ELEKTRİKLİ ARAÇ ŞARJ İSTASYONLARI VE LOKASYON VERİSİNİN SÜRÜCÜ MAHREMİYETİNİN KORUNMASI VE VERİ GÜVENLİĞİ AÇISINDAN DEĞERLENDİRİLMESİ

• Elektrikli Araçlarda Lokasyon Verisinin Hukuki Niteliği

Elektrikli araç şarj istasyonları ve bu araçların kullanımı sırasında toplanan lokasyon verileri, ilk bakışta araca veya teknolojik bir nesneye ait gibi görünse de, sonuçları itibariyle doğrudan gerçek kişi olan sürücü ile ilişkilendirilmektedir. Literatürde, bir verinin kişisel veri sayılması için doğrudan kişiyi hedef almasa bile, o kişinin hak ve menfaatlerini etkilemesinin yeterli olduğu vurgulanmaktadır.

• Sürücü Mahremiyetinin Korunması ve Profilleme Riski

Elektrikli araçlar ve şarj istasyonları, “Nesnelerin İnterneti” (IoT) ekosisteminin bir parçası olarak sürekli veri üretmektedir. Bu veriler, sürücünün sadece nerede olduğunu değil, günlük rutinlerini, sosyal alışkanlıklarını ve tercihlerini de ortaya koyarak detaylı bir profil oluşturulmasına imkan tanımaktadır.

Mahremiyet risklerine ilişkin literatürdeki tespitler şöyledir:

“Bu tür araçlarda kaydedilen verilerden seyahat eden kişinin gittiği yerler, ziyaret ettiği kişiler, seyahat saatleri, seyahat ettiği kişiler, sosyal hayatı, canlı konum bilgisi anlaşılabilir. Bu husus, verinin gizliliğine ilişkin siber riziko oluşturmaktadır.” (Alp Alanya, 2025)

Ayrıca, akıllı ulaşım sistemlerinin yarattığı gözetim baskısı şu şekilde ifade edilmiştir:

“Bireylerin kamuya açık tüm alanlarda verilerinin sürekli olarak toplanması… bu gözetim faaliyeti için ek bir alt yapıya ihtiyaç bulunmaması… bireysel mahremiyete yönelik ihlallere sebebiyet verebilecek uygulamalardır.” (Canberk Yıldız, 2022)

• Veri Güvenliği: Teknik ve Organizasyonel Önlemler

Veri güvenliği, verilerin yetkisiz erişime, değiştirilmeye veya silinmeye karşı korunmasını ifade ederken; veri mahremiyeti bu verilerin nasıl ve hangi amaçla işlendiğini kapsamaktadır. Elektrikli araç şarj istasyonları bağlamında veri güvenliği, hem dijital hem de fiziksel alanların korunmasını gerektirir.

• Siber Güvenlik Riskleri ve Sensör Verileri

Elektrikli ve otonom araçlarda kullanılan sensörler (GPS, ivmeölçer vb.), kullanıcı farkında olmadan çok geniş kapsamlı veri toplayabilmektedir. Bu durum, kötü niyetli üçüncü kişilerin (hackerlar) sisteme sızması halinde ciddi güvenlik tehditleri oluşturmaktadır.

Literatürde bu risklere şu şekilde dikkat çekilmektedir:

“Sürücüsüz otomobillerin uzaktan bilgisayar korsanları tarafından kontrolünün ele geçirilmesi ve otomobillere kaza yaptırılması mümkündür. Bu otomobillerin sürücünün gittiği rotayı, nerede ne kadar zaman durduğunu… kaydetmesi ve bulut veya başka bir yere aktarması mümkündür.” (Armağan Ebru Bozkurt Yüksel, 2017)

1. Elektrikli Araç Şarj İstasyonlarında Veri Mahremiyeti ve Teknik Önlemler Yargı kararları, elektrikli araç (EV) şarj ekosisteminde toplanan verilerin mahremiyetinin korunması için spesifik kontrol mekanizmalarının gerekliliğini vurgulamaktadır. Rekabet Kurulu’nun CHARGESCAPE kararına (24-24/554-235) göre; araç seviyesindeki teknik verilerin (kullanılan bataryalar, ortalama kullanım durumları, kullanıcı profilleri veya belirli modellerin belirli alanlarda kullanımı) korunması amacıyla, bu verilerin ortak girişim tarafları veya diğer orijinal ekipman üreticileri (OEM) ile paylaşılmasını engelleyen kısıtlamalar getirilmelidir. Veri güvenliğini sağlamak adına, şarj bilgilerinin herhangi bir tarafça tanımlanamayacak şekilde “toplulaştırılması” ve “anonimleştirilmesi” temel bir zorunluluk olarak ifade edilmiştir. Bu yöntemle, şarj verileri üzerinden sürücülerin kimliklerinin tespit edilmesi engellenmektedir.
2. Lokasyon Verisinin Niteliği ve Sürücü Mahremiyeti Üzerindeki Riskler Lokasyon verisi, sürücülerin yaşam alışkanlıklarını ortaya çıkarma potansiyeli nedeniyle yüksek mahremiyet riski taşımaktadır. KVKK kararlarında (2021/1303), araç konum bilgilerinin takibinin; sürücünün iş yeri, ikametgahı ve ziyaret ettiği diğer yerlerin öğrenilmesine olanak tanıdığı, bu durumun “özel nitelikli verileri de ihtiva edebilecek” pek çok verinin ortaya çıkmasına sebebiyet verebileceği belirtilmiştir. Bu bağlamda, lokasyon verisi üzerinden yapılacak profilleme faaliyetleri ciddi bir risk unsuru olarak değerlendirilmektedir. Ayrıca, Anayasa Mahkemesi kararlarında (2013/2941) motorlu taşıt plakası gibi kimlik belirleyici unsurların da kişisel veri kapsamında olduğu ve korunması gerektiği hatırlatılmaktadır.
3. Veri Güvenliği Standartları ve Teknik Yükümlülükler Şarj istasyonları ve bağlantılı telematik sistemlerde veri güvenliğinin sağlanması için aşağıdaki standartlar ve önlemler yargı kararlarında öne çıkmaktadır:

