Trafik veya iş kazası geçiren kişilerin, olayın hemen ardından, daha önce tanımadıkları ve iletişim kurmadıkları hasar danışmanlık şirketleri ya da aracılar ya da kendilerini avukat olarak tanıtan kişiler tarafından aranması uzun süredir gündemde. Üstelik arayan kişiler kimi zaman kazanın yeri, araç plakası, yaralanma durumu ve tazminat süreci gibi kamuya açık olmayan bilgilere de sahip olabiliyor. Kazazedelere tazminat alabilecekleri söylenerek vekâlet vermelerinin teklif edildiği, ısrarlı aramalar yapıldığı ve bazı durumlarda mağdurun talimatı olmaksızın adına işlemler gerçekleştirildiği yönündeki şikâyetler çoğalınca, Kişisel Verileri Koruma Kurumunun bu konuyu ele aldığı görülüyor.
Kişisel Verileri Koruma Kurulunun 20 Mayıs 2026 tarihli ve 2026/1095 sayılı İlke Kararı, 1 Temmuz 2026 tarihli Resmî Gazete’de yayımlandı. Kararda, kazazedelere ait verilerin yalnızca soruşturma, tedavi, hasar tespiti, sigortacılık ve tazminat işlemleri gibi meşru amaçlarla kullanılabileceği vurgulandı. Verileri işleyen kurumların çalışanlarını bilinçlendirmesi, erişim yetkilerini sınırlandırması, rol tabanlı erişim ve takip mekanizmaları kurması istendi.
Ancak konu yeni değil. Türkiye Barolar Birliği, 2019’dan itibaren hasar danışmanlık şirketi adı altında yürütülen hukuka aykırı faaliyetlere dikkat çekti. TBB tarafından 2024’te özel bir ihbar sistemi kuruldu. Bazı şirketler hakkında idari para cezası, reklam durdurma ve erişim engeli kararları uygulandı. İçişleri Bakanlığı da 18 Kasım 2024 tarihli yazısıyla kazaya ilişkin verilere erişebilen kurumların ilave tedbirler almasını, denetimleri artırmasını ve hukuka aykırı paylaşım yapanlar hakkında soruşturma başlatılmasını istedi.
Tüm bu tedbirlere rağmen şikâyetlerin devam etmesi, farklı kurumlar arasında dolaşan kaza verilerinin güvenliğine ilişkin yapısal bir sorun bulunduğunu gösteriyor. Konunun kişisel verilerin korunması, veri güvenliği ve hukuki sorumluluk boyutlarını Köksal & Partners avukatlarından Yavuz Selim Dicle ile konuştuk.
“Teorik koruma, fiilen işlemiyordu”
Dicle’ye göre İlke Kararı, yeni bir koruma alanı oluşturmaktan çok mevcut yükümlülükleri kaza verileri bakımından somutlaştırıyor:
“Kaza mağdurları KVKK kapsamında zaten korunan bireylerdir; ancak sorun, teorik korumanın fiilen işlememesidir. İş kazaları, trafik kazaları veya benzeri olumsuz olaylar neticesinde adli ve idari soruşturmaların yürütülmesi, mağdurların tedavi süreçlerinin yönetilmesi ve hasara uğrayan araçların onarımı gibi işlemlerin tesisi amacıyla mağdurlara ait kişisel verilerin işlenmesi mümkündür. Ancak bu kişisel veriler yalnızca kaza sonrası süreçlerin yönetimi amacıyla sınırlı olarak işlenebilir.”
Kararın çalışan eğitimi, erişim yetkileri ve teknik kontroller konusunda açık bir çerçeve çizdiğini belirten Dicle şöyle devam etti:
“Kararın getirdiği en somut yenilik; kaza mağdurlarına ait verileri işleyen veri sorumlularının çalışanlarına eğitim ve bilinçlendirme yapması, asgari yetki prensibi çerçevesinde yetki sınırlaması, rol tabanlı erişim kontrolleri ve takip mekanizmaları kurmasıdır. Daha önceki genel yükümlülükler soyuttu. Bu karar hangi sektörün, hangi veriler için, hangi teknik önlemleri almak zorunda olduğunu somutlaştırmıştır. Bu açıdan mevcut yükümlülüklerin üzerine ‘sektörel bağlayıcı uygulama standardı’ eklenmiştir.”
