Yürürlükte · Resmî Gazete: 1 Temmuz 2026
Kurul kararı: 20 Mayıs 2026No 2026/1095Son güncelleme: 11 Ağustos 2026
Kişisel Verileri Koruma Kurulu, kaza mağdurlarının kişisel verilerinin işlenmesi hakkında bir ilke kararı aldı ve kamuoyu duyurusu yayımladı. Karar, kazadan sonra mağduru arayıp iş takibi teklif eden yapıyı hem kişisel veri hukuku hem de ceza hukuku bakımından ele alıyor.
Kurum, kendisine “hasar danışmanlığı”, “sigorta takip merkezi” veya benzeri adlarla faaliyet gösteren kuruluşların temsilcileri, avukatlar yahut kendilerini avukat olarak tanıttığı hâlde baro levhası sorgulamasında avukat olmadığı anlaşılan kişiler tarafından kaza mağdurlarıyla istekleri dışında iletişime geçildiği yönünde çok sayıda ihbar ve şikâyet iletildiğini bildiriyor. İlke kararı, bu alandaki veri işleme faaliyetlerinin hukuka uygun yürütülmesi amacıyla alındı.
Kararın çerçevesi üç ayakta duruyor: tazminatın kime ödenebileceğini belirleyen 5684 sayılı Sigortacılık Kanunu, kişisel veri işlemenin şartlarını koyan 6698 sayılı Kanun ve verileri hukuka aykırı ele geçirme veya yaymayı suç sayan 5237 sayılı Türk Ceza Kanunu.
Kurul, kaza sonrası veri işlemenin kendisini yasaklamıyor. Aksine; iş kazası, trafik kazası veya benzeri olumsuz olaylar neticesinde adli/idari soruşturmaların yürütülmesi, mağdurların tedavi süreçlerinin yönetilmesi ve hasara uğrayan araçların onarımı gibi işlemlerin tesisi amacıyla mağdur verilerinin işlenmesinin mümkün olduğunu açıkça belirtiyor.
Sınır amaçta: bu veriler ancak kaza sonrası süreçlerin yönetimi amacıyla sınırlı olarak işlenebilir. Meşru bir amaçla toplanmış veriyle mağduru arayıp iş takibi teklif etmek bu sınırın dışındadır.
Bu verileri işleyen veya bunlara erişimi olan veri sorumlularının süreçleri, 6698 sayılı Kanunun 4 üncü maddesindeki genel ilkeler ile 5 inci ve 6 ncı maddelerindeki işleme şartlarına tam uyum içinde yürütmesi gerekiyor.
5684 sayılı Sigortacılık Kanununun Ek 6 ncı maddesi uyarınca, sigortacılık yapan kurum veya kuruluşlardan talep edilecek tazminat alacakları yalnızca hak sahibine ya da onun resmî vekili olan avukatına ödenebilir.
Bu tazminat alacaklarının avukat olmayan üçüncü kişilere ya da hasar danışmanlık şirketi veya benzer adlarla faaliyet gösteren oluşumlara devredilmesi hukuken geçersizdir; ayrıca 5237 sayılı Türk Ceza Kanunu bakımından da suç teşkil edebilir.
“Hasar danışmanlığı”, “sigorta takip merkezi” ve benzeri adlarla faaliyet gösteren kuruluşlar. Duyuru, bu oluşumların kaza mağdurlarıyla istekleri dışında iletişime geçtiğine ilişkin çok sayıda ihbar ve şikâyet geldiğini belirtiyor.
Duyuruda, kendilerini avukat olarak tanıttığı hâlde baro levhası sorgulamasında avukat olmadığı anlaşılan kişilerden söz ediliyor. Bir kişinin avukat olup olmadığı baro levhasından doğrulanabilir.
Karar yalnızca danışmanlık şirketlerini değil; herhangi bir işleme şartına dayanmadan kişisel veri işleyen eksperleri, ekspertiz şirketlerini ve avukatları da kapsıyor. Belirleyici olan sıfat değil, işlemenin bir hukuka uygunluk sebebine dayanıp dayanmadığıdır.
Adli/idari soruşturma, tedavi süreçlerinin yönetimi ve hasarlı aracın onarımı gibi amaçlarla mağdur verisi işleyen ya da bu verilere erişimi olan tüm veri sorumluları. Karar bunlara teknik ve idari tedbir yükümlülüğü getiriyor.
İzin verilen
5684 sayılı Kanun ve ikincil mevzuat çerçevesinde hasar tespiti, raporlama ve tazminat süreçlerinin yürütülmesi gibi yasal görevlerin ifasıyla sınırlı, bu faaliyetlerle doğrudan bağlantılı veri işleme. Dayanak, 6698 sayılı Kanunun 5 inci maddesindeki işleme şartlarıdır.
