Türkiye’nin 2026 KVKK Kaza Mağduru Verileri Kararı

Kişisel Verileri Koruma Kurumu, kaza mağdurlarının kişisel verilerinin işlenmesine ilişkin yeni bir ilke kararı yayımladı.

20 Mayıs 2026 tarihli ve 2026/1095sayılı karar, 1 Temmuz 2026tarihinde duyuruldu. Karar; kaza mağdurlarının, hasar danışmanlığı şirketleri, "sigorta takip" operasyonları, avukatlar ve bazı durumlarda baro kayıtlarında yer almadıkları halde kendilerini avukat olarak tanıtan kişiler tarafından talep dışı aranmalarına yönelik şikayetler üzerine alındı.

Hedef oldukça net: kaza ile ilgili kişisel verilere hukuka aykırı erişim sağlanması ve bu verilerin mağdurlara ticari amaçla ulaşmak için kullanılması.

Ancak uyumluluk açısından doğurduğu sonuçlar çok daha kapsamlı.

Karar, kaza sonrası süreçte yer alan tüm kuruluşlar için önemli bir operasyonel kuralı pekiştiriyor:

Kaza ile ilgili meşru bir amaç doğrultusunda kişisel verilere erişim sağlanmış olması, bu verilerin başka bir amaçla yeniden kullanılması, paylaşılması veya ticarileştirilmesi için genel bir hak doğurmaz.

Sigortacılar, sigorta eksperleri, sağlık hizmeti sağlayıcıları, onarım ağları, asistans şirketleri, aracılar ve kaza ile ilgili bilgilere erişebilen diğer kuruluşlar için bu karar, verilere kimlerin erişebileceği, neden erişebileceği, nelerin dışa aktarılabileceği veya paylaşılabileceği ve bu faaliyetlerin kayıtlar ve kontrollerle kanıtlanıp kanıtlanamayacağıkonularında bir gözden geçirme yapılmasını zorunlu kılıyor.

Ne yaşandı?

Kişisel Verileri Koruma Kurumu, kaza mağdurlarının, aşağıda belirtilen faaliyet alanlarında hizmet veren kuruluşlar tarafından talep dışı aranmalarına ilişkin çok sayıda ihbar ve şikayet aldığını belirtti:

• hasar danışmanlığı;
• sigorta takip hizmetleri;
• avukatlar;
• ve aslında kayıtlı olmadıkları halde kendilerini avukat olarak tanıtan kişiler.

Endişe, sadece istenmeyen aramaların yapılmasıyla sınırlı değildi.

Temelde yatan soru çok daha köklüydü:

Bu taraflar, belirli bir kişinin yakın zamanda bir kazaya karıştığını gösteren bilgilere nasıl ulaştı?

Bir kaza, birden fazla kurum ve sistem genelinde önemli bir veri izi oluşturabilir. Olayın türüne bağlı olarak bu veriler şunları içerebilir:

• ad ve iletişim bilgileri;
• kimlik bilgileri;
• araç ve plaka verileri;
• kaza raporları;
• fotoğraflar ve videolar;
• konum bilgileri;
• sigorta ve hasar bilgileri;
• onarım kayıtları;
• polis veya idari kayıtlar;
• ve bazı durumlarda sağlık veya yaralanma bilgileri.

Kurumun kararı, bu zincirin herhangi bir yerinde yasal olarak erişilebilir olan bilgilerin, uygun bir yasal dayanak olmaksızın erişilmesi, çıkarılması veya ifşa edilmesi ve ardından ilgisiz ticari amaçlarla kullanılması riskine odaklanmaktadır.

En önemli uyum mesajı: erişim sağlandıktan sonra amaç önemlidir

Karar, kaza mağdurlarının kişisel verilerinin aşağıdaki gibi meşru amaçlarla işlenmesi gerekebileceğini açıkça kabul etmektedir:

• adli veya idari soruşturmalar;
• tıbbi tedavinin yönetilmesi;
• hasarlı araçların onarımı;
• ve sigorta ile ilgili süreçlerin yürütülmesi.

Dolayısıyla sorun kaza ile ilgili veri işlemenin kendisi değildir.

Sorun, bu amaçlarla elde edilen verilerin, işlenmesini meşru kılan amaç ve yasal koşulların dışına çıkmasıyla ortaya çıkar.

