Trafik kazası geçirenlerin yakından bildiği bir sahne: kazadan saatler sonra telefonunuz çalıyor, karşınızda “hasar danışmanlık” şirketi — tazminatınızı kat kat artırma vaadiyle vekâlet istiyor. Numaranızı hiç vermediğiniz bu şirketler verinize nereden ulaşıyor? Kişisel Verileri Koruma Kurulu, 20 Mayıs 2026 tarihli ve 2026/1095 sayılı ilke kararıyla bu zinciri hedef aldı: karar 1 Temmuz 2026 tarihli Resmî Gazete’de (Sayı: 33297) yayımlandı ve kaza mağdurlarının verilerini izinsiz işleyen herkese — danışmanlık şirketi, eksper, avukat — açık bir hukuki çerçeve çizdi.
Karar Ne Diyor? — Üç Katman
| Katman | İçerik |
|---|---|
| Tespit | Kaza tutanaklarındaki verilerle mağdurlara izinsiz ulaşılıp vekâlet toplanması yaygın bir ihlal |
| Hukuki sonuç | İşleme şartına dayanmayan bu veri kullanımı hukuka aykırı; fiil TCK 136/137 kapsamında suç oluşturabilir |
| Yaptırım çerçevesi | Mağdur KVKK md. 13 ile Kurula şikâyet edebilir; aykırı veri sorumlusuna md. 18 uyarınca işlem yapılır |
Karar ayrıca kaza verisi tutan tüm veri sorumlularına KVKK md. 12 tedbirlerini hatırlatıyor: çalışan eğitimi, asgari yetki prensibi, rol tabanlı erişim kontrolü ve erişim takibi. Türkçesi: sigorta şirketi, ekspertiz bürosu ya da ilgili kamu birimi, “bu dosyaya kim, ne zaman baktı” sorusuna cevap verebilmek zorunda.
Veri Nereden Sızıyor? — Zincirin Anatomisi
Kaza anından itibaren verileriniz birden çok elden geçer: kaza tespit tutanağı, sigorta ihbar kaydı, ekspertiz dosyası, servis ve hastane kayıtları. Bu halkalardan herhangi birinde veriye erişim yetkisi olan bir kişinin ad-soyad, telefon ve plaka bilgisini dışarı aktarmasıyla zincir kurulur; danışmanlık şirketi de “tazminatınız yanıyor” senaryosuyla arar. Kurul kararının önemi, yalnızca arayan şirketi değil sızdıran halkayı da sorumluluk kapsamına almasında: erişim kontrolü kurmayan veri sorumlusu, md. 12 yükümlülüğünü ihlal etmiş olur.
paradefter yorumu — Kararın Gerçek Değeri
İlke kararı tek şirkete kesilen ceza değil, sektöre çizilen sınırdır. KVKK md. 15/6 mekanizması, yaygın ihlallerde genel bağlayıcı çerçeve kurar — 2026/1095 tam bu türden. Yayım tarihinden itibaren “biz sadece danışmanlık yapıyoruz” savunması hukuken zayıfladı; veri kaynağını açıklayamayan her arama, kendi aleyhine delildir.
Mağdur tarafında asıl güç, kayıt tutmakta. Kurul şikâyeti somut olayla işler: arayan numara, şirket adı, tarih-saat ve konuşma özeti not edildiğinde dosya kendiliğinden oluşur. Aramayı sinirle kapatmak yerine iki dakika kayıt almak, hem sizin şikâyetinizi hem sonraki mağdurların dosyasını güçlendirir.
Sınır net olsun: Karar, kaza sonrası profesyonel hukuki yardım almayı kısıtlamaz. Kendi seçtiğiniz avukata vekâlet vermek her zaman hakkınız — yasaklanan, sizi verinizi sızdırarak bulan tarafın ticari yaklaşımıdır.
En Sık Yapılan 3 Hata
- “Numaramı sigortam vermiştir, normaldir” diye geçiştirmek. Sigortanızın verinizi pazarlama amaçlı üçüncü şirkete aktarması da ayrı bir ihlaldir; normalleştirmeyin, sorun.
- Telefonda kimlik/IBAN doğrulamak. Arayan “dosyanız için gerekli” dese de kimlik seri no, IBAN veya e-Devlet şifresi istemek meşru bir hasar sürecinin parçası değildir.
- Şikâyeti belgesiz yapmak. “Beni aradılar” tek başına zayıf dosyadır; numara + tarih-saat + şirket adı + talep içeriği kaydı, Kurul incelemesinin ham maddesidir.
2026’da Pratik Karar — Kazadan Sonra Aranıyorum
| Adım | Eylem |
|---|---|
| 1 | Arayanın şirket adını, numarasını, tarih-saati not edin; vekâlet vermeyin |
| 2 | Verinizi nereden edindiklerini yazılı sorun (KVKK md. 11 aydınlatma hakkı) |
| 3 | Verinizin silinmesini talep edin (KVKK md. 7) — cevap süresi 30 gündür |
| 4 | Cevapsız kalır ya da aramalar sürerse kvkk.gov.tr üzerinden Kurula şikâyet edin (md. 13) |
| 5 | Israrlı arama ve veri ticareti şüphesinde Cumhuriyet Başsavcılığına TCK 136/137 suç duyurusu |
| 6 | Gerçek hasar süreciniz için kendi seçtiğiniz avukat/eksperle çalışın |
Sonuç
2026/1095 sayılı ilke kararı, yıllardır “sektör pratiği” gibi normalleşen bir veri ihlalini üç sonuçla resmen kayda geçirdi: (1) kaza mağdurunun verisiyle izinsiz vekâlet avcılığı hukuka aykırıdır ve suç boyutu vardır; (2) kaza verisi tutan her kurum erişim kontrolü kurmakla yükümlüdür; (3) mağdurun elinde şikâyet (md. 13), silme (md. 7) ve suç duyurusu araçları vardır. Kazadan sonra gelen ilk telefonda verilecek en doğru cevap belli: kayıt alın, vekâlet vermeyin, kaynağını sorun.
