Bir varlık yönetim şirketinin ilgili kişiye aynı konu ile ilgili birden çok mesaj gönderimine ilişkin Kişisel Verileri Koruma Kurulunun 31/05/2019 Tarihli ve 2019/159 Sayılı Karar Özeti
İlgili kişinin,
• Veri sorumlusu varlık yönetim şirketi tarafından ilgili kişiye ait telefon numarasına açık rızası olmaksızın kısa mesajların (SMS) gelmesi ve SMS’lerde ret bildiriminin bulunmaması, ayrıca Şirketin, kişisel verilerini nereden, kimlerden ve nasıl temin ettiğini bilmemesi,
• 6698 sayılı Kişisel Verilerin Korunması Kanununun (6698 sayılı Kanun) ilgili maddelerine istinaden veri sorumlusuna yapmış olduğu başvurusuna herhangi bir cevap alamaması sebebiyle Kişisel Verileri Koruma Kuruluna (Kurul) şikayette bulunması üzerine yapılan inceleme neticesinde,
- Şikayetçinin yapmış olduğu ve veri sorumlusu tarafından teslim alınan bilgi talebi başvurusuna 30 günlük yasal süre içerisinde cevap verilmediği iddiasına ilişkin olarak, veri sorumlusundan alınan cevabi yazı ekinde ilgili kişiye cevap verdiği, bu cevabi yazının Şikayetçi tarafından teslim alındığının veri sorumlusu tarafından Gönderi Takibi ile tevsik edildiği ve yazısında Şikayetçinin bilgi talebinde bulunduğu tüm hususlara cevap verdiği dikkate alınarak veri sorumlusu hakkında yapılacak bir işlem olmadığına,
- Şikayetçinin geri ödemesi gerçekleştirilmeyen tahsili gecikmiş alacakların ilgili bankalar ile veri sorumlusu arasında akdedilmiş bulunan sözleşmeler kapsamında 5411 sayılı Bankacılık Kanunu (5411 sayılı Kanun) ve 6098 sayılı Türk Borçlar Kanunu (6098 sayılı Kanun) hükümleri çerçevesinde veri sorumlusu şirketçe devir ve temlik alındığı, Şikayetçinin kişisel verisi olan telefon numarası verisinin veri sorumlusunun, Şikayetçinin ilgili bankalardan kullanmış olduğu kredi borçlarının yeni alacaklısı olması, bu kapsamda 6098 sayılı Kanunun 186 ncı maddesi çerçevesinde borçlunun önceki alacaklılara karşı borcunu ifa etmesinin engellenmesi ve taraflarınca Şikayetçiye sağlanacak kolaylıklar ile borcun ödenmemesi durumunda Şikayetçinin maruz kalabileceği hukuki risklerin bildirilmesi amacıyla işlenmiş olmasının 6698 sayılı Kanunun 5 inci maddesinin (2) numaralı fıkrasının (e) bendi kapsamında Şikayetçinin açık rızası olmaksızın gerçekleşebilir olması nedenleriyle veri sorumlusu hakkında yapılacak bir işlem bulunmadığına,
- Ancak 6698 sayılı Kanun kapsamında kişisel verilerin kullanılmasının da bir veri işleme faaliyeti olduğu, bu anlamda Şirket tarafından ilgili kişinin telefon numarasına aynı içerikteki mesajların farklı tarihlerde birden fazla gönderilmesinin veri sorumlusunun sahip olduğu hakkı kötüye kullanımı olarak değerlendirilmesi ve bu durumun Kanunun 4 üncü maddesinin (2) numaralı fıkrasının (a) bendinde yer alan kişisel verilerin işlenmesinin hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırılık teşkil etmesi, hususları göz önünde bulundurularak, Kanunun 12 nci maddesinin (1) numaralı fıkrasının (a) bendinde yer alan kişisel verilerin hukuka aykırı olarak işlenmesini önlemeye yönelik gerekli teknik ve idari tedbirleri almayan veri sorumlusu hakkında Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi kapsamında 20.000 TL idari para cezası uygulanmasına
karar verilmiştir.
Yorumumuz:
Bu karar borçluya mesaj atan varlık yönetim şirketine ilişkin verilmiştir ve iki açıdan çok önemlidir.
1) 6698 Sayılı Kanunun 5/1-e maddesindeki “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” hukuki işleme sebebi ilk kez KVK Kurulunun açıklanan bir kararında yer almıştır. Bu kapsamda alacak hakkının kullanılması ve korunması için cep telefonu numarasının mesaj atmak suretiyle yapılan kişisel veri işleme hukuka uygun sayılmıştır.
2) Ancak aynı mesajların veri sorumlusu tarafından ilgili kişiye aynı içerikle defalarca atılması 6698 Sayılı Kanunu 4/2-a’da yer alan hukuk ve dürüstlük kuralına aykırı görülmüştür. Borçluya tekrar tekrar mesaj atılmasını engelleyecek bir idari tedbir almadığı için varlık yönetim şirketine idari para cezası verilmiştir.