Kazadan Sonra Arayan Hasar Danışmanı Numaramı Nereden Buldu? KVKK'nın 2026/1095 Sayılı İlke Kararı

Kısa cevap: kazadan sonra sizi arayıp tazminat vaat eden bir hasar danışmanı, telefon numaranızı ve dosya bilgilerinizi büyük olasılıkla hukuka aykırı bir kanaldan aldı ve bunun kaynağını açıklamak zorunda. Kişisel Verileri Koruma Kurulu 20 Mayıs 2026 tarihli ve 2026/1095 sayılı ilke kararıyla konuyu oy birliğiyle karara bağladı; karar 1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girdi. Kararın merkezindeki cümle şu: kaza mağduruna ait ad, soyad, telefon numarası, plaka, hasar dosyası, sağlık bilgisi ve olay bilgisi serbestçe dolaşabilecek ticari veri değil. Bu veriler ancak kaza sonrası işlemin yürütülmesi için ve işleme amacıyla sınırlı biçimde kullanılabiliyor. Aramanın kaynağını açıklayamayan tarafa karşı üç yol birden açık: Kurula şikâyet, Cumhuriyet başsavcılığına suç duyurusu ve arayan kendini avukat olarak tanıtıyorsa baroya bildirim.

Karar boşlukta çıkmadı. Kuruma, "hasar danışmanlığı", "sigorta takip merkezi" ve benzeri adlarla faaliyet gösteren kuruluşların temsilcileri, avukatlar ya da kendini avukat olarak tanıttığı hâlde baro levhası sorgulandığında avukat olmadığı anlaşılan kişiler tarafından kaza mağdurlarıyla istekleri dışında iletişime geçildiğine dair çok sayıda ihbar ve şikâyet ulaştı. Şikâyetlerde tekrar eden davranış kalıbı kararda tek tek sayıldı: tazminat takibi teklif edilmesi, ısrarlı telefon aramalarıyla kişinin rahatsız edilmesi, hak kaybı yaşayacağı söylenerek yönlendirilmesi, baskı altında vekâletname alınması ve mağdurun talimatı ile onayı olmaksızın onun adına hukuki işlem yürütülmesi. Arayanların çoğu en basit soruya, yani bu bilgileri nereden edindiği sorusuna cevap veremiyordu. Kurul da meseleyi tek tek şikâyetler üzerinden değil, sektörün tamamını bağlayan bir ilke kararıyla ele almayı tercih etti.

Söz konusu bilgilerin hepsi 6698 sayılı Kanun'un 3. maddesindeki kişisel veri tanımına giriyor. Plaka bunun en çok tartışılan kalemi, çünkü tek başına bir sayı dizisi gibi görünüyor; oysa tescil kayıtlarıyla birleştiğinde araç sahibini belirlenebilir kılıyor ve Kurul da plakayı bu çerçevede ele alıyor. 1 Haziran 2023 tarihli ve 2023/924 sayılı kararda bir otopark işletmecisinin internet sitesinde yalnızca plaka girilerek yapılan tek kademeli sorgulama veri güvenliği bakımından yetersiz bulundu; Kurul çift faktörlü doğrulama istedi, bu mümkün değilse işlemeye son verilmesi talimatını verdi ve aydınlatma yükümlülüğünü yerine getirmeyen veri sorumlusuna 75.000 TL idari para cezası uyguladı. Kaza dosyasındaki sağlık bilgisi ise başka bir kategoride. Hastanede, ambulansta ya da adli raporda oluşan bu veri Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri sayılıyor ve işleme şartları çok daha dar çiziliyor.

Kurul kaza sonrasında veri işlenmesini toptan yasaklamıyor, bunu netleştirmek gerekiyor. Kararda adli ve idari soruşturmalar, sağlık hizmeti sunumu, sigortacılık işlemleri ve aracın onarımı gibi amaçlarla, o amaçla sınırlı kalmak kaydıyla veri işlenebileceği ifade ediliyor. Peki soğuk arama hangi şarta dayanıyor? 5. maddedeki bentleri tek tek elediğinizde geriye bir şey kalmıyor. Kanunlarda açıkça öngörülme yok, aranızda bir sözleşme yok, danışmanlık firmasının yerine getirmesi gereken bir hukuki yükümlülük yok, sizin bir hakkınızın tesisi için o aramanın zorunlu olduğu da söylenemez. Telefonda alınan "tamam" da açık rıza yerine geçmiyor; Kanun açık rızayı özgür iradeyle açıklanmış bir irade beyanı olarak tanımlıyor, ısrarlı arama ve hak kaybı korkusu altında verilen onay bu tanımı karşılamıyor. Üstelik 10. madde veriyi elde eden tarafa kimliğini ve işleme amacını bildirme yükümlülüğü getiriyor, yani ilk temasta bunu yapmayan taraf daha konuşmanın başında aydınlatma yükümlülüğünü ihlal etmiş oluyor.

