Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Law & IP — İstanbul
← Tüm Yayınlar
KategoriVeri Koruma
Yayın Tarihi31 Mart 2026
Yazarlar
Uğurcan TekinOrtak
İnci ÖzçilsalAvukat

Üçüncü Kişilerle Veri Paylaşımı ve Borç Ödeme Süreçlerinde Uyulması Gereken Esaslar

Kişisel verilerin korunması hukuku, bireyin kendisine ait veriler üzerinde kontrol sahibi olmasını ve bilgi edinme hakkı kapsamında kendi geleceğini tayin edebilmesini güvence altına almaktadır. Özellikle finansal nitelikli bilgiler, bireyin ekonomik durumu ve özel hayatı ile doğrudan bağlantılı olduğundan, kişisel verilerin korunması rejimi içerisinde özel bir hassasiyetle ele alınmaktadır. Borç bilgisi; bir kişinin ekonomik durumu, harcama alışkanlıkları ve ödeme gücü hakkında doğrudan çıkarım yapılmasına imkân tanıyan ve bireyin finansal mahremiyet alanına giren verileri içermektedir. Bu nedenle söz konusu bilgilerin üçüncü kişilerle paylaşılması hem veri sorumluları hem de uygulayıcılar bakımından dikkatle değerlendirilmesi gereken hukuki riskler doğurmaktadır. İşbu bilgi notu kapsamında; borç bilgisinin Kişisel Verilerin Korunması Kanunu ("KVKK") çerçevesinde kişisel veri niteliği, üçüncü kişi talepleri karşısında şirketlerin yükümlülükleri, Kişisel Verileri Koruma Kurulu ("Kurul") ve yargı kararları ışığında uygulama standartları, başkası adına borç ödeme süreçlerinin Türk Borçlar Kanunu ("TBK") bakımından sonuçları ele alınmaktadır.

01 Borç Bilgisinin Kişisel Veri Niteliği ve Finansal Mahremiyet

KVKK'nın 3. maddesi uyarınca kişisel veri; "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi"dir. Borç ilişkisine dair veriler bu tanımın doğrudan kapsamındadır. Borç aslı, faiz miktarı, ödeme planı, temerrüt bilgileri, icra dosyaları ve borcun kaynağı gibi bilgiler; bireyin mali disiplinine ve ekonomik durumuna ilişkin değerlendirme yapılmasına imkân tanımaktadır. Bu nedenle söz konusu bilgiler öğretide finansal mahremiyet kapsamında kabul edilmektedir. Yargı kararları ve KVKK içtihatları, bir kişinin borç bilgisinin (borç miktarı, alacaklı kurum, icra dosyası vb.) kişisel veri niteliğinde olduğunu ve ilgili kişinin açık rızası olmaksızın üçüncü kişilerle paylaşılamayacağını kesin olarak ortaya koymaktadır. Bu yasak, borçlunun en yakın aile üyelerini (anne, baba, eş, kardeş, çocuk) ve arkadaşlarını da kapsamaktadır. Borç bilgisi yalnızca ekonomik bir veri değil, kişiye ilişkin mali durumu ortaya koyan ve bu yönüyle hukuken korunması gereken kişisel ve mahrem bir bilgidir.

Bu nedenle borç ilişkisinin varlığı, tutarı veya ödeme durumu gibi bilgiler, ilgili kişinin özel hayat alanı kapsamında değerlendirilmekte ve kişisel veri korumasına tabi tutulmaktadır. Aile Üyeleri ve Yakınlarla Paylaşım Yasağı: Kurul'un 14.01.2020 tarihli, 2020/26 sayılı kararında, bir avukatın borçlu kişinin kardeşine SMS yoluyla borç bilgilerini iletmesi, kardeşin telefon numarası avukata bir başkası tarafından verilmiş olsa dahi, KVKK m. 12 veri güvenliği yükümlülüğüne aykırı bulunmuş ve idari para cezası uygulanmıştır. Benzer şekilde, Kurul'un 28.05.2020 tarihli, 2020/429 sayılı kararında borçlunun ağabeyi ve iş arkadaşlarına; yine Kurul'un 04.03.2022 tarihli, 2022/184 sayılı kararında ise borçlunun kardeşi ve eşine ait telefonlara borç bilgisi içeren mesajların gönderilmesi hukuka aykırı bulunmuştur. Anayasa Mahkemesi'nin 2022/5840 başvuru numaralı, 30.04.2025 tarihli kararı da babanın borcu için çocuğun telefonuna mesaj atılmasını veri ihlali saymıştır.