Yasak olan
Kendilerine tevdi edilen verileri görevin gerektirdiği amaç dışında kullanmak, yetkisiz üçüncü kişilerle paylaşmak, veri güvenliği tedbirlerini almamak ve mesleki sır saklama yükümlülüğünü ihlal etmek.
Yetkisiz aktarım yalnızca idari yaptırım doğurmaz: Kurul, bunun 5237 sayılı Türk Ceza Kanununun 136 ncı maddesindeki “kişisel verileri hukuka aykırı olarak verme veya ele geçirme” suçuna vücut verebileceğini açıkça belirtiyor.
Sigortacılık sektöründe farklı kanallarla işlenen kişisel verilere hukuka aykırı erişen ve/veya bu verileri işleyen hasar danışmanlık şirketleri ile yetki sınırlarını aşan eksper, ekspertiz şirketi veya avukatların herhangi bir işleme şartına dayanmadan kişisel veri işlemesi ve veri sorumlusu sıfatını haiz olduğunun tespiti hâlinde, ilgili kişilerce 6698 sayılı Kanunun 13 ve 14 üncü maddeleri uyarınca Kurula şikâyette bulunulabilir.
Sigorta eksperleri yasal görevleri doğrultusunda kişisel veri işleyebilir; ancak görevleri gereği işledikleri kişisel verileri yetkisiz üçüncü kişilere aktarmaları hâlinde Kanuna aykırılık oluşur ve bu faaliyet 5237 sayılı Türk Ceza Kanununun 136 ncı maddesindeki “kişisel verileri hukuka aykırı olarak verme veya ele geçirme” suçuna vücut verebilir.
Kaza mağdurlarına ilişkin kişisel verileri uhdesinde bulunduran ve/veya işleyen veri sorumluları; çalışanlarına yönelik eğitim ve bilinçlendirme faaliyetlerini gerçekleştirmenin yanı sıra, kişisel verilere erişimde asgari yetki prensibi çerçevesinde yetki sınırlaması, rol tabanlı erişim kontrolleri ve log/takip mekanizmaları gibi Kanunun 12 nci maddesi uyarınca gerekli her türlü teknik ve idari tedbiri almalıdır.
Bu önlemleri almayarak Kanun hükümlerine aykırı şekilde uygulamalara devam eden ve ilke kararında belirtilen hususlara uygun hareket etmediği tespit edilen veri sorumluları hakkında, Kanunun 18 inci maddesi hükümleri çerçevesinde idari işlem tesis edilecektir.
Kaza mağduru verisi işleyen veri sorumluları için karar, 6698 sayılı Kanunun 12 nci maddesi kapsamında somut tedbirler sayıyor:
İdari
6698 sK m.18
İlke kararına uygun hareket etmediği tespit edilen veri sorumluları hakkında idari işlem tesis edilir.
Cezai
5237 sK m.136 vd.
Kişisel verileri hukuka aykırı olarak verme veya ele geçirme. Cumhuriyet savcılıklarına suç duyurusunda bulunulabilir.
Mesleki / idari bildirim
Bakanlık ve barolar
İdari yönden ilgili Bakanlıklara ve baro başkanlıklarına gerekli bildirimler yapılabilir.
Duyuru bu soruyu tek bir kaynağa bağlamıyor; kaza sonrası süreçte veriniz birden çok elden geçiyor. Adli ve idari soruşturma, tedavi süreçleri ve hasarlı aracın onarımı gibi işlemler için kişisel verilerinizin işlenmesi hukuken mümkün. Ancak Kurul, bu verilerin yalnızca kaza sonrası süreçlerin yönetimi amacıyla sınırlı olarak işlenebileceğini vurguluyor.
Yani veriniz meşru bir amaçla toplanmış olsa bile, sizi pazarlama veya iş takibi teklifi için aramak o amacın dışına çıkar. Verinin nasıl ele geçtiğini öğrenmek sizin hakkınız: 6698 sayılı Kanunun 11 inci maddesi kapsamında veri sorumlusuna başvurup kişisel verilerinizin kaynağını ve kime aktarıldığını sorabilirsiniz.
Hayır. 5684 sayılı Sigortacılık Kanununun Ek 6 ncı maddesi uyarınca, sigortacılık yapan kurum veya kuruluşlardan talep edilecek tazminat alacakları yalnızca hak sahibine ya da onun resmî vekili olan avukatına ödenebilir.
Duyuruya göre bu tazminat alacaklarının avukat olmayan üçüncü kişilere ya da hasar danışmanlık şirketi veya benzer adlarla faaliyet gösteren oluşumlara devredilmesi hukuken geçersiz olmakla birlikte, 5237 sayılı Türk Ceza Kanunu bakımından da suç teşkil edebilir.
