İlgili kişinin veri sorumlusu sigorta şirketi hakkındaki şikayetinde özetle; ilgili kişinin veri sorumlusu tarafından sigortalanmış bir araç ile karşılıklı bir kazaya karıştığı ve oluşan değer kaybının tarafına ödenmesi için veri sorumlusuna başvuruda bulunduğu, veri sorumlusu tarafından ilgili kişinin kişisel banka hesabına araç değer kaybı başvurusu kapsamında talep edilen bedelin bir kısmının yatırıldığı, banka hesap bilgilerine nasıl erişildiği hususunda veri sorumlusuna başvuru yapıldığı ancak başvurusuna cevap verilmediği, ilgili kişinin banka hesap bilgilerini veri sorumlusu ile paylaşmadığı ve dolayısıyla bilgilerine rızası dışında ulaşıldığının anlaşıldığı, banka hesap bilgilerine erişilmesine Kanun kapsamında açık rızasının olmadığı ve sigorta şirketinin müşterisi dahi olmadığı halde ilgili kişinin banka hesap bilgilerine ilgili kişinin bilgisi olmaksızın veri sorumlusu tarafından gerekli aydınlatma ve açık rıza alma yükümlülükleri yerine getirilmeden ilgili kişi dışındaki bir kaynaktan ulaşılması ve kişisel verilerine yetkisiz şekilde erişilmesi hususlarının 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kanun) kapsamında bir veri ihlali oluşturduğu ifade edilerek veri sorumlusu hakkında Kanun kapsamında gerekli işlemlerin yapılması talep edilmiştir.
Konuya ilişkin başlatılan inceleme çerçevesinde veri sorumlusundan savunması talep edilmiş olup verilen cevapta özetle,
- İlgili kişinin başvurusuna cevap verilmemesine ilişkin olarak; İlgili Kişinin Kanun kapsamındaki başvuru tarihinden önce ilgili kişiye ait bir değer kaybı başvurusunun bulunduğu ve ilgili kişinin başvurusundan önceki bir tarihte, uyuşmazlığa konu bedelin ödenerek sürecin sonlandırıldığının tespit edildiği, yapılan incelemede, ilgili kişi özelindeki değer kaybı başvurusu ile bağlantılı olması sebebiyle ilgili kişi başvurusunun öncelikle değer kaybı sürecinin yürütülmesinden sorumlu iş birimine ulaştığının tespit edildiği, sorumlu iş birimi tarafından, ilgili kişi başvurusunun ilgili kişiye ait araç değer kaybı başvurusu sürecinin sonlandırılmış olması nedeniyle şirketin KVK birimine iletilmediğinin anlaşıldığı, Kanun kapsamında çalışanlara düzenliği eğitimler verildiği, ilgili kişinin başvurusunu doğru birime yönlendirmeyen çalışana da eğitim verildiği ve buna dair kanıtlayıcı belgelerin Kuruma sunulduğu, Kurumun savunma talebiyle birlikte ilgili kişinin başvurusunun değerlendirilerek süresi içinde olmasa da yanıtlandığı,
- İlgili kişinin hangi kişisel verilerinin işlendiği hususunda; ilgili kişinin geçmiş dönemde sigorta şirketinden kasko ve trafik poliçesi teklifleri alması ve yine geçmiş dönemde trafik poliçesi yaptırmış olması sebepleriyle Kanun’un 5’inci maddesinin ikinci fıkrasının (c) bendinde yer alan "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması" işleme şartı kapsamında kişisel verilerinin işlendiği; ayrıca ilgili kişinin sigorta şirketine hasar ve araç değer kaybı başvurularında bulunmuş olması sebebiyle; Karayolları Trafik Kanunu'nun 99’uncu maddesinin 1’inci fıkrası uyarınca sigortacıların, hak sahibinin zorunlu mali sorumluluk sigortası genel şartları uyarınca doğan miktarları hak sahibine ödemek zorunda olması sebebiyle Kanun’un 5’inci maddesinin ikinci fıkrasının (ç) bendi uyarınca "veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması", ve (e ) bendi uyarınca "bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması", ve aynı zamanda sigortacılık mevzuatından kaynaklanan yasal yükümlülükler kapsamında Kanun’un 5’inci maddesinin ikinci fıkrasının (ç) bendi uyarınca "veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması" işleme şartları uyarınca işlendiği,