İletişim Kanallarının Hukuka Aykırı Kullanımı: Kurul'un 09.02.2021 tarihli, 2021/111 sayılı kararında, Yasal Takip Sistemi'nde (YTS) numaranın "yakınına ait" olduğu belirtilmesine rağmen SMS gönderilmesi ihlal sayılmıştır. Ayrıca, 19.01.2023 tarihli, 2023/78 sayılı kararda şirket ortağının borcu için şirket çalışanlarının kurumsal hatlarına mesaj atılması da veri işleme şartlarına aykırılık teşkil etmiştir. Bankacılık Sırrı ve Sözleşme İhlali: Yargıtay 11. Hukuk Dairesi 2017/5213 E., 2019/2006 K., 11.03.2019 tarihli kararında, bankanın müşteri hesap dökümlerini üçüncü bir kişiyle paylaşmasını sözleşmeye aykırılık ve kişilik haklarına saldırı olarak nitelendirmiştir. Yine bu doğrultuda, Yargıtay 4. Hukuk Dairesi, 2022/3953 E., 2025/2404 K., 13.02.2025 tarihli kararında ise bankaların yetkili mercilere dahi talep edilenden fazla bilgi vermesinin "veri minimizasyonu" ilkesine ve sır saklama yükümlülüğüne aykırı olduğuna hükmetmiştir.

02 Aile Üyeleri ve Yakınlarla Paylaşım Yasağı

Borç bilgisi; finansal mahremiyet, müşteri sırrı ve veri güvenliği yükümlülüklerinin kesiştiği noktadadır.

Uygulamada en sık karşılaşılan taleplerden biri, borçlunun eşi, aile üyesi veya yakını olduğunu belirten kişilerin ilgili kişinin borç durumuna ilişkin bilgi talep etmesidir. Ancak Türk hukukunda evlilik, hısımlık veya sosyal yakınlık ilişkisine dayanarak kişisel verilere erişim sağlayan otomatik, zımni veya genel nitelikte bir veri paylaşım yetkisi tanındığına ilişkin herhangi bir yasal düzenleme bulunmamaktadır. Kişisel Verilerin Korunması Kanunu bakımından eş, anne, baba, çocuk, kardeş veya arkadaş sıfatı, veri sorumlusu nezdinde üçüncü kişi statüsünü değiştirmemekte; bu kişiler bakımından veri paylaşımı ancak Kanun'da öngörülen hukuka uygunluk sebeplerinin varlığı hâlinde mümkün olabilmektedir. TEMEL HUKUKİ İLKE Kişisel Verileri Koruma Kurulu kararlarında da bu yaklaşım istikrarlı biçimde benimsenmiştir. Kurul; bir avukat tarafından borçlunun kardeşine SMS yoluyla borç bilgisi gönderilmesini veri güvenliği yükümlülüğünün ihlali olarak değerlendirmiş, benzer şekilde borçlunun ağabeyi, eşi veya iş arkadaşlarına borç içeriği barındıran mesajların gönderilmesini hukuka aykırı veri ifşası kapsamında kabul etmiştir.

Anayasa Mahkemesi de benzer yönde verdiği bir kararında, babaya ait borç bilgisi nedeniyle çocuğun telefonuna mesaj gönderilmesini kişisel verilerin korunması hakkına yönelik bir müdahale olarak nitelendirmiş ve ilgili uygulamanın anayasal güvence altındaki özel hayatın korunması hakkını ihlal ettiğine hükmetmiştir. Kurul uygulamalarında ayrıca, borç ilişkisinin açık şekilde açıklanmasa dahi üçüncü kişiler aracılığıyla ima edilmesinin dahi hukuka aykırı veri işleme faaliyeti oluşturabileceği kabul edilmektedir. Bu kapsamda borcun varlığını dolaylı biçimde ortaya koyan iletişimlerin dahi ilgili kişinin temel hak ve özgürlüklerine müdahale teşkil ettiği değerlendirilmiştir.

