Kişisel Verileri Koruma Kurul’ u tarafından başlıkta yer alan konu hakkında 19.01.2023 tarihinde 2023/78 sayılı kararı vermiş bulunmaktadır. Söz konusu kararda ilgilinin şikâyeti özetle; GSM operatörü olan veri sorumlusu arasında mobil internet hattı hakkında yapılan sözleşmenin ilgili kişi tarafından iptal edilmiş olmasına rağmen hakkında borç ödemesi çıkarıldığı, yine ilgili kişi hakkında çıkartılmış olan bu borcun tahsil edilmesi için GSM operatörünün bir avukatlık ortaklığına yetki verdiği, avukatlık ortaklığı tarafından da söz konusu borcu ödenmesi için ilgili kişinin ortağı olduğu şirkete ait bulunan 4 farklı cep telefonu numarasına ilgili kişinin soyadını maskelenmek suretiyle ancak adının açıkça görüneceği şekilde borçlu olduğu miktar konusunda icra takibi başlatılacağı bilgilerini içeren bir kısa mesaj gönderildiği, bahsi geçen mesajlardan kaynaklı, ilgili kişinin ortağı olduğu şirket hatlarını kullanımında bulunduran çalışanların konu ile ilgileri bulunmamasına rağmen ilgili kişinin borç bilgilerinden bu nedenle haberlerinin olduğu, ayrıca şirkette ilgili kişiyle aynı isimde başka kişinin bulunmamasından dolayı soyadı maskelenmiş bile olsa söz konusu kısa mesajda kimliğinin anlaşılabilir olduğu, konuyla ilgili olarak avukatlık ortaklığına ve GSM operatörüne başvuruda bulunduğu, verilen cevaplarda bilgi amaçlı gönderilen kısa mesajın maskelenmek suretiyle paylaşılmış olduğu belirtilmiş ise de ilgili kişiye ait kişisel verilerin, ilgili kişinin ortağı olduğu şirket hatlarına hangi amaçla iletildiğinin açıklanamadığı belirtilmiş ve bu nedenle de 6698 sayılı Kanun gereğince de gerekli işlemleri yapılmasının talep etmiştir.
İlgili kişinin ileri sürmüş olduğu iddialar neticesinde de inceleme başlatılmış olup konu hakkında öncelikle ilgili avukatlık ortaklığından savunma yapması istenilmiştir. Gelen cevap yazısı özetle; GSM operatörü tarafından kendilerinin abonelerin borçlarının tahsilat süreçlerinin yürütülmesi konusuyla sınırlı olarak hizmet sözleşmesi ve vekâlet ilişkisi kapsamında yetkilendirildiği, GSM operatörü tarafından yönetilmekte olan sisteme sınırlı erişim hakkına sahip oldukları, bu doğrultuda taraflarının söz konusu sistem üzerinden sınırlı şekilde görüntülenen/erişilen kişisel veriler ve bu veriler kullanılarak gerçekleştirilen kısa mesaj gönderme faaliyetlerine ilişkin olarak 6698 sayılı Kanun’un 3/1- (ğ) bendi uyarınca şikâyetinin usulden reddinin gerektiği, söz konusu şirket ile aralarında imzalanan sözleşmede de avukatlık ortaklığının veri işleyen sıfatı ile sorumlu olacağına ilişkin hükme yer verildiği, avukatlık ortaklığı olarak vekili oldukları şirket adına, müvekkillerinin haklarını ve menfaatlerini korumak amacıyla ve bu anlamda Avukatlık Kanunu'ndan doğan yükümlülüklerini ve yürütmekte olduğu icra işlemleri bakımından 2004 sayılı İcra ve İflas Kanunu ile diğer mevzuattan kaynaklanan hukuki yükümlülüklerini yerine getirmek amacıyla borçluya ait kişisel verileri 6698 sayılı Kanunu’nun 5/2 maddesinin hukuki sebepleri çerçevesinde işledikleri, belirtilen 4 farklı telefon numarasının ilgili kişinin iletişim numarası olarak avukatlık ortaklığına veri sorumlusu GSM operatörü tarafından iletildiği, ilgili kişinin iletişim numarası olarak bildirilen numaralara yalnızca bir kez kısa mesaj gönderimi yapıldığı, bu kısa mesajın içeriğinde ise ilgili kişiye ilişkin kişisel verilerin paylaşılmadığı ve ilgili kişinin isminin maskelenerek paylaşıldığını ifade etmiştir.
GSM operatöründen de savunma yapması istenilmiş olup gelen cevap yazısı özetle; veri sorumlusu olarak avukatlık ortaklığı ile hukuki ilişkileri kapsamında ve borcun tahsili amacıyla yalnızca ilgili kişi borçluya ilişkin kimlik, iletişim ve borç bilgilerini içeren verilerin paylaşıldığı, Şikâyete konu telefon numaralarının ilgili kişinin ortağı olduğu şirket adına kayıtlı kurumsal numaralar olduğu ifade edilmiştir.
Kişisel Verileri Koruma Kurulunun 19/01/2023 tarihli ve 2023/78 sayılı Kararı ile; 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3., 4., 5., 12. Ve 18. Maddeleri çerçevesinde hukuka aykırı veri işleme faaliyeti nedeniyle avukatlık ortaklığı tarafından ilgili kişiye ilişkin kişisel verileri içeren kısa mesajların şirkete ait iletişim numaralarına gönderilmesi neticesinde, borca konu işlemle ilgisi olmayan üçüncü kişi şirket çalışanları ile ilgili kişiye ilişkin kişisel veri olan borç bilgisinin herhangi bir işleme şartı bulunmaksızın paylaşıldığı gözetildiğinde; veri güvenliğine ilişkin yükümlülüklerini yerine getirmediği kanaatine varılan veri sorumlusu hakkında 85.000 TL idari para cezası uygulanmasına, Veri sorumlusu tarafından verilen talimat çerçevesinde borcun tahsili amacıyla ilgili kişiye ilişkin olduğu belirtilen telefon numaralarına bir adet kısa mesaj gönderen ve sınırlı yetkisi çerçevesinde söz konusu numaralara ilişkin doğrulama imkânı olmayan veri işleyen avukatlık ortaklığı hakkında Kanun kapsamında yapılacak bir işlem bulunmadığı yönünde karar vermiştir[1].
[1] https://www.kvkk.gov.tr/Icerik/7596/2023-78