Kişisel Verileri Koruma Kurulu, 8 Ağustos 2024 tarihli ve 2024/1359 sayılı kararıyla sigorta şirketlerinin hasar ve değer kaybı süreçlerinde banka hesap bilgilerinin işlenmesine ilişkin önemli değerlendirmelerde bulundu.
Karara konu olayda ilgili kişi, trafik kazasının ardından aracında oluşan değer kaybının karşılanması amacıyla karşı tarafın sigorta şirketine başvurdu. Sigorta şirketinin değer kaybı bedelinin bir bölümünü doğrudan ilgili kişinin banka hesabına yatırması üzerine, kişi IBAN bilgisinin şirkete nasıl ulaştığını sorguladı.
İlgili kişi, banka hesap bilgisini sigorta şirketiyle paylaşmadığını, dolayısıyla IBAN bilgisinin bilgisi ve açık rızası dışında elde edilerek işlendiğini ileri sürdü. Ayrıca KVKK kapsamında şirkete yaptığı başvuruya yasal süresi içinde yanıt verilmediğini belirterek Kurula şikayette bulundu.
IBAN bilgisinin kaynağı belirlendi
Kurulun incelemesi sırasında IBAN bilgisinin nasıl elde edildiğine ilişkin önemli bir ayrıntı ortaya çıktı.
Sigorta şirketinin sunduğu ses kayıtlarını inceleyen Kurul, ilgili kişinin banka hesap bilgisinin kazaya karışan ve sigorta şirketinin müşterisi olan diğer araç sahibi tarafından hasar bildirimi sırasında şirkete iletildiğini tespit etti.
Kurul, Karayolları Motorlu Araçlar Zorunlu Mali Sorumluluk Sigortası Genel Şartları kapsamında tazminat başvurularında zarar gören üçüncü kişiye ait banka hesap bilgilerinin sunulmasının öngörüldüğüne dikkat çekti.
Bu nedenle IBAN bilgisinin hasar bildirimi sırasında sigorta şirketi tarafından elde edilmesini hukuka uygun bulan Kurul, şirketin söz konusu veriyi elde etme biçiminde KVKK açısından bir aykırılık bulunmadığı değerlendirmesini yaptı.
Sigorta şirketi ayrıca IBAN bilgisini Kredi Kayıt Bürosu'nun “IBAN Doğrulama Hizmeti” aracılığıyla kontrol ettiğini ve banka hesabının ilgili kişiye ait olduğunu teyit ettiğini bildirdi.
Aynı IBAN’ın değer kaybı ödemesinde kullanılması
Kararın önemli noktalarından biri, hasar dosyası kapsamında hukuka uygun şekilde elde edilen IBAN bilgisinin aynı kazaya ilişkin değer kaybı ödemesinde yeniden kullanılıp kullanılamayacağı oldu.
Kurul, ilgili kişinin vekili tarafından yapılan değer kaybı başvurusunda avukata ait bir IBAN bilgisinin bulunmadığını tespit etti. Bunun üzerine sigorta şirketinin, daha önce aynı kazaya ilişkin hasar dosyasında elde ettiği ve doğruladığı ilgili kişiye ait IBAN üzerinden ödeme yaptığı dikkate alındı.
Kurul, bu veri işleme faaliyetinin 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5'inci maddesinin ikinci fıkrasının (e) bendinde yer alan “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” hukuki sebebine dayandığı sonucuna vardı.
Bu kapsamda, banka hesap bilgisinin söz konusu amaçla işlenmesi için ayrıca açık rıza alınmasının gerekli olmadığı değerlendirildi. Kurul, bu nedenle sigorta şirketi hakkında IBAN bilgisinin değer kaybı ödemesinde kullanılması yönünden KVKK kapsamında işlem yapılmasına gerek görmedi.
KVKK başvurusuna geç yanıt da değerlendirildi
Kurul, kişisel verilerin işlenmesi açısından ihlal tespit etmezken, ilgili kişinin KVKK kapsamındaki başvurusuna zamanında yanıt verilmemesini ayrıca değerlendirdi.
Sigorta şirketi, başvurunun şirket içindeki süreçte yanlış birime yönlendirildiğini ve bu nedenle KVK birimine zamanında ulaşmadığını belirtti. Şirket, ilgili çalışana daha sonra eğitim verildiğini ve Kurumun savunma talebinin ardından başvuruya gecikmeli olarak yanıt verildiğini bildirdi.
Kurul ise ilgili kişi başvurularının KVKK'nın 13'üncü maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında etkin, hukuka ve dürüstlük kuralına uygun, gerekçeli ve süresi içinde sonuçlandırılması gerektiğini sigorta şirketine hatırlattı.
Karar sigorta sektörü için ne ifade ediyor?
KVKK'nın kararı, kişisel verilerin işlenmesinde açık rızanın her durumda zorunlu bir hukuki dayanak olmadığını bir kez daha ortaya koyuyor.
Bir kişisel veri hukuka uygun şekilde elde edilmişse ve KVKK'nın 5'inci maddesinde sayılan diğer veri işleme şartlarından biri mevcutsa, aynı verinin belirli bir amaçla işlenmesi için ayrıca açık rıza alınması gerekmeyebiliyor.
Ancak karar, daha önce hukuka uygun şekilde elde edilen bir verinin sınırsız biçimde yeniden kullanılabileceği anlamına gelmiyor. Somut olayda belirleyici olan unsurlar, IBAN bilgisinin ilk olarak trafik kazasına ilişkin hasar sürecinde hukuka uygun şekilde elde edilmesi ve sonraki kullanımın aynı kazaya ilişkin değer kaybı ödemesiyle doğrudan bağlantılı olması oldu.
Kurul sonuç olarak, sigorta şirketinin ilgili kişinin IBAN bilgisini değer kaybı ödemesinde kullanması nedeniyle herhangi bir işlem yapılmasına gerek olmadığına karar verdi. Bununla birlikte Kurul, ilgili kişi başvurularının zamanında, etkin ve usulüne uygun şekilde cevaplandırılması yükümlülüğünü sigorta şirketine ayrıca hatırlattı.
İlgili karara, https://www.kvkk.gov.tr/Icerik/8883/2024-1359 ulaşabilirsiniz
