Borçlunun akrabalarına mesaj gönderen hukuk bürosuna para cezası verildi.

Kişisel Verileri Koruma Kurulunun 09/02/2021 tarihli ve 2021/111 sayılı Karar Özeti;

Kişisel Verileri Koruma Kurulu (KVKK) bir GSM şirketinden kalan hat borcu için borçlunun akrabalarını icra tehditli kısa mesajlar atan avukata Kişisel Verileri Koruma Kanunu’ na aykırı davrandığı gerekçesiyle 50.000,00 TL para cezası verdi.

İlgili kişiye kısa mesaj gönderim işlemini yapan ilgili Hukuk Bürosu Avukatından alınan cevabi yazıda ise özetle; 

•    Kendisinin ilgili Şirketin bireysel üyelerinin faturalarından kaynaklanan ve bu üyeler tarafından ödenmemiş alacaklarının tahsili konusunda Şirketin icra takiplerini başlatmak suretiyle avukatlığını yaptığı,

• Şirketin bireysel üyelerinin ödenememiş faturalarından kaynaklanan alacaklarını, sözleşmeli avukatlar aracılığıyla takip edebilmek amacıyla; dosyaları Yasal Takip Sistemine yükleyerek bu sistem üzerinden Avukatlık Bürolarına gönderdiği, 
• Şirketin alacaklarını tahsil etmek üzere özetle iki aşamalı bir süreci sözleşmeli avukatları aracılığı ile uyguladığı, bu süreçlerin ‘idari takip aşaması’ ve ‘icra takip aşaması’ olduğu, idari takip aşamasına geçilmeden önce üyelere ait bilgilerin müvekkil Şirket bilgi sisteminden YTS’ye aktarıldığı, idari takip aşamasında alacakların iki ay içinde telefon, mektup ya da SMS ile tahsil edilmesinin amaçlandığı, iki ay içerisinde dosya tahsilatla kapatılamamışsa, dosyanın o avukattan alınarak müvekkil Şirket merkezine çekilerek ilgili avukatlara icra takibi başlatmaları için gönderildiği, icra takibini yapan avukatın daha evvel o dosyayı idari takip aşamasında takip eden avukat olabileceği gibi icra takibi aşamasında başka bir avukatın da belirlenebileceği, sürecin tüm dosyalarda YTS üzerinden yürütüldüğü,
• Şikayete konu dosyanın Şirket tarafından Bürolarına ilk kez 13/11/2018 tarihinde atandığı, dolayısıyla büro tarafından bu dosyanın varlığından 13/11/2018 tarihinde önce haberdar olma, dosyada herhangi bir işlem yapma, veri girme, bir not ya da telefon işlenmesinin teknik ve fiziki olarak imkansız olduğu, 
• Dosyanın taraflarına icra takibi başlatılması için gönderilmeden önce idari takip süreci için diğer bir Avukatlık Bürosuna gönderildiği, şikayete neden olan GSM numarasının bu Avukatlık Bürosu çalışanı tarafından 16/07/2018 tarihinde YTS’ye işlendiği, yani bu verinin dosyanın bürolarına gelmesinden yaklaşık 4 ay önce işlendiği, bu hususun YTS’de kayıt altına alındığı,
• Bilahare şikayetçi şahsın bu numaranın kendisine ait olduğunu Bürolarına bildirdiği 25/07/2019 tarihinde borçlu ile ilgisi olmadığı nazara alınarak büro çalışanı tarafından silindiği, bu itibarla bürolarına daha gelmeden dosyaya işlenmiş olan bir veriden dolayı büronun sorumlu tutulmasının mümkün olmadığı, 
• Bu numaraya SMS gönderilme sebebinin dosyada numaranın işlenmiş olarak bürolarına gönderilmesi olduğu, numaranın YTS’ye neden işlendiğini bilmelerinin mümkün olmadığı, borçlu olan abone tarafından irtibat numarası olarak verilmiş veya sonradan şikâyetçiye devrolunmuş bir numara da olabileceği,
• Bürolarına bir borçluya ait dosyada “Diğer GSM Nosu” olarak şikayetçinin numarasının işlenmiş vaziyette gelmesinden sonra bu GSM numarasına dosyanın ilk geldiği tarihlerde borçlunun ismi belirtilerek ve borçluya gönderildiği düşüncesi ile iki tane SMS iletildiği, telefonla bir görüşme yapılmadığı, yaklaşık bir yıl sonra GSM numarasının kendisine ait olduğunu söyleyen şahsın şikayet dilekçesinin tarafına geldiği gün bu yanlış kaydın taraflarınca silindiği, bu verinin yurtiçinde ve/veya yurtdışında hiç kimse ile paylaşılmadığı

