KVKK Kurul Kararı 2020/118 Bankanın Hesap ve Kiralık Kasa Bilgilerini İcra Dairesine Aktarması
Bankacılık işlemleri kapsamında işlenen hesap bilgileri ve kiralık kasa bilgileri, ilgili kişiyle ilişkilendirilebilir nitelikte olduğundan kişisel veri kapsamındadır. Ancak bazı durumlarda veri sorumlusu; açık rıza aranmaksızın, kanundan doğan hukuki yükümlülüğünü yerine getirmek amacıyla ilgili verileri yetkili mercilere aktarabilir.
Kişisel Verileri Koruma Kurulu’nun 13/02/2020 tarihli ve 2020/118 sayılı kararı; bankanın, İcra ve İflas Kanunu (İİK) hükümleri uyarınca icra dairesine bilgi verme ve haciz süreçlerine uyum kapsamında gerçekleştirdiği aktarımın KVKK bakımından nasıl değerlendirileceğini netleştirmektedir.
Temel mesele: Hesap/kiralık kasa bilgisinin icra dairesine aktarımı KVKK’ya uygun mu?
Kurul yaklaşımı: İİK 89 ve 367 kapsamında icra dairesine bilgi verme, kanuni yükümlülük niteliğinde.
Hukuki dayanak: KVKK m.5/2(ç) (hukuki yükümlülük) + KVKK m.8 (aktarım).
Netice: Banka bakımından KVKK kapsamında yapılacak işlem bulunmadı.
İcra sürecinin “haklı/haksız” olduğu gibi tartışmalar, somut olayda bankanın veri aktarımından ziyade icra-tebligat hukukunun alanına girer.
1. Karar Kartı (Tarih, No, Konu)
| Başlık | Bilgi |
|---|---|
| Karar Tarihi | 13/02/2020 |
| Karar No | 2020/118 |
| Konu | Bankanın ilgili kişiye ait hesap ve kiralık kasa bilgilerini icra dairesine aktarması ve haciz süreçlerine uyum |
| Kaynak | kvkk.gov.tr içeriği (2020-118) |
2. Olayın Özeti ve İddialar
Şikâyet başvurusunda; ilgili kişi hakkında icra takibi başlatıldığı, ödeme emrinin kesinleştirildiği, akabinde bankaya haciz ihbarnamesi gönderildiği ve bankadaki kiralık kasaya fiili haciz uygulandığı ifade edilmiştir. Ayrıca; ilgili kişiye ait olduğu iddia edilen banka hesap ve kiralık kasa bilgilerinin “resmi olmayan yollarla ele geçirilerek” paylaşıldığı ileri sürülmüştür.
İlgili kişinin Kurumdan talep ettiği başlıklar
- Hesap ve kiralık kasa bilgilerinin işlenip işlenmediği
- İşleme amacı ve amaca uygun kullanım
- Yurt içi/yurt dışı üçüncü kişilere aktarım yapılıp yapılmadığı
- Hukuka aykırılık nedeniyle veri sorumlusu hakkında gereğinin yapılması
3. Veri Sorumlusunun Savunması
Veri sorumlusu banka; ilgili kişi hakkında icra dosyası bulunduğunu, İİK m.89 kapsamında bankalara haciz ihbarnamesi gönderilmesi yönteminin uygulandığını, kendilerinin de bu kapsamda ihbarname gönderilen bankalardan biri olduğunu belirtmiştir.
Öne çıkan savunma argümanları
- Banka, icra takibinin “haklılık/hukukilik” denetimini yapmakla yükümlü değildir; süreç icra mercileri tarafından yürütülür.
- İlgili kişinin hesap bilgilerinin takip alacaklısına banka tarafından iletilmesi söz konusu değildir; ihbarnameye cevap verilmesi rutin bir süreçtir.
- Kiralık kasa haczi için icra müdürlüğü kararları doğrultusunda hareket edilmiştir.
- İİK m.367 uyarınca bankanın yasal yükümlülüğünü yerine getirdiği ifade edilmiştir.
4. Kurulun Hukuki Değerlendirmesi
Kurul; KVKK’nın amacını ve kişisel veri işleme şartlarını hatırlatarak, kural olarak açık rıza aranmakla birlikte KVKK m.5/2’de sayılan hallerde açık rıza olmaksızın işleme yapılabileceğini vurgulamıştır.
Kurulun değerlendirme omurgası
- İcra daireleri, İİK kapsamında kanunen yetkili mercilerdendir; haciz işlemleri yetkili icra daireleri tarafından yürütülür.
- Şikâyette yer alan “tebligat/ icra takibinin haksızlığı” iddiaları; bankanın veri aktarımından ziyade icra ve tebligat hukukunun alanına ilişkindir.
- İİK m.367 uyarınca; icra/iflas dairelerinin borçlunun mevcuduna dair isteyeceği malumatın derhal verilmesi yükümlülüğü bulunmaktadır.
- Bu nedenle bankanın, kişisel veri niteliğindeki hesap ve kiralık kasa bilgilerini icra dairesine aktarması kanundan doğan bir yükümlülük olarak değerlendirilmiştir.