Her üçüncü kişi teması ihlal değil ve bu ayrımı kaçırırsanız haklıyken haksız duruma düşebilirsiniz. 5 Nisan 2021 tarihli ve 2021/333 sayılı kararda ilgili kişi, trafik kazası sonrası kasko kapsamında hasar dosyası açıldığında araç fotoğraflarının, kimlik bilgilerini içeren ruhsatın ve iletişim bilgilerinin poliçede adı geçmeyen bir şirkete aktarılmasından şikâyetçi olmuştu. Kurul o şirketi pert ve sovtaj işlemleri bakımından veri işleyen konumunda gördü, aktarımı 5. maddenin ikinci fıkrasının (c) bendindeki sözleşmenin ifası şartı kapsamında hukuka uygun buldu ve bu yönden ihlal tespit etmedi. Buna karşılık aydınlatma metnindeki "bunlarla sınırlı olmamak üzere" gibi muğlak ifadeleri Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'e aykırı buldu ve metnin düzeltilmesi talimatını verdi. Ayırt edici soru şu: sizi arayan tarafın dosyanızla sözleşmesel ya da mevzuattan doğan bir bağı var mı? Eksperin, anlaşmalı servisin ve sovtaj şirketinin böyle bir bağı olabilir. Adını ilk kez duyduğunuz bir takip merkezinin yok.

İkinci katman sigorta mevzuatı ve pratikte en sert sonucu o doğuruyor. 5684 sayılı Sigortacılık Kanunu'nun ek 6. maddesinin üçüncü fıkrasına dayanılarak çıkarılan 2021/1 sayılı Genelge, tazminat alacağının takibini ve tahsilini kilit altına aldı. Takip yetkisi alacaklının kendisinde, kanuni temsilcisinde, kanuni temsilcinin vekâlet verdiği avukatta ve alacaklının vekâlet vermesi hâlinde eşi, çocukları, annesi, babası, kardeşleri ile bunların avukatında. Tahsil daha da dar: tazminat alacağı yalnızca alacaklının kendisi veya avukatı tarafından tahsil edilebiliyor. Genelge ayrıca tazminat alacağının hiç kimseye devredilemeyeceğini, devre ilişkin her türlü sözleşme veya işlemin 6098 sayılı Türk Borçlar Kanunu uyarınca kesin olarak hükümsüz olduğunu söylüyor. Diyelim ki kaza sonrası gelen bir firmayla "dosyanızı biz takip edelim, tazminatın belli bir yüzdesi bizim olsun" içerikli bir kâğıt imzaladınız. O kâğıt baştan geçersiz ve geçersizliği ileri sürmek için bir şey ödemeniz gerekmiyor.

Üçüncü katman avukatlık mevzuatı. İlke kararı 1136 sayılı Avukatlık Kanunu'nun 2, 35, 48, 55 ve 63. maddelerine, Türkiye Barolar Birliği Meslek Kuralları'nın 8. maddesine atıf yapıyor. 35. madde dava ve icra takibi işlerini avukatlara özgülüyor. 48. madde, vaat olunan ya da verilen bir ücret yahut herhangi bir çıkar karşılığında avukata iş getirmeye aracılık edenleri ve aracı kullanan avukatları altı aydan bir yıla kadar hapis cezasıyla cezalandırıyor; bu eylemi yapanlar memursa verilecek hapis cezası bir yıldan aşağı olamıyor. 55. madde avukatların iş elde etmek için reklam sayılabilecek her türlü teşebbüs ve hareketini yasaklıyor, Meslek Kuralları'nın 8. maddesi ise avukatın kendisine iş sağlama niteliğindeki her davranıştan titizlikle kaçınmasını istiyor. 63. madde de baro levhasında yazılı bulunmayanların avukatlara ait yetkileri kullanmasını yasaklıyor ve yaptırıma bağlıyor. Sizi arayan kişi kendini avukat olarak tanıtıyorsa adını baronun levha sorgulamasından kontrol edin; hem sıfatı doğrulanır hem de şikâyeti nereye yapacağınız belli olur.

Ceza boyutu kararda açıkça anılıyor. Kaza mağduruna ait verilerin hukuka aykırı biçimde ele geçirilmesi ya da başkasına verilmesi Türk Ceza Kanunu'nun 136. maddesindeki suçu oluşturabiliyor ve bu suçun cezası iki yıldan dört yıla kadar hapis. 137. madde nitelikli hâlleri düzenliyor; fiil kamu görevlisi tarafından ve görevin verdiği yetki kötüye kullanılmak suretiyle ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılıyor. Hastanede, sigorta acentesinde veya eksper firmasında çalışan birinin dosyayı dışarı sızdırması tam da bu ikinci bende oturuyor. Kurul ilke kararında hukuka aykırı uygulamaların Cumhuriyet başsavcılıklarına, ilgili bakanlıklara ve baro başkanlıklarına intikal ettirilebileceğini belirtti. İlgili kişiler bakımından ise Kanun'un 13. maddesi ve devamındaki usulün işletilebileceğini hatırlattı.