Örneğin, bir çalışan bir tazminat talebini yönetmek için bir kaza dosyasına erişme ihtiyacı duyabilir. Bu, çalışanın mağdurun iletişim bilgilerini dışa aktarıp üçüncü taraf bir tazminat şirketine verebileceği anlamına gelmez.

Bir sağlık hizmeti sağlayıcısı, tedavi sunabilmek için bir kaza hakkındaki bilgilere ihtiyaç duyabilir. Bu, aynı bilgilerin alakasız yönlendirmeler veya ticari amaçlı tanıtımlar için kullanılmasına otomatik olarak izin vermez.

Bir sigorta eksperi, yasal olarak tanınan mesleki görevlerini yerine getirirken kişisel verilere erişebilir. Karar, bu erişimin söz konusu görevlerle sınırlı kalması gerektiğini ve üçüncü taraflara yetkisiz ifşaya izin vermediğini açıkça ortaya koymaktadır.

Bu, daha geniş bir KVKK ilkesinin pratik bir uygulamasıdır:

Bir veri kümesine yasal yollardan giriş yapılmış olması, o verinin sonraki her türlü kullanımı için sınırsız bir yetki anlamına gelmez.

Kararın sigorta eksperleri hakkında söyledikleri

Karar, sigorta eksperlerinin meşru faaliyetlerini, yetkisiz ikincil kullanımlardan özellikle ayırmaktadır.

Kurum'a göre sigorta eksperleri, aşağıdakilerle bağlantılı faaliyetler de dahil olmak üzere, yasal görevleri çerçevesinde kişisel verileri işleyebilirler:

• hasar tespiti;
• raporlama;
• ve tazminat süreçlerinin yönetimi.

Ancak, kendilerine emanet edilen veriler yalnızca bu görevlerin gerektirdiği amaçlar doğrultusunda kullanılmalıdır.

Karar ayrıca şunları yapmaları gerektiğini vurgulamaktadır:

• verileri yetkisiz üçüncü taraflarla paylaşmaktan kaçınmak;
• uygun teknik ve idari güvenlik önlemlerini uygulamak;
• ve mesleki gizlilik yükümlülüklerine uymak.

Bu önemli bir ayrımdır.

Karar, tüm kaza bilgisi erişimlerini şüpheli olarak değerlendirmemektedir. Bunun yerine, verilere erişen kişinin şu soruları karşılayıp karşılamadığına bakmaktadır:

1. süreçte meşru bir rolü var mı;
2. uygulanabilir bir KVKK işleme şartına sahip mi;
3. verileri bu rol kapsamı dahilinde mi kullanıyor;
4. ve verilerin yetkisiz bir şekilde daha fazla kullanılmasını önlüyor mu.

Bu nedenle, kendisine atanan bir değerlendirmeyi yapmak için kaza dosyasına ihtiyaç duyan bir sigorta uzmanı ile kaza verilerine erişimini ticari bir müşteri listesi oluşturmak veya sağlamak için kullanan bir kişi arasında çok büyük bir fark vardır.

Karar, aydınlatma metinleri ve açık rıza formlarının ötesine geçmektedir

Kararın en önemli kısımlarından biri operasyonel boyuttur.

Kurum, kaza mağdurlarının kişisel verilerini tutan veya işleyen veri sorumlularının şu önlemleri alması gerektiğini belirtmektedir:

• çalışan eğitimi ve farkındalık çalışmaları;
• bilmesi gereken prensibine dayalı erişim kısıtlamaları;
• rol tabanlı erişim kontrolleri;
• ve günlükleme ve izleme mekanizmaları.

Bu durum, kararı bilgi güvenliği ve erişim yönetişimi açısından özellikle önemli kılmaktadır.

Bir şirket gizlilik bildirimlerine, politikalara ve sözleşme maddelerine sahip olsa bile, şu durumlarda ciddi risklerle karşı karşıya kalabilir:

• yüzlerce çalışan, iş gerekliliği olmaksızın kaza kayıtlarını arayabiliyor;
• müşteri kayıtları onay alınmadan dışa aktarılabiliyor;
• paylaşımlı yönetici hesapları, bireysel işlemlerin izini sürmeyi imkansız kılıyor;
• üçüncü taraf çağrı merkezleri aşırı miktarda veri seti alıyor;
• çalışanlar görev değiştirdikten sonra erişim hakları aktif kalmaya devam ediyor;
• veya şirket, bir mağdurun kayıtlarını kimin görüntülediğini ya da indirdiğini belirleyemiyor.

