Trafik kazası geçirmek, bireyler için yalnızca fiziksel ve maddi sonuçlar doğuran bir olay değildir. Kaza sonrasında yaşanan belirsizlik, tedavi süreci, sigorta işlemleri ve tazminat beklentileri, mağdurları psikolojik açıdan da hassas bir noktaya taşır.

Tam da bu hassas dönemde, bazı kaza mağdurları tanımadıkları numaralardan gelen aramalarla karşılaşabilmektedir. Kendilerini “hasar danışmanı”, “sigorta takipçisi” veya “tazminat danışmanı” olarak tanıtan kişiler; mağdurun kaza yaptığını, yaralanma durumunu, tedavi gördüğü hastaneyi veya sigorta sürecine ilişkin bazı ayrıntıları bildiklerini ifade edebilmektedir.

Bu noktada kritik soru şudur:

Kaza mağduruna ait kişisel veriler bu kişilerin eline nasıl geçti?

Bu soru, yalnızca bireysel bir rahatsızlık konusunu değil; veri güvenliği, kişisel veri mahremiyeti, hukuka aykırı veri aktarımı ve kurumların KVKK uyum yükümlülüklerini doğrudan ilgilendiren ciddi bir tabloyu gündeme getirir.

KVKK’nın 2026/1095 sayılı İlke Kararı, kaza mağdurlarının kişisel verilerinin korunması, hasar danışmanlığı adı altında yürütülen yetkisiz faaliyetler ve veri sorumlularının teknik-idari tedbir yükümlülükleri bakımından önemli bir değerlendirme alanı sunmaktadır.

Kaza Sonrası Gelen Aramalar Neden KVKK Açısından Risklidir?

Kaza sonrası mağdura ulaşan bilinmeyen kişiler, çoğu zaman mağdurun iletişim bilgileriyle sınırlı kalmayan ayrıntılı bilgilere sahip olduklarını ima eder. Bu bilgiler arasında kaza tarihi, hastane bilgisi, yaralanma durumu, sigorta süreci veya tazminat ihtimali gibi kişisel veri niteliği taşıyan unsurlar yer alabilir.

Kişisel verilerin bu şekilde kullanılması, özellikle aşağıdaki açılardan risklidir:

İlgili kişinin açık rızası olmadan iletişim kurulması,
Kaza ve sağlık bilgisi gibi hassas alanlara temas eden verilerin üçüncü kişilerce bilinmesi,
Verinin hangi kurumdan veya hangi sistemden sızdığının belirsiz olması,
Mağdurun savunmasız olduğu bir dönemde ticari veya hukuki baskı altında bırakılması,
Yetkisiz kişilerin tazminat sürecine dahil olmaya çalışması.

Bu nedenle kaza sonrası gelen gizemli aramalar, sıradan bir pazarlama faaliyeti olarak değerlendirilemez. Bu durum, kişisel verilerin hukuka aykırı şekilde elde edilmesi veya paylaşılması ihtimalini ortaya çıkaran ciddi bir veri güvenliği alarmıdır.

Kişisel Veriler Hukuka Aykırı Şekilde Nasıl Elde Ediliyor Olabilir?

Kaza mağdurlarına ait bilgiler, normal şartlarda yalnızca belirli kurumların erişebileceği verilerdir. Sigorta şirketleri, hastaneler, sağlık kuruluşları, eksperler, kolluk birimleri, çekici hizmetleri veya hasar dosyasıyla temas eden üçüncü taraflar bu veri akışında rol oynayabilir.

Bu aktörlerin tamamı, sahip oldukları veri erişimini yalnızca hukuka uygun amaçlarla ve görev sınırları içinde kullanmak zorundadır. Ancak uygulamada, yetkisiz erişim, içeriden veri sızdırma, sistemsel açıklar veya kontrolsüz veri paylaşımı nedeniyle kaza mağdurlarının kişisel verileri üçüncü kişilerin eline geçebilir.

Bu tür veri sızıntıları genellikle üç temel zafiyet üzerinden oluşur:

1. Yetkisiz Personel Erişimi

Kurum içinde her çalışanın her veriye erişebilmesi, veri güvenliği açısından önemli bir açık oluşturur. Örneğin bir hastane çalışanının göreviyle ilgisi olmayan tedavi detaylarına erişebilmesi veya sigorta şirketinde görevli bir personelin kaza mağdurunun iletişim bilgilerini kontrolsüz şekilde görüntüleyebilmesi ciddi risk doğurur.

