Yayın Tarihi: 9 Temmuz 2026.
Bu yazıda, kaza mağdurlarının kişisel verilerinin KVKK’nın 2026/1095 sayılı ilke kararı çerçevesinde nasıl korunduğunu ele alıyoruz.
Bir trafik kazası ya da iş kazası geçirdikten kısa süre sonra, kendini avukat olarak tanıtan kişiler veya “hasar danışmanlığı” yaptığını söyleyen şirketler tarafından arandınız mı? Son dönemde giderek daha fazla kişi, kazadan sonra —bazen olayın üzerinden yalnızca birkaç saat geçmişken— hiç paylaşmadıkları bir numaradan aranarak kimlik ve iletişim bilgileri, kaza tutanağında yer alan diğer kişisel bilgiler, sağlık durumları, hastane kayıtları, sigorta poliçeleri ve tazminat süreçleri hakkında konuşulduğunu, kendilerine vekâlet vermeleri hâlinde tazminat alacaklarının tahsil edileceğinin söylendiğini anlatıyor.
Peki bu kişiler bilgilerinize nereden ulaşıyor ve bu veri işleme faaliyeti hukuka uygun mu? Kişisel Verileri Koruma Kurulu, 20 Mayıs 2026 tarihli ve 2026/1095 sayılı ilke kararıyla (1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete) tam da bu soruya ilişkin bir çerçeve çizdi. Karar, kamuoyunda “hasar danışmanlığı” olarak bilinen faaliyet alanında ortaya çıkan uygulamaları ve bu alanda yetkisiz hareket eden kişileri konu almaktadır. Bu yazıda kararın kapsamı, dayandığı tespitler ve veri sorumluları ile ilgili kişiler bakımından doğurduğu sonuçlar genel hatlarıyla ele alınmaktadır.
Kaza Mağdurlarının Kişisel Verileri Neden Hedefte?
Karara temel oluşturan şikâyet ve ihbarlarda, hasar danışmanlık şirketi ya da benzer isimlerle faaliyet gösteren kuruluşların temsilcileri, avukatlar yahut baro levhası sorgulaması yapıldığında avukat olmadığı tespit edilen kişiler tarafından, iş kazası, trafik kazası veya benzeri olumsuz olayların mağdurlarıyla istekleri dışında iletişime geçildiği, bu görüşmelerde mağdurlara vekâlet vermeleri hâlinde tazminat alacağının tahsili için gerekli başvuruların yapılacağının belirtildiği; mağdurların kendilerine ve kazaya ilişkin bilgilerin nasıl elde edildiğine dair sorularına ise tatmin edici bir cevap verilmediğine dikkat çekilmektedir. Kurul, bu tabloyu 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından değerlendirmiştir. İlke kararı niteliği gereği yalnızca somut bir olayla sınırlı kalmayıp benzer nitelikteki tüm uygulamalar için genel bir çerçeve çizmektedir.
Kaza sonrası süreçte mağdurlara ilişkin sağlık raporları, hastane kayıtları, iletişim bilgileri ve poliçe verileri gibi çok sayıda veri türü bir araya gelmektedir. Bu verilerin farklı aktörler arasında el değiştirmesi, ilgili kişinin haberi olmaksızın gerçekleştiğinde hem verinin gizliliği hem de kişinin kendi süreçleri üzerindeki kontrolü bakımından sorun doğurmaktadır. Kurul kararı, bu veri akışının hangi hukuki dayanağa göre yürütüldüğünün açıkça ortaya konması gerektiğini vurgulamaktadır.
Kurul İncelemesinde Hangi Hususlar Öne Çıktı?
Kurulun incelemesinde birkaç noktanın öne çıktığı görülmektedir. İlk olarak, bazı kişilerin avukatlık ruhsatı ya da baro kaydı bulunmadığı hâlde kendilerini avukat gibi tanıtarak mağdurlarla temas kurduğu belirtilmiştir. İkinci olarak, ısrarlı telefon aramaları ve hak kaybına uğranacağı yönünde oluşturulan baskı yoluyla vekâletname alındığı; bazı durumlarda ise herhangi bir yetki bulunmaksızın mağdur adına işlem yapıldığı tespit edilmiştir. Bu tablo, kişisel verilerin işlenmesinde Kanun’un öngördüğü işleme şartlarının bulunmadığına işaret etmektedir.
Kaza Sonrası Tazminat Kime Ödenir?
Kararda öne çıkan hususlardan biri de tazminat alacağının kime ödenebileceğine ilişkindir. 5684 sayılı Sigortacılık Kanunu’nun Ek 6. maddesi uyarınca, kaza sonrası tazminat alacağı yalnızca hak sahibine ya da avukatına ödenebilir ve bu alacak kimseye devredilemez. Aksine kurulan sözleşme veya işlemler geçersiz kabul edilmektedir. Bu çerçevede, hasar danışmanlık şirketi ya da benzer isimlerle faaliyet gösteren oluşumların tazminat sürecini yürütmesi ancak doğrudan ya da dolaylı olarak avukatlar eliyle mümkün olabilmektedir. Zira mağdur adına tazminat talebinin oluşturulması ve takibi, niteliği gereği yalnızca avukatlar tarafından yapılabilecek işlerden sayılmaktadır.
