Sigortacılıkta Sağlık Beyanı: Açık Rıza ve Poliçe Süreci

Sağlık beyanı neden ayrı bir süreç ister?

Sağlık, hayat ve ferdi kaza sigortalarında risk değerlendirmesinin merkezinde sağlık beyanı vardır. Teklif formundaki birkaç soru, bir hastalık geçmişini, kullanılan ilaçları veya bir ameliyat bilgisini sigortacıya taşır. Sigorta sağlık verisi KVKK açısından özel nitelikli kişisel veri olduğu için bu bilginin toplanması, paylaşılması ve saklanması sıradan müşteri verisinden daha sıkı kurallara bağlıdır.

Bu yazıda sağlık beyanının hukuki dayanağını, acente ve broker rollerini, hasar dosyasındaki sağlık verisini, reasürans ve yurt dışı aktarımı ile saklama süresini adım adım ele alıyor; sonda sürecinizi gözden geçirmek için bir kontrol listesi sunuyoruz.

Sağlık beyanının hukuki dayanağı

Beyan yükümlülüğü sigorta sözleşmesinin kendisinden doğar. 6102 sayılı Türk Ticaret Kanunu'nun 1435. maddesi, sigorta ettirenin sözleşmenin yapılması sırasında bildiği veya bilmesi gereken tüm önemli hususları sigortacıya bildirmesini ister. 1436. madde ise sigortacı yazılı bir soru listesi vermişse, liste dışındaki hususlar için sigorta ettirene kural olarak sorumluluk yüklenemeyeceğini düzenler. Bu hüküm, soru formunun tasarımını hem ticari hem de veri koruma açısından belirleyici kılar.

KVKK tarafında ise 7499 sayılı Kanunla 2024'te değişen 6. madde, özel nitelikli veriler için kapalı bir şart listesi getirir: açık rıza, kanunlarda açıkça öngörülme, fiili imkânsızlık, alenileştirme, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurumlarca sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gereklilik ile istihdam ve sosyal güvenlik alanındaki hukuki yükümlülükler.

Değişiklikten önce Kurul, 03.09.2020 tarihli ve 2020/667 sayılı kararında sağlık sigortası poliçesindeki sağlık verilerinin o dönemki istisnalar kapsamında işlenemeyeceğini, bu nedenle açık rıza alınmasının gerektiğini değerlendirmişti. Yeni listede hangi şartın sigortacıya uygun düştüğü, özellikle “sağlık hizmetlerinin finansmanı” ifadesinin özel sigorta şirketlerini kapsayıp kapsamadığı tartışmalıdır. Bu nedenle mevcut açık rıza kurgusunu kaldırmadan önce somut olay özelinde hukuki değerlendirme alınmalıdır.

Hangi şarta dayanılırsa dayanılsın, iki kural değişmez. Aydınlatma, açık rızadan ayrı bir metinle yapılır; açık rıza istenecekse belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle alınır. Açık rıza metinlerinin geçerlilik koşullarını açık rıza metinlerinin geçerliliği yazımızda ayrıntılı ele aldık.

Acente ve broker rolleri

Sağlık beyanı çoğu zaman sigorta şirketine doğrudan değil, bir acente veya broker üzerinden ulaşır. Rolün doğru belirlenmesi, aydınlatma metninde kimin veri sorumlusu olarak görüneceğini, sözleşmede hangi yükümlülüklerin yer alacağını ve bir ihlalde kimin bildirim yapacağını belirler.

Acente: Sigorta şirketi adına ve onun talimatıyla teklif ve poliçe işlemi yapıyorsa, bu süreçte genellikle veri işleyen konumundadır. Aynı acente kendi müşteri portföyünü yönetiyor, birden fazla şirketin ürününü karşılaştırıyor veya pazarlama yapıyorsa, bu işlemler için ayrıca veri sorumlusu olabilir.

Broker: Sigortalı adına hareket eder ve teklifleri farklı şirketlerden toplar. Kendi amaç ve yöntemini belirlediği ölçüde çoğu durumda ayrı bir veri sorumlusu olarak değerlendirilir.

Sigorta şirketi: Risk değerlendirmesi, poliçe kabulü ve hasar ödemesi için işleme amaç ve vasıtalarını belirlediğinden bu süreçlerin veri sorumlusudur.

Kurum'un veri sorumlusu ve veri işleyen rehberi, rolün sözleşmedeki unvana göre değil, işleme amacını ve vasıtalarını fiilen kimin belirlediğine göre tespit edileceğini vurgular. Pratikte en sık sorun, acentenin sağlık beyanı formlarını e-posta veya mesajlaşma uygulamasıyla iletmesi ve kopyaları kendi bilgisayarında tutmasıdır. Acente sözleşmesine sağlık verisinin iletim kanalı, saklama yeri, erişim yetkisi ve imha kuralı açıkça yazılmalıdır.

Hasar dosyasında sağlık verisi

Hasar aşamasında sağlık verisinin hacmi büyür: epikriz, reçete, tetkik sonuçları, hastane faturaları, kaza raporları ve gerektiğinde bağımsız hekim değerlendirmeleri dosyaya girer. Bu aşamadaki temel soru, ödeme kararı için hangi belgenin gerçekten gerekli olduğudur. Tüm tıbbi geçmişi istemek yerine, hasara konu olayla bağlantılı belgeleri tanımlamak ölçülülük ilkesinin gereğidir.