2. Log ve Denetim Eksikliği

Veriye kimin, ne zaman, hangi amaçla eriştiği izlenmiyorsa, yetkisiz erişimlerin tespit edilmesi zorlaşır. Bu durum, veri sızıntılarının uzun süre fark edilmeden devam etmesine neden olabilir.

3. Üçüncü Taraf Paylaşım Kontrolünün Zayıf Olması

Eksper, çağrı merkezi, yazılım sağlayıcısı, aracı hizmet sağlayıcı veya operasyonel destek sunan üçüncü taraflarla yapılan veri paylaşımlarında sözleşmesel ve teknik kontroller eksikse, veri güvenliği zinciri zayıflar.

Hasar Danışmanlığı Şirketlerinin Hukuki Yetkisi Var mı?

Tazminat alacaklarının takibi, hukuki bilgi ve temsil yetkisi gerektiren bir süreçtir. Sigortacılık mevzuatı çerçevesinde tazminat taleplerinin takibi bakımından temel yetki hak sahibine veya avukatına aittir.

Bu nedenle hasar danışmanlığı adı altında faaliyet gösteren yapıların, mağdurlara ulaşarak tazminat dosyası takibi yapmaya çalışması ciddi hukuki tartışmalar doğurur. Bu yapıların mağdurlardan vekâletname, sözleşme, temlikname veya yetki belgesi almaya çalışması, yalnızca tüketici güvenliği açısından değil; kişisel verilerin korunması bakımından da risklidir.

Bir kişi veya şirket, hukuka uygun bir yetki zemini olmadan kaza mağdurunun iletişim bilgilerini, sağlık bilgilerini veya hasar dosyası detaylarını işliyorsa, bu faaliyet KVKK kapsamında hukuka aykırı veri işleme olarak değerlendirilebilir.

Temlikname ve Yetki Belgeleri Veri İşleme İçin Yeterli mi?

Kaza mağdurlarına imzalatılan temliknameler veya yetki belgeleri, her durumda geçerli bir veri işleme zemini oluşturmaz. Özellikle hukuken geçersiz veya tartışmalı bir sözleşmeye dayanılarak kişisel veri işlenmesi, veri sorumluları açısından önemli bir yaptırım riski doğurur.

KVKK açısından veri işlemenin geçerli kabul edilebilmesi için yalnızca bir belgeye imza alınması yeterli değildir. Veri işleme faaliyeti;

Hukuka uygun olmalı,
Belirli, açık ve meşru bir amaca dayanmalı,
İşleme amacıyla bağlantılı, sınırlı ve ölçülü olmalı,
Kanunda yer alan işleme şartlarından birine dayanmalı,
İlgili kişiye karşı şeffaf şekilde yürütülmelidir.

Bu şartlar sağlanmadan yapılan veri işleme faaliyetleri, açık rıza görüntüsü verilse bile hukuka aykırılık riski taşıyabilir.

KVKK 2026/1095 Sayılı İlke Kararı Ne Anlama Geliyor?

KVKK’nın 2026/1095 sayılı İlke Kararı, kaza mağdurlarına ait kişisel verilerin korunması bakımından kritik bir uyarı niteliğindedir. Karar, yalnızca hasar danışmanlığı faaliyetlerini değil; bu verilerin kaynağı olabilecek tüm veri sorumlularını ilgilendirir.

Bu kapsamda sigorta şirketleri, hastaneler, sağlık kuruluşları, eksperler ve ilgili süreçlerde veri işleyen diğer aktörler, kaza mağdurlarına ait kişisel verilerin güvenliğini sağlamakla yükümlüdür.

İlke Kararı’nın öne çıkardığı ana mesaj şudur:

Veri güvenliği yalnızca politika metniyle sağlanamaz; teknik kontroller, erişim sınırlamaları, log takibi, denetim mekanizmaları ve ihlal müdahale süreçleriyle desteklenmelidir.

Bu yaklaşım, kurumların “personel hatası”, “bilgimiz dışında gerçekleşti” veya “sistemden kaynaklandı” gibi savunmalarla sorumluluktan kolayca ayrışamayacağını gösterir. Veri sorumlusu, kişisel verilerin güvenliğini sağlayacak teknik ve idari tedbirleri almakla yükümlüdür.

