KVKK İdari Para Cezaları ve Site Riski

KVKK idari para cezaları, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında site ve apartman yönetimlerine de uygulanabiliyor; sakin listelerinden kamera görüntülerine kadar onlarca kişisel veri işleyen yönetim kurulları, veri sorumlusu sıfatıyla 2025 yılı itibarıyla tek bir ihlalde 194.106 TL ile 19.410.584 TL arasında değişen yaptırımlarla karşılaşabilir.

KVKK Nedir ve Site Yönetimi Neden Kapsama Giriyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu, Türkiye'de kişisel verilerin işlenmesini düzenleyen temel yasal çerçevedir. Kanun, yalnızca büyük şirketleri değil; bir veya birden fazla gerçek kişinin verilerini belirli amaçlarla işleyen her tüzel kişiyi ve hatta kişi topluluklarını kapsamına alır. Site ve apartman yönetimleri, sakin bilgilerini, aidat tahsilat kayıtlarını, güvenlik kamera verilerini ve üçüncü taraf hizmet sağlayıcı iletişimlerini düzenli biçimde işledikleri için bu kapsamın doğal bir parçasıdır.

Türk Medeni Kanunu'na göre kat malikleri kurulu bir tüzel kişiliğe sahip değildir; ancak Kişisel Verileri Koruma Kurulu (KVKK Kurulu) kararlarında, fiilen kişisel veri işleyen site yönetimleri "veri sorumlusu" olarak değerlendirilmektedir. Bu durum, yönetim kurulunun veya profesyonel yöneticinin doğrudan ceza muhatabı olabileceği anlamına gelir. Kurumun 2020-2024 yılları arasında verdiği kararlara bakıldığında, konut sitelerinin de bu süreçlere dahil olduğu görülmektedir.

Konuyu daha somut kılmak için bir örnek düşünelim: 500 daireli bir sitede yönetim, kapı sistemi aracılığıyla giriş-çıkış loglarını tutuyor, CCTV görüntülerini 90 gün saklıyor ve sakinlerin telefon-e-posta bilgilerini üçüncü bir şirkete aidat hatırlatması amacıyla aktarıyor. Bu üç işlem, KVKK açısından üç ayrı risk alanı oluşturmaktadır. Bunların herhangi biri, kanunun öngördüğü şartlara uygun biçimde yönetilmezse idari para cezası gündeme gelebilir.

Yöneticilerin çoğu, "biz küçük bir yapıyız, kanun bize uygulanmaz" yanılgısı içindedir. Oysa Kanun'un 3. maddesi "veri sorumlusu" kavramını işlenen veri miktarıyla değil, veri işleme amacını ve araçlarını belirleyen tarafın kim olduğuyla tanımlar. Dolayısıyla büyüklük bir muafiyet ölçütü değildir.

Site Yönetiminin Hangi Verileri İşlediği ve Neden Önemli

Site yönetiminin işlediği kişisel veriler, görünenden çok daha kapsamlıdır. Çoğu yönetim kurulu bunların farkında olmadan onlarca veri kategorisini günlük işlemlerin parçası olarak toplamakta ve saklamaktadır. Bu verileri kategorize etmek, hangi risklerin öncelikli ele alınması gerektiğini anlamak açısından kritiktir.

Birinci kategori, kimlik ve iletişim verileridir: sakin adı-soyadı, TC kimlik numarası, ev ve cep telefonu, e-posta adresi, plaka bilgisi. İkinci kategori, finansal verilerdir: banka hesap numarası, aidat ödeme geçmişi, icra veya ödeme planı kayıtları. Üçüncü kategori ise özel nitelikli verilerdir; burada en dikkat çekici olanı CCTV görüntüleridir. Biyometrik veri sayılabilen yüz görüntüsü içeren kamera kayıtları, KVKK'da "özel nitelikli kişisel veri" kategorisinde değerlendirilmekte ve bu kategorinin işlenmesinde çok daha sıkı koşullar aranmaktadır.

