“Bankaya olan borcundan dolayı ilgili kişinin yakınına Bankanın sözleşmeli avukatı tarafından ilgili kişinin borç bilgisinin iletilmesi” hakkında Kişisel Verileri Koruma Kurulunun 09/02/2021 tarihli ve 2021/115 sayılı Karar Özeti

Karar Tarihi    :    09/02/2021
Karar No    :    2021/115
Konu Özeti    :    Bankaya olan borcundan dolayı ilgili kişinin yakınına, Bankanın sözleşmeli avukatı tarafından ilgili kişinin borç bilgisinin iletilmesi

Kuruma intikal eden şikâyette ilgili kişi tarafından, Bankaya olan borcu sebebiyle kız kardeşinin cep telefonu numarasının Bankanın sözleşmeli avukatı tarafından aranması ve cep telefonu numarasına SMS gönderilmesi suretiyle kişisel verisinin avukat tarafından hukuka aykırı olarak paylaşıldığı belirtilerek, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlusu hakkında gereğinin yapılması talep edilmiştir.

Konuya ilişkin olarak başlatılan inceleme çerçevesinde Bankanın sözleşmeli Avukatından savunması istenilmiş olup, alınan cevabi yazıda özetle;

– Bankanın gecikmiş alacaklarının gerek yasal gerek idari takibini gerçekleştirdiği, vekâlet ilişkisi çerçevesinde tarafınca ulaşılması beklenen müşterilere ait tüm iletişim numaralarının müvekkili Banka tarafından “irtibat bilgisi” olarak iletildiği, söz konusu iletişim bilgilerinin müvekkili Banka tarafından borçlu adına olan numaraların sorgulanması neticesinde referans bilgileri olarak gönderilmesi sebebiyle iletişim numarasını kullanmakta olan kişilerin dosyayla olan ilgisinin bilinmesinin ilk aşamada mümkün olmadığı, başka bir deyişle tarafınca sadece tevdi alınan dosyalar ile birlikte iletilen iletişim numaraları üzerinden borçlulara ulaşıldığı, ne var ki ilk aşamada tespit edilebilmesi mümkün olmamasına karşın mevcut bir numaranın borçlu ile ilgisi olmadığının anlaşılması halinde ivedilikle durumun Bankaya bildirildiği ve borçluya ait olmayan numaranın sistemden çıkartıldığı,

– Banka ile arasında bir “vekâlet ilişkisi” nin söz konusu olduğu, Bankanın bankacılık faaliyetleri kapsamında müşterilerine ait birçok kişisel veriyi işlediği, Bankadan kredi kullanmış fakat ödemesinde gecikmiş müşterilerin öncelikle uhdesinde bulunan bir ekip tarafından arandığı ve ödemeye davet edildiği, kendilerine tanınan süre içerisinde ödeme gerçekleştirmeyen müşterilere ait dosyaların Bankanın kendisi gibi dışarıdan hizmet aldığı hukuk bürolarına yönlendirildiği ve Bankanın talimatlarıyla idari ve yasal takip sürecinin yürütüldüğü, Bankanın müşterilerine ait tüm kişisel verilerini yine Bankanın kendisi tarafından “Veri Sorumlusu” sıfatı ile işlediği, “Vekil” sıfatı ile takibini gerçekleştirdiği dosyalarda yer alan müşterilere ait tüm kişisel verilerin hukuk bürosuna yine Banka tarafından iletildiği, 

– Vekilliği yürütülen Banka tarafından dosyaları hukuk bürosuna tevdi edilen müşterilere gerçekleştirilen ilk otomatik aramalarda hiçbir şekilde borçlu adı, borç miktarı yahut banka bilgisine yer verilmediği, otomatik aramalarda dinletilen metinlerin somut şikâyette olduğu gibi dosya ile ilgili olmayan bir kişiye ulaşılması ihtimalinde Kanunu ihlal edici bir fiilin meydana gelmemesi amacıyla tasarlandığı,

