Kişisel Verileri Koruma Kurulu (KVKK), trafik ve iş kazası mağdurlarının kişisel verilerini hukuka aykırı şekilde kullanarak tazminat vaadinde bulunan hasar danışmanlık şirketleri ve yetkisiz kişiler hakkında önemli bir ilke kararı aldı. Resmi Gazete'de yayımlanan karara göre, kişisel verileri usulsüz işlediği tespit edilen veri sorumluları hakkında idari yaptırımlar uygulanacak.
Karar Resmi Gazete'de yayımlandı
Kişisel Verileri Koruma Kurulu'nun 2026/1095 sayılı ilke kararı, 1 Temmuz 2026 tarihli ve 33297 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girdi.
Kurul, trafik ve iş kazası mağdurlarına ait kişisel verilerin rızaları dışında elde edilmesi ve bu verilerin tazminat süreçlerinde kullanılmasıyla ilgili artan şikâyet ve ihbarlar üzerine inceleme başlattı. Yapılan değerlendirmelerde, kişisel verilerin hukuka aykırı şekilde işlendiğine ilişkin önemli tespitlere yer verildi.
Kaza tutanaklarındaki bilgiler kullanılıyor
Kurulun incelemelerine göre, hasar danışmanlık şirketi veya benzeri isimlerle faaliyet gösteren bazı kişi ve kuruluşların, avukat olmadıkları halde kendilerini avukat olarak tanıtarak kaza mağdurlarıyla iletişime geçtiği belirlendi.
Bu kişilerin, mağdurlara vekâlet vermeleri halinde tazminat alabileceklerini vaat ettikleri, kişisel verilere nasıl ulaştıkları konusunda ise açıklama yapamadıkları ifade edildi. Bazı durumlarda mağdurların ısrarlı telefon aramalarıyla baskı altına alındığı, hak kaybı yaşanacağı yönünde yönlendirmelerde bulunulduğu da tespit edildi.
Yetkisiz kişilerin faaliyetlerine dikkat çekildi
Kurul kararında, 1136 sayılı Avukatlık Kanunu hükümleri hatırlatılarak yalnızca avukatlar tarafından yürütülebilecek hukuki işlerin başkaları tarafından yapılmasının yasak olduğu vurgulandı.
Ayrıca 5684 sayılı Sigortacılık Kanunu uyarınca tazminat alacaklarının yalnızca hak sahibine veya avukatına ödenebileceği, bu alacakların üçüncü kişilere devrinin ise hükümsüz olduğu belirtildi. Kurul, hasar danışmanlık şirketlerinin mevzuata aykırı faaliyet göstermemesi gerektiğine dikkat çekti.
Hukuka aykırı veri kullanımı suç oluşturabilir
Kurul, kaza mağdurlarına ait kişisel verilerin hukuka aykırı şekilde ele geçirilmesi veya paylaşılmasının, 5237 sayılı Türk Ceza Kanunu'nun 136. maddesinde düzenlenen "verileri hukuka aykırı olarak verme veya ele geçirme" suçu kapsamında değerlendirilebileceğini bildirdi.
Bu tür fiillerin tespit edilmesi halinde Cumhuriyet savcılıklarına suç duyurusunda bulunulabileceği, ayrıca ilgili bakanlıklar ile baro başkanlıklarına da bildirim yapılabileceği ifade edildi.
Sigorta eksperleri için de yeni uyarılar yapıldı
Kararda sigorta eksperlerinin kişisel verileri yalnızca görevleri kapsamında kullanabilecekleri belirtildi. Hasar tespiti, raporlama ve tazminat süreçleri dışında kişisel verilerin üçüncü kişilerle paylaşılmasının mevzuata aykırı olacağı vurgulandı.
Eksperlerin görevleri sırasında edindikleri kişisel verileri yetkisiz kişilere aktarmalarının da hem KVKK hem de Türk Ceza Kanunu kapsamında hukuki ve cezai sorumluluk doğurabileceği kaydedildi.
Veri sorumlularına yeni yükümlülükler getirildi
Kurul kararıyla birlikte kaza mağdurlarına ait kişisel verileri işleyen tüm veri sorumlularına çeşitli teknik ve idari tedbirler alma zorunluluğu getirildi.
Buna göre çalışanlara kişisel veri güvenliği konusunda eğitim verilmesi, erişim yetkilerinin sınırlandırılması, rol tabanlı erişim sistemlerinin kurulması ve veri hareketlerinin takip edilmesi gerekecek. İlke kararına aykırı hareket ettiği belirlenen veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında idari yaptırımlar uygulanacak.
Mağdurlar KVKK'ya başvurabilecek
Kişisel verilerinin rızaları dışında işlendiğini düşünen trafik veya iş kazası mağdurları, 6698 sayılı Kanun'un 13. maddesi ve devamındaki başvuru usullerini izleyerek Kişisel Verileri Koruma Kurulu'na şikâyette bulunabilecek.
Kurul, kişisel verilerin hukuka uygun şekilde işlenmesinin hem bireylerin temel haklarının korunması hem de kamu güveninin sağlanması açısından büyük önem taşıdığına dikkat çekti.