Karara konu şikayet dilekçesinde ilgili kişi; banka borcundan dolayı hakkında icra takibi başlatıldığını ve kendisi ile aynı mekanda konaklayan iş arkadaşlarına ve abisine, alacaklı bankanın vekili tarafından adını ve haciz talimatını içerir kısa mesajlar gönderildiğini ifade etmiştir.
Kurul, başlattığı inceleme sonucunda alacaklı banka vekili olarak görev yapan avukattan savunmasını istemiştir. Veri sorumlusu avukat savunmasında özetle; şikayetçinin ilettiği hususa ilişkin şikayetinden Kurum’un savunma talepli yazısı ile haberdar olduğunu, daha önce şikayetçi tarafından gönderildiği iddia edilen e-mailinin okunma ihtimalinin olmadığını, bu sebeple otuz günlük sürede cevap alınamadığı iddiasının gerçeği yansıtmadığını, ilgili kişinin banka ile kredi sözleşmesi kapsamında kimlik, adres, telefon ve maaş bilgilerini rızası ile paylaştığını, kullandığı kredi borcunu ödeyememesi sebebiyle icra takibi başlatıldığını, kanunen usulüne uygun yapılan tebligatlar ile takibin kesinleştiğini, takibin üzerinden 5 yılı aşkın süre geçtiğini, ilgili kişinin borç konusu krediyi ödemediğini, ilgili kişinin kendisine atılan borç hatırlatma mesajlarından rahatsız olmasının samimi olmadığını, bu mesajların kişinin rızası ile gönderildiğini, ilgili kişinin 5 yıllık süreçte kendilerini aradığı farklı numaralar sebebiyle sistemde tüm numaraların kaydedilmiş olduğunu, abonelik sorgulaması yapıldığında borçlu adına birçok (on sekiz tane) telefon numarası kayıtlı olduğunun anlaşılacağını, Kişisel Verilerin Korunması Kanunundan kamuoyunun henüz haberdar olmadığı, kendisinin şikayet üstüne incelediğini, “Kanunu bilmemek mazeret sayılmaz” ilkesine rağmen hukuk sistemimize tamamen yabancı ve uygulama için geçiş süresi tanınan bu Kanun ve onun uygulayıcısı Kurumun konulara daha toleransla yaklaşması gerektiği, kendi hukuk büroları statüsünde olanların sicile kayıt zorunluluk süresinin 30.09.2020 tarihine ötelendiği, konunun savcılığa yapılan şikayetler sebebiyle Kurum’un görev alanından çıktığını, başvuru yollarının ilgili tarafından tüketilmemiş olması ve başvurunun süresinde yapılmamış olması sebebiyle usul yönünden şikayetin reddine karar verilmesi gerektiğini, avukatın müvekkilin çıkarlarını gözetmek zorunda olduğunu, şikayetçinin borcunu icra takip masrafları ile arttırmaktan ziyade; kendisini Avukatlık Kanununun 35/A maddesi uyarınca uzlaşmaya yani belirli indirimler yaparak borcunu ödemede kolaylık sağlamaya davet etmesinin hukuka uygun olduğu, şikayetçi borçlunun telefonlara yanıt vermemesi sebebiyle mesaj yolunun kullanıldığını, şikayetçinin arandığında görüşmeyi kabul ederek onaylaması ve bilgi talep etmesi üzerine ödemede sağlanacak kolaylıklar ve borcun ödenmemesi halinde karşılaşabileceği hukuki risklerin SMS ile şikayetçi borçluya bildirildiğini, Kanun’un 1. geçici madde uyarınca aksine beyanda bulunduğunu kanıtlayamayan şikayetçinin rızasının devam ettiğinin kabul edilmesi gerektiği, Kanunun 5 inci maddesinin 2 numaralı fıkrasının (e) bendi dikkate alındığında; işlenen veri açısından şikayetçi borçlunun açık rızasına da gerek bulunmadığını, amaçlarının borçluya ulaşmak ve onu bilgilendirmek olduğu; mesaj atılan iş arkadaşlarının ve ağabeyinin kullandığı cep telefonlarını araştırarak bulma ve SMS gönderme gibi özel bir kasıtla hareket edilmediği iddia ve beyan etmiştir.
