Anayasa Mahkemesinin 30.04.2025 Tarihli Veri Sorumlusu Olan Avukat Hakkında Kişisel Verileri Koruma Kurumu Tarafından Uygulanan İdari Yaptırım Kararına Yapılan İtiraz Sürecinde Gerekçeli Karar Hakkının İhlaline İlişkin Kararı Hk.

Anayasa Mahkemesi tarafından verilen kararların yayımlandığı Anayasa Mahkemesi Kararlar Bilgi Bankası'nda, 30.04.2025 tarihli ve 2022/5840 başvuru numaralı Anayasa Mahkemesi Kararı (“Karar”) yayımlanmıştır. İşbu Karar'da, kararın sonucunu değiştirebilecek nitelikteki esaslı iddiaların gerekçede karşılanmaması nedeniyle gerekçeli karar hakkının ihlal edilip edilmediği tartışılmıştır. Karar, aynı zamanda, icra takibi kapsamında yürütülen SMS/arama gibi iletişim süreçlerinde kişisel verilerin işlenmesine ilişkin iddiaların 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında idari yaptırım sürecine konu olabildiğini ve bu tür uyuşmazlıklarda ileri sürülen temel savunmaların yargısal denetimde gerekçeli karar standardı çerçevesinde ayrıca değerlendirilmesi gerektiğini göstermesi bakımından da önem arz etmektedir.

I. BAŞVURUNUN ÖZETİ

Yüksek Mahkemeye bireysel başvuru yapılan konu; avukat olan başvurucu hakkında uygulanan idari yaptırıma ilişkin itiraz merciince verilen kararın, sonucunu değiştirebilecek nitelikteki esaslı iddiaların gerekçede karşılanmaması nedeniyle, gerekçeli karar hakkının ihlal edildiği iddiasına ilişkindir.

Şikayetçi, babasının borcu için başlatılan icra takip dosyasında, taşınmaz haczi ve araç kayıt haczi yapıldığına, borç ödenmediği takdirde satış işlemlerinin başlatılacağına dair, veri sorumlusu olan avukat tarafından kendi cep telefonuna SMS gönderildiğini, kendisinin bu şekildeki bildirimlerden rahatsız olduğunu, kişisel verilerinin nasıl ve nereden temin edildiğini bilmemesi ve kişisel verilerinin açık rızası olmadan kullanılması sebebiyle KVKK gereği Kişisel Verileri Koruma Kurumuna (“Kurum”) şikâyet dilekçesi vermiştir.

Başvurucu, şikâyet dilekçesine karşı vermiş olduğu cevap dilekçesinde; avukatların uzlaştırıcı rolünün bulunduğunu ve bu kapsamda düzenlenen görüşme tutanağına uzlaşma konusunda iletişim kurabilmek için ad, soyad ve cep telefonu numarasının kaydedilmesine şikâyetçinin açık rıza gösterdiğini, şikâyetçinin kişisel verilerini açık rızası ile şikâyetçinin babasının borcu sebebiyle babasının şirketle paylaşmış olduğunu, dolayısıyla rıza dışı ele geçirilen bir kişisel veri olmadığını, bu hâliyle şikâyetçinin verilerinin sadece şirket kayıtlarında mevcut olup veri aktarımının söz konusu olmadığını ve şirket tarafından mevzuata aykırı bir işlem yapılmadığını, gönderilen SMS'lerin bireysel olarak gönderilmediğini, sistem üzerinden borçluların bildirmiş oldukları cep telefonu numarasına otomatik olarak gönderilmiş mesajlar olduğunu, ayrıca şikâyetçinin veri sorumlusuna başvurmaksızın Kurum'a başvuruda bulunmaması gerektiğini ileri sürmüştür.