03 Üçüncü Kişi Talepleri Karşısında Şirketlerin Hukuki Yükümlülükleri

Bir şirkete başvurarak eşinin, arkadaşının veya aile üyesinin borcunu öğrenmek isteyen kişiler karşısında şirketlerin hareket alanı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun veri güvenliğine ilişkin hükümleri çerçevesinde belirlenmektedir. Veri sorumluları, yalnızca yetkisiz kişilere bilgi vermemekle değil, kişisel verilere hukuka aykırı erişimi baştan engelleyecek bir sistem kurmakla yükümlüdür. Bu kapsamda şirketler, borçlunun açık rızası, usulüne uygun düzenlenmiş vekâletname veya kanundan doğan açık bir yetki bulunmadıkça borç bilgisi paylaşmamalıdır. Borç bilgileri, bireyin ekonomik durumuna ilişkin finansal nitelikli kişisel veri ve aynı zamanda müşteri sırrı kapsamında değerlendirildiğinden, üçüncü kişilerle paylaşılması veri güvenliği ihlali sonucunu doğurabilecektir. Kurul kararlarında, borç sorgulama sistemlerinde yalnızca tek bir doğrulama unsurunun (örneğin yalnızca T.C. kimlik numarası) kullanılmasının yeterli olmadığı; SMS doğrulaması veya kişiye özel şifre gibi çift faktörlü doğrulama (2FA) yöntemlerinin uygulanmasının veri güvenliği yükümlülüğünün bir gereği olduğu açıkça belirtilmiştir.

Nitekim Kişisel Verileri Koruma Kurulu'nun 25.02.2021 tarih ve 2021/140 sayılı kararında, belediyeler tarafından sunulan borç ve emlak sorgulama sistemlerinde yalnızca tek bir bilginin girilmesi suretiyle kişilerin borç bilgilerine erişilebilmesinin, KVKK m.12 kapsamında kişisel verilere hukuka aykırı erişimi önleme yükümlülüğüne aykırı olduğu açıkça ortaya konulmuştur. Bu yaklaşım, Kurul'un 21.04.2022 tarih ve 2022/388 sayılı İlke Kararı ile daha da somutlaştırılmıştır. Söz konusu kararda, kişisel verilere uzaktan erişim sağlanan sistemlerde tek kademeli doğrulama yöntemlerinin veri güvenliği bakımından yeterli olmadığı; kişisel verilerin niteliği, gizlilik derecesi ve olası ihlal hâlinde doğabilecek zararlar dikkate alınarak veri sorumlularının risk temelli bir güvenlik modeli oluşturması gerektiği belirtilmiştir. Dolayısıyla veri güvenliği, pasif bir gizlilik yükümlülüğünden ziyade; teknik altyapı, erişim kontrolü ve organizasyonel tedbirlerin birlikte işletildiği aktif bir uyum sorumluluğunu ifade etmektedir.

Tek doğrulamayla çalışan borç sorgulama ekranları, hukuka aykırı erişimi önleme yükümlülüğüne aykırı bulunmuştur.

04 Hukuka Uygun Paylaşımın İstisnai Halleri

Borç ilişkisine veya icra takibine ilişkin kişisel verilerin üçüncü kişilerle paylaşımı kural olarak hukuka aykırı kabul edilmekle birlikte, kanundan doğan açık bir yetki veya hukuki zorunluluk bulunması hâlinde veri aktarımı istisnai olarak hukuka uygun sayılabilmektedir. İcra ve İflas Kanunu'nun 89. maddesi kapsamında icra müdürlükleri aracılığıyla gönderilen haciz ihbarnameleri, borçlunun üçüncü kişiler nezdindeki hak ve alacaklarının tespiti ve korunmasına yönelik kanuni icra prosedürünün bir parçasını oluşturur. Kişisel Verileri Koruma Kurulu, bu kapsamda gerçekleştirilen veri işlemenin; KVKK m.5/2(a) kapsamında "kanunlarda açıkça öngörülmesi" ve KVKK m.5/2(e) kapsamında "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması" hukuki sebeplerine dayanabileceğini kabul etmektedir. Kanuni dayanağın varlığı veri paylaşımına sınırsız bir alan tanımamaktadır. Hukuka uygunluk yalnızca işlemin amacıyla sınırlı ve ölçülü veri aktarımı bakımından söz konusu olabilir.

