Kişisel Verileri Koruma Kurulu’nun Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin 20/05/2026 Tarihli ve 2026/1095 Sayılı İlke Kararı Hakkında

I. GİRİŞ

İşbu bilgi notu, Kişisel Verileri Koruma Kurulu’nun 20 Mayıs 2026 tarihli ve 2026/1095 sayılı İlke Kararı ile bu karara ilişkin 1 Temmuz 2026 tarihli Kamuoyu Duyurusu çerçevesinde hazırlanmıştır. Bu metnin temel hareket noktası, hukuki süreçlerde yer alan veri sorumlularının yasal yükümlülüklerini detaylandırmak ve olası ihlal durumlarında karşı karşıya kalacakları ağır müeyyideleri kapsamlı bir şekilde analiz etmektir. 

Söz konusu yasal düzenlemeler ve Kurul kararı; trafik kazaları, iş kazaları veya benzeri olumsuz olayları yaşayan mağdurların içinde bulundukları hassas ve savunmasız durumdan faydalanılmasının önüne geçilmesini merkeze almaktadır. Özellikle “hasar danışmanlık şirketi” veya benzer isimler altında yetkisiz faaliyet gösteren yapıların, kaza mağdurlarına ait kişisel verileri hukuka aykırı yollarla ele geçirerek kendi menfaatleri doğrultusunda kullanması, yürürlüğe alınan bu yeni tedbirlerin temel odak noktasını oluşturmaktadır. 

Bu bağlamda hazırlanan metin, mağdurların kişisel verilerine yönelik hukuka aykırı erişim ve işleme faaliyetlerini engellemeyi amaçlayan kuralları bütünüyle ele almaktadır. Aynı zamanda sigorta şirketleri, sağlık kuruluşları ve eksperler gibi veri sorumlularının yasalara uygun hareket edebilmesi adına dikkat etmeleri gereken emredici sınırları açıkça ortaya koymaktadır. 

II. İNCELEME

Kişisel Verileri Koruma Kurumu’na intikal eden şikâyet ve ihbarlar incelendiğinde; iş kazası, trafik kazası veya benzeri olumsuz olaylara maruz kalan mağdurların, açık rızaları dışında iletişime geçilen bir hedef kitlesi haline geldiği anlaşılmaktadır. Bu temasların genellikle “hasar danışmanlık şirketi” temsilcileri veya kendisini avukat olarak tanıtan yetkisiz şahıslar tarafından gerçekleştirildiği, mağdurlara vekâletname karşılığında tazminat vaat edildiği ve üzerlerinde psikolojik baskı kurularak haksız şekilde yetki temin edildiği görülmektedir. Hatta bazı durumlarda hiçbir talimat olmaksızın mağdurlar adına usulsüz işlemler yürütüldüğü ve kaza tutanakları gibi kişisel verilere yasa dışı yollarla erişildiği saptanmıştır. Bu sistemik ihlallerin yaygınlaşması üzerine, Kurul tarafından bahse konu İlke Kararının ihdas edilmesi yasal bir zorunluluk halini almıştır.

Kurul kararına konu olan bu eylemler, yalnızca kişisel veri ihlali olmakla kalmayıp 1136 sayılı Avukatlık Kanunu’nun amir hükümlerine de açıkça aykırılık teşkil etmektedir. Kanun uyarınca yargı mercileri önünde hak aramak ve hukuki işlemleri yürütmek münhasıran baroya kayıtlı avukatlara tanınmış bir yetki olup, yetkisiz şahıs ve şirketlerin bu faaliyetleri aracılık ile reklam yasaklarını ihlal etmektedir. Bununla birlikte, 5684 sayılı Sigortacılık Kanunu gereğince tazminat alacakları yalnızca hak sahibine veya bu kişinin resmi vekili olan avukatına ödenebilmektedir. Bu alacakların hasar danışmanlık şirketlerine devrine yönelik yapılacak her türlü sözleşme hukuken hükümsüz sayılmaktadır.

İlgili mevzuatları bertaraf ederek kaza mağdurlarına ait kişisel verilerin hukuka aykırı şekilde temin edilmesi ve kullanılması, fiilin gerçekleştirilme şekline ve suçun kanuni unsurlarının oluşup oluşmadığına bağlı olarak TCK m. 135, 136 ve 137 kapsamında cezai sorumluluk doğurabilecektir. Verilerin izinsiz ele geçirilmesi ve aktarılması eylemleri, TCK’nin 136’ncı ve 137’nci maddelerindeki suçlara vücut verebileceğinden, ilgililer hakkında Cumhuriyet Savcılıklarına suç duyurusunda bulunulabileceği belirtilmektedir. Ayrıca, yasal yetki sınırlarının dışına çıkarak meşru bir işleme şartına dayanmaksızın faaliyet gösteren şirketler, avukatlar ve eksperler hakkında 6698 sayılı Kanun kapsamında Kurula şikâyette bulunulabilmesi mümkündür. Avukatlar bakımından baro disiplin süreçleri ve Avukatlık Kanunu’ndaki iş getirmeye aracılık yasağı; sigorta eksperleri ve diğer meslek mensupları bakımından ise özel mevzuattan kaynaklanan disiplin veya ruhsat yaptırımları ayrıca gündeme gelebilir.