Hasar dosyasına erişen ekip de sınırlı tutulmalıdır. Kurul'un 2018/10 sayılı kararında özel nitelikli veriler için öngörülen yeterli önlemler; bu verilere erişen çalışanların gizlilik taahhüdünü, yetkilerin tanımlanmasını, erişim kayıtlarının tutulmasını ve verilerin aktarımında şifreleme gibi tedbirleri içerir.

Dış hizmet sağlayıcılarla paylaşımda aydınlatmanın kesinliği önem taşır. Kurul, 05.04.2021 tarihli ve 2021/333 sayılı kararında, bir sigorta şirketinin hasar sonrası verileri bir hizmet sağlayıcıya aktarmasını sözleşmenin ifası kapsamında hukuka uygun bulmuş; ancak aydınlatma metnindeki “bunlarla sınırlı olmamak üzere” gibi genel ifadeleri belirlilik ilkesine aykırı görmüştür. Hasar süreçlerindeki eksper, asistans firması, anlaşmalı sağlık kuruluşu ve hukuk bürosu gibi alıcı grupları metinde açıkça sayılmalıdır.

Reasürans ve yurt dışı

Büyük teminatlı hayat ve sağlık poliçelerinde risk, reasürans yoluyla çoğu zaman yurt dışındaki bir şirkete devredilir. 5684 sayılı Sigortacılık Kanunu'nun 31/A maddesi sigortacılık sırlarının korunmasını düzenler ve gizlilik sözleşmesi yapılması, yalnızca risk değerlendirmesi amacıyla kullanılması kaydıyla sigorta ve reasürans şirketleri arasındaki bilgi alışverişini sır saklama yükümlülüğünün dışında tutar. Bu hüküm sır saklama yükümlülüğüne ilişkindir; KVKK'nın yurt dışı aktarım kurallarını ortadan kaldırmaz.

Yurt dışındaki reasüröre kişisel veri aktarılıyorsa KVKK'nın 9. maddesindeki mekanizmalardan birine dayanmak gerekir. Düzenli reasürans akışları için Kurul'un ilan ettiği standart sözleşmelerden uygun olanı imzalanır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir. İlgili kişi yararına bir sözleşmenin ifası için zorunluluk gibi istisnai hâller yalnızca arızi aktarımlarda kullanılabilir; her poliçe döneminde tekrarlanan bir akış bu kapsama girmez.

Veri en aza indirme burada da en etkili tedbirdir. Anlaşma bazlı (treaty) reasüransta çoğu zaman toplulaştırılmış portföy bilgisi yeterlidir; tekil risk bazında (fakültatif) değerlendirmede ise kimlik bilgileri yerine poliçe numarası gibi takma bir tanımlayıcı kullanılması değerlendirilmelidir. Yurt dışı aktarımın genel çerçevesini yurt dışına veri aktarımı rehberi yazımızda bulabilirsiniz.

Saklama süresi

Sigortacılıkta tek bir saklama süresi yoktur; süre, belgenin hangi yükümlülüğe hizmet ettiğine göre belirlenir. Türk Ticaret Kanunu'nun 82. maddesi ticari defter ve belgeler için on yıllık saklama süresi öngörür. Aynı Kanun'un 1420. maddesine göre sigorta sözleşmesinden doğan istemler kural olarak iki yılda, tazminat ve bedel istemleri ise her hâlde rizikonun gerçekleştiği tarihten itibaren altı yılda zamanaşımına uğrar.

Bu süreler, sağlık beyanının ve hasar dosyasındaki tıbbi belgelerin tamamının aynı süre saklanacağı anlamına gelmez. Poliçeye dönüşmeyen tekliflerdeki sağlık beyanları, reddedilen başvurular ve hasar kararına esas olmayan ek tıbbi belgeler için daha kısa süreler belirlenmelidir. Hayat sigortası ve bireysel emeklilik tarafında suç gelirlerinin aklanmasının önlenmesi mevzuatından doğan saklama yükümlülükleri de ayrıca değerlendirilir; bu konuyu müşteri tanıma KVKK yazımızda ele aldık.

Belirlenen süreler saklama ve imha politikasına yazılmalı, süresi dolan kayıtlar en geç altı ayı aşmayan periyodik imha dönemlerinde silinmeli veya anonim hâle getirilmelidir.

Süreç kontrol listesi

Aşağıdaki liste, sağlık beyanından hasar ödemesine kadar sürecin her aşamasında kontrol edilmesi gereken noktaları özetler. Her satırı “var”, “kısmen” veya “yok” olarak işaretleyerek önceliklerinizi belirleyebilirsiniz.

Kontrol listesi genel bir çerçevedir; ürün, dağıtım kanalı ve reasürans yapısına göre uyarlanmalıdır.

Sağlık beyanı süreç kontrol listesi

Sonuç ve sonraki adım

Sigorta sağlık verisi KVKK açısından poliçe sürecinin her halkasında ayrı bir karar gerektirir: hangi şarta dayanıldığı, kimin veri sorumlusu olduğu, hangi belgenin gerçekten gerekli olduğu, yurt dışına hangi mekanizmayla gönderildiği ve ne zaman imha edileceği. Bu kararlar belgelenmediğinde, tek bir şikâyet tüm zinciri sorgulanır hâle getirebilir.

Önce teklif formunu ve hasar belge listesini yukarıdaki kontrol listesiyle karşılaştırmak, en hızlı sonuç veren adımdır. Sektöre özgü diğer başlıkları finans sektörü KVKK sayfamızda bulabilir, genel uyum yaklaşımı için KVKK danışmanlığı sayfamızı inceleyebilirsiniz.

Sık sorulan sorular