ifade edilmiştir. 

İlgili kişinin başvurusu ile ilgili olarak şikâyetine konu olan ilgili Şirket ve Hukuk Bürosu Avukatından alınan cevap yazıları ve ilgili dokümanların incelenmesi neticesinde; ilgili kişiye ait GSM numarasının, dosya ‘idari takip süreci’ndeyken diğer bir Hukuk Bürosu çalışanı tarafından temin edildiği ve Yasal Takip Sistemine büro çalışanı personel tarafından kaydedildiği bilgisinin edinilmesi üzerine söz konusu kaydı gerçekleştiren Hukuk Bürosundan ayrıca savunma, bilgi ve belge talep edilmiştir. İlgili Hukuk Bürosu Avukatından alınan cevabi yazıda ise özetle;

• İlgili kişiye ilişkin dosyanın şu an ofisin sisteminde kayıtlı olmadığı, bahsi geçen dosyanın Şirket tarafından YTS kullanılarak atandığı, bu dosyaların ofisinde yer alan personellerce sistemde yer alan telefon numaraları kullanılarak arandığı ve fatura borçlarının ödenmesinin sağlandığı,
• Şikâyete konu olan dosyanın da bu şekilde taraflarına 2018 yılında atanmış bir dosya olduğu, Hukuk Bürolarında kaldığı süre boyunca borçluya sistemde yer alan telefonlarla ulaşılmaya çalışıldığı, dosyanın şu an kendisinin uhdesinde olmadığı için ne gibi işlemler yapıldığını görmesinin mümkün olmadığı, 
• Müvekkil Şirket tarafından, ilgili kişiye ait telefon numarasının ofislerince sisteme kayıt edildiği bilgisinin tarafına iletildiği, Şirketin verdiği bilgiye göre eski bir personelin sisteme şikâyete konu olan numarayı işlediğini öğrenmiş bulunduğu, bu tespit sonucu eski çalışanı ile irtibata geçtiği,
• Eski çalışanının; 2018 yılının Haziran, Temmuz aylarında gerçekleşen olayda kişiyi hatırlamadığını, kişinin telefonu sistemde kayıtlı ise veya tarafınca kayıt edildiyse 118 sorgu gibi kamuya açık portallardan ya da borçlu şahıs veya yakınlarının paylaşması sonucu bu bilgiye ulaşmış olabileceğini, şikâyetçinin telefon numarasının müvekkil Şirketin borçlusu tarafından bürolarınca paylaşılabileceğini ve bu şekilde işlenebileceğini söylediği,
• Çalışanı tarafından şikâyetçiye ait telefon numarasının irtibat numarası olarak kayıt edilmediği, şahsın telefon numarasının kimse ile paylaşılmadığı, sadece kurumun yaptığı işlemi bilmesi adına not alındığı,
• Söz konusu GSM numarasının tarafınca işlenmediği, ofisinde çalışan personelin Şirkete ait sisteme giriş yaptığı ve borçlular ile yaptıkları görüşmelere istinaden bir takım notlar alabildiği, bu numaranın da eski çalışanın beyanına göre 118 sorgu siteleri gibi kamuya açık portallardan edinilmiş ya da borçlu şahsın kendisi tarafından personele verilmiş olabileceği, bu numaranın sadece müvekkil firmayı dosyada yapılan işlem açısından bilgilendirme amaçlı olarak görüşme yapıldığına ilişkin not düşüldüğü

ifade edilmiştir. 