Dördüncü ve sıklıkla göz ardı edilen kategori, üçüncü taraflara aktarılan verilerdir. Teknik servis şirketine gönderilen arıza bildirimleri, peyzaj firmasına iletilen erişim listesi veya muhasebe yazılımına yüklenen sakin veritabanı, bu aktarımların somut örnekleridir. KVKK, yurt içi veri aktarımlarını da açık rıza veya meşru sebep şartına bağlamıştır.

Verileri dijital ortamda yönetmek, aslında KVKK uyumunu kolaylaştırabilir; çünkü erişim logları tutulabilir, silme talepleri kayıt altına alınabilir ve veri envanteri otomatik üretilebilir. Apartman yönetim programları bu süreçleri standartlaştırarak insan hatası kaynaklı ihlal riskini önemli ölçüde azaltır.

KVKK İdari Para Cezaları: Türleri ve Miktarları

6698 sayılı Kanun'un 18. maddesi, idari para cezalarını üç ana başlık altında düzenlemektedir. Bu cezalar, her yıl yeniden değerleme oranı esas alınarak güncellenmektedir. 2025 yılı için belirlenen miktarlar, önceki yıllara kıyasla ciddi artış göstermiş olup site yönetimleri için görmezden gelinebilecek rakamların çok ötesine geçmiştir.

Yukarıdaki rakamlar, Kişisel Verileri Koruma Kurumu'nun her yıl Resmî Gazete'de yayımladığı idari para cezası tebliğine dayanmakta olup değişkenlik gösterebilir; en güncel bilgi için KVKK'nın resmi web sitesinin takip edilmesi önerilir. Dikkat çeken husus şudur: tek bir ihlal birden fazla madde kapsamında değerlendirilebilir. Örneğin aydınlatma yapmadan kamera verisi işleyen bir site yönetimi, hem 18/1-a hem de 18/1-b kapsamında ayrı ayrı cezalandırılabilir.

Ceza belirlenmesinde dikkate alınan etkenler arasında ihlalin niteliği, etkilenen kişi sayısı, veri sorumlusunun kasıt veya ihmali, işbirliği tutumu ve ihlali gidermek için alınan önlemler sayılabilir. Kurul, bu kriterler doğrultusunda cezayı alt sınırdan üst sınıra kadar herhangi bir noktada belirleme yetkisine sahiptir.

Site Yönetiminde En Sık Karşılaşılan KVKK İhlalleri

Kişisel Verileri Koruma Kurumu'nun kamuoyuyla paylaştığı karar özetleri ve kılavuzlar incelendiğinde, benzer ihlal kalıplarının tekrarlandığı görülmektedir. Site yönetimlerinin en sık düştüğü hatalar, genellikle kasıtlı değil; mevzuat bilgisizliğinden kaynaklanmaktadır. Ne var ki Kurul kararlarında "bilmiyordum" gerekçesi mazeret olarak kabul edilmemektedir.

En yaygın ihlallerin başında aydınlatma yükümlülüğünün eksik yerine getirilmesi gelir. KVKK'nın 10. maddesi uyarınca veri sorumluları, kişisel verileri toplamadan önce ilgili kişileri hangi verilerin, hangi amaçla, ne kadar süreyle ve kimlerle paylaşılacağı konusunda bilgilendirmek zorundadır. Site girişine asılan küçük bir "CCTV kaydı alınmaktadır" levhası, bu yükümlülüğü yerine getirmek için yeterli değildir.

İkinci yaygın ihlal, veri minimizasyonu ilkesinin gözetilmemesidir. Örneğin ziyaretçi girişi için TC kimlik numarası toplamak, bu amacın çok ötesinde veri işlenmesi anlamına gelir. Aynı amaç ad-soyad ve plaka ile gerçekleştirilebilirken ekstra veri toplamak, orantılılık ilkesini çiğnemektedir.

Üçüncü ihlal türü ise veri saklama sürelerinin belirsizliği veya aşılmasıdır. Güvenlik kamera görüntülerinin yasal gerekliliğin ötesinde saklanması, elektronik kapı giriş loglarının yıllarca tutulması bu kategoriye girer. KVKK, amacın gerçekleşmesinin ardından verilerin silinmesini ya da anonim hale getirilmesini zorunlu kılmaktadır.

