Kişisel Verileri Koruma Kurulu (KVKK), trafik ve iş kazası mağdurlarının kişisel verilerinin hukuka aykırı şekilde ticari amaçlarla kullanılmasını engellemek üzere emsal bir ilke kararı yayımladı. Bu karar, hasar danışmanlık şirketleri ve yetkisiz kişi ya da kuruluşları kapsıyor. Sigorta eksperlerinin ise sadece yasal görevleri dahilinde veri işleyebileceği özellikle belirtildi.
KVKK, Resmi Gazete’de yayımlanan bu kararıyla, kaza mağdurlarının kişisel verilerinin yasa dışı yollarla elde edilmesi ve işlenmesine karşı önemli bir adım attı. Özellikle yetkisiz kişilerin ve şirketlerin mağdur verilerine erişerek iletişime geçmesi, vekalet almaya çalışması ve tazminat süreçlerini yönlendirmesi hukuki yaptırımlarla karşılaşacak.
Hukuka Aykırı Veri İşlemeye Yaptırım Geliyor
Kurula ulaşan şikayetler, mağdurların iletişim bilgilerinin nasıl elde edildiğini bilmediklerini, kazadan sonra ısrarlı telefon aramalarına maruz kaldıklarını ve vekalet vermeye yönlendirildiklerini ortaya koydu. Yapılan incelemelerde, mağdurlara ait kimlik, iletişim ve kaza bilgilerinin yetkisiz kişilerce farklı yollarla temin edilerek işlendiği belirlendi. Bu durum, ilke kararının alınmasını zorunlu kıldı.
Karar ayrıca, sigortadan doğan tazminat alacaklarının sadece hak sahibine veya avukatına ödenebileceğini, bu alacakların üçüncü kişilere devrinin hukuken geçersiz olduğunu hatırlatıyor. Hukuka aykırı veri işleyenler hakkında KVKK idari yaptırımlarının yanı sıra Türk Ceza Kanunu kapsamında cezai süreçler de başlatılabilecek. Gerekirse Cumhuriyet Başsavcılıklarına suç duyurusunda bulunulabilecek.
Sigorta Eksperlerine Yasal Sınırlar Belirlendi
KVKK kararı, sigorta eksperlerinin rolüne de açıklık getirdi. Eksperler, hasar tespiti, raporlama ve tazminat süreçlerinde yasal görevleri kapsamında kişisel veri işleyebilecekler. Ancak bu yetki, sadece görevin gerektirdiği ölçüde kullanılabilecek. Elde edilen verilerin yetkisiz kişilerle paylaşılması veya görev amacı dışında kullanılması, hem 6698 sayılı Kişisel Verileri Koruma Kanunu hem de ceza mevzuatı açısından sorumluluk doğuracak.
Veri Güvenliği Tedbirleri Zorunlu Hale Geldi
Kurul, kişisel veri işleyen tüm veri sorumlularının çalışanlarına yönelik eğitimler düzenlemesi, erişim yetkilerini sınırlandırması ve rol bazlı erişim kontrolü sağlaması gerektiğini vurguladı. Teknik ve idari güvenlik tedbirlerinin eksiksiz uygulanması büyük önem taşıyor. Kişisel verilerin sadece işlenme amacıyla sınırlı kullanılması, hukuka aykırı şekilde kurum dışına aktarılmaması ve mesleki sır saklama yükümlülüklerine uyulması gerekiyor.
KVKK, bu yükümlülüklere aykırı davranmaya devam eden veri sorumluları hakkında 6698 sayılı Kanun’un ilgili maddesi uyarınca idari işlem uygulayacağını açıkça belirtti. Bu karar, özellikle trafik kazaları sonrası mağdur bilgilerinin sızdırılması ve ticari amaçlarla kullanılmasına karşı sigorta sektörü ve diğer paydaşlar için yeni bir denetim dönemini işaret ediyor.
KVKK İlke kararıyla ilgili açıklama tam metni şu şekilde;
…
Kaza Mağdurlarının Kişisel Verilerinin İşlenmesi Hakkında Kişisel Verileri Koruma Kurulunun 20.05.2026 Tarihli ve 2026/1095 Sayılı İlke Kararına İlişkin Kamuoyu Duyurusu
Son dönemde Kurumumuza, “hasar danışmanlığı”, “sigorta takip merkezi” veya benzeri isimlerle faaliyet gösteren kuruluşların temsilcileri, avukatlar yahut kendilerini avukat olarak tanıttığı halde baro levhası sorgulamasında avukat olmadığı anlaşılan kişiler tarafından kaza mağdurlarıyla istekleri dışında iletişime geçildiği yönünde çok sayıda ihbar ve şikâyet iletilmiştir. Bu kapsamda, bahse konu kişisel veri işleme faaliyetlerinin hukuka uygun şekilde yürütülmesi amacıyla kamuoyunun ve sektörün bilgilendirilmesine ihtiyaç duyulmuştur.
5684 sayılı Sigortacılık Kanunu’nun (5684 sayılı Kanun) Ek Madde 6 hükmü uyarınca, sigortacılık yapan kurum veya kuruluşlardan talep edilecek tazminat alacakları yalnızca hak sahibine ya da onun resmi vekili olan avukatına ödenebilmektedir. 5684 sayılı Kanun’dan kaynaklanan bu tazminat alacaklarının avukat olmayan üçüncü kişilere ya da hasar danışmanlık şirketi ya da benzer isimlerle faaliyet gösteren oluşumlara devredilmesi hukuken geçersiz olmakla birlikte 5237 sayılı Türk Ceza Kanunu bakımından da suç teşkil edebilecektir. Bu kapsamda kişisel verileri hukuka aykırı olarak ele geçiren, paylaşan veya bu veriler üzerinden kazazedeleri arayarak iş takibi teklif eden kişi ve kurumlar hakkında 5237 sayılı Türk Ceza Kanunu uyarınca Cumhuriyet Savcılıklarına suç duyurusunda bulunulabilecek olup ayrıca idari yönden ilgili Bakanlıklara ve Baro Başkanlıklarına da gerekli bildirimler yapılabilecektir.