Kişisel Verileri Koruma Kurumu, veri sorumlusu olan başvurucu tarafından söz konusu iddiaya ilişkin olarak tevsik edici herhangi bir bilgi ve belgenin Kuruma sunulmadığı gerekçesi ile ilgili kişinin kişisel verisi niteliğindeki telefon numarasının işlenmesinin ve bu suretle başkasına ait kişisel verinin ilgili kişiyle paylaşılmasının Kanun'un 5. maddesinde yer alan veri işleme şartlarından herhangi birine dayanmadığını belirtmiştir. Ayrıca, başvurucunun Kanun'un 12. maddesinde yer alan yükümlülükleri de yerine getirmediği kanaatine vararak veri sorumlusu olan başvurucu hakkında Kanun'un 18. Maddesi uyarınca idari para cezası vermiştir.

Başvurucu, idari yaptırım kararının tebliği üzerine anılan karara itiraz etmiştir. İtirazı inceleyen Sulh Ceza Hakimliği, itirazı kısmen kabul ederek idari para cezasını alt sınırdan uygulamıştır. Başvurucu ve Kurum, Hâkimliğin kararına itirazda bulunmuş ise de itirazın reddine karar verilmiştir. Bunun üzerine, başvurucu tarafından bireysel başvuruda bulunulmuştur.

II. BAŞVURUNUN DEĞERLENDİRİLMESİ

Somut olayda başvurucu hakkında uygulanan idari yaptırım kararı, başvurucunun ilgili kişinin kişisel verisi niteliğindeki telefon numarasını işlenmesi ve bu suretle başkasına ait kişisel verinin rıza dışı paylaşılmasına dayanmaktadır. Başvurucu; diğerlerinin yanı sıra şikâyetçi ile aralarında görüşme tutanağı ve kişisel verilerin kaydedilmesine dair yazılı rızası olmasına rağmen bu hususun mahkemece dikkate alınmadığını, kabahat tarihi itibarıyla dikkate alınması gereken tarihin yanlış tespit edilmesi nedeniyle fahiş idari para cezası düzenlendiğini ileri sürmüştür. Ayrıca Kurumun bilgi ve belge talep yazısını COVID-19 salgını sebebiyle tam kapanmanın yaşandığı 19/3/2020 tarihinde tebliğ aldığını ve kapanma sebebiyle ilgili verilere ulaşamadığını, bu sebeple görüşme tutanağını Kuruma sunamadığını belirtmiştir.

Anayasa Mahkemesi, her ne kadar görüşme tutanağında açık rıza metni ile şikâyetçinin ad, soyad ve cep telefonu numarasının işlenmesine rıza gösterdiğine ilişkin tutanağın başvurucu tarafından Kuruma sunulmamış ise de Hâkimliğe itiraz aşamasında dosyaya sunulduğu tespitinde bulunmuştur. Ayrıca Yüksek Mahkeme başvurucunun şikâyetçi ile aralarında düzenlenen görüşme tutanağına uzlaşma konusunda başvurucuya ulaşılabilmesi için ad, soyad ve cep telefonu numarasının kaydedilmesine şikâyetçinin açık rıza gösterdiği yönündeki iddialarının -kişisel verilerin rıza dışı paylaşılmasının uyuşmazlık konusu yapıldığı somut olayın özel koşullarında- sonucu değiştirebilecek nitelikte olmasına karşılık, Hâkimlik tarafından gerekçeli kararda bu konuda bir değerlendirme yapılmadığını vurgulamıştır.

Ayrıca başvurucu, itiraz aşamasında da belirtilen iddialarını ileri sürmesine rağmen itiraz mercii de başvurucunun itirazları hususunda hiçbir değerlendirme yapmaksızın soyut ve yetersiz gerekçelerle itirazın reddine karar vermiştir. Sonuç olarak yargılamaya bir bütün olarak bakıldığında, Hâkimlik ve itiraz merciinin davanın sonucunu doğrudan etkileyecek belge hakkında değerlendirme yapmamaları nedeniyle, şikayetçinin itirazlarına yeterli bir yanıt vermediği anlaşılmıştır. Bu nedenle başvurucunun gerekçeli karar hakkının ihlal edildiği sonucuna varılmıştır.

