Bütünleşik Sigortalar Yönetmeliği ve Kişisel Verilerin Korunması

Sigortacılık ve Özel Emeklilik Düzenleme ve Denetleme Kurumu ("Kurum") tarafından hazırlanan "Bütünleşik Sigortalar Hakkında Yönetmelik" ("Yönetmelik") ile "Sigortacılık Kapsamında Değerlendirilecek Faaliyetler ve Mesafeli Akdedilen Sigorta Sözleşmeleri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik" ("Değişiklik Yönetmeliği"), 12.11.2026 tarihli ve 33428 sayılı Resmî Gazete'de yayımlanmış ve yayımı tarihinde yürürlüğe girmiştir.

Bu yazımızda iki düzenlemenin getirdiği yapı kısaca aktarıldıktan sonra, bu yapının kişisel verilerin korunması bakımından doğurduğu sonuçlar ele alınmaktadır.

İki Düzenleme Birlikte Değerlendirilmelidir

Bütünleşik sigorta, hukukumuzda yeni bir konu değildir. 16.06.2021 tarihli ve 31513 sayılı Resmî Gazete'de yayımlanan Sigortacılık Kapsamında Değerlendirilecek Faaliyetler ve Mesafeli Akdedilen Sigorta Sözleşmeleri Hakkında Yönetmeliğin 10'uncu maddesi, mal ve hizmet satışı ile bağlantılı olarak sunulan sigortaları düzenlemekteydi.

Anılan maddenin kapsamı dardı. Madde; bilgisayar, tablet, cep telefonu ve beyaz eşya gibi cihazların satışına bağlı olarak sunulan elektronik cihaz, makine kırılması ve hırsızlık sigortalarıyla sınırlıydı.

Değişiklik Yönetmeliği ile bu madde yürürlükten kaldırılmış, konu müstakil bir Yönetmeliğe taşınmıştır. Aynı Değişiklik Yönetmeliği, 2021 tarihli Yönetmeliğin amaç ve kapsam maddelerini de sadeleştirmiş, ticaret ortamı sağlayan kişi ve kuruluşları anılan Yönetmeliğin kapsamından çıkarmıştır. Bu kuruluşlar bakımından düzenleme artık yeni Yönetmelikte yer almaktadır.

Değişiklik Yönetmeliğinin bir diğer önemli sonucu 9'uncu maddenin dördüncü fıkrasına ilişkindir. Anılan fıkra, yetkili kuruluşların kendi elektronik ticaret ortamları dışındaki, mal ve hizmet satışı yapılan elektronik ticaret ortamlarında sigorta ürünlerinin satışa sunulmasını kural olarak yasaklamaktadır. Bu yasağın istisnası önceden 10'uncu maddedeki sigortalardı. Değişiklikle istisna, Bütünleşik Sigortalar Hakkında Yönetmelik kapsamında sunulan sigortalar olarak yeniden belirlenmiştir. Dolayısıyla bütünleşik sigorta, üçüncü kişilere ait elektronik ticaret ortamlarında sigorta satışına getirilen genel yasağın istisnasını oluşturmaktadır.

Bütünleşik Sigortalar Yönetmeliği Hakkında Kısa Bilgi

Yönetmelik, 5684 sayılı Sigortacılık Kanunu ile 47 sayılı Cumhurbaşkanlığı Kararnamesinin 4'üncü ve 18'inci maddelerine dayanılarak hazırlanmıştır.

Yönetmeliğin 4'üncü maddesinde bütünleşik sigorta, "mal satışı veya kiralanması ile hizmet satışının yapıldığı fiziki veya elektronik ortamda, söz konusu mal, hizmet veya bunların finansmanı ile doğrudan bağlantılı risklerle sınırlı olarak alıcıya sunulan teminatları içeren sigortalar" şeklinde tanımlanmıştır.

Kapsam, kaldırılan maddeye göre önemli ölçüde genişlemiştir. Düzenleme artık yalnızca cihaz satışını değil mal ve hizmet satışının tamamını kapsamakta, malın zarar görmesi teminatlarının yanı sıra ev hayvanı teminatlarına, seyahat, ulaşım, konaklama, etkinlik, abonelik, fatura ödeme, siber güvenlik hizmetleri, paylaşımlı ve kısa süreli araç kiralama, ikamet izni ile vize sigortaları ve bankaların bireysel kredilerle bağlantılı olarak sunduğu sigortalara yer vermektedir.

