SİGORTA SEKTÖRÜNDE KİŞİSEL VERİ GÜVENCESİ GÜÇLENİYOR: ÖZEL SAĞLIK SİGORTALARI YÖNETMELİĞİNDE DEĞİŞİKLİK
1. Giriş
20 Ekim 2025 tarihli ve 33053 sayılı Resmî Gazete’de yayımlanan Özel Sağlık Sigortaları Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik ile önemli düzenlemeler yapılmıştır. Bu kapsamda, özellikle Özel Sağlık Sigortaları Yönetmeliği’nin (“Yönetmelik”) 16. maddesinde gerçekleştirilen değişiklikler (Özel Sağlık Sigortaları Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik m.14 ile), 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile uyumun güçlendirilmesine ve sigorta sektöründe kişisel veri işleme faaliyetlerinin açık kurallara bağlanmasına yönelik önemli yenilikler getirmiştir.
2. Gerçekleşen Değişiklikler
Bilgilerin Gizliliği | Kişisel Verilerin Korunması ve Sır Saklama Yükümlülüğü |
(1) Kişinin sigortalılık kayıtları ve yazılı onayıyla alınan sağlık bilgileri bireysel bazda tutulur. | (1) Bireysel ve grup sözleşmelerinde kişinin sigortalılık kayıtları ve sağlık bilgileri bireysel bazda tutulur. |
(2) Şirket; sağlık bilgileri, sigortalılık kayıtları ve diğer bilgileri SBGM ve diğer yetkili merciler haricinde, sigortalının rızası olmadıkça, hiçbir gerçek ve tüzel kişiye veremez. | (2) Bu Yönetmelik kapsamında yürütülen kişisel veri işleme faaliyetlerinde, 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu ile bu Kanuna dayanılarak yürürlüğe konulan mevzuatta yer alan usul ve esaslara uyulması zorunludur. |
(3) Sigortalı hakkındaki sırlara vakıf olan tüm gerçek ve tüzel kişiler, bu sırların saklı tutulmasından sorumludur. | (3) Bu Yönetmelik uyarınca Merkez tarafından tutulan sigortalılık kayıtları ve sağlık bilgileri kişinin sigortalılığının sona ermesinden itibaren 10 yıl boyunca muhafaza edilir. Bu sürenin sona ermesi ile birlikte Merkez, bu verileri 6698 sayılı Kanun uyarınca resen siler, yok eder veya anonim hâle getirir. |
(4) Sigortalı hakkındaki sırlara vakıf olan 5684 sayılı Kanunun 31/A maddesinde sayılan sır saklama yükümlülüğüne tabi tüm gerçek ve tüzel kişiler, bu sırların saklı tutulmasından sorumludur. Bu yükümlülük, söz konusu sıfat ve görevlerin sona ermesinden sonra da devam eder. |
- “Bireysel ve grup sözleşmeleri” ibaresinin eklenmesiyle düzenlemenin kapsamı netleştirilmiş; hem bireysel hem de grup poliçeleri için sigortalılara ilişkin sağlık verilerinin bireysel bazda tutulması zorunluluğu açıkça vurgulanmıştır.
Ek olarak, önceki madde hükmünde yer alan “sigortalının yazılı onayıyla alınan sağlık bilgileri” ibaresi yürürlükten kaldırılmıştır. İlgili değişiklikle birlikte, sağlık verilerinin özel sağlık sigortaları nezdinde işlenmesinde yalnızca yazılı onaya dayalı bir yaklaşım yerine, KVKK’da düzenlenen özel nitelikli kişisel verilerin işlenme şartlarının esas alınması öngörülmüştür. Bilindiği üzere, geçtiğimiz yıl gerçekleşen KVKK güncellemeleri akabinde özel nitelikli kişisel verilerin işlenme şartlarında esaslı değişiklikler meydana gelmiştir. Söz konusu düzenleme, güncel KVKK mevzuatına uyumun sağlanması adına da yerinde bir değişiklik olmuştur. Bu kapsamda sigorta şirketlerinin veri işleme faaliyetlerinde KVKK m.6 kapsamında öngörülen meşru ve hukuki dayanakları temel almaları; dolayısıyla açık rıza dışında sürece uygun düşecek diğer hukuki sebepleri değerlendirmeleri mümkün hale gelmiştir.
- Önceki düzenleme uyarınca, sağlık bilgileri yalnızca Sigorta Bilgi ve Gözetim Merkezi (“SBGM” veya “Merkez”) ve ilgili yetkili merciler ile paylaşılabilmekte; bunun dışında üçüncü kişilere aktarım, sigortalının rızasıyla dahi oldukça sınırlı bir biçimde mümkün olmaktayken yeni düzenleme ile bu yaklaşımın terk edildiği görülmektedir.