III. KARAR'IN KVKK AÇISINDAN DEĞERLENDİRİLMESİ

İnceleme konusu karar başvurucu avukatın veri sorumlusu sıfatıyla yaptığı kişisel veri işlemesine yönelik olduğundan, konunun KVKK mevzuatı açısından da değerlendirilmesi faydalı görülmüştür.

Somut olayın KVKK perspektifinde kritik yönü; “alacak takibi/uzlaşma” amacıyla yürütülen iletişim süreçlerinde (özellikle SMS/arama) işlenen verilerin hukuki sebebinin ve bu verilerin kimlerle, hangi kapsamda paylaşılabileceğinin doğru kurgulanmaması hâlinde, hem Kişisel Verileri Koruma Kurulu (“Kurul”) nezdinde idari yaptırım riskinin doğması hem de bu yaptırımın yargısal denetiminde gerekçeli karar hakkı kapsamında sonuca etkili iddiaların gerekçede karşılanıp karşılanmadığı tartışmalarının gündeme gelmesidir. Bu tür uyuşmazlıklarda, yalnızca “borç tahsili” amacına atıf yapılması yeterli görülmemekte; verinin elde ediliş yöntemi, işleme/aktarımın kapsamı ve üçüncü kişinin sürece hukuken dâhil olup olmadığı gibi unsurlar birlikte değerlendirilmektedir.

Öncelikle belirtmek gerekir ki, icra takibine konu borç/icra bilgisi ile ilgili kişinin cep telefonu numarası, KVKK kapsamında kişisel veri niteliğindedir. Telefon numarasının temini, kaydedilmesi, doğrulanması ve SMS/arama yoluyla kullanılması KVKK anlamında bir kişisel veri işleme faaliyeti teşkil etmektedir. Borç/icra sürecine ilişkin bilginin borçlu dışındaki bir kişiye (örneğin borçlunun oğlu) yöneltilmesi ise, somut olayın özelliklerine göre üçüncü kişiye aktarım niteliği taşıyabilecektir. Bu itibarla, somut olayda uyuşmazlığın iki ayrı eksende değerlendirilmesi gerekmektedir: İlk olarak, ilgili kişiye ait cep telefonu numarasının hangi hukuki sebebe dayanılarak temin edildiği ve iletişim amacıyla kullanıldığı; ikinci olarak ise icra takibine/borca ilişkin bilginin borçlu dışındaki bir kişiye yöneltilmek suretiyle açıklanıp açıklanmadığı ve bu kapsamın KVKK bakımından meşru sınırlar içinde kalıp kalmadığıdır.

Veri sorumlusu sıfatı bakımından ise, icra takibi kapsamında gerçekleştirilen SMS/arama gibi iletişim faaliyetlerinde kullanılacak yönteme, mesaj içeriğine ve gönderim sıklığına ilişkin kararların avukat veya avukatlık ortaklığı tarafından verilmesi hâlinde, bu iletişim faaliyeti yönünden veri işleme amaç ve vasıtalarını belirleyen taraf olarak avukat/avukatlık ortaklığının veri sorumlusu sıfatıyla hareket ettiği kabul edilmektedir. Bu çerçevede, “takibi yürütme” olgusu tek başına sorumluluğu ortadan kaldırmamakta; iletişim faaliyetinin KVKK'ya uygun yürütülmesinden doğan yükümlülüklerin veri sorumlusuna atfedileceği sonucunu doğurmaktadır.