KVKK açısından dayandırılan şart ve aktarım yaklaşımı
| Başlık | Kurulun Yaklaşımı |
|---|---|
| İşleme şartı | KVKK m.5/2(ç): veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması |
| Aktarım | KVKK m.8 çerçevesinde, icra-iflas mevzuatı kapsamında yetkili mercie aktarım olarak değerlendirilmiştir. |
| İcra mevzuatı | İİK m.89 (haciz ihbarnamesi süreçleri) ve İİK m.367 (malumat verme yükümlülüğü) |
5. Sonuç: Neden İşlem Yapılmadı?
Kurul; bankanın, icra dairesinin talebi ve ilgili mevzuat hükümleri çerçevesinde hareket ettiğini, hesap ve kiralık kasa bilgisinin bankacılık ve kişisel verilerin korunması mevzuatına aykırı biçimde elde edildiğine ilişkin bir bulguya rastlanmadığını değerlendirmiştir.
Sonuca götüren temel gerekçeler
- Banka, icra iflas hukuku bakımından süreçte üçüncü kişi konumundadır ve icra işlemleri yetkili mercilerce yürütülür.
- İİK m.367 gereği icra dairesine bilgi verme, kanundan doğan yükümlülüktür.
- Aktarım; KVKK m.5/2(ç) “hukuki yükümlülük” şartına dayalı ve KVKK m.8’e uygun şekilde değerlendirilmiştir.
6. Bankalar ve Kurumlar İçin Uyum Çıktıları
Bu karar; “yetkili kamu otoritelerine yapılan aktarım” süreçlerinde kurumların hangi kontrol noktalarına odaklanması gerektiğini göstermesi açısından operasyonel bir rehber niteliğindedir. Aşağıdaki maddeler; benzer taleplerin yönetiminde kurumsal standardı güçlendirir.
A. Talebin yetkisini ve kanalını doğrulayın
- Talebin yetkili icra dairesi/merci tarafından gönderildiğini belgeleyin.
- Resmi yazışma kanalı, referans numarası ve dosya bilgilerini kayıt altına alın.
B. Veri minimizasyonu ve amaçla sınırlılık uygulayın
- İcra dosyası kapsamında talep edilen veri setini gerekli ve yeterli düzeyde tutun.
- “Dosya kapsamı dışında” ek veri paylaşımı yapmayın; standart şablonlarınızı bu riskten arındırın.
C. Kayıt, izlenebilirlik ve denetlenebilirlik sağlayın
- Aktarımın kim tarafından, ne zaman, hangi dosyaya istinaden yapıldığını loglayın.
- İlgili iç onay/operasyon akışını tanımlayın (rol bazlı onay ve çift kontrol).
D. İç iletişim ve şube operasyonlarını ayrıştırın
- Şube operasyonlarının rutin haciz/ihbarname cevap süreçleriyle doğrudan teması varsa; görev tanımlarını ve erişimleri netleştirin.
- Kiralık kasa gibi yüksek hassasiyetli işlemler için “özel süreç” ve “özel kayıt” yaklaşımı uygulayın.
E. Aydınlatma ve şeffaflık yönetimi
- Genel aydınlatma metinlerinizde; kanuni yükümlülük kapsamında yetkili mercilere aktarım olabileceğini anlaşılır biçimde kurgulayın.
- İlgili kişi başvurularında; aktarımın hukuki dayanağını (m.5/2(ç) ve ilgili mevzuat) kurumsal dille açıklayın.
7. Sık Sorulan Sorular (SSS)
Bankanın icra dairesine veri aktarması için açık rıza gerekir mi?
Hayır. Kurul, İİK m.367 kapsamındaki bilgi verme yükümlülüğünü “hukuki yükümlülük” olarak değerlendirerek KVKK m.5/2(ç) kapsamında açık rıza aranmaksızın işleme/aktarıma imkan tanımıştır.
İcra takibinin haksız olduğu iddiası KVKK inceleme konusu olur mu?
Somut kararda Kurul; icra takibinin haklılığı, tebligatın usulü gibi tartışmaları bankanın veri aktarımıyla doğrudan ilişkilendirmemiş; bu başlıkların icra/tebligat hukuku kapsamında değerlendirilmesi gerektiğini işaret etmiştir.
Banka veriyi alacaklıya mı, icra dairesine mi aktarır?
Kararın omurgası; aktarımın “yetkili icra dairesine” mevzuat gereği yapılmasıdır. Bu ayrım, KVKK riskinin yönetiminde kritik önemdedir.
Haciz ihbarnamesi tüm bankalara gönderilebilir mi?
Kurul kararında; uygulamada borçlunun alacaklı tarafından bilinen bir hesabı yoksa sistemde kayıtlı bankalara haciz ihbarnamesi gönderilebildiği, bankanın da ihbarname alan bankalardan biri olabildiği açıklanmıştır.
Kiralık kasa işlemlerinde KVKK açısından en kritik kontrol nedir?
İşlemin yetkili merci kararına dayanması, veri minimizasyonu (yalnızca gerekli bilgi) ve sürecin ayrıntılı kayıt altına alınması (kim, ne zaman, hangi dosya) en kritik kontrol noktalarıdır.
Bu karardan kurum içi politika açısından ne çıkar?
“Yetkili mercilere aktarım” süreçleri için standart prosedür, kayıt/denetim izi, rol bazlı onay ve veri minimizasyonu ilkelerini içeren kurumsal bir kontrol seti oluşturulmalıdır.
