Son güncelleme: 10 Ekim 2026. Kapsam: Kaza mağdurlarının kişisel verilerinin hukuka aykırı elde edilmesi, dijital deliller, veri sorumlusu başvurusu ve ceza soruşturması.
Bir trafik kazasının hemen ardından tanımadığınız kişi, adınızı, aracınızın plakasını ve kazadaki yaralanmanızı söyleyerek sizi arayabilir. Böyle bir görüşmede asıl mesele sadece rahatsız edilmek değildir. Kimin hangi bilgiye eriştiği, bilgiyi nereden aldığı ve başka kimlere aktardığı açıklığa kavuşturulmalıdır. Verinin bir hastane, servis veya sigorta dosyasında bulunması, onu ticari müşteri listesine dönüştürme hakkı vermez. Hukuki değerlendirme, arayanın iddiasından çok veri akışının ortaya çıkarılmasına dayanır.
Kişisel Verileri Koruma Kurulunun 20 Mayıs 2026 tarihli ve 2026/1095 sayılı ilke kararı bu soruna doğrudan değinmektedir. Karar, kaza mağdurlarına istekleri dışında ulaşan kişi ve kuruluşların faaliyetleri bakımından hukuka uygun işleme şartlarını hatırlatmaktadır. Bu makale, sigorta tazminatının hesabından ziyade veri ihlalinin delillendirilmesi, doğru muhatabın belirlenmesi ve başvuru yollarına odaklanır. Her istenmeyen telefon aynı suç değildir; açıklanamayan veri kullanımı somut inceleme gerektirir.
Kişisel veri yalnızca kimlik numarası değildir
Belirli veya belirlenebilir bir gerçek kişiye ilişkin her bilgi kişisel veri olabilir. Telefon numarası, isim, kişinin aracına ilişkin plaka kaydı, kaza tarihi, ev adresi ve banka bilgileri bu kapsama girebilir. Bir fotoğraf tek başına kişiyi göstermese de dosya numarası veya başka kayıtlarla ilişkilendirildiğinde kişisel veri niteliği kazanabilir. Bu nedenle “kimlik numaranızı almadık” savunması, diğer bilgilerin hukuki değerlendirmesini ortadan kaldırmaz. Veriler birlikte ve işlendikleri bağlam içinde ele alınır.
Sağlık bilgileri özel nitelikli kişisel veridir. Yaralanma türü, hastane kaydı, ameliyat veya iş göremezlik raporu sıradan iletişim verisinden farklı şartlara tabidir. KVKK 6’nın 2024’te değişen hükümleri uyarınca sağlık verisi için her durumda yalnız açık rıza bulunabileceği söylenemez; kanunda sayılan başka şartlar da vardır. Ancak bu şartların varlığı, bilgilerin ilgisiz pazarlama faaliyetine verilmesine genel izin oluşturmaz. Gerekli amaç ve yeterli koruma ayrıca değerlendirilir.
Veri işleme ile veri aktarımı nasıl ayrılır?
6698 sayılı Kanun bakımından toplama, kaydetme, saklama ve paylaşma veri işleme faaliyetleridir. Hastanenin tedavi kaydı tutması, servisin onarım dosyası oluşturması ve sigortacının hasarı incelemesi ayrı amaçlara hizmet eder. Kaydın hukuka uygun elde edilmiş olması, sonraki her aktarımı otomatik olarak hukuka uygun kılmaz. Dosyaya erişim, aktarım, yeni bir liste oluşturma ve bu liste üzerinden arama yapılması farklı aşamalardır. Sorumluluk, her aşamada kişinin veya kuruluşun yaptığı işe göre incelenir.
KVKK 4’teki ilkeler işleme şartı bulunsa da geçerlidir. Bilgi doğru, belirli amaçla bağlantılı ve ölçülü kullanılmalıdır; gereğinden fazla veri toplanmamalıdır. KVKK 5’te kanuni yükümlülük veya hakkın kurulması gibi açık rıza dışındaki hukuki sebepler düzenlenir. Bir şirketin kâr elde etmek istemesi tek başına mağdurun tüm dosyasını işleme hakkı vermez. Meşru menfaat değerlendirmesi yapılacaksa kişinin temel hak ve özgürlüklerine etkisi de hesaba katılır.
