Sigortacılık Faaliyetlerinde Kişisel Verilerin Korunması Kanununun Kapsamı
6698 sayılı Kişisel Verilerin Korunması Kanunu, sektör bazında herhangi bir ayrım gözetilmeksizin kişisel verileri işlenen gerçek kişiler ile bu verileri işleyen gerçek ve tüzel kişiler hakkında uygulanır. Sigortacılık sektöründe faaliyet gösteren kuruluşlar da kişisel verilerin toplanması, kaydedilmesi, saklanması ve aktarılması aşamalarında anılan kanun hükümlerine tabidir.
Özel Nitelikli Kişisel Veriler ve Sağlık Verilerinin İşlenme Esasları
Bireylerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik bilgileri özel nitelikli kişisel veri sayılır. 6698 sayılı Kanun'un 6. maddesi uyarınca bu verilerin işlenmesi kural olarak yasaktır. Özel nitelikli veriler; ilgilinin açık rızasının bulunması, kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ilgilinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun bulunması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ile istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hallerinde işlenebilir. Ayrıca bu verilerin işlenmesinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması şarttır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
Sağlık ve cinsel hayata ilişkin veriler bakımından kanunda özel bir istisna düzenlenmiştir. 6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrasının (e) bendi uyarınca bu veriler; kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir. Ancak sigorta şirketlerinin bu hüküm kapsamında sır saklama yükümlülüğü altındaki kuruluş veya yetkili mercii niteliğinde kabul edilip edilemeyeceği ve dolayısıyla açık rıza bulunmaksızın sağlık verisi işleyip işleyemeyeceği hususu tartışmalıdır.
Sigortacılık Mevzuatında Sır Saklama ve Şirketler Arası Bilgi Paylaşımı
5684 sayılı Sigortacılık Kanunu'nun 31/A maddesinin birinci fıkrası uyarınca sigortacılık mevzuatının uygulanmasında ve denetiminde görev alanlar, kanuna tabi kuruluşların görevlileri, yetkilileri, çalışanları ve dışarıdan hizmet alımı yoluyla sektörde iş görenler; faaliyet gösteren kişi ve kuruluşlar ile bunların iştirakleri, kuruluşları ve sigorta sözleşmesi ile ilgili kişilere ait öğrendikleri sırları kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamaz, kendilerinin veya başkalarının yararlarına kullanamaz. Bu yükümlülük görevlerin sona ermesinden sonra da devam eder. Benzer şekilde 6698 sayılı Kanun'un 12. maddesinin dördüncü fıkrası gereğince veri sorumluları ve veri işleyenler, öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu sır saklama yükümlülüğü görevden ayrıldıktan sonra da sürer.
5684 sayılı SİGORTACILIK KANUNU m. 31/AKaynağı aç
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Sır saklama yükümlülüğünün kanuni bir istisnası olarak; sigorta şirketleri, reasürans şirketleri ve emeklilik şirketlerinin kendi aralarında doğrudan doğruya ya da Sigorta Bilgi ve Gözetim Merkezi vasıtasıyla gerçekleştirecekleri bilgi ve belge alışverişi belirli koşullara bağlanmıştır. 5684 sayılı Kanun'un 31/A maddesinin ikinci fıkrası uyarınca, taraflar arasında gizlilik sözleşmesi akdedilmesi ve paylaşılan bilgilerin münhasıran risk değerlendirmesi amacıyla kullanılması şartıyla, yanlış sigorta uygulamaları dahil sır niteliğindeki bilgilerin paylaşımı sır saklama yükümlülüğünün dışında tutulmuştur.
Poliçe Süreçlerinde Açık Rıza ve Sözleşmenin İfası Ayrımı
Bireysel emeklilik sözleşmesi bulunan bir kişinin poliçe bilgilerine ulaşabilmesi için onay kutucuğu sunularak kişisel verilerin işlenmesine rıza göstermek zorunda bırakılmasına ilişkin incelemede; verilerin sözleşmenin kurulması veya ifası amacıyla işlenmesi gerektiği, dolayısıyla işlemenin açık rıza dışında kanuni bir sebebe dayandığı ve hizmetin açık rıza şartına bağlanamayacağı değerlendirilmiştir. Buna karşılık söz konusu değerlendirmede açık rıza alınmasına kesin olarak gerek bulunmadığı yönünde açık bir görüş ortaya konulmamıştır.
Aile adına düzenlenen bir sağlık poliçesinin yenilenmesi sürecinde sigorta şirketinin ilgiliden açık rıza talep etmesine yönelik bir başvuruda Kişisel Verileri Koruma Kurulu, poliçenin özel nitelikli kişisel veri barındırması gerekçesiyle açık rıza istenmesini kanuna aykırı bulmamıştır. Bununla birlikte söz konusu incelemede benimsenen yaklaşımın, açık rızanın hizmetin ön şartı haline getirilmemesi yönündeki genel ilkeler karşısındaki durumu doktrinde tartışılmaktadır.
