WhatsApp Grubunda Kişisel Veri Paylaşımının Riskleri

WhatsApp gruplarında kişisel veri paylaşımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında ciddi hukuki riskler doğurmaktadır. Apartman sakinlerinin telefon numarası, kimlik bilgisi veya borç durumu gibi verilerinin grup sohbetinde paylaşılması, veri ihlali sayılabilir ve yöneticilere ağır idari para cezaları uygulanabilir.

KVKK Nedir ve Apartman Yöneticilerini Nasıl Bağlar?

6698 sayılı Kişisel Verilerin Korunması Kanunu, 2016 yılında yürürlüğe girerek kişisel verilerin işlenmesine ilişkin usul ve esasları belirleyen temel yasal düzenleme hâline gelmiştir. Kanun; kişilerin adı, soyadı, telefon numarası, kimlik numarası, adres bilgisi, finansal durumu ve diğer tanımlayıcı bilgilerini "kişisel veri" olarak tanımlamakta ve bu verilerin toplanmasını, işlenmesini ve üçüncü taraflarla paylaşılmasını sıkı kurallara bağlamaktadır.

Pek çok apartman ve site yöneticisi, bu kanunun yalnızca büyük şirketleri ilgilendirdiğini düşünmektedir. Ancak bu yanış bir algıdır. KVKK, başka kişilerin verilerini herhangi bir amaçla işleyen herkesi kapsamına almaktadır; bu bağlamda bina yöneticileri ve yönetim kurulu üyeleri de "veri sorumlusu" sıfatıyla kanun kapsamında değerlendirilebilir. Sakinlerin kimlik bilgilerini toplamak, aidat borçlarını kaydetmek veya iletişim listesi oluşturmak bile veri işleme faaliyeti sayılmaktadır.

Veri sorumlusu olarak nitelendirilen apartman yöneticisinin, kişisel verileri yalnızca belirli, meşru ve açık amaçlarla işlemesi; gerekenden fazla veri toplamaması ve bu verileri yetkisiz kişilerle paylaşmaması gerekmektedir. Bu yükümlülüklerin ihlali, Kişisel Verileri Koruma Kurumu (KVKK Kurumu) tarafından yürütülen incelemeler sonucunda idari para cezasına neden olabilmektedir. Ceza miktarları, ihlal türüne göre on binlerden yüz binlerce Türk lirasına kadar çıkabilmektedir.

634 sayılı Kat Mülkiyeti Kanunu çerçevesinde yöneticilerin kat maliklerini ilgilendiren bilgileri paylaşma yükümlülüğü bulunmaktadır; ancak bu yükümlülük, KVKK hükümlerinin üzerinde değildir. Başka bir deyişle, kat mülkiyeti mevzuatına dayanarak gerçekleştirilen bir veri paylaşımı, KVKK gerekliliklerini karşılamak zorundadır. İki yasal düzenlemenin bir arada doğru uygulanması, yöneticilerin hem komşularına karşı hem de Kurum'a karşı yasal yükümlülüklerini yerine getirmesini sağlar.

WhatsApp Grubu Neden Riskli Bir Ortamdır?

WhatsApp, dünya genelinde milyarlarca kullanıcıya sahip popüler bir anlık mesajlaşma uygulamasıdır. Apartman sakinleri ve yöneticileri arasında oluşturulan WhatsApp grupları, duyuruların hızla yayılması, ortak kararların anlık paylaşılması ve günlük iletişimin kolaylaştırılması açısından pratik bir araç gibi görünmektedir. Ne var ki bu pratiklik, beraberinde ciddi hukuki ve güvenlik risklerini getirmektedir.

Her şeyden önce, WhatsApp gruplarındaki mesajlar ve dosyalar grup üyelerinin tamamına açıktır. Bir yönetici, "aidat borçlusu" diyerek bir sakinin adını ve borcunu paylaştığında bu bilgi, gruba katılmış olan tüm komşularla otomatik olarak paylaşılmış olur. Söz konusu kişinin bu paylaşım için açık rızası yoksa ciddi bir veri ihlali gerçekleşmiş demektir. KVKK'nın öngördüğü "açık rıza" ilkesi, rızanın belirli, bilgilendirilmiş ve özgür irade ile verilmesini şart koşmaktadır; bina içindeki sosyal baskı ortamı bu koşulları doğal olarak zorlaştırmaktadır.

