Kişisel Verileri Koruma Kurulu’nun (“Kurul”) trafik kazası mağdurlarının kişisel verilerinin işlenmesine ilişkin 20/05/2026 tarihli ve 2026/1095 sayılı İlke Kararı 01 Temmuz 2026 tarihli, 33297 sayılı Resmî Gazete’de yayımlanmıştır.
İşbu bilgi notumuz kapsamında; kaza mağdurlarına ait kişisel verilerin hukuka aykırı şekilde elde edilmesi ve kullanılması, hasar danışmanlık şirketleri ile benzer oluşumların faaliyet sınırları, sigorta eksperleri ve avukatlar bakımından dikkat edilmesi gereken hususlar ile veri sorumlularının veri güvenliğine ilişkin yükümlülükleri ele alınmaktadır.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi; ilgili kişi, kişisel verisi işlenen gerçek kişiyi; veri sorumlusu ise kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen gerçek veya tüzel kişiyi ifade etmektedir.
Kaza mağdurlarına ilişkin kişisel veriler; mağdurun adı, soyadı, iletişim bilgileri, kimlik bilgileri, kaza bilgileri, sağlık verileri, sigorta dosyasına ilişkin bilgiler, araç hasar bilgileri, tazminat sürecine ilişkin kayıtlar ve vekalet ilişkisine konu olabilecek sair bilgileri kapsamaktadır. Bu veriler, özellikle kaza sonrasında mağdurun sağlık durumu, ekonomik hakları ve hukuki süreciyle doğrudan bağlantılı olduğundan hukuka aykırı şekilde işlenmesi halinde ilgili kişiler bakımından ciddi mağduriyetlere yol açabilecek niteliktedir.
A. Kaza Mağdurlarının Kişisel Verilerinin Hukuka Aykırı Şekilde Elde Edilmesi ve Kullanılması
Kurul kararına konu süreçte; hasar danışmanlık şirketi veya benzer isimlerle faaliyet gösteren kuruluşların temsilcileri, avukatlar yahut kendilerini avukat olarak tanıtan ancak baro levhası sorgulamasında avukat olmadığı tespit edilen kişiler tarafından iş kazası, trafik kazası veya benzeri olumsuz olayların mağdurlarıyla iradeleri dışında iletişime geçildiğine ilişkin çok sayıda şikâyetin Kişisel Verileri Koruma Kurumu’na (“Kurum”) intikal ettiği belirtilmiştir.
Bu kapsamda mağdurlara, kendilerine vekalet vermeleri halinde tazminat alacaklarının takip edilebileceği veya gerekli başvuruların yapılabileceği yönünde vaatlerde bulunulduğu; mağdurların ise bu kişilerin kendilerine ve kazaya ilişkin bilgilere nasıl ulaşıldığı konusunda tatmin edici cevap alamadığı ifade edilmiştir.
Kurul’un değerlendirmesine göre kaza mağdurlarına ait kişisel verilerin, ilgili kişinin bilgisi veya talimatı olmaksızın elde edilmesi, üçüncü kişilerle paylaşılması veya ticari/mesleki faaliyet kapsamında kullanılması 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) bakımından hukuka aykırı veri işleme faaliyeti niteliği taşıyabilecektir. Bu durumun yalnızca idari yaptırım riski doğurmakla kalmayıp somut olayın özelliklerine göre Türk Ceza Kanunu kapsamında cezai sorumluluk da gündeme getirebileceği ifade edilmiştir.
B. Hasar Danışmanlık Şirketleri ve Benzeri Oluşumların Faaliyet Sınırları
Kararda özellikle hasar danışmanlık şirketleri veya benzer adlarla faaliyet gösteren oluşumların, kaza mağdurlarına ait kişisel verilere erişimi ve bu verileri kullanarak mağdurlarla iletişime geçmesi üzerinde durulmuştur.
5684 sayılı Sigortacılık Kanunu’nun Ek 6. maddesi uyarınca, sigortacılık yapan kurum veya kuruluşlardan ya da hesaptan talep edilecek tazminat alacağının kimler tarafından takip edilebileceği düzenlenmiş; tazminat alacağının yalnızca hak sahibine veya avukatına ödenebileceği ve bu alacağın kimseye devredilemeyeceği hüküm altına alınmıştır. Kararda ayrıca, bu düzenlemeye aykırı sözleşme ve işlemlerin hükümsüz olacağına da değinilmiştir.
Bu çerçevede Kurul, 5684 sayılı Kanun’dan kaynaklanan tazminat alacaklarının ancak ilgili düzenlemede öngörülen kişiler tarafından takip edilebileceğini; hasar danışmanlık şirketleri veya benzeri oluşumların, avukatlık faaliyeti kapsamında değerlendirilebilecek işlemleri doğrudan veya dolaylı şekilde yürütmesinin hukuki ve cezai sorumluluk doğuracağını değerlendirmiştir.
Dolayısıyla kaza mağdurlarının kişisel verilerine hukuka aykırı şekilde erişilmesi ve bu verilerin vekalet alınması, dosya yönlendirilmesi veya tazminat takibi amacıyla kullanılması hem kişisel verilerin korunması mevzuatı hem de sigortacılık ve avukatlık mevzuatı bakımından riskli bir faaliyet alanı olarak kabul edilmektedir.
C. Avukatlar ve Avukat Gibi Hareket Eden Kişiler Bakımından Değerlendirme
İlgili İlke Kararı’nda, bazı kişilerin kendilerini avukat olarak tanıtmasına rağmen baro levhası sorgulamasında kayıtlarının bulunmadığının tespit edildiği yönündeki şikayetlere de yer verilmiştir. Bu husus hem kişisel verilerin korunması hukuku hem de avukatlık mesleğinin yetki sınırları bakımından önem arz etmektedir.
Kaza mağdurlarının kişisel verilerinin hukuka uygun bir işleme şartı bulunmaksızın elde edilmesi, mağdurlarla iradeleri dışında iletişim kurulması ve bu kişilerin vekalet vermeye yönlendirilmesi, Kanun bakımından hukuka aykırı veri işleme faaliyeti oluşturacaktır. Ayrıca mağdur adına herhangi bir bilgi veya talimat olmaksızın iş ve işlem yapılması, temsil yetkisi ve mesleki sorumluluk bakımından da ayrıca değerlendirilmelidir.
Kurul, kişisel verilerin hukuka aykırı şekilde verilmesi veya ele geçirilmesi fiillerinin Türk Ceza Kanunu’nun 136. maddesinde düzenlenen “verileri hukuka aykırı olarak verme veya ele geçirme” suçu kapsamında değerlendirilebileceğini; ayrıca bu suçun nitelikli halleri bakımından da cezai sorumluluk gündeme gelebileceğini belirtmiştir.
Bu nedenle avukatlar, avukatlık ortaklıkları ve avukatlarla iş ilişkisi içinde bulunan kişiler bakımından, kaza mağdurlarına ait kişisel verilerin hangi kaynaktan elde edildiği, hangi hukuki sebebe dayanılarak işlendiği, ilgili kişiyle nasıl iletişime geçildiği ve verilerin kimlerle paylaşıldığının açık ve denetlenebilir olması önem arz etmektedir.
D. Sigorta Eksperleri Bakımından Kişisel Veri İşleme Faaliyetleri
Kurul kararında sigorta eksperleri bakımından daha farklı bir değerlendirme yapılmıştır. Buna göre sigorta eksperleri, sigortacılık mevzuatının kendilerine yüklediği yasal görevler doğrultusunda kişisel veri işleme faaliyetinde bulunabilecektir.
