Site yönetimi VERBİS'e kayıt olmak zorunda mı? Kısa cevap: veri işleme faaliyetlerinizin niteliğine ve ölçeğine bağlı olarak evet, kayıt yükümlülüğü doğabilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde apartman ve site yönetimleri de "veri sorumlusu" sıfatı taşıyabilir; bu durumda Veri Sorumluları Sicil Bilgi Sistemi'ne — yani VERBİS'e — kayıt yaptırmaları gerekmektedir.
VERBİS Nedir ve Neden Önemlidir?
VERBİS; Kişisel Verileri Koruma Kurumu (KVKK Kurumu) tarafından yönetilen ve kişisel veri işleyen kurum ile kuruluşların kayıt yaptırdığı kamuya açık bir sicil sistemidir. Tam adıyla "Veri Sorumluları Sicil Bilgi Sistemi" olan bu platform, vatandaşların hangi kurumların hangi amaçlarla verilerini işlediğini öğrenebilmelerine zemin hazırlar. Şeffaflık ve hesap verebilirlik ilkeleri doğrultusunda tasarlanan VERBİS, KVKK'nın 16. maddesiyle hayata geçirilmiştir.
Bir kurumun VERBİS'e kayıt yaptırması, yalnızca bürokratik bir formalite değildir. Kayıt; işlenen kişisel verilerin kategorileri, veri işleme amacı, verilerin aktarıldığı üçüncü taraflar ve saklama süreleri gibi kritik bilgilerin sisteme girilmesini kapsar. Bu sayede hem Kurum denetimi kolaylaşır hem de bireyler haklarını daha etkin kullanabilir hâle gelir.
Site ve apartman yönetimleri açısından VERBİS'in önemi son yıllarda giderek artmaktadır. Dijital aidat takip sistemleri, güvenlik kamera kayıtları, sakin listeleri ve kapıcı özlük dosyaları gibi unsurlar, yönetimleri aslında ciddi birer veri işleyici konumuna getirmiştir. Bu noktada "Biz küçük bir apartman yönetimiyiz, bize uygulanmaz" düşüncesi çoğu zaman yanıltıcı olabilmektedir.
Nitekim Kişisel Verileri Koruma Kurulu, son yıllarda pek çok farklı sektörden kurulumu denetlemiş ve kayıt yükümlülüğünü ihmal eden taraflara idari para cezaları uygulamıştır. Dolayısıyla bu alanı göz ardı etmek, yönetimler açısından hem hukuki hem de mali risk taşımaktadır.
Site Yönetimi Veri Sorumlusu mu Sayılır?
6698 sayılı KVKK'ya göre "veri sorumlusu"; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir. Bu tanım oldukça geniş bir yelpazeyi kapsamaktadır ve site yönetimlerini de içine almaktadır.
Bir apartman ya da site yönetimi, olağan faaliyetleri sırasında pek çok kişisel veri işlemektedir. Sakinlerin ad-soyad ve iletişim bilgileri, araç plakaları, ziyaretçi kayıtları, güvenlik kameralarından elde edilen görüntüler, aidat ödeme geçmişleri ve hatta sağlık nedeniyle asansör önceliği talepleri bunların başında gelmektedir. Söz konusu veriler KVKK kapsamında değerlendirildiğinde, yönetim doğrudan "veri sorumlusu" sıfatını kazanmaktadır.
Peki bu sıfat, otomatik olarak VERBİS kaydı yükümlülüğü doğurur mu? KVKK'nın 16. maddesi ve Kurul'un yayımladığı kararlar çerçevesinde bazı istisnalar mevcuttur; ancak bu istisnaların dar yorumlanması gerektiğini özellikle vurgulamak gerekir. Yükümlülük eşiğini belirleyen temel ölçüt; yıllık çalışan sayısı ve mali bilanço büyüklüğüdür.
Kişisel Verileri Koruma Kurulu'nun belirlediği kriterlere göre yıllık 50'den az çalışanı bulunan ve yıllık mali bilançosu 25 milyon TL'nin altındaki küçük ölçekli veri sorumluları VERBİS'e kayıt yükümlülüğünden muaf tutulabilmektedir. Bununla birlikte özel nitelikli kişisel veri işleyen küçük ölçekliler bu muafiyetten yararlanamaz. Bu ayrımın apartman yönetimleri açısından ne anlama geldiğini bir sonraki bölümde ele alacağız.
Hangi Apartman ve Site Yönetimleri VERBİS'e Kayıt Olmak Zorundadır?
