Avukatların KVKK Yükümlülükleri: 13 Karar Üzerinden Somut Örneklerle Rehber

1. Borçlu Olmayan Kişiye SMS Göndermek KVKK İhlali midir? (2021/111)

Olayın Arka Planı
Bir vatandaşın telefonuna, aslında kendi borcu olmayan bir icra dosyasıyla ilgili iki kısa mesaj (SMS) gönderildi. Mesajlar, borçlu olan kişinin yakınına ait numara zannedilerek gönderilmişti. Şikayetçi, borçlu ile hiçbir akrabalık veya hukuki ilişkisinin olmadığını belirterek hem alacaklı şirkete hem de hukuk bürosuna başvurdu. Ancak taraflardan gelen yanıtlar hem çelişkili hem de yetersizdi.

Tarafların Savunmaları

• Alacaklı Şirket: Numaranın kendi sistemlerinde kayıtlı olmadığını, idari takip sürecinde dış kaynak hizmet sağlayan hukuk bürolarının iletişim bilgilerini ekleyebildiğini, bu numaranın da başka bir hukuk bürosu çalışanı tarafından Yasal Takip Sistemine (YTS) “not” olarak işlendiğini söyledi.
• İlk Hukuk Bürosu: Numarayı kamuya açık kaynaklardan veya borçlunun beyanından aldıklarını, yanlışlıkla sisteme girildiğini, hata fark edilince sildiklerini belirtti.
• İkinci Hukuk Bürosu: Numara kendilerine dosya ile birlikte geldiği için SMS gönderdiklerini, borçlunun yakınına ait olduğunu bilmediklerini savundu.

Kurul’un Hukuki Değerlendirmesi

• KVKK m. 3’e göre veri sorumlusu, işleme amaç ve vasıtalarını belirleyen kişidir.
• İlk hukuk bürosu, borçlu olmayan kişinin numarasını sisteme girdiği için veri sorumlusu sayıldı.
• İkinci hukuk bürosu, bu veriyi kullanarak SMS gönderdiği için yine veri sorumlusu kabul edildi.
• KVKK m. 5’te sayılan işleme şartlarından hiçbiri mevcut değildi (örneğin bir hakkın tesisi şartı, üçüncü kişi için uygulanamaz).
• KVKK m. 4’teki doğru ve güncel olma ilkesine aykırılık vardı.

Karar ve Yaptırım

• İlk hukuk bürosuna 50.000 TL
• İkinci hukuk bürosuna 50.000 TL
• Alacaklı şirkete 115.000 TL idari para cezası.

Avukatlar için Çıkarımlar

• Borçlu yakınlarının iletişim bilgilerini sisteme kaydetmek KVKK ihlalidir.
• Borçlu beyanına dayansa bile veri kaynağı doğrulanmalı.
• YTS gibi ortak sistemlerde yapılan her veri girişi sorumluluk doğurur.

2. Banka Avukatının Borçlunun Kız Kardeşine SMS Göndermesi (2021/115)

Olayın Arka Planı
Bir bankanın gecikmiş borçları için görevlendirdiği sözleşmeli avukat, borçlunun kız kardeşine ait telefon numarasına SMS gönderdi. Şikayetçi, bu bilginin hukuka aykırı şekilde işlendiğini iddia etti.

Tarafların Savunmaları

• Avukat: Numaranın banka tarafından “diğer telefon” olarak sisteme kaydedildiğini, kime ait olduğunu başlangıçta bilemeyeceğini, fark edilince hemen sildiklerini söyledi.
• Banka: Müşterilerin farklı numaralarla arama yapması hâlinde bu numaraların sisteme eklendiğini, ancak bu olayda açık rıza veya KVKK m. 5’teki diğer işleme şartlarının bulunmadığını kabul etti.

Kurul’un Hukuki Değerlendirmesi

• Borçlunun yakınlarına ait veriler, borç takibi amacıyla işlenemez.
• Banka, veri sorumlusu olarak KVKK m. 5’e aykırı şekilde üçüncü kişiye ait numarayı sisteme eklemiş.
• Avukat, veriyi silerek sorumluluğu azaltmış ancak ilk SMS gönderimi yine hukuka aykırı.

Karar ve Yaptırım

• Banka’ya 175.000 TL ceza.
• Avukat hakkında işlem yapılmadı.

Avukatlar için Çıkarımlar

• Müvekkilden gelen veriler hukuka aykırı olabilir; teyit edilmeden kullanmak risklidir.
• Silme işlemi hızlı yapılmalı, ancak öncesinde işlenmişse yine ihlal doğabilir.

3. Taraf Olmayan Kişiye İcra Mesajı Gönderilmesi (2021/228)

Olayın Arka Planı
Bir avukat, alacaklı telekomünikasyon şirketi adına yürüttüğü icra takibinde, borçlu şirketin eski ortağı olduğunu düşündüğü kişiye borç bildirimi mesajı gönderdi. Ancak kişi yıllar önce ortaklıktan ayrılmıştı.