– Şikâyete konu iletişim numarasının Banka tarafından ilgili kişinin iletişim bilgisi olarak sisteme kaydedildiği, ilgili kişinin dosyasının hukuk bürosuna tevdi edilmesi ile birlikte tarafınca dosya içerisinde yer alan tüm iletişim numaralarından borçluya ulaşılmaya çalışıldığı, gerçekleştirilen ilk otomatik arama akabinde numaranın ilgili kişiye ait olmadığının anlaşıldığı ve Bankaya konu hakkında bilgi verilerek numaranın kayıtlardan çıkarıldığı, şahsı ve hukuk bürosunun mevcut olayda kişisel verilerin korunması hukuku çerçevesinde yasal mevzuatı ihlal edici nitelikte hiçbir icrai yahut ihmali fiilinin bulunmadığı, vekil sıfatı ile yürüttüğü işler kapsamında ilgili kişinin kız kardeşine ait olduğunu iddia ettiği numaranın sisteme kaydedilmiş olmasında hiçbir sorumluluğunun bulunmadığı, hukuk bürosunda Bankanın borçluları ile gerçekleştirilen ilk temasta hiçbir isim, borç yahut banka bilgisine yer verilmemesi ve tarafınca takibi gerçekleştirilen dosyalar açısından herhangi bir ihlale mahal vermemesi adına azami gayretin sarf edilmekte olduğu ifade edilmiştir.

Avukatın savunma, bilgi ve belge talebine vermiş olduğu cevabi yazısının Kuruma iletilmesini müteakip bahse konu başvuru hakkında Bankadan savunması talep edilmiş olup, Banka savunmasında özetle;  

– Bankanın müşterisi olan ilgili kişinin ödenmemiş borçları sebebiyle 30.12.2016 ve 30.01.2017 tarihlerinde tasfiyeye alındığı, Bankanın alacaklarının tahsilatı için gerekli bilgilerin Banka alacaklarının tahsilatına ilişkin avukatlık hizmetlerinin gerçekleştirilmesine ilişkin olarak İcra Takibi Öncesi Tahsilat Hizmeti Sözleşmesi kapsamında Bankanın sözleşmeli hukuk bürosuna aktarıldığı,

– Yasal Takip Sisteminin Bankanın yasal takip sürecinde olan müşterilerinin bilgilerine sözleşmeli avukatların erişebildiği ve numara ekleme çıkarma yapabildikleri bir sistem olduğu, ilgili kişiye ait telefon numarasının bu sisteme ‘Diğer Telefonu’ olarak kaydedildiği, sözleşmeli avukatlar tarafından verilen hizmetlerde müşteri teyidinin yapılmadan müşteriye ait hiçbir bilginin verilmemesinin ana kuralları olduğu, Avukatın da beyan ettiği gibi teyit edilmeyen numaralar ile yapılan tüm iletişimlerde kişisel veriler ile ilgili her türlü tedbir alınarak hareket edilmesi gerektiği, 

– Bu kapsamda Banka tarafından tasfiye dosyası aktarılan tüm hukuk bürolarına 02.09.2019 ve 21.11.2019 tarihlerinde borçluya, kefiller ve diğer tüm taraflara (rehin maliki, çeki senet cirantaları, keşidecileri, aval verenleri vb., ayni ve/veya şahsi olarak takip ve/veya davalara muhatap olan tüm ilgililer) ait kişisel verilerin 3. şahıslar ile paylaşılmaması, borçlu ve kefiller başta olmak üzere yukarıda yer verilen tüm taraflar ile iletişim kurulan tüm kanallarda kişisel verilerin gizliliğinin korunması yönünde gerekli tedbirlerin alınması hususlarında hassasiyet gösterilmesi konularında gerekli bilgilendirmelerin yapıldığı,

– İlgili kişinin Bankaya yapmış olduğu başvuru kapsamında Avukata ait hukuk bürosu ile irtibata geçilerek, ilgili kişinin hangi numaralardan arandığı, hangi telefonlara SMS gönderildiği hususlarında detaylı bilgi talep edilmesi sonrası, hukuk bürosundan ilgili kişinin daha önceden kendilerini arayarak kız kardeşinin cep telefonuna SMS ve arama gitmesinden dolayı şikayetini ilettiği, telefonu kardeşinin kullandığı ve kardeşi ile bilgilerinin paylaşıldığını iddia ettiği, söz konusu numaranın iletişim bilgilerinde yer aldığı ancak bu numara ile görüşme yapılmadığı, 3. şahsın sadece gönderilen SMS’lerden bilgi sahibi olmuş olabileceği iletilse de ilgili kişinin şikayetinin devam ettiği, numaranın Yasal Takip Sisteminden silindiği bilgisinin alındığı, söz konusu numaranın avukatlık bürosu tarafından Yasal Takip Sisteminden 22.11.2019 tarihinde kaldırıldığı ifade edilmiştir. 

