Ziyaretçi Defteri ve KVKK Uyumu: Site Yöneticileri İçin Tam Rehber

Ziyaretçi defteri ve KVKK uyumu, apartman ile site yöneticilerinin çoğunun yeterince düşünmediği kritik bir konudur. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında, güvenlik amacıyla tutulan ziyaretçi kayıtları kişisel veri işleme faaliyeti sayılır ve veri sorumlusu sıfatıyla site yönetimi bu verileri hukuka uygun biçimde toplamak, saklamak ve imha etmek zorundadır.

Ziyaretçi Defteri Neden Kişisel Veri Kapsamına Girer?

Bir apartman ya da site girişinde güvenlik görevlisi tarafından doldurulan ziyaretçi defteri, ilk bakışta sıradan bir kağıt belgesi gibi görünebilir. Ancak bu defterde yer alan ad-soyad, T.C. kimlik numarası, plaka, telefon numarası ve giriş-çıkış saatleri gibi bilgilerin tamamı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesi çerçevesinde "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlanmaktadır. Bu bilgilerin toplanması, kaydedilmesi, saklanması ve belirli bir süre sonra imha edilmesi —bunların her biri ayrı bir veri işleme faaliyetidir.

Peki bu faaliyetlerin yürütücüsü kimdir? Kat Mülkiyeti Kanunu (Kanun No. 634) çerçevesinde oluşturulan yönetici kurulu veya profesyonel site yönetimi, KVKK açısından "veri sorumlusu" konumundadır. Veri sorumlusu olmak; verilerin işlenme amacını ve yöntemini belirlemek, ilgili kişilerin haklarını güvence altına almak ve Kişisel Verileri Koruma Kurumu'na (KVKK Kurumu) karşı hesap vermekle yükümlü olmak anlamına gelir.

Bir örnek düşünelim: Bir site sakininin eşi, hafta sonu boyunca birden fazla kez kapıdan geçiyor. Güvenlik görevlisi her geçişte plaka ve kimlik bilgisini not alıyor. Bu veri birikimi, "kimin ne zaman geldiğini" gösteren bir profil oluşturmaya başlar; bu da salt güvenlik kaydının ötesinde bir işleme faaliyetine dönüşebilir. Bu noktada yönetimin doğru hukuki dayanağa ve orantılılık ilkesine uygun bir sisteme sahip olması zorunludur.

Sonuç olarak ziyaretçi defteri tutmak; "güvenlik gereksinimi" bahanesiyle KVKK'yı devre dışı bırakmaz. Aksine, meşru amacınız olsa bile kanunun öngördüğü standartlara uymanız gerekir. Bu durum, apartman yönetimlerini hem hukuki hem de idari yaptırım riskiyle karşı karşıya bırakmaktadır.

Hangi Veriler Ziyaretçi Defterinde Toplanabilir?

KVKK'nın temel ilkelerinden biri "veri minimizasyonu"dur: Yalnızca işleme amacını gerçekleştirmek için zorunlu olan veriler toplanmalıdır. Güvenlik amacıyla ziyaretçi kaydı tutuluyorsa bu amacı karşılayan minimum veri seti, sitenin iç güvenlik politikası ve riski gözetilerek belirlenir. Ancak pratikte pek çok yönetimin gereğinden fazla veri topladığı görülmektedir.

Amaçla orantılı ve genellikle hukuka uygun sayılan veriler şunlardır:

• Ziyaretçinin adı ve soyadı
• Ziyaret edilen daire numarası veya kat bilgisi
• Giriş tarihi ve saati
• Çıkış tarihi ve saati
• Araç plaka numarası (araçlı girişlerde)
• Kimlik türü (nüfus cüzdanı / ehliyet — numaranın tamamı değil)

Tartışmalı ya da riskli bilgiler arasında T.C. kimlik numarasının tamamı, telefon numarası ve ziyaret amacının ayrıntılı açıklaması sayılabilir. Bu bilgilerin toplanması için ya açık rıza alınması ya da meşru menfaat değerlendirmesinin belgelenmiş biçimde yapılmış olması gerekir. Aksi takdirde bu veriler gereksiz işlenen kişisel veri niteliği taşır ve KVKK ihlali oluşturabilir.