Kimi muhatap almalısınız?
Veri sorumlusu, veri işleme amaç ve araçlarını belirleyen kişidir. Arayan şirket, kendi müşteri listesi ve takip teklifleri için veriyi kullanıyorsa kendi faaliyeti bakımından veri sorumlusu olabilir. Bir hizmet sağlayıcı başka kuruluşun talimatıyla işlem yapıyorsa farklı bir rol söz konusu olabilir. Bu ayrım unvanla çözülmez; sözleşmeler, fiilî işleyiş ve veriyi kimin hangi amaçla kullandığı araştırılır. Bir dosyada birden fazla veri sorumlusu bulunması mümkündür.
İlk aşamada arayanın gerçek kişi adı, şirket unvanı, iletişim adresi ve hangi kuruluş adına hareket ettiği sorulabilir. Kendini avukat olarak tanıtan kişinin baro kaydı ayrıca kontrol edilebilir. Yalnız telefon numarası biliniyorsa veri başvurusunun doğru kişiye ulaşması zorlaşır; savcılık soruşturmasında hat ve işlem kayıtlarının araştırılması talep edilebilir. Kaynağı bilinmeyen arama nedeniyle hastane veya sigortacı kesin sorumlu ilan edilmemeli; bilgiyi kimlerin tuttuğu ve erişimin nerede gerçekleştiği açıklanmalıdır.
Dijital delilleri düzenleme yöntemi
Telefonun arama geçmişindeki tarih, saat ve numarayı gösteren ekran görüntüsü; size gönderilen SMS; WhatsApp yazışması; iletilen sözleşme; e-posta başlığı ve ekleri ayrı dosyalarda korunabilir. Ekran görüntüsünün yanında mümkünse uygulamadaki özgün mesajın saklanması yararlıdır. Sadece kırpılmış bir metin, görüşmenin önceki ve sonraki kısmını göstermeyebilir. Başvuruya koyacağınız örnekte hangi sözün hangi veriyi açığa çıkardığını belirtmek, yüzlerce sayfa açıklamasız ekran görüntüsünden daha anlaşılır olur.
Olay çizelgesinde bilgiyi daha önce kiminle paylaştığınızı da yazın. Telefon numaranızı servise verdiniz, sağlık raporunu sigortaya gönderdiniz ve daha sonra başka bir şirket yaralanmanızı söyledi: Bunlar araştırılacak bağlantılardır. Ancak bu sıra tek başına veriyi servisin veya sigortanın aktardığını ispatlamaz. Başvuru, eldeki kesin kayıtları ve araştırılmasını istediğiniz noktaları ayırmalıdır. Böylece inceleme, varsayımlarla kurulmuş suçlamalar yerine izlenebilir işlem ve iletişim bilgilerine dayanır.
Hukuka uygun delil elde etme sınırları önemlidir. Başkasının telefonuna veya kurumsal sisteme izinsiz erişmek, yeni bir uyuşmazlık yaratabilir. Gizli ses kaydının kabul edilebilirliği olayın koşullarına göre değerlendirilir; ani gelişen bir olay hakkındaki yargı yaklaşımı, planlı bütün görüşmelerin kaydedilebileceği anlamına gelmez. Başvuruda mevcut mesajlar ve kendi kayıtlarınız kullanılabilir. Kurumsal erişim kayıtları veya operatör kayıtları için ilgili makamların inceleme yetkisine başvurulması değerlendirilebilir.
Veri sorumlusuna ilk başvuruda neler istenir?
