Kaza Sonrası Arayan Hasar Danışmanlık Şirketleri KVKK’yı İhlal mi Ediyor? 2026/1095 Sayılı İlke Kararı
Trafik kazasının hemen ardından hiç tanımadığınız bir şirket tarafından aranmanız tek başına rahatsız edici olabilir. Arayan kişinin plakanızı, kazanın tarihini, aracınızın çekildiği servisi veya tedavi gördüğünüz hastaneyi bilmesi ise daha temel bir soruyu ortaya çıkarır: Bu bilgiler hangi kaynaktan ve hangi yetkiyle elde edildi?
Kişisel Verileri Koruma Kurulunun 20 Mayıs 2026 tarihli ve 2026/1095 sayılı İlke Kararı, tam olarak bu soruna odaklanıyor. Karar, 1 Temmuz 2026 tarihli Resmî Gazete’de yayımlandı ve kaza mağdurlarına ait verilerin hasar danışmanlığı, tazminat takibi veya müşteri kazanma amacıyla hukuka aykırı biçimde kullanılmasına karşı önemli ilkeler belirledi.
Düzenleme yalnızca trafik kazalarını değil, iş kazaları ve benzeri olumsuz olaylar sonrasında mağdurlara ait kişisel verilerin işlenmesini de kapsıyor.
Kaza Mağdurunun Hangi Verileri İşlenebilir?
Kaza sonrasında birbirinden farklı kişisel veri kategorileri işlenebilir:
- Ad, soyadı ve kimlik bilgileri
- Telefon numarası, adres ve e-posta bilgileri
- Araç plakası, şasi numarası, marka ve model
- Kaza tarihi, yeri ve oluş şekli
- Kaza tespit tutanağı
- Hasar fotoğrafları
- Eksper ve servis raporları
- Poliçe ve sigorta bilgileri
- Hastane, tanı ve tedavi bilgileri
- Tazminat ve ödeme bilgileri
- Dava, tahkim veya arabuluculuk kayıtları
Bu verilerin tamamı aynı hukuki nitelikte değildir. Örneğin telefon numarası ve araç plakası kişisel veri niteliğindeyken, kişinin yaralanması, teşhisi ve tedavisine ilişkin bilgiler özel nitelikli sağlık verisidir.
Sağlık verilerinin işlenmesi ve aktarılması, diğer kişisel verilere göre daha sıkı kurallara tabidir.
Kaza Bilgilerine Hangi Kurumlar Erişebilir?
Kaza sonrasında bazı kurumların kişisel verilere erişmesi sürecin yürütülmesi bakımından gerekli olabilir.
Sigorta şirketleri
Sigorta şirketleri;
- Poliçenin uygulanması
- Hasar dosyasının açılması
- Kusur ve tazminat incelemesi
- Ödeme yapılması
- Yasal yükümlülüklerin yerine getirilmesi
amacıyla belirli kişisel verileri işleyebilir.
Ancak sigorta şirketinin veriye erişebilmesi, bu bilgileri ilgisiz üçüncü kişilere pazarlama veya iş takibi amacıyla aktarabileceği anlamına gelmez.
Sigorta eksperleri
Sigorta eksperleri, hasarın türünü, kapsamını ve bedelini belirlemek üzere kişisel verileri işleyebilir.
Eksperin yetkisi;
- Hasar tespiti
- İnceleme
- Raporlama
- Tazminat sürecinin yürütülmesine katkı
ile sınırlıdır.
Eksper, görevi nedeniyle ulaştığı telefon numaralarını ve kaza bilgilerini kendi müşteri portföyünü oluşturmak, iş takibi yapmak veya hasar danışmanlık şirketlerine aktarmak amacıyla kullanamaz.
Servis ve çekici işletmeleri
Servisler ve çekici işletmeleri;
- Aracın taşınması
- Onarımın yapılması
- Yedek parça temini
- Fatura düzenlenmesi
- Araç sahibine bilgi verilmesi
için gerekli araç ve iletişim verilerini işleyebilir.
Bu bilgiler, farklı şirketlere müşteri kazandırmak veya ticari portföy oluşturmak amacıyla kullanılamaz.
Hastane ve sağlık kuruluşları
Yaralanmalı kazalarda sağlık kuruluşları, tedavi hizmetinin sunulması ve mevzuattan doğan yükümlülüklerin yerine getirilmesi amacıyla sağlık verilerini işleyebilir.