VERİ MİNİMİZASYONU İLKESİ Yargıtay da benzer şekilde, yetkili bir mahkeme müzekkeresine cevap verilmesi kapsamında dahi veri sorumlusunun talep edilen kapsamı aşan kişisel veri paylaşımında bulunamayacağını açıkça ortaya koymuştur. Yargıtay 4. Hukuk Dairesi'nin 13.02.2025 tarih, 2022/3953 E., 2025/2404 K. sayılı kararında; mahkeme tarafından talep edilmeyen dönemlere ait banka hesap hareketlerinin dosyaya sunulmasının, veri sorumlusunun özen yükümlülüğüne aykırı olduğu ve kişisel verilerin korunmasına ilişkin "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesini ihlal ettiği kabul edilmiştir. Dolayısıyla icra veya yargı süreçlerine dayanılarak gerçekleştirilen veri paylaşımlarında dahi: talep edilen veri ile sınırlı kalınmalı, gereksiz kişisel veri ifşasından kaçınılmalı, mümkünse maskeleme veya daraltma yöntemleri uygulanmalı, veri minimizasyonu ilkesi somut olarak gözetilmelidir.

05 Başkası Adına Borç Ödeme ve Hukuki Sonuçları

Türk Borçlar Kanunu uyarınca, borcun bizzat borçlu tarafından ifasında alacaklının özel bir menfaati bulunmadıkça, borcun üçüncü bir kişi tarafından ifası mümkündür. Özellikle para borçlarında üçüncü kişi ifası kural olarak geçerli olup, alacaklının bu ifayı kabul etmekten kaçınabilmesi ancak istisnai hâllerde gündeme gelebilir. Üçüncü kişinin borcu ödeme hakkı ile borçluya ait finansal verilere erişim hakkı birbirinden farklı hukuki kategorilerdir. Üçüncü kişi, belirli bir tutarı borçlu adına ifa etmek suretiyle borcun sona ermesine katkı sağlayabilir; ancak bu imkân, veri sorumlusu bakımından borçlunun borç miktarı, ödeme geçmişi veya borç ilişkisinin kapsamına ilişkin bilgileri açıklamayı kendiliğinden meşrulaştırmaz. Uygulamada; ödeme yapmak üzere başvuran üçüncü kişi borç miktarını biliyor ve belirli bir tutarı ifa etmek istiyorsa, alacaklı bu ödemeyi kabul edebilir. Ancak üçüncü kişi borç miktarını bilmiyor ve bu bilginin kendisine açıklanmasını talep ediyorsa, kişisel veri niteliğindeki bu bilginin ilgili kişinin açık rızası veya Kanun'da öngörülen diğer işleme şartlarından biri bulunmaksızın paylaşılması mümkün değildir.

Üçüncü kişinin borcu ödemesi mümkündür; borçlunun finansal verisinin paylaşılması değil.

Bununla birlikte, üçüncü kişi tarafından yapılan ödemenin borcu sona erdirebilmesi için, ödemenin doğru kişiye ve doğru yere yapılması esastır. Bu kapsamda mahkeme kararlarında, şirket borcunun şirket hesabı yerine üçüncü kişinin şahsi hesabına ödenmesi hâlinde borcun sona ermeyeceği açıkça belirtilmiştir (İstanbul Anadolu 8. ATM, E.2023/73, K.2024/1003). Halefiyet ve Rücu: TBK m.127 uyarınca, alacaklıya ifada bulunan üçüncü kişi belirli hâllerde ifası ölçüsünde alacaklının haklarına halef olur. Ancak üçüncü kişinin borcu ödemesi, her durumda halefiyet sonucunu doğurmaz. TBK m.127 kapsamındaki halefiyet şartlarının gerçekleşmediği durumlarda ise üçüncü kişinin yaptığı ödeme, borçluya karşı bir rücu imkânı doğurabilir. Bu rücu imkânının hukuki niteliği, somut olayın özelliklerine göre vekaletsiz iş görme veya sebepsiz zenginleşme hükümleri çerçevesinde değerlendirilebilecektir. Üçüncü kişi tarafından yapılan ödemenin belgelendirilmesi hem borç ilişkisinin şeffaflığı hem de ileride doğabilecek uyuşmazlıkların önlenmesi bakımından önem taşımaktadır.