Hukuki sebep bakımından, alacak takibi, icra işlemleri ve uzlaşma amaçlı iletişim süreçlerinde kişisel veri işlemenin uygulamada çoğunlukla KVKK m.5/2-(e) hükmüne, yani “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” şartına dayandırıldığı görülmektedir. Bu kapsamda, borçlu ile mevcut hukuki ilişki ve yürütülen takip süreciyle doğrudan bağlantılı ve zorunlu nitelikteki iletişimler bakımından veri işlemenin hukuka uygunluğu savunulabilir olmakla birlikte, borç/icra bilgisi gibi içeriklerin borçlu dışındaki kişilere yöneltilmesi ayrı ve daha sıkı bir değerlendirmeyi gerektirir. Zira bu tür bir paylaşım, üçüncü kişinin takip sürecine hukuken dâhil olduğu veya meşru bir menfaat/bağ ile açıklanabildiği istisnai hâller dışında, ölçülülük ve amaçla bağlılık ilkeleri bakımından yüksek ihlal riski doğurmaktadır. Bu nedenle, “tahsilat amacı”na dayanılarak yürütülen iletişim ile borç bilgisinin üçüncü kişiye açıklanması arasında çizilecek sınır, her somut olayda üçüncü kişinin konumu (örneğin yedieminlik, istihkak iddiası, temsil/yetki ilişkisi) ve iletişimin zorunluluk-kapsam ölçütleri dikkate alınarak ayrıca belirlenmelidir.

Diğer yandan, SMS/çağrı merkezi gibi iletişim kanalları üzerinden yürütülen alacak takibi süreçlerinde KVKK uyumunun yalnızca veri işlemenin hangi hukuki sebebe dayandırıldığı tartışmasıyla sınırlı olmadığı; aydınlatma yükümlülüğünün ve veri güvenliğine ilişkin yükümlülüklerin yanı sıra, iletişim sürecinin uygulamada nasıl kurgulandığının da belirleyici olduğu gözden kaçırılmamalıdır. Bu kapsamda, ilk temas anında aydınlatmanın hangi yöntemle ve ne ölçüde sağlandığı, kullanılan iletişim bilgilerinin doğruluğunun teyit edilip edilmediği, yanlış kişiye/yanlış numaraya bildirim yapılmasını önleyecek organizasyonel ve teknik kontrollerin bulunup bulunmadığı ve yapılan işlemlerin izlenebilirliğini sağlayacak kayıt düzeninin tesis edilip edilmediği, Kurul değerlendirmelerinde önem arz eden başlıca hususlar arasındadır. Bunun yanında, iletişim içeriğinin kapsamı borç/icra bilgisinin borçlu dışındaki kişilere açıklanması sonucunu doğurmayacak şekilde belirlenmeli; içerikte yer verilecek bilginin kapsamı amaçla bağlılık ve ölçülülük ilkeleri çerçevesinde asgari düzeyde tutulmalıdır. Ayrıca, ilgili kişi başvurularının KVKK m.13 ve ilgili Tebliğ hükümlerine uygun şekilde etkin, süresinde ve başvuru hakkını fiilen güçleştirmeyecek biçimde yanıtlanması, Kurul'un uygulamada hassasiyetle üzerinde durduğu diğer bir yükümlülüktür.

Bu doğrultuda, işbu Karar'a konu uyuşmazlıkla benzer nitelikteki Kurul'un 01.12.2022 tarihli ve 2022/1281 sayılı “İcra takibi dolayısıyla veri sorumlusu avukat tarafından borçlunun borç bilgisinin oğlu ile paylaşılması ve kendisi ile borç bilgisi paylaşılan borçlunun oğlunun telefon numarasının bu suretle hukuka aykırı olarak işlenmesi”¹ başlıklı kararında, borçlu hakkında yürütülen icra takibi kapsamında üçüncü kişi konumundaki oğula ait cep telefonu numarası üzerinden aramalar yapıldığı ve borca ilişkin bilgilendirme yapıldığı yönündeki şikâyetler incelenmiştir. Anılan olayda; borçlunun oğlunun haciz mahallinde bulunduğu, haciz tutanağını imzaladığı ve bazı hacizli malların yediemin sıfatıyla kendisine bırakıldığı, ayrıca şikâyet dilekçelerine eklenen arama kayıtlarının haciz işleminin gerçekleştirildiği tarihten sonraki günlere ait olduğu tespitleri birlikte değerlendirilmiştir. Kurul, üçüncü kişinin takip sürecine bu şekilde fiilen ve hukuken dâhil olması ile olayların zamanlamasını dikkate alarak, oğula ait telefon numarasının hukuka aykırı şekilde elde edildiği veya işlendiği iddiasının somut bilgi ve belgelerle tevsik edilemediği sonucuna ulaşmış ve bu iddia bakımından KVKK kapsamında işlem tesis edilmesine yer olmadığına karar vermiştir. Öte yandan Kurul'un, ilgili kişi başvurularının yönetimi bakımından veri sorumlusunun Tebliğ'de öngörülmeyen ek şartlar ileri sürmek suretiyle başvuru sürecini güçleştirmemesi gerektiğine işaret etmesi, kararın uygulamaya dönük önemini artırmaktadır.

