Sigorta Şirketi Geçmiş Sağlık Kayıtlarımı Sorgulayabilir mi? Sigortacılıkta KVKK, SBM Kayıtları ve Acentenin Sorumluluğu

Kısa cevap: sorgulayabilir, ama kural olarak sizin açık rızanızla. Sağlık verisi 6698 sayılı Kanun'un 6. maddesinde özel nitelikli kişisel veri sayılıyor ve poliçe öncesi risk değerlendirmesi, aynı maddenin üçüncü fıkrasında sayılan diğer işleme şartlarına doğrudan oturmuyor. Rıza vermezseniz şirket geçmiş tanı ve tedavi bilgisine ulaşamaz, ulaşamadığı için riski fiyatlayamaz ve poliçe düzenlemeyi reddedebilir. Kurul 3 Eylül 2020 tarihli ve 2020/667 sayılı kararında tam bu duruma baktı; sağlık sigortası poliçesinin yenilenmesi için açık rıza istenmesini Kanuna aykırı bulmadı ve şikâyeti reddetti. Trafik ve kasko tarafındaki hasar geçmişiniz ise rızaya bağlı değil, çünkü o kayıtlar Sigorta Bilgi ve Gözetim Merkezi'nde kanun gereği tutuluyor. Sektörün en pahalı hatası da bu ikisini birbirine karıştırmak, yani zaten başka bir şarta dayanarak işlenebilen veriyi de aynı onay kutucuğunun arkasına koymak.

Sigortacılıkta dönen veriyi üç kümeye ayırmak işi kolaylaştırıyor. Birincisi poliçenin kurulması ve ifası için gereken kimlik, iletişim, adres, araç, meslek ve ödeme bilgisi. Bunlar için 5. maddenin ikinci fıkrasındaki sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma şartı ile kanunlarda açıkça öngörülme şartı çoğu zaman yeterli, üstüne bir de rıza istemeye gerek yok. İkincisi sağlık, ceza mahkûmiyeti ve benzeri özel nitelikli veriler; burada 6. madde rejimi işliyor ve hayat, ferdi kaza, tamamlayıcı ve özel sağlık ürünlerinde uygulama fiilen açık rızaya dayanıyor. Üçüncüsü pazarlama, çapraz satış ve profilleme; bu küme sözleşmenin ifası kapsamına girmiyor, hem açık rıza hem de 6563 sayılı Kanun kapsamında İYS onayı gerektiriyor. Aynı formda üç kümeyi tek imzayla toplayan acente, üç ayrı hatayı da tek seferde üretmiş oluyor.

Açık rızanın nerede biteceğini gösteren karar 20 Nisan 2021 tarihli ve 2021/389 sayılı karar. Bir sigorta şirketi, müşterilerinin internet platformu üzerinden poliçe ve bireysel emeklilik bilgilerine erişmesini tek bir onay kutucuğuna bağlamıştı; kutucuk işaretlenmediğinde sistemde hiçbir işlem yapılamıyordu, üstelik aydınlatma metni ile rıza beyanı aynı kutucukta birleştirilmişti. Kurul, 5. maddede sayılan diğer işleme şartları varken açık rıza alınmasının 4. maddedeki hukuka ve dürüstlük kurallarına uygun olma ilkesine aykırı düştüğünü, aydınlatma ile rızanın ayrı ayrı yapılması gerektiğini belirtti ve 250.000 TL idari para cezası uyguladı. 2020/667 ile birlikte okunduğunda kural nettir: rızayı yalnızca başka bir şarta dayanılarak işlenemeyen veri için isteyin, o rızayı ayrı bir kutucuğa alın ve hizmetin tamamını buna bağlamayın.

Sigorta Bilgi ve Gözetim Merkezi tarafı çoğu kişinin sandığından farklı çalışıyor. SBM, 5684 sayılı Sigortacılık Kanunu'nun 31/B maddesinin birinci fıkrasına dayanılarak, sektör birliği nezdinde tüzel kişiliği olan bir kurum olarak kuruldu; görevi sigortalılara ve sigorta sözleşmesinden dolaylı da olsa menfaat sağlayanlara ilişkin, yanlış sigorta uygulamaları dâhil risk değerlendirmesine esas bilgileri toplamak ve bunları üye şirketlerle paylaşmak. Merkez kimlik, iletişim, finans, poliçe, hasar, kaza ve ekspertiz bilgilerinin yanında sağlık ve ceza mahkûmiyeti verisi de işliyor ve kendi metinlerinde bu faaliyet bakımından veri sorumlusu olduğunu açıkça yazıyor. Buradan çıkan pratik sonuç şu: hasar kaydınızın SBM'de tutulması için rızanız aranmıyor, dolayısıyla "rızamı geri çekiyorum" diyerek kaydı sildiremezsiniz. Kaydın hatalı olduğunu düşünüyorsanız yol farklı; 11. madde kapsamında düzeltme talep eder, sonuç alamazsanız Kurula şikâyet, Sigorta Tahkim Komisyonu ya da mahkeme yolunu kullanırsınız. Ücret karşılığı hasar kaydı sildirme vaadiyle gelen tekliflerin hukuki bir karşılığı yok.

