Kişisel veriler korunuyor; kişiye özel fiyat zorlaşıyor

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik 1 Ocak 2018 itibarıyla yürürlüğe girdi. Yönetmelik uyarınca, kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel verilerin veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hale getirilmesi gerekiyor. Yönetmelik, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemlerin kayıt altına alınması ve söz konusu kayıtların, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanmasını da şart koşuyor. Veri sorumlusu, kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesi işlemiyle ilgili uyguladığı yöntemleri ilgili prosedürlerinde açıklamakla yükümlü sayılıyor.

Sigorta sektörünün bu yönetmelikten en çok etkilenecek sektörler arasında olduğu belirtiliyor. Daha önce bu konuyu gazetemizde detaylıca inceleyen Prof. Dr. Samim Ünan’a göre, kişisel verilerin korunması konusunda henüz yolun çok başındayız. Bizim yasal düzenlememizin Avrupa Birliği’nin eski kurallarından esinlenilerek yapıldığını, dolayısıyla en son kuralları değil, değişikliğe uğramış kuralları yürürlüğe koyduğumuzu ifade eden Ünan, bu sebeple cevapsız kalan birçok soru olduğunu belirtmişti.

“SAĞLIK BRANŞINDA SORUNLAR YAŞANABİLİR”

Özellikle sağlık branşında sorunlar yaşanabileceğine dikkat çekerek, sağlık verilerinin “özel nitelikli kişisel veri” sayıldığını ve daha geniş kapsamlı koruma altına alındığını aktaran Ünan, “Sağlık verilerinin işlenmesi ilgili kişinin iznine bağlıdır. Bu iznin ‘bilgilenmiş’ olarak ve serbest irade ile verilmiş bulunması gereklidir. Şu aşamada sigorta şirketlerinin ilgili veri sahibinin izin olmaksızın bu verilere ulaşması ve bunları işlemesi mümkün bulunmamaktadır. Bu hususta açık yasal düzenlemeye ihtiyaç vardır. İlgililerin izin vermemesi durumunda sigorta şirketlerinin hareket alanları çok daralmaktadır. Birçok durumda hasar dosyasını sonuçlandırmak ve ödeme yapmak mümkün olmayabilecektir” diye uyarmıştı.

UYGULAMA REHBERLE NETLEŞTİ

Kişisel Verileri Koruma Kurumu, uygulamayı netleştirmek için kasım ayında Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi’ni yayınladı. Rehberde, 6698 sayılı Kişisel Verilerin Korunması Kanunu’na ve ilgili diğer mevzuat hükümlerine uygun olarak işlenmiş kişisel verilerin, işlenmesini gerektiren sebeplerin ortadan kalkması halinde silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin başlıca yöntemler açıklanıyor. Rehberde silme ve yok etme yöntemleri, kişisel verilerin işlendiği ve bulunduğu ortam dikkate alınarak ayrı ayrı açıklanıyor, anonim hale getirme yöntemleri ve anonimliğin bozulması ise uygulama örnekleri ile birlikte detaylı olarak veriliyor.

DÜZENLEME BEKLENTİSİ

Konu hakkında görüşünü aldığımız yöneticiler, yayınlanan rehberle birlikte değerlendirildiğinde Yönetmeliğin ilk etapta yeterli bir düzenleme olduğunu düşünüyor. Buna karşın, sektörel bazlı düzenlemeler yapılmaması bir sorun olarak görülüyor. Kişiye özel fiyatlama yapmanın zorlaşacağını belirten yöneticiler, bu durumun sigortalıların menfaatine olmaması sebebiyle ilerleyen zamanlarda sektörel düzenlemelere gidilmesini veya uygulamanın Kurul kararları, kılavuz ya da rehber gibi unsurlarla şekillendirilmesini bekliyor.