Sigorta Şirketleri ve Hastaneler İçin KVKK Uyum Riski

Sigorta şirketleri ve hastaneler, kaza mağdurlarına ilişkin çok hassas veri gruplarını işleyebilir. Bu veriler arasında kimlik bilgileri, iletişim bilgileri, poliçe bilgileri, hasar dosyası bilgileri, sağlık verileri ve tedavi sürecine ilişkin kayıtlar bulunabilir.

Bu nedenle bu kurumların KVKK uyum sürecinde yalnızca dokümantasyon hazırlaması yeterli değildir. Gerçek uyum, günlük operasyonların içinde işleyen bir veri güvenliği yapısıyla mümkündür.

Sigorta şirketleri ve hastaneler için kritik uyum başlıkları şunlardır:

Veri envanterinin güncel tutulması,
Hangi veriye kimlerin erişebileceğinin net tanımlanması,
Rol tabanlı erişim kontrolü kurulması,
Erişim loglarının düzenli izlenmesi,
Olağan dışı veri görüntüleme ve indirme hareketlerinin raporlanması,
Personel farkındalık eğitimlerinin yapılması,
Üçüncü taraf veri işleyen sözleşmelerinin güncellenmesi,
İhlal müdahale planının hazırlanması,
Veri ihlali şüphesi halinde Kurul bildirim sürecinin işletilmesi.

Bu başlıkların her biri, yalnızca mevzuata uyum için değil, kurum itibarının korunması için de stratejik öneme sahiptir.

Rol Tabanlı Erişim Kontrolü Neden Kritik?

Rol tabanlı erişim kontrolü, personelin yalnızca iş tanımı gereği ihtiyaç duyduğu verilere erişebilmesini sağlayan temel bir veri güvenliği yaklaşımıdır. Bu sistemde veri erişimi kişiye göre değil, görev ve rol ihtiyacına göre tanımlanır.

Örneğin:

Hastanede muhasebe birimi, hastanın tıbbi tedavi detaylarına erişmemelidir.
Sigorta şirketinde pazarlama birimi, kaza mağdurunun sağlık verilerini görüntüleyememelidir.
Çağrı merkezi personeli, yalnızca görevini yerine getirmek için gerekli minimum veriye ulaşabilmelidir.
Hasar dosyasıyla ilgisi olmayan çalışanlar, dosya detaylarını sistem üzerinden inceleyememelidir.

Bu yapı, içeriden veri sızdırma riskini azaltır. Aynı zamanda kurumun veri güvenliği yükümlülüklerini teknik olarak destekler.

Rol tabanlı erişim kontrolünün etkin çalışabilmesi için aşağıdaki adımlar uygulanmalıdır:

Görev Bazlı Yetki Matrisi Oluşturulmalı

Her departman, pozisyon ve kullanıcı grubu için erişim sınırları belirlenmelidir. Hangi rolün hangi veri kategorisine erişeceği net şekilde tanımlanmalıdır.

Gereksiz Yetkiler Kaldırılmalı

Personel görev değişikliği yaptığında veya kurumdan ayrıldığında erişim yetkileri güncellenmelidir. Pasif kullanıcı hesapları kapatılmalı, eski yetkiler düzenli kontrol edilmelidir.

Log Takibi Yapılmalı

Sisteme erişen kullanıcıların hareketleri kayıt altına alınmalıdır. Kimin, ne zaman, hangi veriyi görüntülediği ve indirdiği izlenebilmelidir.

Olağan Dışı Hareketler Raporlanmalı

Kısa sürede çok sayıda kayıt görüntüleme, toplu veri indirme veya görev alanıyla ilgisiz verilere erişim gibi hareketler uyarı mekanizmasına bağlanmalıdır.

Veri Güvenliği Teknik Tedbirleri Nelerdir?

Kaza mağdurlarına ait verilerin korunması için uygulanabilecek teknik tedbirler çok katmanlı olmalıdır. Yalnızca şifre kullanımı veya sistem erişimiyle sınırlı bir yapı yeterli değildir.

Veri güvenliği teknik tedbirleri kapsamında aşağıdaki kontroller öne çıkar:

Erişim Kontrolü

Kullanıcıların yalnızca yetkili oldukları verilere erişmesi sağlanmalıdır. Yetki seviyeleri düzenli olarak gözden geçirilmelidir.

Çok Faktörlü Kimlik Doğrulama

Kritik sistemlere erişimde yalnızca kullanıcı adı ve parola yeterli görülmemelidir. Çok faktörlü kimlik doğrulama, yetkisiz giriş riskini azaltır.

