Gesamtverband Autoteile-Handel e. V./Scania CV AB C-319/22

2018/858 no.lu Regülasyonu'na göre araç üreticileri, özellikle üretim sonrası pazarlarda rekabetin temini açısından satış sonrası süreçlerde bağımsız üçüncü kişilere bazı bilgileri paylaşmakla yükümlü kılınmışlardır. Kamyon üreticisi Scania da, anılan düzenleme çerçevesinde araç bilgileri, tamir ve onarım bilgileri ile OBD (on-board teşhis sistemi) bilgilerine manüel bir şekilde erişim imkanı sunmaktadır. Ancak Scania, talepte bulunan kişilere araç kimlik numaralarını (Vehicle Identification Number – VIN), eski tabiriyle şasi numaralarını) bağımsız aktörlere sunmamaktadır. Tamirhaneler ise bu numaralara ancak araç ruhsatı üzerinden ulaşabilmekte ya da fiilen tamire getirilen araç üzerinde tespit edebilmektedir. Bu sınırlandırmaya karşı Otomobil Parça Ticareti Birliği Derneği (Gesamtverband Autoteile-Handel) Scania’nın sadece tamirhanelere değil, bütün bağımsız aktörlere araç kimlik numaralarına erişim imkanı sunması için Köln Eyalet Mahkemesine başvurmuş, ilgili Mahkeme de önsoru çerçevesinde olayı Avrupa Adalet Divanı’na taşımıştır.
Divan, rekabet hukukuna ve erişimin modalitelerine ilişkin bazı tespitlere yer verdikten sonra araç kimlik numaralarının kişisel veri niteliğini haiz olup olmadığına ilişkin değerlendirmelere yer vermiştir. Bu bağlamda öncelikle Nowak kararındaki kişisel veri kıstası tekrar edilmiş (bu bağlamda da güncel C-180/21 kararına atıf yapılmış), ardından da Breyer kararındaki kıstaslar incelenmiştir (Bkz. Kn. 45 vd). Buna göre
(1) kişisel veriden bahis açabilmek için söz konusu bilginin içerik, amaç ya da etki bakımından belirli bir kişiyle bağlantılı olması gerekmekte;
(2) ilgili kişiyi belirli kılabilmek için veri sorumlusu ya da üçüncü kişi tarafından alınabilecek bütün önlemler dikkate alınmalıdır.
Buna göre araç kimlik numarası, üretici tarafından alfanümerik bir kodla belirlenen ve kendi başına gerçek kişiyi belirli kılmaya elverişli olmayan bir bilgi olduğu için kişisel veri niteliğini haiz değildir. Bununla birlikte araç ruhsatında araç sahibinin ya da işletenin adı ve adresi gibi bazı bilgilerin bulunması zorunluluğu mevcuttur. Dolayısıyla araç kimlik numarası ile araç ruhsatındaki bilgiler eşleştirildiğinde iligli kişileri belirli kılmak mümkün olacağı için, bu ek bilgilere makul imkanlar dahilinde erişim imkanı bulunan kişiler açısından araç kimlik numarası da kişisel veri niteliğini haiz olacaktır.
Dolayısıyla Adalet Divanı Breyer kararındaki görüşünü aynen tekrar etmiş, hatta C-413/23 P - EDPS v SRB kararında Avrupa Mahkemesi’nin kararını da, her ne kadar ilgili karar EDPS tarafından Adalet Divanına taşınmış olsa da, kanatimizce şimdiden Avrupa Mahkemesi’nin liberal yaklaşımına uygun şekilde tasdik etmiştir.
Bu karardan çıkarılacak sonuç şudur: kişisel veri kavramı nisbi şekilde belirlenecektir. Aynı veri, bir kişi açısından kişisel veri iken diğer bir kişi açısından anonim veri olarak kabul edilmelidir. Burada önem arz eden husus, veriyi elinde bulunduran kişinin, zaman, personel ve masraflar dikkate alındığında makul imkanlar dahilinde ek bilgilere ulaşıp gerçek kişiyi belirli kılabilmesinin mümkün olup olmadığıdır. Şayet yukarıdaki kıstaslar çerçevesinde gerçek kişiyi belirlenebilir kılmak fiilen mümkün değilse, artık kişisel veriden bahis açmak mümkün olmayacaktır.
Söz konusu karar veri temelli ekonomi açısından çok büyük öneme sahiptir. Bu kapsamda Nowak kararı ile başlayan, ardından Breyer kararı ile çok geniş yoruma müsait gözüken kişisel veri kavramı, Adalet Divanı’nın içtihatları neticesinde nihayet netleşmektedir. Bu belirlilik, özellikle veriden katma değer elde etmeye çalışan teşebbüslerin kişisel verilerin korunması hukuku engeline takılmalarını önleyecektir. Ayrıca söz konusu karar, Avrupa Parlamentosu tarafından kabul edilen ve yakında yayımlanması beklenen Avrupa Birliği Veri Yasası (Data Act)’nın bir “fragmanı” olarak da değerlendirilebilecektir. Nitekim, en basit anlatımla Data Act kapsamında ürün ve bağlantılı cihaz üreticileri, bunlar vesilesiyle üretilen verilere erişim hakkı sunmakla yükümlü kılınmaktadır. Bu erişimin modaliteleri ile özellikle veri koruma hukukuyla ilişkisi açısından Divan’ın işbu kararı ışık tutucu niteliktedir.