Borçlu Kişinin Akrabalarına Mesaj Gönderen Hukuk Bürosuna Ceza Verildi
Bir GSM şirketine olan hat borcu için borçlu kişinin akrabalarına mesaj atan hukuk bürosu sahibine 100 bin TL ceza verildi.
Kişisel Verileri Koruma Kurumu (KVKK), bir GSM şirketine olan hat borcu için borçlu kişinin akrabalarını arayıp icra tehditli mesajlar atan avukatlık bürosunun sahibine, Kişisel Verileri Koruma Kanunu'na aykırı davrandığı gerekçesiyle 100 bin TL ceza kesti.
Söz konusu olay, bilişim uzmanı Semih Zeyveli'nin, 19 Ekim 2016'da eşine ait olduğu söylenen telefon hattı borcu için aranmasıyla başladı. Olayda, avukat M.A. adına aradığını söyleyen kişi, Zeyveli'nin eşi adına olan telefon hattının borcu için icra takibi başlatıldığını söyledi. Babasının da aynı kişiler tarafından arandığını ve telefonuna, "Borcunuzu ödemediğiniz takdirde, hacze gelinecek ve evde olmamanız durumunda kapınız polis eşliğinde çilingirle açılacak ve işlemler yapılacaktır" şeklinde mesajlar gönderildiğini öğrenen Zeyveli, bunun üzerine aynı gün kendisini ve babasını arayan numarayı arayarak yapılan görüşmeyi, karşı tarafa da haber vererek kayıt altına aldı.
Görüşmede, borçlu ile nasıl bağdaştırıldığını soran Zeyveli, "Avukatlık sistemlerinin bulunduğu, burada borçlunun tüm yakınlarının ve akrabalarının numarası ile ev adresinin kayıtlı olduğu" yanıtını alması üzerine bir şikayet dilekçesi yazarak 5 Eylül 2019'da KVKK'ya başvurdu.
Başvuru üzerine 7 Ocak 2020'de inceleme başlatan KVKK, avukatlık bürosu sahibi M.A.'yı 28 Ağustos 2020 tarihinde bir yazı göndererek durumdan haberdar etti.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ilgili maddeleri hatırlatılarak şikayetçinin iddialarının yöneltildiği avukat M.A.'dan, "Kişisel verilerin nasıl ve nereden elde edildiği, hangi hukuki gerekçeyle işlendiği, ihbarda geçen avukatlık sisteminin ne olduğu, kişisel verilerin yurt içinde veya yurt dışında kimlere hangi gerekçelerle aktarıldığı, kanunun 12. maddesi kapsamında kişisel verilere ilişkin uygun güvenlik düzeyini temin etmeye yönelik ne tür teknik ve idari tedbirlerin alındığına" yönelik bilgiler istendi. Avukat, 28 Eylül 2020'de gönderdiği cevap yazısında, ilgili kişinin hangi personeli tarafından ne sebeple arandığına dair bir çıkarımda bulunulamadığını söyleyerek söz konusu telefon görüşmesinin 4 yıl önce yapılması nedeniyle somut bir savunma yapma olanağının olmadığını belirtti.
Sahibi olduğu avukatlık bürosu olarak GSM kurumlarına ve özel şirketlere hukuki hizmet verdiklerini, bu nedenle gerek dava gerek icra dosyaları takip edildiği için hukuki işlem konusu olan kişilere ait kişisel verilerin müvekkilleri, bazen de bizzat şahıslar tarafından iletildiğini ifade eden avukat, Ulusal Yargı Ağı Bilişim Sistemi'ni (UYAP) kullandıklarını söyledi.
100 Bin Lira Ceza Verildi
KVKK, iletişim hizmeti sağlayan GSM şirketine de 15 Aralık 2020 tarihinde gönderdiği yazıda "kişisel verilerin güvenlik düzeyini temin etmeye yönelik ne tür teknik ve idari tedbirlerin alındığına" ilişkin bilgi istedi.
GSM şirketi de 31 Aralık 2020'de gönderdiği cevap yazısında, "Tahsilat ve yasal takip süreçlerinde birlikte çalışılan ve vekalet ilişkisi kapsamında hizmet alınan avukatlarla kanuna uygun olarak amaçla bağlantılı, sınırlı ve ölçülü şekilde borçlu abonelerin kişisel verilerinin paylaşıldığı, zorunlu olmayan kişisel verilerin hiçbir şekilde üçüncü taraflara aktarılmadığı, kişisel verilerin paylaşılması, ilgili kişilerin aranması ve SMS gönderilmesi vakalarıyla ilgilerinin bulunmadığı, tahsilat amacıyla abonelerin eşinin, eşinin annesinin, babasının kişisel verilerinin sisteme kaydedilmediği, kişiler hakkında mümkün olan tüm araştırmaların yapıldığı, ne UYAP kapsamında ne de yasal takip sisteminde ilgili kişilere ilişkin kayıtların bulunmadığı ve bu sebeple yasal takip başlatılmadığı kanaatinde olunduğuna" işaret etti.
Yazıda ayrıca, kendi sistemlerinde incelenen kayıtlarda veri sorumlusuna yapılmış bir başvurunun olmadığı, ilgili kişinin veya eşinin borçlu olduğu bir dosyanın da olmadığı bildirilerek "İhbarda bulunan ilgili kişi ile eşi tarafından yasal bir süreç başlatılmadığı, sistemde yapılan incelemede arama yaptığı iddia edilen avukatın verdiği bilgiler doğrultusunda icra takibinin, yapılan aramalarının doğruluğu konusunda şüphe oluştuğu, Themis sistemi yazılımında ekranlar üzerinden SMS ve e-mail gönderimi yapılmasının mümkün olmadığı" belirtildi.
KVKK, konuyla ilgili idari para cezası verip durumu savcılığa yönlendirdi. KVKK, 16 Şubat'ta verdiği kararda, şikayet edilen avukatın GSM şirketinin belirttiği amaçlar kapsamında, kişisel veriler açısından 'veri işleyen' olduğunun değerlendirildiğini ifade ederek ödenmeyen faturaların tahsil edilmesi amacıyla aktarılan kişisel verilere ek olarak avukatın kendi iradesi sonucunda numara elde etmesi ve ilgili kişilere SMS gönderimi veya arama yapması faaliyeti açısından avukatın sorumlu olduğunun tespit edildiğini bildirdi.
Avukat M.A.'nın 'veri sorumlusu' olduğunu ve Anayasa ile kanunun ilgili maddelerini ihlal ettiğine kanaat getiren KKVK, M.A.'nın kişisel veri işlemelerinin açıkladığı amaçlara uygun davranmadığı hükmüne vardı.
Kişisel Verilerin Korunması Kanunu'na aykırı hareket eden avukat M.A. hakkında 100 bin lira idari para cezası uygulanmasına karar verildi.
KVKK, ayrıca, ihbar eden Semih Zeyveli ile veri sorumlusu M.A adına çalışan kişi arasında gerçekleşen konuşmada belirtilen avukatlık sisteminin kullanıldığına ilişkin şüphe oluştuğu gerekçesiyle Türk Ceza Kanunu'nun 'nitelikli dolandırıcılık' suçunu düzenleyen 158. maddesi uyarınca durumun cumhuriyet başsavcılığına bildirilmesi gerektiği yönünde karar kıldı.