Acentelerin durumu ise sıfat sorusuyla başlıyor ve cevabı Kurul'un 16 Haziran 2020 tarihli, 2020/466 sayılı kararında görmek mümkün. Bir acentenin bilgisayarına yetkisiz erişim sağlanmış, 172 kişinin kimlik ve finans verisi, bu arada ruhsat bilgileri ve kredi kartı verileri etkilenmişti. Kurul, sigorta şirketini veri sorumlusu, acenteyi veri işleyen olarak niteledi ve cezayı şirkete kesti. Tabloda ne çıktığı önemli: bilgisayarda antivirüs yazılımı yoktu, işletim sistemi Windows 7'ydi, veri yedeklemesi bulunmuyordu, personel eğitimi ancak ihlalden sonra verilmişti ve veri sorumlusu veri işleyeni hiç denetlememişti. İhlal 13 Şubat 2020'de gerçekleşmiş, 20 Şubat'ta fark edilmişti; 95 kişiye hiç bildirim yapılmamış, 77 kişiye bir aydan uzun gecikmeyle ulaşılmıştı. Sonuç 12. maddenin birinci ve beşinci fıkralarından 172.000 TL idari para cezası. "Olay acentede oldu" cümlesi bir savunma değil, denetim yükümlülüğünün ihlal edildiğinin itirafı.

Buradan acentenin hiçbir sorumluluğu yok sonucunu çıkarmak da yanlış olur. Acente, sigorta şirketinin nam ve hesabına yürüttüğü işlemler bakımından veri işleyendir; ama kendi personelinin özlük dosyası, ofis kamerası, ziyaretçi defteri, kendi web sitesindeki teklif formu, henüz hiçbir şirkete iletilmemiş potansiyel müşteri listesi ve çağrı kayıtları bakımından veri sorumlusudur. Birden fazla şirketle çalışan bir acentede bu ayrım daha da keskinleşiyor, çünkü müşteriye hangi şirketin ürününün teklif edileceğine acente karar veriyor ve o karar için topladığı veriyi kendi amacıyla işliyor. Karma sıfatın somut karşılığı şu: acentenin çalıştığı şirketlerin aydınlatma metinlerine sığınması yetmez, kendi aydınlatma metnini, kendi veri envanterini, kendi saklama ve imha politikasını ve kendi başvuru sürecini kurması gerekir.

VERBİS sorusunun cevabı 2025'te değişti. Kurul'un 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararına göre ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumlularından yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olanlar Sicile kayıttan muaf. Ana faaliyeti özel nitelikli veri işlemek olanlar içinse eşik çok daha aşağıda: 10 çalışan ve 10 milyon TL. Bir acentenin ana faaliyeti sigorta aracılığı yapmaktır, sağlık verisi işlemesi bu faaliyetin yanında yürür, dolayısıyla tipik bir acente ilk gruptaki eşiklere bakar ve çoğu kez muafiyetten yararlanır. Sigorta ve emeklilik şirketleri ile büyük broker yapıları bu eşiklerin çok üstünde kalır. İki noktayı atlamayın: veri işleyen sıfatıyla yaptığınız işlemeler için kayıt gerekmez, ama kendi veri sorumlusu olduğunuz işlemeler eşik hesabına dahildir. Sicile kayıttan muaf olmak da aydınlatma, veri güvenliği, saklama süresi belirleme ve başvuru cevaplama yükümlülüklerini ortadan kaldırmaz.

Sigortacılıkta KVKK'nın üzerine oturan ikinci bir gizlilik katmanı var. 5684 sayılı Kanun'un 31/A maddesi sır saklama yükümlülüğünü düzenliyor ve sigorta şirketleri, reasürans şirketleri, aracılar, aktüerler ile sigorta eksperlerinin ve bunların yanlarında çalışanların işleri dolayısıyla öğrendikleri bilgi ve sırları ilgililerin izni olmaksızın açıklayamayacağını söylüyor; suç teşkil eden hâllerin yetkili mercilere bildirilmesi bunun dışında tutulmuş. Kanun "aracı" derken acenteyi de kastediyor, yani yükümlülük doğrudan acentenin üzerinde. Ceza tarafı ise Türk Ceza Kanunu'na bağlanıyor: kişisel verileri hukuka aykırı olarak başkasına verme, yayma veya ele geçirme fiili 136. maddede iki yıldan dört yıla kadar hapisle cezalandırılıyor, 137. madde fiilin belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde cezayı yarı oranında artırıyor. İşten ayrılırken müşteri listesini kopyalayan personel, acentelik ilişkisi biterken portföyü yanında götüren teknik personel ve tanıdığının poliçesini merak edip ekranda sorgulayan çalışan aynı maddenin kapsamında.