Başvuruda kişisel verilerinizin işlenip işlenmediğini, işleniyorsa kaynağını, türlerini, amaçlarını, hukuki sebeplerini ve aktarılmış olduğu kişileri sorun. Hatalı bilginin düzeltilmesini, şartları oluşmuşsa silinmesini veya yok edilmesini ve işlemlerin alıcılara bildirilmesini isteyebilirsiniz. Sadece aramaların durmasını istemek veri akışının açıklanmasını sağlamayabilir. Başvuru, kişisel verilerle ilgili talepleri ayrı cümlelerle göstermeli; tazminat veya ceza taleplerini aynı usulün sonucu gibi sunmamalıdır.
Başvuru Tebliği uyarınca ad, soyad, kimlik bilgisi, tebligat adresi, talep ve yazılı başvuruda imza bulunmalıdır. KEP, güvenli elektronik imza, mobil imza, önceden kayıtlı e-posta veya özel başvuru uygulaması gibi yöntemler kullanılabilir. Yeni bulunan sıradan e-posta adresine gönderimle yetinmek teslim ve usul tartışmasına yol açabilir. Başvurunun ulaştığı tarihi gösteren belgeyi saklayın. Avukat aracılığıyla başvuruluyorsa temsil belgesinin de uygun biçimde sunulması gerekir.
30 ve 60 günlük süreler nasıl işler?
Veri sorumlusunun cevap süresi en fazla 30 gündür. Başvuru reddedilir veya verilen cevap yetersiz bulunursa cevabın öğrenilmesinden itibaren 30 gün içinde Kurula şikâyet edilebilir; ilk başvurudan itibaren 60 günlük üst sınır ayrıca vardır. Cevapsızlıkta, 30 günlük cevap süresi dolduktan sonra ilk başvurunun 60. günü geçirilmemelidir. Şirketin sonradan telefonla açıklama yapması, sürenin yeniden başlayacağına güvenmek için yeterli değildir; yazılı tarihleri esas alın.
Örneğin veri sorumlusu başvurudan kısa süre sonra eksik cevap verirse, “her durumda iki ayım var” diye beklemek doğru değildir: Cevabı öğrenmeden başlayan 30 günlük şikâyet süresi de izlenmelidir. Hiç cevap verilmediğinde ise sonsuz bekleme söz konusu değildir. KVKK’nin 2019/9 sayılı kararı bu ayrımı açıklar. Somut takvim hesabında başvuru ve cevap tebliğ tarihleri belgelenmeli; tatil günü ve başvuru yöntemine ilişkin özellikler ayrıca değerlendirilmelidir.
TCK kapsamında hangi suçlar gündeme gelebilir?
TCK 135, kişisel verilerin hukuka aykırı kaydedilmesini; TCK 136, verilerin hukuka aykırı verilmesini, yayılmasını veya ele geçirilmesini düzenler. Güncel TCK 136’nın temel cezası iki yıldan dört yıla kadar hapistir. TCK 137’de kamu görevlisinin yetkisini kötüye kullanması veya mesleğin sağladığı kolaylıktan yararlanılması gibi nitelikli hâller bulunur. Her arama doğrudan bu maddelere girmez; verinin niteliği, edinme yöntemi, hukuka aykırılık ve fiili gerçekleştiren kişi araştırılmalıdır.
TCK 139 gereğince 135, 136 ve 138 kapsamındaki suçlar şikâyete bağlı değildir. Bu nedenle bütün kişisel veri suçları için otomatik olarak “altı ay içinde şikâyet şart” denmesi doğru değildir. Bununla birlikte delillerin elde edilebilirliği nedeniyle gecikmeden başvuru yararlı olabilir. Savcılığa veya kolluğa olay ve mevcut belgeler sunulabilir. KVKK kararını beklemek genel bir ön koşul değildir. Bir aramada tehdit, dolandırıcılık veya başka fiil varsa bunların ayrı unsurları da incelenir.
İdari inceleme tazminatın yerine geçmez
Kurul, veri işleme faaliyetinin hukuka uygunluğunu ve yükümlülüklere uyumu inceler. İdari para cezası mağdura ödenecek bir bedel değildir. Maddi zarar veya kişilik hakkına müdahale nedeniyle manevi tazminat ayrı hukuki değerlendirme gerektirir. TBK 49, 58 ve 72 ile kişilik hakkına ilişkin hükümler gündeme gelebilir. Zarar ve sorumluluk bağının kurulması gerekir; sadece bir arama yapılmış olması herkes için aynı tutarda manevi tazminat doğurmaz.