Tarafların Savunmaları

• Avukat: Ticaret Sicil Gazetesinden ortağın ismine ulaştığını, borç tahsili amacıyla arama ve SMS yaptığını söyledi.
• Şirket: İletişim bilgilerini avukatın kendi yöntemleriyle bulduğunu, bu yüzden veri sorumlusu olduğunu belirtti.

Kurul’un Hukuki Değerlendirmesi

• KVKK m. 5’te sayılan işleme şartları yoktu.
• Ticaret Sicil kayıtları güncel olmalı; yıllar önce bitmiş ortaklık bilgisiyle işlem yapılamaz.
• Avukat, m. 12/1-a’ya aykırı davranarak gerekli tedbirleri almadı.

Karar ve Yaptırım

• Avukata idari para cezası.
• Şirket hakkında işlem yapılmadı.

Avukatlar için Çıkarımlar

• Kamuya açık kaynaklar kullanılsa bile verilerin güncelliği kontrol edilmek zorunda.
• Eski bilgilerin kullanılması hem KVKK hem de meslek etiği açısından risklidir.

4) 2021/424 — “Bankanın/Varlık Yönetim Şirketinin ve Üç Avukatın, Borçlu Olmayan Kişiye İcra Takibi Başlattığı” iddiası: Ne oldu? Kim sorumlu? Avukatların payı ne?

Olay kısa özet

Bir bankadaki yanlış T.C. kimlik numarası eşleştirmesiyle, borçlu olmayan bir kişi yıllar sonra icra takibiyle karşılaşıyor. Dosya bir varlık yönetimi şirketine devrediliyor; süreçte birkaç farklı avukat da dosyaya girip çıkıyor.

Kurul ne dedi?

Kurul, asıl sorumluluğu varlık yönetimi şirketinde görerek idari para cezası uyguladı; avukatlar bakımından ise somut olayda “veri sorumlusu” sayılmadıklarından işlem yapılmasına yer olmadığına hükmetti. Ayrıca Risk Merkezi (TBB) kayıtlarının düzeltilmesini teminen talimat verildi.

Avukatlar için pratik ilke

• Banka/şirket hatalı kimlik eşleştirmesi yaptıysa, avukatın sırf “dosyada vekil” olması onu otomatik veri sorumlusu yapmaz; fakat hatayı fark ettiğiniz anda müvekkili bildirip düzeltme adımlarını tetikleyin.
• TBB Risk Merkezi ve icra dosyası kayıtlarının temizlenmesi sürecini yazılı teyit edin.

5) 2021/511-512-513 — “Avukatların icra dosyalarına vekâlet olmaksızın erişmesi, icra tevzi bürosundan veri aktarımı” iddiaları: KVKK’ya aykırı mı?

Olay kısa özet

Bazı icra dosyalarındaki kişisel verilere avukatların vekâletsiz eriştiği ve tevzi bürosu personeli eliyle alacaklı vekillere bazı verilerin aktarıldığı ihbar edildi.

Kurul ne dedi?

• Avukatın dosyayı inceleme yetkisi, Avukatlık Kanunu m.46 ve ilgili mevzuattan (ör. UHAP gibi adli sistemler) kaynaklanır; bu çerçevedeki erişimler, “başka kanunlarda öngörülen” işleme/aktarım rejimi nedeniyle KVKK m.8/3 kapsamında hukuka uygundur.
• Dolayısıyla somut ihbarlarda “başkaca bir aykırılık” ispatlanmadıkça KVKK yönünden yaptırım gerekmez.

Avukatlar için pratik ilke

• Dosya inceleme yetkisi sınırsız değildir: Yetkinizi gösterin, amacı aşmayın, kopyalama/çıktı alma sınırlarına ve sır saklama yükümlülüğüne uyun.
• Adli sistemler (UYAP/UHAP vb.) ve tevzi süreçlerindeki erişim; “mevzuat dayanaklı” ise KVKK’ya aykırılık doğurmaz; ancak gereksiz veri görme/indirme riskini minimize edin.

6) 2021/909 — “Borçlunun kardeşine ait verilerin İcra Müdürlüğüne iletilmesi”: Üçüncü kişi verisi neden işlendi?

Olay kısa özet

Borçlu hakkında yürüyen icra takibinde, alacaklı vekili avukat borçlunun kardeşine ilişkin bazı iletişim bilgilerini icra dosyasına sunuyor. Kardeş “ben taraf değilim” diyerek şikâyet ediyor.

Olay neydi?
Borçlu hakkında yürüyen bir icra takibinde, alacaklı vekili avukat; borçlunun kardeşine ait kimlik ve adres bilgisini icra dosyasına ekliyor. Bu bilgiler üzerinden İcra Müdürlüğü, kardeşin adresine İİK 89/1 kapsamında birinci haciz ihbarnamesi gönderiyor. Kardeş, “ben dosyanın tarafı değilim; bilgilerim rızam olmadan verildi” diyerek şikâyet ediyor.

