Banka Çalışanı Müşteriyle Görüşme Kaydını İsteyebilir mi? KVKK 2024/592
Kısa ve net cevap: Evet. Banka çalışanı, kendisinin taraf olduğu ve bankanın kayıtlı hattında gerçekleşen telefon görüşmesinin kendi kişisel verisini içeren kısmına 6698 sayılı Kanun m.11 kapsamında erişim talebinde bulunabilir. Kişisel Verileri Koruma Kurulunun 18 Nisan 2024 tarihli ve 2024/592 sayılı kararında, bir banka çalışanının kendisine hakaret ve küfür edildiğini ileri sürdüğü müşteri görüşmesinin kaydını hukuki yollara başvurmak amacıyla istemesi incelendi. Kurul, Anayasa m.20/3 ve KVKK m.11/1-b kapsamındaki erişim hakkının somut olayda uygulanacağını; Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik’in çalışanın kendi görüşme kaydına erişimini bütünüyle engellemediğini belirledi. Bankaya, üçüncü müşteriye ait müşteri sırrı niteliğindeki bankacılık işlem verilerini maskeleyerek görüşme kaydını yazılı döküm veya dijital ortamda ilgili çalışana vermesi ve sonucu Kurula bildirmesi yönünde talimat verildi.
KVKK 2024/592 Kararındaki Olay Nedir?
İlgili kişi, veri sorumlusu bankada çalışan bir personeldi. Bankanın kayıtlı telefon hattı üzerinden bir müşteriyle yaptığı görüşmede müşterinin kendisine hakaret ve küfür içerikli ifadeler kullandığını ileri sürdü. Görüşme sırasında çağrıların kayıt altında olduğu bilgilendirmesi de yapılmıştı.
Çalışan, olay nedeniyle savcılığa başvurdu; ancak soruşturma makamınca bankaya görüşme kayıtları için müzekkere yazılmadığını ve kayıtlar dinlenmediği için şikâyetinin sonuçsuz kaldığını belirtti. Bunun üzerine görüşme kaydının kendisine verilmesini, böylece hukuki yollara başvurabilmesini istedi.
Banka, görüşme kaydının yalnız çalışanı değil müşteriyi de içerdiğini; müşterinin kredi bilgileri, gecikme durumu ve başka bankacılık verilerinin “müşteri sırrı” niteliğinde bulunduğunu belirterek kaydı paylaşamayacağını savundu. Banka ayrıca bu veriler silinse dahi kişinin sorunlu kredi müşterisi olduğu sonucunun ortaya çıkabileceğini ve Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik’in paylaşımı engellediğini ileri sürdü.
Kurul ise talebin konusunu bankanın savunmasından farklı değerlendirdi. Çalışan, müşterinin bankacılık işlemlerini veya hesap/kredi bilgilerini istemiyordu; kendisinin taraf olduğu görüşmede gerçekleştiğini iddia ettiği hakaret olgusunu kanıtlayabilmek için görüşme kaydına erişmek istiyordu. Bu ayrım kararın temelini oluşturdu.
Görüşme Kaydına Erişim Hakkının Hukuki Dayanağı Nedir?
6698 sayılı Kanun m.11/1-b, kişisel verileri işlenmiş olan gerçek kişiye bu işleme ilişkin bilgi talep etme hakkı verir. Kurul 2024/592 sayılı kararda bu hakkın, ilgili kişinin kendi kişisel verisine erişim hakkını da kapsadığını açıkça vurguladı.
Anayasa m.20/3 de herkesin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenme hakkını güvence altına alır. Kurul, KVKK m.11’i anayasal korumayla birlikte yorumladı.
Bu nedenle veri sorumlusu “kayıt sistemimizde var ama şirket içi kayıttır” diyerek ilgili kişinin erişim hakkını kategorik olarak reddedemez. Talep edilen kaydın gerçekten ilgili kişinin kişisel verisini içerip içermediği, üçüncü kişilerin hak ve sırlarının bulunup bulunmadığı ve erişimin nasıl güvenli şekilde sağlanabileceği değerlendirilmelidir.