Dördüncü ihlal, veri ihlali bildirim yükümlülüğünün yerine getirilmemesidir. Bir siber saldırı, yetkisiz erişim veya fiziksel kayıp nedeniyle kişisel veriler ele geçirilirse bu durum 72 saat içinde Kurul'a bildirilmelidir. Pek çok site yönetimi bu yükümlülüğün farkında bile değildir.

CCTV Kameraları ve Özel Nitelikli Veri Riski

Güvenlik kameraları, site yönetiminin KVKK açısından en riskli alanlarından birini oluşturmaktadır. Kamera görüntülerinde bireylerin yüz görüntüsü yer aldığı için bu veriler, KVKK'nın 6. maddesi kapsamında "özel nitelikli kişisel veri" olarak sınıflandırılabilir. Özel nitelikli veriler için öngörülen yükümlülükler, sıradan kişisel verilere kıyasla çok daha ağırdır.

Kamera sistemi kurarken dikkat edilmesi gereken temel kurallar şöyle özetlenebilir: kamera açıları yalnızca ortak kullanım alanlarını kapsamalı, özel yaşam alanlarını (balkon, pencere iç kısımları) kaydetmemelidir. Görüntüler yalnızca güvenlik amacıyla işlenmeli, başka amaçlarla kullanılmamalıdır. Saklama süresi net biçimde belirlenmiş olmalı ve bu süre aşılınca otomatik silme yapılmalıdır.

Kamera sistemlerinin bulut tabanlı olduğu durumlarda ek bir risk ortaya çıkar: veri aktarımı. Görüntüler yurt dışındaki sunuculara aktarılıyorsa KVKK'nın yurt dışına veri aktarımına ilişkin 9. maddesi devreye girer. Bu madde, yeterli koruma düzeyi bulunmayan ülkelere açık rıza olmaksızın veri aktarılmasını yasaklamaktadır. Küçük bir ek ücret karşılığı yerli sunucu seçeneği sunan sağlayıcıların tercih edilmesi, bu riski ortadan kaldırır.

Pratik bir öneri olarak: kamera görüntülerine kimlerin erişebildiği yazılı biçimde belirlenmeli, erişim logları tutulmalı ve yönetim kurulu üyesi değişikliklerinde eski yetkililerin erişimi derhal iptal edilmelidir. Tüm bu süreçleri takip etmek, site yönetim yazılımı üzerinden erişim kontrolü ve log kaydı modülleriyle çok daha güvenilir hale getirilebilir.

Veri Sorumlusu Olmak: Yönetim Kurulunun Kişisel Sorumluluğu

KVKK'nın en önemli kavramlarından biri olan "veri sorumlusu", kişisel verilerin işlenme amacını ve yöntemini belirleyen taraftır. Site yönetimleri için bu genellikle yönetim kurulunu ya da profesyonel bir yönetici kişiyi ifade eder. Veri sorumlusu sıfatı, pratik sonuçları bakımından büyük önem taşır: ihlaller halinde ceza muhatapları bu kişilerdir.

Yönetim kurulunun görev süresi bittikten sonra sorumluluk tartışmalı bir alan olmaya devam etmektedir. Genel kabul gören yaklaşım, ihlalin gerçekleştiği dönemde göreve olan yönetimin sorumlu tutulduğu yönündedir. Bu nedenle görevi devreden bir yönetim kurulunun, devreden dönemde işlenen verilere ilişkin uyum belgelerini eksiksiz tutması ve devir teslim tutanağına dahil etmesi kritik önem taşır.

Profesyonel site yöneticisi (yönetim şirketi) kullanıldığında ilişki daha karmaşık bir boyut kazanır. Yönetim şirketi, kat malikleri adına veri işliyorsa hem veri sorumlusu hem de veri işleyen konumunda olabilir. Bu durumda taraflar arasında yapılacak sözleşmenin KVKK'nın 12. maddesi kapsamındaki veri güvenliği yükümlülüklerini içermesi gerekir. Böyle bir sözleşme bulunmadan yönetim şirketiyle çalışmak, kat maliklerini de riske sokar.