Kurul bu durumda ne dedi?
Kurul, birinci haciz ihbarnamesinin gönderilebilmesi için üçüncü kişinin (burada kardeşin) ad-soyad ve adres gibi bazı bilgilerine ihtiyaç olduğunu; mevzuatın bu bildirimi öngördüğünü ve bu işlemde baştan hukuka aykırılık bulunmadığını belirtti. Yani, İİK 89/1 uyarınca yapılan bildirim ve bu bildirim için zorunlu kişisel verilerin İcra Müdürlüğüne sunulması, kural olarak hukuka uygundur.

Neden üçüncü kişi (kardeş) verisi işlenebildi?
İcra hukukunda alacaklının talebi, ancak icra dairesi üzerinden ve kanunda gösterilen usullerle yürür. Borçluya ait mal ve haklar bazen üçüncü kişilerde bulunabilir; bu nedenle birinci haciz ihbarnamesi gibi işlemler üçüncü kişilere yöneltilebilir. Bu usul, ihbarnamenin ulaşabilmesi için üçüncü kişinin kimlik/adres bilgisinin dosyada yer almasını zorunlu kılar. Kurulun değerlendirmesi de bu zorunluluk üzerine kurulu.

Avukatlar için pratik ilke

• Üçüncü kişi verisini sırf “kolay ulaşırım” diye değil, icra işleminin zorunlu gereği olarak ve ölçülü biçimde kullanın; dayanağınızı (İİK+KVKK m.5/2-a,e) dosyada görünür kılın.

7) 2021/925 — “Sendika üyeliği bilgisinin elde edilmesi ve paylaşılması”: Özel nitelikli veri ama dava konusu ile bağlantı nasıl kuruldu?

Olay kısa özet

Bir işe iade davası açılıyor. Davacı işçi, işten çıkarılmasının sebebinin sendikal nedenle fesih olduğunu iddia ediyor. Bu tür davalarda, işverenin gerçekten sendikal nedenle mi fesih yaptığı yoksa başka bir gerekçe mi olduğu tartışılıyor.
Davalı tarafın avukatı, aynı işyerinde çalışan başka bir işçinin sendika üyeliği veya sendikadan ayrılma bilgisine ulaşıyor. Bu bilgiyi, dilekçesinde delil olarak sunuyor.
Bilgisi kullanılan bu işçi (ilgili kişi), “Ben davanın tarafı değilim. Sendika üyeliğim özel nitelikli kişisel veridir. Rızam olmadan paylaşıldı” diyerek şikâyet ediyor.

Kurul ne dedi?

• Dava konusu doğrudan sendikal faaliyet ile ilgili.
• İşten çıkarma sebebinin sendikal mı yoksa başka bir nedenle mi olduğu, davanın temel tartışma konularından biri.
• Avukat, bu bilgiyi iddiasını ispat etmek amacıyla ve davayla doğrudan bağlantılı şekilde kullanmış.
• Avukatlık Kanunu m.2 (avukatın yargı mercilerinde iddia ve savunma hakkı) ve HMK m.119 (dilekçede delil gösterme yükümlülüğü) gereğince, bu kullanım hukuka uygun görüldü.
• Dolayısıyla, KVKK m.6’daki “özel nitelikli veri” işleme yasağı burada ihlal edilmiş sayılmadı. “İşlem yapılmasına yer olmadığı” kararı verildi.

Avukatlar için çıkarılacak ders

Dava ile ilgisiz veya gereksiz ayrıntıların dosyaya konulması hem KVKK hem meslek etiği açısından risklidir.

Özel nitelikli veri (sendika üyeliği, sağlık verisi, ceza mahkûmiyeti vb.), ancak davanın konusuyla doğrudan ilgiliyse ve ispat için zorunluysa kullanılabilir.

Kullanım mutlaka mevzuata dayalı olmalı (Av.K., HMK, İİK vb.) ve ölçülülük ilkesi korunmalı.

Avukatlar için pratik ilke

• Özel nitelikli veriler, davanın özüyle doğrudan ilgili ve ispat için zorunlu ise ve kanuni çerçeveye bağlı kalınarak kullanılıyorsa “ölçülülük” sağlanmış kabul edilebilir.

8) 2021/1111 — “Tanığa ait ceza mahkûmiyeti bilgisinin dosyaya sokulması”: Avukatın sınırı nerede?

Bir işçilik davasında, davalı tarafın avukatı, karşı taraf tanığı hakkında geçmiş bir ceza mahkûmiyeti bilgisine ulaşıyor. Bu bilgiyi, tanığın güvenilirliğini tartışmak amacıyla dilekçe ekinde mahkemeye sunuyor.
Tanık, “Ben davanın tarafı değilim. Ceza mahkûmiyetim özel nitelikli veridir ve bu bilgi hukuka aykırı şekilde elde edilip paylaşıldı” diyerek KVKK kapsamında şikâyet ediyor.

Kurul ne dedi?