Ek olarak, kişisel verilerinin izinsiz olarak işlendiğini veya hasar şirketleriyle paylaşıldığını düşünen ilgili kişilerin, Kanun’un 13’üncü maddesi ve devamında düzenlenen usul takip edilerek Kişisel Verileri Koruma Kuruluna şikayette bulunma hakları saklıdır.
Diğer taraftan, sigorta eksperlerinin kişisel veri işleme faaliyetleri; 5684 sayılı Sigortacılık Kanunu ve ikincil mevzuat çerçevesinde, hasar tespiti, raporlama ve tazminat süreçlerinin yürütülmesi gibi yasal görevlerin ifasıyla sınırlı ve bu faaliyetlerle doğrudan bağlantılıdır. Sigorta eksperlerinin, mesleki görevlerini icra ederken 6698 sayılı Kanunun 5’inci maddesinde düzenlenen işleme şartlarına dayanarak kişisel veri işleyebilmeleri mümkün olup kendilerine tevdi edilen kişisel verileri yalnızca görevlerinin gerektirdiği amaçlarla kullanmaları, yetkisiz üçüncü kişilerle paylaşmamaları, veri güvenliğine ilişkin teknik ve idari tedbirleri almaları ve mesleki sır saklama yükümlülüğüne azami surette riayet etmeleri zorunludur. Yasal çerçevenin ve mevzuat sınırlarının dışına çıkılarak gerçekleştirilen hukuka aykırı kişisel veri işleme faaliyetleri; 6698 sayılı Kanun uyarınca idari yaptırımlara sebebiyet vermenin yanı sıra, 5237 sayılı Türk Ceza Kanunu’nun ilgili hükümleri (Madde 136 vd.) uyarınca cezai sorumluluk doğurabilecektir.
İş kazaları, trafik kazaları veya benzeri olumsuz olaylar neticesinde; adli/idari soruşturmaların yürütülmesi, mağdurların tedavi süreçlerinin yönetilmesi ve hasara uğrayan araçların onarımı gibi işlemlerin tesisi amacıyla mağdurlara ait kişisel verilerin işlenmesi mümkündür. Ancak faaliyet alanları gereği bu kişisel verileri işleyen veyahut bu verilere erişimi olan veri sorumlularının söz konusu süreçleri Kanun’un 4’üncü maddesi ile 5’inci ve 6’ncı maddelerinde yer alan işleme şartlarına tam bir uyum içinde yürütmesi gerekmektedir. Dolayısıyla, elde edilen bu kişisel veriler ancak kaza sonrası süreçlerin yönetimi amacıyla sınırlı olarak işlemeye konu edilebilecektir.
Sonuç olarak,
- Sigortacılık sektörü içerisinde farklı kanallarla işlenmekte olan kişisel verilere hukuka aykırı erişen ve/veya bu verileri 6698 sayılı Kanun hükümleri uyarınca işleyen hasar danışmanlık şirketleri ile yetki sınırlarını aşan eksper, ekspertiz şirketleri veya avukatların herhangi bir işleme şartına dayanmadan kişisel veri işleme faaliyetinde bulunması ve veri sorumlusu sıfatını haiz olduğunun tespiti halinde, ilgili kişilerce Kanun’un 13 ve 14’üncü maddeleri uyarınca Kurula şikayette bulunulabileceğine,
- Sigorta eksperlerinin yasal görevleri doğrultusunda kişisel veri işleme faaliyetinde bulunabileceğine; ancak görevleri gereği işledikleri kişisel verileri yetkisiz üçüncü kişilere aktarmaları durumunda Kanun’a aykırılık oluşacağına ve bu kişisel veri işleme faaliyetlerinin 5237 sayılı Türk Ceza Kanunu’nun 136’ncı maddesindeki “kişisel verileri hukuka aykırı olarak verme veya ele geçirme” suçuna vücut verebileceğine,
- Kaza mağdurlarına ilişkin kişisel verileri uhdesinde bulunduran ve/veya işleyen veri sorumlularının; çalışanlarına yönelik kişisel verilerin korunması konusunda eğitim ve bilinçlendirme faaliyetlerini gerçekleştirmekle birlikte kişisel verilere erişimde asgari yetki prensibi çerçevesinde yetki sınırlaması, rol tabanlı erişim kontrolleri ve log/takip mekanizmaları gibi Kanun’un 12’nci maddesi uyarınca kişisel verilerin güvenliğini sağlamaya yönelik gerekli her türlü teknik ve idari tedbirleri alması gerektiğine,
- Bahse konu önlemleri almayarak Kanun hükümlerine aykırı şekilde bu uygulamalara devam eden ve bu İlke Kararında belirtilen hususlara uygun hareket etmediği tespit edilen veri sorumluları hakkında, Kanun’un 18’inci maddesi hükümleri çerçevesinde idari işlem tesis edileceği hususunda kamuoyunun bilgilendirilmesine ve konuya ilişkin olarak Kurul tarafından İlke Kararı alınmasına
karar verilmiştir.
Kamuoyuna saygıyla duyurulur.