“Sorun sistemik bir veri akışı zinciri”
Dicle, önceki tedbirlerin yetersiz kaldığını ancak bunun yalnızca hukuki eksikliklerle açıklanamayacağını söylüyor:
“Evet, yetersiz kaldıklarını söylemek mümkündür; ancak bunun nedeni salt hukuki eksiklik değil, yapısal bir sorunun varlığıdır. Kurallar ortaya konulsa da sorunun kaynağının tespit edilmesi zaman almıştır. Kurum, sigorta şirketleri ve sigorta sektöründe faaliyet yürüten kamu veya kamu niteliğindeki kuruluşlarla çok sayıda soruşturma ve bilgi alışverişi faaliyeti yürütmüştür.”
Sorunun sigorta şirketleriyle sınırlı olmadığının zaman içinde anlaşıldığını belirten Dicle, farklı veri sorumlularının aynı zincirin parçası olduğunu ifade etti:
“Sigorta sektörünün diğer paydaşları eksikliklerini giderdikçe sorunun devam ettiği anlaşılmış; eksperler, tamir şirketleri ve diğer veri sorumlularına yönelinmiştir. Sorunun birden fazla veri sorumlusunu kapsayan sistemik bir veri akışı zinciri olduğu gerçeği, tek bir kurum ya da sektör düzeyindeki önlemlerle çözülemiyordu. İlke Kararı bu zincirin tamamını, kaynak kurumdan verileri kullanana kadar, tek bir çerçeveye bağlamaktadır.”
Çok aktörlü yapı sızıntı riskini artırıyor
Kolluk kuvvetleri, sağlık kuruluşları, 112 merkezleri, SGK, sigorta şirketleri ve eksperler kaza sonrasında farklı amaçlarla veri işleyebiliyor. Ancak bu verilerin yalnızca görevle bağlantılı ve gerekli ölçüde kullanılması gerekiyor.
“Bir kişinin adı, soyadı, telefon numarası, plakası, kaza tespit tutanağı, sigorta poliçesi, hastane raporu, tedavi bilgisi, maluliyet oranı, araç hasar fotoğrafları ve tazminat dosyası kişisel veri niteliği taşıyabilir. Yaralanmalı trafik kazası veya iş kazası varsa konu daha da hassas hâle gelir. Sağlık raporu, epikriz belgesi, tedavi evrakı, iş göremezlik raporu ve maluliyet bilgisi özel nitelikli kişisel veri kapsamına girebilir.”
Dicle, verinin çok sayıda kurum ve çalışan tarafından görülebilmesinin tek başına önemli bir güvenlik riski yarattığını belirtiyor:
“Mesleki görevlerini icra eden kişi ve kurumlar, kendilerine tevdi edilen kişisel verileri yalnızca görevlerinin gerektirdiği amaçlarla kullanmalı, yetkisiz üçüncü kişilerle paylaşmamalı ve sır saklama yükümlülüğüne azami surette riayet etmelidir. Yapının çok taraflı olması veri sızıntısı riskini artıran bir faktördür.”
Yetkisiz arama güçlü bir gösterge olabilir
Kazazedenin olaydan kısa süre sonra tanımadığı kişilerce aranması, veri sızıntısının kaynağını tek başına göstermese de hukuka aykırı veri erişimine ilişkin önemli bir emare oluşturuyor.
“Güçlü bir göstergedir; hatta belirli koşullarda fiili kanıt niteliği taşıyabilir. Telefon numarası da kişisel veridir. Üstelik telefon numarasının kaza bilgisiyle birlikte kullanılması, kişiyi doğrudan belirli bir olayın mağduru olarak tanımlanabilir hâle getirir.”