• Erişim Kısıtlaması ve Maskeleme:Danıştay (2016/404) ve Yargıtay (2022/3953) kararları uyarınca, kişisel verilere (kimlik, konum, hesap hareketleri) yetkisiz erişimi önlemek için maskeleme yapılması ve erişimin sadece yetkili personelle sınırlandırılması gerekmektedir.
• Veri Minimizasyonu:Veri sorumlularının, işledikleri amaçla bağlantılı, sınırlı ve ölçülü veri toplaması esastır. Yargıtay 4. Hukuk Dairesi, “gereğinden fazla kişisel veri aktarımı” yapılmasını KVKK md. 4/ç uyarınca hukuka aykırı bulmuştur.
• Şifreleme ve İletim Güvenliği:Verilerin iletiminde SSL (128 Bit ve üzeri) şifreleme tekniklerinin kullanılması, hassas verilerin “hash” ve “tuzlama” yöntemleriyle korunması ve ISO 27001 gibi uluslararası güvenlik sertifikalarına uyum sağlanması gerektiği vurgulanmıştır (Rekabet Kurulu 23-28/547-187; İstanbul 5. ATM 2018/159).
• Fiziksel ve Dijital Güvenlik:Veri aktarım risklerine karşı USB girişlerinin kısıtlanması, loglama yapılması ve siber saldırılara karşı firewall (güvenlik duvarı) kullanımı gibi önlemler belirtilmiştir.

4. İkincil Kaynaklar ve Genel Hukuki Çerçeve Aşağıdaki hususlar, doğrudan EV şarj istasyonu kararı olmamakla birlikte, konuya ilişkin genel hukuki bağlamı sağlayan ikincil kaynaklarolarak değerlendirilmiştir:

• Konum Verisi İşleme İlkeleri:Anayasa Mahkemesi (2015/61-2016/172), konum verilerinin işlenmesinde abonelere bu işlemi reddetme imkanı sağlanması gerektiğini ve verilerin ancak açık rıza ile yurt dışına aktarılabileceğini hükme bağlamıştır.
• Ödeme Verisi Güvenliği:Şarj hizmeti ödemelerinde kullanılan hassas müşteri verilerinin (kart numarası, IP adresi vb.) PCI DSS standartlarında şifrelenmiş şekilde saklanması ve “token oluşturma” ile maskelenmesi gerektiği belirtilmiştir (Rekabet Kurulu 25-01/40-25).
• Hizmet Kusuru ve Sorumluluk:Veri güvenliği önlemlerinin (biyometrik tanıma, elektronik imza vb.) alınmaması, veri sorumlusunun “objektif özen yükümlülüğü” kapsamında ağır kusuru olarak kabul edilebilmektedir (İstanbul 5. ATM 2018/423).

5. Sektörel Uygulamalar ve İptal Edilen Düzenlemeler Danıştay 13. Dairesi (2012/3152), konum verilerinin yurt dışına çıkarılmasını tamamen yasaklayan veya işlenmesini rızaya bağlayan bazı yönetmelik maddelerini, yasal dayanak eksikliği (kanunilik ilkesi) nedeniyle iptal etmiştir. Bu durum, veri güvenliği ve mahremiyetine ilişkin kısıtlamaların mutlaka açık bir kanuni dayanağa sahip olması gerektiğini göstermektedir. Ayrıca, marka tescil listelerinde (İstanbul 2. FSHHM 2018/468) “şarj noktalarının lokasyonu ve müsaitliği ile ilgili bilgi tedarik edilmesi” ve “telematik sistemler yoluyla konum verilerinin aktarılması” gibi hizmetlerin sektörel birer faaliyet alanı olarak tanımlandığı görülmektedir.

Sonuç: Elektrikli araç şarj istasyonları ve bağlantılı araç teknolojileri, sürücülerin lokasyon verilerini işleyerek hem operasyonel verimlilik sağlamakta hem de ciddi mahremiyet riskleri doğurmaktadır. Bu verilerin 6698 sayılı KVKK ve ilgili uluslararası mevzuat (GDPR) kapsamında “kişisel veri” olarak korunması zorunluluktur. Veri sorumlularının, şeffaflık ilkesi gereği sürücüleri bilgilendirmesi, verileri amaçla sınırlı tutması ve siber saldırılara karşı en üst düzey teknik önlemleri (şifreleme, anonimleştirme vb.) alması gerekmektedir.Yargı kararları, elektrikli araç şarj istasyonlarında sürücü mahremiyetinin korunması için verilerin anonimleştirilmesini, toplulaştırılmasını ve üçüncü taraflarla (OEM’ler dahil) paylaşımının sıkı kontrol altında tutulmasını şart koşmaktadır. Lokasyon verisinin kişinin yaşam alışkanlıklarını ifşa etme riski nedeniyle, veri minimizasyonu ve tasarımda mahremiyet (privacy by design) ilkelerine uyum sağlanması, teknik altyapıda ise şifreleme ve erişim kısıtlaması gibi güvenlik önlemlerinin alınması zorunludur.