• Ceza mahkûmiyeti bilgisi, KVKK m.6’ya göre özel nitelikli kişisel veridir ve sıkı koruma altındadır.
• Bu tür veriler yalnızca kanuni dayanak varsa veya ilgili kişinin açık rızasıyla işlenebilir.
• Avukat, bu bilgiyi hangi meşru ve yasal kaynaktan elde ettiğini ispatlayamadı.
• Ayrıca, davanın konusu ile bu mahkûmiyet bilgisi arasında zorunlu ve ölçülü bir bağlantı kurulamadı.
• Sonuç olarak, avukatın bu bilgiyi dosyaya sunma tarzı hukuka aykırı bulundu.

Karar ve yaptırım

• Avukata 75.000 TL idari para cezası verildi (KVKK m.12/1 – veri güvenliği yükümlülüğüne aykırılık).
• Hukuka aykırı şekilde dosyaya giren bu verilerin imha edilmesi talimatı verildi.
• Ayrıca, eylem Türk Ceza Kanunu bakımından suç teşkil edebileceğinden, ilgili kişinin savcılığa başvurabileceği hatırlatıldı.

Avukatlar için

• Tanığın geçmiş ceza mahkûmiyeti bilgisi, “her durumda” dava dosyasına konulamaz.
• Ancak ispat için zorunlu ve konuyla doğrudan ilgili ise, ayrıca yasal dayanağı açıkça ortaya konmuş olmalıdır.
• “Olası fayda” veya “karakter analizi” gibi gerekçeler, özel nitelikli veri işlemede meşru gerekçe sayılmaz.
• Hukuka aykırı elde edilen her veri, sadece KVKK’dan değil, TCK m.135 ve devamı uyarınca da cezai risk taşır.

9) 2022/489 — “Birlik → Vekil Avukat → Baro’ya belge aktarımı”: Savunma hakkı kapsamında hukuka uygun aktarım olur mu?

Olay kısa özet

Bir kamu tüzel kişiliği olan Birlik, görev yaptığı bir konuda vekil olarak atadığı avukata, bazı sözleşme ve ücret belgelerini teslim ediyor.
Daha sonra bu avukat hakkında Baro’ya bir disiplin şikâyeti yapılıyor. Avukat, kendisine yöneltilen iddialara karşı savunma yaparken, elindeki bu belgeleri savunma dilekçesi ekinde Baro’ya sunuyor.
Belgelerde, belirli kişilere ait kimlik, iletişim, ücret gibi kişisel veriler yer alıyor.

Kurul ne dedi?

• Birliğin avukata belge vermesi, avukatın da bu belgeleri Baro’ya sunması, KVKK m.5/2-e uyarınca “bir hakkın tesisi, kullanılması veya korunması” kapsamında değerlendirildi.
• Burada “hak” kavramı, avukatın savunma hakkını ve Baro’nun disiplin sürecini kapsıyor.
• Belgeler, savunmanın temeli ile doğrudan ilgiliydi.
• Bu nedenle hukuka aykırılık olmadığına ve işlem yapılmasına yer olmadığına karar verildi.

Avukatlar için çıkarılacak ders

• Savunma hakkı kapsamında belge aktarımı yapılabilir; bu KVKK’da tanınan istisnalardan biridir (m.5/2-e).
• Ancak şu kurallar kritik:
  1. Konu ile birebir ilgili olmalı: Belgeler, doğrudan savunmayı ilgilendirmeli.
  2. Ölçülülük ilkesi: Gereksiz veriler, savunma dilekçesine eklenmemeli.
  3. Amaca uygunluk: Belgeler yalnızca savunma ve disiplin süreci amacıyla kullanılmalı.
  4. Gizlilik: Savunma dosyası dışında üçüncü kişilerle paylaşılmamalı.

Avukatlar için pratik ilke

• Savunma hakkı kapsamındaki belge aktarımında, konu ile birebir ilgili ve ölçülü belgeler kullanılmalı; “gereksiz veri” eklenmemeli.

10) 2022/655 — “Tasfiye edilmiş şirket yöneticilerinin aranması/SMS”: UHAP ve ‘bilinmeyen numara servisleri’nden veri toplanır mı?

Olay kısa özet

Bir telekomünikasyon şirketinin vekil avukatı, tasfiye edilmiş bir limited şirketin eski ortak ve yöneticilerine SMS gönderiyor ve telefonla arıyor.
Amaç, şirketten kalan borcun tahsil edilmesi.
Eski ortak ve yöneticiler, “Bizim şahsi sorumluluğumuz yok, ayrıca aydınlatma yapılmadı ve avukat ısrarla arayıp rahatsız etti” diyerek KVKK kapsamında şikâyette bulunuyor.

Kurul ne dedi?

• Avukat, iletişim bilgilerini UHAP (Ulusal Yargı Ağı Projesi) ve “bilinmeyen numara sorgulama servisleri” gibi yasal erişim kanallarından edinmiş.
• Bu bilgilerin alacağın tahsiline yönelik ve zorunlu ölçüde işlenmesi, KVKK m.5/2-ç (“veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi”) ve m.5/2-e (“bir hakkın tesisi, kullanılması veya korunması”) hükümleri kapsamında hukuka uygun kabul edildi.
• “Israrlı arama” iddiası, dosya içeriğiyle ispatlanamadığı için bu yönde ihlal tespiti yapılmadı.

