahsilat, itiraz ve denetim süreçlerinin makul şekilde tamamlanabileceği bir süreyle sınırlandırılır; süre dolduğunda veri silinir veya anonimleştirilir.
Aydınlatma metni otopark girişinde nasıl sunulmalı?
Kamerayla görüntüleme yapılan alanlarda, KVKK'nın 10. maddesi gereği ilgili kişilerin fark edebileceği şekilde bir aydınlatma panosu veya tabelası bulunmalı; verinin kim tarafından, hangi amaçla işlendiği ve haklara nasıl başvurulacağı bu metinde açıkça belirtilmelidir.
Kaynaklar: Kişisel Verileri Koruma Kurumu — 2023/924 sayılı Kurul Kararı Özeti (kvkk.gov.tr); 6698 sayılı Kişisel Verilerin Korunması Kanunu madde 3, 5, 10, 12; Rasyotek — Kişisel Verilerin Korunması Kurul Karar Özetleri.