Karar bu nedenle temel bir kontrol modeline işaret ediyor:

Bilmesi gereken → minimum erişim → kontrollü kullanım → izlenen faaliyet → hesap verebilir paylaşım.

Kuruluşların şimdi gözden geçirmesi gerekenler

Karar, doğrudan sigorta ve kaza tazminatı ortamındaki uygulamaları ele alıyor; ancak kontrol beklentileri, kaza ile ilgili bilgileri tutan veya alan diğer kuruluşlar için de geçerli olabilir.

İlgililik derecesi, kuruluşun gerçek rolüne, veri akışlarına ve yasal dayanağına bağlı olacaktır.

‍

‍

Bu, bu sektörlerdeki her kuruluşun otomatik olarak aynı işleme koşullarına tabi olduğu anlamına gelmez.

Bu, kuruluşların temel bir soruya yanıt verebilmeleri gerektiği anlamına gelir:

Bu kişi veya sistem neden bu kaza mağdurunun verilerine erişebiliyor ve sonraki kullanımın bu amaç dahilinde kaldığını kanıtlayabiliyor muyuz?

Pratik bir kaza verisi akışı incelemesi

Karara verilecek faydalı bir yanıt, işe tüm gizlilik bildirimlerini yeniden yazarak başlamak değildir.

Veri akışıyla başlayın.

1. Kaza ile ilgili verilerin kuruluşa nereden girdiğini belirleyin

Ana kaynakları belgeleyin.

Bunlar şunları içerebilir:

• birey;
• sigortacı;
• sigorta uzmanı;
• kolluk kuvvetleri veya diğer kamu otoriteleri;
• hastane;
• tamir işletmesi;
• yardım hizmeti sağlayıcısı;
• aracı kurum;
• iş ortağı;
• API veya paylaşımlı sektör platformu.

Her kaynak için, alınan veri kategorilerini ve bu verilerin alınma nedenini kaydedin.

2. Verilere kurum içinden kimlerin erişebileceğini belirleyin

Sadece unvanlara güvenmeyin.

Sistemleri bizzat kontrol edin.

Bir hasar dosyasına teknik olarak şu departmanlardaki çalışanlar erişebiliyor olabilir:

• operasyon;
• müşteri hizmetleri;
• satış;
• finans;
• BT yönetimi;
• yönetim;
• dış kaynaklı destek;
• veya harici hizmet sağlayıcılar.

Doğru soru sadece "Sistemi normalde kim kullanıyor?" değildir.

Soru şudur:

Verileri bugün teknik olarak kim görüntüleyebilir, arayabilir, indirebilir, dışa aktarabilir veya kopyalayabilir?

3. Her bir işleme faaliyeti için yasal koşulu gözden geçirin

Aynı kaza sürecinin farklı aşamaları, KVKK kapsamında farklı işleme koşullarına dayanabilir.

Kuruluşlar, bir aşamanın hukuka uygun olmasının, sonraki her kullanımın da hukuka uygun olduğu anlamına geleceği varsayımından kaçınmalıdır.

Şunları ayrı ayrı gözden geçirin:

• toplama;
• dahili erişim;
• analiz;
• paylaşım;
• yönlendirme;
• kişiyle iletişime geçme;
• saklama;
• ve silme.

Sağlık verileri veya diğer özel nitelikli kişisel veriler söz konusu olduğunda, KVKK'nın 6. maddesi kapsamındaki gereklilikler de değerlendirilmelidir.

Gerçekleştirilen faaliyet için doğru hukuki dayanak belirlenmelidir. Kuruluşlar, başka bir hukuki şartın geçerli olduğu durumlarda otomatik olarak açık rızaya başvurmamalı ve açık rızanın, aksi takdirde aşırı veya uyumsuz olacak bir işleme faaliyetini meşrulaştıracağını varsaymamalıdır.

4. Amacın değişip değişmediğini test edin

Kaza verileriyle ilgili risklerin büyük kısmının ortaya çıkabileceği nokta burasıdır.

Şu soruları sorun:

• Veriler bir tazminat talebini işleme almak için toplanıp daha sonra satış amacıyla mı kullanıldı?
• Tıbbi tedavi için elde edilip daha sonra ticari bir yönlendirme amacıyla mı paylaşıldı?
• Hasar tespiti için erişilip ardından ilgisiz bir aracıya mı aktarıldı?
• Bir mağdurun telefon numarası, istenmeyen bir ticari teklifte bulunmak amacıyla operasyonel sistemden mi çekildi?
• Bir hizmet için tedarikçiye sağlanan veriler, daha sonra o tedarikçi tarafından kendi amaçları doğrultusunda mı kullanıldı?

