Açık Rıza ve Aydınlatma Yükümlülüğü: Site Yönetiminde KVKK Rehberi

Açık rıza ve aydınlatma yükümlülüğü, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde site ve apartman yönetimlerinin kat maliklerinden, kiracılardan ve ziyaretçilerden veri toplarken yerine getirmesi zorunlu olan iki temel hukuki yükümlülüktür. Kısaca: herhangi bir kişisel veri işlenmeden önce ilgili kişi aydınlatılmalı, gerekli hallerde ise açık rıza alınmalıdır.

KVKK Nedir ve Site Yönetimini Neden Bağlar?

7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu, Türkiye'deki tüm gerçek veya tüzel kişilerin başkalarına ait kişisel verileri işlediği durumlarda uyması gereken kapsamlı bir hukuki çerçeve sunar. Kanunun uygulama alanı son derece geniştir: bir şirket büyüklüğüne veya yapısına bakılmaksızın, kişisel veri işleyen herkes "veri sorumlusu" sıfatını kazanır ve kanun hükümlerine uymak zorundadır.

Peki bu durum site ve apartman yönetimlerini doğrudan etkiler mi? Evet, hem de beklenenden çok daha kapsamlı biçimde. Bir konut sitesinin yönetimi ya da apartman yöneticisi; kat maliklerinin ad-soyad, TC kimlik numarası, telefon, e-posta ve banka hesap bilgilerini; kiracıların iletişim verilerini; kamera kayıtlarını; misafir giriş-çıkış loglarını ve hatta çocuk sahibi olup olmadığı gibi özel nitelikli sayılabilecek bilgileri işlemektedir. Tüm bunlar KVKK kapsamında "kişisel veri" sayılır.

Site yönetimleri, 634 sayılı Kat Mülkiyeti Kanunu çerçevesinde tüzel kişiliği olmayan bir yapı olarak faaliyet gösterse de KVKK uygulamasında "veri sorumlusu" olarak değerlendirilmektedir. Bu durum, site yöneticisinin ya da yönetim kurulunun doğrudan sorumluluk altına girdiği anlamına gelir. Kişisel Verileri Koruma Kurumu (KVKK Kurumu), ihmal ya da farkındalık eksikliği gerekçesi kabul etmemekte; idari para cezaları on binlerce Türk Lirasına ulaşabilmektedir.

Sonuç olarak, açık rıza ve aydınlatma yükümlülüğünü "büyük şirketlerin meselesi" olarak görmek, site yöneticileri için ciddi bir hukuki risk doğurmaktadır. Uyum sürecini küçük bir çaba ile başlatmak, olası yaptırımlardan ve kat malikleriyle yaşanabilecek anlaşmazlıklardan korunmanın en sağlıklı yoludur.

Aydınlatma Yükümlülüğü Nedir, Kapsamı Nedir?

Aydınlatma yükümlülüğü, KVKK'nın 10. maddesiyle düzenlenmiştir. Bu maddeye göre veri sorumlusu, kişisel verileri elde ettiği sırada ilgili kişiyi belirli bilgilerle bilgilendirmekle yükümlüdür. Yükümlülüğün "elde etme sırasında" doğması özellikle önemlidir; veriler toplandıktan sonra yapılan geç bir bildirim yasal olarak yeterli sayılmaz.

Aydınlatma metninin içermesi zorunlu olan unsurlar şunlardır: veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki dayanağı ile ilgili kişinin KVKK'nın 11. maddesi kapsamındaki hakları. Bu haklar arasında veriye erişim, düzeltme, silme, işlemenin kısıtlanmasını talep etme ve itiraz etme yer alır.