Ancak bu yetki sınırsız değildir. Sigorta eksperlerinin görevleri gereği edindikleri kişisel verileri yetkisiz üçüncü kişilere aktarmaları halinde Kanun’a aykırılık söz konusu olacaktır. Özellikle kaza mağduruna ait kimlik, iletişim, sağlık, hasar veya sigorta dosyası bilgilerinin hasar danışmanlık şirketleri, aracı kişiler, yetkisiz kişi veya kuruluşlar ile paylaşılması hukuka aykırı veri aktarımı kapsamında kabul edilebilecektir.
Kurul ayrıca, sigorta eksperlerinin Kanun’da öngörülen işleme şartlarına dayanmaksızın gerçekleştireceği kişisel veri işleme faaliyetlerinin Türk Ceza Kanunu’nun 136. maddesinde düzenlenen kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçuna sebebiyet verebileceğini değerlendirmiştir.
Bu nedenle eksperlik faaliyeti kapsamında işlenen kişisel veriler yalnızca ilgili dosyanın yürütülmesi, hasarın tespiti, sigorta sürecinin yönetilmesi ve mevzuattan kaynaklanan görevlerin yerine getirilmesi amacıyla kullanılmalı; bu amaçların dışına çıkılarak üçüncü kişilere aktarılmamalıdır.
E. Kaza Sonrası Süreçlerde Hukuka Uygun Veri İşleme Halleri
Kurul, kaza sonrası süreçlerde kişisel veri işlenmesinin her durumda hukuka aykırı olmadığının da altını çizmiştir. İş kazası, trafik kazası veya benzeri olumsuz olaylar sonrasında; adli veya idari soruşturmanın yürütülmesi, mağdurun tedavi edilmesi, kazaya konu aracın onarılması, sigorta hasar dosyasının yürütülmesi ve tazminat süreçlerinin yönetilmesi gibi amaçlarla kişisel veri işlenmesi mümkün olabilecektir.
Ancak bu veri işleme faaliyetinin hukuka uygun kabul edilebilmesi için verilerin yalnızca görevli ve yetkili kişiler tarafından, belirli ve meşru amaçlarla, ilgili mevzuat sınırları içinde ve Kanun’da öngörülen işleme şartlarına uygun şekilde işlenmesi gerekmektedir.
Bu kapsamda kaza mağdurlarına ait kişisel veriler, kaza sonrası sürecin yönetilmesi amacıyla işlenebilecek; ancak mağdurdan vekalet alınması, dosya yönlendirilmesi, ticari kazanç sağlanması veya yetkisiz kişilerce iletişime geçilmesi gibi amaçlarla kullanılamayacaktır.
F. Veri Sorumlularının Dikkat Etmesi Gereken Hususlar
İlke Kararı sonrasında sigorta şirketleri, eksperlik şirketleri, sağlık kuruluşları, araç servisleri, avukatlık büroları, hasar süreçlerinde görev alan şirketler ve kaza mağdurlarına ilişkin kişisel verileri uhdesinde bulunduran tüm veri sorumlularının mevcut veri işleme süreçlerini gözden geçirmesi gerekmektedir.
Bu kapsamda özellikle aşağıdaki hususlar önem taşımaktadır:
• Kaza mağdurlarına ilişkin kişisel verilerin hangi hukuki sebebe dayanılarak işlendiği açık şekilde belirlenmelidir.
• Kişisel verilere erişim, yalnızca görev tanımı gereği bu verilere erişmesi gereken kişilerle sınırlandırılmalıdır.
• Çalışanlara kişisel verilerin korunması konusunda eğitim ve bilinçlendirme faaliyetleri verilmelidir.
• Kişisel verilere erişimde asgari yetki ilkesi uygulanmalı; rol tabanlı erişim kontrolleri ve takip mekanizmaları kurulmalıdır.
• Kaza mağdurlarına ait verilerin hasar danışmanlık şirketleri, aracı kişiler veya yetkisiz üçüncü kişilerle paylaşılmasını önleyecek teknik ve idari tedbirler alınmalıdır.
