Yönetim Değişiminde Verilerin Güvenli Devri

Yönetim değişiminde verilerin güvenli devri; sakinlerin kişisel bilgilerini, mali kayıtları ve dijital erişim yetkilerini eksiksiz, yasal ve izlenebilir biçimde yeni yönetime aktarmak anlamına gelir. Bu sürecin doğru yürütülmemesi hem 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında ciddi yaptırımlara hem de kat maliklerinin haklarını doğrudan etkileyen bilgi kayıplarına yol açar.

Veri Devri Neden Bu Kadar Kritik?

Bir apartman veya site yönetiminde görev değişimi yaşandığında, yalnızca anahtarlar ve mühür el değiştirmez; sakinlere ait onlarca yıllık belge, ödeme kaydı ve iletişim bilgisi de el değiştirir. Bu bilgilerin bir kısmı kağıt arşivlerde, büyük çoğunluğu ise dijital sistemlerde tutuluyor. Veri devrinin plansız yapılması durumunda yeni yönetim temel bilgilere erişemez, eski yönetim ise elinde tutmaması gereken kişisel verileri barındırmaya devam eder.

634 sayılı Kat Mülkiyeti Kanunu'nun 38. maddesi, yöneticinin görevden ayrılırken "hesap vermek ve belgeleri teslim etmek" yükümlülüğünü açıkça ortaya koyar. Ancak bu madde, 2000'li yılların dijital gerçekliğini yansıtacak şekilde kaleme alınmamıştır; dolayısıyla dijital veri devrinin ayrıntılarını KVKK ve ilgili ikincil mevzuat çerçevesinde ele almak gerekir.

Uygulamada karşılaşılan en yaygın sorun, eski yöneticinin tüm verileri bir USB belleğe kopyalayıp yeni yönetime uzatması ve ardından kendi bilgisayarındaki kopyaları silmemesidir. Bu durum hem KVKK'nın "veri minimizasyonu" ilkesini ihlal eder hem de olası bir veri sızıntısında eski yöneticiyi hukuki sorumluluk altına sokar. Öte yandan yeni yönetim, devraldığı verilerin bütünlüğünü ve doğruluğunu teyit edemeden sistemi devralmış olur.

Konuyu bir örnekle somutlaştıralım: 120 daireli bir site 7 yıldır aynı yönetici tarafından idare edilmektedir. Yönetici değiştiğinde sistemde 120 sakin, binlerce aidat ödeme kaydı, bakım ihalesi belgeleri, kat malikleri kurulu kararları ve noterce onaylanmış yönetim planı bulunmaktadır. Tüm bu verilerin güvenli ve eksiksiz devredilmesi, yalnızca yasal bir zorunluluk değil; sitenin kesintisiz işleyişi için de hayati önem taşır.

Hukuki Çerçeve: KVKK ve Kat Mülkiyeti Kanunu

Apartman ve site yönetimleri, sakinlere ait ad-soyad, iletişim bilgisi, araç plakası ve ödeme geçmişi gibi kişisel verileri işlediklerinden 6698 sayılı KVKK kapsamında "veri sorumlusu" sıfatını taşırlar. Bu sıfat beraberinde kayıt yükümlülüğü, aydınlatma yükümlülüğü ve veri güvenliğini sağlama sorumluluğunu getirir.

KVKK'nın 12. maddesi, veri sorumlularının kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri almakla yükümlü olduğunu hükme bağlar. Yönetim değişiminde bu yükümlülük, verilerin yalnızca yetkili kişilere ve yalnızca gerekli ölçüde aktarılmasını zorunlu kılar.

634 sayılı Kat Mülkiyeti Kanunu açısından ise yöneticinin hesap verme ve belge teslim etme yükümlülüğü, yönetim planının öngördüğü koşullarda yerine getirilmelidir. Uygulamada çoğu yönetim planı bu konuda ayrıntılı düzenleme içermez; bu boşluğu doldurmak için kat malikleri kurulunun bir devir protokolü kararı alması önerilir.