UYGULAMADA HÂLÂ EKSİKLİKLER VAR

EY Hukuk / KS Avukatlık Ortaklığı Sorumlu Ortağı Av. Ahmet Sağlı, 6998 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 7 Ekim 2016’da yürürlüğe girdiğini hatırlattı. Kanun çerçevesinde Kişisel Verilerin Korunması Kurulu’nun (Kurul) teşkil olduğunu söyleyen Sağlı, Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Hakkında Yönetmelik’in (Yönetmelik) de 1 Ocak 2018 itibarıyla yürürlüğe girdiğini kaydetti.

Sağlı, şu şekilde devam etti: “Kanun öncesinde kişi hak ve özgürlükleri ile özel hayatın gizliliğiyle ilgili bazı kanun ve düzenlemelerde genel hükümler mevcuttu, ancak Türkiye’de kişisel verilerin ve hakların korunmasına yönelik özel bir kanun mevcut değildi. Bu manada Kanun ve ilgili yönetmelikler Türkiye’ye kişisel hak ve verilerin korunması anlamında yeni bir anlayış getirmiştir.”

Kanun ve ikincil mevzuat yürürlüğe girmiş olsa da uygulamaya yönelik hâlâ eksiklikler olduğuna dikkat çeken Sağlı, “Yönetmelik’te özellikle silme, yok etme ve anonim hale getirme ibareleri detaylı şekilde tanımlanmamaktadır, ancak Kurul, Yönetmeliğin yayınlanmasının akabinde resmi web sayfasında kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi rehberini yayınlamış ve rehberde açıklamalar yapmıştır. Bununla birlikte, kişisel verilerin sadece canlı sistemlerden mi yoksa yedeklerden de mi silinmesi gerektiği, işleme sürelerinin kanunlarda belirtilmediği durumlarda silme, yok etme ve anonim hale getirilmesi sürelerinin ne olacağı gibi konular muğlaktır” dedi.

Yönetmelik tarafından veri sorumlularına getirilen bir başka yükümlülüğün de kişisel veri imha ve saklama politikasının hazırlanması olduğunu belirten Sağlı, “Yönetmelik’te imha ve saklama politikası hazırlama yükümlülüğü sadece veri sorumluları siciline kayıt yükümlülüğü bulunan veri sorumluları için getirilmiştir. Bu yönetmelik Kurul’a bazı veri sorumluları için sicile kayıttan istisna getirme yetkisi vermektedir. Kurul tarafından istisna kapsamına girecek veri sorumlularının ayrıca açıklanacağı belirtmiştir. Dolayısıyla, halihazırda hangi veri sorumlularının istisna kapsamına girebileceği ve kişisel veri imha ve saklama politikasını hazırlamaktan muaf olabileceği belli değildir, bu hususun da bir an önce açıklığa kavuşturulması önemlidir. Eksikliklerin yeni yönetmeliklerden ziyade Kurul tarafından alınacak kararlar ve yayınlanacak rehber ve kılavuzlarla giderilmesi beklenmektedir” dedi.

“İŞ YAPIŞ ŞEKİLLERİ DEĞİŞECEK”

Kanun ve ilgili yönetmeliklerin kişisel veri sahibi sigortalılar ve sigorta şirketleri açısından bazı yeni hak ve yükümlülükler getirdiğine değinen Sağlı, sözlerini şöyle sürdürdü: “Şirketler artık sigortalıların kişisel verilerini, sözleşme, kanun, fiili imkansızlık, meşru menfaat nedeniyle işlenmesi gibi istisnalar hariç sigortalının açık rızası olmadan başka amaçlarla işleyemeyecek ve başkalarıyla paylaşamayacaktır. Ayrıca, veri sorumlusu pozisyonundaki sigorta şirketleri işleme amacı sona eren kişisel verileri Yönetmeliğe uygun olarak imha etmek zorunda kalacaktır. Bu hak ve yükümlülükler sigorta sektöründe iş yapış şekillerini değiştirebilir.”