Hastanede bulunulduğu, hangi bölümde tedavi görüldüğü veya yaralanmanın niteliği gibi bilgilerin hasar takibi ya da müşteri kazanma amacıyla ilgisiz üçüncü kişilere aktarılması ciddi bir kişisel veri ihlali oluşturabilir.
Kolluk, savcılık ve mahkemeler
Emniyet, jandarma, savcılık, mahkeme ve diğer yetkili kamu kurumları; soruşturma, kovuşturma, idari inceleme ve yasal bildirimler kapsamında kaza verilerini işleyebilir.
Bu işlemler, ilgili kurumların kanuni görev ve yetkilerine dayanır.
Kaza bilgilerinin sigorta ve onarım sürecinde kullanılması hukuka uygun olabilir; aynı bilgilerin mağduru müşteri haline getirmek amacıyla üçüncü kişilere aktarılması ise ayrı bir hukuki dayanak gerektirir.
Hasar Danışmanlık Şirketleri Numaranıza Nasıl Ulaşıyor?
Bir kaza mağdurunun telefon numarasının hangi kaynaktan elde edildiği her olayda aynı değildir.
Muhtemel kaynaklar arasında;
- Çekici veya servis kayıtları
- Sigorta ve hasar dosyaları
- Ekspertiz işlemleri
- Sağlık kuruluşları
- İnternet ilanları ve sosyal medya paylaşımları
- Daha önce doldurulan formlar
- Hukuka aykırı biçimde oluşturulan veri listeleri
bulunabilir.
Ancak delil olmadan belirli bir sigorta şirketinin, servisin veya eksperin verileri sızdırdığı sonucuna varılamaz.
Bu nedenle arayan kişiden öncelikle şu bilgilerin istenmesi önemlidir:
- Şirketin tam ticaret unvanı
- Arayan kişinin adı ve görevi
- Telefon numarasının hangi kaynaktan alındığı
- Kaza bilgilerine nasıl ulaşıldığı
- Verilerin hangi hukuki sebebe dayanılarak işlendiği
- Şirketin aydınlatma metnine nereden ulaşılabileceği
- Verilerin başka kişilere aktarılıp aktarılmadığı
Bu sorulara açık ve tutarlı cevap verilememesi, hukuka aykırı veri işleme şüphesini güçlendirir.
Her İstenmeyen Arama KVKK İhlali midir?
İstenmeyen her telefon araması tek başına kişisel veri ihlalinin kesin kanıtı değildir.
Örneğin rastgele numara arayan bir satış şirketinin yalnızca genel bir hizmet teklifi sunması ile arayan kişinin;
- Plakanızı
- Kazanın tarihini
- Hasarın türünü
- Yaralandığınızı
- Servis veya hastane bilgisini
bilmesi aynı şekilde değerlendirilmez.
Kaza ayrıntılarının bilinmesi, kişisel verilerin belirli bir dosyadan veya kayıt sisteminden elde edilmiş olabileceğini gösterir. Arayan kuruluş bu verilere hangi hukuki sebeple ulaştığını açıklayamıyorsa KVKK ihlali ihtimali güçlenir.
Bununla birlikte kesin sonuca ulaşabilmek için arama kayıtları, görüşme içeriği, mesajlar ve veri kaynağına ilişkin bilgiler birlikte değerlendirilmelidir.
Kişisel Veriler Açık Rıza Olmadan İşlenebilir mi?
KVKK sisteminde açık rıza önemli bir hukuki işleme şartıdır; ancak tek işleme şartı değildir.
Kişisel veriler;
- Kanunda açıkça öngörülmesi
- Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi
- Bir hakkın tesisi, kullanılması veya korunması
- İlgili kişinin temel haklarına zarar vermemek şartıyla veri sorumlusunun meşru menfaati
gibi hukuki sebeplerle de işlenebilir.
Örneğin sigorta şirketinin hasar dosyasını değerlendirmesi veya servisin araç sahibine onarım hakkında bilgi vermesi için ayrıca pazarlama rızası alınması gerekmeyebilir.