Avukatlık bir levha kaydına bağlıdır: bir kişinin avukat olup olmadığı bağlı olduğu baronun levhasından sorgulanarak doğrulanabilir. Duyuru, kendilerini avukat olarak tanıttığı hâlde baro levhası sorgulamasında avukat olmadığı anlaşılan kişilerden gelen şikâyetlere açıkça atıf yapıyor.
Sizi arayan kişi ad, soyad ve bağlı olduğu baroyu vermekten kaçınıyorsa bu başlı başına bir uyarı işaretidir. Ayrıca hiçbir avukatın sizi kendiliğinden arayıp iş teklif etmesi olağan değildir.
Evet, ancak sınırlı olarak. Duyuruya göre sigorta eksperlerinin kişisel veri işleme faaliyetleri; 5684 sayılı Kanun ve ikincil mevzuat çerçevesinde hasar tespiti, raporlama ve tazminat süreçlerinin yürütülmesi gibi yasal görevlerin ifasıyla sınırlı ve bu faaliyetlerle doğrudan bağlantılıdır.
Eksperler mesleki görevlerini icra ederken 6698 sayılı Kanunun 5 inci maddesindeki işleme şartlarına dayanabilir. Buna karşılık kendilerine tevdi edilen verileri yalnızca görevin gerektirdiği amaçlarla kullanmak, yetkisiz üçüncü kişilerle paylaşmamak, veri güvenliğine ilişkin teknik ve idari tedbirleri almak ve mesleki sır saklama yükümlülüğüne azami surette riayet etmek zorundadırlar.
Olabilir. Duyuru, yasal çerçevenin ve mevzuat sınırlarının dışına çıkılarak gerçekleştirilen hukuka aykırı kişisel veri işleme faaliyetlerinin 6698 sayılı Kanun uyarınca idari yaptırımlara sebebiyet vermenin yanı sıra, 5237 sayılı Türk Ceza Kanununun ilgili hükümleri (m.136 vd.) uyarınca cezai sorumluluk doğurabileceğini belirtiyor.
Kişisel verileri hukuka aykırı olarak ele geçiren, paylaşan veya bu veriler üzerinden kazazedeleri arayarak iş takibi teklif eden kişi ve kurumlar hakkında Cumhuriyet savcılıklarına suç duyurusunda bulunulabilir; ayrıca idari yönden ilgili Bakanlıklara ve baro başkanlıklarına bildirim yapılabilir.
Kişisel verilerinin izinsiz işlendiğini veya hasar şirketleriyle paylaşıldığını düşünen ilgili kişilerin, 6698 sayılı Kanunun 13 üncü maddesi ve devamında düzenlenen usul izlenerek Kişisel Verileri Koruma Kuruluna şikâyette bulunma hakkı saklıdır.
Bu usul iki aşamalıdır: önce veri sorumlusuna başvurulur, başvuru reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse Kurula şikâyet yoluna gidilir. Şikâyet hakkı, suç duyurusunda bulunma imkânını ortadan kaldırmaz; iki yol birlikte işletilebilir.
Karar, kaza mağduru verisi işleyen veri sorumlularına 6698 sayılı Kanunun 12 nci maddesi kapsamında somut tedbirler yüklüyor: çalışan eğitimi ve bilinçlendirme, asgari yetki prensibi çerçevesinde yetki sınırlaması, rol tabanlı erişim kontrolleri ve log/takip mekanizmaları.
Bu tedbirleri almayarak aykırı uygulamalara devam ettiği tespit edilen veri sorumluları hakkında Kanunun 18 inci maddesi çerçevesinde idari işlem tesis edileceği açıkça duyuruldu. Veri sızıntısının çalışan eliyle gerçekleştiği hâllerde erişim kayıtlarının bulunmaması, tedbir yükümlülüğünün ihlali olarak değerlendirilebilir.
Kaynak ve sınır: Bu sayfa, Kişisel Verileri Koruma Kurumunun ilke kararına ilişkin yayımladığı kamuoyu duyurusuna dayanır ve karar metnini birebir alıntılamaz. İlke Kararının Resmî Gazete'de yayımlanan asıl metni esas alınmalıdır.
İçerik genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Somut bir başvuru, şikâyet veya suç duyurusu öncesinde kararın Resmî Gazete metnini ve güncel mevzuatı esas alın.
Bu rehber genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kişisel verilerinizin izinsiz işlendiğini düşünüyorsanız veya veri sorumlusu sıfatıyla uyum yükümlülüğünüzü değerlendirmek istiyorsanız bir avukata danışın.
İletişime geçinKaynak: Kişisel Verileri Koruma Kurulunun 20 Mayıs 2026 tarihli ve 2026/1095 sayılı İlke Kararına ilişkin kamuoyu duyurusu (kvkk.gov.tr) · Resmî Gazete, 1 Temmuz 2026. Bu içerik bilgilendirme amaçlıdır; güncel mevzuat ve somut durumunuz için resmî kaynakları ve bir avukatı esas alın.