Teknik tedbir tarafında sektörün üst segmenti zaten sıkı bir rejime tabi. 25 Kasım 2021 tarihli ve 31670 sayılı Resmî Gazete'de yayımlanan Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik sigorta, reasürans ve emeklilik şirketleri, SBM gibi özel kuruluşlar ve tüzel kişi brokerler için iç kontrol, risk yönetimi ve iç denetim yapısı ile bilgi sistemlerine ilişkin kurallar getiriyor. Acenteler bu yönetmeliğin muhatabı değil, ama 6698'in 12. maddesi büyüklükten bağımsız olarak herkesi bağlıyor. Bir acentede uygun güvenlik düzeyi şu anlama geliyor: her kullanıcıya kendi hesabı, rol bazlı yetki, poliçe ve hasar ekranlarında görüntüleme kayıtlarının tutulması, işten ayrılanın erişiminin aynı gün kapatılması, güncel işletim sistemi ve güncel antivirüs, düzenli ve test edilmiş yedekleme. Özel nitelikli veriler için Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı ayrıca şart koyuyor; sağlık raporu ve tetkik sonucu e-posta ile gönderilecekse şifreli biçimde kurumsal e-posta ya da KEP üzerinden gönderilmeli. Müşteriden WhatsApp'tan epikriz raporu isteyip cihazın galerisinde bırakmak bu standardın çok altında kalıyor.

Saklama süreleri sigortacılıkta "ne olur ne olmaz, dursun" mantığıyla yönetiliyor ve en kolay düzeltilebilecek eksik de bu. Türk Ticaret Kanunu'nun 1420. maddesi sigorta sözleşmesinden doğan bütün istemlerin alacağın muaccel olduğu tarihten itibaren iki yılda, sigorta tazminatına ve sigorta bedeline ilişkin istemlerin ise her hâlde rizikonun gerçekleştiği tarihten itibaren altı yılda zamanaşımına uğradığını söylüyor. Ticari defter ve belgeler bakımından da onuncu yılın sonuna kadar saklama kuralı var. Bu süreler poliçe ve hasar dosyası için bir çerçeve verir, ama satışa dönüşmemiş teklif formundaki sağlık beyanı ya da reddedilen bir başvurunun ekindeki rapor için aynı süreyi kullanmak savunulabilir değil. Kategori bazlı bir tablo çıkarın: teklif verisi, poliçe verisi, hasar dosyası, çağrı kaydı, aday ve personel verisi, kamera kaydı. Her satır için süreyi ve dayanağını yazın, süre dolduğunda ne yapılacağını periyodik imha sürecine bağlayın.

Son bir başlık, şikâyetlerin en çok geldiği yer: yenileme aramaları ve çapraz satış. Poliçenizin bitiş tarihini bilen bir acentenin sizi araması ile hiç ilişkinizin olmadığı bir acentenin araması hukuken aynı şey değil. Kurul'un 3 Ağustos 2022 tarihli ve 2022/768 sayılı kararı bu çizgiyi net biçimde çekti; bir bankanın müşteri iletişim bilgilerini sigorta şirketine aktarmasını inceleyen Kurul, ileride çıkacak ürünleri de kapsayacak biçimde yazılmış geniş pazarlama onaylarının ve önceden işaretlenmiş kutucukların geçerli açık rıza sayılmayacağını belirterek 250.000 TL idari para cezası uyguladı. Acentelik ilişkisi sona erdiğinde eski portföyün kişisel verilerini yeni çalışılan şirket için kullanmak da aynı sorunun başka bir görünümü. Aramadan önce şu üç soruyu cevaplayın: bu numarayı hangi kaynaktan aldım, hangi hukuki sebeple işliyorum, ticari elektronik ileti gönderiyorsam İYS onayım var mı.

Rakamlar ertelemenin bedelini gösteriyor. 2026 yılı için aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasına bağlı ve bu tutarlar acente ile şirket arasında ayrım yapmıyor. Bir acentede uyumun somut çıktısı aslında kısa bir liste: kendi aydınlatma metniniz, ayrı ayrı alınmış rıza beyanları, kategori bazlı saklama süreleri, rol bazlı yetkilendirme, çalıştığınız şirketlerle imzalı veri işleyen hükümleri ve gerçekten uygulanabilir bir ihlal müdahale planı. KVKK Danışman olarak sigorta acenteleri, brokerler ve eksper firmaları için ücretsiz ön değerlendirme yapıyoruz; mevcut metinlerinizi ve ekran yetkilerinizi inceleyip hangi eksiğin sizi gerçekten riske attığını yazılı olarak paylaşıyoruz.

Randevu Al