Erişim hakkı sınırsız değildir. Başkasına ait kişisel verilerin, ticari sırların veya müşteri sırlarının açıklanması gerekmiyorsa bunlar ayıklanmalı veya maskelenmelidir. Ancak üçüncü kişi verisi bulunması, erişim hakkının tamamının otomatik olarak reddedilmesi için tek başına yeterli değildir.
Telefon Görüşmesi Kaydı Kimin Kişisel Verisidir?
Telefon görüşmesi kaydı çoğu zaman birden fazla kişinin kişisel verisini aynı anda içerir. Banka çalışanının sesi, ifadeleri, kimliği ve görüşmedeki davranışları çalışana ait kişisel veridir. Müşterinin sesi, kimliği ve konuşma içeriği de müşteriye ait kişisel veridir. Konuşmada hesap, kredi, borç, işlem geçmişi gibi bankacılık bilgileri bulunuyorsa bunlar ayrıca müşteri sırrı niteliği taşıyabilir.
Bu tür kayıtlar “tek kişiye ait veri” gibi ele alınamaz. Veri sorumlusu, taleple ilgisi olmayan üçüncü kişi verilerini ayırarak ilgili kişiye kendi verisine erişim sağlayabilir. Teknik olarak bu; sesin belirli bölümlerinin çıkarılması, yazılı döküm hazırlanması, isimlerin maskelenmesi veya finansal bilgilerin karartılması gibi yöntemlerle yapılabilir.
Kurulun yaklaşımı veri koruma hukukundaki orantılılık ilkesine uygundur. Ya hep ya hiç modeli yerine, haklar arasında denge kuran kısmi erişim yöntemi benimsenmiştir. Özellikle çağrı kayıtları, kamera görüntüleri, ortak e-posta zincirleri ve toplantı kayıtlarında benzer bir ayrıştırma ihtiyacı doğabilir.
Müşteri Sırrı Görüşme Kaydına Erişimi Tamamen Engeller mi?
Somut olayda hayır. Banka, 4 Haziran 2021 tarihli Resmî Gazete’de yayımlanan Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik’e dayanarak görüşme kaydının verilemeyeceğini savundu. Kurul ise çalışanın talebinin müşteri sırrını öğrenmeye yönelik olmadığını belirledi.
Çalışan karşı tarafın hesap bakiyesi, kredi borcu, gecikme tutarı veya işlem detaylarını istemiyordu. İstediği şey, hakaret iddiasının geçtiği görüşmenin kendi taraf olduğu kısmına erişmekti. Kurul, talebin Anayasa m.20/3 ve KVKK m.11 kapsamında olduğunu, bu somut talep bakımından Yönetmelik’in erişimi bütünüyle engellemediğini değerlendirdi.
Buradaki çözüm müşteri sırrını açıklamak değil, müşteri sırrı niteliğindeki bankacılık işlem verilerini maskeleyerek geri kalan kaydı vermektir. Böylece hem çalışanın kişisel verisine erişim ve hak arama hakkı korunur hem de üçüncü müşterinin bankacılık sırları açıklanmaz.
Bu yaklaşım bankaların her kayıt talebini kabul etmesi gerektiği anlamına gelmez. Talep edilen kayıt, üçüncü kişinin verilerinden ayrılamayacak nitelikteyse veya başka bir kanuni sınırlama varsa farklı değerlendirme yapılabilir. Ancak ret kararı soyut “müşteri sırrı var” ifadesine değil somut ve gerekçeli analize dayanmalıdır.
Maskeleme ve Kısmi Erişim Nasıl Yapılmalıdır?
Maskeleme, ilgili kişinin erişim hakkıyla üçüncü kişinin mahremiyetini aynı anda korumanın pratik yoludur. Görüşme dökümünde hesap numarası, kredi tutarı, gecikme bilgisi, müşteri numarası ve ilgisiz finansal bilgiler karartılabilir. Dijital ses dosyasında bu bölümler sessize alınabilir veya ayrı bir redakte edilmiş kopya oluşturulabilir.