Avukatlar için çıkarılacak ders

• Yasal platformlardan veri edinmek (UHAP, operatör rehberleri, kamuya açık sorgu servisleri), KVKK kapsamında meşru yöntemdir.
• Ancak her veri toplama işlemi amacıyla sınırlı olmalı; borç tahsiline hizmet etmeyen bilgiler işlenmemelidir.
• Ölçülülük ilkesi gereği, iletişim kurulacak kişi sayısı ve frekansı makul tutulmalı.
• “Taciz boyutunda arama” veya gereksiz tekrar eden iletişim ispatlandığında, bu durum KVKK’daki genel ilkelere ve meslek etiğine aykırılık oluşturur.
• Aydınlatma yükümlülüğü, veri işleme başlamadan önce veya en geç ilk iletişimde yerine getirilmelidir.

Avukatlar için pratik ilke

• Yasal erişim kanallarından veri toplama bir “yöntem”dir; meşru amaç ve ölçülülük sağlandıkça KVKK’ya uygundur. Taciz boyutunda arama ise genel ilkelere aykırıdır (ispatlanırsa).

11) 2022/1281 — “Borç bilgisinin borçlunun oğluyla paylaşılması” ve “oğlun numarasının elde edilmesi”: Nerede çizgi çekildi?

Olay kısa özet

Bir avukat, alacaklı vekili olarak yürüttüğü dosyada borçlunun oğlunu telefonla defalarca arıyor. Aramalarda borcun varlığı ve ödenmesi gerektiği konuşuluyor.
Oğul, “Numaram hukuka aykırı şekilde alındı, ayrıca bana babamın borç bilgisi paylaşıldı” diyerek KVKK kapsamında şikâyetçi oluyor.

Kurul ne dedi?

• Telefon numarasının hukuka aykırı elde edildiği iddiası, somut delillerle ispatlanamadı.
• Oğul, haciz işlemi sırasında mahallinde bulunmuş ve haciz tutanağını imzalamış. Dolayısıyla borcun varlığından zaten yasal süreçte haberdar.
• Bu nedenle, telefonla yapılan bilgilendirme, ölçülülük ilkesi çerçevesinde ayrıca bir ihlal olarak değerlendirilmedi.
• Ancak veri sorumlusunun, vekille yapılan başvurularda “kişisel verilere ilişkin özel yetki” talep etmesi, başvuru hakkını gereksiz zorlaştıran bir uygulama olarak görüldü ve bu konuda uyarı yapıldı.

Avukatlar için çıkarılacak ders

1. Borç bilgisinin üçüncü kişiyle paylaşılması, o kişinin zaten resmi süreçten haberdar olduğu durumlarda (ör. haciz tutanağına imza) ölçülülük kapsamında değerlendirilebilir.
2. Bu istisna, “her zaman paylaşabilirsiniz” anlamına gelmez; her olayda amaç–bağlantı–ölçülülük zinciri kurulmalı.
3. Veri sorumlusuna başvurular, KVKK başvuru usullerine uygun ve pratik olmalı. “Özel yetki belgesi” gibi kanunda öngörülmeyen ek şartlarla başvuru sürecini zorlaştırmak, hem Tebliğ’e hem de iyi uygulama ilkelerine aykırıdır.
4. Vekil başvurularında, vekaletname içeriğinde veri talebine ilişkin açık yetki aranabilir ama mevzuatın zorunlu kılmadığı ek formaliteler getirilmemelidir.

Avukatlar için pratik ilke

• Borç bilgisini üçüncü kişiyle paylaşmak, o kişinin zaten yasal süreçte haberdar olduğu durumlarda (ör. haciz tutanağını imzalama) ölçülülük çerçevesinde değerlendirilebilir.
• Başvuruları “özel yetki” şartıyla gereksiz zorlaştırmayın; Tebliğ’e uygun, pratik başvuru kanalları sunun.

12) 2023/78 — “Borç bilgisinin şirket kurumsal hatlarına SMS ile gönderilmesi”: Kurumsal hat kişisel veriyi yayar mı?

Olay kısa özet

Bir GSM operatörü, abonelikten doğan borcun tahsili için dosyayı avukatlık ortaklığına veriyor.
Avukatlık ortaklığı, operatörden aldığı iletişim bilgileri üzerinden borçlunun telefonuna SMS ile borç bilgisi gönderiyor.
Ancak bu SMS, borçlunun ortağı olduğu şirketin kurumsal numarasına gidiyor.
Kurumsal hat, şirket çalışanları tarafından da kullanıldığı için borç bilgisi üçüncü kişilerce görülüyor.

Kurul ne dedi?