Konuya ilişkin yapılan incelemede, Kişisel Verileri Koruma Kurulunun 09/02/2021 tarihli ve 2021/115 sayılı Kararı ile,

– Somut olayda, Avukatın Banka ile arasındaki vekâlet ilişkisine istinaden tarafınca Bankanın gecikmiş alacaklarının gerek yasal gerekse de idari takibini gerçekleştirdiği, vekalet ilişkisi çerçevesinde tarafınca ulaşılması beklenen müşterilere ait tüm iletişim numaralarının müvekkili Banka tarafından “irtibat bilgisi” olarak iletildiği, dilekçesi ekinde yer alan belgelerden de incelemeye konu iletişim numarasının bizzat Banka tarafından işlerin takibinde kullanılan Yasal Takip Sistemine kaydedilmiş olduğunun anlaşıldığı, müşterilerin Bankayı sistemlerinde kayıtlı olan iletişim numarasından farklı bir numara ile aramaları durumunda, ilgili numaranın sistemlerine alternatif numara olarak kaydedildiği, müşterilerin ödemelerinin gecikmesi durumunda, müşterilerine sistemde kayıtlı numaralarından ulaşılamadığında alternatif numaraların arandığının anlaşıldığı; bu çerçevede, Bankanın kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olduğu ve veri sorumlusu sıfatını haiz olduğu;  

– İlgili kişinin kız kardeşine ait olan numarayı asla iletişim numarası olarak kullanmadığı şeklindeki iddiasına ilişkin olarak Bankanın müşterilerinin sistemlerinde kayıtlı olan iletişim numarasından farklı bir numara ile aramaları durumunda ilgili numaranın sistemlerine alternatif numara olarak kaydedildiği, müşterilerin ödemelerinin gecikmesi durumunda, müşterilerine sistemde kayıtlı numaralarından ulaşılamadığında, alternatif numaralar aranarak, hiçbir kişisel bilgi paylaşılmaksızın müşterilerinin Bankayı araması hususunda not bırakıldığı savunması ve Kanunun 3 üncü maddesinde unsurları belirtilen açık rızanın kişinin sahip olduğu verinin işlenmesine, kendi isteği ile hukuka uygun şekilde onay vermesi anlamını taşıdığı dikkate alındığında ilgili kişinin kız kardeşine ait olan telefon numarasının Bankanın sistemlerine kayıt edilmesi işleminin ilgili kişinin açık rızasına dayanılarak yapıldığı sonucuna varılamayacağı, diğer taraftan Kanunun 5 inci maddesinde yer alan diğer işleme şartlarından birine dayanılarak da yapılmadığı, bu kapsamda, ilgili kişinin kız kardeşine ait telefon numarasının Banka tarafından hukuka aykırı olarak işlendiğinin değerlendirildiği,

