KVKK 2026/1095 sayılı İlke Kararı, kaza mağdurlarının kişisel verilerinin izinsiz ele geçirilip tazminat hizmeti pazarlanmasında kullanılmasını hukuka aykırı ilan etti. Karar 20 Mayıs 2026'da alındı ve 1 Temmuz 2026 tarihli Resmî Gazete'de (Sayı 33297) yayımlandı. Sigorta şirketlerinden eksperlere, hasar danışmanlarından hukuk bürolarına kadar zincirin tamamını bağlar.

Bu karar, uzun süredir sektörde bilinen bir sorunu doğrudan hedef aldı: kaza sonrası mağdurların bilinmeyen numaralardan aranıp "tazminatınızı alalım, vekâlet verin" teklifleriyle rahatsız edilmesi. Bu rehber, kararın kimleri neyle yükümlü kıldığını ve uyum için atılması gereken somut adımları ele alıyor.

KVKK 2026/1095 Kararı Ne Getirdi?

Kurul'a gelen çok sayıda şikâyet, aynı tabloyu gösteriyordu: trafik kazası geçiren kişiler, kaza sonrasında hiç iletişime geçmedikleri firmalar tarafından aranıyor, kendilerine tazminat takip hizmeti öneriliyordu. Arayanlar çoğu zaman mağdurun bilgilerini nereden aldıklarını açıklayamıyordu.

Kurul bu uygulamayı bir bütün olarak değerlendirdi. Kaza mağdurunun verisi — ad-soyad, telefon, plaka, hasar dosyası ve çoğu zaman sağlık bilgisi — hasar tespiti veya tazminat süreci gibi meşru bir amaçla toplanır. Bu veriyi, toplanma amacının dışında, mağdura rızası olmadan ulaşmak ve hizmet pazarlamak için kullanmak hukuka aykırıdır.

Karar bir "ilke kararı" niteliğindedir. Yani belirli bir şikâyetle sınırlı kalmaz; benzer tüm durumlar için bağlayıcı bir kural koyar ve yayım tarihinden itibaren tüm veri sorumlularını kapsar.

Kimler Muhatap?

Kararın kapsamı geniş. Kaza verisinin dolaştığı zincirin her halkası sorumluluk altında:

  • Sigorta şirketleri: Kaza ve hasar verilerinin ana toplayıcısı. Bu verilere kimin, hangi gerekçeyle eriştiğini kontrol etmekle yükümlü.
  • Sigorta eksperleri: Veri işleme faaliyeti hasar tespiti, raporlama ve tazminat süreciyle sınırlı. Bu görevi aşan her işleme hukuka aykırı.
  • Hasar danışmanlık firmaları: İzinsiz iletişim, veri ele geçirme ve aracılık kararın ana odağı. En yüksek risk bu segmentte.
  • Sağlık kuruluşları, servisler, çağrı merkezleri: Verinin sızabileceği kanallar olarak kararda risk noktası sayıldı.
  • Hukuk büroları ve avukat gibi hareket eden kişiler: Ruhsatsız kişilerin avukatlık faaliyeti yürütmesi ayrı bir sorun olarak işaretlendi.

Hukuka Aykırı İlan Edilen Fiiller

Karar, somut davranışları hedef alır. Aşağıdaki fiiller açıkça hukuka aykırı kabul edildi:

  • Kaza mağduruna rızası olmadan ulaşmak ve hizmet pazarlamak
  • Veriyi toplanma amacının dışında (hasar tespiti, tedavi veya sigorta amacı dışında) işlemek
  • Vekâlet imzalatmaya zorlama, ısrarlı arama ve "haklarınızı kaybedersiniz" gibi yanıltıcı aciliyet yaratma
  • Verinin orijinal amacı dışında üçüncü kişilerle paylaşılması veya aracılık edilmesi
  • Ruhsatsız kişilerce avukatlık faaliyeti yürütülmesi

