Karara Konu Olayın Özeti
İlgili kişilerin ortağı olduğu ve tasfiyesi gerçekleşmiş limited şirkete ait olduğu iddia edilen bir borç nedeniyle veri sorumlusu avukatın ve bünyesinde çalışanların kendileri ile kısa mesaj gönderme ve arama yoluyla iletişim kurduğu ve bu kapsamda kişisel verilerinin işlendiği, konuya ilişkin yapılan başvuruya veri sorumlusunun verdiği cevap yazısında ortağı oldukları şirketin bir telekomünikasyon şirketine – veri sorumlusu bu şirketin vekilliğini yürütmektedir – olan borcundan ötürü icra takibi başlatılması nedeniyle Ticaret Sicil Gazetesi'nden ilgili şirketin ortaklarının kimlik bilgilerine ve bilinmeyen numaralar hizmeti sunan operatörler aracılığıyla ise telefon numaralarına ulaşıldığı, yapılan başvuru neticesinde veri sorumlusunca ilgili telefon numaralarına erişimin engellendiği ve bu numaranın başka bir kişi ile paylaşımının mümkün olmadığı, işlenen verilerin ise geri dönülemez şekilde yok edilmiş olduğu yönünde açıklamada bulunulduğu, buna karşın şirket ortaklarının şirket borçlarından dolayı şahsi sorumluluklarının bulunmaması sebebiyle yapılan veri işlemenin hukuki bir temeli olmadığı, kendilerini arayan veri sorumlusu çalışanlarına defaten şirketin tasfiye edildiği, alacağın zamanaşımına uğradığı ve aranmak istemedikleri belirtilse de şikayete konu fiillerin devam ettirildiği ve aydınlatma yükümlülüğünün her bir veri işleme faaliyeti yönünden yerine getirilmediği yönündeki iddialarını içerir şikayeti üzerine başlatılan inceleme çerçevesinde Kurul tarafından veri sorumlusunun savunması istenmiştir.
Veri sorumlusunun savunması kapsamında (i) somut olaya konu telekomünikasyon şirketinin vekili olması nedeniyle ilgili şirketin borcuna ilişkin başlatılan icra takibi gereğince borcun tahsili amacıyla Ticaret Sicil Gazetesi üzerinden yapılan sorguda şirket ortağı olarak ilgili kişilerin adlarına ulaşıldığı ve ilgili kişilere ait telefon numarası bilgilerini ise icra dosyası borçlusu olan şirketin ortağı olmaları sebebiyle Bilgi Teknoloji Kurumu tarafından yetkilendirilmiş rehberlik hizmeti sağlayan kuruluşlardan biri olan bilinmeyen numaralar hizmeti sunan operatörler kullanılarak elde edildiği, (ii) benzer şekilde Türkiye Barolar Birliği tarafından sunulan Ulusal Hukuk Ağı Projesi (“UHAP”) sistemi üzerinden sorgu ücreti ödemek suretiyle ad, soyadı ve/veya T.C. kimlik numarası ile GSM numaralarına erişilebildiği, (iii) ilgili kişilerin telefon numaralarına ulaşılmasının ardından şirket borcundan dolayı ortakların sorumlu olduğu iddiasında bulunulmadığı ve yalnızca yönetim kurulu üyelerine borç bildiriminde bulunulduğu, (iv) şikayetçilerin söz konusu telefon numaralarının bir defaya mahsus olmak üzere Avukatlık Kanunu'nun 35/A maddesi gereğince uzlaşı sağlamak amacıyla arandığı, (v) ilgili kişilere ait başvurunun veri sorumlusuna ulaşması ile kişisel verilerinin silindiği ve sistemler üzerinden geri dönülemez biçimde yok edildiği, (vi) Danıştay 10. Dairesinin 2014/6559 esas ve 2015/874 sayılı kararında avukatlık mesleğini icra eden davacı avukatın davalıların iletişim bilgilerini öğrenmek için yapılan başvurusunun reddinin “hak arama özgürlüğünün ihlali” nedeniyle hukuka aykırı olduğu yönünde hüküm tesis edildiği ve bu karar göz önünde bulundurulduğunda hukuk ofisinin müvekkillerin hukuki menfaatlerini korumak adına borçlunun iletişim bilgilerine ulaşma çabasının hak arama hürriyeti kapsamında değerlendirilmesi gerektiği ve (vii) vekaleten görülen işlerde karşı tarafa ait ad, soyadı, T.C. kimlik numarası, adres bilgisi, nüfus kayıt bilgileri, anne-baba adları, aylık kazançları, eğitim durumları ve telefon numaralarının işlendiği ve yargısal faaliyette ise özellikle gizlilik kararı verilmemişse mahkemelerde ve icra müdürlüklerinde olan tüm dosyaların vekalet ilişkisi olsun olmasın Avukatlık Kanunu gereğince tüm avukatlar tarafından incelenebildiği hatta avukat olsun olmasın tüm vatandaşların yargı faaliyetinin Türk milleti adına yürütülmesi sebebiyle duruşmalara katılabildiği ifadelerine yer verilmiştir.