Arayan kişinin kamuya açık olmayan ayrıntılara sahip olması şüpheyi daha da güçlendiriyor:
“Arayan kişinin kazanın yeri, zamanı, yaralanma durumu veya araç bilgisi gibi kamuya açık olmayan ayrıntılara sahip olması, geçerli bir hukuki işleme şartı olmaksızın kişisel veriye erişildiğini ortaya koyar. Kurul incelemelerinde, kimlik ve iletişim bilgileri ile diğer kişisel verileri içeren kaza tutanaklarının farklı kanallar üzerinden bu kişilerin eline geçtiği anlaşılmıştır.”
Tedbirler sistemlerde ve kurum kültüründe görünür olmalı
Dicle’ye göre önceki uyarılara rağmen şikâyetlerin sürmesi, erişim ve denetim mekanizmalarının yeterli ölçüde uygulanmadığını gösteriyor:
“Kaza verilerini veri tabanlarında tutan kurumlar, bu verilere personelin erişim yetkilerini log kayıtlarıyla saniye saniye izlemek ve dışarı veri sızıntısını engelleyecek siber güvenlik duvarlarını kurmakla yükümlüdür. Ancak özellikle kamu otoritelerinde bu tedbirler uygulanmaya çalışıldığında, iş süreçlerinin aksadığı veya yavaşladığı gibi gerekçelerle direnç gösterilebiliyor.”
Kurumsal uyumun yalnızca politika ve prosedür hazırlamakla sınırlı kalmaması gerekiyor:
“Kişisel verilerin korunması yalnızca mevzuat metinlerine sahip olmakla sağlanmaz. Uyumun gerçek karşılığı; sistemlerde, süreçlerde, yetkilerde, loglarda, sözleşmelerde ve kurum kültüründe görünür hâle gelmelidir.”
Dicle’ye göre emniyet ve jandarma sistemlerinde kaza tutanaklarına erişim yalnızca görevli personelle sınırlandırılmalı ve her erişim kullanıcı bazında kaydedilmeli. Sağlık kuruluşları ile 112 merkezlerinde hasta ve kaza bilgilerine rol bazlı erişim sağlanmalı; sigorta eksperlerinin veri kullanımı ise hasar tespiti ve raporlama görevleriyle sınırlı tutulmalı.
Sızıntının kaynağı nasıl bulunabilir?
Aynı verinin birden fazla kurumda bulunması, sızıntının kaynağını belirlemeyi güçleştirse de erişim kayıtları üzerinden geriye dönük bir inceleme yapılabilir:
“İhlal tarihinden geriye dönük log kayıtlarının analizinde söz konusu kaza dosyasına hangi kullanıcının, hangi saat aralığında, hangi cihazdan eriştiği tespit edilmelidir. Bu erişim zamanlarının hasar danışmanlık şirketinin mağdurla temas kurduğu zamanla örtüşüp örtüşmediği karşılaştırılmalıdır. Birden fazla kurumda aynı anda kayıt görüntülenmişse hangisinin önce eriştiği belirlenebilir.”
Dicle, soruşturmaların yalnızca mağduru arayan veya dolandırıcılık yapan kişiye odaklanmasının yeterli olmadığını vurguluyor:
“Özellikle ceza soruşturmaları bu konuda yüzeysel kalabilmektedir. Dolandırıcılık suçunun failine ulaşıldığında, bu eylemlere sebebiyet veren veri sızıntısının kaynağı bazen göz ardı edilerek süreç sonuçlandırılmaktadır.”