• Kurumsal hat ile kişisel numara birbirinden farklıdır. Kurumsal hatlar genellikle birden çok kişi tarafından kullanılır; bu nedenle buraya gönderilen borç bilgisi, üçüncü kişilerle veri paylaşımı anlamına gelir.
• Bu paylaşım, KVKK m.5’teki işleme şartlarından herhangi birine dayanmadan yapıldığı için hukuka aykırıdır.
• GSM operatörü, bu veri güvenliği ihlalinden dolayı KVKK m.12 kapsamında 85.000 TL idari para cezası ile cezalandırıldı.
• Avukatlık ortaklığı ise, kendisine operatör tarafından verilen numaralara tek seferlik SMS atmış ve numaraların doğruluğunu kontrol etme imkânı bulunmadığından, hakkında işlem yapılmasına yer olmadığına karar verildi.

Avukatlar için çıkarılacak ders

1. Numara doğrulaması yapmadan SMS ile borç bilgisi göndermek ciddi risk taşır.
2. Kurumsal hatlara gönderilen mesajlar, çalışanlar veya yöneticiler dışındaki kişiler tarafından da görülebileceğinden “üçüncü kişilere açıklama” niteliği taşır.
3. Borç bilgisinin paylaşımı yalnızca doğru kişiye ve meşru işleme şartlarına dayanarak yapılmalıdır.
4. Mümkünse iletişim öncesi numara–ilgili kişi eşleşmesini teyit edecek ek kontroller (ör. UYAP kayıtları, MERSİS sorgusu, güncel rehberler) yapılmalıdır.
5. Kurumsal hat–kişisel hat ayrımını net biçimde yapmak, hem KVKK hem meslek etiği açısından zorunludur.

13) 2023/437 — “Borçluya 5 adet bilgilendirme SMS’i”: Aydınlatma ve ölçülülük nerede çizildi?

Olay kısa özet

Bir avukatlık ortaklığı, müvekkili olan GSM şirketi adına borç tahsiline yönelik olarak ilgili kişiye ayda bir defa olmak üzere toplam 5 SMS gönderdi.
Mesajların içeriği borcun varlığına ilişkin kısa bir hatırlatma niteliğindeydi.
İlgili kişi, “Aydınlatma yapılmadı” ve “İletişim taciz boyutuna ulaştı” iddialarıyla KVKK kapsamında şikâyette bulundu.

Kurul ne dedi?

• Borç tahsiline yönelik SMS gönderimi, KVKK m.5/2-(e) kapsamında “bir hakkın tesisi, kullanılması veya korunması” amacıyla hukuka uygundur.
• Mesajların sıklığı (ayda 1) ve içeriği (iş saatlerinde, isim maskeleme yapılmış, yalnızca borç bilgisi verilmiş) ölçülü bulundu.
• “Aydınlatma yapılmadı” iddiası, ilgili kişinin veri sorumlusuna yaptığı başvuruda yer almadığı için bu konuda yaptırım uygulanmadı.
• Kurul, uzlaşma veya borç hatırlatma amaçlı arama/SMS’lerde:
  • Avukatın kendisini tanıtmasının,
  • İletişimin amacını ve kaynağını kısa şekilde açıklamasının,
    hayatın olağan akışı içinde beklenen bir davranış olduğunu vurguladı.
• Ayrıca, kapsamlı KVKK m.10 aydınlatmasının bu ilk anda pratikte sınırlı uygulanabilir olduğunu, ancak avukatın müvekkiline yönelik aydınlatma yükümlülüğünün devam ettiğini belirtti.

Avukatlar için çıkarılacak ders

1. Periyot: Taciz algısı yaratmamak için arama/SMS sıklığı makul tutulmalı (örneğin ayda bir).
2. İçerik: Mesaj kısa, borç bilgisi odaklı ve gereksiz detay içermemeli; kişisel bilgileri korumak için isim maskeleme kullanılabilir.
3. İlk temas: Kendinizi tanıtın, borcun hangi dosya/müvekkil ile ilgili olduğunu kısaca belirtin.
4. Aydınlatma: Geniş aydınlatma metni, müvekkil tarafından borçluya ayrıca yapılmalı; avukat, borçluya sadece minimum gerekli bilgiyi vermeli.
5. İspat: Olası şikâyetlere karşı SMS logları, ekran görüntüleri ve tarih–saat kayıtlarını saklayın.

Avukatlar için pratik ilke

• Kısa, bilgi amaçlı ve ölçülü periyotlarla SMS/arama yapılabilir; ispat için log/ekran görüntülerini saklayın.
• İlk temaslarda kendinizi ve amacınızı kısaca belirtin; geniş aydınlatmayı müvekkilinize yapın, borçlu karşı tarafa “minimum gerekli bilgi” verin.

Avukatlar İçin Hızlı Rehber: 10 Dakikada KVKK’ya Uygun Tahsilat ve Dava Takibi

Mevzuat dayanağı: KVKK m.5/2-ç ve m.5/2-e ne zaman devreye girer?