Kurul Kararı ve Yaptırımı
Kurul tarafından gerçekleştirilen inceleme kapsamında (i) ilgili kişilere ait kişisel verilerin işlenmesinde işleme amacını (borcun tahsili amacıyla ilgili kişilerle iletişim kurulması / bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması / veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için ve benzeri); işleme vasıtalarını (UHAP sistemi aracılığıyla / bilinmeyen numaralar hizmeti sunan operatörler aracılığıyla ve benzeri) ve işlenen verilerin ne kadar süre (borç tahsil edilinceye kadar / silme, yok etme talebinde bulunulması halinde ve benzeri) ile nasıl saklanılacağına (veri sorumlusunun işyerinde fiziken / bilgisayarlarında ve benzeri) karar vermesi hususunda avukatın veri sorumlusu olarak hareket ettiği, (ii) kişisel verilerin işlenmesinde işleme sebepleri olarak kabul edilen KVKK'nın 5. maddesinde yer alan hallerin aynı zamanda birer “hukuka uygunluk sebebi” olarak karşımıza çıktığı, bu sebeplerin söz konusu veri işleme faaliyetini KVKK'ya aykırı olmaktan çıkardığı, diğer bir ifade ile fiile hukuk dünyasında uygun bir zemin yarattığı ve kişisel verilerin korunması mevzuatında yer alan “sebep” kavramından farklı olarak borcun varlığı yahut talep edilip edilemeyeceği hususlarının farklı maddi hukuk dallarının değerlendirme alanına girdiği, (iii) borç zamanaşımına uğramış olsa bile bunun bir def'i olduğu ve taraflarca ileri sürülmedikçe borcun talep edilebileceği, talep edilebilirlik olgusunun bile başlı başına bir veri işleme sebebi olduğu, bir borcun varlığı açısından ise borcun bir limited şirkete ait olduğu ve ilgili kişilerin borçlu olmadığını belirttiği ancak bu kişilerin yönetim kurulu üyesi olduğu düşünüldüğünde, iletişim kurulması muhtemel tarafların kendileri olduğunun hayatın olağan akışına uygun düştüğü, (iv) veri sorumlusu avukat açısından Ticaret Sicil Gazetesi'nde ortak olarak görülen ilgili kişilerin kişisel verilerinin şirketin iflasından sonra borcun tahsil edilebilmesini sağlamak amacıyla taraflarla uzlaşı kurulmasını teminen Avukatlık Kanunu'nun 35. maddesi hükmü gereğince işlendiği ve hali hazırda avukatların görevlerini ifa ederken Avukatlık Kanunu'nun 2. maddesine uygun olarak taraflarına tevdi edilen işleri yerine getirmek amacıyla – somut olayla telekomünikasyon şirketi ile arasında bulunan vekalet ilişkisinden kaynaklanan borcun tahsil edilmesi amacıyla – karşı taraflara ve müvekkillerine ilişkin verileri işlemesinin makul bir beklenti olacağı, (v) UHAP sisteminin ve bilinmeyen numaralara ilişkin sunulan rehberlik hizmetinin birer işleme sebebi olmayıp veri toplama yöntemi olduğu, bu anlamda bahsi geçen platformların mevzuata aykırı bir kullanımı (örn. yetkisiz erişim / hatalı bilgi girişi / veri sızıntısı) söz konusu olmadıkça ve aksi ispat edilmedikçe veri toplamanın yönteminin karine olarak hukuka uygun kabul edileceği ve bu anlamda hem UHAP hem bilinmeyen numaralar servislerinin avukatların açık ve yetkileri oranında veri elde edebilecekleri platformlar olarak kabul edilebileceği, (vi) Kurum'a iletilen şikayette aramalara ilişkin bir kayda yer verilmediği ve dolayısıyla ilgili kişilerin vekili tarafından iddia edilen “defaten / ısrarla” arama yapılması durumunun sunulan bilgi ve belgelerden anlaşılamaması sebebiyle söz konusu veri işleme faaliyetinin KVKK'nın 4. maddesi gereğince hukuka ve dürüstlük kurallarına uygun olarak gerçekleşmediğinin ispat edilemediği, (vii) ilgili kişilerin vekilinden alınan dilekçede aydınlatılmadıklarına