Kanun ve yönetmeliklerin yürürlüğe girmesiyle beraber kişiye özel fiyatlama yapabilmek için sigortalı kişisel verilerinin veri sorumlusu sigorta şirketleri tarafından işlenmesinin, amaç ve istisna dışı işleme olarak değerlendirilebileceğini ve bu durumda sigortalılardan açık rıza alınamaması halinde sektörde özel fiyatlama uygulaması hususunda sorun yaşanabileceğini dile getiren Sağlı, dolayısıyla bu konuda özellikle sigortalının menfaatinin olacağı da dikkate alınarak Kurul tarafından sektörel bir düzenleme yapma ihtiyacı doğabileceğini belirtti.

“ARTAN OPERASYONEL YÜK MALİYETLERE YANSIYABİLİR”

Yönetmelikle birlikte sigorta şirketlerine ciddi operasyonel yük gelebileceğinden bahseden Ahmet Sağlı, sözlerini şu şekilde tamamladı: “Yönetmelik tarafından veri sorumlularına getirilen periyodik silme, yok etme ve anonimleştirme yükümlülükleri sigorta şirketlerinin altyapılarında ve sistemlerinde gerekli uyarlamaları yapmalarına ve hatta bazı yazılım ihtiyaçları doğmasına neden olabilecektir. Bu durum şirketlere hem operasyonel hem de mali açılardan bazı yükler getirebilecek olup, söz konusu yüklerin maliyetlere yansıması mümkündür.”

“YÖNETMELİK TÜRKİYE’DE VERİ BİLİNCİNİ GELİŞTİRECEK”

Koru Sigorta İç Kontrol Müdürü Ayşe Çankaya, “Açık rıza olmadan kişisel verilerin işlenmesi ve aktarılması mümkün olmadığından; başta sağlık sigortaları olmak üzere bu tip özel nitelikli kişisel verilerin işlendiği ferdi kaza, trafik ve sorumluluk sigortaları bu uygulamadan etkilenecek branşlar olarak gözükmektedir. Belirtilen branşlarda risk değerlendirmesi ve tazminat sonuçlandırılmasında bu verilerden yararlanıldığı için iş süreçlerinin de bu doğrultuda değiştirilmesi gerekecektir” dedi.

Her ne kadar, açık rıza ferdi poliçeleri benzeri poliçelerde sigortalı adayının başvurusuna istinaden teklif aşamasında alınacak olsa da; grup poliçelerinde açık rıza alınmasının pratikte pek mümkün görünmediğini kaydeden Çankaya, “Grup poliçelerine yönelik kişinin açık rızası ile ilgili yönetmelikte ayrıca bir açıklama bulunmamaktadır. Trafik sigortası ve tıbbi sorumluluk sigortalarında, poliçe tanzimi sırasında onay alınan ve verisi işlenen bireylerle, hasar sonrası üçüncü şahıs sıfatı ile tazminat ödemesi yapılacak, kişisel verisi alınan/işlenen bireyler farklıdır. Bu branşlarda tazminat talepleri değerlendirilirken tedavi/müdahale sırasında yapılan işlemler ve detaylarına dolayısı ile özel kişisel verilerine ulaşarak işlem yapılabilmektedir. Ölümlü kazalar ve sonrası varislere tazminat ödemesi yapılabilmesi için de tazminata konu sağlık verilerine ulaşırken açık rızanın nasıl alınacağı konusu belirsiz kalmaktadır” diye konuştu.

Yönetmelikte sigorta sektörü özelinde bazı muğlak alanlar olduğuna değinen Çankaya, şunları söyledi: “Sektör bazlı bir ayrıştırmanın henüz yapılmamış olması, kanunda ortaya çıkan en önemli ayrıntıdır. Uygulamanın sektör özelinde yeni yönetmeliklerle netleştirilmesi yönünde beklentiler mevcuttur.”

“PRİMLER ADİL OLMAYAN ŞEKİLDE YÜKSELEBİLİR”

Çankaya “Sigorta şirketlerinin sigortalılara adil prim sunabilmesi için detay verilere ulaşarak doğru analiz yapması gerekmektedir. Sigortacılıkta kişinin önceki yıllardaki sigortalılık geçmişi ile bazı kişisel verileri harmanlanarak, belli kurallar çerçevesinde kişiye özel indirim/hizmetler sağlanabilmektedir. Eğer sigorta şirketlerince bu detayda doğru değerlendirme yapılamazsa ya da veri eksikliği nedeniyle haksız tazminat ödemeleri yapılırsa; bu durum primlerin adil olmayan şekilde yükselmesine ve kârlı müşterinin zararlı müşteriyi finanse etmesine sebep olabilecektir” şeklinde konuştu.