Öte yandan kamera kayıtları ile ziyaretçi defteri birlikte kullanılıyorsa bu iki sistemin ayrı ayrı hukuki dayanaklarının ve saklama sürelerinin olması gerekir. Kamera kayıtları ayrı bir kişisel veri işleme faaliyeti olup ziyaretçi defterindeki yazılı kayıtlarla aynı kurallara tabi değildir. Her ikisini birden yürüten yönetimlerin bütünleşik bir veri envanteri oluşturması önerilir.

Hukuki Dayanak: KVKK Kapsamında Hangi Madde Geçerlidir?

6698 sayılı KVKK'nın 5. maddesi, kişisel verilerin hangi hukuki dayanaklarla işlenebileceğini düzenler. Site yönetimlerinin ziyaretçi verilerini toplaması için en sık başvurulan iki dayanak şunlardır: "ilgili kişinin açık rızası" ve "veri sorumlusunun meşru menfaati." Hangisinin geçerli olduğuna karar vermek, uygulamada büyük fark yaratır.

Açık rıza yolu, ziyaretçinin kapıya geldiği anda serbest iradesine dayanan ve aydınlatılmış bir onay vermesini gerektirir. Bir apartman girişinde bunu uygulamak pratikte zordur; zira ziyaretçi bilgiyi vermekle yükümlüymüş gibi hissederse rıza özgür sayılmaz. Bunun yerine çoğu uzman, ziyaretçi kaydı konusunda "meşru menfaat" hukuki dayanağına yönelmektedir.

Meşru menfaat dayanağı; veri işlemenin amacının, sakinlerin güvenliğini sağlamak, yetkisiz girişleri önlemek gibi meşru bir menfaate dayandığını ve bu menfaatin ziyaretçinin temel hak ve özgürlükleri karşısında ağır bastığını göstermeyi gerektirir. Yönetimin bu dengeyi yazılı olarak değerlendirmiş ve belgelemiş olması önemlidir. Bu belge, olası bir denetimde ya da şikâyette hayati önem taşır.

Hangi hukuki dayanak seçilirse seçilsin, KVKK'nın 10. maddesi uyarınca ziyaretçiler verilerinin işlendiği konusunda aydınlatılmalıdır. Bu aydınlatma, giriş noktasına asılacak açık ve anlaşılır bir metin aracılığıyla yapılabilir. "Bu binaya girişinizde güvenlik amacıyla kişisel verileriniz kaydedilmektedir. Detaylı bilgi için yönetimle iletişime geçiniz." şeklindeki kısa bir uyarı, asgari aydınlatma yükümlülüğünü karşılamak için gereken ilk adımdır.

Veri Sorumlusu Olarak Site Yönetiminin Yükümlülükleri

Site yönetiminin veri sorumlusu sıfatını taşıdığını kabul ettikten sonra bu sıfatın getirdiği somut yükümlülükleri sıralamak gerekir. Bu yükümlülükleri yerine getirmeyen yönetimler, KVKK'nın 18. maddesi kapsamında idari para cezasıyla karşılaşabilir; ağır ihlallerde ise Türk Ceza Kanunu'nun ilgili maddeleri devreye girebilir.

Aydınlatma yükümlülüğü bunların başında gelir. Ziyaretçi defterine kayıt yaptırmadan önce kişilerin açık ve anlaşılır biçimde bilgilendirilmesi zorunludur. Giriş kapısına, güvenlik kulübesine ya da resepsiyona asılacak bir "Aydınlatma Metni" bu yükümlülüğü karşılar. Metnin içermesi gereken unsurlar: veri sorumlusunun kimliği, verilerin işlenme amacı, hukuki dayanak, saklama süresi ve ilgili kişi hakları.

Veri güvenliği yükümlülüğü de kritik önem taşır. Kâğıt defterler kasada ya da kilitli dolaplarda saklanmalı; yetkisiz kişilerin erişimine kapalı tutulmalıdır. Dijital sistemler kullanılıyorsa yetki matrisi, şifreleme ve erişim günlükleri gibi teknik tedbirler alınmalıdır. Güvenlik görevlisinin, baktığı saatin dışındaki kayıtlara kolayca erişememesi sağlanmalıdır.