İkinci önemli risk, mesajların ekran görüntüsü alınarak grubun dışına çıkabilmesidir. Bir grup üyesi, paylaşılan kişisel bilgileri kolayca kaydederek farklı mecralarda yayabilir. WhatsApp'ın uçtan uca şifreleme özelliği, sunucu seviyesinde güvenlik sağlamakla birlikte, grup üyelerinin kendi cihazlarındaki verileri ve ekran görüntülerini kontrol etmemektedir. Bu durum, apartman yöneticisinin asla planlamadığı bir veri sızıntısına zemin hazırlayabilir.

Üçüncü risk ise gruba katılan kişilerin değişkenliğidir. Kiracı değişikliği, komşunun telefon numarasını başkasına devretmesi ya da gruba yanlışlıkla eklenen bir kişi; daha önce paylaşılmış hassas bilgilere yetkisiz erişim sağlayabilir. Grubun tarihçesi yeni üyelere de görünebildiğinden, geçmiş mesajlardaki tüm kişisel veriler de risk altına girer.

Hangi Veriler KVKK Kapsamında Korunmaktadır?

Kişisel verinin tanımı son derece geniş tutulmuştur. KVKK kapsamında, belirli bir kişiyi doğrudan ya da dolaylı olarak tanımlamaya yarayan her türlü bilgi kişisel veri sayılmaktadır. Apartman ve site yönetimi bağlamında bu tanım oldukça geniş bir alanı kapsamaktadır.

Günlük olarak WhatsApp gruplarında dolaşmaya devam eden tipik bilgiler arasında şunlar yer almaktadır: sakinlerin adı ve soyadı, daire numarasıyla ilişkilendirilmiş telefon numaraları, kimlik fotokopileri veya T.C. kimlik numaraları (kiracı teslim formları vb.), araç plakaları ve otopark tahsis bilgileri, aidat ödeme durumuna ilişkin notlar ve borç bilgileri, sağlık veya mazerete dayalı özel izin talepleri ile kameralardan alınan görüntü ekran görüntüleri.

Bu verilerin bir kısmı "özel nitelikli kişisel veri" kategorisine girebilmektedir. Sağlık bilgisi, dini veya siyasi görüş, sendika üyeliği ve benzeri veriler bu kategoride yer almakta olup bunların işlenmesi çok daha katı kurallara tabidir. Örneğin bir sakin, engeli nedeniyle asansör onarımını talep ettiğinde ve bu bilgiyi yönetici WhatsApp grubunda paylaştığında, sağlık verisi niteliğinde bir bilgi rızasız olarak ifşa edilmiş olabilir.

Dikkat edilmesi gereken bir başka nokta ise "anonimleştirilmiş" sanılan verilerin aslında kişisel veri olmaya devam edebileceğidir. "4. kattaki mavi arabanın sahibi" gibi dolaylı bir ifade, küçük bir apartman topluluğunda belirli bir kişiyi net biçimde tanımlayabilir. Bu durumda KVKK koruması yine devreye girer.

Yöneticilerin Düştüğü Yaygın Hatalar

Yöneticilerin KVKK ihlali riskiyle karşılaştığı senaryoları somutlaştırmak, konunun ciddiyetini daha iyi kavramayı sağlamaktadır. Aşağıda gerçek hayatta sıklıkla yaşanan durumların bir özeti sunulmaktadır.

En yaygın hata, aidat borç listelerinin fotoğraflanarak gruba atılmasıdır. "Bu ay ödeme yapmayan daireler" başlığıyla paylaşılan bir tablo ya da liste, birden fazla sakinle ilgili finansal bilgiyi herkese açmaktadır. Her ne kadar yöneticinin amacı hatırlatma yapmak olsa da bu eylem, borçlu kişinin kişisel ve finansal verilerinin rızası olmaksızın paylaşılması anlamına gelir. Hem veri ihlali hem de kişilik haklarına saldırı niteliği taşıyabilmektedir.

İkinci yaygın hata, yeni taşınan sakinlerin kimlik bilgilerini tanıtım amacıyla gruba göndermektir. "Aramıza katılan yeni komşumuz Ali Bey'in telefonu şudur" şeklinde yapılan paylaşım, o kişinin açık rızası alınmadan gerçekleştirildiğinde ihlal doğurur. Üstelik kişi gruptan ayrıldıktan sonra bile bilgisi grubun tarihçesinde kalmaya devam eder.

Üçüncü sık karşılaşılan durum, güvenlik kameraları görüntülerinin grup üyelerine iletilmesidir. CCTV görüntüleri biyometrik ya da kişisel tanımlayıcı unsurlar içerdiğinden özel koruma gerektirir. Bu görüntülerin WhatsApp grubunda paylaşılması, görüntülenen kişilerin bilgisi ve rızası olmaksızın veri işleme sonucunu doğurur.