Loglama ve İzleme

Erişim kayıtları düzenli tutulmalı, değiştirilemez şekilde saklanmalı ve anomali tespiti için izlenmelidir.

Veri Maskeleme

Görev gereği tam veriye ihtiyaç olmayan kullanıcılar için telefon, kimlik, sağlık bilgisi veya dosya detayları maskelenmelidir.

Şifreleme

Aktarım ve saklama süreçlerinde kişisel verilerin uygun şifreleme yöntemleriyle korunması sağlanmalıdır.

DLP ve Veri Çıkış Kontrolleri

Verilerin e-posta, harici bellek, ekran görüntüsü, toplu indirme veya dış sistemlere aktarım yoluyla kurum dışına çıkması kontrol altına alınmalıdır.

Sızma Testi ve Zafiyet Yönetimi

Sistemsel açıklar düzenli olarak test edilmeli, tespit edilen zafiyetler aksiyon planına bağlanmalıdır.

İhlal Müdahale Planı

Olası veri ihlali şüphesinde kimin, hangi sırayla, hangi aksiyonları alacağı önceden belirlenmelidir.

İdari Tedbirler Teknik Kontrolleri Nasıl Tamamlar?

Teknik tedbirler güçlü olsa bile, idari süreçler zayıfsa veri güvenliği sürdürülebilir hale gelemez. Bu nedenle KVKK uyum sürecinde teknik ve idari tedbirler birlikte ele alınmalıdır.

İdari tedbirler kapsamında kurumların aşağıdaki yapıları kurması gerekir:

Kişisel veri işleme envanteri,
Saklama ve imha politikası,
Aydınlatma metinleri,
Açık rıza süreçleri,
Çalışan gizlilik taahhütleri,
Veri işleyen sözleşmeleri,
Yetki ve sorumluluk matrisi,
KVKK komitesi veya sorumlu ekip yapısı,
Çalışan farkındalık eğitimleri,
İç denetim ve periyodik kontrol planı.

Bu unsurlar, kurum içinde veri güvenliği kültürünün oluşmasını sağlar. Özellikle sigorta şirketleri ve sağlık kuruluşları gibi hassas veri işleyen yapılarda, çalışanların veri mahremiyeti konusunda düzenli bilgilendirilmesi kritik önemdedir.

Veri İhlali Şüphesinde Kurumlar Ne Yapmalı?

Bir veri sızıntısı şüphesi oluştuğunda kurumların hızlı, kontrollü ve dokümante edilmiş şekilde hareket etmesi gerekir. Geciken veya plansız yönetilen ihlal süreçleri, hem hukuki riski hem de itibar kaybını artırır.

Veri ihlali şüphesinde temel aksiyon planı şu şekilde olmalıdır:

İhlal şüphesi kayıt altına alınmalı.
Etkilenen sistem, veri kategorisi ve kişi grubu belirlenmeli.
İhlalin kaynağı teknik olarak analiz edilmeli.
Yetkisiz erişim devam ediyorsa durdurulmalı.
Erişim logları korunmalı ve delil bütünlüğü sağlanmalı.
Kurum içi ihlal müdahale ekibi devreye alınmalı.
Gerekli hallerde Kurul ve ilgili kişiler için bildirim süreci işletilmeli.
Kök neden analizi yapılarak tekrarını önleyecek aksiyonlar alınmalı.

Bu süreç, yalnızca kriz anında değil, önceden hazırlanmış bir ihlal müdahale planı üzerinden yürütülmelidir.

Kaza Mağdurları Ne Yapabilir?

Kaza sonrası tanımadığı kişiler tarafından aranan ve kişisel verilerinin izinsiz kullanıldığını düşünen kişiler, belirli adımları izleyerek haklarını koruyabilir.

Mağdurların dikkat etmesi gereken başlıca adımlar şunlardır:

Arayan kişinin adını, şirketini ve iletişim bilgilerini not alın.
Bilgilerinizi nereden aldığını sorun.
Kişisel veri paylaşımı veya sözleşme imzalama konusunda acele etmeyin.
Size gönderilen belge, temlikname veya yetki formlarını uzman görüşü almadan imzalamayın.
Verilerinizin paylaşılmış olabileceği sigorta şirketi, hastane veya ilgili kuruma başvurun.
Gerekli hallerde Kişisel Verileri Koruma Kurumu’na başvuru ve şikâyet yollarını değerlendirin.
Hukuki süreçler için avukat desteği alın.