İcra ve dava pratiğinde kişisel veri işlemeyi çoğu zaman iki zemine oturtuyoruz:

• m.5/2-ç: Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu işlem (kanun, yönetmelik, tebligat şartları).
• m.5/2-e: Bir hakkın tesisi, kullanılması veya korunması için gerçekten zorunlu işlem (alacağın tahsili, iddia/savunma).

Nerelerde kullanırız?

• İcra: Haciz, İİK 89/1 haciz ihbarnamesi, tebligat—çoğunlukla 5/2-ç + 5/2-e birlikte çalışır.
• Dava/Savunma: Delil sunma, itirazın iptali, temyiz—genelde 5/2-e ağır basar.
• Kurum içi zorunluluk (kanunen arşiv vb.)—5/2-ç.

Pratik yaklaşım—avukat ne yapmalı?
Önce “Hangi kanuni işlem için hangi veri şart?” sorusunu netleştir. Veri olmadan işlem yürümüyor (tebligat, ihbarname) ise 5/2-ç dayanağını, hak arama (dilekçe, delil) ise 5/2-e gerekçesini dosyada görünür kıl. Her durumda ölçülülüğü koru: amaca yetecek en az veri.

Yanlış/Doğru

• Yanlış: “Ne olur ne olmaz” diyerek TCKN + aile bilgileri + tüm iletişim seti.
• Doğru: İİK 89/1 ihbarnamesi için ad–soyad + tebligat adresi yeter.

Dosyaya yazılacak kısa şablon

“İşbu kişisel veriler, İİK 89/1 uyarınca haciz ihbarnamesinin tebliği ve KVKK m.5/2-(ç) ve (e) kapsamında zorunlu olduğu ölçüde işlenmektedir. Amaçla sınırlıdır.”

Üçüncü kişi verisi: Nerede kullanılır, nerede kullanım yasak alanına girer?

Üçüncü kişi; borçlu/davanın tarafı olmayan yakını, çalışanı, ortağı vb. demek. Varsayılan kural basit: Girmeyin. Ancak kanun sizi mecbur bırakıyorsa veya hakkınızı savunmanız için zorunlu ise, o da ölçülü şekilde.

Kullanabileceğiniz haller

• Kanun zorunlu kılıyorsa: Örneğin İİK 89/1 sebebiyle üçüncü kişiye ihbar gönderilecekse ad–soyad–adres gibi zorunlu alanlar.
• Hak arama için gerçekten gerekliyse ve alternatif yoksa: m.5/2-e + ölçülülük.

Kullanamayacağınız haller

• Borçlu yerine yakınını arayıp borç bilgisini açıklamak (çoğunlukla ihlal).
• “Belki yardımcı olur” düşüncesiyle üçüncü kişiyi detayla bilgilendirmek.
• Eski/ilgisiz üçüncü kişi datasına dayanmak (doğruluk–güncellik ilkesini bozar).

Yanlış/Doğru

• Yanlış: “Borçlunun kardeşine SMS: ‘X TL borcunuzu ödeyin’.”
• Doğru: Yalnızca İİK 89/1 sürecinde, üçüncü kişinin kimlik + adresini dosyaya koyup ihbarname tebliği; bunun dışında paylaşım yok.

Dilekçeye not şablonu

“Üçüncü kişiye yöneltilecek İİK 89/1 ihbarnamesi için yalnızca zorunlu kimlik/adres bilgisi işlenmiş olup, KVKK m.5/2-(a)/(e) dayanakları mevcuttur; ölçülülük gereği fazlası dosyaya konulmamıştır.”

Kurumsal numaralar: Neden “yüksek risk” bölgesi?

Kurumsal hat/numara; şirketin ortak kullandığı sabit/GSM hatları, departman hatları, çağrı merkezi hatlarıdır. Buraya borç bilgisi gönderdiğinizde çoğu zaman üçüncü kişilere açıklama doğar.

Riskin kaynağı

• Kurumsal hat çok kişilidir; mesajı tek kişi okumaz.
• KVKK m.5’teki işleme şartları borçlu dışındakilere açıklama için genellikle yoktur → ihlal + para cezası riski.

Ne yapmalı?

• Müvekkilden gelen iletişim listesinde kurumsal hatları işaretleyin; borç bildirimi için kullanmayın.
• Önce mümkünse kişisel numara doğrulaması yapın; kurumsal hattı ancak genel bildirim/ihbar ve açık hukuki dayanak varsa düşünün.

Yanlış/Doğru

• Yanlış: “muhasebe@… hattına” veya şirket GSM’ine “X kişisinin borcu var” SMS’i.
• Doğru: Borçlu şahsa ait doğrulanmış kişisel numara üzerinden kısa, ölçülü bilgilendirme; kurumsal hatta gönderim yok.

Kısa SMS şablonu (borçlu şahsa)

“Sayın [A.], [Müvekkil Kurum] adına dosya no [**] borcunuza dair bilgi için (‘kimlik teyidi sonrası’) 0XXX XXX XX XX. Av. [Ad Soyad]”
(İsim maskeleme + kimlik teyidi uyarısı ifşa riskini ciddi biçimde azaltır.)