İlgili kişi hakları da göz ardı edilmemelidir. Bir ziyaretçi, "Hakkımda hangi verileri tutuyorsunuz?" diye sorduğunda yönetim bu soruya 30 gün içinde yazılı yanıt vermekle yükümlüdür. Ayrıca kişi, hatalı verilerin düzeltilmesini ya da yasal saklama süresi geçmişse silinmesini talep edebilir. Bu talepler için bir iletişim kanalının oluşturulması ve taleplerin kayıt altına alınması gerekir. Pratik bir çözüm olarak apartman yönetim yazılımları, ilgili kişi başvurularını ve yanıt sürelerini takip etme olanağı sunar.

Ziyaretçi Verilerinin Saklama Süresi ve İmhası

KVKK'nın temel ilkelerinden biri olan "gerekli süre kadar saklama" ilkesi, ziyaretçi defteri verileri için son derece önemlidir. Ne yazık ki pek çok yapıda ziyaretçi defterleri yıllarca —hatta onlarca yıl— herhangi bir imha prosedürü uygulanmadan saklanmaktadır. Bu durum, hem veri ihlali riskini artırır hem de kanuni yükümlülüklerin açık biçimde ihlali anlamına gelir.

Ziyaretçi verilerinin ne kadar süreyle saklanması gerektiğine ilişkin KVKK'da spesifik bir madde bulunmamaktadır. Ancak Kişisel Verileri Koruma Kurumu'nun yayımladığı rehberler ve genel hukuki yorumlar ışığında şu çerçeve oluşturulabilir:

Saklama süresi dolan veriler, kâğıt defterler için güvenli imha (çapraz kesme makinesi ile parçalama ya da onaylı imha hizmeti) yoluyla; dijital kayıtlar için ise geri dönüştürülemez silme yöntemiyle yok edilmelidir. Bu işlem periyodik olarak —örneğin her altı ayda bir— yapılmalı ve bir tutanakla belgelenmelidir. İmha tutanağı, gerektiğinde Kuruma sunulmak üzere saklanır.

Sahip olduğunuz site yönetim yazılımı bu süreçleri otomatikleştirme kapasitesine sahipse, saklama süreleri ve imha hatırlatmaları için sistem alarmları kurmanızı şiddetle öneririz. Manuel takip her zaman hata payı içerir.

Kâğıt Defter mi, Dijital Sistem mi? KVKK Açısından Karşılaştırma

Türkiye'deki apartman ve site yönetimlerinin büyük çoğunluğu hâlâ kâğıt ziyaretçi defteri kullanmaktadır. Bu yöntem alışıldık ve düşük maliyetli olsa da KVKK uyumu açısından ciddi riskler barındırır. Dijital sistemler ise ek maliyet getirse de uyum süreçlerini önemli ölçüde kolaylaştırır.

Kâğıt defterin en büyük riskleri arasında fiziksel erişim kolaylığı sayılabilir. Defterin kapı başında açık durması, herhangi birinin önceki ziyaretçilerin bilgilerine göz atmasına izin verir. Üstelik imha süreci manuel olduğundan unutulması ya da ihmal edilmesi ihtimali yüksektir. Giriş kayıtlarında düzeltme yapılması da denetlenebilirliği azaltır.

Dijital sistemler ise erişim yetkisi tanımlama, log tutma ve otomatik imha hatırlatması gibi teknik güvenceler sunar. Bununla birlikte dijital sistemler de siber güvenlik riskleri taşır; bu nedenle şifreleme, yedekleme ve yetki matrisi gibi ek tedbirlerin alınması zorunludur. Hangi yöntem seçilirse seçilsin, KVKK uyum sorumluluğu ortadan kalkmaz; yalnızca uyumun sağlanması için araçlar değişir.