Apartman veya site yönetimi açısından pratik bir örnek verelim. Yeni taşınan bir kat malikinden aidat ödemelerinin takibi için IBAN numarası istenirken, aynı zamanda bu verinin neden toplandığını, nerede saklandığını, kim tarafından işlendiğini ve ne zaman silineceğini açıklayan kısa bir aydınlatma metni sunulmalıdır. Bu bilgilendirme; sözlü, e-posta veya kağıt ortamında yapılabilir; ancak ispat yükümlülüğü veri sorumlusunda olduğundan yazılı ya da kayıt altına alınmış bir yöntem tercih edilmelidir.

Aydınlatma metni hukuki bir metin olmakla birlikte sade, anlaşılır bir dilde yazılmalıdır. Ağır hukuki terminoloji veya çok küçük punto gibi okunmayı zorlaştıran biçimsel unsurlar, Kişisel Verileri Koruma Kurumu tarafından "etkin aydınlatma" sayılmamaktadır. Metni anlaşılır kılmak hem yasal zorunluluk hem de iyi yönetim pratiğinin bir gereğidir.

Açık Rıza Nedir, Ne Zaman Gerekir?

Açık rıza, KVKK'nın 3. maddesinde "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlanmaktadır. Tanımın üç unsuru aynı anda sağlanmalıdır: rıza belirli bir konuya özgü olmalı, kişi ne için rıza verdiğini bilerek hareket etmeli ve bu rıza herhangi bir baskı ya da zorunluluk olmaksızın özgür irade ile verilmelidir.

Ancak önemli bir nokta şudur: açık rıza, KVKK'nın öngördüğü tek hukuki işleme gerekçesi değildir. Kanunun 5. maddesi; açık rızaya ek olarak, kanunlarda açıkça öngörülmesi, sözleşmenin ifası için zorunluluk, meşru menfaat, hayati menfaat ve hukuki yükümlülük gibi başka gerekçeler de saymaktadır. Site yönetimi açısından pek çok veri bu gerekçelere dayanılarak işlenebilir. Örneğin kat maliklerinin isim ve daire numaralarının tutulması, 634 sayılı Kat Mülkiyeti Kanunu'ndan doğan bir hukuki yükümlülüğün yerine getirilmesi kapsamında değerlendirilebilir ve bu veriler için ayrıca açık rıza alınmasına gerek kalmayabilir.

Öte yandan bazı veriler için açık rıza zorunludur. Güvenlik kamerası görüntüleri çoğu zaman "sürekli işlenen kişisel veri" niteliği taşır ve özellikle ortak alan dışına yönelik çekimlerde açık rıza tartışmalıdır. Bunun ötesinde, özel nitelikli kişisel veriler (sağlık verileri, engellilik durumu, sendika üyeliği gibi) ise KVKK'nın 6. maddesiyle çok daha sıkı bir koruma altına alınmış olup bunların işlenmesi için kural olarak açık rıza şarttır.

Açık rızanın geçerliliği için özel bir şekil şartı öngörülmemiş olsa da ispat kolaylığı açısından yazılı ya da elektronik imzalı formlar tercih edilmelidir. "Sözlü verdim" demek, ileride çıkacak bir uyuşmazlıkta kanıt olarak yeterli olmayacaktır. Bu nedenle site yönetimleri, kamera sistemleri veya özel nitelikli veri işleme söz konusu olduğunda mutlaka yazılı rıza formu kullanmalıdır.

Aydınlatma ile Açık Rıza Arasındaki Fark

Aydınlatma yükümlülüğü ile açık rıza sıklıkla birbirine karıştırılır; oysa bunlar farklı hukuki mekanizmalardır. Aydınlatma bir yükümlülüktür: veri sorumlusu, ilgili kişiyi bilgilendirmek zorundadır ve bu yükümlülük, işleme gerekçesinden bağımsız olarak her durumda geçerlidir. Açık rıza ise belirli durumlarda zorunlu olan bir hukuki işleme gerekçesidir; diğer gerekçelerden biri varsa ayrıca alınmasına gerek yoktur.