Kararın Dayandığı Mevzuat

Kurul kararını tek bir kanuna değil, birbirini tamamlayan bir çerçeveye dayandırdı:

  • 6698 sayılı KVKK: Genel ilkeler (md.4), işleme şartları (md.5), özel nitelikli veri — sağlık bilgisi için (md.6), veri güvenliği (md.12) ve idari yaptırım (md.18).
  • 5684 sayılı Sigortacılık Kanunu (Ek Madde 6): Tazminat talepleri yalnızca hak sahibine veya avukatına ödenebilir; bu talepler başkasına devredilemez.
  • 1136 sayılı Avukatlık Kanunu: Avukatlık faaliyetinin yalnızca baroya kayıtlı avukatlarca yürütülebileceğine ilişkin hükümler.
  • 5237 sayılı Türk Ceza Kanunu (md.136-137): Kişisel verileri hukuka aykırı ele geçirme, yayma ve nitelikli hâller.

Buradaki kritik nokta şu: aynı fiil hem idari (KVKK) hem cezai (TCK) sorumluluk doğurabilir. İkisi birbirinin alternatifi değil.

Ceza Riski

Karara aykırılık iki ayrı yaptırım kanalına açılır:

İdari para cezası (6698 md.18): Veri güvenliği yükümlülüklerinin ihlali ve Kurul kararlarına uymama, yüz binlerce liradan on milyonlarca liraya kadar uzanan idari para cezalarına konu olur. Maktu tutarlar her yıl yeniden değerleme oranıyla güncellenir; somut durumunuz için güncel tahmini tutarı yazının sonundaki hesaplayıcıyla görebilirsiniz.

Cezai sorumluluk (TCK md.136-137): Kişisel verileri hukuka aykırı ele geçirme ve yayma, hapis cezası gerektiren bir suçtur. Bu fiillerde Kurul idari ceza kesmez; Cumhuriyet savcılığına suç duyurusu yolu işler.

Somut Uyum Adımları

Karar, "ne yapmamalı" kadar "ne yapmalı" konusunda da yön verdi. Sigorta ve hasar sektöründeki bir veri sorumlusunun kontrol listesi:

  • [ ] Kaza ve hasar verilerine erişimi yalnızca görevli ve yetkili personelle sınırla (minimum yetki ilkesi)
  • [ ] Rol bazlı yetkilendirme modeli kur; herkesin her veriye erişmesini engelle
  • [ ] Erişim loglarını tut, düzenli denetle ve anomali tespiti yap
  • [ ] Personeli veri koruma ve kaza mağduru verilerinin özel durumu konusunda eğit
  • [ ] Dış hizmet sağlayıcılarla (çağrı merkezi, danışmanlık, servis) veri işleme sözleşmesi yap ve bunları denetle
  • [ ] Sağlık bilgisi gibi özel nitelikli verilerde md.6 kapsamındaki ek güvenlik tedbirlerini uygula
  • [ ] Veri işleme envanterini ve VERBİS kaydını gözden geçir

Bu adımlar aynı zamanda genel KVKK uyum altyapısının parçasıdır; kararın getirdiği fark, sektöre özgü riskin somutlaşmasıdır.

Sonuç

KVKK 2026/1095, soyut bir veri koruma ilkesini sigorta ve hasar sektörü için somut bir yükümlülüğe çevirdi. Kaza mağdurunun verisi hassas bir alandır ve Kurul artık bu alandaki suistimalleri açık bir kuralla karşılıyor. Sektördeki şirketler için mesele, tek bir uygulamayı durdurmaktan çok; erişim, yetkilendirme, loglama ve dış sağlayıcı denetimini kapsayan bir uyum düzeni kurmaktır.

Regulfy, KVKK kararları dahil değişen mevzuatı sektörünüze göre filtreleyip takip etmenizi sağlar; böylece bu tür bağlayıcı ilke kararlarını yayımlandığı gün fark edebilirsiniz.

İlgili İçerikler