KVKK ve Otomotiv: Oto Servislerin En Sık Yaptığı Hatalar ve Çözümleri

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) 2016'da yürürlüğe girdi ve büyük-küçük ayrımı yapmadan kişisel veri işleyen her işletmeyi kapsıyor. Oto servisler de bu kapsamda: kabul masasında alınan ad-soyad, telefon, T.C. kimlik numarası, adres, plaka, araç fotoğrafları ve ödeme bilgileri kişisel veridir.

Bu yazıda sektörde sık karşılaşılan hataları, bu hataların hangi senaryolarda soruna dönüştüğünü ve atölyenizde uygulayabileceğiniz somut adımları bulacaksınız.

Tipik risk senaryoları

Aşağıdaki senaryolar gerçek bir olayı değil, oto servislerde kolayca yaşanabilecek durumları anlatır.

Senaryo 1: Müşteri listesinin üçüncü kişiyle paylaşılması

Servis, "müşterilerimize kasko teklifi gitsin" diye müşteri telefon listesini bir sigorta acentesine veriyor. Müşterilere bu aktarım anlatılmamış, açık rıza da alınmamış. Teklif araması alan müşteri numarasının nereden bulunduğunu sorguluyor ve şikâyet ediyor. Ders: Veriyi topladığınız amaç dışında, hukuki bir dayanak olmadan başkasına aktaramazsınız. Komisyon karşılığı veri paylaşımı hem hukuki hem de ciddi bir güven sorunudur.

Senaryo 2: Aydınlatma yapılmadan kimlik fotokopisi alınması

Kaporta-boya atölyesi, sigorta dosyası için müşterilerden kimlik fotokopisi alıp dosyada saklıyor. Neden alındığı, ne kadar saklanacağı ve kimlerle paylaşılacağı anlatılmıyor. Ders: Toplanan her veri için aydınlatma yükümlülüğü vardır. Ayrıca gerçekten gerekli değilse kimlik fotokopisi almayın; gerekiyorsa yalnızca ilgili kişilerin erişebileceği yerde saklayın.

Senaryo 3: Silme talebinin cevapsız kalması

Yıllardır gelmeyen bir müşteri, kayıtlarının silinmesini istiyor. Talep bir çalışanın WhatsApp'ında kalıyor, kimse yanıt vermiyor. Ders: İlgili kişinin başvurusu kanunda öngörülen süre içinde (en geç 30 gün) sonuçlandırılmalıdır. Başvuruları kimin karşılayacağı ve nasıl kayıt altına alınacağı önceden belli olmalıdır.

Senaryo 4: Kamera ve plaka kayıtlarının habersiz kullanılması

Atölye girişindeki kamera kayıtları, müşteri kayıtlarıyla eşleştirilip pazarlama amacıyla kullanılıyor. Müşteriler kamera kaydı konusunda bilgilendirilmemiş. Ders: Kamera ile kayıt da kişisel veri işlemedir; kamera bulunan alanlarda aydınlatma yapılmalı ve kayıtlar yalnızca belirtilen amaçla kullanılmalıdır.

Sektördeki en sık hatalar

1. "Veri toplamak riskli" sanmak

KVKK veri toplamayı yasaklamaz. Beklediği şey şudur: hukuka uygun bir amaçla topla, kişiyi bilgilendir, güvenli sakla, gereğinden fazla tutma.

2. Aydınlatma metninin olmaması

Müşteriye "verileriniz şu amaçlarla, şu hukuki sebeplerle işlenecek; şu kişilere aktarılabilir; şu haklara sahipsiniz" bilgisinin verilmemesi en yaygın eksiktir. Tek sayfalık, sade bir metin çoğu zaman yeterlidir.

3. Aydınlatma ile açık rızayı karıştırmak

Aydınlatma her durumda yapılır. Açık rıza ise yalnızca kanundaki diğer işleme şartlarının (sözleşmenin ifası, hukuki yükümlülük, meşru menfaat vb.) bulunmadığı durumlarda gerekir. İkisini tek bir "okudum, onaylıyorum" kutusuna sıkıştırmak hatalıdır.

4. Ortak kullanıcı ve şifre

"Hepimiz aynı kullanıcı adıyla giriyoruz, şifre duvarda yazılı." Bu durumda kimin hangi kayda baktığını veya neyi değiştirdiğini bilemezsiniz. Herkesin kendi hesabı olmalı.

5. Eski veriyi "bir gün lazım olur" diye tutmak

Saklama süresi belirsiz bırakılan veri birikir ve risk büyür. Mevzuattan doğan saklama süreleri dolduğunda veri silinmeli, yok edilmeli veya anonim hale getirilmelidir.

6. Pazarlama mesajını onaysız göndermek

Kampanya duyurusu gibi ticari içerikli SMS, e-posta veya WhatsApp mesajları için önceden onay alınması gerekir. Ticari elektronik ileti onaylarının İleti Yönetim Sistemi (İYS) üzerinden yönetilmesi gerekebilir; durumunuzu iys.org.tr üzerinden kontrol edin.

Doğru yapmak için adım adım uyum listesi

Veri envanteri çıkarın — hangi veriyi, hangi amaçla, nerede tutuyorsunuz? (kabul formu, iş emri, fatura, kamera, WhatsApp)

Aydınlatma metni hazırlayın — kabul masasında, web sitenizde ve gerekiyorsa kamera alanlarında

Açık rızayı ayrı alın — yalnızca gerçekten gereken işlemler için, hizmet şartına bağlamadan

Her çalışana ayrı kullanıcı verin — ortak hesap kullanmayın

Yetkileri sınırlayın — usta, kabul ve muhasebe aynı bilgileri görmek zorunda değil

Güçlü şifre ve iki adımlı doğrulama kullanın, özellikle yönetici hesaplarında

Saklama ve imha kuralınızı yazın — hangi veriyi ne kadar tutacağınızı mali müşavirinizle birlikte belirleyin

Başvuru sürecini belirleyin — müşteri talebini kim alacak, nasıl kaydedilecek, kim yanıtlayacak

VERBİS yükümlülüğünüzü kontrol edin — muafiyet eşikleri Kurul tarafından belirlenir ve güncellenebilir; kvkk.gov.tr üzerinden teyit edin

Veri ihlali planınız olsun — bir ihlalde Kurul'a ve ilgili kişilere bildirim yükümlülüğü vardır; kimin ne yapacağı önceden belli olsun

AutoTech Manager bu süreçte nasıl yardımcı olur?

Rol bazlı yetki: her kullanıcı kendi hesabıyla girer ve yalnızca rolünün izin verdiği verileri görür

İki adımlı doğrulama ile hesap güvenliği

Şifreli bağlantı (HTTPS) ve her işletmenin verisinin ayrı tutulması

Günlük yedek

Excel'e aktarma: müşteri bilgi talep ettiğinde kayıtları dışa aktarabilirsiniz

Karekodlu bakım etiketi ve plaka sorgulama sayfası: kişisel bilgiler gösterilmez

Uzaktan onay ve e-imza: müşteri onayları zaman damgalı kayıtla saklanır

Yazılım teknik önlemleri kolaylaştırır; aydınlatma metniniz, saklama kurallarınız ve başvuru süreciniz ise veri sorumlusu olarak sizin sorumluluğunuzdadır.

Cezalar hakkında

KVKK'da aydınlatma, veri güvenliği, Kurul kararlarına uymama ve VERBİS yükümlülükleri gibi konularda idari para cezaları öngörülmüştür. Tutarlar her yıl yeniden değerleme oranıyla güncellendiği için burada rakam vermiyoruz; güncel tutarları kvkk.gov.tr üzerinden kontrol edin. Ayrıca veri ihlali yaşayan bir servisin kaybettiği müşteri güveni, çoğu zaman cezadan daha pahalıya mal olur.

Sonuç

KVKK uyumu küçük bir atölye için bile ulaşılabilir bir hedeftir: aydınlatma metni, kişiye özel kullanıcı hesapları, sınırlı yetkiler ve yazılı bir saklama kuralı ile işin büyük bölümünü halletmiş olursunuz. Emin olmadığınız konularda bir hukukçuya danışın.

AutoTech Manager canlı demosunu inceleyin →