Kişisel Verileri Koruma Kurulu, kaza mağdurlarının kişisel verilerinin hasar danışmanlığı veya sigorta takip hizmeti sunduğunu belirten kişilerce işlenmesine ilişkin 2026/1095 sayılı ilke kararını 20 Mayıs 2026’da aldı. 1 Temmuz’da açıklanan karar, kaza sonrası mağdurlarla istekleri dışında iletişime geçilmesiyle ilgili ihbarları değerlendirdi.
Kurul, kendisini avukat olarak tanıtan ancak baro levhasında bulunmayan kişiler ile benzer kuruluşların kaza bilgilerini yetkisiz biçimde kullanmasının hukuki sonuç doğurabileceğini belirtti. Kaza mağdurunun iletişim, sağlık, araç ve hasar bilgilerinin hangi kaynaktan alındığı ve hangi amaçla kullanıldığı ayrı ayrı incelenmeli.
Eksperin görevi hasar tespitiyle sınırlı
Kararda sigorta eksperinin görevinin hasar tespiti ve raporlamayla sınırlı olduğu hatırlatıldı. Eksper veya dosyaya erişen başka bir kişinin kaza mağduruna ait verileri yetkisiz üçüncü kişilere aktarmaması, erişimleri rol ve yetki esasına göre sınırlandırması gerekiyor.
Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi veya verilmesi halinde 5237 sayılı Türk Ceza Kanunu’nun 136. maddesinin gündeme gelebileceği açıklandı. Kurul, verinin nasıl elde edildiğiyle sonradan hangi amaçla kullanıldığının birlikte değerlendirilmesi gerektiğine işaret etti.
Tazminat hak sahibine veya resmi vekiline ödenir
Kurul, 5684 sayılı Sigortacılık Kanunu’nun Ek 6. maddesi uyarınca tazminat alacağının hak sahibine veya resmi vekili olan avukata ödenebileceğini hatırlattı. Bu çerçeve, kaza sonrasında mağdurla doğrudan ve izinsiz iletişim kuran aracıların yetkisini genişletmiyor.
İlke kararının ortaya koyduğu temel ayrım, hasar dosyasının yürütülmesiyle mağdur verisinin pazarlama veya izinsiz aracılık amacıyla kullanılmasının aynı şey olmadığıdır. Kaza sonrası veriler soruşturma, tedavi ve onarım süreçleriyle sınırlı işlenmeli; erişimler kayıt altına alınmalı ve yalnız yetkili kişiler verilere ulaşabilmeli.
Kaza sonrası mağdurun iletişim bilgilerine erişilmesi, bu kişinin hasar danışmanlığı hizmeti almak istediği anlamına gelmiyor. İstek dışı aramalar ve mesajlar, verinin hangi kaynaktan elde edildiği ve hangi hukuki amaçla işlendiği sorularını gündeme getiriyor. Verinin kaza dosyasından alınmış olması, sınırsız kullanım izni oluşturmuyor.
Hasar tespiti, sigorta dosyasının yürütülmesi ve tazminatın hak sahibine ödenmesi yetkili aktörlerin görev alanında kalıyor. Bunun dışındaki aktarım ve iletişimlerde yetki, amaç, erişim kaydı ve veri güvenliği ayrı ayrı belgelenmeli; mağdurun resmi vekili olmayan kişilere tazminat süreci üzerinden yetki atfedilmemeli.
Kaza verilerinin izinsiz kullanılması, mağdurun zor durumundan yararlanılması riskini de taşıyor. Bu nedenle veri sorumluları, dosyaya erişen kişileri ve yapılan aktarımları izlemeli; mağdurun talebi bulunmadan yapılan pazarlama veya aracılık iletişimlerini resmi hasar sürecinin doğal parçası gibi sunmamalı.