Alacaklı ve Avukat Borçlunun Yakınını Arayabilir mi? Borç Tahsilatında Üçüncü Kişilere Bilgi Verme ve KVKK

Kısa cevap: borçlunun kendisini arayıp borcunu hatırlatmak kural olarak hukuka uygun, borçla ilgisi olmayan yakınını arayıp ona borç bilgisi vermek değil. Kişisel Verileri Koruma Kurumu 20 Ağustos 2025'te bu konuya ayrı bir kamuoyu duyurusu ayırdı ve alacaklı vekillerinin borçluların yakınlarına ait telefon numaralarına erişerek ad, soyad ve borç bilgisini arama ya da kısa mesaj yoluyla paylaştığına dair muhtelif ihbar ve şikâyet aldığını açıkladı. Duyurunun özü şu: ilgili kişinin açık rızası ya da somut olayda geçerli başka bir işleme şartı olmadan borç bilgisinin yakınlarla paylaşılması 6698 sayılı Kanun'a aykırılık oluşturabilir ve idari para cezasına yol açabilir. Kurul'un yayımlanmış kararları da aynı çizgide duruyor, ama tek yönlü değil. Hangi davranışın cezalandırıldığını, hangisinin hukuka uygun bulunduğunu görmek için kararlara tek tek bakmak gerekiyor.

Borçluyu aramak hangi şarta dayanıyor? Açık rızaya değil. Kanun'un 5. maddesinin ikinci fıkrasının (e) bendi, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması hâlinde rıza aranmadığını söylüyor; alacağın takibi tam olarak bu bende oturuyor. Kurul'un 7 Temmuz 2022 tarihli ve 2022/655 sayılı kararı bunu somutlaştırıyor. Tasfiye edilmiş bir limited şirketin yönetim kurulu üyelerine, şirket borcu nedeniyle bir avukat tarafından kısa mesaj gönderilmiş ve telefonla ulaşılmıştı. Kurul, avukatın vekâlet ilişkisi çerçevesinde müvekkilinin alacağını takip etme yükümlülüğü bulunduğunu, kişilerin şirket yetkilisi olduğu bilgisinin Türkiye Ticaret Sicili Gazetesi üzerinden aleni olduğunu ve verilerin yasal sorgulama kanallarından edinildiğini tespit ederek ihlal görmedi. Tahsilat aramasının kendisi yasak değil. Yasak olan, aramanın kapsamını borçlunun dışına taşırmak.

Çizginin nerede kırıldığını en net gösteren dosya 4 Mart 2022 tarihli ve 2022/184 sayılı karar. Bir alacak yönetim şirketi, devraldığı telekomünikasyon borcu için yürüttüğü takipte borçlunun kardeşinin ve eşinin hatlarına, borçlunun adıyla ve borç bilgisi içeren kısa mesajlar gönderdi. Kurul şirketin sistemini inceledi ve şunu buldu: çağrı merkezini arayıp borç sorgulayan kişilerin numarası, arayanın borçlu olup olmadığı doğrulanmaksızın otomatik olarak borçlunun iletişim numarası olarak kaydediliyordu. Bir kez kaydedildikten sonra mesaj akışı da o numaraya işliyordu. Kurul 5. maddedeki işleme şartlarından hiçbirinin bulunmadığını tespit ederek 18. maddenin birinci fıkrasının (b) bendi uyarınca 50.000 TL idari para cezası verdi, arayanların numaralarının otomatik olarak borçlu iletişim bilgisi olarak kaydedilmesi uygulamasına derhal son verilmesini ve sonuçlandırma raporu sunulmasını istedi. İhlali üreten şey bir personelin dalgınlığı değil, sistemin kurgusuydu.

9 Şubat 2021 tarihli ve 2021/111 sayılı karar, aynı zincirdeki üç halkaya birden ceza verdiği için ayrıca öğretici. Borçlu olmayan bir kişinin cep telefonuna, yakınının borcuna ilişkin iki mesaj gitmişti. Dosyada alacaklı şirket ve iki farklı hukuk bürosu vardı. İlk avukat numarayı sisteme borçlunun numarası olarak kaydetmiş, numarayı 118 sorgu portallarından ya da borçlunun beyanından edinmiş olabileceğini savunmuş, hangisi olduğunu belgeleyememişti. Şirket veriyi doğruluğunu kontrol etmeden ikinci avukata aktardı, ikinci avukat da numaranın borçluya ait olmadığını bilmesine karşın mesajı gönderdi. Kurul üçünü de veri sorumlusu saydı, kişisel verilerin doğru ve gerektiğinde güncel olması ilkesine aykırılık tespit etti ve cezayı böldü: ilk avukata 50.000 TL, şirkete 115.000 TL, mesajı gönderen avukata 50.000 TL. Toplam 215.000 TL. Buradaki ders ispatla ilgili; numarayı borçlunun kendisinin bildirdiğini gösteren bir kayıt yoksa o savunma ayakta durmuyor.