Başka bir ifadeyle: aydınlatmayı her zaman yapmak zorundasınız; açık rızayı ise yalnızca kanunun öngördüğü ya da başka hukuki dayanak bulunmadığı hallerde almanız gerekir. Bu iki kavramı aynı form üzerinde birleştirmek mümkündür; ancak "aydınlatma ve rıza formu" düzenlenirken, onay kutusunun yalnızca rızayı kapsaması ve aydınlatmanın ayrı bir metin olarak okunmasına olanak tanıması gerekir. Aksi hâlde "aydınlatmayı okuyup onayladım" gibi tek bir cümleyle yapılan birleştirme, Kurulun ilkeleriyle çelişebilir.

Bir karşılaştırma tablosu bu ayrımı somutlaştırmaktadır:

Bu ayrımı net kavramak, site yöneticilerinin gereksiz rıza formları hazırlayarak hem kendilerini hem de sakinleri yormalarının önüne geçer. Örneğin aidat takibi için toplanan banka hesap bilgisi, sözleşmenin ifası gerekçesiyle işlenebilir; bu için ayrıca açık rıza formu düzenlenmesi zorunlu değildir; ancak aydınlatma yapılması yine de kaçınılmazdır.

Site Yönetiminde Hangi Veriler İşlenir?

Site veya apartman yönetimlerinin işlediği kişisel verilerin kapsamı, pek çok kişinin tahmin ettiğinden çok daha geniştir. Bu verileri kategorize etmek, hem aydınlatma metnini doğru yazmak hem de hangi verilerin hangi gerekçeyle işlendiğini belgelemek açısından büyük önem taşır.

Kimlik ve iletişim verileri en temel kategoriyi oluşturur: ad-soyad, TC kimlik numarası, adres, telefon numarası ve e-posta adresi bunların başında gelir. Bu veriler genellikle kat malikliği tesisi ya da kira sözleşmesi süreçlerinde elde edilir ve 634 sayılı Kat Mülkiyeti Kanunu'nun yönetim defteri ve aidat takibine ilişkin hükümleri kapsamında işlenmesi meşru bir gerekçeye dayanır.

Finansal veriler de önemli bir yer tutar: banka IBAN bilgileri, aidat ödeme geçmişi, borç-alacak durumu ve ödeme emirleri bu kapsamda değerlendirilebilir. Bu verilerin işlenmesi de büyük ölçüde sözleşmeden doğan yükümlülüklere dayandırılabilir; ancak üçüncü kişilerle paylaşılması durumunda kural olarak aydınlatma ve gerekirse rıza şarttır.

Güvenlik verileri ise en hassas kategoriyi teşkil eder. Kapalı devre kamera sistemleri, turnike veya kartlı geçiş sistemleri, misafir kayıt defterleri ve araç plaka kayıtları bu kapsamdadır. Kamera görüntüleri, kişileri tanımlamaya elverişli olduğundan kişisel veri niteliği taşır. Bu verilerin işlenmesinde meşru menfaat gerekçesi kullanılabilir; ancak Kişisel Verileri Koruma Kurulu'nun ilgili kararlarına ve veri minimizasyonu ilkesine dikkat edilmelidir.

• Kat maliki ve kiracı kimlik bilgileri (ad, soyad, TC kimlik no)
• İletişim bilgileri (telefon, e-posta, kapı numarası)
• Finansal veriler (IBAN, ödeme geçmişi, borç durumu)
• Güvenlik kamerası kayıtları ve saklama süreleri
• Araç plaka bilgileri ve otopark kayıtları
• Kartlı geçiş sistemi giriş-çıkış logları
• Çocuk oyun alanı ya da havuz kullanım kayıtları (özellikle çocuklara ait veriler)
• Engelli bireyler için erişim planlamasına yönelik sağlık verileri (özel nitelikli)

Bu kadar geniş bir veri yelpazesini yönetmek, manuel süreçlerle giderek güçleşmektedir. Apartman yönetim programları, kayıtları merkezi bir veri tabanında tutarak hem erişim denetimini kolaylaştırır hem de veri saklama süreleri ile erişim loglarının izlenmesine imkân tanır; bu da KVKK uyumu açısından somut bir kolaylık sağlar.