Buna karşılık kişinin hiçbir ilişkisinin bulunmadığı bir hasar danışmanlık şirketinin, telefon ve kaza bilgilerini iş takibi amacıyla kullanması bakımından geçerli bir hukuki işleme şartının bulunması gerekir.
Açık rıza ileri sürülüyorsa bu rızanın;
- Belirli bir konuya ilişkin
- Bilgilendirmeye dayalı
- Özgür iradeyle verilmiş
- İşleme amacı açıkça gösterilmiş
olması gerekir.
“Her türlü veri paylaşımını kabul ediyorum” gibi genel ifadeler sınırsız veri kullanma yetkisi vermez.
2026/1095 Sayılı İlke Kararı Ne Getirdi?
Kişisel Verileri Koruma Kurumuna, kaza mağdurlarının istekleri dışında;
- Hasar danışmanlık şirketleri
- Sigorta takip merkezleri
- Avukatlar
- Kendisini avukat olarak tanıtan ancak baro kaydı bulunmayan kişiler
tarafından arandığına ilişkin çok sayıda ihbar ve şikâyet ulaştı.
Kurul, kaza mağdurlarının verilerine hukuka aykırı biçimde erişen ve bu veriler üzerinden iş takibi teklif eden kişi ve kuruluşların idari ve cezai sorumluluğunun gündeme gelebileceğini belirtti.
Karara göre kaza sonrası elde edilen kişisel veriler yalnızca;
- Adli veya idari soruşturmanın yürütülmesi
- Tedavi sürecinin yönetilmesi
- Hasarlı aracın onarılması
- Sigorta ve tazminat işlemlerinin yürütülmesi
gibi kaza sonrası süreçlerle sınırlı olarak kullanılabilir.
Verilerin bu amaçlardan koparılarak müşteri kazanma, ticari portföy oluşturma veya iş takibi amacıyla kullanılması ayrı bir hukuki işleme şartı gerektirir.
Sigorta Tazminatı Hasar Şirketine Devredilebilir mi?
Sigortacılık mevzuatı bakımından önemli bir sınırlama bulunmaktadır.
Sigorta kurumlarından talep edilecek tazminat alacağı yalnızca;
- Hak sahibine
- Hak sahibinin resmî vekili olan avukata
ödenebilir.
Bu tazminat alacağının avukat olmayan bir üçüncü kişiye, hasar danışmanlık şirketine veya benzer isimlerle faaliyet gösteren bir oluşuma devredilmesi hukuken geçerli değildir.
Bu nedenle kaza sonrasında arayan bir şirketin;
- Alacağı devralmayı
- Tazminatı kendi hesabına tahsil etmeyi
- Tazminatın belirli yüzdesini keserek ödeme yapmayı
- Avukat olmayan kişiler üzerinden hukuki takip yürütmeyi
teklif etmesi ayrıca dikkatle değerlendirilmelidir.
Arayan kişinin avukat olduğunu belirtmesi halinde baro levhası kaydı kontrol edilebilir.
Sigorta Eksperleri Verileri Kimlerle Paylaşabilir?
Sigorta eksperi, mesleki görevi kapsamında kişisel veri işleyebilir. Ancak bu yetki sınırsız değildir.
Eksper;
- Yalnızca görev için gerekli verileri işlemeli
- Verileri hasar tespiti ve raporlama amacıyla kullanmalı
- Yetkisiz üçüncü kişilere aktarmamalı
- Verilerin güvenliğini sağlamalı
- Mesleki sır saklama yükümlülüğüne uymalıdır
Eksperin telefon numarası, sağlık bilgisi veya kaza ayrıntılarını bir hasar şirketine müşteri kazandırmak amacıyla vermesi, KVKK’ya aykırılık oluşturabilir.
Somut olayın özelliklerine göre kişisel verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi nedeniyle ceza sorumluluğu da gündeme gelebilir.
Veri Sorumluları Hangi Güvenlik Önlemlerini Almalıdır?
Kaza mağdurlarına ait verileri işleyen sigorta şirketi, servis, eksper, hastane ve diğer veri sorumluları, verilerin hukuka aykırı şekilde kullanılmasını veya dışarı sızmasını önlemek zorundadır.