Caydırıcılık, tespit edilme olasılığına bağlı
İlke Kararı’na uymayan veri sorumluları hakkında KVKK kapsamında işlem yapılabilecek. Ancak Dicle, bu faaliyetlerin karar yayımlanmadan önce de hukuka aykırı olduğunu hatırlatıyor:
“İlke Kararı olmasa da bu hususlar yasaya aykırıydı ve yaptırımlar zaten uygulanacaktı. Ancak ilke kararlar uygulama farkındalığının artmasının ve bu konularda soruşturmaların çoğalacağının bir göstergesidir.”
Kararın etkili olup olmayacağını yalnızca ceza miktarı belirlemiyor:
“Caydırıcılık sorusu üç bileşene bağlıdır: yaptırımın ağırlığı, tespit edilme olasılığı ve denetim sıklığı. Şu ana kadar uygulanan cezaların caydırıcılığı sınırlı kaldıysa bunun en önemli nedeni tespit mekanizmasının zayıflığıdır. İlke Kararı bu açığı log kayıtları ve takip mekanizması zorunluluğuyla kapatmaya çalışmaktadır; ancak kararın uygulanmasının denetlenmesi için KVKK’nın sahada etkin bir denetim kapasitesine ihtiyacı vardır.”
Mağdurlar ne yapmalı?
Şüpheli bir aramayla karşılaşan kazazedelerin arama kayıtlarını, ekran görüntülerini, mesajları ve arayan kişinin sahip olduğu bilgilere ilişkin notları saklaması gerekiyor.
“Gelen aramanın ekran görüntüsü ve arama kaydı, arayan kişinin kendini nasıl tanıttığı ve hangi bilgilere sahip olduğuna dair not, aramanın tarih ve saati, varsa sesli mesaj kritik delillerdir. Kişisel verilerinin hukuka aykırı biçimde işlendiğini düşünen mağdurlar, ilgili veri sorumlusuna başvurduktan sonra Kurula şikâyette bulunabilir. Bunun yanı sıra Türk Ceza Kanunu’nun 136. maddesi kapsamında Cumhuriyet Başsavcılığına suç duyurusunda bulunmak da mümkündür.”
GDPR ile KVKK arasındaki temel farklar
Dicle’ye göre GDPR (AB Genel Veri Koruma Yönetmeliği) ile KVKK’nın temel yaklaşımı benzer olsa da yaptırım ve ihlal bildirimi konusunda önemli farklılıklar bulunuyor:
“GDPR ve KVKK’nın bu konudaki yaklaşımı özünde benzerdir; her ikisi de amaca bağlılık, veri minimizasyonu ve güvenlik yükümlülükleri ilkelerine dayanmaktadır. Ancak GDPR kapsamında yıllık küresel cironun yüzde 4’üne kadar ulaşabilen cezalar, sektörel caydırıcılık bakımından çok daha güçlü bir etki yaratmaktadır. KVKK’nın ceza tavanları GDPR’ın ölçeğine ulaşamamaktadır.”
“GDPR’ın ihlal bildirimi konusunda çok daha detaylı düzenlemeleri vardır. KVKK henüz o detayda mevzuatsal dayanağa sahip değildir. Bu nedenle mevzuat; Kurul kararları, ilke kararlar ve rehberlerle açıklanmaya ve somutlaştırılmaya çalışılmaktadır.”
Konuyu özetlemek gerekirse, Yeni İlke Kararı, uzun süredir bilinen bir sorunu yalnızca izinsiz arama veya yetkisiz hukuki hizmet teklifi olarak değil, verinin toplandığı andan üçüncü kişilerin eline geçtiği ana kadar uzanan bir güvenlik zinciri olarak ele alıyor.
Kararın gerçek etkisi, kurumların bundan sonra şüpheli erişimleri ne ölçüde izleyeceği ve veri sızıntısının kaynağına kadar gidilip gidilmeyeceğiyle ölçülecek. Kazazedeyi arayan kişiyi tespit etmek yeterli değil; o kişinin kazaya ilişkin bilgilere hangi kurum, sistem veya çalışan üzerinden ulaştığının da ortaya çıkarılması gerekiyor.
Kaynak : 