Dördüncü hata ise yönetim toplantısı notlarının doğrudan paylaşılmasıdır. Bir kat maliki toplantıda kendi durumunu anlatan bir beyan yapmışsa ve bu beyan adıyla birlikte gruba yazılmışsa, kişinin rızası alınmadan kişisel verisi yayılmış olur. Toplantı tutanakları usulüne uygun biçimde arşivlenmeli, hassas kişisel bilgiler ayıklandıktan sonra paylaşılmalıdır.

KVKK İhlalinde Yöneticiye Uygulanabilecek Yaptırımlar

6698 sayılı Kanun'un 18. maddesi, kişisel veri ihlallerine ilişkin idari yaptırımları düzenlemektedir. Kanun'da öngörülen para cezaları her yıl yeniden değerleme oranında artırılmaktadır; bu nedenle güncel rakamlar için Kişisel Verileri Koruma Kurumu'nun resmi web sitesi takip edilmelidir. Bununla birlikte, ihlal türlerine göre uygulanabilecek yaptırım kategorileri şu şekilde özetlenebilir:

• Aydınlatma yükümlülüğünü yerine getirmemek: Sakinlere verilerinin nasıl işlendiğine dair bilgilendirme yapılmaması durumunda idari para cezası uygulanabilir.
• Veri güvenliğini sağlamamak: Kişisel verilerin yetkisiz kişilere ifşa edilmesi ya da hukuka aykırı yollarla elde edilmesine imkân tanınması ciddi para cezasına yol açar.
• Kurul kararlarına uymamak: KVKK Kurumu tarafından verilen kararlara uyulmaması ayrı bir yaptırım nedeni oluşturur.
• Kurul'a bilgi vermemek ya da yanıltıcı bilgi vermek: Başlatılan bir inceleme sürecinde doğru bilgi sunulmaması da cezai sonuçlar doğurabilir.
• Tazminat davaları: İhlalden zarar gören kişiler, yönetici aleyhine ayrıca tazminat davası açabilir. Bu davalarda hem maddi hem manevi tazminata hükmedilmesi mümkündür.
• Cezai sorumluluk: Türk Ceza Kanunu'nun ilgili maddeleri kapsamında kişisel verilerin hukuka aykırı olarak kaydedilmesi veya ele geçirilmesi suç olarak tanımlanmış olup hapis cezasına kadar uzanan yaptırımlar öngörülmüştür.

Tüm bu yaptırımlar, konunun salt bir idari formalite olmadığını, gerçek hukuki ve mali sonuçlar doğurabileceğini ortaya koymaktadır. Üstelik bir şikâyet sonucunda başlatılan Kurul incelemesi, yöneticinin tüm veri işleme pratiklerini mercek altına alabilir; bu da daha önce fark edilmemiş başka ihlallerin gün yüzüne çıkması anlamına gelebilir.

Önemle belirtmek gerekir ki bu bilgiler genel hukuki çerçeveyi aktarmak amacıyla sunulmaktadır. Somut bir ihlal şüphesi veya hukuki süreçle karşılaşıldığında, alanında uzman bir avukattan profesyonel hukuki destek alınması zorunludur.

Açık Rıza Nedir ve Nasıl Alınır?

KVKK'nın temel taşlarından birini oluşturan "açık rıza" ilkesi, veri sahibinin kendi kişisel verilerinin işlenmesine belirli bir konuda, bilgilendirilerek ve özgür iradesiyle onay vermesini ifade eder. Bu üç unsur bir arada bulunmak zorundadır: rıza belirli bir amaca yönelik olmalı, kişi ne için rıza verdiğini bilmeli ve rıza baskı altında değil serbestçe verilmelidir.

Apartman yönetimi pratiğinde açık rıza almak, bazı durumlarda karmaşık bir süreç gibi görünebilir. Ancak doğru yöntemlerle bu süreç sistematik hâle getirilebilir. Uygulamada tercih edilen yollardan biri, sakinlerin taşınma sürecinde imzaladığı bir "Kişisel Veri İşleme ve Paylaşım Onay Formu"dur. Bu formda hangi verilerin toplandığı, ne amaçla kullanıldığı, kimlerle paylaşılabileceği ve sakinlerin hakları açıkça belirtilmelidir.

WhatsApp grubu özelinde ise rızanın doğru alınması kritik önem taşımaktadır. Sakine gruba katılmadan önce grubun amacı, içerikte paylaşılacak bilgi türleri ve diğer üyelerin bu bilgilere erişebileceği hususunda açık bilgilendirme yapılmalı; kişi bunu onayladığında yazılı bir kayıt tutulmalıdır. Gruba eklenmek için yönlendirilen bir linka tıklamak ya da salt üye olmak, geçerli bir açık rıza sayılmamaktadır.

Rıza alınmayan durumlarda ise KVKK'nın belirlediği meşru işleme koşullarından birinin varlığı aranmalıdır. Örneğin kanunlarda açıkça öngörülen bir yükümlülüğün yerine getirilmesi ya da bir sözleşmenin kurulması veya ifasıyla doğrudan bağlantılı olması bu koşullar arasında sayılabilir. Yöneticilerin bu koşulları kendi başlarına yorumlayarak uygulaması riskli olabileceğinden, belirsizlik durumlarında hukuki destek alınması önerilir.

WhatsApp Yerine Daha Güvenli Alternatifler

Kişisel veri risklerini en aza indirmenin en etkili yolu, WhatsApp gibi genel amaçlı mesajlaşma uygulamalarından apartman ve site yönetimine özel, veri işleme standartlarını karşılayan platformlara geçmektir. Bu tür yazılımlar, iletişimi düzenlemenin yanı sıra veri güvenliğini de yapısal olarak sağlar.

Profesyonel apartman yönetim programları, sakinlere yönelik duyuruları kişisel verileri açığa çıkarmadan iletebilir. Örneğin borç bildirimleri, bireysel olarak ilgili sakine gönderilir; tüm gruba değil. Otopark, aidat, bakım talepleri gibi işlemler de sistematik biçimde kayıt altına alınır ve yetkili kullanıcılar dışında erişilemez hâle getirilir.

Bu tür yazılımların sunduğu başlıca avantajlar şunlardır: rol tabanlı erişim kontrolü (her kullanıcı yalnızca kendi yetkisindeki verilere ulaşabilir), işlem kayıtlarının (log) tutulması, veri saklama ve silme politikalarının uygulanabilmesi ve gerektiğinde KVKK uyum raporlarının üretilebilmesi. Bunların yanı sıra bildirimler; bireysel veya duyuru bazlı gönderilebilir, böylece komşuların birbirlerinin finansal ya da kişisel bilgilerine erişmesi engellenir.

Site yönetim yazılımları aynı zamanda genel kurul süreçlerini de dijitalleştirerek toplantı tutanaklarının ilgili kişilere güvenli kanallar üzerinden iletilmesini sağlar. Böylece tutanağı yanlış kişilere gönderme ya da hassas bilgileri geniş bir gruba yayma riski ortadan kalkmış olur. İyi bir yönetim yazılımı, KVKK uyumunu teknik ve organizasyonel önlemlerle destekleyen bir altyapı sunarak yöneticilerin üzerindeki hukuki yükü önemli ölçüde hafifletir.

WhatsApp Grubunu Kullanmak Zorundaysanız Alınacak Önlemler

Geçiş sürecinin tamamlanması zaman alabilir ya da bazı yöneticiler teknik altyapı nedeniyle WhatsApp grubunu tamamen bırakamayabilir. Bu durumda bile uygulanabilecek somut önlemler bulunmaktadır. Bu önlemler, yasal riski tamamen ortadan kaldırmasa da önemli ölçüde azaltır.

İlk adım, grup kurallarını yazılı hâle getirmektir. Grup açıklamasında hangi tür bilgilerin paylaşılabileceği ve hangilerinin kesinlikle paylaşılamayacağı net biçimde ifade edilmelidir. "Bu grupta kişisel bilgiler, aidat borç listeleri ve kimlik bilgileri paylaşılmaz" gibi açık bir kural hem yöneticiyi hem de diğer üyeleri yönlendirir.

İkinci önemli adım, gruba yeni üye eklenirken dikkatli davranmaktır. Yalnızca aktif sakinlerin grupta yer alması, taşınan ya da kiracılığı sona eren kişilerin derhal gruptan çıkarılması gerekir. Böylece geçmiş mesajlardaki verilere yetkisiz erişim engellenir.

Üçüncü olarak, hassas bilgileri grup üzerinden değil, bire bir mesajlaşma ya da resmi yazışma yoluyla iletme alışkanlığı edinilmelidir. Aidat borcu olan bir sakine hatırlatma yapmak gerekiyorsa bu iletişim yalnızca o kişiyle, özel olarak gerçekleştirilmelidir. Grup mesajıyla yapılan borç hatırlatması, hem pratik açıdan verimsizdir hem de hukuki açıdan risklidir.

