Kişisel Verileri Koruma Kurulu, 20.05.2026 tarihli ve 2026/1095 sayılı İlke Kararı ile kaza mağdurlarının kişisel verilerinin işlenmesine ilişkin ilkeler belirledi. 1 Temmuz 2026 tarihli Resmî Gazete’de yayımlanan karar; kişisel verilerin hangi sınırlar içinde işlenebileceğini, veri sorumlularının almakla yükümlü olduğu teknik ve idari tedbirleri ile hukuka aykırı veri paylaşımının doğurabileceği idari ve cezai sorumlulukları ayrıntılı biçimde açıklıyor.
Trafik kazası veya iş kazasının meydana gelmesinin hemen ardından mağdurların ya da yakınlarının; “hasar danışmanlığı”, “sigorta takip merkezi” veya benzeri isimlerle faaliyet gösteren şirketler tarafından aranması, tazminat takibi teklif edilmesi ya da vekâlet vermeleri yönünde yönlendirilmeleri uzun süredir ciddi bir sorun oluşturuyordu. Kurula ulaşan çok sayıdaki ihbar ve şikâyet üzerine alınan İlke Kararı, bu irtibatların çoğunun ancak kişisel verilere hukuka aykırı erişim sonucunda mümkün olabileceğine dikkat çekerek, veri güvenliği ihlallerine karşı uyarıda bulunuyor.
Veri işleme yetkisinin sınırları
Kararın en önemli yönlerinden biri, kişisel verilerin yalnızca kaza sonrası yürütülmesi gereken hukuki ve idari süreçlerle sınırlı olarak işlenebileceğini açık biçimde ortaya koyması. Tedavi hizmetlerinin yürütülmesi, hasar tespiti, adli ve idari soruşturmalar veya sigorta tazminat süreçleri gibi hukuken öngörülen amaçlar dışında kişisel verilerin kullanılması, üçüncü kişilere aktarılması veya ticari amaçlarla değerlendirilmesi 6698 Sayılı Kanun kapsamında hukuka aykırı kabul ediliyor. Başka bir ifadeyle, bir kurumun veriye hukuken erişebilmesi, o veriyi istediği her amaçla kullanabileceği anlamına gelmiyor.
Kurul ayrıca, sigorta eksperlerinin veri işleme yetkisinin de görev alanlarıyla sınırlı olduğunu özellikle vurguluyor. Eksperler, hasar tespiti ve raporlama gibi yasal görevlerini yerine getirirken kişisel veri işleyebilmekle birlikte, bu verileri görev kapsamı dışında kullanmaları veya yetkisiz üçüncü kişilerle paylaşmaları hem KVKK bakımından idari yaptırımlara hem de Türk Ceza Kanunu’nun kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesine ilişkin hükümleri kapsamında cezai sorumluluğa yol açabilir. Aynı değerlendirme, hukuka aykırı şekilde kişisel veri elde ederek mağdurlara ulaşan hasar danışmanlık şirketleri ile yetki sınırlarını aşan diğer kişi ve kuruluşlar bakımından da geçerli.
İlke Kararı uygulamayı nasıl değiştirecek?
İlke Kararı, veri sorumlularına yalnızca hukuki yükümlülüklerini hatırlatmakla yetinmiyor. Kurul; çalışanlara yönelik KVKK eğitimlerinin düzenlenmesini, kişisel verilere erişimin “asgari yetki” ilkesi doğrultusunda sınırlandırılmasını, rol tabanlı erişim sistemlerinin kurulmasını ve log kayıtlarıyla erişimlerin izlenmesini açıkça istiyor. Böylece kişisel veri ihlallerinin yalnızca gerçekleştiğinde cezalandırılması değil, teknik ve idari tedbirlerle en baştan önlenmesi hedefleniyor.
Kararın bir diğer önemli sonucu ise mağdurlar açısından ortaya çıkıyor. Kişisel verilerinin izinsiz işlendiğini veya üçüncü kişilerle paylaşıldığını düşünen kişiler, 6698 Sayılı Kanun’un 13 ve devamı maddeleri uyarınca veri sorumlusuna başvurma ve gerekli şartların oluşması hAlinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunma hakkına sahip. Bunun yanında, hukuka aykırı veri paylaşımının niteliğine göre Cumhuriyet başsavcılıklarına suç duyurusunda bulunulması ve ilgili meslek kuruluşlarının da devreye girmesi mümkün.
Sonuç olarak, 2026/1095 sayılı İlke Kararı, kaza mağdurlarının kişisel verilerinin ticari amaçlarla dolaşıma girmesini ve mağdurların henüz olayın etkisini atlatamadan yoğun biçimde aranmasını yalnızca etik bir sorun olarak değil, kişisel verilerin korunması hukuku bakımından ciddi bir ihlal olarak değerlendiriyor. Bu yönüyle karar, veri güvenliği yükümlülüklerinin uygulanmasına ilişkin önemli açıklıklar getirirken; sigorta sektörü, eksperler, avukatlar ve kişisel verilere erişimi bulunan tüm veri sorumluları bakımından daha sıkı bir uyum sürecini teşvik edebilir.