2026/1095 sayılı İlke Kararında özellikle şu tedbirler öne çıkarılmıştır:
- Kişisel verilere erişimde asgari yetki prensibi
- Göreve göre yetki sınırlandırılması
- Rol tabanlı erişim kontrolleri
- Erişim ve işlem loglarının tutulması
- Şüpheli erişimlerin takip edilmesi
- Çalışanların eğitilmesi ve bilinçlendirilmesi
- Gerekli teknik ve idari güvenlik önlemlerinin alınması
Örneğin bir servis çalışanının kendi görev alanıyla ilgisi bulunmayan bütün hasar dosyalarına erişebilmesi, veri güvenliği bakımından risk oluşturur.
Benzer biçimde kimin hangi dosyayı görüntülediğinin kayıt altına alınmaması, olası bir veri sızıntısının kaynağının belirlenmesini zorlaştırır.
Kaza Mağduru Hangi Belgeleri Saklamalıdır?
Hukuka aykırı veri kullanımından şüphelenildiğinde delillerin korunması önemlidir.
Şu kayıtlar saklanabilir:
- Arayan telefon numarası
- Aramanın tarihi ve saati
- Arayan kişinin adı ve şirket unvanı
- SMS ve WhatsApp mesajları
- Gönderilen sözleşme veya vekâletname örnekleri
- Şirketin internet sitesi ve iletişim bilgileri
- Görüşmede bilindiği anlaşılan kaza ayrıntıları
- Arama sonrası gönderilen e-posta ve belgeler
- Baro levhası sorgulama sonucu
- İYS veya TİSS kayıtları
- Veri sorumlusuna yapılan başvurular ve cevapları
Görüşmenin ayrıntıları, görüşme sonrasında tarih ve saat belirtilerek yazılı biçimde not edilebilir.
Arayan kişiye kimlik belgesi, banka bilgisi, e-Devlet şifresi, SMS doğrulama kodu veya uzaktan erişim izni verilmemelidir.
Veri Sorumlusuna Başvuru Nasıl Yapılır?
Kişisel verilerinin hukuka aykırı işlendiğini düşünen kişi, öncelikle veri sorumlusuna başvurmalıdır.
Başvuruda şu talepler ileri sürülebilir:
- Hangi kişisel verilerin işlendiğinin açıklanması
- Verilerin hangi kaynaktan elde edildiğinin bildirilmesi
- İşlemenin hukuki sebebinin belirtilmesi
- Verilerin hangi amaçla kullanıldığının açıklanması
- Verilerin aktarıldığı üçüncü kişilerin bildirilmesi
- Yanlış verilerin düzeltilmesi
- İşleme şartı bulunmuyorsa verilerin silinmesi veya yok edilmesi
- Yapılan işlemlerin verilerin aktarıldığı kişilere bildirilmesi
- Hukuka aykırı işleme nedeniyle zarar doğmuşsa zararın giderilmesi
Başvuru, yazılı olarak veya mevzuatta kabul edilen elektronik yöntemlerle yapılabilir.
Veri sorumlusu, başvuruyu en kısa sürede ve en geç 30 gün içinde cevaplandırmalıdır.
Şirketin kimliği kesin olarak belirlenemiyorsa telefon numarası, internet sitesi, mesajlar ve diğer bilgiler üzerinden önce ticari unvanın tespit edilmeye çalışılması yararlı olur.
KVKK Şikâyeti Hangi Sürede Yapılmalıdır?
Veri sorumlusu başvuruyu reddederse, verilen cevap yetersiz bulunursa veya 30 gün içinde cevap verilmezse Kişisel Verileri Koruma Kuruluna şikâyet edilebilir.
Şikâyet süresi;
- Veri sorumlusunun cevabının öğrenilmesinden itibaren 30 gün
- Her durumda veri sorumlusuna yapılan ilk başvurudan itibaren 60 gün
olarak uygulanır.
Örneğin veri sorumlusu başvuruya 20. günde cevap vermişse, kişi cevabı öğrendiği tarihten itibaren 30 gün içinde şikâyet edebilir; ancak ilk başvurudan itibaren 60 günlük üst süre de dikkate alınmalıdır.
Şikâyet dilekçesine;
- Veri sorumlusuna yapılan başvuru
- Başvurunun iletildiğini gösteren belge
- Veri sorumlusunun cevabı
- Arama ve mesaj kayıtları
- Şirket bilgileri
- Kaza ayrıntılarının bilindiğini gösteren belgeler
eklenmelidir.
