Site Yönetimlerinde KVKK ve Veri Sorumlusu Analizi (Karar: 2020/560)
Kişisel Verileri Koruma Kurulu (Kurul), 22/07/2020 tarihli bu stratejik kararıyla, apartman ve site yönetimlerinin 6698 sayılı KVKK karşısındaki hukuki statüsünü ve sorumluluk hiyerarşisini netleştirmiştir. Karar, Kat Mülkiyeti Kanunu (KMK) ile KVKK arasındaki köprüyü kurarken, “tüzel kişiliği olmayan” yönetimlerin nasıl veri sorumlusu kabul edilebileceğine dair önemli bir doktrin ortaya koymuştur.
1. Hukuki Çelişki: Tüzel Kişilik Sorunu
KVKK’ya göre veri sorumlusu, kişisel verileri işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir. Ancak Yargıtay kararlarıyla da sabit olduğu üzere, apartman/site yönetimlerinin (Kat Malikleri Kurulu) tüzel kişiliği yoktur. Bu durum, “Veri sorumlusu kim?” sorusunu doğurmaktadır.
2. Kurulun Analizi: Kat Malikleri Kurulu vs. Yönetici
Kurul, KMK ve KVKK hükümlerini birlikte değerlendirerek şu sonuçlara varmıştır:
A. Asıl Karar Mercii: Kat Malikleri Kurulu
- KMK uyarınca taşınmaz üzerindeki asıl söz sahibi kat malikleri kuruludur.
- Yönetici, bu kurulun aldığı kararları uygulayan bir vekil gibidir ve kurulun denetimi altındadır.
- Bağımsız bölüm sayısı 8’den az olan yerlerde yönetici atama zorunluluğu yoktur; bu da yönetimin “isteğe bağlı”, kurulun ise “mülkiyetten kaynaklı kalıcı” bir yapı olduğunu gösterir.
B. Genişletilmiş Veri Sorumlusu Tanımı
Kurul, hayatın olağan akışına uygunluk ve denetlenebilirlik adına “veri sorumlusu” tanımının geniş yorumlanması gerektiğini belirtmiştir:
- Genel Kural: Apartman, site ve toplu yapılarda veri sorumlusu kural olarak Kat Malikleri Kurulu‘dur.
- Temsil: Kurul, KVKK yükümlülüklerini yerine getirmek üzere yöneticiyi veya dışarıdan bir temsilciyi görevlendirebilir.
C. İstisnai Durumlar: Profesyonel Yönetim Şirketleri
Eğer site yönetimi dışarıdan profesyonel bir tüzel kişilik (yönetim şirketi) tarafından yürütülüyorsa ve bu şirket işleme amaçlarını bizzat belirliyorsa, bu tüzel kişiliğin kendisi de veri sorumlusu olabilir.
3. Karar Sonucu: Somut Olay Bazlı Tespit
Kurul, site yönetimlerinde veri sorumlusunun belirlenmesi için her somut olayda şu soruların sorulması gerektiğini vurgulamıştır:
- Kişisel veri işlenmesine dair (kamera kurulması, site giriş defteri vb.) kararları kim alıyor?
- Veri kayıt sistemini kim kuruyor ve uhdesinde bulunduruyor?
- Veri işleme vasıtalarını (yazılım, kayıt cihazı vb.) kim yönetiyor?
4. Özgür Eralp Perspektifi: “Aidat Çizelgesinden Kamera Kayıtlarına Dikkat”
Bilişim ve gayrimenkul hukuku tecrübemizde, site yönetimlerinin en çok “borçlu listelerini asma” veya “ziyaretçi kayıtlarını paylaşma” konularında hata yaptığını görüyoruz. Bu karar, site yöneticilerine “Siz sadece uygulayıcısınız, asıl sorumluluk ve yetki malikler kurulundadır” hatırlatması yapmaktadır.
Bir yatırımcı avukat vizyonuyla uyarım şudur: Site yönetimleri, veri sorumlusu sıfatıyla mutlaka bir envanter hazırlamalı ve sakinlerini aydınlatmalıdır. Aidat borcu olanların isimlerini asansörlere veya ortak alanlara asmak, “amaçla sınırlılık” ve “veri güvenliği” (Md. 12) ilkelerini ihlal eder. Unutulmamalıdır ki; tüzel kişiliğinizin olmaması, yöneticinin şahsi sorumluluğunu veya maliklerin müşterek sorumluluğunu ortadan kaldırmaz.
Sıkça Sorulan Sorular
1. Sitede asansöre borçlu listesi asılması yasak mı?
Kişinin adı-soyadı ve dairesiyle birlikte borç miktarının herkesin göreceği şekilde asılması, Kurul kararları ışığında “ölçüsüz bir ifşa” kabul edilmektedir. Bilgilendirme daha kapalı yöntemlerle (SMS, mobil uygulama, kapalı zarf) yapılmalıdır.
2. Site yönetimi kamera kayıtlarını her isteyene verebilir mi?
Hayır. Kamera kayıtları kişisel veridir. Kayıtlar sadece adli bir olay durumunda kolluk kuvvetlerine veya savcılığa teslim edilmelidir. Komşunun giriş-çıkışını izlemek için kayıt verilmesi ağır bir ihlaldir.
3. Site yöneticisi KVKK cezalarından şahsen sorumlu mudur?
Yönetici, kat maliklerine karşı vekil gibi sorumludur. Eğer yönetici kurul kararı olmaksızın hukuka aykırı bir veri işleme yaparsa, rücu davalarıyla karşı karşıya kalabilir.
4. Site yönetimlerinin VERBİS’e kayıt zorunluluğu var mı?
Kural olarak tüzel kişiliği olmayan apartman ve site yönetimleri VERBİS kayıt yükümlülüğünden istisna tutulmuştur; ancak bu durum Kanun’un diğer tüm kurallarına (aydınlatma, veri güvenliği vb.) uyma yükümlülüğünü ortadan kaldırmaz.
5. Profesyonel yönetim şirketi verilerimizi ne kadar süre tutabilir?
Veriler, sadece yönetim planında veya kanunda öngörülen amaç (Örn: borç takibi, hukuki süreç) için gerekli olan süre kadar saklanabilir. İşlem bittiğinde verilerin silinmesi veya anonim hale getirilmesi şarttır.
Kaynaklar
- KVKK Kurumu – 2020/560 Sayılı Karar Özeti
- 634 Sayılı Kat Mülkiyeti Kanunu (Madde 27, 28, 32, 34, 35, 38, 41)
- 6698 Sayılı KVKK (Madde 3, 12)
Etiketler
KVKK, Site Yönetimi, Kat Malikleri Kurulu, Veri Sorumlusu, Apartman Yönetimi, Kat Mülkiyeti Kanunu, 2020/560 Sayılı Karar, Bilişim Hukuku, Özgür Eralp, Aidat Takibi, Kamera Kayıtları, Profesyonel Site Yönetimi
Avukat-Hukuk Danışmanı,
Dijital İçerik oluşturucu,
Kitle fonlama girişimci ve yatırımcısı,
ODTÜ Felsefe Öğrencisi:)
AÖF Yönetim Bilişim Sistemleri Öğrencisi:),