Tazminatta genel olarak öğrenmeden itibaren iki, fiilden itibaren on yıllık zamanaşımı ve daha uzun ceza zamanaşımı ihtimali değerlendirilebilir. Görevli mahkeme ilişkinin niteliğine bağlıdır; tüm veri davalarının aynı mahkemede görülmesi söz konusu değildir. Kamu kurumunun hizmetinden kaynaklanan zarar iddiasıyla özel şirketin haksız fiili aynı yargısal çerçevede olmayabilir. İdari veya adli yolun, tarafların ve zorunlu ön işlemlerin dosya incelenerek belirlenmesi gerekir.
Üç varsayımsal inceleme senaryosu
İlk örnekte araç sahibi bir aracı işletmeden mesaj alır; mesajda sadece sigorta dosyasında bulunan IBAN ve plaka birlikte geçmektedir. Araç sahibi mesajı korur ve işletmeye veri kaynağını sorar. Sigortacıya da ilgili verilerin kimlere aktarıldığı hakkında başvurur. Kaynağın sigortacı olduğu henüz ispatlanmamıştır. Araştırma için bu bilginin başka hangi belge veya kişide bulunduğu da değerlendirilir. İki kuruluşun cevaplarının karşılaştırılması aktarım zincirini daha anlaşılır hâle getirebilir.
İkinci örnekte hastaneye kaldırılan yolcuyu tanımadığı bir kişi arar ve ameliyat türünü söyleyerek sözleşme önerir. Sağlık bilgisinin işlendiği açıktır; buna hangi dayanakla erişildiği belirsizdir. Yolcu veri başvurusu yapar, savcılıkta erişim ve aktarım bağlantılarının araştırılmasını ister. Hastanede meşru tedavi için tutulan kayıtlarla bu kaydın ticari teklif için kullanılması ayrı değerlendirilir. Sağlık verisinin varlığı, cezai nitelendirmeyi otomatik belirlemese de incelemenin kapsamını etkiler.
Üçüncü örnekte bir çalışanın kaza mağdurlarının bilgilerini kişisel telefonuna aktarıp başka işletmeye gönderdiği iddia edilir. Kurumun politikaları kadar gerçek erişim yetkileri ve kayıtları önemlidir. Kurum açısından KVKK 12 yükümlülükleri; çalışan açısından veriyi elde etme, kaydetme ve verme fiilleri incelenebilir. Bir kişinin sorumluluğu diğerinin sorumluluğunu otomatik olarak kaldırmaz. Olayın kim tarafından, hangi yetkiyle ve hangi amaçla gerçekleştirildiği belirlenmeden bütün kuruluş hakkında kesin sonuç çıkarılamaz.
Sık sorulan sorular
Arayan kişi numaramı bir arkadaşından aldığını söylüyorsa ne olur?
Bu açıklama tek başına hukuki dayanak değildir. Kişisel verinin kim tarafından hangi amaçla aktarıldığı ve yeni kullanımın hukuka uygunluğu değerlendirilir. Söylenen kaynağın gerçekten mevcut olup olmadığı da araştırılabilir.
Şirket yerine yalnız arayan çalışanı şikâyet edebilir miyim?
Ceza sorumluluğu fiili işleyen kişi üzerinden incelenir. Veri sorumlusu başvurusu ise işleme amaçlarını belirleyen kuruluşa yöneltilebilir. İki yöntemin muhatabı her zaman aynı değildir.
Kurula önce başvurmadan savcılığa gidebilir miyim?
Evet, genel olarak KVKK kararını bekleme zorunluluğu yoktur. Ancak Kurula şikâyet için veri sorumlusuna başvuru usulü ayrıca yerine getirilmelidir. Ceza başvurusu bu şartı kendiliğinden tamamlamaz.