Son yıllarda QR kodlu giriş sistemleri yaygınlaşmaktadır. Bu sistemlerde ziyaretçi, cep telefonuyla bir form doldurmakta ve kayıt otomatik oluşmaktadır. Bu yöntem hem aydınlatma metnini anlık sunma hem de veri minimizasyonunu daha kolay uygulama imkânı tanır. Ancak dijital form aracılığıyla toplanan verinin de aynı saklama ve imha kurallarına tabi olduğunu unutmamak gerekir.

Güvenlik Personelinin Eğitimi ve KVKK Sorumluluğu

Ziyaretçi verisini fiilen toplayan kişi, çoğunlukla güvenlik görevlisidir. Bu nedenle güvenlik personelinin KVKK konusunda temel bir bilinç düzeyine sahip olması, yönetimin hukuki riskini doğrudan etkiler. Eğitimsiz bir güvenlik görevlisi, gereğinden fazla veri toplayabilir, toplanan verileri yetkisiz kişilerle paylaşabilir ya da dolu defterleri güvensiz biçimde saklayabilir.

Güvenlik personeline verilecek KVKK uyum eğitimi şu konuları kapsamalıdır: hangi verilerin toplanacağı ve hangilerinin toplanmaması gerektiği, aydınlatma yükümlülüğünü nasıl yerine getireceği (örneğin kapıdaki metni göstermek), dolmuş defterlerin nereye teslim edileceği ve verileri üçüncü kişilerle paylaşmaması gerektiği. Bu eğitim bir kez değil, yeni güvenlik görevlisi işe her alındığında ve yılda en az bir kez tekrar edilmelidir.

Öte yandan güvenlik şirketi ile yapılan hizmet sözleşmesi de KVKK açısından gözden geçirilmelidir. Güvenlik şirketi, topladığı ziyaretçi verilerini kendi sistemlerinde depoluyorsa "veri işleyen" konumuna girer. Bu durumda yönetim ile güvenlik şirketi arasında KVKK'nın öngördüğü formatta bir "veri işleme sözleşmesi" yapılması zorunludur. Böyle bir sözleşme olmadan dış güvenlik şirketiyle çalışmak, ciddi bir uyum açığı oluşturur.

Güvenlik personelinin deftere baktığı ziyaretçi bilgilerini sözlü olarak bir sakin ile paylaşması da —örneğin "Bugün kimler geldi?" sorusuna yanıt vermesi— KVKK ihlali sayılabilir. Bu konudaki prosedürün yazılı olarak tanımlanmış ve personele tebliğ edilmiş olması gerekir.

KVKK İhlali Hâlinde Yaptırımlar ve Riskler

KVKK'nın getirdiği yaptırımlar, pek çok site yöneticisinin tahmin ettiğinden çok daha ağırdır. Kanunun 18. maddesi uyarınca aydınlatma yükümlülüğünü yerine getirmemek, veri güvenliğini sağlamamak gibi ihlaller için Kişisel Verileri Koruma Kurumu tarafından idari para cezası uygulanabilir. Bu cezalar yıllık olarak yeniden değerleme oranında artmakta olup oldukça yüksek meblağlara ulaşabilmektedir.

Veri ihlali yaşanması —örneğin defterin çalınması ya da kopyalanması— hâlinde yönetim ayrıca KVKK'nın 12. maddesi uyarınca Kuruma 72 saat içinde bildirim yapmakla yükümlüdür. Bu süreyi kaçırmak ek yaptırım getirir. İhlal aynı zamanda etkilenen kişilere de bildirilmelidir. Pratik açıdan, bir defterin kaybolduğunun fark edilmesi ile Kuruma bildirim arasındaki 72 saatlik pencere çok kısadır; bu yüzden olay müdahale prosedürünün önceden hazırlanmış olması büyük önem taşır.

Sizi arayıp "hakkımda ne tür veriler tutuyorsunuz?" diye soran bir ziyaretçi, yasal hakkını kullanmaktadır. Bu başvuruya 30 gün içinde yanıt verilmesi zorunludur. Yanıt verilmemesi ayrı bir ihlal oluşturur. Bu süreçleri sistematik biçimde yönetmek için apartman yönetim programı kullanan yönetimlerin süreci çok daha az stresle atlattığı gözlemlenmektedir; başvuruların kayıt altına alınması ve yanıt sürelerinin takibi bu platformlarda kolaylıkla yapılabilmektedir.