Buna ilaveten, Kurul uygulamasında borç takibi/hatırlatma amacıyla gönderilen SMS'ler bakımından, iletişimin sıklığı, zamanlaması ve içeriğinin ölçülülüğü üzerinden yapılan değerlendirmeler dikkat çekmektedir. Kurul, belirli olaylarda, borcun takibi/hatırlatılması amacıyla yapılan iletişimin makul sıklıkta ve çalışma saatleri içinde kalması, içerikte gereksiz veri yer almaması ve işlemenin takip süreciyle bağlantılı olması  hâlinde, KVKK m.5/2-(e) kapsamında hukuka uygunluk değerlendirmesi yapılabileceğini ortaya koymuştur. Bununla birlikte, aydınlatma gibi tali yükümlülükler yönünden Kurul'un yaklaşımında, ilgili kişinin veri sorumlusuna yaptığı başvurunun kapsamı ve talebin açık biçimde ileri sürülüp sürülmediği gibi usulü unsurların da önem taşıdığı görülmektedir. Bu nedenle, borç takibine dayalı iletişimlerde yalnızca “hukuki sebep” değil, veri işleme faaliyetinin kapsamı, sıklığı ve içeriği ile bu hususların somut delillerle ortaya konulabilmesi de sonuç üzerinde belirleyici olabilmektedir.

IV. SONUÇ

Yapılan değerlendirmeler ışığında Anayasa Mahkemesi, itiraza konu kararın sonucunu değiştirebilecek nitelikteki esaslı iddiaların gerekçede karşılanmaması nedeniyle Anayasa'nın 36. Maddesi ile güvence altına alınan adil yargılanma hakkı kapsamındaki gerekçeli karar hakkının ihlal edildiğine karar vermiştir. Bu itibarla Karar; işbu bilgi notunda avukatların veri sorumlusu olarak işlemiş oldukları kişisel veriler nedeniyle KVKK bakımından değerlendirildiği üzere, Kurul tarafından tesis edilen idari yaptırıma konu veri işleme faaliyetinin hukuki sebebi, borç/icra bilgisinin üçüncü kişilere açıklanıp açıklanmadığı ve bu hususlara ilişkin tevsik edici bilgi ve belgeler gibi uyuşmazlığın sonucuna etkili iddiaların, yargısal denetim sürecinde karar gerekçesinde somut, ilgili ve yeterli biçimde karşılanması gerektiğini ortaya koymaktadır.

Footnote

1. Kişisel verileri Koruma Kurulu, “İcra takibi dolayısıyla veri sorumlusu avukat tarafından borçlunun borç bilgisinin oğlu ile paylaşılması ve kendisi ile borç bilgisi paylaşılan borçlunun oğlunun telefon numarasının bu suretle hukuka aykırı olarak işlenmesi hakkında Kişisel Verileri Koruma Kurulunun 01/12/2022 tarihli ve 2022/1281 sayılı Karar Özeti”, https://www.kvkk.gov.tr/Icerik/7589/2022-1281.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.