Şikayetçi, sunduğu ek beyanında, kişisel verilerinin paylaşıldığı tarihte şahsına ait tek bir hattın olduğunu, kişisel verilerinin banka ile yapmış olduğu sözleşme kapsamında alenileştirilmiş olduğu açıklamasının doğru olmadığını, mesaj atılan numaraların şahsına ait olduğunu düşündüğünü belirtmiş olmasına rağmen gönderilen mesajlarda o dönem beraber görev yaptığı bir başka iş arkadaşının borç bilgilerinin de paylaşılmış olduğunu, avukat tarafında verilen savunmanın gerçeği yansıtmadığını belirtmiştir.
Kurum tarafından yapılan inceleme sonucunda; usule ilişkin olarak, Kanun’un 13/2 maddesinde belirtilen 30 günlük sürenin Kurum yazısının tebliğ alındığı tarihten itibaren başlayamayacağını, Kuruma yapılan başvurunun süresi içinde yapıldığını, Kurum tarafından konuya ilişkin incelemenin sürdüğü ve sonuçlanmasını müteakip tarafına bilgi verileceği hususunun ilgili kişiye tebliğ edilmiş olduğunu belirtmiş ve usule ilişkin itirazlarının reddine karar vermiştir.
Esasa ilişkin olarak ise Kurum, olayda veri sorumlusunun bir avukat olduğunu, müvekkilinin menfaatlerini korumak amacıyla hareket ettiğini, Avukatlık Kanunu ve ilgili diğer mevzuatlardan kaynaklanan yükümlülüklerini yerine getirmek amacıyla ilgili kişiye ait verileri işlediği, bu kapsamda KVKK m.5/2 uyarınca ilgilinin açık rızası olmaksızın kişisel verilerinin işlemesinin kanuna uygun olduğu belirtmiştir.
Ancak bu kapsamda işlenecek verilerin borçluya ait olması gerektiğine vurgu yapılmıştır. Bu kapsamda, Kurulca, karara konu olayda, ilgili kişinin abisi ve iş arkadaşlarının telefon numaralarının işlenmesi ve daha sonra şikayetçi ilgili kişiye ait kişisel verilerin bu üçüncü kişilere gönderilmesinin, Kanunun 5/2.maddesi kapsamında gerçekleştirilebilecek bir kişisel veri işleme faaliyeti olmadığı, ilgili kişinin abisi ve iş arkadaşlarının numaralarının nasıl elde edildiğinin belli olmadığı, avukatın savunma dilekçesinde belirttiği gerekçelerin Kanunda belirtilen istisnalar kapsamında yer alamayacağı ve bu sebeple bu numaraların işlenmesinin hukuka aykırı olduğu belirtilmiştir. Nitekim gönderilen ekran görüntülerinin incelenmesi sonucunda mesajların muhtelif tarihlerde birden fazla gönderildiği ve ilgili kişi dışında bir başka şahsın borç bilgilerinin de paylaşıldığının görüldüğü tespit edilmiştir.
KVKK m.12 uyarınca veri sorumluları, işlenen kişisel verilerin muhafazası için her türlü teknik ve idari tedbiri almak zorundadır. Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu sebeple Kurum, belirtilen olayda veri sorumlusu olarak yer alan avukat tarafından ilgili kişinin abisi ve iş arkadaşlarının telefon numaralarına erişiminin nasıl olduğunun belirlenememesi, şikayetçiye ait kişisel verilerin bu numaralarla paylaşılması göz önüne alındığında bu durumların Kanuna aykırılık teşkil ettiğini ve veri sorumlusu avukatın işlediği kişisel verilerin muhafazası için gerekli önlemleri almadığı kanaatine varmıştır.