Amacın değişmesi, ayrı bir hukuki analiz gerektirebilir.

Veriye sahip olmanın orijinal nedeni, yeni kullanımı otomatik olarak haklı çıkarmaz.

5. Erişim kontrollerini fiili iş ihtiyaçlarına göre gözden geçirin

Kurum, özellikle asgari yetkilendirme ve rol tabanlı erişim ilkesine atıfta bulunmaktadır.

Bu nedenle kuruluşlar şunları test etmelidir:

• kullanıcılar yalnızca rolleri için gerekli izinlere mi sahip;
• tam erişimin gerekli olmadığı durumlarda hassas alanlar kısıtlanmış mı;
• toplu dışa aktarımlar sınırlandırılmış mı;
• ayrıcalıklı erişimler ayrı olarak kontrol ediliyor mu;
• sorumluluklar değiştiğinde erişim yetkileri kaldırılıyor mu;
• etkin olmayan hesaplar devre dışı bırakılır;
• ve üçüncü taraf erişimi süreli olup izlenmektedir.

Daha yüksek riskli veri kümeleri için kuruluşlar, özellikle hassas işlemlerin ek onay veya kimlik doğrulama gerektirip gerektirmediğini de değerlendirmelidir.

6. Günlüklerin sadece var olmasını değil, işe yarar olmasını sağlayın

Karar, günlük kaydı ve izleme mekanizmalarını ilgili güvenlik önlemleri olarak açıkça tanımlamaktadır.

Var olan ancak temel soruşturma sorularına yanıt veremeyen bir günlük, sınırlı koruma sağlayabilir.

Kuruluşlar şunları tespit edip edemediklerini değerlendirmelidir:

• bir kayda hangi kullanıcının eriştiği;
• hangi bilgilerin görüntülendiği;
• bilgilerin düzenlenip düzenlenmediği;
• bir dosyanın indirilip indirilmediği veya dışa aktarılıp aktarılmadığı;
• etkinliğin ne zaman gerçekleştiği;
• olağandışı miktarda kayda erişilip erişilmediği;
• ve etkinliğin kullanıcının rolüyle tutarlı olup olmadığı.

İzleme, riskle orantılı olmalı ve yürürlükteki veri koruma gerekliliklerine uygun şekilde uygulanmalıdır.

Amaç, çalışanların ayrım gözetmeksizin gözetlenmesi değildir.

Amaç, hassas operasyonel verilere erişimi hesap verebilir kılmaktır.

7. Üçüncü taraf ve tedarikçi erişimini gözden geçirin

Kaza ile ilgili veriler sıklıkla kurumsal sınırların dışına çıkar.

Bir veri sorumlusu uygun iç kontrollere sahip olsa bile, aşağıdakilere aşırı veya yetersiz denetlenen erişim sağlayarak risk oluşturabilir:

• dış kaynaklı hasar yönetimi firmaları;
• çağrı merkezleri;
• teknoloji sağlayıcıları;
• onarım ağları;
• danışmanlar;
• asistans hizmeti sağlayıcıları;
• veya diğer aracı kurumlar.

İnceleme:

• üçüncü tarafın hangi verileri aldığı;
• bu verileri neden aldığı;
• veri setinin gerekli olanla sınırlı olup olmadığı;
• üçüncü tarafın verileri kendi amaçları doğrultusunda kullanıp kullanamayacağı;
• alt yüklenicilerin dahil olup olmadığı;
• hangi erişim kontrollerinin uygulandığı;
• hangi kayıt tutma işlemlerinin mevcut olduğu;
• ve hizmet sona erdiğinde verilere ne olduğu.

Sözleşme dili önemlidir, ancak sözleşmeler gerçek operasyonel veri akışını yansıtmalıdır.

Teknik ortam kısıtlamasız kopyalamaya ve dışa aktarmaya hala izin veriyorsa, sözleşmesel bir ikincil kullanım yasağının değeri sınırlıdır.

Kaza verileri, veri setleri birleştirildiğinde daha hassas hale gelebilir

Her kaza kaydı özel nitelikli kişisel veri içermez.