Sigorta eksperlerinin veri işleme faaliyetleri ise 5684 sayılı Sigortacılık Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ikincil mevzuat tarafından çizilen kesin sınırlar dâhilinde, yalnızca hasar tespiti ve tazminat süreçlerinin yönetilmesiyle sınırlı olmalıdır. Eksperler, kanunlarda açıkça öngörülme veya sözleşmenin ifası gibi meşru şartlara dayanarak işledikleri bu hassas verileri hiçbir koşulda yetkisiz üçüncü kişilerle paylaşmamakla ve mesleki sır saklama yükümlülüklerine titizlikle riayet etmekle mükelleftir. Aksi halde gerçekleştirilen her türlü yetkisiz aktarım, ağır idari yaptırımların yanı sıra TCK kapsamında cezai sorumluluklar da doğuracaktır.

Kaza sonrasında yürütülen adli işlemler veya tedavi süreçleri amacıyla kaza mağdurlarına ait verilerin işlenmesi hukuka uygun kabul edilse de veri sorumlularının bu faaliyetlerini mutlak surette yasal çerçeveye ve amaca uygun şekilde yürütmesi gerekmektedir. 6698 sayılı Kanun’un 12’nci maddesi uyarınca veri sorumluları hukuka aykırı işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak adına organizasyon yapılarını ve riskleri göz önünde bulundurarak her türlü teknik ve idari tedbiri almak zorundadır. Veri işleyen çalışanların da öğrendikleri bilgileri başkalarına açıklayamayacağı ve bu sır saklama yükümlülüğünün görevden ayrıldıktan sonra dahi devam edeceği Kanun’da açıkça düzenlenmiştir.

Bu doğrultuda alınması gereken temel önlemlerin başında veri sorumlularının çalışanlarına yönelik veri güvenliği ve korunması hususunda eğitimler düzenlemesi gelmektedir. Aynı zamanda verilere erişimde asgari yetki prensibinin benimsenmesi, rol tabanlı erişim kontrollerinin sağlanması ve takip mekanizmalarının kurulması yasal bir zorunluluktur. Kurulun İlke Kararında belirtilen bu emredici kurallara ve idari tedbirlere uymayan kişi, kurum veya kuruluşlar hakkında 6698 sayılı Kanun’un 18’inci maddesi gereğince idari para cezaları uygulanacak ayrıca ihlallerin niteliğine göre adli soruşturmalar ve disiplin süreçleri işletilecektir.

Aynı olayın KVKK, ceza hukuku, sigortacılık mevzuatı ve meslek kuralları bakımından farklı korunan hukuki değerleri ihlal etmesi mümkündür. Bu nedenle bir idari yaptırım uygulanmış olması ceza soruşturmasını, ceza soruşturması yürütülmesi de Kurulun idari denetimini kendiliğinden ortadan kaldırmamaktadır.

III. SONUÇ VE DEĞERLENDİRME

Kişisel Verileri Koruma Kurulu tarafından alınan bu İlke Kararı, kaza mağdurlarının hassas durumlarını istismar eden yetkisiz kişi ve kurumların faaliyetlerini engellemek adına atılmış oldukça kritik bir adımdır. Kurul konuyu yalnızca veri koruma mevzuatı çerçevesinde değil; Avukatlık Kanunu, Sigortacılık Kanunu ve Türk Ceza Kanunu boyutlarıyla da bütüncül bir şekilde ele alarak, yasa dışı veri temini ve alacak devri gibi ihlallerin hem ağır idari hem de adli yaptırımlara tabi olduğunu netleştirmiştir. 

Bu karar, faaliyetleri gereği kişisel veri işleyen sigorta şirketleri, sağlık kuruluşları, eksperler, servisler, çağrı merkezleri ve diğer veri sorumlularının; veri envanteri ve yetki matrislerini İlke Kararı ışığında gözden geçirmeleri; personelin eğitilmesi, erişim yetkilerinin rol tabanlı olarak sınırlandırılması ve veri güvenliğinin sağlanması hususlarında kesin bir denetim yükümlülüğü getirmektedir. Kararda belirtilen teknik ve idari tedbirlere uyulmaması, veri sorumluları açısından ağır idari para cezalarının yanı sıra adli soruşturmalara ve mesleki disiplin süreçlerine zemin hazırlayacağından, tüm paydaşların veri güvenliği politikalarını ivedilikle gözden geçirerek karar doğrultusunda faaliyet göstermeleri önem arz etmektedir.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.