Aydınlatma: İlk kısa temas ile kapsamlı aydınlatmanın sınırları

İlk temas telefon/SMS’tir; pratik, kısa, hedefe yönelik olmalı. Kapsamlı aydınlatma (KVKK m.10) ise veri sorumlusu, amaç, yöntem, aktarım, haklar vb. tüm pakettir; bunu çoğu dosyada müvekkil kurum borçluya ayrıca sunar.

İlk temasta beklenti nedir?
İnsanlar üç şeyi duymak ister: Kimsiniz? Neden arıyorsunuz? Veriyi nereden aldınız? Bunu 1–2 sakin cümleyle söyleyin. Sonrasında kimlik teyidi, asgari bilgi ve kapanış.

Yanlış/Doğru

• Yanlış: “Gizli borcunuz var, detay veremem.” (belirsizlik, taciz algısı)
• Doğru: “Av. X, Y şirketi adına alacak dosyası için arıyorum. İletişim bilginiz [X kaynağı] sebebiyle kayıtlı. Kimlik teyidinden sonra kısa bilgi paylaşacağım.”

Telefon açılış şablonu

“Merhaba, ben Av. [Ad Soyad]. [Müvekkil/Kurum] adına [dosya no] alacağıyla ilgili arıyorum. İletişim bilginiz sözleşme/abonelik sürecinden gelmiştir. Kimlik teyidinizden sonra kısa bilgilendirme yapacağım; detaylı aydınlatma müvekkilimizce ayrıca sağlanmaktadır.”

İspat yükü ve ölçülülük: “Taciz derecesinde arama” iddiasında nasıl güvende kalırız?

Kurul üç şeye bakar: sıklık – saat – içerik. Gece araması, ardışık çoklu aramalar, baskıcı/utandırıcı dil; hepsi ihlal riskini artırır. Savunmada koz sizdedir: loglar, arama kayıtları (tarih–saat–süre), SMS ekran görüntüleri, metin şablonları.

Güvenli pratik

• Periyot: makul sıklık (ör. ayda 1–2) ve mesai saatleri.
• İçerik: kısa ve bilgi odaklı; kimlik teyidi sonrası somut detay.
• Yol ayrımı: Telefon sonuç vermiyorsa resmî tebligat/ihbar kanalına geçin.

Yanlış/Doğru

• Yanlış: Bir haftada 10 arama, saat 22:30, “icra geliriz” tonunda baskı.
• Doğru: Ayda 1 kısa SMS + mesai içinde tek arama + nazik dil; sonuç yoksa resmî tebligat.

Ofis içi log şablonu (saklanacak alanlar)

• Tarih–saat–numara
• Arayan kişi (avukat/sekreter)
• Amaç ve kullanılan metin şablonu
• Sonuç (ulaşıldı/ulaşılamadı/kimlik teyidi yapıldı–yapılmadı)
• Bir sonraki adım (tebligat, e-posta, UETS vb.)

Tek sayfalık hızlı kontrol listesi (gerçek hayatta işe yarayan)

• İşlemin kanuni dayanağı net mi? (İİK, HMK, Av.K.; KVKK m.5/2-ç veya m.5/2-e not düşülecek)
• Zorunlu veri dışında hiçbir şey eklemiyorum (minimizasyon).
• Üçüncü kişi verisi ise: zorunluluk + ölçülülük + açık dayanak notu.
• Kurumsal numaralara borç detayı göndermiyorum.
• İlk temasta kim/amaç/kaynak kısa açıklaması; geniş aydınlatma müvekkil tarafından.
• Log/SMS kayıtları tutuluyor; saat ve sıklık makul.
• Sonuç yoksa resmî tebligat kanalına geçiyorum.

SSS

İcra takibinde borçlunun yakınına SMS atabilir miyim?
Genellikle hayır. Yakının süreçten zaten haberdar olduğu istisnai haller (ör. haciz tutanağı imzası) dışında, üçüncü kişiye borç bilgisi paylaşımı veri ihlaline dönüşebilir.

UHAP/bilinmeyen numara servislerinden alınan irtibatlar hukuka uygun mu?
Erişim yetkiniz varsa ve alacağın tahsili için zorunlu/ölçülü kullanıyorsanız, evet. Ama “ısrarlı arama” çizgisini aşmayın; kayıt tutun.

Savunma hakkı için Baro’ya/mahkemeye belge sunarken KVKK’ya takılır mıyım?
Dava/disiplin bağlamıyla somut ilişkili ve ölçülü belgeler, m.5/2-(e) zemininde aktarılabilir. Gereksiz bilgi eklemeyin.

Borçluya ayda bir SMS hatırlatması yapabilir miyim?
Kısa, bilgi amaçlı, ayda bir ve iş saatlerinde yapılan hatırlatmalar ölçülü bulundu (somut dosyada 5 SMS). Yine de içerik/ton ve sıklık kayıtlara dayanmalı.