Ancak kaza süreçleri kolaylıkla sağlık bilgilerini içerebilir; bunlar arasında:

• yaralanmalar;
• tanılar;
• tedavi detayları;
• engellilik bilgileri;
• tıbbi raporlar;
• ve sağlıkla ilgili diğer kayıtlar yer alır.

Sağlık verileri, KVKK kapsamında özel nitelikli kişisel verilerdir ve ilgili 6. madde çerçevesi ile geçerli güvenlik gereklilikleri uyarınca ek özen gösterilmesini gerektirir.

Bu nedenle kuruluşlar, "kaza verilerini" tek tip bir veri kategorisi olarak ele almaktan kaçınmalıdır.

İsim, telefon numarası ve plaka içeren bir araç onarım dosyası ile tıbbi kayıtlar, sürekli engellilik bilgileri ve ayrıntılı finansal hesaplamalar içeren bir tazminat dosyası farklı risk profillerine sahiptir.

Erişim kontrolleri bu farklılığı yansıtmalıdır.

Karar, kaza mağdurlarıyla her türlü iletişimi yasaklıyor mu?

Hayır.

Karar, bir kaza sonrasındaki her türlü iletişime yönelik genel bir yasak olarak yorumlanmamalıdır.

Temel hususlar şunlardır:

• kişinin verilerinin nasıl elde edildiği;
• geçerli bir işleme şartının bulunup bulunmadığı;
• verilerin meşru ve uyumlu bir amaçla kullanılıp kullanılmadığı;
• herhangi bir paylaşımın yetkilendirilmiş ve hukuka uygun olup olmadığı;
• ve kuruluşun daha geniş kapsamlı KVKK yükümlülüklerine uyum sağlayıp sağlamadığı.

Bu nedenle bir şirket, bir telefon numarasına sahip olmanın, iletişimi bir şekilde yasal hale getirdiği sonucuna varmamalıdır.

Aynı şekilde karar, kaza süreciyle ilgili her kuruluşun kişiyle iletişime geçmesinin yasak olduğunu da söylememektedir.

Hukuki ve operasyonel bağlam önemlidir.

Karar, her zaman rıza gerektiği anlamına mı geliyor?

Hayır.

Kurumun kendisi de kaza ile ilgili kişisel verilerin; soruşturma, tedavi, onarım ve sigorta süreçleri gibi faaliyetler için geçerli yasal koşullar altında işlenebileceğini kabul etmektedir.

Bu nedenle doğru soru sadece şu değildir:

“Rızamız var mı?”

Doğru soru şudur:

“Bu özel faaliyet için geçerli işleme koşulu nedir ve bunun kapsamı dahilinde kalıyor muyuz?”

Geçerli bir işleme koşulunun bulunmadığı durumlarda, sırf kuruluşun elinde veri bulunuyor diye faaliyete devam edilmemelidir.

Peki ya hastaneler?

Bu karar, hastane sektörü için alınmış ilkesel bir karar değildir.

Bununla birlikte, kaza mağdurlarının verilerinin işlenebileceği meşru bağlamlardan biri olarak tedaviyi açıkça tanımaktadır.

Sağlık kuruluşları için pratik sonuç, esas olarak şununla ilgilidir: amaç ayrımı.

Tedavi için mevcut olan veriler, otomatik olarak birbiriyle ilgisiz olan şu alanlara aktarılmamalıdır:

• pazarlama;
• potansiyel müşteri oluşturma;
• yönlendirme;
• veya diğer ticari süreçler.

Sağlık verileri de söz konusu olabileceğinden, hastaneler ve sağlık hizmeti sağlayıcıları, özel nitelikli kişisel verileri düzenleyen KVKK kuralları kapsamında ayrı bir değerlendirme yapmalıdır.

Peki ya çekici, yol yardımı ve onarım hizmeti sağlayıcıları?

Bu sektörler kararın temel hedefi değildir.

Ancak, kaza bilgilerinin ilk oluşturulduğu noktaya yakın olabilirler ve şunları alabilirler:

• isimler;
• telefon numaraları;
• araç bilgileri;
• konumlar;
• kaza detayları;
• ve sigortacılar veya hasar talepleri hakkındaki bilgiler.

Bu tür kuruluşların veri sorumlusu veya veri işleyen olarak hareket ettiği durumlarda, gerçek rolleri değerlendirilmelidir.

Verilerin daha sonra paylaşılması konusuna özellikle dikkat edilmelidir.

