Bir avukatlık bürosu, borçlunun ağabeyinin telefon numarasını, kimliği belirsiz bir kişinin büroya gelip vermesi üzerine elde etmiş ve bu numaraya borçla ilgili SMS göndermiştir. Kişisel Verileri Koruma Kurulu'nun 2020/26 ve 2020/429 sayılı kararlarına göre bu eylem KVKK açısından nasıl değerlendirilir?

Bu eylem, KVKK'ya açıkça aykırıdır. Kurul'un kararlarına göre, kişisel verilerin işlenmesi için Kanun'un 5. maddesinde sayılan hukuki bir sebebin (açık rıza, kanunda öngörülme, hakkın tesisi vb.) bulunması gerekir. Kaynağı belirsiz, varsayımlara dayanan ve kimliği bilinmeyen bir kişi tarafından verilen bir telefon numarasının elde edilmesi, hukuka uygun bir veri işleme temeline dayanmaz. Bu hukuka aykırı şekilde elde edilen verinin kullanılarak, borçluya ait kişisel verilerin (borç bilgisi) bu numarayla (üçüncü kişiyle) paylaşılması da hem hukuka aykırı veri işleme hem de hukuka aykırı veri aktarımıdır. Bu durum, veri sorumlusu olan avukatın Kanun'un 12. maddesindeki veri güvenliği yükümlülüklerini ihlal ettiğini gösterir ve hakkında idari para cezası uygulanmasını gerektirir.