Sigortacılık sektörü, sağlık bilgisinden araç kullanım geçmişine kadar geniş bir veri kümesiyle çalışır. Verilerin merkezi biçimde toplanması, saklanması ve sektör içinde paylaşılmasına dair yönetmelik hükümleri, bu akışın çerçevesini çizerken 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun genel rejimiyle birlikte uygulanır. Bu rehber, iki düzenlemenin kesiştiği noktada şirketlerin taşıdığı riski azaltmaya odaklanıyor.
Özel Nitelikli Veri Sorunu
Sağlık verisi, KVKK'da özel nitelikli kişisel veri olarak ayrı bir korumaya tabidir. Sigortacılıkta risk değerlendirmesi ve hasar süreci sağlık bilgisi olmadan yürümediğinden, işleme şartının hangi hukuki sebebe dayandığı her ürün için ayrı ayrı belirlenmelidir. Genel bir "açık rıza" metniyle tüm süreçleri karşılamaya çalışmak, denetimde en sık eleştirilen uygulamadır.
Risk Azaltma Kontrol Listesi
- Veri envanterinin ürün ve süreç bazında güncel tutulması
- Her veri akışı için hukuki sebebin yazılı olarak gerekçelendirilmesi
- Aydınlatma metinlerinin toplama anında ve anlaşılır dille sunulması
- Saklama sürelerinin belirlenmesi ve süresi dolan verilerin imhasının kayıt altına alınması
- Acente, eksper ve dış hizmet sağlayıcılarla veri işleyen ilişkisinin sözleşmeyle kurulması
- Yetki matrisi ile erişim loglarının düzenli denetlenmesi
Paylaşımda En Sık Yapılan Hata
Sektör içi bilgi paylaşımının mevzuatta öngörülmüş olması, her paylaşımın sınırsız olduğu anlamına gelmez. Amaçla bağlılık ve ölçülülük ilkeleri gereği, talep edilenden fazla verinin aktarılması başlı başına bir ihlal doğurabilir. Talep yazılarının kapsamını daraltarak cevaplamak, hem operasyonel yükü hem hukuki riski azaltır.
Veri İhlali Anında İlk 24 Saat
- Olayın kapsamını ve etkilenen kayıt sayısını teknik ekiple birlikte tespit edin.
- Etkilenen sistemleri izole edip delil niteliğindeki logları koruyun.
- İhlalin bildirilmesi gereken mercileri belirleyip bildirim metnini hazırlayın.
- İlgili kişilere yapılacak bilgilendirmenin içeriğini ve kanalını planlayın.
- Tüm adımları saat bilgisiyle bir olay defterine işleyin.
Sigortalı Tarafında Haklar
Sigortalı, kendisine ait verilerin işlenip işlenmediğini öğrenme, düzeltilmesini isteme ve aktarıldığı üçüncü kişileri sorma haklarına sahiptir. Başvuru önce veri sorumlusu şirkete yapılır; şirketin cevabı yetersiz kalırsa veya süresinde cevap verilmezse Kurul'a şikâyet yolu gündeme gelir. Başvurunun yazılı ve tarihli yapılması, sonraki aşamanın süre hesabı için gereklidir.
Yukarıdaki başlıklar uyum çalışmasının çatısını gösterir; her şirketin ürün yelpazesi ve teknik altyapısı farklı olduğundan, uyum programının kurum içi bir analizle özelleştirilmesi ve gerektiğinde profesyonel destek alınması önerilir.