Veri sorumlusu orijinal kaydı değiştirmemelidir. Asıl kayıt delil bütünlüğü ve saklama yükümlülüğü gereği koruma altında tutulmalı; ilgili kişiye verilmek üzere ayrı, maskelenmiş bir kopya hazırlanmalıdır. Hangi bölümlerin hangi hukuki gerekçeyle gizlendiği kayıt altına alınmalıdır.
Maskeleme işlemi gereğinden fazla yapılmamalıdır. Çalışanın hakaret iddiasını ispatlamasını anlamsız hale getirecek ölçüde konuşmanın tamamının çıkarılması, erişim hakkını fiilen ortadan kaldırabilir. Kurulun kararında amaç, müşterinin bankacılık işlem verilerini korurken hakaret olgusuna ilişkin görüşme içeriğine erişimi mümkün kılmaktır.
Veri sorumlusu ayrıca kaydı kime teslim ettiğini doğrulamalıdır. Ses kaydı veya döküm kişisel veri içerdiğinden kimlik doğrulamalı güvenli kanal kullanılmalı, e-posta gönderilecekse uygun güvenlik tedbirleri uygulanmalı ve teslim kaydı saklanmalıdır.
Hak Arama Hürriyeti Neden Kararda Önemli?
Kurul, ilgili kişinin hak arama hürriyeti kapsamında yasal yollara başvurabilmesi için kayda erişmekte menfaatinin bulunduğunu özellikle belirtti. Bu, erişim talebinin amacı bakımından önemli bir unsurdur. Kişi yalnız merak amacıyla başka müşterinin kayıtlarını istemiyor; kendi aleyhine işlendiğini ileri sürdüğü bir fiili kanıtlamak için kendi görüşme kaydına ihtiyaç duyuyordu.
6698 sayılı Kanun m.5/2-e de bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olduğu durumları hukuki sebep olarak tanır. 2024/592 kararındaki doğrudan talimat m.11 erişim hakkına dayansa da, hak arama bağlamı veri sorumlusunun paylaşımın hukuki zeminini değerlendirmesinde önemli bir unsurdur.
İşverenlerin çalışan taleplerine yalnız “şirket kayıtları gizlidir” yaklaşımıyla cevap vermemesi gerekir. Çalışan işçilik alacağı, mobbing, hakaret, ayrımcılık, disiplin işlemi veya başka hukuki iddia için kendi kişisel verisine ihtiyaç duyabilir. Talep, üçüncü kişilerin hakları korunarak karşılanabiliyorsa kısmi erişim yöntemi değerlendirilmelidir.
Telefon Görüşmesi Kaydı Hangi Formatlarda Verilebilir?
Kurul banka açısından iki yöntemi açıkça saydı: görüşme kaydının yazılı döküm olarak veya dijital ortamda ilgili kişiye sağlanması. Her iki durumda da üçüncü kişinin müşteri sırrı niteliğindeki bankacılık işlem verileri maskelenmelidir.
Yazılı döküm, özellikle yalnız belirli konuşma bölümünün önemli olduğu durumlarda daha kontrollü bir çözüm sağlayabilir. Metin üzerinde müşteri sırrı alanları karartılabilir ve hangi tarihte, hangi görüşmeye ait olduğu belirtilir. Dijital ses kopyasında ise ilgili bölümler redakte edilerek gerçek konuşmanın ses tonu ve bağlamı korunabilir.
Format seçilirken talebin amacı, kayıt büyüklüğü, üçüncü kişi verilerinin yoğunluğu ve güvenli teslim yöntemi dikkate alınmalıdır. Veri sorumlusu keyfi şekilde erişimi zorlaştırmamalı; ancak üçüncü kişi haklarını koruyacak en az müdahaleli yöntemi seçebilir.