• Kişisel verilerin hangi amaçla işlendiği, kimlerle paylaşıldığı, ne kadar süre saklandığı ve nasıl imha edileceği açık şekilde belirlenmelidir.
• Veri işleme envanteri, aydınlatma metinleri, saklama ve imha politikaları, bilgi güvenliği prosedürleri ve üçüncü kişi aktarım süreçleri bu İlke Kararı doğrultusunda gözden geçirilmelidir.
• Yetkisiz veri aktarımı veya hukuka aykırı erişim ihtimaline karşı loglama, erişim kayıtlarının takibi, yetkilendirme kontrolleri ve düzenli denetim mekanizmaları uygulanmalıdır.
Kurul, bu önlemleri almaksızın Kanun hükümlerine aykırı şekilde uygulamaya devam eden ve İlke Kararı’nda belirtilen hususlara uygun hareket etmeyen veri sorumluları hakkında Kanun’un 18. maddesi çerçevesinde işlem tesis edileceğini belirtmiştir.
G. Gaşvuru, Şikâyet ve Yaptırım Süreci
Kaza mağdurlarına ait kişisel verilerin hukuka aykırı şekilde işlendiği, elde edildiği veya üçüncü kişilere aktarıldığı durumlarda ilgili kişiler, Kanun’un 13. maddesi ve devamında düzenlenen usul takip edilerek veri sorumlusuna başvurabilecek ve gerekli şartların oluşması halinde Kurul’a şikâyette bulunabilecektir.
Bunun yanında, hukuka aykırı kişisel veri işleme faaliyetleri bakımından yalnızca idari yaptırımlar değil, somut olayın niteliğine göre cezai sorumluluğun da gündeme gelebileceği belirtilmiştir. Kurul kararında, kişisel verilerin hukuka aykırı şekilde verilmesi veya ele geçirilmesi fiillerinin Türk Ceza Kanunu’nun ilgili maddeleri kapsamında değerlendirilebileceği; ayrıca konunun Cumhuriyet Başsavcılıklarına, ilgili Bakanlıklara ve baro başkanlıklarına intikal ettirilebileceği ifade edilmiştir.
H. Sonuç Olarak
Kurul tarafından yayımlanan 2026/1095 sayılı İlke Kararı, kaza mağdurlarının kişisel verilerinin işlenmesi bakımından önemli bir sınır çizmiştir. Karar, iş kazası, trafik kazası veya benzeri olaylar sonrasında mağdurlara ait kişisel verilerin hasar danışmanlık şirketleri, aracı kişiler, yetkisiz üçüncü kişiler veya hukuka aykırı şekilde hareket eden kişiler tarafından elde edilmesi ve kullanılması uygulamasının kişisel verilerin korunması mevzuatı bakımından kabul edilemeyeceğini ortaya koymaktadır.
Bu karar ile birlikte, kaza sonrası süreçlerde temel ölçütün “mağdura daha hızlı ulaşılması” veya “tazminat sürecinin pratik şekilde takip edilmesi” değil, kişisel verilerin hangi hukuki sebebe dayanılarak ve hangi yetki sınırları içinde işlendiği olduğu ön plana çıkarılmıştır.
Sonuç itibarıyla, kaza mağdurlarına ait kişisel veriler yalnızca kaza sonrası hukuki, idari, sağlık, sigorta ve hasar süreçlerinin yürütülmesi amacıyla; görevli ve yetkili kişiler tarafından, mevzuata uygun şekilde işlenmelidir. Hasar danışmanlık şirketleri veya benzeri oluşumların, herhangi bir hukuki işleme şartı bulunmaksızın bu verilere erişmesi, mağdurlarla iradeleri dışında iletişime geçmesi veya bu verileri ticari ya da mesleki amaçlarla kullanması hukuka aykırılık teşkil edecektir.