VERBİS kayıt yükümlülüğü belirlenirken iki temel ölçüt devreye girmektedir: çalışan sayısı ve yıllık mali bilanço. Kişisel Verileri Koruma Kurulu kararları doğrultusunda şu tablo ortaya çıkmaktadır:
| Ölçüt | Muafiyet Sınırı | Yükümlülük |
|---|---|---|
| Yıllık çalışan sayısı | 50'den az çalışan | Muaf olabilir (şartlar bir arada sağlanmalı) |
| Yıllık mali bilanço | 25 milyon TL altı | Muaf olabilir (şartlar bir arada sağlanmalı) |
| Özel nitelikli veri işleme | Herhangi bir ölçek | Muafiyetten yararlanamaz, kayıt zorunlu |
| Yurt dışına veri aktarımı | Herhangi bir ölçek | Kayıt zorunlu |
Büyük ölçekli konut projelerini yöneten profesyonel yönetim şirketleri bu tablonun ilk sırasında yer almaktadır. 50 veya daha fazla çalışanı olan ya da yıllık bilançosu 25 milyon TL'yi aşan bir site yönetim şirketi, her hâlükârda VERBİS'e kayıt olmak zorundadır. Bu noktada şirkelin bünyesindeki güvenlik personeli, temizlik görevlisi, idari personel ve teknik ekip toplamı hesaba katılmalıdır.
Öte yandan 10-15 daireli küçük bir apartmanın yönetim kurulu üyesi konumundaki bir kat maliki, genellikle muafiyet kapsamına girebilecektir. Ancak bu yönetim, sakinlerin sağlık bilgisi gibi özel nitelikli veri işliyorsa — örneğin asansör kullanım önceliği için engelli belgesi talep ediyorsa — bu muafiyet ortadan kalkmaktadır.
Güvenlik kameraları konusu ise ayrı bir değerlendirme gerektirmektedir. Yalnızca ortak alanları izleyen ve kayıtları kısa süre saklayan kamera sistemleri çoğunlukla kapsam dışında tutulmuştur; ancak bu kayıtların üçüncü taraflarla paylaşılması, biyometrik tanıma teknolojisi kullanılması ya da kapsamlı analiz yapılması durumunda tablo değişmektedir.
Özel Nitelikli Kişisel Veri Nedir ve Site Yönetimini Neden İlgilendiriyor?
6698 sayılı KVKK'nın 6. maddesi, özel nitelikli kişisel verileri ayrıca tanımlamaktadır. Bu kategoriye; ırk ve etnik köken, siyasi düşünce, felsefi inanç, din ve mezhep, dernek-vakıf üyeliği, sağlık verileri, cinsel yönelim ve ceza mahkûmiyeti gibi bilgiler girmektedir. Biyometrik ve genetik veriler de bu kapsamda değerlendirilmektedir.
Site yönetiminin özel nitelikli veriyle en sık karşılaştığı senaryolardan biri, fiziksel erişim kontrolü sistemleridir. Parmak izi veya yüz tanıma okuyucusu kullanan akıllı kapı sistemleri, biyometrik veri topladığı için otomatik olarak özel nitelikli veri işleme kapsamına girer. Bu tür bir sistem kullanan yönetim, ölçeği ne olursa olsun VERBİS'e kayıt yaptırmak zorundadır.
Bir diğer yaygın senaryo ise sağlık bilgilerinin talep edilmesidir. Örneğin yönetimin sosyal tesise erişimi düzenlemek amacıyla sakinlerden "kronik hastalık var mı?" diye sormasi ya da asansör kullanım sıralaması için engel belgesi istemesi, özel nitelikli veri işleme sayılmaktadır. Bu tür uygulamalar küçük apartmanlarda bile VERBİS kaydını zorunlu kılmaktadır.
Buna ek olarak, yönetimin talep etmese bile sakinlerin kendiliğinden paylaştığı bilgilerin saklanması da dikkat gerektirmektedir. Örneğin "Deprem sırasında bize haber verin, hareket edemiyorum" şeklinde yazılı olarak iletilen bir talep, sağlık verisi olarak yorumlanabilir. Böyle bir durumda yönetimin bu bilgiyi sistemle kayıt altına almaması en güvenli yaklaşımdır.
VERBİS'e Kayıt Süreci Nasıl İşler?
VERBİS'e kayıt olmak birkaç temel aşamadan oluşmaktadır. Sürecin başında veri sorumlusunun sisteme tanımlanması gerekmektedir; tüzel kişiler için MERSİS numarası, gerçek kişiler içinse T.C. kimlik numarası ile giriş yapılmaktadır. Site yönetim şirketleri tüzel kişi, kat malikleri kurulu yöneticisi ise gerçek kişi statüsünde kayıt yaptırabilmektedir.
Kayıt sürecinin en kritik ve en emek isteyen aşaması, "Veri İşleme Envanteri"nin hazırlanmasıdır. Bu envanterde işlenen kişisel verilerin kategorileri (ad-soyad, iletişim bilgisi, plaka gibi), her veri kategorisinin işlenme amacı, hukuki dayanağı, saklandığı sistem ve saklama süresi ayrıntılı biçimde belirtilmelidir. Bir site yönetimi için bu envanter genellikle şu başlıkları içermektedir:
- Sakin ve kat maliki kimlik ve iletişim bilgileri (kat mülkiyeti kanununda öngörülen yükümlülükler kapsamında işlenebilir)
- Araç plakaları ve park yönetim kayıtları
- Ziyaretçi giriş-çıkış kayıtları
- Güvenlik kamerası görüntüleri (varsa)
- Teknik servis ve bakım personeline ait özlük bilgileri
- Aidat ve ödeme geçmişine ilişkin finansal kayıtlar
Envanter tamamlandıktan sonra VERBİS sistemine yüklenir ve Kurum tarafından incelenir. Eksiklik ya da hata tespit edilirse düzeltme için bildirim gönderilir. Kayıt onaylandığında yönetim, sicilde yayımlanan bir veri sorumlusu hâline gelir ve bu bilgiler kamuya açık olarak görüntülenebilir duruma geçer.
Son olarak VERBİS kaydının tek seferlik bir işlem olmadığını belirtmek gerekir. Veri işleme faaliyetlerinde herhangi bir değişiklik — yeni bir kamera sistemi kurulması, çalışan alımı, farklı bir yazılım kullanılmaya başlanması — VERBİS'teki kayıt bilgilerinin güncellenmesini gerektirir. Güncelleme yükümlülüğünü yerine getirmeyen veri sorumluları da Kurul'un idari yaptırım kapsamına girebilmektedir.
KVKK Kapsamında Site Yönetiminin Genel Yükümlülükleri
VERBİS kaydı, KVKK uyumu açısından yalnızca başlangıç noktasıdır. Kayıtlı ya da muaf tüm veri sorumluları, kanunun öngördüğü diğer yükümlülükleri de yerine getirmek durumundadır. Bu yükümlülüklerin başında "aydınlatma yükümlülüğü" gelmektedir: Her sakin ve çalışandan veri toplanırken, kişilere hangi verilerinin hangi amaçla işlendiği, kimlerle paylaşıldığı ve haklarının neler olduğu yazılı ya da sözlü olarak bildirilmelidir.
Güvenlik kameralarının bulunduğu alanlara uyarı levhası asılması da aydınlatma yükümlülüğünün somut bir yansımasıdır. "Bu alanda güvenlik kamerası bulunmaktadır" şeklindeki bir uyarı hem KVKK açısından zorunludur hem de sakinlerin bilgi hakkını karşılamaktadır. Bu tabelaların görünür biçimde ve Türkçe olarak yerleştirilmesi önerilmektedir.
Bir diğer kritik yükümlülük, veri güvenliğinin sağlanmasıdır. KVKK'nın 12. maddesi çerçevesinde veri sorumluları; yetkisiz erişimi engellemek, veri sızıntısı riskini azaltmak ve veri ihlali durumunda 72 saat içinde Kurul'a bildirimde bulunmak zorundadır. Site yönetimi için bu; sakin bilgilerinin saklandığı dosya dolaplarının kilitli tutulması, dijital sistemlerde şifre koruması uygulanması ve eski kayıtların usulüne uygun imha edilmesi anlamına gelmektedir.
Sakinlerin KVKK'dan doğan hakları da göz ardı edilemez. Her birey; verilerinin işlenip işlenmediğini öğrenme, işleniyorsa buna ilişkin bilgi talep etme, verilerin silinmesini ya da düzeltilmesini isteme hakkına sahiptir. Site yönetimi, bu taleplere kanunda öngörülen süreler içinde (genellikle 30 gün) yanıt vermekle yükümlüdür. Yanıtsız kalan başvurular Kurul'a şikâyet konusu olabilmektedir.
VERBİS'e Kayıt Olmadan Önce Yapılması Gerekenler
VERBİS kaydına başlamadan önce yönetimin kapsamlı bir "veri envanteri çalışması" yürütmesi hem hukuki doğruluk hem de pratik kolaylık açısından büyük önem taşımaktadır. Bu çalışma, mevcut durumu net biçimde ortaya koymayı amaçlar: Hangi veriler toplanıyor, nerede saklanıyor, kim erişebiliyor, ne kadar süreyle tutuluyor?
Envanter çalışmasına bir ön denetimle başlanabilir. Yönetim binasındaki dosya dolapları, bilgisayarlardaki klasörler ve kullanılan yazılımlar sistematik biçimde taranmalıdır. Bu tarama sırasında "aslında neye ihtiyaç var?" sorusu da sorulmalıdır. Gereksiz yere tutulan veriler imha edilerek hem hukuki risk hem de depolama maliyeti azaltılabilir.
Ardından veri kategorileri belirlenmeli ve her kategori için işleme amacı ile hukuki dayanak saptanmalıdır. KVKK'ya göre kişisel veri işlemek için açık rıza ya da kanunda öngörülen bir hukuki sebep (kanundan kaynaklanan yükümlülük, meşru menfaat vb.) gerekmektedir. Örneğin 634 sayılı Kat Mülkiyeti Kanunu çerçevesinde kat maliklerinin aidat bilgilerini tutmak hukuki bir yükümlülüğe dayanmakta olup bu işlem için ayrıca açık rıza alınması şart değildir.
Sürecin son aşamasında, gerekirse bir KVKK danışmanından ya da hukukçudan destek alınması önerilmektedir. Kurul kararları zaman içinde değişebilmekte; muafiyet sınırları güncellenebilmektedir. Profesyonel destek hem envanterin eksiksizliğini hem de sistemdeki girişlerin tutarlılığını güvence altına alacaktır. Genel bilgi niteliğindeki bu rehber, hukuki danışmanlığın yerini tutmamaktadır; somut durumunuz için mutlaka uzman görüşü alınız.
Kayıt Yaptırmamanın Sonuçları: İdari Yaptırımlar
6698 sayılı KVKK'nın 18. maddesi, veri sorumlularının kayıt ve bildirim yükümlülüklerini yerine getirmemesi hâlinde uygulanacak idari para cezalarını düzenlemektedir. Bu maddede öngörülen ceza miktarları Kurul tarafından her yıl güncellenmekte olup oldukça yüksek rakamlara ulaşabilmektedir. Kesin güncel tutarlar için Kişisel Verileri Koruma Kurumu'nun resmi web sitesi takip edilmelidir; bu rehber genel bilgilendirme amacıyla hazırlanmıştır.
Kurul denetimlerinin rastgele ya da sistemsiz yapılmadığını özellikle belirtmek gerekir. Çoğu zaman denetim süreci bir şikâyetle başlamaktadır. Bir sakin, kişisel bilgilerinin yetkisiz paylaşıldığını ya da rızası olmaksızın üçüncü taraflara aktarıldığını öğrendiğinde Kurul'a şikâyette bulunabilmektedir. Şikâyet üzerine Kurul soruşturma başlatır; bu aşamada VERBİS kaydının bulunmaması, ağırlaştırıcı bir unsur olarak değerlendirilebilir.
Bunun yanı sıra veri ihlali bildirimi yükümlülüğü de yaptırımla sonuçlanabilir. Örneğin yönetim bilgisayarının çalınması ya da hacklenip sakin bilgilerinin ele geçirilmesi, bir veri ihlali sayılmaktadır. Bu durumun farkına varıldıktan sonraki 72 saat içinde Kurul'a bildirim yapılmazsa ek idari ceza söz konusu olabilmektedir.
Sonuç olarak VERBİS kaydının yalnızca bir kâğıt işi olarak görülmemesi gerekmektedir. Bu kayıt; yönetimin kişisel verileri bilinçli, sorumlu ve hukuka uygun biçimde işlediğinin kanıtıdır. Hem sakinlerle güven ilişkisini pekiştirmesi hem de olası yaptırımlardan korunması açısından zamanında atılmış doğru bir adım olacaktır.
Dikkat: VERBİS kaydı ve KVKK uyumu tek seferlik bir süreç değildir. Veri işleme faaliyetlerinizde herhangi bir değişiklik olduğunda — yeni yazılım kullanımı, biyometrik sistem kurulumu, personel değişikliği — VERBİS'teki bilgileri güncellemeniz yasal yükümlülüğünüzdür. Güncel tutulmeyan kayıt, hiç kayıt yokmuş gibi değerlendirilebilir.
Dijital Site Yönetim Yazılımları ve KVKK Uyumu
Günümüzde pek çok site ve apartman yönetimi, aidat takibinden genel kurul organizasyonuna kadar geniş bir yelpazede dijital yönetim yazılımlarına başvurmaktadır. Bu yazılımların kullanımı verimliliği artırırken beraberinde KVKK uyumu açısından yeni sorumluluklar da getirmektedir. Apartman yönetim programı kullanan yönetimlerin, söz konusu yazılımın veri güvenliği altyapısını ve saklama politikalarını dikkatle incelemesi gerekmektedir.
Yazılım seçimi sürecinde KVKK açısından sorulması gereken temel sorular şunlardır: Yazılım, sakin verilerini hangi sunucularda saklıyor? Bu sunucular Türkiye'de mi yoksa yurt dışında mı? Veriler şifreleniyor mu? Erişim logları tutuluyor mu? Veri imha süreçleri nasıl işliyor? Yurt dışı sunucu kullanımı, veri aktarımı nedeniyle KVKK kapsamında ayrı bir onay ve bildirim süreci gerektirmektedir.
Ayrıca yazılım sağlayıcısının "veri işleyen" sıfatıyla bir sözleşmeyle bağlanması da KVKK'nın öngördüğü yükümlülükler arasında yer almaktadır. Yönetim ile yazılım şirketi arasında imzalanacak "Veri İşleme Sözleşmesi" ya da gizlilik anlaşması, olası bir ihlal durumunda sorumlulukların netleştirilmesi açısından kritik öneme sahiptir.
Site yönetim yazılımı tercihinde bulunurken KVKK uyumluluk belgesi ya da referansı olan sağlayıcıları tercih etmek, yönetimlerin hem itibarını hem de hukuki güvencesini desteklemektedir. Yerli ve KVKK'yı benimsemiş yazılım sağlayıcıları, özellikle veri lokasyonu ve yerel mevzuat uyumu açısından daha avantajlı bir tablo sunmaktadır.
634 Sayılı Kat Mülkiyeti Kanunu ile KVKK İlişkisi
Site ve apartman yönetimlerini düzenleyen temel mevzuat olan 634 sayılı Kat Mülkiyeti Kanunu, yöneticilerin belirli kayıtları tutmasını ve belirli bilgileri kat maliklerine sunmasını zorunlu kılmaktadır. Bu yasal yükümlülük, bazı durumlarda KVKK'nın genel rıza şartının istisnasını oluşturmaktadır. Bir başka deyişle, kanunun gerektirdiği ölçüde işlenen kişisel veriler için ayrıca açık rıza alınması zorunlu değildir.
Örneğin kat malikleri defteri tutulması, belirli kararların oy birliği ya da oy çokluğuyla alındığına dair kayıtların muhafazası ve aidat gelir-gider tablolarının düzenlenmesi, Kat Mülkiyeti Kanunu'nun yöneticilere yüklediği görevler arasındadır. Bu görevlerin yerine getirilmesi sırasında toplanan kişisel veriler, kanundan kaynaklanan hukuki yükümlülük kapsamında işlenmiş sayıldığından ayrıca açık rıza alınması gerekmemektedir.
Bununla birlikte kişisel verilerin kanunun gerektirdiği ölçeği aşacak biçimde toplanması ya da farklı amaçlarla kullanılması, bu güvencenin dışına çıkmak anlamına gelmektedir. Örneğin kat maliklerinin telefon numaralarını aidat bildirimi amacıyla tutmak meşruyken; aynı numaraların reklam amaçlı kullanılması ya da üçüncü taraflarla paylaşılması açık rıza şartına tabi olacaktır.
Bu ince ayrımı kavramak, site yöneticileri için hem hukuki güvence hem de pratikte doğru uygulamalar açısından büyük önem taşımaktadır. Kurul kararları ve yargı içtihatları zamanla değişebildiğinden, bu konuda güncel takip ve gerektiğinde hukuki danışmanlık alınması en sağlıklı yaklaşım olmaktadır. Bu metin genel bilgilendirme amacıyla hazırlanmış olup hukuki tavsiye niteliği taşımamaktadır.
Sık Sorulan Sorular
Küçük bir apartmanın yöneticisi olarak VERBİS'e kaydolmak zorunda mıyım?
Parmak izi okuyuculu kapı sistemi kullanan site VERBİS'e kayıt olmak zorunda mı?
VERBİS kayıt ücreti var mı?
Site yönetimi sakinlerin hangi verilerini işleyebilir?
Site yönetiminizin veri sorumluluğunu ve VERBİS yükümlülüklerini dijital ortamda kolayca yönetmek istiyorsanız, sakin bilgilerini güvenli ve KVKK uyumlu biçimde tutan apartman yönetim programımızı inceleyebilirsiniz. Veri güvenliğini ve yasal uyumu bir arada sağlayan çözümlerimizle yönetim süreçlerinizi daha şeffaf ve güvenilir hâle getirin.