Bu çerçevede, konuya ilişkin olarak yapılan incelemede, Kişisel Verileri Koruma Kurulunun 09/02/2021 tarihli ve 2021/111 sayılı Kararı ile,

• Kanunun “Tanımlar” başlıklı 3 üncü maddesinde  “veri sorumlusu” nun kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlandığı, Kişisel Verilerin Korunması Kanununa İlişkin Uygulama Rehberinde de belirtildiği üzere veri sorumlusunun işleme faaliyetinin neden ve nasıl yapılacağı sorularına cevap veren kişi olduğu,  bu doğrultuda, somut bir olayda veri sorumlusu belirlenirken kişisel verilerin toplanması ve toplama yöntemi, toplanacak kişisel veri türleri, toplanan verilerin hangi amaçlarla kullanılacağı, hangi bireylerin kişisel verilerinin toplanacağı, toplanan verilerin paylaşılıp paylaşılmayacağı, paylaşılacaksa kiminle paylaşılacağı ve verilerin ne kadar süreyle saklanacağına kimin karar verdiği hususlarının dikkate alındığı,  
• Karara konu somut olayda, alacaklı Şirketin abonelerine ait borçların tahsilatına ilişkin olarak iki aşamalı bir süreci sözleşmeli avukatlar aracılığı ile uyguladığı, bu süreçlerin ‘idari takip aşaması’ ve ‘icra takip aşaması’ olarak adlandırıldığı, idari takip aşamasına geçilmeden önce üyelere ait bilgilerin Şirket tarafından Yasal Takip Sistemi adı verilen sisteme aktarıldığı ve alacağın tahsilini sağlamak üzere yapılan işlemlerin bu sistem aracılığıyla gerçekleştirildiği, 
• Söz konusu olayda ilk Hukuk Bürosu avukatının ‘idari takip süreci’nde yer aldığı ve bu süre zarfında da ilgili kişiye ait iletişim bilgisinin Hukuk Bürosu çalışanı tarafından temin edilerek YTS isimli sisteme işlendiğinin gerek şirket gerek SMS gönderimi işlemini yapan ikinci Hukuk Bürosu Avukatı tarafından beyan edildiği,  bununla birlikte Kuruma sunulan evraklarda da ilk Hukuk Bürosu çalışanı tarafından ilgili kişiye ait iletişim bilgisinin işlendiğinin tevsik edildiği, 
• Bu kapsamda somut olayda ilgili kişiye ait telefon numarası Şirket tarafından alacağın tahsilini sağlamak üzere ilk Hukuk Bürosuna aktarılmadığı halde söz konusu Hukuk Bürosu çalışanı tarafından numaranın borçlu kişinin yakınına ait olduğunu belirli kılacak şekilde  ‘not’ olarak kaydedildiği, dolayısıyla borçlu kişinin yakını olması nedeniyle ilgili kişiye ait telefon numarasının YTS sistemine işlendiğinin anlaşıldığı, 
• Bu anlamda veri sorumlusu belirlenirken kişisel verilerin toplanması ve toplama yöntemi, hangi bireylerin kişisel verilerinin toplanacağı gibi hususları belirleyen konumunda olup olmadığı dikkate alındığında ilk Hukuk Bürosu çalışanının ilgili sistemde borçlu kişiye ait olmayan ve YTS sisteminde bulunmayan numarayı bir şekilde temin ederek işlediği anlaşıldığından ilk Hukuk Bürosu Avukatının olay özelinde veri sorumlusu olduğu, 
• Diğer taraftan ikinci Hukuk Bürosu Avukatından alınan cevap yazısı ve ekinde yer alan belgeler incelendiğinde; “… ilk avukatlık bürosunun YTS’ye girmiş olduğu verilerle birlikte …” sonraki aşamanın gerçekleştirilmesi için ikinci Hukuk Bürosuna gönderildiği, numaranın YTS sisteminde kişinin yakınına ait olduğu notu ile işlendiği ve bu bilginin de ikinci Hukuk Bürosu Avukatı ile paylaşıldığı anlaşıldığından, bahse konu telefon numarasının borçlu kişiye ait olmadığı bilgisinin mevcut ve açıkça belirli olduğu halde kullanılarak SMS gönderildiği hususu dikkate alındığında SMS gönderimi işlemini yapan ikinci Hukuk Bürosu Avukatının da YTS isimli kayıt sistemi çerçevesinde kişisel veri işleme faaliyetinde bulunduğu dolayısıyla veri sorumlusu olduğu, 
