Kuruma intikal eden şikayette, ilgili kişi ile veri sorumlusu araç kiralama şirketi arasında imzalanan araç kiralama sözleşmesi kapsamında ilgili kişinin 1 günlük süreyle araç kiraladığı ve söz konusu sözleşme uyarınca araç kiralama bedeli ve provizyonun çekilmesi için ...22 ile biten kredi kartının kullanımına onay verildiği, kiralama süresi içerisinde 1 kez HGS kullandığı ve kiralama süresi sona erdiğinde aracı teslim ettikten sonra telefonuna gelen SMS ile söz konusu HGS bedelinin …67 ile biten başka bir kredi kartından tahsil edilmeye çalışıldığını fark ettiği, bunun üzerine müşteri temsilcisini aradığında “araç kira bedeli ödemesi hangi kredi kartı ile yapılmış ise HGS bedelinin de aynı kredi kartından yapılması gerektiği” bilgisini edindiği, yaşadığı olay ile ilgili olarak kişisel veri güvenliğinin ihlal edildiği gerekçesi ile tarafına açıklama yapılması için müşteri hizmetleri ile birçok kez görüşme yaptığı ve konuya ilişkin şikâyetlerini elektronik posta yolu ile de müşteri hizmetlerine bildirdiği, müşteri hizmetleri tarafından konunun hukuk birimine yönlendirildiğinin belirtildiği ancak olayın üzerinden 2 ay geçmesine rağmen kendisine son yazışma tarihinden itibaren hiç bir geri dönüş yapılmadığı, bu durumun 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 13 üncü maddesine aykırılık teşkil ettiği, sözleşmede belirtilen …22 ile biten kredi kartı yerine, hiçbir şekilde onayının ve bilgisinin bulunmadığı belirtilerek, kullanımına izin vermediği …67 ile biten diğer kredi kartı bilgilerini alan ve kullanan veri sorumlusu araç kiralama şirketi hakkında gerekli yaptırımın uygulanarak kendisine bilgi verilmesi talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde veri sorumlusundan savunması istenilmiş olup, alınan cevabi yazıda özetle, İlgili kişinin …67 ile biten kredi kartı bilgilerinin araç kiralama sözleşmesinden önce yapılan başka bir kiralama sözleşmesinde ilgili kişi tarafından kendilerine bildirildiği ve kira sözleşmesi gereği, sözleşme ile bildirilen kredi kartından yine kiracının yazılı onayı ile “bu sözleşmeyi imza etmekle arka sayfada belirtilmiş olan  … standart kiralama kural ve koşullarını okuduğumu ve kabul ettiğimi beyan ederim. Aracın aylık kullanım limitinin 3.000 km olup aşıldığı takdirde ücretlendirmeyi, bu kiralamadan doğan ve doğacak olan her türlü ödemenin …  bildirdiğim kredi kartımdan tahsil edilmesini kabul ve beyan ederim.” diyerek kira sözleşmesindeki bu onayı ile kredi kartı veri işlemi olduğu, Araç kiralama sözleşmesi gereği tahsil edilmek istenen bedelin bir önceki sözleşmede bildirilen kredi kartından çekilmesi işleminin hukuki dayanağını, kira sözleşmesinin “Madde 2 – Ödeme” başlığı altında yer alan “kiracı tarafından bildirilen kredi kartından tahsilat yapılamadığı durumlarda, kiracının kiralayan ile yapmış olduğu başkaca araç kiralama sözleşmelerinde bildirdiği kredi kartı ve/veya nakit hesaplarından, kiralayanın tahsil etme hakkı saklıdır” şartının oluşturduğu, bu nedenle daha önceki kira sözleşmelerinde bildirilen kredi kartlarının mevcut sözleşme şartı gereği daha sonraki kiralamalarında kullanıldığı, ilgili kişi tarafından kullanılmaması talep edildiğinde ise kullanılmadığı, Veri sorumlusu tarafından kişisel veri işlenmesinin hukuki gerekçelerinin, 6698 sayılı Kanun Madde 5 (2) (c) – “bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” ve 6698 sayılı Kanun Madde 5 (2) (f) – “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemesinin zorunlu olması” olduğu, •    İlgili kişinin araç kiralama sözleşmesi kapsamında aracı kiraladığı süre içerisinde oluşan HGS geçiş ücretinin bir önceki kira sözleşmesinde bildirdiği …67 ile biten kredi kartından tahsil edilme girişiminde bulunulduğu ancak bu karttan bir çekim olmadığı, aynı gün içinde araç kiralama sözleşmesi ile bildirilen …22 ile biten kredi kartından çekimin yapıldığının tespit edildiği,  Kişinin  …67 ile biten kredi kartının kullanılmaması yönünde şirketlerine başvuru yaptığı, kişiye müşteri hizmetleri tarafından hukuk biriminden bilgi iletileceğinin bildirildiği ancak müşteri hizmetlerinin bir anlık dalgınlığı nedeniyle sehven konunun hukuk birimine aktarılmadığının tespit edildiği, Kira sözleşmelerinde yer alan açık hüküm sebebiyle şirketin tahsilat yapma hakkı olmasına rağmen kişinin bu talebinin özel kabul edilerek ve Kanun önemsenerek sistemde bulunan tüm kredi kartı bilgilerinin silindiği, silme işleminin Kanuna uygun olarak gerçekleştirildiği, silme işlemine ilişkin olarak şirketin genel müdürü ve yazılım yetkilileri arasındaki e-posta yazışmalarının ekte sunulduğu, yedeklemeler ile de silme işleminin iptal edildiğinin ispat edildiği, yedekleme verisinin içerisinde başka kişisel veriler olduğu için Kuruma iletilemediği, aynı şekilde veri silme işlemine ilişkin veri tabanı görüntülerinin de başkaca kişisel veriler bulunması sebebiyle sunulamadığı,  Yine kira sözleşmelerinin içerisinde kişiye ait başkaca kişisel verilerin bulunması sebebiyle şu an sunulamadığı ancak Kurumun talebi halinde bu dokümanların sunulmaya hazır olunduğu belirtilerek veri sorumlusu tarafından ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla kredi kartı bilgisinin kira sözleşmesi gereği kullanıldığı ve meşru menfaatler çerçevesinde işlem yapıldığı, ayrıca kişinin talebi üzerine 7 gün içerisinde veri tabanından tüm kredi kartı bilgileri silindiği
ifadelerine yer verilmiştir.
Konuya ilişkin yapılan incelemede, Kişisel Verileri Koruma Kurulunun 27/02/2020 tarihli ve 2020/166 sayılı Kararı ile, İlgili kişinin 1 günlük araç kiralamak amacıyla veri sorumlusunun web sayfası üzerinden rezervasyon yaptığı, rezervasyon sırasında kiralama ücretinin ön provizyon olarak,  kira sözleşmesi kapsamında kendisinin kullanımına rıza gösterd