İşbu düzenleme kapsamında özel sağlık sigortalarına ilişkin tüm kişisel veri işleme faaliyetlerinin, KVKK ile bağlı çıkarılan ikincil düzenlemelerde yer alan usul ve esaslara uygun şekilde yürütülmesi zorunlu hale getirilmiştir. Bir diğer ifadeyle ilgili düzenleme; kişisel veri işleme faaliyetlerinin her aşamasında (toplama, kaydetme, depolama, değiştirme, aktarma vb.) KVKK’ya uyumluluğun gözetilmesi gerektiğini ortaya koymuştur.
- Eski düzenlemelerde sigortalılık kayıtları ve sağlık verilerinin ne kadar süreyle saklanacağı veya bu sürenin sonunda ne yapılacağına dair açık bir hüküm bulunmamaktaydı. Yeni düzenleme ile SBGM tarafından tutulan sigortalılık kayıtları ve sağlık bilgilerinin, sigortalılığın sona erdiği tarihten itibaren on yıl boyunca muhafaza edileceği hükme bağlanmıştır. Bu sürenin dolmasıyla birlikte SBGM, söz konusu kişisel verileri KVKK m. 7 uyarınca resen silmek, yok etmek veya anonim hale getirmekle yükümlüdür. Düzenleme yalnızca Merkez’in saklama ve imha süreçlerine yönelik açıklık getirmiştir. Bununla birlikte, ilgili Yönetmelik nezdinde sağlık verisi işleme faaliyetlerinde bulunan diğer bünyelerin de 16/2’de yer alan düzenlemeler çerçevesinde KVKK’nın öngördüğü tedbirleri gözeterek saklama ve imha süreçlerini yürütmesi gerektiğini söylemek de yanlış olmayacaktır.
- Yeni madde ile birlikte sır saklama yükümlülüğü altında olan gerçek ve tüzel kişiler açıkça 5684 sayılı Sigortacılık Kanunu’nun 31/A maddesine dayandırılmıştır. Buna göre, madde kapsamındaki sigortalı hakkındaki bilgilere vakıf olan tüm gerçek ve tüzel kişiler, bu bilgileri sır saklama yükümlülüğü altında korumakla sorumludur. Ek olarak, yapılan düzenleme ile birlikte söz konusu yükümlülüğün görev veya sıfat sona erdikten sonra da devam edeceği hükme bağlanmıştır.
5684 sayılı Sigortacılık Kanunu’nun sır saklama yükümlülüğünü düzenleyen 31/A maddesi, ilgili kapsamı şu şekilde belirlemiştir;
“Bu Kanunun uygulanmasında ve uygulanmasının denetiminde görev alanlar, bu Kanuna tâbi kuruluşların görevlileri ve yetkilileri, bu Kanuna tâbi kişiler ile bunların yanında çalışanlar ve dışarıdan hizmet alımı yoluyla sigortacılık sektöründe iş görenler, sıfat ve görevleri dolayısıyla öğrendikleri bu Kanun kapsamında faaliyet gösteren kişi ve kuruluşlar ile bunların iştirakleri, kuruluşları ve sigorta sözleşmesi ile ilgili kişilere ait sırları bu konuda kanunen açıkça yetkili kılınan mercilerden başkasına açıklayamaz, kendilerinin veya başkalarının yararlarına kullanamaz. Bu yükümlülük söz konusu sıfat ve görevlerin sona ermesinden sonra da devam eder.”
- Görüldüğü üzere ilgili düzenleme, yalnızca sigorta şirketleri için değil; acenteler, brokerler, reasürans şirketleri, sigorta eksperleri gibi pek çok taraf bakımından da kalıcı bir gizlilik yükümlülüğü doğurmaktadır. Bu kapsamda, sigorta sektöründeki tüm paydaşların çalışan ve iş ortaklarıyla yaptıkları gizlilik taahhütnameleri, veri işleme sözleşmeleri gibi dokümantasyonlarını, yeni güncellemelerle uyumlu biçimde güncellemeleri önem arz edebilecektir.
3. Sonuç
Yönetmelik ile getirilen düzenlemeler, özel sağlık sigortaları alanında kişisel verilerin korunmasına ilişkin çerçeveyi KVKK ile tam uyumlu hale getirmeyi amaçlamakta; sigorta şirketlerinin KVKK bakımından kapsamlı bir check-up çalışması gerçekleştirmesi gerekliliğini gündeme getirmektedir. Bu kapsamda, sigorta şirketlerinin alması gereken temel uyum adımları arasında veri işleme envanterlerinin güncellenmesi, aydınlatma metinlerinin revize edilmesi, veri işleme sözleşmeleri ve gizlilik taahhütlerinin gözden geçirilmesi, özel nitelikli verilerin korunmasına yönelik teknik ve idari tedbirlerin güçlendirilmesi ve veri güvenliğine ilişkin iç-dış denetim mekanizmalarının oluşturulması yer almaktadır.