Verilen kopyada kaydın değiştirilmediğini gösterecek hash, tarih, kayıt numarası veya kurumsal doğrulama bilgileri kullanılması delil güvenliği bakımından yararlı olabilir. Bu hususlar Kurul kararında zorunlu format olarak belirtilmemiştir; kurumsal veri güvenliği tedbiri olarak değerlendirilebilir.
Banka Çalışanı KVKK Başvurusunu Nasıl Yapmalı?
Çalışan, 6698 sayılı Kanun m.13 uyarınca veri sorumlusuna açık ve somut bir başvuru yapmalıdır. “Görüşme kaydını istiyorum” demek yerine görüşmenin tarihi, yaklaşık saati, kullanılan hat, müşteriyle yapılan işlemin referansı ve talep amacı belirtilmelidir. M.11/1-b kapsamındaki kendi kişisel verisine erişim hakkının kullanıldığı açıkça yazılabilir.
Üçüncü kişiye ait müşteri sırrı niteliğindeki verilerin istenmediği ve gerekli alanların maskelenebileceği de başvuruda belirtilirse uyuşmazlığın kapsamı netleşir. 2024/592 kararında çalışanın banka müşteri sırrına yönelik talebi olmaması Kurulun değerlendirmesinde belirleyici oldu.
Veri sorumlusu başvuruyu en kısa sürede ve en geç otuz gün içinde cevaplamalıdır. Cevap ret ise hukuki ve fiili gerekçe açıkça gösterilmelidir. Başvurunun “mevzuat danışmanlığı” sanılarak başka birime yönlendirilmesi m.13 yükümlülüğünü ortadan kaldırmaz.
KVKK başvurularının güvenli cevaplanmasına ilişkin bankacılık örneği için KVKK 2022/863 banka başvuru cevabı yazımızı inceleyebilirsiniz.
Bankaların ve Büyük İşverenlerin Kurması Gereken Süreç
Talep sınıflandırması: Çalışan başvurusunun insan kaynakları talebi mi, bilgi güvenliği olayı mı yoksa KVKK m.11 başvurusu mu olduğu otomatik anahtar kelimeler ve eğitimli personel aracılığıyla ayrılmalıdır.
Çok taraflı kayıt analizi: Ses kaydı, görüntü, e-posta veya toplantı kaydında birden fazla kişi varsa erişim tamamen reddedilmeden önce redaksiyon imkânı araştırılmalıdır.
Müşteri sırrı matrisi: Bankacılık sırları ile çalışanın kendi kişisel verisi ayrılmalı; hangi veri kategorilerinin maskeleneceğine ilişkin kurum içi standart hazırlanmalıdır.
Delil bütünlüğü: Orijinal kayıt değiştirilemez şekilde korunmalı, erişim talebi için kopya hazırlanmalı, kim tarafından redakte edildiği ve ne zaman teslim edildiği loglanmalıdır.
Gerekçeli cevap: Ret veya kısmi kabul kararı ilgili mevzuat maddeleri ve somut veri kategorileriyle açıklanmalıdır. Kurul, 2024/592 kararında bankanın KVKK’ya ilişkin yanlış tespit ve değerlendirmeleri nedeniyle uyum konusunda azami dikkat ve özen göstermesini ayrıca hatırlattı.
Karar Diğer Sektörlere Ne Anlatıyor?
Kararın ilkesi yalnız bankalarla sınırlı değildir. Çağrı merkezi, sigorta şirketi, telekom işletmecisi, e-ticaret platformu, sağlık kuruluşu veya büyük işveren de aynı kayıtta birden fazla kişinin verisini tutabilir. İlgili kişi kendi verisine erişim istediğinde veri sorumlusu üçüncü kişi verilerini koruyarak kısmi erişim sağlamayı değerlendirmelidir.
Kamera kayıtlarında da benzer yaklaşım ortaya çıkabilir. Bir çalışan kendi görüntüsünü isterken aynı karede başka çalışanlar veya müşteriler bulunabilir. Yüzlerin bulanıklaştırılması gibi yöntemler, kategorik ret yerine daha dengeli çözüm sağlayabilir. E-postalarda üçüncü kişilerin ilgisiz bilgileri çıkarılarak ilgili kişinin kendi yazışmasına erişimi mümkün olabilir.