Aydınlatma Metni Nasıl Hazırlanır?

Aydınlatma metni hazırlarken önce veri envanteri oluşturmak en doğru başlangıç noktasıdır. Hangi veriler toplandığı, hangi amaçla kullanıldığı, nerede saklandığı, kimlerle paylaşıldığı ve ne kadar süre tutulduğu belgelenmeden sağlıklı bir aydınlatma metni yazmak mümkün değildir. Bu envanter aynı zamanda VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı için de gereklidir.

Metinde kullanılacak dil son derece önemlidir. Kurulun rehber kararlarında da vurgulandığı üzere aydınlatma metni, ilgili kişinin kolaylıkla anlayabileceği açık ve sade bir Türkçe ile yazılmalıdır. Hukuki jargonu minimumda tutmak, metni gerçekten okunabilir kılmak demektir. Metin ne çok kısa (tüm unsurları kapsamayan) ne de gereksiz yere uzun (sayfalar dolusu yasal atıflarla dolu) olmalıdır.

Aydınlatma metninin sunumu da en az içeriği kadar önemlidir. Kapı komşusuna "imzalayın şu" diyerek uzatılan anlaşılmaz bir A4 sayfası etkin bir aydınlatma sayılmaz. Bunun yerine; site yönetim ofisinde asılı olan bir özet pano, yeni sakine iletilen e-posta ile gönderilen sade bir metin veya dijital platform üzerinden iletilen bildirim tercih edilebilir. Her durumda iletimin gerçekleştiğini kanıtlayan bir kayıt tutulmalıdır.

Aydınlatma metni bir kez hazırlanıp unutulan bir belge değildir. Site yönetiminin kamera sistemi genişlemesi, yeni bir yazılım kullanmaya başlanması veya başka bir veri kategorisinin işlenmesi gibi durumlarda mevcut metin güncellenmeli ve sakinlere yeniden bildirim yapılmalıdır. Bu dinamik sürecin takip edilebilmesi için site yönetim yazılımları üzerinden sakin iletişim kayıtlarının tutulması pratik bir çözüm sunar.

Güvenlik Kameraları ve KVKK

Güvenlik kameraları, site yönetimlerinin KVKK kapsamında en fazla risk taşıdığı alanların başında gelir. Kamera sistemi kurmak ve işletmek, sürekli kişisel veri işleme faaliyeti olduğundan özellikle dikkatli bir yaklaşım gerektirmektedir. Kişisel Verileri Koruma Kurulu'nun çeşitli kararlarında kamera uygulamalarına ilişkin önemli ilkeler ortaya konmuştur.

Öncelikle kameraların yalnızca güvenlik amacına hizmet eden noktalara konumlandırılması ve görüntüleme açısının bu amacı aşmaması gerekir. Bireylerin özel yaşam alanlarına (daire içi, balkon, banyo/tuvalet gibi) yönelik çekim kesinlikle yasaktır. Ortak alanlarda (lobi, otopark, asansör, havuz girişi) kamera bulunmasının meşru menfaat gerekçesiyle savunulabileceği kabul görmekle birlikte, bu durumda da kameralar hakkında açık, okunabilir ve kalıcı bilgilendirme levhaları asılması zorunludur.

Kamera kayıtlarının saklama süresi ayrı bir başlık olarak ele alınmalıdır. Kayıtlar, belirlenen güvenlik amacını karşılayacak minimum süre kadar saklanmalı ve bu süre aydınlatma metninde açıkça belirtilmelidir. Genel uygulamada bu süre 15 ile 30 gün arasında değişmekte; herhangi bir olay kaydının belgelenme ihtiyacı doğmadıkça bu süreden uzun saklama yapılmaması önerilmektedir. Süre dolunca kayıtların otomatik olarak silinmesini sağlayan sistemler kullanmak hem KVKK'ya uyum hem de depolama verimliliği açısından avantajlıdır.