Aracın kurtarılmasını koordine etmek için bir kazazedenin telefon numarasını alan bir çekici firması, aynı verilerin satış veya potansiyel müşteri oluşturma amacıyla ilgisiz işletmelere aktarılabileceğini varsaymamalıdır.

Peki ya medya kuruluşları?

Bu karar, kazalarla ilgili medya haberleri hakkında genel bir hüküm olarak değerlendirilmemelidir.

Medya tarafından yapılan veri işleme faaliyetleri; ifade özgürlüğü, gazetecilik faaliyetleri, kamu yararı ve yayının özel koşulları gibi ayrı soruları beraberinde getirebilir.

2026 tarihli kaza mağduru kararı, öncelikli olarak kaza ve sigorta ile ilgili süreçlerde kişisel verilere hukuka aykırı erişim ve bu verilerin kullanımı ile ilgilidir.

Amaç sınırlaması ve yetkisiz ifşa konusundaki genel dersleri hala geçerli olabilir, ancak karar, kaza haberleri için yeni ve evrensel bir kural getiriyormuş gibi mekanik bir şekilde uygulanmamalıdır.

Potansiyel müşteri oluşturma riski, liste satın almaktan çok daha büyüktür

Kuruluşlar genellikle yasa dışı potansiyel müşteri oluşturmayı, şüpheli bir kaynaktan elektronik tablo satın almakla bir tutarlar.

Gerçek risk çok daha sinsi olabilir.

Bir potansiyel müşteri şu kaynaklardan gelebilir:

• sistem erişimi aşırı olan bir çalışan;
• operasyonel kayıtları dışa aktaran bir yüklenici;
• başka bir hizmet için elde edilen verileri kullanan bir aracı;
• ortak bir sektör sistemi;
• hatalı yapılandırılmış bir API;
• mesajlaşma uygulamaları üzerinden gönderilen ekran görüntüleri;
• müşteri bilgilerini gizlice yeniden kullanan bir iş ortağı;
• veya erişimini koruyan ya da dosyaları indiren eski bir çalışan.

Bu durum, kuruluşların yalnızca nereden satın aldıklarını değil, potansiyel müşterileri de gözden geçirmeleri gerektiği anlamına gelir.

Ticari açıdan değerli verilerin meşru operasyonel süreçlerden nasıl sızabileceğiniincelemelidirler.

Altı soruluk pratik bir test

Kaza mağdurlarının kişisel verilerini içeren herhangi bir iş akışı için şu soruları sorun:

1. Veri nereden geldi?
2. Amaç: Başlangıçta neden elde edildi?
3. Yasal dayanak: Bu özel faaliyet için hangi KVKK işleme şartı geçerli?
4. Erişim: Gerçekten kimin erişime ihtiyacı var?
5. Paylaşım: Veriyi kim alıyor ve neden?
6. Kanıt: Yukarıdakileri dokümantasyon, izinler ve günlük kayıtları ile kanıtlayabiliyor muyuz?

Bu soruları yanıtlayamayan bir kuruluş, henüz bir şikayet veya olay yaşanmadan önce bile yönetişim sorunu yaşıyor olabilir.

Kuruluşlar şimdi ne yapmalı?

Bu karar, her kuruluşun yeni ve bağımsız bir uyumluluk programı başlatmasını zorunlu kılmıyor.

Hedefe yönelik bir inceleme daha faydalı olabilir.

1. Öncelik: Kontrolsüz erişimi bulun

Kaza, tazminat talebi, tedavi, onarım veya ilgili mağdur bilgilerini içeren sistemleri belirleyin.

İnceleyin:

• geniş kullanıcı izinleri;
• paylaşılan hesaplar;
• kısıtlamasız arama;
• toplu dışa aktarma özellikleri;
• yönetilmeyen indirmeler;
• ve atıl erişim.

Öncelik 2: İleriye dönük paylaşımı takip edin

Kaza ile ilgili bilgilerin hangi harici taraflara ulaştığını haritalandırın.

Şunları doğrulayın:

• amaç;
• yasal dayanak;
• gerekli minimum veri;
• ve sözleşmesel ve teknik kontroller.

Öncelik 3: Müşteri adayı oluşturma kanallarını inceleyin

Bir kuruluş kaza ile ilgili potansiyel müşteri bilgisi aldığında, şu soruya net bir yanıt isteyin:

Bu kişi kaza mağduru olarak nasıl tespit edildi?

“İş ortağı verisi”, “kamuya açık bilgi” veya “sektörel kaynak” gibi genel ifadeler, daha fazla doğrulama yapılmadan kabul edilmemelidir.

Öncelik 4: Tespit mekanizmalarını güçlendirin

Aşağıdaki gibi olağandışı davranışları belirlemek için günlük kaydı ve orantılı izleme yöntemlerini kullanın:

• atanmış vakalarla ilgisi olmayan tekrarlayan aramalar;
• toplu kayıt erişimi;
• olağan dışı indirmeler;
• beklenen sorumlulukların dışında erişim;
• veya iletişim bilgilerinin tekrarlanan dışa aktarımları.

Öncelik 5: Hesap verebilirliği koruyun

Belge:

• işleme amaçları;
• geçerli yasal koşullar;
• erişim kararları;
• tedarikçi rolleri;
• saklama süreleri;
• ve olay tırmandırma prosedürleri.

Amaç, kaza ile ilgili verilere erişimin varsayılan değil, kontrollü olduğunu kanıtlayabilmektir.

KVKK uyumluluğu için daha geniş bir ders

Bu kararın önemi kazaların ötesine geçmektedir.

Birçok kişisel veri ihlali, başlangıçta hukuka uygun olarak toplanan bilgilerle başlar.

Hata daha sonra gerçekleşir.

Bir çalışan gerekenden daha fazla veriye erişir.

Bir tedarikçi bilgileri başka bir amaçla yeniden kullanır.

Operasyonel bir veritabanı pazarlama kaynağına dönüşür.

Meşru bir alıcı, bilgileri yetkisiz bir tarafla paylaşır.

İşte bu yüzden pratik KVKK uyumluluğu, sadece gizlilik bildirimleri ve açık rıza formlarıyla sınırlı kalamaz.

Kuruluşların ayrıca şunları kontrol etmesi gerekir:

• kimlik ve erişim yönetimi;
• rol tasarımı;
• sistem izinleri;
• dışa aktarımlar;
• üçüncü taraf erişimi;
• log kayıtları;
• çalışan davranışları;
• ve verilerin ikincil kullanımları.

2026 tarihli kaza mağdurları kararı, şunu hatırlatması bakımından faydalıdır: gizlilik uyumluluğu ve güvenlik yönetişimi, erişim noktasında kesişir.

Sonuç

Türkiye’nin yeni ilke kararı, öncelikli olarak kaza mağdurlarının kişisel verilerinin hukuka aykırı şekilde elde edilmesine ve kullanılmasına, özellikle de mağdurlara tazminat odaklı işletmeler veya diğer taraflarca geçerli bir dayanak olmaksızın ulaşılmasına bir yanıttır.

Ancak kararın pratik önemi bundan daha geniştir.

Kaza ile ilgili verileri tutan kuruluşlar şunları kanıtlayabilmelidir:

• erişim, meşru bir role bağlıdır;
• işleme faaliyetleri, geçerli bir hukuki sebebe ve tanımlanmış amaca uygun kalmaktadır;
• yetkisiz üçüncü taraflarla paylaşım engellenmektedir;
• izinler, en az gerekli erişim ilkesini takip eder;
• önemli faaliyetler kaydedilir ve incelenebilir durumdadır;
• ve çalışanlar ile hizmet sağlayıcılar, ikincil kullanıma ilişkin sınırları anlarlar.

Bu nedenle en faydalı yanıt, bir gizlilik bildirimine sadece bir cümle daha eklemek değildir.

En faydalı yanıt, kaza verilerinin insanlar, sistemler, tedarikçiler ve ticari süreçler içindeki gerçek rotasını incelemektir.

Kooch Cybersecurity & Compliance, kuruluşların KVKK veri akışlarını, erişim kontrollerini, işleme amaçlarını ve operasyonel uyum açıklarını değerlendirmelerine yardımcı olur. Hedefe yönelik bir KVKK boşluk analizi, belgelenmiş gizlilik uygulamaları ile gerçek sistem davranışının uyuşmadığı noktaların belirlenmesine yardımcı olabilir.

‍

Kaynaklar / Referanslar

• Kişisel Verileri Koruma Kurumu — Kaza mağdurlarının kişisel verilerinin işlenmesine ilişkin 20 Mayıs 2026 tarihli ve 2026/1095 sayılı Kişisel Verileri Koruma Kurulu İlke Kararı hakkında kamuoyu duyurusu.