Bir diğer kritik konu, KVK sicil kaydıdır. Yıllık 1.000.000 TL üzerinde brüt ciro yapan ya da yılda 10.000'den fazla kişinin verisini işleyen veri sorumluları, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kaydolmak zorundadır. Büyük ölçekli konut sitelerinin bu eşiği geçip geçmediği dikkatle değerlendirilmelidir.

Uyum Süreci: Site Yöneticisinin Adım Adım Yapması Gerekenler

KVKK uyumunu sağlamak karmaşık görünse de sistematik bir yaklaşımla yönetilebilir bir süreçtir. Uyum çalışması; farkındalık, envanter, politika ve teknik önlemler olmak üzere dört temel aşamada ele alınabilir.

• Veri envanteri çıkarma: Hangi veriler, kimden, ne amaçla, nerede saklandığı ve kimlerle paylaşıldığı yazılı biçimde kayıt altına alınır. Bu envanter, uyumun temelidir.
• Hukuki dayanak belirleme: Her veri işleme faaliyeti için KVKK'nın 5. maddesindeki hukuki sebeplerden biri tanımlanır (açık rıza, sözleşme, meşru menfaat vb.).
• Aydınlatma metinleri hazırlama: Sakinlere, ziyaretçilere ve çalışanlara yönelik ayrı aydınlatma metinleri hazırlanır; bunlar giriş kapılarına, web sitesine ve sözleşmelere eklenir.
• Veri saklama ve imha politikası: Her veri türü için maksimum saklama süresi belirlenir; süre dolduğunda otomatik veya planlı imha mekanizması kurulur.
• Teknik güvenlik önlemleri: Verilere erişim kısıtlamaları, güçlü parola politikası, şifreleme ve düzenli yedekleme gibi teknik tedbirler alınır.
• Veri işleme sözleşmeleri: Veriye erişimi olan tüm üçüncü taraflarla (muhasebe firması, güvenlik şirketi, yazılım sağlayıcı) yazılı sözleşme yapılır.
• İlgili kişi başvuru kanalı: Sakinlerin silme, düzeltme, itiraz gibi haklarını kullanabilmesi için açık bir başvuru yolu oluşturulur ve 30 gün içinde yanıt verme taahhüdü alınır.

Bu adımların her birini kağıt üzerinde tutmak yerine dijital bir sistemde yönetmek, hem denetim kolaylığı hem de ihlal anında kanıt sunma açısından çok daha güçlü bir pozisyon sağlar.

VERBİS Kaydı ve Gizlilik Politikası Zorunluluğu

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), Kişisel Verileri Koruma Kurumu'nun yönettiği ve veri sorumlularının kayıt yaptırmak zorunda olduğu elektronik bir sicildir. VERBİS yükümlülüğü, belirli eşik değerleri aşan veri sorumlularını kapsar. Büyük konut siteleri, özellikle yoğun nüfuslu toplu yaşam alanları bu eşiğin üzerinde kalabilir; ancak her sitenin kendi durumunu değerlendirmesi ve gerekiyorsa hukuk müşavirinden görüş alması gerekir.

VERBİS'e kayıt yükümlülüğü olduğu halde kayıt yaptırmayan veri sorumluları, doğrudan idari para cezasıyla karşılaşabilir. Kayıt yapıldıktan sonra işleme amaçları, veri kategorileri, saklama süreleri ve aktarım yapılan taraflar gibi bilgilerin sisteme girilmesi ve güncel tutulması gerekir. Bilgilerin eksik veya hatalı girilmesi de ayrıca yaptırıma konu olabilir.

Sitenin web sitesi varsa gizlilik politikası yayımlanması da önemli bir yükümlülüktür. Gizlilik politikası; hangi verilerin toplandığını, işlenme amaçlarını, saklama sürelerini, ilgili kişi haklarını ve bu haklara nasıl başvurulacağını açık ve anlaşılır bir dille ortaya koymalıdır. Hazır bir şablona "kişisel verileri toplamıyoruz" ibaresi yazmak, site gerçekten veri işliyorken yasal güvence sağlamaz; aksine yanlış beyan riski doğurur.