• Bu çerçevede kişisel verilerin işlenme amaç ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yürütülmesinden sorumlu olan Şirketin ve Şirket tarafından yürütüldüğü anlaşılan YTS isimli kayıt sistemine kendilerine tevdi edilen dosyalara ek veri girişinde bulunmak suretiyle kendi amaçları doğrultusunda etki yapan ve işleme faaliyetinin amaç ve araçlarının belirlenmesi sürecine katılan ilk Hukuk Bürosu Avukatının ve ilgili verileri amaçları doğrultusunda kullanmak suretiyle işleyen ikinci Hukuk Bürosu Avukatının sürecin belli aşamalarında veri işleme faaliyetine katıldığının anlaşıldığı, bu çerçevede Şirket ile birlikte ilgili hukuk büroları avukatlarının da veri sorumlusu olduğu sonucuna varıldığı, 
• Diğer taraftan 6698 sayılı Kanunun “Genel İlkeler” başlıklı 4 üncü maddesinde kişisel verilerin, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği ile kişisel verilerin işlenmesinde hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyulmasının zorunlu olduğunun düzenlendiği, kişisel veri işleme faaliyeti gerçekleştirilirken, veri işleme şartı sağlansa dahi kişisel verilerin işlenmesine ilişkin genel ilkelerin tüm kişisel veri işleme faaliyetlerinin özünde bulunması ve bu ilkelere uygun olarak kişisel veri işleme faaliyetlerinin gerçekleştirilmesinin gerektiği, söz konusu şikâyete konu olayda veri sorumlusu Şirket tarafından borç takibi yapılabilmesi amacıyla kullanılan sisteme ilk Avukat tarafından girilen verilerin doğruluğu ve güncelliği noktasında gerekli denetim ve kontroller yapılmaksızın dosyanın ikinci bir avukat ile paylaşıldığı anlaşıldığından söz konusu davranışın genel ilkelerden biri olan doğru ve gerektiğinde güncel olma ilkesine aykırılık teşkil ettiği,
• Öte yandan, Kanunun “Kişisel Verilerin İşlenme Şartları” başlıklı 5 inci maddesinin birinci fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, ikinci fıkrasında ise kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarından birinin varlığı halinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olduğu hükümlerinin yer aldığı,
• İlgili kişinin kişisel verilerinin açık rızası olmaksızın işlendiği iddiası ile ilgili olarak ilk Hukuk Bürosu Avukatından alınan cevap yazısında; ilgili kişinin telefon numarasının nasıl temin edildiği konusunda 118 sorgu gibi kamuya açık portallardan edinilmesi ya da borçlu şahıs veya yakınlarının paylaşması sonucu bu bilgiye ulaşılmış olunabileceği açıklamalarına yer verildiği, dolayısıyla ileri sürülen olasılıkların açık rıza dışındaki işleme şartlarına ilişkin bir hukuki dayanak oluşturmadığı, aynı zamanda hukuki anlamda somut zemine oturan açıklamalar olmadığının anlaşıldığı, bu kapsamda Kanunun 5 inci maddesinin ikinci fıkrasında yer alan açık rıza dışındaki kişisel veri işleme şartlarından herhangi biri geçerli olmadığı halde kişisel veri niteliğinde olan ilgili kişiye ait iletişim bilgisinin, yakınının borcu olması dolayısıyla Avukat tarafından işlendiği sonucuna varıldığı,
• Diğer taraftan Hukuk Bürolarının ortak kullanımda olan YTS sisteminde ilgili kişiye ait telefon numarasının kişinin yakınına ait olduğu bilgisinin mevcut olmasına rağmen ikinci Hukuk Bürosu Avukatı tarafından ilgili kişiye SMS göndermek suretiyle Kanunun 5 inci maddesinde yer alan kişisel veri işleme şartlarından herhangi biri söz konusu olmadığı halde ayrıca işlendiği bu itibarla, avukat tarafından kişisel verilerin hukuka aykırı işlenmesini önlemek adına gerekli dikkat ve özen yükümlülüğünün yerine getirilmeyerek hukuka aykırı kişisel veri işleme faaliyetinde bulunulduğu,

