Kişisel Verileri Koruma Kurumu’ndan çok önemli uyarı. KVK, bankaların alacaklarını onda bir fiyata alan varlık şirketi avukat ve bürolarının borçluların yakınlarını aramasının suç olduğunu dikkat çekti.
KVK bu konuda şu açıklamayı yaptı:
Kurumumuza intikal eden muhtelif ihbar ve şikâyetlerde, alacaklı vekilleri tarafından borçlu olan ilgili kişilerin yakınlarının telefon numaralarına erişildiği; ilgili kişinin adı, soyadı ve borç bilgilerini içerir nitelikteki kişisel verilerinin arama yapılmak veya kısa mesaj gönderilmek suretiyle yakınları ile paylaşıldığı bilgisi iletilmektedir.
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) amacı, kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek olup Kanun’un “Tanımlar” başlıklı 3’üncü maddesinde açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı; ilgili kişi, kişisel verisi işlenen gerçek kişi; veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi; veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi; kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem olarak tanımlanmıştır.
Kanun’un “Genel İlkeler” başlıklı 4’üncü maddesinde de kişisel verilerin ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işleneceği hükme bağlandıktan sonra, kişisel verilerin işlenmesinde uyulması zorunlu ilkelere yer verilmiştir. Bu çerçevede, kişisel veriler ancak,
a) Hukuka ve dürüstlük kurallarına uygun şekilde,
b) Belirli, açık ve meşru amaçlar kapsamında,
c) Doğru ve gerektiğinde güncel olma şartıyla,
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve
d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun işlenebilmektedir.
Öte yandan, Kanun’un “Kişisel verilerin işlenme şartları” başlıklı 5’inci maddesinin birinci fıkrası “Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.” hükmünü, ikinci fıkrası ise “Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” hükmünü haizdir.
Bunun yanında, Kanun’un “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12’nci maddesinin birinci fıkrasında; “Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.” hükmü yer almaktadır.
Kanun’un “Kabahatler” başlıklı 18’inci maddesinin birinci fıkrasının (b) bendinde 12’nci maddesinde öngörülen veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verileceği hükmü düzenlenmektedir.
Bu kapsamda, ilgili kişilerin açık rızasının olmaması veya somut olay nezdinde herhangi bir kişisel veri işleme şartının bulunmaması halinde alacaklı vekilleri tarafından borçlu olan ilgili kişilerin yakınlarının bilgilerine erişim sağlanmak suretiyle ilgili kişilerin borç bilgilerinin paylaşılmasının ve konu ile ilgisi olmayan, ilgili kişinin yakını sıfatını haiz üçüncü kişilerin kişisel verilerinin işlenmesinin Kanun’a aykırılık teşkil edebileceği ve somut olayın değerlendirilmesi neticesinde idari para cezası yaptırımına tabi tutulabileceği değerlendirilmektedir.
Bu itibarla, alacaklı vekilleri tarafından yürütülen mesleki faaliyetler sırasında borcun tahsiline yönelik yapılan iş ve işlemlerde, borçlu sıfatını haiz ilgili kişilerin ve konu ile ilgisi olmayan ilgili kişinin yakını sıfatını haiz üçüncü kişilerin kişisel verilerinin işlenmesi bakımından Kanun’a uygun şekilde kişisel veri işleme faaliyetinin gerçekleştirilmesine dikkat edilmesi önem arz etmektedir.