- İlgili kişinin IBAN bilgisinin elde edilmesine ilişkin olarak; ilgili kişi ile trafik poliçesi sahibi bir sigortalının (bu başvuru açısından üçüncü kişi konumunda olan) karıştığı maddi hasarlı trafik kazası sonrasında ilgili kişinin, aracında oluşan hasarın karşı tarafın trafik sigorta şirketi olan Şirketlerince karşılanmasına karar verildiği, bu doğrultuda ilgili kişiye ait aracın tamir işlemleri için tamirhaneye çekildiği ve veri sorumlusuna hasar bildirimi yapıldığı, bu bildirim sırasında hasar bedelinin ödenebilmesi amacıyla ilgili kişinin IBAN numarasının veri sorumlusu ile paylaşıldığı, veri sorumlusunun veri güvenliğini ve kimlik teyidini sağlamak amacıyla Kredi Kayıt Bürosu'ndan ("KKB") temin ettiği ve kişiye ait T.C. kimlik numarası ve IBAN numarasının eşleşip eşleşmediğinin teyidini sağlayan "IBAN Doğrulama Hizmeti" aracılığıyla doğrulama yapıldığı ve IBAN numarasının ilgili kişiye ait olduğunun teyit edildiği, hasar bildiriminin ardından Sigortacılık Kanunu, Karayolları Trafik Kanunu, Türk Ticaret Kanunu, Karayolları Motorlu Araçlar Zorunlu Mali Sorumluluk Sigortası Genel Şartları ve ilgili sair mevzuata ve hukuka uygun şekilde hasar sürecinin yürütüldüğü, söz konusu sürecin yürütülmesi sırasında bahsi geçen mevzuata uygun şekilde eksper tarafından ekspertiz raporu oluşturulduğu ve IBAN bilgisine ilgili raporda da yer verildiği, maddi hasarlı trafik kazası sebebiyle ilgili kişinin aracında oluşan hasarın tamir bedelinin ilgili kişinin hasar ihbarında alınan ve KKB IBAN Doğrulama Hizmeti ile ilgili kişiye ait olduğu teyit edilen IBAN numarasına ödendiği ve dosyanın kapatıldığı,
- IBAN bilgisinin değer kaybı ödemesinin yapılması amacıyla kullanılmasına ilişkin olarak; hasar başvurusu sürecinin tamamlanmasının ardından ilgili kişi tarafından değer kaybı başvurusunda bulunulduğu, somut olayda, yapılan başvurunun ardından söz konusu belgelerin incelenerek değerlendirme yapıldığı ve mevzuat gereğince ödenmesi zorunlu olan miktarın; değer kaybı başvuru dilekçesinde avukatın IBAN numarasının bulunmaması sebebiyle aynı kaza sebebiyle yapılan hasar ihbarında veri sorumlusuna iletilen, ekspertiz raporuna konu olan ve KKB IBAN Doğrulama Hizmeti ile ilgili kişiye ait olduğu teyit edilen IBAN numaralı hesabına, ilgili kişinin ödemesini hızlı alabilmesi ve mağdur olmaması adına değer kaybı ödemesi olarak ödendiği,
- Öte yandan her ne kadar ilgili kişi geçmiş dönemde trafik poliçesi yaptırmış olsa da kişisel verilerin veri sorumlusunun faaliyet gösterdiği farklı süreçlerde elde edilmekte olduğu, Kanun’un temel ilkeleri ve bilgi güvenliğinin sağlanmasının bir gereği olarak minimum yetki prensibi uyarınca çalışanların erişim yetkilerinin yalnızca sorumlu oldukları iş süreçleri özelinde sınırlandırıldığı ve bu kapsamda poliçe üretimi kapsamında alınan verilere hasar departmanı personelinin erişim yetkisinin bulunmadığı, dolayısıyla hasar süreçlerini yöneten çalışanların poliçe üretiminde temin edilen T.C. Kimlik Numarasını görmesi ve bu veri ile işlem yapmasının fiili imkânsızlık içerdiği, dolayısıyla ilgili kişiye ait T.C. kimlik numarasının kişinin geçmiş dönemde yaptırmış olduğu trafik poliçesi kaynaklı olarak işlenmediği, hasar bildirimi ve aynı hasar bildirimi ile doğrudan bağlantılı değer kaybı başvurusu sürecinde veri sorumlusu tarafından temin edildiği ve Kanunun 4’üncü ve 5’inci maddeleri ile sigortacılık mevzuatı doğrultusunda hasar bildirimi ve aynı hasar bildirimi ile doğrudan bağlantılı değer kaybı sürecinde hukuka uygun olarak işlendiği
hususları ifade edilmiş, beyanlara esas kanıtlayıcı belgeler de Kuruma iletilmiştir.
