Kişisel Verileri Koruma Kurulu (KVKK), 8 Ağustos 2024 tarihli ve 2024/1359 sayılı kararı ile sigorta şirketlerinin hasar ve değer kaybı süreçlerinde banka hesap bilgilerinin işlenmesine dair önemli değerlendirmelerde bulundu. Bu karar, sigorta sektöründeki kişisel veri işleme uygulamaları açısından yol gösterici niteliktedir.
Sigorta Tazminatında IBAN Verisinin Hukuki Dayanağı
Olay, bir trafik kazası sonrası aracında oluşan değer kaybının tazmini amacıyla ilgili kişinin karşı tarafın sigorta şirketine başvurmasıyla başladı. Sigorta şirketinin, değer kaybı bedelinin bir kısmını doğrudan ilgili kişinin banka hesabına yatırması üzerine, ilgili kişi IBAN bilgisinin şirkete nasıl ulaştığını sorguladı. Kişi, banka hesap bilgisini şirketle paylaşmadığını, bu nedenle IBAN’ının bilgisi ve açık rızası dışında elde edilerek işlendiğini iddia etti. Ayrıca, KVKK kapsamında şirkete yaptığı başvurunun yasal süresi içinde yanıtlanmadığını belirterek Kurula şikayette bulundu.
Kurulun yürüttüğü incelemeler neticesinde, IBAN bilgisinin nasıl temin edildiğine dair kritik bir detay ortaya çıktı. Sigorta şirketinin sunduğu ses kayıtları incelendiğinde, ilgili kişinin banka hesap bilgisinin, kazaya karışan ve sigorta şirketinin müşterisi olan diğer araç sahibi tarafından hasar bildirimi sırasında şirkete iletildiği tespit edildi. Kurul, Karayolları Motorlu Araçlar Zorunlu Mali Sorumluluk Sigortası Genel Şartları kapsamında tazminat başvurularında zarar gören üçüncü kişiye ait banka hesap bilgilerinin sunulmasının öngörüldüğüne dikkat çekti. Bu çerçevede, IBAN bilgisinin hasar bildirimi sırasında sigorta şirketi tarafından elde edilmesini hukuka uygun bulan Kurul, şirketin söz konusu veriyi elde etme biçiminde KVKK açısından bir aykırılık bulunmadığına hükmetti. Sigorta şirketi ayrıca, Kredi Kayıt Bürosu‘nun (KKB) “IBAN Doğrulama Hizmeti” aracılığıyla banka hesabının ilgili kişiye ait olduğunu teyit ettiğini de bildirdi.
Aynı IBAN’ın Değer Kaybı Ödemesinde Yeniden Kullanımı
Kararın en önemli noktalarından biri, hasar dosyası kapsamında hukuka uygun olarak elde edilen IBAN bilgisinin, aynı kazaya ilişkin değer kaybı ödemesinde tekrar kullanılıp kullanılamayacağı sorunsalıydı. Kurul, ilgili kişinin vekili tarafından yapılan değer kaybı başvurusunda avukata ait bir IBAN bilgisinin bulunmadığını tespit etti. Bunun üzerine sigorta şirketinin, daha önce aynı kazaya ilişkin hasar dosyasında elde ettiği ve doğruladığı ilgili kişiye ait IBAN üzerinden ödeme yaptığı dikkate alındı.
Kurul, bu veri işleme faaliyetinin, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5’inci maddesinin ikinci fıkrasının (e) bendinde yer alan “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” hukuki sebebine dayandığı sonucuna vardı. Bu kapsamda, banka hesap bilgisinin söz konusu amaçla işlenmesi için ayrıca açık rıza alınmasının gerekli olmadığı değerlendirildi. Kurul, bu nedenle sigorta şirketi hakkında IBAN bilgisinin değer kaybı ödemesinde kullanılması yönünden KVKK kapsamında işlem yapılmasına gerek görmedi.
KVKK Başvurularına Geç Yanıt Sorunu
Kişisel verilerin işlenmesi açısından herhangi bir ihlal tespit etmeyen Kurul, ilgili kişinin KVKK kapsamındaki başvurusuna zamanında yanıt verilmemesi hususunu ayrıca değerlendirdi. Sigorta şirketi, başvurunun şirket içindeki süreçte yanlış birime yönlendirildiğini ve bu nedenle KVK birimine zamanında ulaşmadığını belirtti. Şirket, ilgili çalışana daha sonra eğitim verildiğini ve Kurumun savunma talebinin ardından başvuruya gecikmeli olarak yanıt verildiğini bildirdi. Kurul ise, ilgili kişi başvurularının KVKK’nın 13’üncü maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında etkin, hukuka ve dürüstlük kuralına uygun, gerekçeli ve süresi içinde sonuçlandırılması gerektiğini sigorta şirketine hatırlattı.
Sektör İçin Önemli Çıkarımlar
KVKK’nın bu kararı, kişisel verilerin işlenmesinde açık rızanın her durumda tek ve zorunlu bir hukuki dayanak olmadığını bir kez daha ortaya koymaktadır. Bir kişisel veri, hukuka uygun şekilde elde edilmişse ve KVKK’nın 5’inci maddesinde sayılan diğer veri işleme şartlarından biri mevcutsa, aynı verinin belirli bir amaçla işlenmesi için ayrıca açık rıza alınması gerekmeyebilir. Ancak karar, daha önce hukuka uygun şekilde elde edilen bir verinin sınırsız biçimde yeniden kullanılabileceği anlamına gelmemektedir. Somut olayda belirleyici unsurlar, IBAN bilgisinin ilk olarak trafik kazasına ilişkin hasar sürecinde hukuka uygun şekilde elde edilmesi ve sonraki kullanımın, aynı kazaya ilişkin değer kaybı ödemesiyle doğrudan bağlantılı olmasıydı.
Sonuç olarak Kurul, sigorta şirketinin ilgili kişinin IBAN bilgisini değer kaybı ödemesinde kullanması nedeniyle herhangi bir işlem yapılmasına gerek olmadığına karar verdi. Bununla birlikte Kurul, ilgili kişi başvurularının zamanında, etkin ve usulüne uygun şekilde cevaplandırılması yükümlülüğünü sigorta şirketine önemle hatırlattı.
