Kişisel verileri olan hesap ve kiralık kasa bilgilerinin aktarılması

“İlgili kişinin, veri sorumlusu bir banka nezdindeki kişisel verileri olan hesap ve kiralık kasa bilgilerinin aktarılması” hakkında Kişisel Verileri Koruma Kurulunun 13/02/2020 tarihli ve 2020/118 sayılı Karar Özeti

Kuruma intikal eden şikayet dilekçesinde özetle; ilgili kişiye karşı İcra ve İflas Kanunu hükümlerine aykırı ve haksız bir şekilde icra takibine geçildiği, Tebligat Kanununa aykırı tebligat hileleri yapılarak ilgili kişi adına ödeme emrinin kesinleştirildiği, bunun üzerine şikayete konu bankaya birinci haciz ihbarnamesi gönderildiği ve Bankanın şubelerinden birinde yer alan kiralık kasasına fiili haciz uygulandığı, ayrıca icra takibinde borçlu konumunda olan ilgili kişinin iş yaptığı kişi ve şirketler, çalışma arkadaşları, ortak olduğu şirketler, şirket bilgilerinin resmi olmayan yollarla ele geçirildiği, kimse tarafından bilinmeyen kişisel verisi olan banka hesap ve kiralık kasa bilgisinin paylaşıldığı hususları belirtilerek 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 11 inci maddesi kapsamında ilgili kişinin hesap ve kiralık kasa bilgilerinin işlenip işlenmediği, işlenme amacı ve bu amaca uygun kullanılıp kullanılmadığı, yurt içi ve yurt dışındaki üçüncü kişilere aktarma yapılıp yapılmadığı hususlarının tespiti ile hukuka aykırılıklar nedeniyle veri sorumlusu hakkında gereğinin yapılması talep edilmiştir.

Başlatılan inceleme çerçevesinde veri sorumlusundan savunması istenmiş olup verilen cevabî yazıda;

• İlgili kişi hakkında İstanbul …. İcra Dairesince 2019/… sayılı dosya ile icra takibinin başlatıldığı, icra takibi sürecinde borçluların bankalar nezdindeki hak ve alacakları üzerine haciz tatbik etmek üzere İcra ve İflas Kanununun (İİK) 89 uncu maddesi uyarınca bankalara haciz ihbarnameleri gönderilmesi yönteminin uygulandığı, bu kapsamda yirmi iki banka ile birlikte kendi bankalarına da birinci haciz ihbarnamesi gönderildiği, bankalarının üçüncü kişi konumunda bulunduğu, icra takibinin haksız olduğu savının muhatabının kendileri olmadığı, bankanın icra takiplerinin haklılık ve hukukilik denetimini yapmak gibi bir sorumluluğunun bulunmadığı, bankanın borçlunun alacaklı tarafından bilinen bir hesabı olmaması halinde, sistemde kayıtlı bankalara icra dosyasından ihbarname gönderilebildiği, ilgili kişinin hesap bilgilerinin, takip alacaklısına banka tarafından iletilmesinin söz konusu olmadığı, birinci haciz ihbarnamesine cevap verildiği, birinci haciz ihbarnamesine cevap verilmesinin her gün binlercesi yapılan işlemlerden olduğu, ilgili kişinin hesaplarının yer aldığı banka şubesi çalışanlarının anılan işlem süreçlerine katılmadığı, kiralık kasa haczi ve çilingir marifetiyle açılma işlemleri için alacaklı tarafından altı banka nezdinde talepte bulunulduğu ve İcra Müdürlüğü tarafından iki bankada haciz kararı verildiği, İcra İflas Kanununun 367 nci maddesi uyarınca Bankanın yasal yükümlülüklerini yerine getirdiği

ifadelerine yer verilmiştir.

Konuya ilişkin yürütülen inceleme neticesinde Kişisel Verileri Koruma Kurulunun 13/02/2020 tarih ve 2020/118 sayılı kararı ile;