Bu kapsamda düzenlenecek makbuzda, ödemenin hangi borca ilişkin olduğu ve ödemenin "borçlu adına" gerçekleştirildiği açıkça belirtilmelidir. Bununla birlikte, makbuz içeriği belirlenirken de veri minimizasyonu ilkesi gözetilmeli; ödeme ile ilgisi bulunmayan kişisel verilere yer verilmemelidir.

06 Sonuç ve Değerlendirme

Mevzuat hükümleri, Kişisel Verileri Koruma Kurulu kararları, yargı içtihatları ve öğretideki değerlendirmeler birlikte ele alındığında ortaya çıkan temel ilke açıktır: Borç bilgisi yalnızca ekonomik bir veri değil, kişiye ilişkin mali durumu ortaya koyan ve bu yönüyle hukuken korunması gereken kişisel ve mahrem bir bilgidir. Uygulamada veri ihlallerinin önemli bir kısmının kötü niyetli davranışlardan değil, çoğu zaman aile ilişkisine güvenilmesi, yardım amacıyla hareket edilmesi veya borcun ödenmesini kolaylaştırma düşüncesiyle yapılan iyi niyetli açıklamalardan kaynaklandığı görülmektedir. Ancak kişisel verilerin korunması hukukunda belirleyici olan unsur niyet değil, veri işleme faaliyetinin hukuki sonucudur. Borç bilgisi, açık rıza veya kanuni bir zorunluluk bulunmadıkça üçüncü kişilerle paylaşılmamalı; eş, aile üyesi veya yakınlık ilişkisi veri erişimi bakımından hukuki bir yetki olarak kabul edilmemelidir. Üçüncü kişiler başkası adına ödeme yapabilmekle birlikte, bu durum borçluya ait finansal bilgilerin açıklanmasını gerektirmez.

Şirketler bakımından güvenli yaklaşım; bilgi paylaşımını reddetmek, yalnızca yetkili kişiyle iletişim kurmak ve ödeme süreçlerini veri minimizasyonu ilkesi doğrultusunda yürütmektir. Yetkisiz kişilerle gerçekleştirilen bu tür paylaşımlar, idari yaptırımların yanı sıra tazminat sorumluluğu ve ceza sorumluluğunu da gündeme getirebilmektedir. Nitekim kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması TCK m. 136 kapsamında suç olarak düzenlenmiş olup, Yargıtay içtihatlarında da bu tür açıklamaların cezai sorumluluk doğurabileceği açıkça kabul edilmiştir. Türk hukuk sistemi, borcun ifasını kolaylaştırmak amacıyla üçüncü kişi tarafından ödeme yapılmasına izin vermiş; ancak buna karşılık borç bilgisine erişim ve bu bilginin paylaşılması konusunda bilinçli ve sıkı bir sınırlandırma öngörmüştür. Güncel içtihatlar ışığında değerlendirildiğinde, borç bilgisinin paylaşımında benimsenmesi gereken esas yaklaşım; "ödeme kolaylığı sağlanabilir, ancak veri mahremiyetinden taviz verilemez" ilkesidir.

Bilgilerinize sunarız. Saygılarımızla,

İlgili çalışma alanıKişisel Verilerin Korunması, Mahremiyet ve Siber Güvenlik→

İlgili yazılar

Veri Korumaİş Yerlerinde Güvenlik Kamerası Sistemleri: Kurum'un 8 Haziran 2026 Tarihli Kamuoyu Duyurusu18 Haziran 2026Veri KorumaAnayasa Mahkemesi'nin Viennalife Kararı: Alenileştirilmiş Kişisel Veriler ve Amaçla Bağlılık16 Haziran 2026Veri Koruma7545 Sayılı Siber Güvenlik Kanunu: Merkezî Yönetişim, Denetim ve Yaptırım Rejimi24 Mart 2026