Suç Duyurusu ve Diğer Başvuru Yolları
Kişisel verilerin hukuka aykırı biçimde ele geçirildiği, satıldığı, üçüncü kişilere verildiği veya ticari amaçla pazarlandığı yönünde şüphe bulunuyorsa Cumhuriyet Başsavcılığına suç duyurusunda bulunulabilir.
Kişisel verileri hukuka aykırı olarak verme veya ele geçirme fiili, olayın koşullarına göre Türk Ceza Kanunu’nun 136. maddesi kapsamında değerlendirilebilir.
Arayan kişinin avukat olması veya kendisini avukat olarak tanıtması halinde;
- İlgili baro başkanlığına bildirim
- Kişinin baro levhasında bulunup bulunmadığının kontrolü
- Sahte avukatlık şüphesinin savcılığa aktarılması
gündeme gelebilir.
Arama ticari bir hizmetin pazarlanmasına yönelikse, KVKK sürecinden bağımsız olarak Ticari Elektronik İleti Şikâyet Sistemi üzerinden de başvuru yapılabilir.
Bu yollar birbirinin alternatifi değildir. Aynı olay;
- KVKK yönünden kişisel veri işleme
- Ticari ileti yönünden izinsiz pazarlama
- Ceza hukuku yönünden verilerin hukuka aykırı ele geçirilmesi
- Meslek kuralları yönünden avukatlık faaliyeti
bakımından ayrı ayrı sonuç doğurabilir.
Hangi Durumlar Hukuka Aykırılık Şüphesini Güçlendirir?
Şu durumlar birlikte bulunuyorsa hukuka aykırı veri kullanımı ihtimali artar:
- Kişi daha önce şirketle hiçbir iletişim kurmamıştır.
- Arayan kişi plaka ve kaza ayrıntılarını bilmektedir.
- Verilerin kaynağı açıklanmamaktadır.
- Hukuki işleme şartı gösterilememektedir.
- Kişiye aceleyle vekâletname veya sözleşme imzalatılmak istenmektedir.
- Tazminatın belirli yüzdesi karşılığında takip önerilmektedir.
- Tazminat alacağının şirkete devri talep edilmektedir.
- Arayan kişi avukat olduğunu söylese de baro kaydı bulunmamaktadır.
- Sağlık veya hastane bilgileri bilinmektedir.
- Aramalar ret beyanına rağmen devam etmektedir.
Bu belirtilerden birinin bulunması tek başına kesin ihlal anlamına gelmeyebilir. Ancak olayın belgelenmesi ve veri kaynağının açıklanmasının istenmesi için yeterli bir şüphe oluşturabilir.
Temel Ölçüt: Verinin Kaza Süreci Dışına Çıkıp Çıkmadığı
Kaza sonrasında kişisel verilerin işlenmesi çoğu zaman kaçınılmazdır. Sigorta şirketi hasarı incelemek, servis aracı onarmak, hastane tedaviyi yürütmek ve yetkili makamlar soruşturmayı sürdürmek için belirli verilere ihtiyaç duyar.
Hukuki sorun, bu verilerin elde edilmesinden çok, elde edildikleri amaçtan koparılarak kullanılmasında ortaya çıkar.
Hasar dosyası için alınan telefon numarasının müşteri listesine eklenmesi, sağlık bilgisinin tazminat pazarlamasında kullanılması veya eksperin ulaştığı verilerin üçüncü kişilere aktarılması, kaza sürecinin gerektirdiği amaçların dışına çıkılması anlamına gelebilir.
Kaza bilgileri ticari bir müşteri listesi değildir. Veriye erişimi bulunan her kurum ve kişi, bu bilgileri yalnızca görevin ve hukuki ilişkinin gerektirdiği ölçüde kullanmak zorundadır.
Yasal Uyarı : Bu metin yalnızca genel bilgilendirme amacıyla hazırlanmıştır. Bütün somut uyuşmazlıkların kendi içerisinde değerlendirilmesi gerektiğinden somut uyuşmazlıklara dair hukuki tavsiye niteliği taşımamaktadır. Hak kaybı yaşanmaması adına hukuki süreçlerin yetkin bir avukat aracılığıyla takip edilmesi gerektiğini ısrarla hatırlatırız.