Konuya ilişkin yürütülen inceleme neticesinde Kişisel Verileri Koruma Kurulunun 08/08/2024 Tarihli ve 2024/1359 Sayılı Kararı ile,
- Veri sorumlusunun iç işleyişindeki bir aksaklık nedeniyle ilgili kişiye geç dönüş yaptığı dikkate alındığında ilgili kişiler tarafından Kanun kapsamında yapılacak başvuruların Kanunun 13 üncü maddesi hükmü ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 6’ncı maddesi hükmü uyarınca etkin, hukuka ve dürüstlük kuralına uygun şekilde, gerekçe belirterek sonuçlandırılması hususunun veri sorumlusuna hatırlatılması gerektiği,
- Veri sorumlusunun ilgili kişinin şikayetinin süre bakımından reddine yönelik talebine ilişkin olarak; ilgili kişinin Kurumumuza şikâyet tarihi olarak ilgili kişinin Kuruma ilk şikâyet dilekçesini gönderdiği tarih esas alındığından süre yönünden şikâyetin usule uygun olduğu dikkate alındığında veri sorumlusunun söz konusu talebine ilişkin Kanun kapsamında yapılacak bir işlem bulunmadığı,
- Somut olayda veri sorumlusu sigorta şirketinin müşterisi olan ve ilgili kişi ile kaza yapan araç sahibinin veri sorumlusuna yaptığı hasar bildirimi sırasında ilgili kişinin banka hesap bilgisi (IBAN) verisinin veri sorumlusuna poliçe sahibi kişi tarafından iletildiğinin veri sorumlusu tarafından Kurula sunulan ses kayıt dökümünde tespit edildiği, bu noktada; üçüncü kişiye ait (somut olayda ilgili kişiye ait) kişisel verinin veri sorumlusu ile paylaşılması hususunun; Karayolları Motorlu Araçlar Zorunlu Mali Sorumluluk Sigortası Genel Şartları Tazminat Ödemelerinde İstenilecek Belgeler başlıklı Ek-6’nın Maddi Zararlar başlıklı 1’inci maddesinin Araç Hasarları başlıklı A bendine göre tazminat başvurusunda bulunan hak sahipleri tarafından 2918 sayılı Karayolları Trafik Kanunu’nun 99’uncu maddesi uyarınca ilgisine göre mağdur araç sahibine/zarar gören üçüncü şahsa ait banka hesap bilgileri (banka-şube adı, IBAN numarası) belgelerinin eksiksiz olarak sunulması gerektiği düzenlenmiş olduğundan hukuka uygun olduğu, dolayısıyla veri sorumlusu tarafından ilgili kişiye ait banka hesap bilgisi verisinin elde edilmesinin kaza sonrası yapılan hasar bildirimi sırasında gerçekleştiği,
- Aynı kaza sebebiyle araçta meydana gelen değer kaybına yönelik olarak ilgili kişi vekili tarafından veri sorumlusuna değer kaybı başvurusunda bulunulması sonrası veri sorumlusu tarafından ilgili kişinin banka hesap bilgisi kullanılarak ilgili hesaba değer kaybının bir kısmının yatırıldığı, sonuç olarak; araç hasar bildiriminde veri sorumlusu tarafından hukuka uygun olarak elde edilen ilgili kişiye ait banka hesap bilgisinin aynı kaza sebebiyle yapılan değer kaybı başvurusu sonrası ilgili kişiye değer kaybının ödenmesi amacıyla kullanılması suretiyle işlenmesi şeklindeki kişisel veri işleme faaliyetinin Kanunun 5’inci maddesinin (2) numaralı fıkrasının (e) bendinde düzenlenen “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” kişisel veri işleme şartı uyarınca gerçekleştirildiği dikkate alınarak söz konusu hususta Kanun kapsamında yapılacak bir işlem bulunmadığı
değerlendirmelerinden hareketle;
- Araç hasar bildiriminde veri sorumlusu tarafından hukuka uygun olarak elde edilen ilgili kişiye ait banka hesap bilgisinin aynı kaza sebebiyle yapılan değer kaybı başvurusu sonrası ilgili kişiye değer kaybının ödenmesi amacıyla kullanılması suretiyle işlenmesi şeklindeki kişisel veri işleme faaliyetinin Kanunun 5’inci maddesinin (2) numaralı fıkrasının (e) bendinde düzenlenen “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” kişisel veri işleme şartı uyarınca gerçekleştirildiği dikkate alınarak Kanun kapsamında yapılacak bir işlem bulunmadığına,
- İlgili kişinin, Kanunun 11’inci maddesi kapsamında yaptığı başvurusuna veri sorumlusu tarafından cevap verilmediği iddiasına ilişkin olarak; veri sorumlusunun iç işleyişindeki bir aksaklık nedeniyle ilgili kişiye geç dönüş yaptığı dikkate alındığında ilgili kişiler tarafından Kanun kapsamında yapılacak başvuruların Kanunun 13 üncü maddesi hükmü ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 6’ncı maddesi hükmü uyarınca etkin, hukuka ve dürüstlük kuralına uygun şekilde, gerekçe belirterek sonuçlandırılması hususunun veri sorumlusuna hatırlatılmasına,
- Veri sorumlusunun ilgili kişinin şikayetinin süre bakımından reddine yönelik talebine ilişkin olarak; ilgili kişinin Kurumumuza şikâyet tarihi olarak ilgili kişinin Kuruma ilk şikâyet dilekçesini gönderdiği tarih esas alındığından süre yönünden şikâyetin usule uygun olduğu dikkate alındığında veri sorumlusunun söz konusu talebine ilişkin Kanun kapsamında yapılacak bir işlem bulunmadığına
karar verilmiştir.