Kaza Geçirdiniz. Birkaç Saat Sonra Telefonunuz Çaldı.

Karşınızdaki kişi kendini avukat ya da hasar danışmanı olarak tanıttı. Tazminat hakkınız olduğunu söyledi. Vekâlet verirseniz her şeyi halledermiş. Kaza Mağdurlarının Kişisel Verileri !

Sizi nasıl buldu? Adınızı, telefon numaranızı, kazaya ait bilgileri nereden öğrendi?

Bu soruyu Kişisel Verileri Koruma Kurumu’na ileten çok sayıda kişi var. Kuruma ulaşan şikâyetler ve ihbarlar hep aynı tabloyu anlatıyor: Hasar danışmanlık şirketi adıyla faaliyet gösteren kuruluşlar, kaza mağdurlarını rızaları olmadan arıyor. Kimi zaman kendini avukat olarak tanıtan ama baro sorgulamasında avukat çıkmayan kişiler devreye giriyor. Verilerin nasıl elde edildiği sorusuna kimse tatmin edici bir yanıt veremiyor.

Kurul bu tabloyu yerinde inceledi ve 20 Mayıs 2026 tarihli, 2026/1095 sayılı İlke Kararı‘nı aldı. Karar 1 Temmuz 2026’da Resmî Gazete’de yayımlandı.

Kaza Tutanağındaki Bilgiler Nereye Gidiyor?

Bir kaza tutanağında çok şey yazıyor. Adınız, soyadınız, telefon numaranız, araç bilgileriniz, sigorta poliçeniz. Bunların tamamı Kaza Mağdurlarının Kişisel Verileri yani KVKK kapsamında kişisel veri.

Kurul’un tespitlerine göre bu veriler, kaza sonrası süreçte farklı kanallar üzerinden yetkisiz kişilerin eline geçiyor. Tam olarak hangi kanallar? Bunu her vakada ayrı değerlendirmek gerekiyor. Ama sonuç hep aynı: Mağdur, verilerinin işlendiğinden habersiz. Kimseye rıza vermedi. Kimse onu aydınlatmadı.

Karar Kimleri Etkiliyor?

Bu ilke kararı sigortacılık ekosistemindeki birden fazla aktörü kapsıyor.

Hasar danışmanlık şirketleri için tablo oldukça net. Sigortacılık mevzuatına göre tazminat alacakları yalnızca hak sahibine ya da avukatına ödenir. Bu alacağı başka birine devretmek mümkün değil. Dolayısıyla hasar danışmanlık şirketlerinin mağdur verilerini işleyerek süreci yürütmesi, hem sigortacılık mevzuatını hem de KVKK’yı ihlal ediyor.

Sigorta eksperleri de kararda ayrıca ele alınıyor. Eksperlerin veri işleme yetkisi belirli bir alanla sınırlı: hasar tespiti, raporlama ve tazminat süreci. Bu sınırın dışına çıkmak, verileri yetkisiz üçüncü kişilerle paylaşmak KVKK ihlali sayılıyor.

Veri sorumluları açısından ise karar çok somut bir yükümlülük getiriyor. Kaza mağdurlarına ait veri işleyen her kurumun çalışanlarını eğitmesi, erişim yetkilerini sınırlaması ve rol tabanlı kontrol mekanizmaları kurması gerekiyor.

Sadece Para Cezası Değil, Cezai Sorumluluk da Var

Bu kararın öne çıkan yanlarından biri burası. Kurul yalnızca KVKK kapsamındaki idari yaptırımlarla yetinmedi. Yetkisiz veri işlemenin, 5237 sayılı Türk Ceza Kanunu’nun 136. maddesinde düzenlenen “verileri hukuka aykırı olarak verme veya ele geçirme” suçunu oluşturabileceğini açıkça belirtti. Yani konu idari para cezasının çok ötesine geçiyor.

Mağdursanız Ne Yapabilirsiniz?

Kaza sonrasında sizi tanımadığınız biri aradı ve kişisel bilgilerinizi biliyordu. Bu durumda haklarınız var.

KVKK’nın 13. maddesi kapsamında önce ilgili veri sorumlusuna başvurabilirsiniz. Yanıt alamazsanız ya da yanıt tatmin edici değilse Kurul’a şikâyette bulunabilirsiniz. Verilerinizin yasal bir dayanağa sahip olmaksızın işlendiğini düşünüyorsanız bu yolu kullanmaktan çekinmeyin.

Bu karar sektöre tek bir mesaj veriyor: Kaza mağdurlarının verileri izinsiz dolaşımda olamaz.

Hasar, sigorta ve hukuk alanında faaliyet gösteren firmaların şimdi yapması gereken şeyler var. Veri işleme politikalarını gözden geçirmek. Çalışan erişim yetkilerini güncellemek. VERBİS kayıtlarını bu karar çerçevesinde düzenlemek. Kararda belirtilen önlemleri almayan veri sorumluları hakkında KVKK’nın 18. maddesi kapsamında işlem başlatılacağı da açıkça ifade edildi.

Bunu bir uyarı olarak değil, bir fırsat olarak da okumak mümkün. Uyum sürecinizi şimdiden tamamlayanlar, denetim geldiğinde hazır olacak.

KVKK uyum sürecinizi bu ilke kararı ışığında değerlendirmek istiyorsanız Garanti KVK Danışmanlık ile iletişime geçin.

Bu içerik bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımamaktadır. Güncel mevzuat için kvkk.gov.tr adresini takip etmenizi öneririz.