Küçük ölçekli sitelerde bile kapı giriş sistemi veya e-posta ile aidat hatırlatması yapılıyorsa en azından sakinlere yönelik bir aydınlatma metni hazırlanması gerekir. Bu metin, site ofisine asılabilir, yönetim uygulaması üzerinden gönderilebilir ya da sözleşme ekine dahil edilebilir. Önemli olan, ihlal anında "aydınlatma yükümlülüğünü yerine getirdim" diyebilmek için belgelenebilir bir kanıta sahip olmaktır.

Ceza Sürecinde Neler Yaşanır? Kurul Şikâyeti ve Soruşturma Aşamaları

KVKK kapsamında bir şikâyet süreci, genellikle mağdur kişinin Kişisel Verileri Koruma Kurumu'na başvurusuyla başlar. Ancak Kurul, re'sen (kendiliğinden) de inceleme başlatabilir; basında yer alan veri ihlali haberleri veya sektörel tarama çalışmaları bu sürecin tetikleyicisi olabilir.

Süreç genel hatlarıyla şöyle işler: önce şikâyet dilekçesi değerlendirilir ve Kurul ön inceleme yapar. Ön inceleme sonucunda ihlal olduğuna dair yeterli emarenin varlığı tespit edilirse veri sorumlularına savunma hakkı tanınan resmi soruşturma başlatılır. Veri sorumlusunun sunduğu savunma, belgeler ve teknik incelemeler değerlendirildikten sonra Kurul karar verir.

Karar aşamasında iki temel sonuç mümkündür: ya ihlal tespit edilmez ve karar bu yönde yazılır; ya da ihlal teyit edilerek idari para cezası ve/veya işlemin durdurulması kararı verilir. Karara karşı idare mahkemesinde itiraz yolu açıktır; ancak itiraz sürecinde ceza genellikle yürütmez hale gelmez, yürütmenin durdurulması için ayrıca talep gerekir.

Pratikte şikâyetlerin önemli bir kısmı sakinlerden veya eski çalışanlardan gelir. Kapı güvenlik görevlisine söylüttürülen verilerin dışarı sızması, eski yönetim kurulu üyesinin elinde kalan sakin listesini kullanması ya da anlaşmazlık halindeki bir sakin tarafından yapılan başvuru, sık karşılaşılan senaryo örnekleridir. Bu nedenle sakin verileri ile çalışan verilerinin görev sona erdiğinde derhal iade ve imha edilmesi, kritik bir uygulama alışkanlığıdır.

Uyumu Kolaylaştıran Dijital Araçlar ve İyi Uygulamalar

Dijitalleşme, KVKK uyumunu yönetilemez bir yük olmaktan çıkarıp rutin bir süreç haline getirebilir. Ancak bunun için tercih edilen yazılım ve platformların da veri güvenliği standartlarına uygun olması şarttır. Yanlış seçilmiş bir yazılım, uyum sorununu çözmek yerine derinleştirebilir.

Bir site yönetim yazılımı seçilirken KVKK uyumu açısından sorulması gereken sorular şunlardır: Yazılım sağlayıcısının kendi gizlilik politikası ve veri işleme sözleşmesi var mı? Veriler Türkiye'deki sunucularda mı saklanıyor? Kullanıcı bazlı erişim kısıtlaması yapılabiliyor mu? Silinen verilerin gerçekten silindiğini ve yedek sunucularda kalmadığını doğrulayan bir süreç var mı?

Teknik önlemler açısından bakıldığında, tüm sistemlere iki faktörlü kimlik doğrulama eklenmesi, hassas verilerin şifrelenerek saklanması ve düzenli sızma testi yaptırılması temel beklentiler arasındadır. Teknik önlemlerin yanında idari önlemler de eşit öneme sahiptir: personele yılda bir KVKK farkındalık eğitimi, veri işleme talimatlarının yazılı hale getirilmesi ve ziyaretçi verilerinin yalnızca gerekli süre boyunca tutulması bu kategoriye girer.

Apartman yönetim programı aracılığıyla aidat takibi, duyuru yönetimi ve arıza bildirimleri gibi işlemlerin yürütülmesi, bu verilerin kim tarafından, ne zaman görüntülendiğini kayıt altına alarak KVKK'nın "veri güvenliğine ilişkin tedbirler" yükümlülüğüne katkı sağlar.

Sık Sorulan Sorular