Bu adımlar, mağdurun hem kişisel verilerini hem de tazminat sürecindeki haklarını korumasına yardımcı olur.

KVKK Rehberi ile Veri Güvenliği ve Uyum Analizi

KVKK’nın 2026/1095 sayılı İlke Kararı, veri sorumluları için önemli bir hatırlatma niteliğindedir: Kişisel verilerin korunması yalnızca mevzuat metinlerine sahip olmakla sağlanmaz. Uyumun gerçek karşılığı; sistemlerde, süreçlerde, yetkilerde, loglarda, sözleşmelerde ve kurum kültüründe görünür hale gelmelidir.

KVKK Rehberi olarak, kurumların veri güvenliği ve KVKK uyum süreçlerini bütüncül şekilde değerlendiriyoruz. Özellikle sigorta, sağlık, çağrı merkezi, hasar yönetimi, saha operasyonu ve yüksek veri erişimi bulunan sektörlerde teknik ve idari tedbirlerin uygulanabilir kontrol setine dönüşmesini destekliyoruz.

Bu kapsamda değerlendirilebilecek başlıca alanlar:

KVKK uyum analizi,
Teknik tedbir kontrolü,
Rol tabanlı erişim kontrolü değerlendirmesi,
Veri işleme envanteri kontrolü,
Veri ihlali müdahale planı,
Loglama ve yetki yönetimi analizi,
Veri işleyen sözleşmeleri,
Çalışan farkındalık eğitimleri,
Sigorta şirketleri ve sağlık kuruluşları için sektörel KVKK danışmanlığı.

Kurumunuzda kişisel veri güvenliği süreçlerini güçlendirmek, erişim yetkilerini kontrol altına almak ve KVKK uyum yapınızı uygulanabilir hale getirmek için uzman desteği alabilirsiniz.

CTA: Uyum Analizi Talep Edin: https://kvkkrehberi.com/ | Telefon: 444 4 908

Sıkça Sorulan Sorular

KVKK 2026/1095 sayılı İlke Kararı kimleri ilgilendirir?

Kaza mağdurlarına ait kişisel verileri işleyen veya bu verilere erişimi bulunan sigorta şirketleri, hastaneler, sağlık kuruluşları, eksperler, hizmet sağlayıcılar, çağrı merkezleri ve ilgili üçüncü taraflar açısından önem taşır.

Kaza sonrası tanımadığım kişiler beni ararsa ne yapmalıyım?

Arayan kişinin kimliğini, şirket bilgisini ve verilerinizi nereden aldığını sorun. Herhangi bir belge imzalamadan önce hukuki destek alın. Gerekirse ilgili veri sorumlusuna başvuru yapabilir ve Kişisel Verileri Koruma Kurumu’na şikâyet yolunu değerlendirebilirsiniz.

Hasar danışmanlığı firmaları kişisel verilerimi işleyebilir mi?

Hukuka uygun bir veri işleme şartı, geçerli yetki zemini ve şeffaf bilgilendirme olmadan kişisel verilerin işlenmesi KVKK açısından risklidir. Özellikle kaza, sağlık ve tazminat süreçlerine ilişkin veriler yüksek hassasiyetle değerlendirilmelidir.

Rol tabanlı erişim kontrolü neden önemlidir?

Rol tabanlı erişim kontrolü, personelin yalnızca görevi için gerekli verilere erişmesini sağlar. Bu yöntem, içeriden veri sızdırma riskini azaltır ve veri güvenliği teknik tedbirlerinin temel unsurlarından biridir.

Sigorta şirketleri KVKK uyumu için hangi tedbirleri almalıdır?

Sigorta şirketleri veri envanteri, rol tabanlı erişim kontrolü, log takibi, veri maskeleme, çalışan eğitimi, üçüncü taraf sözleşmeleri, ihlal müdahale planı ve düzenli denetim süreçlerini birlikte yönetmelidir.

Veri ihlali şüphesi oluşursa kurumlar ne yapmalı?

İhlal şüphesi kayıt altına alınmalı, etkilenen sistem ve veri kategorileri belirlenmeli, erişim logları korunmalı, ihlal müdahale planı devreye alınmalı ve gerekli hallerde Kurul ile ilgili kişilere bildirim süreci işletilmelidir.