Kişisel Verileri Koruma Kurulu'nun çeşitli kararlarında, veri sorumlularının organizasyonel yapı değişikliklerinde verilerin güvenliğini sağlamakla yükümlü olduğu vurgulanmıştır. Yönetim değişimi bu kapsamda değerlendirildiğinde, eski yönetim aktarımdan sonra elindeki kişisel verileri imha etmek; yeni yönetim ise devraldığı verilerin işleme amacını yeniden belgelemekle yükümlüdür. Bu konuda bir hukuk danışmanından veya KVKK uzmanından görüş almanız tavsiye edilir.

Devir Öncesi: Envanter Çıkarmak ve Sınıflandırmak

Güvenli bir devrin ilk adımı, mevcut tüm veri varlıklarını listelemektir. Bu envanter çalışması yapılmadan devir protokolü düzenlemek, nelerin aktarıldığını, nelerin geride kaldığını bilmeden hareket etmek anlamına gelir. Envanter iki ana kategoride düşünülebilir: fiziksel belgeler ve dijital veriler.

Fiziksel belgeler arasında noter onaylı yönetim planı, kat malikleri kurulu karar defterleri, denetim raporları, taşeron ve hizmet sağlayıcı sözleşmeleri, sigorta poliçeleri, fatura dosyaları ve banka ekstrelerinin orijinalleri ya da noter tasdikli kopyaları yer alır. Bu belgelerin listesi çıkarılırken belgenin başlangıç ve bitiş tarihi, sayfası, kaç nüshasının bulunduğu not edilmelidir.

Dijital veriler ise çok daha geniş ve karmaşık bir tablodur. Yönetim yazılımındaki sakin kayıtları, aidat ödeme geçmişleri, bakım talep kayıtları, e-posta yazışmaları, kamera kayıt sistemine ait erişim bilgileri, banka internet şubesine ait kullanıcı adı ve şifreler, sosyal medya hesapları ve domain yönetim panelleri sayılabilir. Her dijital varlık için "bu veri nerede tutuluyor, kim erişebiliyor, hangi amaçla işleniyor?" sorularına yanıt bulunması gerekir.

Envanter aşamasında dikkat edilmesi gereken bir diğer nokta, sakinlerin rızası olmaksızın paylaşılamayacak hassas verileri belirlemektir. Örneğin, bir sakinle yaşanan hukuki anlaşmazlığa ait yazışmalar ya da engelli sakin adaptasyonu kapsamında alınan sağlık beyanları yeni yönetime aktarılabilir ancak bu aktarımın belgeli ve amaca uygun olması şarttır.

Devir Protokolü: Tutanak Nasıl Hazırlanır?

Veri devir tutanağı, eski ve yeni yönetim arasında aktarılan her varlığın kayıt altına alındığı resmi belgedir. Bu tutanağı noter huzurunda düzenlemek yasal bir zorunluluk olmamakla birlikte, olası anlaşmazlıklarda güçlü bir delil teşkil edeceğinden şiddetle tavsiye edilir. En az iki tanık huzurunda hazırlanan ve her iki tarafça imzalanan bir tutanak da geçerlidir.

Tutanakta yer alması gereken temel unsurlar şunlardır: devrin yapıldığı tarih ve saat, eski yöneticinin adı, soyadı ve iletişim bilgileri, yeni yöneticinin adı, soyadı ve iletişim bilgileri, devredilen fiziksel belgelerin dökümü (belge adı, tarih aralığı, sayfa/klasör sayısı), devredilen dijital varlıkların dökümü (sistem adı, veri tabanı büyüklüğü veya kayıt sayısı, format), devredilen erişim bilgileri (sistemin adı, kullanıcı adı; şifreler ayrı ve şifreli bir kanalda paylaşılmalıdır) ve eski yönetimin elindeki kopyaların imha taahhüdü.

Şifrelerin tutanakta açık metin olarak yer almaması kritik bir güvenlik ilkesidir. Şifreler; tutanak imzalandıktan hemen sonra yeni yöneticiye ait e-posta adresine şifreli bir PDF olarak ya da yüz yüze görüşmede güvenli bir şifre yöneticisi aracılığıyla iletilmeli, tutanağa yalnızca "erişim bilgileri ekte belirtilen güvenli kanaldan paylaşılmıştır" ibaresi düşülmelidir.

Tutanağın hazırlanmasında apartman yönetim programları büyük kolaylık sağlar. Modern yönetim yazılımları, devir anında sisteme kayıtlı tüm sakin, ödeme ve belge verilerinin dökümünü otomatik olarak oluşturabilir; bu liste doğrudan tutanağa ek olarak kullanılabilir.

Dijital Sistemlerin Güvenli Aktarımı

Dijital sistemlerin devri, fiziksel belgelerin tesliminden çok daha karmaşık ve risk barındıran bir süreçtir. Yanlış adımlar hem veri kayıplarına hem de yetkisiz erişim açıklarına neden olabilir. Bu nedenle dijital aktarım için belirli bir sıra izlenmesi önerilir.

İlk adım, yönetim yazılımının yönetici yetkilerini eski hesaptan yeni hesaba aktarmaktır. Çoğu modern site yönetim yazılımı, rol tabanlı erişim kontrolü sunar. Bu sistemlerde eski yöneticinin hesabının kapatılması, yeni yöneticinin hesabına tüm yetkilerin verilmesi ve bu işlemlerin yazılımın kendi log kaydında izlenebilmesi mümkündür. Yönetici yetkisi devredilmeden önce yeni yönetici, sistemi ve mevcut verileri gözden geçirme fırsatına sahip olmalıdır.

İkinci adım, banka internet şubesi ve e-devlet gibi kurumsal hesaplardaki imza yetkililerinin güncellenmesidir. Bankalar bu işlemler için şube müdürü onayını şart koşabilir; dolayısıyla bu adımın yeterli önceden planlanması gerekir. Uygulamada pek çok site yönetimi, banka hesabı güncellenmeden önce haftalarca eski yönetici imzasıyla hareket etmek zorunda kalmaktadır; bu durumun önüne geçmek için devir tarihi bankaya önceden bildirilmelidir.

Üçüncü adım, kamera güvenlik sistemi ve akıllı giriş sistemleri gibi fiziksel güvenlik altyapısına ait şifreler ile yönetim panellerinin değiştirilmesidir. Bu sistemlerin şifreleri değiştirilmeden yapılan bir devir, eski yöneticinin fiziksel güvenlik altyapısına erişim imkânını sürdürmesi anlamına gelir; bu durum hem güvenlik açığı hem de KVKK kapsamında hukuki bir sorun teşkil eder.

Sakinlerin Kişisel Verilerinin Korunması

Kat malikleri ve kiracılara ait kişisel veriler, yönetim değişiminin en hassas boyutunu oluşturur. Bu veriler arasında ad-soyad, T.C. kimlik numarası, telefon, e-posta adresi, araç plakası, banka hesap bilgileri ve hatta bazı sitelerde biometrik veriler (parmak izi, yüz tanıma) bulunmaktadır.

KVKK'nın "amaca bağlılık" ilkesi gereğince, bu veriler yalnızca toplandıkları amaç doğrultusunda işlenebilir. Yönetim değişiminde yeni yönetim, sakinleri aydınlatma yükümlülüğünü yeniden yerine getirmelidir. Pratikte bu, site genelinde bir duyuru veya sakinlere gönderilecek bir bildirim ile yeni veri sorumlusunun kim olduğunun, hangi verilerin tutulduğunun ve bu verilere nasıl itiraz edebileceklerinin açıklanması anlamına gelir.

Eski yönetimin devir sonrasında sakin verilerini elinde bulundurması, KVKK kapsamında açık bir ihlaldir. Bu nedenle devir tutanağında eski yönetimin "sakinlere ait kişisel verilerin tüm kopyalarını aktarım tarihinden itibaren [X] gün içinde imha edeceğini" taahhüt eden bir madde yer almalıdır. İmha işlemi; dijital veriler için güvenli silme ya da üzerine yazma, fiziksel belgeler için ise çapraz kesimli kağıt imha makinesi kullanılarak gerçekleştirilmelidir.

Bir de özel dikkat gerektiren konu vardır: eski yönetici dönemine ait sakin şikâyetleri, hukuki yazışmalar ve tutanaklar. Bu belgeler sakin kimliğine bağlı hassas bilgiler içerebilir; bu nedenle aktarım öncesinde hangi belgelerin aktarılacağına ilişkin bir sınıflandırma yapılması, eski yöneticinin bu konuda bir hukuk danışmanından görüş alması önerilir.

Mali Kayıtlar ve Muhasebe Verilerinin Devri

Mali kayıtların devri, hem hukuki hem de pratik açıdan en kritik alanlardan biridir. Eski yönetim döneminden kalan borçlar, tahakkuk ettirilen ancak ödenmemiş aidatlar, açık ihaleler ve taahhüt edilen ancak henüz tamamlanmamış harcamalar yeni yönetim tarafından bilinmeden yönetilemez.

Mali devrin temel unsurları şunlardır:

• Güncel banka hesap bakiyesi ve son 12 aylık ekstre
• Aidat borçluları listesi (sakin adı, bağımsız bölüm no, toplam borç tutarı, son ödeme tarihi)
• Tüm aktif sözleşmeler (temizlik, güvenlik, asansör bakımı, bahçe düzenlemesi vb.) ve sözleşme bitiş tarihleri
• Açık hasar/sigorta talepleri ve güncel durumları
• Yıllık bütçe planı ve gerçekleşen harcamaların karşılaştırmalı tablosu
• KDV ve stopaj beyannameleri ile ödeme makbuzları
• Depozito hesabı (güvenlik görevlisi veya kapıcı için yatırılan depozitolar dahil)

Bu verilerin apartman muhasebe programları aracılığıyla raporlanması, hem aktarım sürecini hızlandırır hem de yeni yönetimin devralınan mali durumu net biçimde görmesini sağlar. İyi bir muhasebe yazılımı, belirli bir tarih itibarıyla tüm bakiyelerin anlık görüntüsünü veren "devir raporu" oluşturabilir.

Özellikle dikkat edilmesi gereken alan, yasal takipteki alacaklardır. İcra sürecinde olan sakin dosyaları, bu sakinlere gönderilmiş ihtarnamelerin kopyaları ve takip eden avukatın iletişim bilgileri ayrı ayrı listelenmelidir. Yeni yönetim bu dosyaları devralmadan yasal süreci sürdüremez; oysa uygulamada bu bilgilerin gözden kaçtığı ve sakinlerin haksız yere daha önce kapatılan dosyalar üzerinden takip edildiği görülmektedir.

Devir Sürecinde Karşılaşılan Yaygın Sorunlar ve Çözümleri

Sahada karşılaşılan deneyimler, yönetim değişimlerinde belirli sorunların tekrar tekrar yaşandığını ortaya koymaktadır. Bu sorunları önceden bilmek, hem eski hem de yeni yönetim için önemli bir hazırlık avantajı sağlar.

En yaygın sorunların başında "şifre bilinmiyorum" durumu gelir. Eski yönetici, bazı sistemlere ait şifreleri hatırlamıyor ya da bu şifreleri kişisel cihazında sakladığı için devretmekte güçlük çekiyor olabilir. Bu durumla başa çıkmanın en iyi yolu, sistem sağlayıcısından şifre sıfırlama talep etmek ve sıfırlama işlemini yeni yöneticinin e-posta adresiyle gerçekleştirmektir. Bunun mümkün olmaması halinde, söz konusu sistemin sağlayıcısına bir vekaletname veya kat malikleri kurulu kararı sunularak hesap devri talep edilebilir.

İkinci yaygın sorun, eski yöneticinin işbirliği yapmayı reddetmesidir. Kırgınlık, anlaşmazlık veya hukuki kaygı nedeniyle eski yönetici devir sürecine direnç gösterebilir. Bu durumda kat malikleri kurulunun noter huzurunda alacağı bir karar, noter kanalıyla eski yöneticiye tebliğ edilebilir. Yöneticinin teslim yükümlülüğü Kat Mülkiyeti Kanunu'ndan kaynaklandığından, bu yükümlülüğün yerine getirilmemesi hukuki yaptırıma konu olabilir.

Üçüncü sorun, belgelerin eksik ya da düzensiz olmasıdır. Eski yönetim döneminde dijital arşivleme yapılmamışsa, yıllarca biriken belgeler arasından sistematik bir tarama yapmak zaman alıcıdır. Bu durumda teslim tutanağında "eksik belgeler" bölümü açılması, eski yöneticinin sonradan bulduğu belgeleri iletmesi için bir süre tanınması ve önemli belgelerin yeniden temin edilmesi (noter, banka, kamu kurumları) yoluna gidilmesi pratik bir çözüm sunar.

Aşağıdaki tablo, devir sürecindeki temel adımları ve sorumlu tarafları özetlemektedir:

Veri Güvenliğinde Teknik Önlemler

Yasal çerçeve ne kadar sağlam olursa olsun, teknik önlemler alınmadan veri güvenliği tam anlamıyla sağlanamaz. Yönetim değişiminde teknik açıdan göz önünde bulundurulması gereken başlıca konular şöyle sıralanabilir.

Şifreleme, veri aktarımında temel güvenlik katmanını oluşturur. Büyük dosyalar (yedek veritabanları, arşiv belgeleri) USB bellek veya harici disk üzerinden aktarılıyorsa, bu ortamların şifreli (AES-256 gibi güçlü bir algoritmaya sahip) olması şarttır. E-posta ile dosya gönderiliyorsa, büyük ve hassas dosyalar için parola korumalı arşiv veya şifreli bir bulut bağlantısı tercih edilmelidir.

Erişim denetim günlükleri (log kayıtları), aktarım sürecinde kim, ne zaman, hangi veriye erişti bilgisini sağlar. Kullandığınız yönetim yazılımının log kayıtlarını devir öncesi ve sonrası döneme ait olarak arşivlemesi, olası bir şikâyette zaman damgalı kanıt sunmanıza imkân tanır. Bu özelliğe sahip bir platforma geçmek isteyen yönetimler için rezidans yönetim sistemleri detaylı log yönetimi sunmaktadır.

İki faktörlü kimlik doğrulama (2FA), yönetim yazılımı ve kurumsal e-posta hesapları için devir sonrasında derhal etkinleştirilmelidir. Devir sırasında eski yönetim 2FA'yı devre dışı bırakıp sistemi açık bırakmış olabilir; yeni yönetim bu durumu kontrol ederek kendi mobil numarasına bağlı 2FA'yı aktive etmelidir.

Bulut yedekleme, devir anında anlık bir sistem yedeği alınmasını gerektirir. Bu yedek, devir sonrasında olası veri bozulmalarına veya yanlışlıkla gerçekleştirilen silme işlemlerine karşı geri dönüş noktası işlevi görür. Yedek dosyasının şifreli olması ve hem eski hem de yeni yönetim tarafından erişilebilmesi sağlanmalıdır.

Yeni Yönetimin İlk 30 Günü: Veri Doğrulama ve Sistem Testleri

Devir tutanağının imzalanması sürecin sonu değil, yalnızca orta noktasıdır. Yeni yönetim, devralınan verilerin doğruluğunu ve eksiksizliğini ilk 30 gün içinde sistematik biçimde doğrulamalıdır. Bu süreç hem olası hataları erkenden tespit etmeye hem de sakinlere güven veren şeffaf bir yönetim anlayışını sergilemeye olanak tanır.

Doğrulama sürecinin ilk haftasında öncelikle banka bakiyelerinin sistem kayıtlarıyla uyumlu olup olmadığı kontrol edilmelidir. Uyumsuzluk tespit edilirse, eski yönetimden açıklama talep etmek ve gerekirse hesap ekstrelerini fiziksel belgelerle karşılaştırmak gerekir. İkinci haftada sakin kayıtları gözden geçirilmeli, özellikle iletişim bilgilerinin güncel olup olmadığı teyit edilmelidir. Sizi geçmişte sorun yaşayan sakinlerle iletişime geçmek, güven inşa etmenin en hızlı yoludur.

Üçüncü ve dördüncü haftalar, teknik sistemlerin stres testine ayrılabilir. Kamera sistemi düzgün kaydediyor mu? Akıllı giriş sistemi doğru çalışıyor mu? Asansör bakım sözleşmesi kapsamında arıza bildirim numarası güncel mi? Tüm bu kontroller, devir öncesinde fark edilmeyen sorunları erkenden gün yüzüne çıkarır ve sorumluluğun kime ait olduğunu belgeleme imkânı tanır.

Son olarak yeni yönetim, kendi dönemine ait veri işleme politikasını oluşturmalı ve sakinlere iletmelidir. Bu politika; hangi verilerin toplandığını, hangi amaçla kullanıldığını, ne kadar süre saklandığını ve nasıl imha edileceğini açıklamalıdır. Site panosuna asılacak kısa bir "kişisel veri bilgilendirme notu" ile bu yükümlülük kolayca yerine getirilebilir.

Sık Sorulan Sorular