Son yıllarda sigortacılık sektörü içerisinde, trafik kazaları veya diğer sigorta poliçesi kapsamındaki rizikoların gerçekleşmesinin hemen ardından, mağdur sıfatını taşıyan ilgili kişilerin hasar danışmanlık şirketleri ve bazı sigorta eksperleri tarafından telefonla aranarak vekâletname talep edilmesi uygulaması sıklıkla karşılaşılan bir sorun haline gelmiştir. Kişisel verilere hukuka aykırı şekilde erişim sağlanarak gerçekleştirilen bu eylemler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve 5237 sayılı Türk Ceza Kanunu kapsamında ciddi ihlaller barındırmaktadır.
Bu yazıda, sigortacılık faaliyetleri sırasında elde edilen kişisel verilerin yetkisiz üçüncü kişilerle paylaşılması, herhangi bir işleme şartına dayanmaksızın veri işleme faaliyetinde bulunulması ve bu durumun hukuki ile cezai yaptırımları, Kişisel Verileri Koruma Kurulu ve Anayasa Mahkemesi kararları ışığında ele alıyoruz.
1. Kişisel Verilerin Anayasal Koruması ve Açık Rıza Şartı
Bireylerin kimlik ve iletişim bilgileri başta olmak üzere, kendilerini belirlenebilir kılan her türlü bilgi anayasal güvence altındadır. 6698 sayılı Kanun’un 5. maddesi uyarınca, kişisel verilerin işlenebilmesi için kanunda sayılan istisnai haller dışında açık rıza şartı aranmaktadır. Sigorta şirketleri, eksperler veya hasar danışmanlık firmaları tarafından alınan rızaların sınırları da büyük önem taşımaktadır. KVKK emsal kararlarında belirtildiği üzere, “belirli bir konu ile sınırlandırılmayan ve ilgili işlemle sınırlı olmayan genel nitelikteki açık rızaların ‘battaniye rızalar’ olarak kabul edileceği ve hukuken geçersiz sayılacağı” ilkesi benimsenmiştir. Dolayısıyla, sigorta işlemleri sırasında alınan genel nitelikli rıza beyanları, verilerin hasar danışmanlık şirketlerine veya yetkisiz üçüncü kişilere aktarılmasına hukuki dayanak oluşturamaz.
2. Veri Sorumlusunun Güvenlik Tedbirleri Yükümlülüğü ve Yetki Aşımı
Sigorta şirketleri ve eksperler, veri sorumlusu sıfatıyla, kendilerine emanet edilen verilerin güvenliğini sağlamakla mükelleftir. Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.
Sektörde sıklıkla karşılaşılan durum, sigorta şirketlerinde veya eksperlik bürolarında çalışan personelin yetkilerini aşarak bu verileri hasar danışmanlık firmalarına sızdırmasıdır. Bu hususta Kurul, emsal nitelikte birçok kararında, “yetkileri aşmak ve/veya yetkilerini kötüye kullanmak suretiyle, kişisel amaçlara veya nedenlere bağlı olarak işleme amacı dışında söz konusu kişisel verilerin işlenmesi ve/veya bu verilerin üçüncü kişilerle paylaşılması 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 12’nci maddesinin (1) numaralı fıkrasına aykırılık teşkil edeceğinden” değerlendirmesini yaparak, personelin eylemlerinden dolayı veri sorumlusunun idari ve teknik tedbirleri almaması sebebiyle sorumlu tutulacağını tescil etmiştir.
3. Hukuka Aykırı Yazılım ve Uygulamalar Aracılığıyla Veri Sorgulama
Vatandaşların iletişim bilgilerinin hukuka aykırı yollarla temin edilerek aranması, genellikle yasa dışı yazılımlar vasıtasıyla gerçekleştirilmektedir. Bu hususta Kurul, “avukatlar/hukuk büroları ile finans, gayrimenkul danışmanlık, sigorta vb. sektörlerde faaliyet gösteren bazı kişi ve kuruluşlar tarafından muhtelif yollarla elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgileri gibi kişisel verilerinin sorgulanmasına imkân tanıyan yazılım/program/uygulamaların 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun veri sorumlularının veri güvenliğine ilişkin yükümlülüklerini düzenleyen 12’nci maddesi hükümlerine aykırılık oluşturduğunu” belirterek ihlalin hukuki boyutunu netleştirmiştir.
4. Hukuki ve Cezai Yaptırımlar
Kişisel verilerin sigorta sektöründe yetkisiz kişilerce ele geçirilmesi, aranması ve vekâlet talep edilmesi eylemleri hem idari para cezası hem de hapis cezası riskini barındırmaktadır. İdari yönden mağdurlar, öncelikle veri sorumlusuna başvurmalı, sonuç alamamaları halinde Kurul’a şikâyet yoluna gitmelidir. Cezai yönden ise, bu verileri hukuka aykırı olarak paylaşan veya ele geçirenler hakkında TCK hükümleri devreye girmektedir. Söz konusu verilerin kanuna aykırı olarak üçüncü kişilerle paylaşılması durumunda bu fiili gerçekleştiren kişiler için Türk Ceza Kanunu’nun 136’ncı maddesi gereğince kişisel verilerin hukuka aykırı olarak verilmesi suçu vücut bulacaktır.
SONUÇ
Sigortacılık sektörü, kişisel veri akışının yoğun olduğu ve mahremiyetin hassasiyetle korunması gereken bir alandır. Kaza veya hasar sonrasında vatandaşların iletişim bilgilerinin hukuka aykırı yollarla elde edilerek vekâletname talebiyle aranması; 6698 sayılı Kanun’un temel ilkelerine, veri işleme şartlarına ve veri güvenliği yükümlülüklerine açıkça aykırıdır. Bu ihlalleri gerçekleştiren hasar danışmanlık şirketleri, eksperler ve kendisini avukat olarak tanıtan şahıslar, ciddi idari para cezalarının yanı sıra 5237 sayılı Türk Ceza Kanunu’nun 136’ncı maddesi kapsamında hapis cezası ile karşı karşıya kalacaktır. Vatandaşların, kendilerine hukuka aykırı şekilde ulaşan bu tür firmalara itibar etmemesi ve yasal haklarını kullanarak Kişisel Verileri Koruma Kurulu’na ve Cumhuriyet Başsavcılıklarına şikâyette bulunmaları önem arz etmektedir.