ilişkin bir iddia bulunmamakla birlikte veri sorumlusuna yapılan başvuruda da aydınlatma hususuna ayrıca değinilmediğinin görüldüğü, bunun yanı sıra Kurum'a intikal ettirilen dilekçede veri sorumlusunun gerçekleştirdiği her bir veri işleme faaliyeti yönünden aydınlatma yükümlülüğünün yerine getirilmediği hususunun Kurul tarafından resen değerlendirilmesinin talep edildiği, (viii) avukatların uzlaşma amacıyla karşı tarafla iletişim kurduğu anda kendini tanıtması, veriyi nereden temin ettiğinin, ne amaçla iletişim kurduğunun karşı tarafa bildirilmesi hayatın doğal akışı içerisinde değerlendirilebilecekken verilerin ne kadar süreyle işleneceği, hangi yöntemler kullanılarak dosyalandığı / saklandığı gibi hususların bildirilmesinin bu akış içerisinde mümkün olmayacağı, aynı hususun borçlu ilgili kişilere icra takibi başlatılması ya da dava açılması sürecinde müvekkilden elde edilen karşı taraf bilgilerinin yine vekalet ilişkisinin yürütülmesi amacıyla işlenmesinde aydınlatma yükümlülüğünün bir veri sorumlusundan uygulanması gereken şekilde yerine getirilmesinin beklenemeyeceği değerlendirilmekle birlikte bu hususun avukatın aydınlatma yükümlülüğünden muaf olduğu anlamına gelmediği ve (ix) avukatın vekalet ilişkisi kurduğu kişiyi – yani müvekkilini – aydınlatma yükümlülüğü bulunduğu ve bu veri işleme faaliyetini gerçekleştirirken öğrendiği diğer bilgiler açısından zaten Avukatlık Kanunu gereğince sır saklama yükümlülüğü altında olduğu değerlendirmelerinde bulunulmuştur.
Söz konusu değerlendirmeler ışığında;
- ilgili kişilerin borcun doğduğu / icra takibinin başlatıldığı dönemde münfesih şirketin yönetim kurulunda yer aldığı, bu hususun da Ticaret Sicil Gazetesi'nde aleni bir şekilde paylaşıldığı, veri sorumlusu avukatın Avukatlık Kanunu ve sair mevzuat çerçevesinde vekalet ilişkisi içerisinde bulunulan müvekkile ait alacağın tahsili amacıyla ilgili kişilerin ad, soyadı, T.C. kimlik numarası, adresi, telefon numarası gibi verilerini UHAP, bilinmeyen numara servisleri ve benzeri mevzuata uygun faaliyet yürüten yasal platformlar üzerinden edinmesinin ve işlemesinin KVKK'nın 5. maddesinin (2) numaralı fıkrasının (ç) bendi gereğince veri sorumlusunun vekalet ilişkisinden doğan hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması şartına ve (e) bendi gereğince alacaklının hak arama hürriyetinin tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartına dayandığı dikkate alınarak, bu iddia açısından KVKK kapsamında yapılacak bir işlem olmadığına,
- veri sorumlusunca gerçekleştirildiği iddia edilen “defaten / ısrarla” arama yapılması durumunun ise Kurum'a sunulan dilekçe ve eklerinde yer alan bilgi ve belgelerden anlaşılamaması sebebiyle söz konusu veri işleme faaliyetinin KVKK'nın 4. maddesi gereğince hukuka ve dürüstlük kurallarına uygun olarak gerçekleşmediğinin ispat edilemediği dikkate alınarak, bu hususta yapılacak bir işlem olmadığına ve
- ilgili kişilerce yapılan veri sorumlusu başvurusunda aydınlatma yükümlülüğüne ilişkin iddialara yer verilmemiş olması sebebiyle veri sorumlusuna tanınan savunma hakkının kısıtlanmasının önüne geçilmesi amacıyla söz konusu hususun inceleme kapsamına dahil edilemeyeceğine
karar verilmiştir.
Söz konusu kararın tam metnine buradan ulaşabilirsiniz.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
We operate a free-to-view policy, asking only that you register in order to read all of our content. Please login or register to view the rest of this article.