– Bankanın alacaklarının borçlu müşteriler aleyhinde icra takibine geçilmeden müşterilerle uzlaşarak tahsil edilebilmesi amacıyla icra takibi öncesinde tahsilat hizmeti aldığı ve kişisel verileri aralarında sözleşme imzaladıkları hukuk bürolarına aktardığını ifade ettiği; bu çerçevede, Bankanın müşterilerine ilişkin kişisel verileri hukuk bürolarına aktarmasının Kanunun 5 inci maddesinin (2) numaralı fıkrasının (c) bendinde yer alan “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması” veya (e) bendinde yer alan “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” çerçevesinde olduğu; dolayısıyla Bankanın alacaklarının borçlu müşterilerden tahsilini sağlamak üzere Avukata hukuka uygun şekilde erişim yetkisi verildiğinin değerlendirildiği; ancak Kanun hükümleri gereğince açık rıza aranmaksızın işlenecek kişisel verilerin borçluya ait olması gerektiği, bu kapsamda somut olayda Banka ile bağı olmayan ve bahse konu icra işlemine konu kişisel verisi bulunmayan ilgili kişinin kız kardeşinin cep telefonu numarasına erişim yetkisi verildiğinin anlaşıldığı, ancak Bankanın kendi bünyesinde oluşturduğu Yasal Takip Sisteminde yer alan ilgili kişinin kişisel verileri haricinde kız kardeşinin telefon numarasını Avukat ile paylaşmasının Kanun kapsamında gerçekleştirilebilecek bir kişisel veri işleme faaliyeti olmadığı ve hukuka aykırı olduğunun değerlendirildiği, bu durumun Kanunun 12 nci maddesinin (1) numaralı fıkrasının (a) bendine aykırılık teşkil ettiği kanaatine varıldığı,

– Avukatın ise Avukatlık Kanunundan kaynaklanan yükümlülükleri ve yürütmekte olduğu icra işlemleri bakımından İcra İflas Kanunu ve ikincil mevzuat düzenlemelerinden kaynaklanan hukuki yükümlülüklerini yerine getirmek amacıyla Bankanın verdiği talimatlar çerçevesinde onun adına kişisel verileri işlediği ve somut olayda veri işleyen sıfatını haiz olduğu,

– Avukatın söz konusu Yasal Takip Sisteminde “diğer telefonu” olarak kayıtlı olan telefon numarasının ilgili kişinin kız kardeşinin telefon numarası olup olmadığını ilk anda bilecek durumda olmadığı, zira sistemde bu telefon numarasının ilgili kişi haricinde kime ait olduğunun belirtilmediği, ilgili kişinin kız kardeşine sırasıyla 01.07.2019, 18.09.2019, 19.09.2020 ve 13.11.2019 tarihinde SMS’ler gönderildiği, 21.11.2019 tarihinde otomatik aramanın gittiği ve ilk otomatik arama sonrasında numaranın ilgili kişiye ait olmadığının anlaşıldığı ve veri sorumlusuna konu hakkında bilgi verilerek numaranın kayıtlardan çıkarıldığı değerlendirmelerinden hareketle;

– Banka tarafından ilgili kişinin kız kardeşinin cep telefonu numarasının Yasal Takip Sistemine kaydedilmesi işleminin ilgili kişinin açık rızasının alınması şartına dayanılarak yapılmadığı anlaşıldığından söz konusu kişisel verinin elde edilmesinin Kanunun 5 inci maddesine aykırı olduğu; diğer taraftan Bankanın söz konusu kişisel veriyi elde etmesinin akabinde kendi bünyesinde oluşturduğu Yasal Takip Sisteminde yer alan ilgili kişinin kişisel verileri haricinde kız kardeşinin telefon numarasını Avukat ile paylaşmasının hukuka aykırı olduğu değerlendirilmekte olup, bu durumun Kanunun 12 nci maddesinin (1) numaralı fıkrasının (a) bendine aykırılık teşkil ettiği kanaatine varıldığından Banka hakkında Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 175.000 TL idari para cezası uygulanmasına,

– Avukatın söz konusu Yasal Takip Sisteminde “diğer telefonu” olarak kayıtlı olan telefon numarasının ilgili kişinin kız kardeşinin telefon numarası olup olmadığını ilk anda bilecek durumda olmadığı, zira sistemde bu telefon numarasının ilgili kişi haricinde kime ait olduğunun belirtilmediği, ilgili kişinin kız kardeşine sırasıyla 01.07.2019, 18.09.2019, 19.09.2020 ve 13.11.2019 tarihinde SMS’ler gönderildiği, 21.11.2019 tarihinde otomatik aramanın gittiği ve ilk otomatik arama sonrasında numaranın ilgili kişiye ait olmadığının anlaşıldığı ve veri sorumlusuna konu hakkında bilgi verilerek numaranın kayıtlardan çıkarıldığı dikkate alındığında avukat hakkında yapılacak bir işlem olmadığına karar verilmiştir.