Maskeleme kurtarır mı? 19 Ocak 2023 tarihli ve 2023/78 sayılı kararda, bir GSM operatörünün alacağı için görevlendirilen firma, borçlunun ortağı olduğu şirkete ait dört kurumsal cep telefonu numarasına borç bilgisi içeren mesaj gönderdi. Mesajda ad açık, soyad kısmen maskeliydi. Şirkette çalışan ve borçla hiçbir ilgisi olmayan kişiler böylece borcu öğrendi. Kurul, kurumsal hatların ilgili kişinin iletişim numarası olarak kaydedilmesini ve takip için bu şekilde aktarılmasını verilerin doğru ve gerektiğinde güncel olması ilkesine aykırı buldu; veri sorumlusu konumundaki operatöre 85.000 TL idari para cezası uyguladı. Talimatla ve sınırlı yetkiyle iş gören avukatlık firması veri işleyen sayıldığı için ceza almadı. Bu ayrımı akılda tutmak gerekiyor: tahsilatı dışarıya verdiğinizde iş dışarıya çıkıyor, sorumluluk çıkmıyor.

Kurul her üçüncü kişi temasını ihlal saymıyor ve bu ayrım pratikte işinize yarıyor. 9 Aralık 2021 tarihli ve 2021/1239 sayılı kararda bir banka, hâkim ortağı olduğu şirketin kredi borcu için ilgili kişiye ulaşmak amacıyla Risk Merkezi sorgusunda ev telefonu olarak kayıtlı numarayı aradı; hat anne ve babasına aitti. Banka telefonda borç bilgisi paylaşılmadığını, yalnızca geri arama notu bırakıldığını bildirdi. Kurul kişisel veri paylaşıldığına yönelik bir tespitte bulunamadığı için ceza vermedi, personelin bu konuda bilgilendirilmesini hatırlattı. 1 Haziran 2023 tarihli ve 2023/932 sayılı kararda bankanın Kredi Kayıt Bürosu kayıtlarından gelen bir numarayı kullanması, kanunlarda açıkça öngörülme ve hukuki yükümlülüğün yerine getirilmesi bentleri çerçevesinde hukuka uygun bulundu. 1 Aralık 2022 tarihli ve 2022/1281 sayılı kararda ise borçlunun oğlu haciz mahallinde istihkak iddiasında bulunmuş, tutanağı imzalamış ve yediemin olarak tayin edilmişti; aramalar tutanak tarihinden sonraya ait olduğu için Kurul ihlal görmedi. Belirleyici olan iki şey: numaranın meşru bir kaynaktan gelmesi ve üçüncü kişiye borcun içeriğinin aktarılmaması.

Bir de yanlış kişinin peşine düşme hâli var. 27 Nisan 2021 tarihli ve 2021/424 sayılı kararda bir banka, müşteri kaydı oluştururken şikâyetçiye ait T.C. kimlik numarasını gerçek borçluya atadı. Sonuç, o bankada hiç hesabı olmamış bir kişi adına icra takibi açılması ve kişinin Risk Merkezi kayıtlarında borçlu görünmesi oldu. Banka hatayı 2017'de düzeltip kişisel verileri temizlediği için hakkında Kanun kapsamında işlem yapılmadı, yalnızca başvurulara yasal sürelerde cevap vermesi konusunda uyarıldı. Varlık yönetim şirketi ise 2017'den itibaren kişinin gerçek borçlu olmadığını bildiği hâlde 2019'a kadar veri işlemeye devam etti; Kurul 12. maddenin birinci fıkrasının (a) bendi kapsamında ihlal tespit ederek idari para cezası uyguladı ve Risk Merkezi kayıtlarının güncellendiğini tevsik eden belgelerin otuz gün içinde sunulmasını istedi. Takibi yürüten avukatlar veri sorumlusu sıfatını taşımadıkları için işlem görmedi. Hata yapmak ile hatayı öğrendikten sonra aramaya devam etmek ayrı ayrı değerlendiriliyor.

Alacağı devralan taraf bir varlık yönetim şirketiyse KVKK'nın yanına ikinci bir mevzuat katmanı geliyor. 14 Temmuz 2021 tarihli ve 31541 sayılı Resmî Gazete'de yayımlanan Varlık Yönetim Şirketlerinin Kuruluş ve Faaliyet Esasları ile Devralınacak Alacaklara İlişkin İşlemler Hakkında Yönetmelik'in 24. maddesi borçluyla iletişimi kalem kalem sınırlıyor. Borçluya ulaşılamadığında günlük arama sayısı en fazla üç, mesaj sayısı bir. Borçluya ulaşılıp konu aktarıldığında, kayıt altına alınmış rıza yoksa bir sonraki aramaya kadar en az beş iş günü geçmesi gerekiyor. Borcu ödemek, üstlenmek ya da borca katılmak isteyenler dışında yetkili olmayan üçüncü kişilere borçla ilgili bilgi verilemiyor ve bu kişilerle iletişim kurulamıyor. Somut belge yoksa, borcunu kabul etmeyip aranmak istemediğini açıkça belirten kişi de aranamıyor. Arama saatleri 27 Ağustos 2025 tarihli ve 32999 sayılı Resmî Gazete'de yayımlanan değişiklikle daraldı; artık hafta sonları ve resmî tatil günleri hariç olmak üzere yalnızca 09.00 ile 17.00 arası geçerli. Eski akış şemasıyla çalışan bir çağrı merkezi bugün hem BDDK hem Kurum tarafında açık veriyor.

