Makale
Sigorta Hukukunda KVKK: Aktörler, İlgili Kişiler ve Veri Türleri
Gelişen teknolojiler ve dijitalleşme ile birlikte, sigortacılık faaliyetlerinin sürdürülebilmesi için yoğun bir kişisel veri işleme süreci zorunlu hale gelmiştir. Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, sigorta sektörünün yapısı gereği hem genel nitelikli hem de özel nitelikli kişisel veriler sürekli olarak işlenmektedir. Bir sigorta sözleşmesi kurulurken veya hasar tazmin süreçleri yürütülürken toplanan verilerin hukuki niteliği, sürecin temelini oluşturur. Bu karmaşık süreçte hukuki güvenliğin sağlanması; verisi işlenen ilgili kişilerin doğru tespit edilmesine ve sektörde faaliyet gösteren veri sorumlusu ile veri işleyen konumundaki aktörlerin yasal statülerinin net bir biçimde belirlenmesine bağlıdır. Bir hukuk bürosu perspektifiyle, sigorta ilişkisinin temel taşları olan bu kavramların doğru analiz edilmesi, ileride doğabilecek hukuki uyuşmazlıkların önüne geçilmesi açısından büyük önem taşımaktadır.
Sigorta Türlerine Göre Kişisel Veri Kategorileri
Sigorta hukukunda işlenen veriler, teminat altına alınan rizikonun niteliğine göre farklılık göstermektedir. Mal sigortaları (zarar sigortaları) kapsamında genellikle sigortalıya ait kimlik, iletişim bilgileri, fatura ve tapu kayıtları gibi genel nitelikli kişisel veriler işlenmektedir. Ancak sigorta dolandırıcılığının önlenmesi amacıyla adli sicil kayıtları gibi özel nitelikli kişisel veriler de zaman zaman sürece dahil olabilmektedir. Öte yandan, insan hayatını ve sağlığını merkeze alan can sigortaları süreçlerinde durum çok daha hassastır. Hastalık, sağlık, hayat ve kaza sigortalarında; kişilerin geçmiş sağlık öyküsü, genetik verileri, yaşam tarzı ve mevcut hastalık bulguları gibi veriler zorunlu olarak işlenir. Hatta bazı durumlarda bu veriler üzerinden kişinin risk skorlaması yapılarak geleceğe dair sübjektif ihtimal değerlendirmeleri dahi kişisel veri koruması altına alınmaktadır. Dolayısıyla, sigorta türüne göre verinin niteliği doğrudan değişmekte ve yasal koruma kalkanının boyutu da buna paralel olarak şekillenmektedir.
Sigorta İlişkisinde İlgili Kişi Kavramının Sınırları
KVKK kapsamında koruma sağlanan ve ilgili kişi olarak tanımlanan taraf, yalnızca gerçek kişilerdir; tüzel kişilere ait veriler ticaret hukuku ve ticari sır kapsamında değerlendirilir. Sigorta hukukunun çok taraflı yapısında, doğrudan sözleşmeye taraf olmasa bile kişisel verisi işlenen birden fazla süje bulunmaktadır. Örneğin henüz doğmamış olan bir cenin, anne karnında iken annenin sağlık sigortası kapsamına dahil edildiğinde, hem annenin hem de ceninin verileri koruma altına alınmaktadır. Ayrıca, sigortalı kişinin vefatı durumunda sözleşmeden doğan hakların kullanımı noktasında kanuni mirasçıların verileri de sistemin bir parçası olmaktadır. Sigorta sözleşmesinin yapısı gereği, poliçeyi düzenleyen, prim ödeyen, rizikosu teminat altına alınan veya tazminattan doğrudan menfaat sağlayan kişilerin her biri, kendi verileri bağlamında kanuni haklara sahiptir.
Tablo: Sigorta Hukukunda İlgili Kişi Statüleri
| İlgili Kişi Statüsü | Sigorta Hukukundaki Rolü ve Veri İşleme Boyutu |
|---|---|
| Sigorta Ettiren | Sözleşmeyi kuran ve prim ödeyen taraftır. Temel kimlik, iletişim ve finansal verileri doğrudan işlenen ana aktördür. |
| Sigortalı | Sigorta korumasından doğrudan yararlanan kişidir. Sözleşmeyi başkası yapsa dahi, sağlık veya malvarlığı verileri yoğun olarak işlenir. |
| Lehtar | Özellikle can sigortalarında, riziko gerçekleştiğinde tazminatı talep hakkı olan ve kişisel verileri hasar aşamasında işlenen taraftır. |
| Riziko Kişisi | Hayat sigortalarında yaşamı veya bedeni üzerine sözleşme yapılan kişidir. En hassas sağlık ve genetik verilerin merkezinde yer alır. |
Sektördeki Veri Koruma Aktörlerinin Rolleri
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi, kanun kapsamında veri sorumlusu sıfatını taşır. Bu bağlamda, faaliyetleri gereği veri işleme süreçlerine doğrudan yön veren sigorta şirketleri, kesin bir biçimde veri sorumlusu statüsündedir. Aynı şekilde, sigorta sözleşmesi kurmak isteyen müşterilerini bağımsız olarak temsil eden brokerler de, kendi müşteri portföylerini yönettikleri için veri sorumlusu olarak kabul edilirler. Diğer taraftan, yalnızca sigorta şirketinin talimatları doğrultusunda ve onun adına işlem yapan aktörler ise veri işleyen konumundadır. Hasar onarım firmaları, asistans hizmeti veren kuruluşlar ve kural olarak bağlı çalışan sigorta acenteleri, şirketlerin belirlediği sınırlar içinde veri işlerler. Ancak acentenin birden fazla sigorta şirketiyle çalışması ve kendi pazarlama faaliyetleri için bağımsız olarak veri toplaması halinde, onun da veri sorumlusu statüsüne geçebileceği unutulmamalıdır. Sektörün kilit aktörlerinden olan Sigorta Bilgi ve Gözetim Merkezi (SBM) ise yasal yetkilerle donatılmış, bağımsız bir veri sorumlusu olarak konumlanmaktadır.