Kişi bakımından kapsamda öne çıkan husus, düzenlemenin yalnızca sigorta şirketlerini, emeklilik şirketlerini, sigorta aracılarını ve acentelik yetkisi bulunan bankaları değil, bütünleşik sigortalar için ticaret ortamı sağlayan kişi ve kuruluşları da içine almasıdır. Elektronik ticaret platformları, perakendeciler, araç kiralama şirketleri, abonelik hizmeti sağlayıcıları ile seyahat ve konaklama hizmeti sunanların, kendi satış ortamlarında sigorta sunulmasına imkân tanıdıkları ölçüde bu kapsamda değerlendirilebileceği düşünülmektedir.

Yönetmelik, ayrıca sunulamayacak sigortaları on iki kalem hâlinde saymış, yıllık brüt prim tutarına asgari ücret üzerinden bir tavan getirmiş, teminat süresini azami iki yılla sınırlamış ve satışa ilişkin iki önemli yasak öngörmüştür. Yönetmeliğin 8'inci maddesi uyarınca sigortanın satın alınması mal veya hizmetin satın alınmasının şartı hâline getirilemeyecek, sigortanın satın alınmaması ise satış koşullarının alıcı aleyhine farklılaştırılmasına gerekçe oluşturamayacaktır.

Aşağıdaki bölümlerde bu yapının kişisel verilerin korunması bakımından doğurduğu sonuçlar değerlendirilmektedir:

Üç Taraflı Yapı ve Veri Sorumlusu Sıfatının Belirlenmesi

Bütünleşik sigorta satışında kural olarak üç taraf bulunmaktadır. Riski üstlenen sigorta şirketi veya sigorta teminatı veren emeklilik şirketi, Yönetmelikte yetkili kuruluş olarak tanımlanan aracı veya banka ve satışın gerçekleştiği ticaret ortamını sağlayan işletmedir.

Yönetmelik bu tarafların 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") bakımından hangi sıfatla hareket edeceğine ilişkin bir düzenleme içermemektedir. Dolayısıyla sıfatın, Kanun'un 3'üncü maddesindeki tanımlar çerçevesinde her somut yapı için ayrıca belirlenmesi gerekmektedir.

Sigorta ilişkisi bakımından veri işleme amaç ve vasıtalarını belirleyen tarafın sigorta şirketi olduğu, bu nedenle sigorta şirketinin veri sorumlusu sıfatını taşıdığı değerlendirilebilir. Buna karşılık ticaret ortamı sağlayan işletmenin konumu her olayda aynı olmayacaktır. İşletme yalnızca sigorta şirketinin talimatıyla ve onun belirlediği amaçlarla veri aktarıyorsa veri işleyen konumunda bulunabilecektir. Kendi müşteri ilişkisi kapsamında elde ettiği verileri kendi amaçları doğrultusunda da kullanıyorsa, aynı faaliyette ayrı bir veri sorumlusu veya ortak veri sorumlusu olarak değerlendirilmesi gündeme gelebilecektir.

Bu belirlemenin yapılmaması hâlinde aydınlatma yükümlülüğünün kim tarafından yerine getirileceği, ilgili kişi başvurularının kime yöneltileceği ve veri ihlali bildiriminin kim tarafından yapılacağı belirsiz kalacaktır. Kanun'un 12'nci maddesinde veri güvenliğine ilişkin yükümlülüklerde veri sorumlusu ile veri işleyenin müştereken sorumlu olduğu düzenlendiğinden, belirsizlik tarafların tamamı bakımından risk doğurmaktadır. Bu nedenle rol dağılımının taraflar arasındaki sözleşmede açıkça kurgulanması önem taşımaktadır.

Sözleşme Onayı ile Açık Rıza Aynı Şey Değildir

Yönetmeliğin 9'uncu maddesinin üçüncü fıkrası, sigorta şirketinin veya sigorta teminatı veren emeklilik şirketinin, sözleşmenin kurulmasından önce sigorta ettireni bilgilendirmesini ve kimliğinin doğrulanması ile beyanının tespit edilmesine veya kayıt altına alınmasına imkân sağlayan güvenli bir yöntemle onayını almasını aramaktadır.