İki yaygın yanılgıyı da ayıklamak gerekiyor. Birincisi ticari ileti meselesi. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in 6. maddesi, tahsilata ve borç hatırlatmaya ilişkin bildirimler için önceden onay alınmasını zorunlu tutmuyor, aynı hükümle bu iletilerde mal veya hizmet özendirilmesini ve tanıtımını yasaklıyor. İYS onayı gerekmemesi, o numaraya mesaj atmanın KVKK bakımından da serbest olduğu anlamına gelmez; iki mevzuat farklı soruları cevaplıyor ve ikincisi numaranın kime ait olduğunu sorguluyor. İkinci yanılgı referans kişi alanında. Kredi, abonelik ya da taksitli satış başvurusunda yakın kişi veya referans olarak alınan telefon numarası, o kişiye hiçbir aydınlatma yapılmadan sisteme giriyor ve yıllar sonra tahsilat listesine düşüyor. Kanun'un 4. maddesi verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor. Başvuru sırasında iletişim kolaylığı için alınmış bir numarayı borç bildirimi kanalına çevirmek bu ilkeyle bağdaşmıyor.

Alacaklı, avukat ya da çağrı merkezi tarafında pratik olarak ne değişmeli? Sistemde her telefon numarasının kaynağı ayrı bir alanda tutulmalı: borçlunun kendi beyanı mı, sözleşmedeki iletişim bilgisi mi, sicil kaydı mı, rehber servisi mi. Arayan kişinin numarasını otomatik olarak borçlu numarasına dönüştüren otomasyon kapatılmalı, çünkü Kurul bu kurguyu 2022/184 sayılı kararda doğrudan cezalandırdı. Yanlış numara akışı yazılı olmalı; borçluya ait olmadığı anlaşılan numara aynı gün pasife alınmalı, tekrar aranmaması gereken kayıtlar listesine yazılmalı ve saklama süresi dolduğunda silinmeli. Üçüncü kişiye not bırakılırken borç, dosya numarası, tutar ve alacaklı unvanı geçmemeli; mesaj yanlış hatta gittiğinde ihlalin büyüklüğünü belirleyen şey içeriğin ayrıntısı oluyor. Tahsilatı dış avukatla ya da dış çağrı merkeziyle yürütüyorsanız ilişki yazılı sözleşmeye, personelin gizlilik taahhüdüne ve daraltılmış erişim yetkisine bağlanmalı. Kanun'un 12. maddesi veri sorumlusunu veri işleyenle birlikte müştereken sorumlu tutuyor.

Kendisi borçlu olmadığı hâlde aranan kişi için yol da net. Önce veri sorumlusuna, yani alacaklıya ya da takibi kendi adına yürüten veri sorumlusuna Kanun'un 11 ve 13. maddeleri uyarınca yazılı başvuru yapılır; başvuru en kısa sürede ve en geç otuz günde ücretsiz sonuçlandırılmak zorunda. Cevap gelmezse, yetersiz kalırsa ya da reddedilirse 14. madde devreye giriyor: cevabı öğrenme tarihinden itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet. Karşı taraf varlık yönetim şirketiyse BDDK'ya, avukatsa ilgili baroya da başvurulabiliyor; Avukatlık Kanunu'nun 34. maddesindeki özen ve onur yükümlülüğü disiplin sorumluluğunun kapısını açıyor. Israrlı aramalarda Türk Ceza Kanunu'nun 123. maddesi, borç bilgisinin üçüncü kişiye verilmesinde 136. maddesi koşulları varsa ayrıca gündeme gelebiliyor. Kurum cephesindeki tutarlar da küçük değil; veri güvenliğine ilişkin yükümlülüklerin ihlali 2026 rakamlarıyla 256.357 TL ile 17.092.242 TL arasında idari para cezasına bağlı.

Tahsilat akışınızda numaraların kaynağı kayıtlı mı, yanlış numara prosedürünüz yazılı mı, dış avukat ve çağrı merkeziyle aranızdaki ilişki sözleşmeye bağlı mı? Bu üç sorunun cevabı yoksa risk çoğu zaman çağrı merkezi ekranında duruyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut tahsilat sürecinize ve sözleşmelerinize bakıp eksikleri sıralayabiliriz.

Randevu Al