Dördüncü tedbir, gruba katılımda yazılı onay almaktır. Sakinlerin gruba eklenirken "Bu WhatsApp grubuna katılarak adınızın ve iletişim bilgilerinizin diğer grup üyelerine görünür olacağını kabul ediyorsunuz" şeklinde bir onay metni imzalaması, ileride doğabilecek anlaşmazlıklarda yöneticiye önemli bir dayanak sağlar.

Kişisel Veri Yönetiminde KVKK Uyum Adımları

KVKK'ya uygun bir veri yönetimi anlayışı oluşturmak, tek seferlik bir düzenleme yapmaktan ibaret değildir; süreklilik gerektiren bir süreçtir. Apartman ve site yöneticilerinin bu süreci adım adım ele alması, hem yasal riskleri azaltır hem de sakinlerin güvenini pekiştirir.

Sürecin ilk aşaması, mevcut veri envanterinin çıkarılmasıdır. Hangi sakin verilerinin toplandığı, nerede saklandığı, kim tarafından erişilebildiği ve ne kadar süreyle tutulduğu sorularına yanıt aranmalıdır. Çoğu küçük ölçekli yönetimde bu envanter birkaç saatlik çalışmayla tamamlanabilir. Envanter, hem mevcut durumu görmek hem de gelecekteki uyum çalışmalarını planlamak açısından kritik bir başlangıç noktasıdır.

İkinci aşamada, sakinler için bir aydınlatma metni hazırlanmalıdır. Bu metin; hangi verilerin toplandığını, hangi amaçla kullanıldığını, kimlerle paylaşılabileceğini, saklama sürelerini ve sakinlerin sahip olduğu hakları (erişim, düzeltme, silme talep etme gibi) içermelidir. Hazırlanan metin, yeni sakinlere taşınma sürecinde teslim edilmeli; mevcut sakinlere ise uygun bir kanaldan ulaştırılmalıdır.

Üçüncü aşamada, veri güvenliğine yönelik teknik önlemler alınmalıdır. Kâğıt ortamındaki belgeler kilitli dolaplarda saklanmalı, elektronik ortamdaki veriler şifreli sistemlerde tutulmalı ve yalnızca yetkili kişilerin erişimine açık olmalıdır. WhatsApp grubu ya da e-posta gibi güvensiz kanallar aracılığıyla kişisel veri paylaşımından kaçınılmalıdır.

Bu adımları daha anlaşılır kılmak amacıyla, yöneticilerin izlemesi önerilen süreç aşağıdaki tabloda özetlenmiştir:

Sakinlerin Hakları: Verisi Paylaşılan Kişi Ne Yapabilir?

KVKK, yalnızca veri sorumlusuna yükümlülükler yüklemekle kalmaz; aynı zamanda veri sahiplerine, yani sakinlere de güçlü haklar tanımaktadır. Bu hakların bilinmesi, hem sakinlerin kendi çıkarlarını koruyabilmesi hem de yöneticilerin gelebilecek taleplere hazırlıklı olması açısından önem taşımaktadır.

Kanun'un 11. maddesi kapsamında veri sahibi olarak her sakin şu haklara sahiptir: kişisel verisinin işlenip işlenmediğini öğrenme, işleniyorsa buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenen verilerin düzeltilmesini isteme, yasal koşulların ortadan kalkması durumunda verilerin silinmesini talep etme ve işlemenin hukuka aykırı olduğunu düşündüğünde itiraz etme.

Bu haklar pratikte şu anlama gelmektedir: kişisel verisi WhatsApp grubunda rızası alınmadan paylaşılan bir sakin, önce yöneticiye yazılı başvurarak bu uygulamaya son verilmesini ve verinin silinmesini talep edebilir. Yöneticinin otuz gün içinde yanıt vermemesi ya da yetersiz yanıt vermesi durumunda ilgili kişi doğrudan Kişisel Verileri Koruma Kurumu'na şikâyette bulunabilir. Kurum, şikâyeti yerinde bulursa inceleme başlatır ve yaptırım uygulayabilir.

Sakinlerin bu haklarını kullanması, salt bir şikâyet mekanizması olarak değil, apartman topluluğunda sağlıklı bir güven ortamının oluşturulmasına katkı sağlayan yapıcı bir araç olarak da değerlendirilebilir. Yöneticinin haklarına saygı gösterilen bir ortamda, sakinlerin yönetime güveni ve ortak yaşama katkısı da doğal olarak artmaktadır.

Sık Sorulan Sorular