değerlendirmelerinden hareketle;

• İlgili kişinin telefon numarasının ilk Hukuk Bürosu çalışanı tarafından temin edilmesi ve işlenmesine ilişkin olarak, veri sorumlusu Avukat tarafından ileri sürülen hususların Kanunun 5 inci maddesinin ikinci fıkrasında yer alan açık rıza dışındaki kişisel veri işleme şartlarından herhangi birine dayanak teşkil etmediği dolayısıyla veri sorumlusu Avukatın Kanunun “Veri Güvenliğine İlişkin Yükümlülükler” başlıklı 12 nci maddesinin birinci fıkrasının (a) bendinde öngörülen yükümlülüğü yerine getirmediği kanaatine varıldığından, veri sorumlusu Avukat hakkında, Kanunun 18 inci maddesinin birinci fıkrasının (b) bendi uyarınca 50.000 TL idari para cezası uygulanmasına, 
• Şirket tarafından borç takibi yapılabilmesi amacıyla kullanılan sisteme ilk Avukat tarafından girilen verilerin Kanunun 4 üncü maddesi gereğince doğruluğu ve güncelliğini sağlama noktasında gerekli denetim ve kontroller yapılmaksızın ikinci Avukat ile paylaşılması sebebiyle veri sorumlusu Şirketin gerekli teknik ve idari tedbirleri almadığı dolayısıyla Kanunun “Veri Güvenliğine İlişkin Yükümlülükler” başlıklı 12 nci maddesinin birinci fıkrasında yer alan yükümlülüğünü yerine getirmediği kanaatine varıldığından, veri sorumlusu Şirket hakkında Kanunun 18 inci maddesinin birinci fıkrasının (b) bendi uyarınca 115.000 TL idari para cezası uygulanmasına,
• YTS sisteminde bulunan telefon numarasının, kişinin yakınına ait olduğu bilgisi mevcut olmasına rağmen veri sorumlusu Avukat tarafından ilgili kişiye SMS göndermek suretiyle Kanunun 5 inci maddesinde yer alan kişisel veri işleme şartlarından herhangi biri söz konusu olmadığı halde işlendiği bu itibarla, veri sorumlusu avukat tarafından Kanunun “Veri Güvenliğine İlişkin Yükümlülükler” başlıklı 12 nci maddesinin birinci fıkrasının (a) bendinde öngörülen yükümlülüğün yerine getirilmediği kanaatine varıldığından, veri sorumlusu Avukat hakkında, Kanunun 18 inci maddesinin birinci fıkrasının (b) bendi uyarınca, 50.000 TL idari para cezası uygulanmasına

karar verilmiştir.