Kişisel Verilerin Yurt Dışına Aktarılması Usulü
6698 sayılı Kanun'un 9. maddesi uyarınca kişisel veriler; Kanun'un 5. ve 6. maddelerinde belirtilen şartlardan birinin bulunması ve aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının mevcudiyeti halinde yurt dışına aktarılabilir. Yeterlilik kararının bulunmadığı hallerde ise kanuni işleme şartlarından birinin varlığı, ilgili kişinin aktarım yapılacak ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması ve bağlayıcı şirket kuralları, standart sözleşme veya taahhütname gibi maddede öngörülen uygun güvencelerden birinin sağlanması şartıyla veri aktarımı mümkündür. Taraflarca imzalanan standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararının bulunmadığı ve uygun güvencelerin sağlanamadığı durumlarda ise yurt dışına kişisel veri aktarımı kural olarak düzenli bir veri akışı şeklinde yapılamaz; veri sorumluları ve veri işleyenler yalnızca arızi olmak kaydıyla ve muhatabın muhtemel riskler hakkında bilgilendirilmiş açık rızasının bulunması, sözleşmenin ifası veya bir hakkın tesisi gibi Kanun'un 9. maddesinin altıncı fıkrasında tahdidi olarak sayılan hallerden birine dayanarak aktarım gerçekleştirebilir.
Veri Güvenliği Yükümlülükleri ve İhlal Bildirimi
6698 sayılı Kanun'un 12. maddesi gereğince veri sorumluları; kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı olarak erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edecek her türlü teknik ve idari tedbiri almak zorundadır. Verilerin kendi adına başka bir kişi tarafından işlenmesi durumunda veri sorumlusu bu önlemlerden veri işleyenle birlikte müştereken sorumludur. Özel nitelikli kişisel verilerin işlenmesinde ise veri sorumlularınca sistemli, kuralları net, yönetilebilir ve sürdürülebilir nitelikte ayrı bir politika ve prosedür belirlenmesi esastır.
İnternet sayfalarının bulunduğu sunucuların siber saldırıya uğraması gibi teknik güvenlik olaylarında, kişisel verilerin gizlilik derecesine göre muhafazasında yeterli teknik ve idari tedbirlerin alınıp alınmadığı Kişisel Verileri Koruma Kurulu tarafından incelenmektedir. 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası uyarınca, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumunda veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirmekle yükümlüdür.
Sigorta şirketleri kendi aralarında kişisel veri ve sır paylaşabilir mi?
5684 sayılı Sigortacılık Kanunu m. 31/A uyarınca sigorta, reasürans ve emeklilik şirketleri arasında doğrudan veya Sigorta Bilgi ve Gözetim Merkezi vasıtasıyla; gizlilik sözleşmesi yapılması ve münhasıran risk değerlendirmesi amacıyla kullanılması şartıyla bilgi ve belge paylaşımı mümkündür.
Sağlık poliçesi yenilenirken açık rıza talep edilmesi mevzuata aykırı mıdır?
Kişisel Verileri Koruma Kurulu somut bir olayda sağlık poliçesinin özel nitelikli kişisel veri içermesi sebebiyle rıza talep edilmesini mevzuata aykırı bulmamıştır; ancak bu değerlendirmenin açık rızanın hizmet şartına bağlanmaması genel kuralı karşısındaki yeri tartışmalıdır.
Poliçe bilgilerine erişim açık rıza şartına bağlanabilir mi?
Kişisel verilerin sözleşmenin kurulması veya ifası amacıyla işlenmesinin zorunlu olduğu hallerde poliçe erişiminin açık rıza onay kutucuğuna bağlanması hizmetin rıza şartına bağlanması olarak kabul edilmemiştir; ancak bu durum rıza alma ihtiyacını mutlak surette ortadan kaldıran genel bir kural olarak yorumlanmamaktadır.
Yurt dışına veri aktarımında imzalanan standart sözleşmeler ne zaman bildirilir?
6698 sayılı Kanun m. 9 uyarınca yurt dışına veri aktarımı için akdedilen standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.
Sigortacılıkta bir veri ihlali meydana geldiğinde hangi bildirimler yapılmalıdır?
6698 sayılı Kanun m. 12 f. 5 uyarınca işlenen kişisel verilerin kanuna aykırı yollarla üçüncü kişilerce ele geçirilmesi durumunda veri sorumlusu bu ihlali en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmek zorundadır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy