KVKK Belgelerini Hazır Tutmanın Önemi

KVKK belgelerini hazır tutmak, apartman ve site yönetimlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yasal yükümlülüklerini eksiksiz yerine getirmesinin temel koşuludur. Bu belgeler olmadan yönetimler hem idari para cezasıyla hem de sakinlerin hukuki taleplerine karşı savunmasız kalmaktadır.

6698 Sayılı KVKK'nın Apartman ve Site Yönetimlerine Yansıması

6698 sayılı Kişisel Verilerin Korunması Kanunu, 7 Nisan 2016 tarihinde yürürlüğe girmiş ve kişisel veri işleyen her türlü gerçek ya da tüzel kişi ile yapı kooperatiflerini, site yönetimlerini ve apartman yöneticilerini kapsam altına almıştır. Kanun; sakini tanımlayabilecek her türlü bilginin — ad-soyad, telefon numarası, araç plakası, IBAN bilgisi, güvenlik kamerası kayıtları — işlenmesini kurallara bağlar. Bu noktada apartman ve site yönetimleri, 6698 sayılı KVKK açısından "veri sorumlusu" konumuna düşmektedir.

Veri sorumlusu sıfatının pratik anlamı şudur: Yönetim, hangi kişisel veriyi neden topladığını, ne kadar süreyle sakladığını, kiminle paylaştığını ve nasıl imha ettiğini belgelemek zorundadır. Bir sakin kapıcıyla doldurduğu bir formu ya da telefon görüşmesinde paylaştığı bir bilgiyi "veri sorumlusuna" vermiş sayılır. Bu bilginin işlenme süreci eksiksiz belgelenmedikçe yönetim yasal yükümlülüğünü yerine getirmiş olmaz.

Pratikte pek çok site yönetimi bu sorumluluğun farkında olmadan hareket etmektedir. "Biz zaten sakinlerimizin bilgilerini iyi niyetle saklıyoruz" yaklaşımı kanun karşısında geçerli bir savunma değildir. Niyetten bağımsız olarak belgelerin var olup olmadığı, güncel tutulup tutulmadığı ve ilgili kişilerin erişimine hazır olup olmadığı denetim sırasında sorgulanır.

Kişisel Verileri Koruma Kurumu'nun (KVKK) yaptığı denetimlerde ve ilgili kişilerin şikayet başvurularında sorulan ilk soru genellikle şudur: "Aydınlatma metninizi görebilir miyiz?" Eğer yönetim bu soruya somut bir belge sunarak yanıt veremiyorsa, iyi niyetli bile olsa usul ihlali nedeniyle idari para cezasıyla karşılaşabilir. Bu gerçek, KVKK belgelerini hazır tutmanın neden bir tercih değil, zorunluluk olduğunu açıkça ortaya koymaktadır.

Veri Sorumlusu Olarak Yöneticinin Temel Yükümlülükleri

6698 sayılı Kanun'un 10. maddesi, veri sorumlusunun kişisel verileri elde etmeden önce ya da elde ederken ilgili kişiyi aydınlatma yükümlülüğünü düzenler. Bu yükümlülük, site yönetimi için şu anlama gelir: Bir sakine aidat ödeme planı için IBAN bilgisi istendiğinde, güvenlik sistemi için araç plakası kaydedildiğinde ya da yönetim toplu SMS gönderimi için telefon numaraları bir listede birleştirildiğinde, bu işlemlerden önce sakin bilgilendirilmiş olmalıdır.

Aydınlatma yükümlülüğünün yanı sıra yöneticinin şu temel sorumluluklara da uymak zorunda olduğunu unutmamak gerekir: Veri envanteri oluşturmak ve güncel tutmak; veri işleme faaliyetlerini meşru bir hukuki sebebe dayandırmak; kişisel verilerin güvenliğini teknik ve idari tedbirlerle sağlamak; ilgili kişilerin haklarını kullanabilmesine imkân tanımak.

Yönetim kurulunun değişmesi, eski yöneticilerin ayrılması ya da yeni bir yönetim şirketinin görevi devralması gibi süreçlerde belgelerin aktarılmaması ciddi bir boşluk yaratır. Yeni yönetici, önceki dönemde sakinlerden hangi veriler toplandığını bilmeden veri sorumluluğunu devralmış olur; bu durum hem hukuki hem de sakinlerle ilişki yönetimi açısından risklidir.

Öte yandan bazı site yönetimleri yönetim yazılımı ya da apartman yönetim programı kullanmaktadır. Bu platformlar, sakin bilgilerini dijital ortamda işlediğinden, kullanılan yazılımın veri işleme koşulları da KVKK kapsamında incelenir. Yazılım sağlayıcısıyla imzalanan veri işleme sözleşmesi (VİS) de yönetimin belgeler dosyasında bulunmalıdır.

Aydınlatma Metni: Hazırlanması ve Güncel Tutulması

Aydınlatma metni, veri sorumlusunun kim olduğunu, hangi verilerin hangi amaçla toplandığını, bu verilerin kimlere aktarıldığını ve ilgili kişinin haklarının neler olduğunu açıklayan temel belgedir. 6698 sayılı Kanun'un 10. maddesine ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'e göre hazırlanması zorunludur.

Site yönetimleri için aydınlatma metninin kapsamı oldukça geniştir. Sakinlerin adı, soyadı, iletişim bilgileri; araç plakaları; ödeme bilgileri; ziyaretçi kayıtları; güvenlik kamerası görüntüleri; genel kurul oy kayıtları gibi pek çok veri kategorisi bu metin altında tanımlanmalıdır. Her veri kategorisi için işleme amacı, hukuki dayanağı ve saklama süresi ayrı ayrı belirtilmelidir.

Hazırlanan aydınlatma metninin dijital ve fiziksel ortamda erişilebilir olması gerekir. Sitenin varsa web sitesinde yayımlanması, ilan panosuna asılması ya da yeni sakinlere sözleşme imzalanırken teslim edilmesi bu erişilebilirliği sağlamanın pratik yollarıdır. Ayrıca metnin yalnızca bir kez hazırlanıp unutulmaması gerekir; yönetim yapısı değiştiğinde, yeni bir veri işleme faaliyeti başladığında ya da mevzuatta güncelleme yapıldığında metin de revize edilmelidir.

Uygulamada sıkça yapılan hata, bir örnek metni olduğu gibi kopyalamaktır. Oysa her sitenin ya da apartmanın yapısı farklıdır. Kullanılan güvenlik sistemleri, ödeme yöntemleri, çalışan sayısı ve yönetim biçimi aydınlatma metninin içeriğini doğrudan etkiler. Genel bir şablondan yola çıkmak kabul edilebilir olmakla birlikte, metnin kendi sitenizin gerçeklerini yansıtacak biçimde özelleştirilmesi şarttır.

Açık Rıza Belgelerinin Doğru Hazırlanması

Açık rıza, 6698 sayılı Kanun'un 3. maddesinde "belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza" olarak tanımlanmıştır. Site yönetimleri açısından açık rıza, aydınlatma yükümlülüğünü tamamlayan fakat ondan bağımsız bir belgedir. Yönetim bazı veri işleme faaliyetleri için kanunun öngördüğü başka hukuki dayanaklara (örneğin sözleşmenin ifası, meşru menfaat ya da kanuni yükümlülük) dayanabilir; bu durumlarda ayrıca açık rıza almaya gerek yoktur. Ancak bu dayanakların hangisinin ne zaman geçerli olduğu hukuki bir değerlendirme gerektirdiğinden, açık rıza formu hazırlıklı bulunmanın pratik bir güvencesidir.

Açık rıza belgesi birkaç zorunlu unsur içermelidir: Rızanın hangi işleme faaliyetine ait olduğu, rızanın belirli bir konuya ilişkin olması (kapsamı belirsiz "her şey için rıza veriyorum" ifadesi geçersizdir), rızanın özgür iradenin ürünü olması ve geri alınabilir olduğunun belirtilmesi. Sakin bu belgeyi imzaladığında gerçekten ne onayladığını anlıyor olmalıdır.

Pratik bir senaryo düşünelim: Sitenize yeni bir yüz tanıma sistemli turnike kuruyorsunuz. Bu sistem, sakinlerin biyometrik verilerini işleyecektir. Biyometrik veri, özel nitelikli kişisel veri kategorisindedir ve 6698 sayılı Kanun'un 6. maddesi kapsamında özel nitelikli verilerin işlenmesi için açık rıza zorunludur. Sistemi devreye almadan önce her sakinden ve düzenli ziyaretçiden ayrı bir açık rıza belgesi alınmalı, bu belgeler saklanmalı ve ilerideki olası bir itiraz ya da denetimde sunulabilir olmalıdır.

Açık rıza belgelerinin fiziksel ya da dijital ortamda saklanması ve sakinlerin rızalarını geri aldığı durumlarda bu geri alımın kaydedilmesi de belgeler dosyasının bir parçasıdır. Rıza geri alımı anında ilgili veri işleme faaliyetinin durdurulması ve bu sürecin izlenmesi yönetimin sorumluluğundadır.

Veri Envanteri Oluşturma ve Güncelleme Süreci

Veri envanteri ya da teknik adıyla "Veri İşleme Envanteri", yönetimin hangi kişisel verileri, hangi amaçla, hangi hukuki dayanağa göre, ne süreyle işlediğini ve bu verilerin kimlerle paylaşıldığını sistematik biçimde gösteren belgedir. Kişisel Verileri Koruma Kurumu, VERBİS (Veri Sorumluları Sicili Bilgi Sistemi) kayıt yükümlülüğü kapsamındaki kuruluşlar için bu envanterin tutulmasını şart koşar; ancak daha küçük ölçekli site ve apartman yönetimleri VERBİS kaydından muaf olsa bile iç kullanım için envanter tutmak iyi uygulama ve hukuki güvence sağlar.

Bir site yönetimi için veri envanterinin temel kategorileri şu şekilde özetlenebilir:

• Sakin bilgileri: Ad-soyad, iletişim bilgileri, daire numarası, tapu/kira durumu
• Ödeme verileri: IBAN, banka bilgileri, ödeme geçmişi kayıtları
• Güvenlik verileri: Araç plakaları, ziyaretçi giriş-çıkış kayıtları, kamera görüntüleri
• Çalışan verileri: Kapıcı, güvenlik görevlisi, temizlik personelinin özlük bilgileri
• Genel kurul kayıtları: Oy bilgileri, imza sirkülerleri, katılım listeleri
• Hukuki yazışmalar: İcra takibi, ihtarname gibi süreçlerde işlenen kişisel veriler

Her kategori için veri envanteri şu soruları yanıtlamalıdır: Bu veri neden toplanıyor? Hukuki dayanağı nedir? Kaç yıl saklanacak? Kimlerle paylaşılıyor? Nasıl imha ediliyor? Bu sorulara belgeli yanıtlar verilmesi, denetim ya da şikayet sürecinde yönetimi güçlü kılar. Site yönetim yazılımı kullanan yönetimler, bu yazılımlarda saklanan verilerin de envantere dahil edilmesi gerektiğini göz ardı etmemelidir.

Envanterin yılda en az bir kez gözden geçirilmesi ve site yapısındaki değişikliklere (yeni hizmet, yeni çalışan, yeni sistem kurulumu) paralel olarak güncellenmesi önerilir. Bu güncelleme sürecini takip altına almak, yönetim değişimlerinde devamlılığı sağlar ve yöneticinin aradan yıllar geçtikten sonra "o dönemde ne yapılmıştı?" sorusuna yanıt verebilmesine imkân tanır.

Veri Güvenliğini Sağlamak: Teknik ve İdari Tedbirler

6698 sayılı Kanun'un 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişimi önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak zorunda olduğunu açıkça belirtir. Bu madde, yönetimin "elimizden geleni yaptık" demesinin yeterli olmadığını; tedbirlerin somut ve belgelenmiş olması gerektiğini vurgular.

Teknik tedbirler arasında en temel olanlar şunlardır: Kişisel veri içeren fiziksel belgelerin kilitli dolaplarda saklanması; dijital ortamdaki verilere yalnızca yetkili kişilerin erişebilmesi için parola ve kullanıcı yetkilendirme sistemleri kurulması; bilgisayar ve tabletlerin güncel antivirüs yazılımıyla korunması; güvenlik kamerası kayıtlarının şifreli ve yalnızca yetkililerin erişebildiği bir ortamda saklanması.

İdari tedbirler ise insan boyutunu kapsar: Yöneticilerin ve çalışanların (kapıcı, güvenlik görevlisi) KVKK'nın temel ilkeleri konusunda bilgilendirilmesi; sakin bilgilerinin üçüncü kişilerle paylaşılmaması konusunda taahhüt alınması; eski yöneticilerden ayrılırken veri içeren cihazların iade edilmesi ve erişim yetkilerinin iptal edilmesi. Bu tedbirlerin yapıldığının kayıt altına alınması, ilerideki olası denetimde somut kanıt işlevi görür.

Veri güvenliği ihlali yaşanması — örneğin bir çalışanın sakin listesini izinsiz kopyalaması ya da bilgisayarın çalınması — durumunda yönetim, 6698 sayılı Kanun gereği bu ihlalin öğrenilmesinden itibaren 72 saat içinde Kişisel Verileri Koruma Kurumu'na ve ilgili kişilere bildirim yapmak zorundadır. Bu bildirim yükümlülüğünü yerine getirebilmek için ihlal anında hangi verilerin etkilendiğini hızla tespit edecek bir envanterin hazır olması gerekir. Envanteri olmayan bir yönetim bu yükümlülüğü fiziksel olarak yerine getiremez.

İlgili Kişi Başvurularını Karşılamanın Sistematik Yolu

6698 sayılı Kanun'un 11. maddesi, kişisel verisi işlenen her bireye (ilgili kişiye) bir dizi hak tanır: Verilerinin işlenip işlenmediğini öğrenme, işleniyorsa buna ilişkin bilgi talep etme, verilerin düzeltilmesini ya da silinmesini isteme, işlemenin durdurulmasını talep etme, itiraz etme ve zararın tazminini isteme. Site sakinleri de bu haklara sahiptir ve yönetim bu başvuruları almak ve yanıtlamak için sistematik bir süreç oluşturmak zorundadır.

Başvuru süreci birkaç temel unsuru kapsar: İlgili kişinin kendini kim olduğunu ispatlayabileceği bir başvuru yöntemi belirlenmesi (yazılı başvuru, e-posta ya da noter kanalı); başvurunun kaydedilmesi; 30 gün içinde yanıt verilmesi (gerekirse bu süre bir kez daha 30 gün uzatılabilir); yanıtın güvenli biçimde iletilmesi. Bu süreçte yönetim, kişisel veri talebini yanıtlamak için zaten envantere ihtiyaç duyar; çünkü sakin "hakkımdaki hangi verileri tutuyorsunuz?" diye sorduğunda somut bir yanıt vermek zorundadır.

Pratikte en sık karşılaşılan başvuru türü şudur: Siteden ayrılan ya da evi satan bir sakin, eski yönetime ait kayıtlarda kendi bilgilerinin silinmesini talep eder. Yönetim bu talebi aldığında, hangi verilerin yasal saklama yükümlülüğü kapsamında tutulması gerektiğini (örneğin muhasebe kayıtları), hangilerinin silinebileceğini bilmek ve buna göre hareket etmek durumundadır. Bu değerlendirmeyi yapabilmek için hem veri envanteri hem de saklama-imha politikası hazır olmalıdır.

Başvuruların yanıtlanmasının yalnızca 30 günlük süreyle sınırlı olmadığını, aynı zamanda yanıtın içeriğinin de kanuna uygun olması gerektiğini hatırlatmak gerekir. "Sizin verilerinize sahip değiliz" yanıtı veriliyorsa bu doğru olmalıdır; "verilerinizi sildik" yanıtı veriliyorsa bu gerçekten gerçekleşmiş olmalı ve imha kaydıyla belgelenmelidir.

Yönetim Değişimlerinde KVKK Belgelerinin Devri

Apartman ve site yönetimlerinde en kritik ama en sık atlanan konu, yönetim değişimlerinde kişisel veri içeren belgelerin ve sistemlerin nasıl devredileceğidir. 634 sayılı Kat Mülkiyeti Kanunu, yöneticinin görevden ayrılırken hesap ve belgeleri teslim etmesini öngörür; KVKK ise bu teslim sürecine kişisel veri boyutunu ekler. Sonuç olarak yöneticinin teslim edeceği belgeler arasında mali tablolar ve muhasebe kayıtları yanında sakin veri envanteri, aydınlatma metinleri, açık rıza formları ve güvenlik sistemi erişim bilgileri de yer almalıdır.

Devir sürecinde yapılması gereken somut adımlar şunlardır: Eski yöneticinin dijital sistemlere erişimi kapatılmalı; yönetim yazılımındaki yetkiler yeni yöneticiye aktarılmalı; fiziksel belgeler imza karşılığı teslim edilmeli; güvenlik kamerası sistemi erişim şifreleri değiştirilmelidir. Tüm bu adımların bir tutanakla kayıt altına alınması hem eski hem de yeni yöneticinin gelecekteki sorumluluklarını netleştirir.

Bu sürecin eksik yürütüldüğü çok yaygın bir senaryo şu şekilde gelişir: Eski yönetici görevden ayrılır ama yönetim yazılımına erişimi kapanmaz. Yeni yönetici sistemin parolasını bilmez; sakinlerin iletişim listesi eski yöneticinin kişisel bilgisayarında kalmış durumdadır. Aylarca hiçbir sakin doğru bilgilendirme alamaz, aidat tahsilatı aksar. Bu gibi durumlarda KVKK ihlali yanı sıra yönetim kaosuna da zemin hazırlanmış olur. Belgelerin hazır tutulması ve sistematik devir, bu senaryoları önler.

Yeni yönetim dönemi başladığında, devralınan belgeler incelendikten sonra aydınlatma metni güncellenmeli, yeni yönetimde görev yapan kişilerin verilere erişim yetkileri sıfırdan tanımlanmalı ve varsa eski dönemden kalan saklama süresi dolmuş verilerin imhası gerçekleştirilmelidir. Bu adımlar her ne kadar zahmetli görünse de ilerleyen dönemde olası bir denetimde "yönetim değişikliği geçişi doğru yönetildi" sonucunu doğuracak tek güvencedir.

KVKK Uyumsuzluğunun Yaptırımları ve Gerçek Maliyet

6698 sayılı Kanun'un 18. maddesi, kanun kapsamındaki yükümlülüklere uyulmaması halinde uygulanacak idari para cezalarını düzenler. Bu cezalar yalnızca büyük şirketleri değil; apartman yönetimlerini, site yönetimlerini ve yönetici konumundaki gerçek kişileri de kapsar. Aydınlatma yükümlülüğünü yerine getirmeme, veri güvenliğine ilişkin tedbirleri almama ve Kurul kararlarına uymama başlıkları altında düzenlenen cezalar on binlerce Türk Lirasından başlayabilmektedir.

Somut risk senaryoları şu biçimde özetlenebilir: Bir sakin, yönetimin kendisine ait verileri üçüncü kişilerle paylaştığını öğrenir ve Kişisel Verileri Koruma Kurumu'na şikayette bulunur. Kurul inceleme başlatır, yönetimden aydınlatma metni ve veri envanteri ister. Bu belgeler mevcut değilse yönetim önce usul ihlali nedeniyle cezalandırılır; sonra asıl şikayet konusu incelenerek ek ceza uygulanabilir. Her aşamada mahkeme sürecine taşıma riski de masaya gelir.

Maddi yaptırımların ötesinde itibar kaybı da ciddi bir maliyettir. Özellikle büyük sitelerde ve rezidans yönetimlerinde sakinlerin kişisel veri güvenliğine verilen önemi sorgular hale geldiği görülmektedir. Bir veri ihlali ya da KVKK şikayeti, kat malikleri genel kurulunda yönetimin güven oylamasıyla sonuçlanabilir. Bu tablo, KVKK belgelerini hazır tutmanın yalnızca yasal değil, aynı zamanda yönetimsel bir tercih olduğunu ortaya koyar.

Küçük bir apartman yönetimi için dahi belgeler dosyasının oluşturulması —aydınlatma metni, açık rıza formu, veri envanteri ve imha politikası— yoğun bir emek gerektirmez. Hukuki danışman desteğiyle birkaç günde tamamlanabilecek bu hazırlık, yıllarca güvenlik kalkanı işlevi görür. Belgelerin yalnızca bir kez hazırlanıp rafta unutulmaması; yılda bir kez gözden geçirilmesi ise çok daha az zaman alır.

Belge Saklama Süreleri ve İmha Politikası

Kişisel verilerin ne kadar süreyle saklanacağı ve süre dolduğunda nasıl imha edileceği KVKK uyumunun temel bileşenlerinden biridir. Kanun, veri sorumlusunun saklama sürelerini önceden belirlemesini ve bu süre dolduğunda verileri re'sen imha etmesini ya da anonim hale getirmesini öngörür. Yani "sürekli saklarız, gerekince sileriz" yaklaşımı hukuka uygun değildir.

Site yönetimleri için farklı veri türlerinin saklama sürelerini belirlerken başka mevzuatla çakışan durumlar da göz önünde tutulmalıdır. Vergi Usul Kanunu muhasebe belgelerinin 5 yıl; İş Kanunu personel özlük dosyalarının 10 yıl; kat malikleri genel kurul tutanaklarının 5 yıl saklanmasını zorunlu kılar. Bu durumda o belgeler için KVKK kapsamındaki saklama süresi de bu yasal zorunluluk süresince devam eder.

İmha süreci de belgelenmelidir. Kağıt belgelerin imhası için güvenli kağıt imha makinesi kullanılması ya da imha hizmetinden yararlanılması; dijital verilerin kalıcı olarak silinmesi için uygun yazılım araçlarının kullanılması önerilir. Her imha işlemi için "imha tutanağı" düzenlenmesi ve bu tutanakların saklanması, süreçte denetim izinin korunmasını sağlar. Apartman muhasebe programı gibi dijital araçlar üzerinden saklanan veriler için kullanılan yazılımın silme ve imha fonksiyonlarının gerçekten veriyi yok ettiği (yalnızca "pasif" hale getirmediği) doğrulanmalıdır.

Sık Sorulan Sorular