6698 Sayılı Kanun Bakımından Sonuçlar Neler?
İlke kararında belirlenen esaslara uymadığı tespit edilen veri sorumluları hakkında, 6698 sayılı Kanun’un 18. maddesi çerçevesinde idari yaptırım uygulanabileceği belirtilmiştir. Kanun kapsamında kişisel verilerin işlenmesi; hukuka uygunluk, belirli ve meşru amaç, ölçülülük ile veri güvenliği ilkelerine bağlıdır. Veri sorumlularının, işledikleri verilerin kaynağını, işleme amacını ve hukuki dayanağını gösterebilmeleri; ilgili kişileri aydınlatma yükümlülüğünü yerine getirmeleri ve uygun teknik ve idari tedbirleri almaları önem taşımaktadır.
Veri Sorumluları Nelere Dikkat Etmeli?
Kararın ortaya koyduğu çerçeve, hasar danışmanlığı alanında faaliyet gösteren veya kaza verileriyle temas eden şirketler bakımından bazı uygulama başlıklarını gündeme getirmektedir. Verinin hangi kaynaktan elde edildiğinin kayıt altına alınması, işleme faaliyetinin Kanun’daki hangi şarta dayandığının belirlenmesi ve özel nitelikli verilerde açık rıza veya sınırlı işleme şartlarının varlığının değerlendirilmesi öne çıkan hususlardır. Ayrıca ilgili kişilere yöneltilen aydınlatma metinlerinin anlaşılır olması, veri işleme envanterinin güncel tutulması ve verilere erişimin yetkiyle sınırlandırılması, Kanun’un öngördüğü teknik ve idari tedbirler kapsamında değerlendirilebilir. Bu başlıkların yerine getirilmesi, olası bir inceleme sürecinde işleme faaliyetinin hukuki dayanağının gösterilmesini de kolaylaştırabilir.
Kaza Mağduru Hangi Yollara Başvurabilir?
Kişisel verilerinin hukuka aykırı işlendiğini değerlendiren kaza mağdurları, Kanun’un 13. ve devamı maddelerinde düzenlenen usule göre önce veri sorumlusuna başvurabilir; sonucundan tatmin olmamaları hâlinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirler. Ayrıca ilgili kişiler, verilerinin silinmesini veya yok edilmesini talep etme ve uğradıkları zararların giderilmesini genel hükümler çerçevesinde isteme imkânına sahiptir. Yetkisiz kişilerce yürütülen işlemlerde ise, duruma göre farklı hukuki süreçlerin gündeme gelmesi mümkündür.
Sıkça Sorulan Sorular
Karara konu şikâyetlerde, mağdurların kimlik ve iletişim bilgileri ile kaza tutanağındaki verilerine izinleri dışında ve çoğu zaman kaynağı açıklanamayan yollarla erişildiği belirtiliyor. Böyle bir aramada, verilerinizin hangi kaynaktan ve hangi hukuki dayanakla elde edildiğini sorma hakkınız var; tatmin edici bir cevap alamamanız kendi başına dikkat çekici bir durumdur.
Hayır, devredilemez. 5684 sayılı Sigortacılık Kanunu’nun Ek 6. maddesine göre kaza sonrası tazminat alacağı yalnızca hak sahibine ya da avukatına ödenebilir. Alacağın üçüncü bir kişiye veya şirkete devri mümkün olmadığı gibi, bu yönde kurulan sözleşmeler de geçersiz sayılır. Bu tür oluşumlar tazminat sürecini ancak bir avukat aracılığıyla yürütebilir.
Kurulun incelemesinde, bazı kişilerin avukatlık ruhsatı veya baro kaydı bulunmadığı hâlde kendilerini avukat gibi tanıtarak mağdurlarla temas kurduğu tespit edilmiştir. Sizinle iletişime geçen kişinin gerçekten avukat olup olmadığını, bağlı olduğu baro üzerinden teyit etmeniz mümkündür.
Önce ilgili veri sorumlusuna başvurabilir, sonucundan tatmin olmazsanız Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. Durum suç oluşturuyorsa Cumhuriyet başsavcılığına suç duyurusu, yetkisiz avukatlık varsa baroya bildirim de mümkündür. Ayrıca verilerinizin silinmesini ve zararlarınızın giderilmesini talep edebilirsiniz.
Hayır. Kurul, işleme şartına dayanmayan bu faaliyetlerin duruma göre Türk Ceza Kanunu’nun 136 ve 137. maddelerindeki suça vücut verebileceğini değerlendiriyor. Yani KVKK’nın idari yaptırımının yanında cezai sorumluluk ve kendini avukat olarak tanıtanlar bakımından baroya yönelik mesleki süreçler de gündeme gelebilir.
Genel Değerlendirme
2026/1095 sayılı ilke kararı, kaza mağdurlarının çoğu zaman fiziksel ve psikolojik açıdan kırılgan bir dönemde ortaya çıkan veri işleme faaliyetlerine ilişkin bir çerçeve sunmaktadır. Karar, hasar danışmanlığı alanında faaliyet gösteren şirketler için verinin elde edilme kaynağının ve işleme dayanağının belgelenebilir olmasının önemini görünür kılmaktadır. İlgili kişiler açısından ise, kendilerine ulaşan taleplerde muhatabın kimliğini, verilerin nasıl temin edildiğini ve varsa vekâlet ilişkisinin kapsamını sorgulamanın koruyucu bir işlev görebileceği söylenebilir.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz.