Site Yönetiminde KVKK Uyumu Nasıl Sağlanır?

Site yönetiminde KVKK uyumu, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kat malikleri ve kiracılara ait kişisel verileri işleyen her apartman veya site yönetiminin yerine getirmesi zorunlu bir hukuki yükümlülüktür; doğru adımları atmak hem yasal koruma sağlar hem de sakinlerin güvenini pekiştirir.

KVKK Nedir ve Site Yönetimleri Neden Muhataptır?

6698 sayılı Kişisel Verilerin Korunması Kanunu, 2016 yılında yürürlüğe girmiş ve kişisel verilerin işlenmesini hukuki güvence altına almayı amaçlamıştır. Kanun; gerçek kişilere ait ad, soyad, telefon numarası, e-posta adresi, kimlik bilgisi, araç plakası, kamera görüntüsü gibi her türlü bilgiyi "kişisel veri" olarak tanımlamakta ve bu verileri işleyen kurum ile kişileri "veri sorumlusu" sıfatıyla yükümlülük altına sokmaktadır.

Apartman ve site yönetimleri, faaliyet yürütebilmek için kaçınılmaz biçimde bu tür verilerle temas kurar. Aidat tahsilatı sırasında alınan banka hesap bilgileri, giriş-çıkış güvenliği için toplanan araç plakaları, kameralara kaydedilen görüntüler, sakinlere gönderilen SMS ve e-postalar ile genel kurul toplantılarında tutulan imza listeleri; bunların tamamı KVKK kapsamında kişisel veri işleme faaliyetidir. Dolayısıyla apartman yöneticileri ve yönetim kurulları, yasal anlamda "veri sorumlusu" konumundadır.

Pek çok yönetici bu gerçeğin farkında olmadan yıllarca veri toplamakta, saklamakta ve paylaşmaktadır. Oysa Kişisel Verileri Koruma Kurumu (KVKK Kurumu), şikâyet üzerine veya resen denetim yapabilmekte; ihlal tespit edildiğinde idari para cezası uygulamaktadır. 2024 ve 2025 yıllarında site yönetimlerine de ceza uygulandığına dair Kurul kararları mevcuttur; bu nedenle "biz küçük bir apartmanız" mantığı artık yeterli bir savunma değildir.

Uyum sürecinin ilk adımı bilinçlenmektir: hangi verilerin toplandığını, neden toplandığını ve ne kadar süre saklandığını bilmek, tüm sürecin temelidir. Bu farkındalık olmadan hiçbir teknik önlem kalıcı koruma sağlayamaz.

Hangi Kişisel Veriler Toplanır? Envanter Oluşturmanın Önemi

KVKK uyumunun pratik başlangıç noktası, yönetimin elinde hangi kişisel verilerin bulunduğunu sistematik biçimde tespit etmektir. Bu tespit çalışması hukuki literatürde "veri envanteri" ya da "kişisel veri işleme envanteri" olarak adlandırılır. Envanter hazırlamadan ilerlemek, haritasız yol gitmek gibidir; mevcut eksiklikler ve riskler görünmez kalır.

Tipik bir apartman veya site yönetiminin işlediği kişisel veriler şunlardır:

• Kat malikleri ve kiracıların adı, soyadı, T.C. kimlik numarası
• İletişim bilgileri: telefon, e-posta, posta adresi
• IBAN ve banka hesap bilgileri (aidat ödemeleri için)
• Araç plaka bilgileri (otopark ve güvenlik amaçlı)
• Güvenlik kamerası (CCTV) görüntüleri
• Genel kurul toplantılarındaki imza listeleri ve oy kayıtları
• Engelli, yaşlı veya kronik hasta sakinlere ait sağlık beyanları (özel nitelikli veri!)
• Çocuk sakinlere ait yaş/okul bilgileri
• Ziyaretçi giriş-çıkış kayıtları

Her bir veri türü için şu sorular yanıtlanmalıdır: Bu veriyi kimden, hangi yöntemle topluyoruz? Hangi amaçla işliyoruz? Verinin hukuki dayanağı nedir? Kimlerle paylaşıyoruz? Ne kadar süre saklıyoruz? Envanterin temel sütunları bunlardır.

Sağlık verileri ve biyometrik veriler gibi "özel nitelikli kişisel veriler" için KVKK çok daha katı kurallar öngörmektedir. Bir sakin engelli olduğu için asansör kullanım önceliği talep ettiyse ve bunu bir form üzerinden bildirdiyse, bu bilgi özel nitelikli veri olarak ayrı güvencelerle korunmak zorundadır. Bu ayrımı envanter aşamasında belirlemek, sonraki adımları çok daha kolay kılar.

Aydınlatma Yükümlülüğü: Sakinlere Ne Anlatılmalı?

KVKK'nın 10. maddesi, veri sorumlusuna açık ve anlaşılır bir "aydınlatma" yapma yükümlülüğü getirmektedir. Aydınlatma; kişisel verilerini işlenecek olan bireylere, işlem öncesinde ya da en geç işlem anında belirli bilgilerin iletilmesi demektir. Site yönetimleri açısından bu yükümlülük, kat malikleri ve kiracılar için mutlaka yerine getirilmelidir.

Bir aydınlatma metninde bulunması zorunlu olan unsurlar şunlardır: veri sorumlusunun kimliği ve iletişim bilgileri, hangi kişisel verilerin hangi amaçla işlendiği, verilerin aktarılabileceği kişi veya kuruluşlar, toplama yöntemi ve hukuki dayanağı ile ilgili kişinin hakları. Bu bilgiler sade ve anlaşılır bir Türkçe ile yazılmalı; hukuki jargona boğulmamalıdır.

Aydınlatma metni, sakinlere farklı kanallardan iletilebilir: taşınma sırasında imzalanacak bir "Sakin Kabul Formu"na eklenerek, site panosuna asılarak, yönetimin web sitesine veya dijital platformuna yüklenerek ya da e-posta ile doğrudan göndererek. Önemli olan, aydınlatmanın yapıldığına dair bir kaydın yönetim dosyasında tutulmasıdır. Dijital bir apartman yönetim programı kullanıyorsanız, aydınlatma belgelerini sisteme yükleyip sakin bazında izlemek çok daha kolay hale gelir.

Aydınlatma ile açık rıza birbirine karıştırılmamalıdır. Aydınlatma her zaman zorunludur; açık rıza ise yalnızca belirli durumlarda, özellikle de başka bir hukuki dayanak bulunmadığında gereklidir. Örneğin güvenlik kamerası kurulumu için sakinin açık rızası gerekmeyebilir; ancak aydınlatma yine de yapılmak zorundadır.

Güvenlik Kameraları ve KVKK: Dikkat Edilmesi Gerekenler

Güvenlik kameraları, site yönetimlerinde en yaygın ve aynı zamanda en fazla ihlalin yaşandığı veri işleme alanlarından biridir. Kamera görüntüleri, kişilerin görüntüsünü içerdiğinden açıkça kişisel veri niteliği taşır; bu nedenle KVKK kapsamında sıkı kurallara tabi tutulmaktadır.

Öncelikle kameraların izleme alanında mutlaka görünür uyarı levhaları bulunmalıdır. Bu levhalar; kameranın varlığını, veri sorumlusunun kim olduğunu ve iletişim bilgilerini içermelidir. KVKK Kurumu'nun yayımladığı "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" bu konuda detaylı rehberlik sunmaktadır.

Kamera görüntülerinin saklanma süresi de kritik bir konudur. Saklama süresi güvenlik amacının gerektirdiğiyle orantılı olmalıdır; kural olarak 30 ile 90 gün arasında belirlenen saklama süreleri makul kabul edilmektedir. Süre dolduktan sonra görüntüler otomatik olarak silinmeli ya da üzerine yazılmalıdır. Yıllarca biriken görüntü arşivi tutmak hem hukuki risk hem de depolama sorunu yaratır.

Kamera görüntülerine erişim yetkisi de sınırlı tutulmalıdır. Yalnızca yönetici ve güvenlik görevlisi gibi yetkili kişiler görüntülere ulaşabilmeli; bu kişilerin listesi yönetim dosyasında kayıt altına alınmalıdır. Adli bir olay söz konusu olmadıkça görüntüler üçüncü kişilerle paylaşılmamalıdır. Görüntü paylaşımı gerekiyorsa bu işlem yetkili makamların resmi talebi doğrultusunda ve tutanakla yapılmalıdır.

Kişisel Veri İşlemede Hukuki Dayanak: Rıza Şart mı?

KVKK'nın en çok yanlış anlaşılan yönü, her veri işleme faaliyeti için mutlaka açık rıza alınması gerektiği yanılgısıdır. Oysa kanun, veri işlemenin meşru sayılacağı birden fazla hukuki dayanak öngörmektedir; açık rıza bunlardan yalnızca biridir.

Site yönetimleri için en sık başvurulan hukuki dayanaklar şunlardır:

• Kanunda açıkça öngörülme: 634 sayılı Kat Mülkiyeti Kanunu, yöneticiye kat malikleri adına iş ve işlem yapma yetkisi tanır. Aidat tahsilatı için gerekli kimlik ve banka bilgilerinin işlenmesi bu dayanak kapsamında değerlendirilebilir.
• Sözleşmenin ifası: Sakinlerle yapılan kira veya yönetim sözleşmesinin gereği olarak işlenen veriler (iletişim bilgileri, ödeme bilgileri) bu kategoriye girer.
• Meşru menfaat: Site güvenliğinin sağlanması amacıyla kurulan kamera sistemi, veri sorumlusunun meşru menfaatine dayandırılabilir; ancak bu menfaatin sakinlerin temel hak ve özgürlüklerine zarar vermemesi gerekir.
• Açık rıza: Yukarıdaki dayanakların hiçbirinin karşılamadığı durumlarda, örneğin pazarlama amaçlı iletişim için açık rıza alınması zorunludur.

Hangi veri için hangi hukuki dayanağın kullanılacağı, envanter çalışması sırasında belirlenmeli ve aydınlatma metnine yansıtılmalıdır. Hukuki dayanak belirsizse bir hukuk danışmanına başvurmak en güvenli yoldur; bu metin genel bilgi niteliğindedir, spesifik hukuki tavsiye yerine geçmez.

Veri Minimizasyonu ve Saklama Sürelerinin Belirlenmesi

KVKK'nın temel ilkelerinden biri "veri minimizasyonu"dur: yalnızca amacın gerektirdiği kadar veri toplanmalıdır. Fazladan toplanan her veri, gereksiz bir hukuki yük ve potansiyel güvenlik açığı anlamına gelir. Site yönetimleri bu ilkeyi günlük pratiğe entegre etmek zorundadır.

Örneğin bir sakin taşınırken yalnızca iletişim bilgisi ve ödeme bilgisi gerekirken, aile bireylerinin mesleki bilgilerini ya da geçmiş adres geçmişini talep etmek veri minimizasyonu ilkesine aykırıdır. Formlar hazırlanırken her alan için "Bu bilgiyi neden topluyoruz? Olmasa yönetim işlemleri aksayacak mı?" sorusu sorulmalıdır.

Saklama süreleri de kanun gereği belirlenmek zorundadır. Aşağıdaki tablo, yaygın veri türleri için önerilen yaklaşık saklama sürelerini göstermektedir. Bu süreler yasal zorunluluk değil, genel kabul görmüş iyi uygulama örnekleridir; spesifik durum için hukuki danışmanlık alınmasını tavsiye ederiz.

Süre dolan veriler, veri tabanından veya fiziksel arşivden geri dönüşü olmayan biçimde silinmelidir. Dijital sistemlerde bu işlem otomatik hale getirilebilir; kağıt belgeler ise okunamaz hale getirilerek imha edilmelidir. İmha işleminin tarihi ve kapsamı kayıt altına alınmalıdır.

Üçüncü Taraflarla Veri Paylaşımı: Hizmet Sağlayıcı Sözleşmeleri

Apartman ve site yönetimleri pek çok üçüncü tarafla çalışır: muhasebe firmaları, güvenlik şirketleri, temizlik hizmet sağlayıcıları, bakım-onarım firmaları, banka ve finans kuruluşları, hatta dijital yönetim yazılımı sağlayıcıları. Bu paydaşların tamamı sakin verilerine az ya da çok erişebilmektedir.

KVKK bu durumu "veri aktarımı" olarak tanımlamakta ve özel kurallara bağlamaktadır. Veri aktarımının meşru olabilmesi için ya veri sahibinin açık rızası alınmış olmalı ya da KVKK'nın öngördüğü istisnai durumlardan biri mevcut olmalıdır. Bunun yanı sıra aktarılan tarafın da verileri güvenli biçimde işleyeceğine dair taahhüt vermesi gerekmektedir.

Bu noktada "veri işleyen sözleşmesi" devreye girer. Site yönetimi, kişisel veriye erişebilecek hizmet sağlayıcılarla yazılı sözleşme yapmalı; bu sözleşmede verilerin nasıl kullanılacağı, saklanacağı, ne zaman silineceği ve güvenlik önlemleri açıkça belirtilmelidir. Muhasebe yazılımı kullanan yönetimler için apartman muhasebe programı sağlayıcısıyla böyle bir sözleşme yapılması uyum açısından zorunludur.

Veri işleyen sözleşmesinde en az şu başlıklar yer almalıdır: işlenecek veri kategorileri, işleme amacı ve süresi, güvenlik önlemleri, alt yüklenici kullanım koşulları ve sözleşme sona erdiğinde verilerin iade ya da imha edilme yükümlülüğü. Bu sözleşme yapılmadan hizmet sağlayıcıya veri aktarmak KVKK ihlali sayılabilir.

Veri İhlali Durumunda Ne Yapılmalıdır?

Kişisel verilerin yetkisiz kişilerce ele geçirilmesi, silinmesi, değiştirilmesi ya da ifşa edilmesi "veri ihlali" olarak tanımlanmaktadır. Site yönetimlerinde veri ihlali; bilgisayara veya sisteme yetkisiz erişim, sakin listesinin yanlışlıkla üçüncü kişilerle paylaşılması, kağıt belgelerin çalınması veya kaybolması gibi biçimlerde gerçekleşebilir.

KVKK'nın 12. maddesi uyarınca veri sorumlusu, ihlali öğrenir öğrenmez en kısa sürede — ve her halükarda 72 saat içinde — KVKK Kurumu'na bildirmek zorundadır. İhlalin etkilenen kişiler için yüksek risk doğurduğu durumlarda bu kişiler de gecikmeksizin bilgilendirilmelidir.

Veri ihlaliyle etkin biçimde başa çıkabilmek için yönetimlerin önceden bir "veri ihlali eylem planı" hazırlaması önerilir. Bu plan; ilk müdahale adımlarını, bildirim yükümlülüklerini, iletişim materyallerini ve sorumlu kişileri içermelidir. İhlal anında panikle değil, belirlenmiş prosedürle hareket etmek hem hukuki yükümlülüğü yerine getirmeyi kolaylaştırır hem de zararı sınırlar.

Teknik ve İdari Güvenlik Tedbirleri

KVKK, kişisel verilerin korunması için yalnızca hukuki düzenlemeler yapmakla yetinmez; veri sorumlularından teknik ve idari tedbirler almasını da açıkça bekler. Site yönetimleri, ölçekleri ne olursa olsun bu gereklilikleri karşılamak durumundadır.

Teknik tedbirler kapsamında alınabilecek adımlar şunlardır:

• Dijital sistemlere erişimde güçlü ve benzersiz şifreler kullanmak; şifreleri düzenli aralıklarla değiştirmek
• Yönetim bilgisayarlarına güncel antivirüs ve güvenlik duvarı yazılımı kurmak
• Sakin verilerini içeren dosyaları şifrelemek
• Dijital sistemlere erişim yetkilerini yalnızca görev gerektiren kişilerle sınırlamak
• Verileri düzenli olarak yedeklemek ve yedekleri güvenli ortamda saklamak
• Wi-Fi ağına şifreli erişim sağlamak; yönetim verilerini misafir ağından izole etmek

İdari tedbirler ise organizasyonel önlemleri kapsar. Yöneticinin ve varsa personelin KVKK farkındalık eğitimi alması, gizlilik taahhütnamesi imzalaması, kimin hangi veriye erişebildiğinin yazılı olarak belirlenmesi ve bu durumun periyodik olarak gözden geçirilmesi bu kategoridedir. Küçük yönetim ofisleri için bile asgari düzeyde bir iç prosedür oluşturmak ve bunu yazılı hale getirmek uyumu belgelemek açısından kritiktir.

Bir site yönetim yazılımı kullanmak bu süreçleri önemli ölçüde kolaylaştırabilir; ancak yazılım tek başına uyumu sağlamaz. Teknik güvenlik özellikleri güçlü bir yazılım tercih etmek, sistem üzerinde yalnızca yetkili erişim tanımlamak ve yazılım sağlayıcısıyla veri işleyen sözleşmesi yapmak gereklidir.

İlgili Kişi Hakları ve Başvuru Yönetimi

KVKK'nın 11. maddesi, kişisel verisi işlenen bireylere (ilgili kişilere) kapsamlı haklar tanımaktadır. Bu hakların farkında olan sakinler, yönetimden çeşitli talepte bulunabilir. Site yönetiminin bu talepleri nasıl karşılayacağını önceden planlaması büyük önem taşır.

Sakinlerin kullanabileceği başlıca haklar şunlardır: kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlendiğini düşündüğü verilerin düzeltilmesini isteme, verilerin silinmesini ya da yok edilmesini talep etme ile verilerin işlenmesine itiraz etme.

Yönetim, bu taleplere yasal süre olan 30 gün içinde yanıt vermek zorundadır. Başvuruların nasıl yapılacağı aydınlatma metninde açıkça belirtilmelidir: yazılı başvuru için ıslak imzalı dilekçe, e-posta için kayıtlı elektronik posta adresi ya da yönetimin belirleyeceği başka bir güvenli kanal kullanılabilir. Talep geldiğinde kimin değerlendireceği ve süreci nasıl yöneteceği önceden netleştirilmelidir.

Bazı talepler reddedilebilir; ancak ret gerekçesi hukuki ve makul olmalıdır. Taleplerin tamamını otomatik olarak reddetmek ya da yanıtsız bırakmak, hem KVKK ihlali hem de Kurum'a şikâyet konusu olmaya açık bir tutumdur. Başvuru yönetimini dijital ortamda takip etmek, süreci hem daha şeffaf hem de ispat edilebilir kılar.

Uyum Süreci Nasıl Başlatılır? Adım Adım Yol Haritası

KVKK uyum süreci birçok yönetici için bunaltıcı görünebilir; ancak aşamalara bölünerek yaklaşıldığında yönetilebilir bir proje haline gelir. Aşağıdaki yol haritası, küçük ve orta ölçekli site yönetimleri için pratik bir başlangıç çerçevesi sunmaktadır.

1. Aşama — Envanter ve Farkındalık (1-2 hafta): Hangi kişisel verilerin toplandığını, nerede saklandığını ve kimlerle paylaşıldığını tespit edin. Yönetim ekibine temel KVKK farkındalığı kazandırın.

2. Aşama — Hukuki Dayanak Analizi (1 hafta): Her veri işleme faaliyeti için hangi hukuki dayanağa yaslanıldığını belirleyin. Belirsiz durumlarda hukuki destek alın.

3. Aşama — Politika ve Metin Hazırlama (1-2 hafta): Aydınlatma metni, veri saklama ve imha politikası, veri ihlali eylem planı gibi temel belgeleri oluşturun ya da güncelleyin.

4. Aşama — Teknik ve İdari Tedbirler (2-4 hafta): Erişim kontrolleri, şifre politikası, yedekleme sistemi ve personel gizlilik taahhütnamesi gibi teknik ve idari önlemleri hayata geçirin.

5. Aşama — Hizmet Sağlayıcı Sözleşmeleri (1-2 hafta): Kişisel veriye erişebilen tüm hizmet sağlayıcılarla veri işleyen sözleşmelerini imzalayın.

6. Aşama — Sakinlere Aydınlatma ve Sürdürülebilirlik: Aydınlatma metinlerini sakinlere iletin, süreci kayıt altına alın. Uyumu tek seferlik değil, sürekli bir pratik olarak benimseyin; yıllık gözden geçirme takvimi oluşturun.

Sık Sorulan Sorular