• Kanunun amacının kişisel verilerin işlenmesinin disiplin altına alınması ile temel hak ve özgürlüklerin korunması, kişinin mahremiyet hakkı ile kişisel veri güvenliğinin korunması ve ayrıca kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek olduğu,
• Diğer taraftan; kişisel verilerin işlenme şartlarının belirlendiği Kanunun 5 inci maddesinin (1) numaralı fıkrasında, kişisel verilerin ilgili kişinin açık rızası olmadan işlenemeyeceği hüküm altına alınmış olmakla birlikte, (2) numaralı fıkrasında, sayılan hallerde ilgili kişinin açık rızası olmadan kişisel verilerinin işlenmesine imkân tanındığı,
• İcra Dairelerinin 2004 sayılı İcra ve İflas Kanununun 1 inci maddesinde düzenlenen kanunen yetkili mercilerden olduğu, haciz işleminin, belli bir para alacağının ödenmesini sağlamak için borçluya ait mal ve haklara icra dairesi tarafından el konulması olarak tanımlandığı, haciz işlemlerini, alacaklının haciz istemi üzerine yetkili icra dairelerinin yerine getirdiği, somut olayda, haciz işleminin yetkili İcra Dairesi tarafından gerçekleştirildiği, yine, ilgili kişiye ödeme emrinin tebliğinin İcra Dairesi tarafından 7201 sayılı Tebligat Kanununa göre yapıldığı,
• Bu anlamda ilgili kişinin şikâyet başvurusunda belirttiği gibi haksız bir şekilde icra takibine geçildiği, haczin haksız olduğu ve tebligatın Tebligat Kanunu hükümlerine aykırı yapıldığı iddialarının veri sorumlusu tarafından yapılmış işlemlere ilişkin olmadığı, İcra Dairesi tarafından yasal olarak yapılmış işlemler ile ilgili olduğu, veri sorumlusu bankanın icra ve iflas hukuku bağlamında üçüncü kişi konumunda olduğu,
• Yine şikâyetçinin başvurusunda belirttiği söz konusu İcra Hukuk Mahkemesinin haciz işleminden sonraki tarihte, tebligatın usulsüz olduğu ve itiraz ile takibin kaldırılması kararı dolayısıyla icra takibinin ve haczin yasal dayanağı olmadığı iddiasının, şikâyet edilen veri sorumlusunun yasal yükümlülüğünden kaynaklanan kiralık kasa bilgisinin paylaşılmasına ilişkin olmadığı, Kurumun görev alanı ve kişisel verilerin korunması mevzuatı kapsamında bulunmadığı,
• Öte yandan, 2004 sayılı İcra ve İflas Kanununun “Borçlunun mevcudu hakkında malümat vermek mecburiyeti” başlıklı 367 nci maddesinin “İcra veya İflas dairelerinin borçlunun mevcuduna dair isteyeceği bütün malümatı hakiki ve hükmi her şahıs derhal vermeğe ve talep halinde mevcudu bu dairelere teslime mecburdur.” hükmü nedeniyle veri sorumlusunun borçlunun kişisel verilerini İcra Dairesine vermekle yükümlü olduğu, diğer bir ifade ile bankanın, bankacılık işlemleri anlamında ilgili kişinin kişisel verilerini işlediği, bu kapsamda veri sorumlusu sıfatını haiz olduğu ve kişisel veri olan hesap ve kiralık kasa bilgilerini İcra ve İflas Kanununun ilgili hükmü dolayısıyla İcra Dairesine aktardığı,
• Veri sorumlusunun cevap yazısında da belirttiği üzere, uygulamada haciz işleminin aşamalarından haciz ihbarnamesi gönderilmesinde icra daireleri tarafından mevzuata uygun olarak borçlunun alacaklı tarafından bilinen bir hesabının olmaması halinde, sistemde kayıtlı tüm bankalara haciz ihbarnameleri gönderildiği ve veri sorumlusunun ihbarname gönderilen ilgili bankalardan biri olduğu,
• Yine, İcra İflas Kanununun “Taşınır ve taşınmaz malların haczi” başlıklı 85 inci maddesinde “Borçlunun kendi yedinde veya üçüncü şahısta olan taşınır mallarıyla taşınmazlarından ve alacak ve haklarından alacaklının ana, faiz ve masraflar da dahil olmak üzere bütün alacaklarına yetecek miktarı haczolunur.” hükmünün yer aldığı,
• Aynı Kanunun 89 uncu maddesi uyarınca da malı elinde bulunduran üçüncü şahsın bundan böyle taşınır malı ancak icra dairesine teslim edebileceği, bu çerçevede ve ilgili Kanunun 367 nci maddesi hükmü nedeniyle, somut olayda veri sorumlusunun kiralık kasa bilgilerini icra dairesine aktarmasının ve haciz işlemi yapılmasının Kanunda açıkça öngörülen bir yükümlülük olduğunun anlaşıldığı,
• Veri sorumlusunun cevap yazısından, ilgili kişi tarafından öne sürüldüğü şekliyle kiralık kasa bilgisinin veri sorumlusu nezdinde bankacılık ve kişisel verilerin korunması mevzuatına aykırı bir biçimde elde edildiği iddiasına karşılık; alacaklı vekili, icra memuru ve veri sorumlusunun Şube yöneticisi, Operasyon yetkilisi ve diğer personelin ilk kez haciz işlemi sırasında karşılaştığının, alacaklı vekili ve memur tarafından ilgili kişinin Şube nezdinde kiralık kasası olup olmadığının sorulması üzerine sistem üzerinden tespit yapıldığının ve polis nezaretinde kiralık kasanın çilingir marifetiyle açıldığının anlaşıldığı, bu noktada İcra ve İflas Kanununa ve yasal usule uygun hareket edildiği

değerlendirmelerinden hareketle;

• Tebligat ve icra iflas mevzuatı yönünden inceleme yapıldığında, veri sorumlusu olarak şikâyet edilen bankanın, İcra Dairesince ödeme emrinin tebliğ edilmesi ve kiralık kasaya haciz konulması işlemleri nedeniyle kişisel verilerin korunması mevzuatından kaynaklanan bir sorumluluğunun bulunmadığı ve icra ve iflas hukuku bakımından üçüncü kişi konumunda olduğu,
• Kişisel veri olan hesap ve kiralık kasa bilgisinin veri sorumlusu nezdinde bankacılık ve kişisel verilerin korunması mevzuatına aykırı bir biçimde elde edildiğini gösteren bir bulguya rastlanılmadığı,
• Veri sorumlusu tarafından, ilgili kişinin kişisel verisi olan hesap ve kiralık kasa bilgilerinin, 2004 sayılı İcra İflas Kanununun 89 uncu ve 367 nci madde hükümleri çerçevesinde Kanunun 5 inci maddesinin (2) numaralı fıkrasının (ç) bendinde yer alan “hukuki yükümlülüğün yerine getirilmesi” şartına dayalı olarak Kanunun 8 inci maddesine uygun olarak icra iflas mevzuatı çerçevesinde aktarıldığı

hususları dikkate alındığında mezkûr iddialarla ilgili olarak Kanun kapsamında yapılacak bir işlem bulunmadığına karar verilmiştir.