Peki veri tam olarak nereden sızıyor? Kaza anından sonra bilginiz kısa sürede uzun bir zincire giriyor: olay yerindeki çekici, hastane kaydı, adli rapor, kaza tespit tutanağı, eksper, anlaşmalı servis, acente, sigorta şirketinin çağrı merkezi ve dış hizmet sağlayıcıları. Zincirin her halkası ayrı bir erişim noktası, her erişim noktası da ayrı bir sızıntı ihtimali. Kurul tam bu noktaya bastı ve veri sorumlularından üç şey istedi: çalışanlara yönelik eğitim ve bilinçlendirme faaliyetlerinin gerçekleştirilmesi, kişisel verilere erişimde asgari yetki prensibi çerçevesinde yetki sınırlaması ile rol tabanlı erişim kontrollerinin ve takip mekanizmalarının kurulması, 12. madde uyarınca kişisel verilerin güvenliğini sağlamak amacıyla gerekli her türlü teknik ve idari tedbirin alınması. 12. maddenin kilit yanı şu: veriyi sızdıran tek bir çalışan olsa bile sorumluluk, uygun güvenlik düzeyini sağlamamış olan veri sorumlusunda kalıyor. "Bir personelimiz yapmış" cümlesi savunma değil, ihlalin kendisinin tarifi.

Sigorta şirketi, acente, eksper firması, hastane, servis ya da hukuk bürosu tarafındaysanız yapılacaklar listesi kısa ama sıkı. Dosya görüntüleme, dışa aktarma ve toplu sorgu işlemleri kayıt altına alınmalı; hangi kullanıcının hangi hasar dosyasını ne zaman açtığı aylar sonra sorulduğunda çıkarılabilmeli. Yetkiler role bağlanmalı, herkesin her dosyayı görebildiği ekranlar kapatılmalı. Olağan dışı erişim için basit bir kontrol kurulmalı; mesai dışında yüzlerce dosya açan bir kullanıcı ertesi sabah fark edilmeli. Çağrı merkezi, arşiv ve yazılım tedarikçileriyle ilişki yazılı veri işleyen sözleşmesine bağlanmalı, personel gizlilik taahhüdü imzalamalı, işten ayrılanların yetkileri aynı gün kapatılmalı. Rakamlar ertelemeyi pahalı kılıyor: 2026 yılı için aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL, Kurul kararlarının yerine getirilmemesi ise 427.263 TL ile 17.092.242 TL arasında idari para cezasına bağlı. İlke kararları Resmî Gazete'de yayımlanır ve yalnızca şikâyete konu olan şirketi değil, aynı durumdaki bütün veri sorumlularını bağlar.

Aranan taraf sizseniz sıra şöyle işliyor. Telefonda hiçbir şeyi onaylamayın, kimlik ve poliçe bilgilerinizi tekrar etmeyin, vekâletname için notere gitmeyi kabul etmeyin. Aramanın tarihini, saatini ve numarasını not edin, firmanın açık ticaret unvanını ve arayan kişinin adını isteyin. Ardından Kanun'un 11 ve 13. maddeleri uyarınca yazılı başvuru yapın: verinizin işlenip işlenmediğini, hangi kaynaktan elde edildiğini, hangi amaçla ve hangi hukuki sebebe dayanılarak işlendiğini, kimlere aktarıldığını sorun ve aynı yazıda 7. madde kapsamında silinmesini, silme işleminin aktarılan üçüncü kişilere bildirilmesini talep edin. Başvuruyu 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'in saydığı kanallardan biriyle gönderin, gönderim kaydını saklayın. Cevap en geç otuz günde gelmek zorunda. Gelmez, yetersiz kalır ya da reddedilirse 14. madde devreye giriyor: cevabı öğrendiğiniz tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyet edebilirsiniz. Paralelde savcılığa suç duyurusunda bulunabilir, karşı taraf avukatsa baroya, sigorta acentesi ya da eksperse Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumu'na bildirim yapabilirsiniz.

Hasar dosyalarınıza kimin eriştiği sisteminizde kayıtlı mı, çağrı merkezi ve eksper gibi tedarikçilerinizle veri işleyen sözleşmeniz var mı, müşteriyle ilk temasta yapılan aydınlatma yazılı bir metne dayanıyor mu? Bu üç sorunun cevabı yoksa 2026/1095 sayılı ilke kararı sizin için de yazılmış demektir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde hasar ve müşteri verisi akışınıza bakıp eksikleri sıralayabiliriz.

Randevu Al