Buradaki onay, sigorta sözleşmesinin kurulmasına yönelik irade beyanıdır. Kanun'un 5'inci maddesi anlamındaki açık rıza ile aynı kurum değildir. Sigorta sözleşmesinin kurulması ve ifası için gerekli olan kişisel verilerin işlenmesinde hukuki sebep kural olarak sözleşmenin kurulması veya ifası şartıdır. Bu nedenle sözleşmenin kurulması için zorunlu olan veriler bakımından ayrıca açık rıza alınmasına ihtiyaç bulunmadığı değerlendirilebilir.

İki kurumun tek bir onay kutusunda birleştirilmesi uygulamada sık karşılaşılan bir hatadır. Bu durumda sigorta ettirenin onayını geri çekmesinin veri işlemenin hukuki sebebini de ortadan kaldırdığı izlenimi doğmakta, ayrıca açık rızanın belirli bir konuya ilişkin ve özgür iradeyle verilmiş olması şartı zedelenmektedir. Sözleşme onayı, aydınlatma metni ve varsa açık rıza beyanının ayrı ayrı sunulması yerinde olacaktır.

Sağlık Verisi İşleniyorsa Hukuki Sebep Daralmaktadır

Yönetmeliğin 5'inci maddesi kapsamında sunulabilecek sigortaların bir kısmı sağlık verisi işlenmesini gerektirebilecek niteliktedir. İkamet izni ve vize başvurularında ibrazı gereken sigortalar ile bankaların bireysel kredilerle bağlantılı olarak sunduğu hayat ve ferdi kaza sigortaları bu kapsamda değerlendirilebilir.

Sağlık verileri, Kanun'un 6'ncı maddesi uyarınca özel nitelikli kişisel veridir. Anılan maddede sigortacılık faaliyetlerinin yürütülmesine özgü ayrı bir işleme şartı bulunmamaktadır. Maddede sayılan şartlar arasında kamu sağlığının korunması ile tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi yer almakla birlikte, bu şart sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar bakımından öngörülmüştür. Bir sigorta satışı sırasında alınan sağlık beyanının bu kapsamda değerlendirilmesi güç görünmektedir.

Bu nedenle sağlık verisi işlenmesini gerektiren bütünleşik sigortalarda hukuki sebebin kural olarak açık rıza olacağı değerlendirilebilir. Açık rızanın özgür iradeyle verilmiş sayılabilmesi ise sigortanın satın alınmasının zorunlu tutulmamasına bağlıdır. Yönetmeliğin 8'inci maddesindeki bağlı satış yasağı ile fiyat farklılaştırma yasağı bu bakımdan destekleyici niteliktedir. Buna karşılık satış akışının, rıza verilmediğinde sürecin kesintisiz devam edebileceği şekilde tasarlanması gerekmektedir.

Ayrıca Kanun'un 6'ncı maddesi uyarınca özel nitelikli kişisel verilerin işlenmesinde Kurulun belirlediği yeterli önlemlerin alınması şarttır. Kurulun 31.01.2018 tarihli ve 2018/10 sayılı kararında sayılan önlemler arasında ayrı bir politika ve prosedür bulunması, erişim yetkilerinin sınırlandırılması, verilerin elektronik ortamda kriptografik yöntemlerle saklanması ve erişim kayıtlarının düzenli olarak tutulması yer almaktadır.

Aydınlatmanın Satış Akışına Yerleştirilmesi

Bütünleşik sigortanın ayırt edici özelliği, satışın asıl mal veya hizmet satışına eklenmiş olması ve çoğu zaman mobil ekranda saniyeler içinde tamamlanmasıdır. Bu durum aydınlatma yükümlülüğü bakımından pratik bir zorluk doğurmaktadır.

Kanun'un 10'uncu maddesi uyarınca aydınlatmanın kişisel veri elde edilmesi sırasında yapılması gerekmektedir. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ ise aydınlatmanın açık, anlaşılır ve sade bir dille yapılmasını aramaktadır.

Yönetmeliğin 8'inci maddesinin üçüncü fıkrası, sigortaya ilişkin bilgilerin fiziki ortamda kolaylıkla görülebilecek yerlere konulacak görsellerle, elektronik ticaret ortamında ise bağlantı üzerinden sunulmasını öngörmektedir. Bu yapı, katmanlı aydınlatma yönteminin kullanılmasına elverişlidir. Satış ekranında özet bilgiye, bağlantı üzerinden ise tam metne yer verilmesi düşünülebilir. Aydınlatma metninin hangi tarafça sunulacağı ise yukarıda değinilen rol dağılımına bağlı olarak belirlenecektir.

Veri Minimizasyonu ve Taraflar Arasındaki Aktarım

Ticaret ortamı sağlayan işletme, asıl satış ilişkisi nedeniyle müşterisine ait geniş bir veri setine sahiptir. Sigorta sunumu sırasında bu setin tamamının sigorta şirketine aktarılması Kanun'un 4'üncü maddesindeki ilkelerle bağdaşmayabilecektir.

Anılan maddede kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ilkesi düzenlenmiştir. Bu nedenle aktarılacak veri kalemlerinin sigorta sözleşmesinin kurulması ve riskin değerlendirilmesi için gerekli olanlarla sınırlandırılması, aktarım kalemlerinin taraflar arasındaki sözleşmede tek tek sayılması önerilebilir.

Ticaret ortamını sağlayan işletmenin veya kullanılan altyapı sağlayıcısının yurt dışında bulunması hâlinde yurt dışına aktarım rejiminin ayrıca değerlendirilmesi gerekecektir. Bu durumda Kanun'un yurt dışına aktarıma ilişkin hükümleri çerçevesinde uygun bir aktarım mekanizmasının kurulması gündeme gelecektir.

İşlem Kayıtları, Kalıcı Veri Saklayıcısı ve Veri Güvenliği

Yönetmeliğin 12'nci maddesi, bütünleşik sigortaların sunulmasında kullanılan bilgi sistemleri ile entegrasyonların güvenliğinin sağlanmasından ve işlem kayıtlarının tutulmasından yetkili kuruluşları sorumlu tutmaktadır.

Bu kayıtların kişisel veri içerdiği gözden kaçırılmamalıdır. Kimin hangi tarihte hangi teminatı satın aldığı, kimlik doğrulamasının nasıl yapıldığı ve onayın hangi yöntemle alındığı bilgileri ilgili kişiyle ilişkilendirilebilir niteliktedir. Dolayısıyla işlem kayıtlarının da kişisel veri işleme envanterine dâhil edilmesi, saklama süresinin belirlenmesi ve erişim yetkilerinin sınırlandırılması gerekmektedir.

Yönetmeliğin 4'üncü maddesindeki kalıcı veri saklayıcısı tanımı kısa mesaj, elektronik posta, internet, disk, CD, DVD ve hafıza kartı ile Sigorta Bilgi ve Gözetim Merkezi veya e-Devlet üzerinden kurulacak yapıları kapsamaktadır. Poliçenin bu araçlardan biriyle iletilmesi hâlinde seçilen aracın güvenlik düzeyi önem kazanmaktadır. Sağlık verisi içeren bir poliçenin şifrelenmemiş elektronik posta ile gönderilmesi, Kanun'un 12'nci maddesindeki veri güvenliği yükümlülüğü bakımından sorun oluşturabilecektir.

Sözleşmenin Sona Ermesi, Saklama ve İmha

Yönetmeliğin 10'uncu maddesinin 4'üncü fıkrası, bütünleşik sigortaya konu mal veya hizmete ilişkin sözleşmede cayma, fesih, iptal veya dönme hakkının kullanılması hâlinde sigorta sözleşmesinin kendiliğinden sona ereceğini düzenlemektedir.

Bu hüküm, kişisel verilerin korunması bakımından iki sonuç doğurmaktadır. Birincisi, asıl sözleşmenin sona erdiği bilgisinin ticaret ortamı sağlayan işletmeden sigorta şirketine ulaşması gerekmektedir. Bu, planlanması gereken ayrı bir veri akışıdır. İkincisi, sözleşmenin sona ermesiyle birlikte işleme amacının ortadan kalktığı veri kalemleri bakımından Kanun'un 7'nci maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik hükümleri uygulama alanı bulacaktır.

Sigortacılık mevzuatından kaynaklanan saklama süreleri ile imha yükümlülüğünün birlikte değerlendirilmesi gerekmektedir. Saklanması gereken veriler ile amacı sona eren veriler ayrıştırılmadığında, her iki yönde de uyumsuzluk doğabilecektir.

Pazarlama Amaçlı Kullanım

Bütünleşik sigorta satışı sırasında elde edilen verilerin sonradan pazarlama amacıyla kullanılması ayrı bir işleme faaliyetidir. Sigorta sözleşmesinin kurulması ve ifası şartı bu amacı kapsamamaktadır.

Bu nedenle pazarlama amaçlı kullanım için ayrı ve özgür iradeyle verilmiş açık rıza alınması gerekmektedir. Ticari elektronik ileti gönderilecekse 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile İleti Yönetim Sistemine ilişkin yükümlülüklerin de ayrıca değerlendirilmesi gerekecektir.

Uygulamada sigorta onayı ile pazarlama rızasının aynı ekranda ve tek işaretlemeyle alınması sık görülmektedir. Bu yöntemin açık rızanın geçerlilik şartlarıyla bağdaşmayabileceği değerlendirilebilir.

Yapılması Gerekenler

Bütünleşik sigorta sunan veya satış ortamını sağlayan işletmelerin aşağıdaki başlıkları gözden geçirmesi önem taşımaktadır:

• Satış akışındaki tarafların veri sorumlusu, ortak veri sorumlusu veya veri işleyen sıfatlarından hangisini taşıdığının somut yapı üzerinden belirlenmesi ve taraflar arasındaki sözleşmeye yazılması.
• Aydınlatma yükümlülüğünün hangi tarafça, hangi aşamada ve hangi yöntemle yerine getirileceğinin kararlaştırılması ve katmanlı aydınlatma yapısının kurulması.
• Sigorta sözleşmesinin kurulmasına ilişkin onay ile açık rıza beyanının ayrı ayrı sunulması, tek bir onay kutusunda birleştirilmemesi.
• Sağlık verisi işlenip işlenmediğinin tespit edilmesi, işleniyorsa hukuki sebebin belirlenmesi ve açık rızaya dayanılıyorsa rıza verilmediğinde satış akışının kesintisiz devam edebilmesinin sağlanması.
• Özel nitelikli kişisel veri işleniyorsa 2018/10 sayılı Kurul kararında sayılan yeterli önlemlerin uygulanması ve belgelendirilmesi.
• Taraflar arasında aktarılacak veri kalemlerinin tek tek belirlenmesi ve sigorta sözleşmesinin kurulması için gerekli olanlarla sınırlandırılması.
• Yurt dışında bulunan bir altyapı veya platform kullanılıyorsa yurt dışına aktarım mekanizmasının kurulması.
• Kimlik doğrulama kayıtları, onay kayıtları ve işlem kayıtlarının kişisel veri işleme envanterine ve VERBİS kayıtlarına işlenmesi, saklama sürelerinin belirlenmesi.
• Poliçenin iletileceği kalıcı veri saklayıcısının güvenlik düzeyi bakımından değerlendirilmesi ve sağlık verisi içeren belgelerde ek koruma uygulanması.
• Asıl sözleşmenin sona ermesi hâlinde sigorta sözleşmesinin kendiliğinden sona ermesine ilişkin bilgi akışının kurgulanması ve sonrasındaki imha sürecinin tanımlanması.
• Pazarlama amaçlı kullanım için ayrı açık rıza alınması ve ticari elektronik ileti mevzuatına uyumun sağlanması.
• Üç taraflı yapıda veri ihlali hâlinde bildirimi kimin yapacağının ve taraflar arasındaki bilgilendirme süresinin sözleşmeyle belirlenmesi.

Sonuç ve Değerlendirme

Yönetmelik, sigortacılık mevzuatı bakımından kapsamlı bir çerçeve getirmekle birlikte kişisel verilerin korunmasına yalnızca dolaylı olarak değinmektedir. Kimlik doğrulama, onayın kayıt altına alınması, işlem kayıtlarının tutulması ve poliçenin kalıcı veri saklayıcısı ile iletilmesi gibi yükümlülükler öngörülmüş, ancak bu faaliyetlerin Kanun karşısındaki konumu düzenlenmemiştir.

Bu boşluğun taraflar arasındaki sözleşmelerle doldurulması gerekmektedir. Özellikle sigortacılık faaliyeti yürütmeyen ancak ticaret ortamı sağladığı için kapsama giren işletmeler bakımından, mevcut uyum yapısının sigortacılık süreçlerini içerecek şekilde genişletilmesi gerekebilecektir.

Konuya ilişkin detaylara Resmî Gazete'de yayımlanan "Bütünleşik Sigortalar Hakkında Yönetmelik" üzerinden ulaşabilirsiniz.