VERBİS kaydı bulunmayan şirket KVKK dışında mıdır?
Hayır. Sicile kayıt yükümlülüğünden istisna veya kayıt eksikliği, verilerin hukuka uygun işlenmesi yükümlülüğünü kaldırmaz. Şirketin faaliyeti ve kanunun kapsamı ayrıca değerlendirilir.
Ekran görüntüsü tek başına yeterli midir?
İncelemede yararlı olabilir; fakat yeterlilik somut olaya bağlıdır. Tarih, numara, mesajın tamamı ve mümkünse özgün kayıtla desteklenmesi olayın anlaşılmasını kolaylaştırır. Gerçekliğe ilişkin itirazlar ayrıca incelenebilir.
Silme istersem suçun delili kaybolur mu?
Silme talebi ve delillerin korunması birlikte planlanmalıdır. Size gelen kayıtları saklayabilir, hukuki saklama ve inceleme için gerekli kayıtların korunmasını isteyebilirsiniz. Her kaydın hemen yok edilmesi gerekmeyebilir.
Herkese açık plaka fotoğrafı serbestçe pazarlamada kullanılabilir mi?
Hayır. Fotoğrafın kamuya açık olması yeni kullanımın amacını sınırsız hâle getirmez. Kişiyle bağlantı, diğer verilerle eşleştirme ve işleme dayanağı ayrıca değerlendirilir.
Telefonla verilen cevap başvurum için yeterli olur mu?
Veri sorumlusu cevabını yazılı veya elektronik ortamda bildirmelidir. Telefon görüşmesini tek başına usulüne uygun cevap ve tarih belgesi kabul etmek tartışma yaratabilir. Yazılı yanıt talep edilebilir.
Beni hiç aramadan bilgilerimi satmaları da ihlal midir?
İletişim kurulması ihlalin zorunlu unsuru değildir. Hukuka aykırı kayıt, aktarım veya ele geçirme kendi başına incelenebilir. Ancak iddiayı destekleyen somut bilgi ve belgeler önem taşır.
Sağlık verisi için rıza vermiştim; her yere gönderebilirler mi?
Rızanın konusu ve amacı sınırlıdır. Tedavi veya belirli dosya işlemi için verilmiş rıza, ilgisiz işletmenin pazarlamasını kendiliğinden kapsamaz. Diğer hukuki sebepler de kendi koşulları içinde değerlendirilir.
Şirket yurt dışındaki yazılımı kullanıyorsa hangi kural uygulanır?
Yurt dışı aktarım varsa KVKK 9’daki güncel koşullar ayrıca incelenir. Yazılım kullanılması her durumda aktarım olduğunu göstermese de depolama ve erişim yerlerinin açıklanması istenebilir.
Başvuru sonucunda kesin tazminat alır mıyım?
Hayır. İdari tespit, ceza soruşturması ve tazminat farklı ölçütlere dayanır. Belirli bir sonuç veya tutar garantisi verilemez; belgeler, zarar ve sorumluluk ilişkisi değerlendirilir.
Kaynaklar ve hukuki değerlendirme
Resmî kaynaklar: KVKK 2026/1095 ilke kararı, KVKK başvuru usulü, şikâyet süreleri, cevap bildirim usulü, güncel Türk Ceza Kanunu, 6698 sayılı Kanun, Türk Borçlar Kanunu.
Kişisel veri ihlali ve dijital delillerin değerlendirilmesine ilişkin hukuki hizmet bilgileri incelenebilir. Aynı olayın hasar boyutu için sigorta başvurusu rehberine ve sigorta alacağıyla bağlantılı izinsiz arama açıklamasına bakabilirsiniz.
Veri sorumlusuna başvuru, suç duyurusu veya tazminat yolunun dosyanıza göre değerlendirilmesi için Avukat Murat Adar’a WhatsApp’tan ulaşabilirsiniz. Telefon: 0545 271 78 05. Başvuru tarihleriniz ve mevcut mesajlarınız, kapsamın belirlenmesine yardımcı olur.