Ancak her kayıt talebi aynı sonuçla bitmez. Üçüncü kişinin haklarının üstün geldiği, hukuken paylaşılması yasak özel bilgilerin ayrıştırılamadığı veya talebin başkasının verisini elde etmeye yönelik olduğu hâllerde ret veya daha sınırlı erişim gerekebilir. Esas olan somut, gerekçeli ve ölçülü değerlendirmedir.
Sık Yapılan Hatalar
- Kayıtta üçüncü kişi var diye tüm talebi reddetmek: Önce maskeleme veya kısmi erişim imkânı incelenmelidir.
- Müşteri sırrını çalışanın kendi kişisel verisiyle karıştırmak: Veri kategorileri ayrı değerlendirilmelidir.
- Çalışanın KVKK başvurusunu iç danışmanlık talebi sanmak: M.13 başvurusuysa yasal süre ve cevap kuralları uygulanır.
- Orijinal kaydı redakte etmek: Asıl kayıt korunmalı, paylaşım için ayrı kopya hazırlanmalıdır.
- Ret cevabında yalnız “gizlilik” demek: Hangi hukuki hükmün hangi veri kategorisine uygulandığı açıklanmalıdır.
- Hak arama amacını dikkate almamak: Kişinin yasal yollara başvurmak için kendi verisine erişimdeki menfaati değerlendirilmelidir.
Resmî Kaynaklar
- Kişisel Verileri Koruma Kurulu 18.04.2024 tarihli ve 2024/592 sayılı karar özeti
- 6698 sayılı Kişisel Verilerin Korunması Kanunu – m.11 ve m.13
- Türkiye Cumhuriyeti Anayasası – m.20/3
- Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik
Sık Sorulan Sorular
1. Banka çalışanı müşteriyle yaptığı görüşme kaydını isteyebilir mi?
Evet. Kendi kişisel verisini içeren kayda KVKK m.11 kapsamında erişim talebinde bulunabilir.
2. Müşteri sırrı varsa banka kaydı hiç veremez mi?
2024/592 kararında Kurul bu görüşü kabul etmedi; müşteri sırrı niteliğindeki bankacılık işlem verilerinin maskelenerek kalan kısmın verilmesini istedi.
3. Kaydın ses dosyası olarak verilmesi zorunlu mu?
Hayır. Kurul yazılı döküm veya dijital ortamda aktarımı mümkün gördü.
4. Çalışan neden kaydı istemişti?
Müşterinin kendisine hakaret ve küfür ettiğini ileri sürüyor ve yasal yollara başvurmak için kayıt deliline ihtiyaç duyuyordu.
5. Anayasa bu konuda hak tanıyor mu?
Evet. Anayasa m.20/3 kişinin kendisiyle ilgili kişisel verilere erişme hakkını açıkça güvence altına alır.
6. Üçüncü kişinin verileri nasıl korunur?
İlgisiz kişisel veriler ve müşteri sırrı niteliğindeki bankacılık bilgileri maskelenebilir veya ses kaydında redakte edilebilir.
7. Banka KVKK başvurusuna kaç günde cevap vermeli?
M.13 uyarınca en kısa sürede ve en geç otuz gün içinde.
8. Kayıtta başka kişinin sesi olması erişim hakkını yok eder mi?
Otomatik olarak hayır. Kısmi erişim ve maskeleme imkânı değerlendirilmelidir.
9. Kurul bankaya para cezası verdi mi?
Bu karar özetinde idari para cezası değil; kayıtların maskelenerek verilmesi, Kurula sonuç bildirilmesi ve KVKK uyumuna ilişkin hatırlatma/talimatlar yer almaktadır.
10. Karar yalnız banka çalışanlarına mı uygulanır?
Karar somut olarak banka çalışanına ilişkindir; ancak m.11’deki kişisel veriye erişim hakkı Kanun kapsamındaki tüm ilgili kişiler için genel bir haktır.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