Kurum, veri sorumlusu avukatın görevi gereği edindiği veya ilgili kişinin veri sorumlusu avukata başvurmak amacıyla kendisine bildirmiş olduğu kişisel verilerin alenileştirilmiş veri olduğunun söylemesinin mümkün olmadığını, Kişisel Verilerin Korunması Kanununa İlişkin Uygulama Rehberinde belirtildiği üzere, alenileştirmeden söz edilebilmesi için ilgili kişinin alenileştirme iradesinin bulunması ve ayrıca verinin alenileştirme amacı dışında kullanılmaması gerektiğini belirtmiştir. Bu kapsamda kişinin kişisel verileri kullanılarak GSM aboneliklerinin ve borçlarının sorgulanmasının alenileştirme olarak kabul edilemeyeceği belirtilmiştir.
KVKK m.4/2 uyarınca kişisel veriler, belirli, açık ve meşru amaçlar için işlenmeli ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Bu nedenle, icra işlemleri için işlenen verilerin belirtildiği şekilde sorgulama amaçlı kullanılmasının hukuka aykırılık teşkil ettiği değerlendirilmiştir.
Avukatın savunmasında belirttiği kanunun kamuoyunca bilinmediği ve içselleştirilmediği açıklamasına cevaben Kurum, Kanun’un 2016 yılında yürürlüğe girmiş olduğunu, geçiş hükümleri uyarınca iki yıllık uyum süresi verildiği, mesleği gereği mevzuat konularına hakim olması gereken veri sorumlusu avukatın söz konusu açıklamasının kabul edilebilir olmadığı değerlendirilmiştir. Ek olarak, 02.04.2018 tarih ve 2018/32 sayılı Karar uyarınca “19/3/1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar”ın VERBİS’e kayıt yükümlülüğünden istisna tutulduğu belirtilmiştir.
Ofislerde kullanılan yazılımlar bakımından “Hukuka Aykırı Olarak Elde Edilen Veriler Üzerinden Vatandaşların Kimlik ve İletişim Bilgileri Gibi Kişisel Verilerinin Sorgulanmasına İmkân Tanıyan Yazılım/Program/Uygulamalara Yönelik” 18/10/2019 tarihli ve 2019/308 sayılı İlke Kararının veri sorumlusunca dikkate alınması gerektiği değerlendirilmiş, veri sorumlusu avukatın Kanuna uyum konusunda azami dikkat ve özenin gösterilmesi hususunda veri sorumlusunun talimatlandırılmasının uygun olacağı kanaatine varmıştır.
Kurum’a iletilen savunmada yer alan konunun yargı birimlerine intikal ettiği gerekçesiyle Kurum’un yetkisi olmadığı iddiasına karşı Kurum, iddianame kapsamındaki suçlar arasında kişisel verilere ilişkin suçlar bakımından bir değerlendirmeye yer verilmediği, bu anlamda şikayete konu eylemde hukuka aykırı bir kişisel veri işleme faaliyeti olduğu değerlendirildiğinden konunun Kurulun görev ve yetki alanında olduğu sonucuna varıldığını belirtmiştir.
Tüm bu gerekçelerle, Kurul; veri sorumlusu avukatın usule ilişkin itirazlarının reddine, veri sorumlusu avukatın ilgili kişinin abisi ve iş arkadaşlarının numaralarının varsayımlara dayanan ve tam olarak ispatlanamayan şekilde elde edilmesi, bu numaralar ile şikayetçinin kişisel verilerinin hukuka aykırı olarak paylaşılması, ilgili kişinin kişisel verilerinin işlenme amacı dışında kullanılarak GSM aboneliklerinin ve borçlarının sorgulanması, bu kapsamda gerekli teknik ve idari önlemlerin alınması yükümlülüklerinin yerine getirilmemesi sebebiyle ve veri sorumlusunca yürütülen veri işleme faaliyetinin Kanunun 12/1.maddesine aykırılık teşkil etmesi nedeniyle hakkında 125.000 TL idari para cezası uygulanmasına ve veri sorumlusu avukatın Kanuna uyum konusunda azami dikkat ve özenin gösterilmesi hususunda talimatlandırılmasına karar vermiştir.