Pratik Adımlar: KVKK Uyumlu Ziyaretçi Yönetim Sistemi Nasıl Kurulur?

KVKK uyumlu bir ziyaretçi yönetim sistemi kurmak; büyük bütçeler ya da karmaşık teknoloji gerektirmez. Ama bir plan, yazılı prosedürler ve düzenli gözden geçirme gerektirir. Aşağıdaki adımlar, çoğu apartman ve site için uygulanabilir bir başlangıç yol haritası sunmaktadır.

İlk adım, mevcut durumun haritalanmasıdır. Hangi veriler toplanıyor, nerede saklanıyor, kimin erişimi var, saklama süresi var mı? Bu soruları yanıtlayan bir iç envanter, uyum açıklarını görünür kılar. İkinci adımda toplanacak veri kategorileri sadeleştirilmeli; T.C. kimlik numarası gibi gereksiz bilgiler formdan çıkarılmalıdır.

Üçüncü adım aydınlatma metni hazırlamaktır. Kapıya ya da güvenlik kulübesine asılacak, anlaşılır bir dilde yazılmış ve gerekli tüm bilgileri içeren bir metin hazırlanır. Dördüncü adım saklama ve imha prosedürünün yazılı olarak tanımlanmasıdır; dolu defterler nereye gidiyor, ne zaman imha ediliyor, imha nasıl belgeleniyor? Beşinci adım güvenlik personelinin eğitilmesi ve bu eğitimin kayıt altına alınmasıdır. Altıncı ve son adım ise yılda en az bir kez bu sistemin gözden geçirilmesi ve güncellenmesidir.

Tüm bu adımların hayata geçirilmesi; yalnızca hukuki koruma sağlamakla kalmaz, aynı zamanda sakinlerin ve ziyaretçilerin yönetime duyduğu güveni artırır. Profesyonel bir yapı yönetiminin en temel özelliklerinden biri, kişisel verilere saygılı davranmaktır.

Dijital Dönüşüm: Yazılım Destekli Ziyaretçi Yönetimi

Son yıllarda Türkiye'deki büyük rezidans ve karma kullanımlı projelerde yazılım destekli ziyaretçi yönetim sistemleri hızla yaygınlaşmaktadır. Bu sistemler; QR kod, barkod okuyucu ya da mobil uygulama aracılığıyla ziyaretçi girişini dijital ortama taşırken aynı zamanda veri saklama ve imha süreçlerini otomatikleştirmektedir.

Yazılım tabanlı bir sistemde ziyaretçi, güvenlik kulübesine gelmeden önce daire sakininden bir davet bağlantısı alır; bu bağlantı üzerinden gerekli bilgileri girer. Güvenlik görevlisi yalnızca onay verir. Bu yaklaşım; güvenlik görevlisinin hangi verileri toplayacağına dair inisiyatif kullanmasını önler, veri minimizasyonunu yapısal olarak sağlar ve aydınlatma metninin dijital form üzerinde gösterilmesine imkân tanır.

Bir rezidans için düşünüldüğünde bu sistemler özellikle değerli hâle gelir. Rezidans yönetim sistemi çözümleri; ziyaretçi yönetimini, aidat takibini ve teknik arıza bildirimlerini tek bir platform üzerinden yürütme imkânı sunarak hem yönetim verimliliğini artırır hem de KVKK uyumunu sistematik hâle getirir. Saklama süresi dolan kayıtlar otomatik silinebilir ya da sistem yöneticiye imha hatırlatması gönderebilir.

Dijital sisteme geçmeden önce mevcut veri envanterini netleştirmeniz ve sözleşme yaptığınız yazılım şirketinin de KVKK kapsamında bir veri işleyen olduğunu göz önünde bulundurmanız gerekir. Bu şirketle yapacağınız sözleşmenin KVKK'nın öngördüğü güvenceleri içermesi zorunludur. Yazılım seçiminde KVKK uyumunu bir değerlendirme kriteri olarak listenize eklemek, ilerleyen dönemde yaşanabilecek hukuki sorunları önleyecektir.

Sık Sorulan Sorular