Kamera kayıtlarına erişimin kısıtlanması da kritik bir önlemdir. Yalnızca yönetici veya yetkili güvenlik personelinin bu kayıtlara erişebilmesi sağlanmalı; erişim logları tutulmalı ve yetkisiz erişim girişimleri kayıt altına alınmalıdır. Kayıtların üçüncü kişilere (sigorta şirketi, kolluk kuvvetleri vb.) aktarılması zorunlu olduğunda ise aktarımın yasal dayanağı belgelenmeli ve yalnızca ilgili kısım paylaşılmalıdır.

VERBİS Kaydı ve Yükümlülük Kapsamı

VERBİS, yani Veri Sorumluları Sicil Bilgi Sistemi, Kişisel Verileri Koruma Kurumu tarafından yürütülen ve veri sorumlularının kişisel veri işleme faaliyetlerini beyan ettiği çevrimiçi bir sicil sistemidir. KVKK'nın 16. maddesi, belirli kategorideki veri sorumlularının VERBİS'e kayıt olmak ve işleme faaliyetlerini sisteme girmek zorunda olduğunu düzenlemektedir.

Site ve apartman yönetimlerinin VERBİS'e kayıt yükümlülüğü bulunup bulunmadığı, yönetimin büyüklüğüne ve işçi çalıştırıp çalıştırmadığına bağlı olarak değişmektedir. Belirli eşiklerin altında kalan küçük yönetimler muafiyet kapsamında tutulabilir; ancak bu muafiyetin aydınlatma ve açık rıza yükümlülükleri için geçerli olmadığını hatırlatmak gerekir. Muafiyet kapsamında olsanız dahi aydınlatma yapmak zorundasınızdır. Yükümlülük durumunuzun net olarak belirlenmesi için bir hukuk danışmanı veya KVKK Kurumu'nun yayımladığı rehber belgelerden yararlanmanız tavsiye edilir.

VERBİS kaydı yapılan işletmeler, sistem üzerinden hangi veri kategorilerini, hangi amaçla, hangi hukuki dayanakla ve ne kadar süreyle işlediklerini beyan ederler. Bu kayıt aynı zamanda bir öz denetim aracıdır: kaydı hazırlarken veri envanteri zorunlu olarak oluşturulmakta ve eksiklikler daha kolay tespit edilmektedir. Kayıt bilgilerinin güncel tutulması ve değişiklik olduğunda güncellenmesi gerekmektedir.

VERBİS'e kayıt yükümlülüğüne rağmen kayıt yaptırmamak veya eksik/hatalı bilgi beyan etmek, KVKK'nın 18. maddesi kapsamında idari para cezasına yol açabilir. Ceza miktarları her yıl güncellenmekte olup güncel tutarlar için Kişisel Verileri Koruma Kurumu'nun resmi web sitesi esas alınmalıdır.

KVKK'ya Uyumlu Site Yönetimi İçin Pratik Adımlar

KVKK uyum sürecini "bir seferlik proje" değil "sürekli bir yönetim pratiği" olarak kurgulamak gerekir. Başlangıçta yapılması gereken hazırlıklar tamamlandıktan sonra, sürecin canlı tutulması ve güncellenmesi asıl önemi taşır. Aşağıda site yönetimleri için uygulamaya dönük bir yol haritası sunulmaktadır.

İlk adım veri envanterinin oluşturulmasıdır. Hangi veri kategorilerinin toplandığını, hangi kaynaktan elde edildiğini, nerede ve ne kadar süreyle saklandığını, hangi amaçla kullanıldığını ve kiminle paylaşıldığını içeren bir tablo hazırlamak, tüm sürecin temelini oluşturur. Bu envanter olmadan ne doğru bir aydınlatma metni yazılabilir ne de VERBİS kaydı sağlıklı şekilde yapılabilir.