Çankaya, sözlerini şöyle noktaladı: “Kanun’un getirdiği düzenleyici önlemlerin, şirketlere kısa dönemde maliyet ve süreç yavaşlığı getireceği açıktır. Fakat uzun vadede şirketlerde ve Türkiye’de veri bilincinin, veri gizliliğinin gelişmesine katkıda bulunacaktır.”

“GELECEKTE SEKTÖREL DÜZENLEMERE GİDİLEBİLİR”

KPMG Türkiye Kıdemli Hukuk Danışmanı Seçil Kısakürek, 1 Ocak 2018 itibarıyla yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’i (Yönetmelik) değerlendirdi. “Yönetmelik, Kişisel Verileri Koruma Kurumu tarafından yayımlanan Kişisel Verilerin Silinmesi Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi ile beraber değerlendirildiğinde ilk etapta yeterli bir düzenleme olarak ön plana çıkmaktadır” diyen Kısakürek şöyle devam etti: “Kurum nezdinde çalışmalarını yürüten Kişisel Verileri Koruma Kurulu’nun (Kurul) Rehber gibi yayınladığı dokümanlar ve Yönetmelik’in 7. maddesinin 2. fıkrasına dayanarak alacağı kararlar ile belirsizliklere ve uygulamada ortaya çıkabilecek aksaklıklara açıklık getirmesi beklenmektedir.”

“SEKTÖREL BAZLI REHBERLER YAYINLANMALI”

Kısakürek, kişisel verilerin silinmesi, yok edilmesi veya imha edilmesine ilişkin periyodik imha süresi her ne kadar Yönetmelik kapsamında öngörülse de uygulamada yeknesaklığı sağlamak bakımından sektörel bazlı uygulama rehberlerinin yayınlanmasını beklediklerini de sözlerine ekledi.

Yönetmelik ile sigortalılara, sigorta şirketleri ile paylaştıkları kişisel verilerinin, sunulan hizmetin sona ermesi ve yasal saklama sürelerinin sona ermesi durumunda; bir diğer deyişle kişisel verilerinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, Kişisel Verileri Koruma Kanunu’nun (KVK Kanunu) 13. maddesi uyarınca silinmesini, yok edilmesini veya anonim hale getirilmesini talep etme hakkı tanındığını ifade eden Kısakürek, sözlerine şu şekilde devam etti: “Ancak ne KVK Kanunu’nda ne de buna dayanarak çıkartılan ikincil düzenlemelerde sektörel bazlı bir ayrıma gidilmemiştir. Uygulamada oluşabilecek aksaklıkların önüne geçmek amacıyla ilerleyen zamanlarda sektörel düzenlemelere gidilebilecek veya uygulama Kurul kararları, kılavuz, rehber vb. ile şekillenebilecektir.”

Yönetmelikle kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin ayrıntılı hükümler getirildiğini hatırlatan Kısakürek, “Ancak, açık rıza alınması gereken haller ve bunlara getirilen istisnalar KVK Kanunu ile düzenlenmektedir. Bu kapsamda verilerin istisnai hal teşkil etmemesi ve kişilerin verilerinin işlenmesine rıza göstermemesi halinde riziko tespiti gereken şekilde yapılamayacak; düşük riziko sebebiyle farklı prim uygulamasına gidilmesi ve kişiye özel fiyatlama yapılması zorlaşacaktır. Bu bağlamda, Kurum tarafından sektörel bazlı düzenlemelere gidilmesi, yaşanabilecek sorunlara çözüm getirebilecektir” dedi.

Renk Özcan
renk@sigortacigazetesi.com.tr