İkinci adım aydınlatma metninin hazırlanması ve dağıtımıdır. Envanter tamamlandıktan sonra, KVKK'nın 10. maddesinin öngördüğü tüm unsurları içeren sade ve anlaşılır bir metin hazırlanmalıdır. Bu metin; mevcut kat maliklerine ve kiracılara yazılı ya da e-posta yoluyla iletilmeli, yeni sakinlere ise taşınma sürecinde sunulmalıdır. İletimin gerçekleştiğine dair kayıt tutmak ispat kolaylığı sağlar.

Üçüncü adım, açık rıza formlarının tasarlanmasıdır. Güvenlik kameraları, özel nitelikli veriler veya başka hukuki dayanağı bulunmayan veri işleme faaliyetleri için ayrı, açık ve belirli konuya özgü rıza formları hazırlanmalıdır. Bu formlar, aydınlatma metninden ayrı tutulmalı ve yalnızca rızanın alınmasına hizmet etmelidir.

Dördüncü adım erişim ve güvenlik kontrollerinin kurgulanmasıdır. Kişisel verilere erişim kısıtlanmalı, güvenlik kamerası kayıt süreleri belirlenmeli ve gereksiz veriler düzenli aralıklarla silinmelidir. Dijital ortamda tutulan verilerin güvenliği için şifre koruma, yetki matrisi ve günlük yedekleme uygulamaya alınmalıdır.

Son adım periyodik denetimdir. Yılda en az bir kez veri envanteri gözden geçirilmeli, aydınlatma metinleri güncellenmeli ve sakinlerden gelen erişim/silme talepleri kayıt altına alınarak yanıtlanmalıdır. Bu periyodik denetim alışkanlığı, olası bir Kurul soruşturmasında iyi niyetin ve uyum çabasının somut göstergesi olarak değerlendirilebilir.

İhlal Durumunda Ne Olur?

KVKK ihlalleri, kanunun 17. ve 18. maddeleri kapsamında hem idari yaptırımlar hem de cezai sorumluluk doğurabilir. İdari para cezaları belirli ihlal türlerine göre farklılaşmakta ve her yıl yeniden belirlenen tutarlar çerçevesinde uygulanmaktadır. Bu cezaların yanı sıra, Kurul ihlalin kamuoyuyla paylaşılmasına da karar verebilir; bu da kurumsal itibar açısından ciddi bir risk unsuru oluşturur.

Aydınlatma yükümlülüğünün yerine getirilmemesi başlı başına bir ihlal gerekçesidir. Kişilerin verilerinin nasıl işlendiğini bilme hakkı; KVKK'nın güvence altına aldığı temel bir hak olup bu hakkın ihlali, mağdur açısından tazminat davası açma hakkını da doğurabilir. Site sakinlerinden birinin Kurul'a şikâyette bulunması, bir soruşturma sürecini başlatmaya yeterlidir.

Pratik hayattan bir örnek düşünelim: Site yöneticisi, kamera kayıtlarını komşu kat malikine "kim o kişi" diye göstermiştir. Bu eylem; kişisel verinin yetkisiz üçüncü kişiyle paylaşılması niteliğinde olup hem aydınlatma hem de güvenlik yükümlülüklerini ihlal eder. Böyle bir vakada hem idari para cezası hem de medeni hukuk kapsamında tazminat talebi söz konusu olabilir.

Tüm bunlardan bağımsız olarak, sakinlerin KVKK'ya olan farkındalığı her geçen yıl artmaktadır. Verilerinin nasıl kullanıldığını soran, erişim talep eden ya da silme isteğinde bulunan kat maliki ve kiracıların sayısı giderek artacaktır. Bu taleplere 30 günlük yasal süre içinde yanıt vermek de ayrı bir yükümlülüktür. Bu sürecin planlı ve sistematik biçimde yönetilmesi için apartman yönetim yazılımları üzerindeki iletişim ve talep takip modülleri işlevsel bir destek sunabilir.

Sık Sorulan Sorular