Sivil Toplum Kuruluşları İçin VERBİS İstisnası ve “Bağışçı” Kapsamı: 2019/353 Sayılı Karar Analizi

Kişisel Verileri Koruma Kurulu (Kurul), 26.11.2019 tarihli bu kararı ile dernek, vakıf ve sendikaların Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünden muaf tutulma şartlarını netleştirmiştir. Karar, özellikle “bağışçı” kavramının ve “faaliyet alanı” sınırlarının nasıl yorumlanması gerektiğine dair kritik bir açıklama getirmektedir.

---

1. Olayın Özeti: Muafiyetin Sınırları Nereye Kadar?

Olay: Kurul, daha önce aldığı 2018/32 sayılı karar ile belirli şartları taşıyan dernek, vakıf ve sendikaları VERBİS kayıt yükümlülüğünden istisna tutmuştu. Ancak bu kararda geçen “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler” ifadesinin tam olarak kimleri kapsadığı konusunda tereddütler oluşmuş ve Kurumdan görüş talep edilmiştir.

---

2. Kurulun Hukuki Değerlendirmesi: “Sınırlı Sayma” İlkesi

Kurul, sivil toplum kuruluşlarının (STK) veri işleme faaliyetlerini şu kriterlere göre değerlendirmiştir:

A. Veri Konusu Kişi Grupları

İstisnadan yararlanabilmek için STK’ların sadece şu dört gruptaki kişilerin verilerini işlemesi gerekir:

1. Çalışanlar
2. Üyeler
3. Mensuplar
4. Bağışçılar

B. “Bağışçı” Kavramının Genişletilmesi

Kurul, kararda geçen “bağışçı” ifadesinin sadece kuruma para veren kişileri değil, kurumun faaliyetleri kapsamında “kendisine bağış yapılanları” (yardım alanları/lehdarları) da kapsadığına hükmetmiştir.

• Mantık: Bir vakıf veya dernek, tüzüğündeki amaçları gerçekleştirmek için ihtiyaç sahiplerine yardım ediyorsa, bu kişilerin verilerini işlemesi kaçınılmazdır. Bu işlem “faaliyet alanı ile sınırlı” kabul edilir.

C. İstisnayı Bozan Durumlar

Eğere bir dernek veya vakıf, yukarıdaki dört grup dışında kalan kişilerin (örneğin; bir iktisadi işletme üzerinden dışarıdan müşterilerin veya bağımsız üçüncü kişilerin) verilerini işliyorsa, VERBİS kayıt yükümlülüğü istisnasından yararlanamaz.

---

3. Karar Sonucu: “İstisna Kapsamı Netleşmiştir”

Kurul inceleme neticesinde;

2018/32 sayılı karardaki istisna hükmünün, STK’ların kendi amaçları doğrultusunda yardım ettikleri (bağış yapılan) kişileri de kapsadığına ve bu durumun “faaliyet alanıyla sınırlı olma” ilkesine dahil olduğuna oy birliğiyle karar vermiştir.

---

4. Özgür Eralp Perspektifi: “İktisadi İşletmeye Dikkat!”

Bilişim hukuku alanındaki tecrübemizde, dernek ve vakıfların VERBİS istisnasına çok güvenip “Biz zaten muafız” diyerek KVKK uyumunu ihmal ettiklerini görüyoruz. Oysa bu istisna sadece “kayıt” yükümlülüğü içindir; aydınlatma metni hazırlama, veri güvenliğini sağlama ve imha politikası oluşturma yükümlülüğü aynen devam eder.

Bir yatırımcı/avukat vizyonuyla uyarım şudur: Eğer derneğinizin bir iktisadi işletmesi varsa ve bu işletme üzerinden halka satış yapıyorsanız, artık “üye ve bağışçı” sınırını aşmışsınız demektir. Bu durumda 50 çalışan veya 100 milyon TL (2026 güncel limitlerine göre) eşiklerini aştığınız an VERBİS’e kayıt olmanız zorunlu hale gelir. Kurul’un bu kararı, “ihtiyaç sahiplerini de bağışçı gibi görün, onları da listeye ekleyip istisnayı bozmayın” diyerek STK’ların elini rahatlatmıştır ancak ticari faaliyetler hala bu muafiyetin en büyük düşmanıdır.

---

Sıkça Sorulan Sorular

1. Derneğimizin VERBİS’e kayıt olması zorunlu mu?

Eğer sadece çalışan, üye, mensup ve bağışçılarınızın (yardım alanlar dahil) verisini işliyorsanız, hayır; VERBİS’e kayıt olmanız zorunlu değildir.

2. “Mensup” ne anlama gelir?

Vakıf senedinde veya dernek tüzüğünde belirtilen, üye olmasa bile kurumun faaliyetlerinden sürekli olarak yararlanan veya kurumla organik bağı olan kişileri ifade eder.

3. VERBİS’ten muaf olmak, KVKK’dan muaf olmak mı demektir?

Kesinlikle hayır! Sadece sicile kayıt yapmazsınız. Ancak bir veri sızıntısı olursa veya aydınlatma yükümlülüğünü yerine getirmezseniz, Kurul yine idari para cezası kesebilir.

4. Dışarıdan birine mail atarsak istisna bozulur mu?

Pazarlama veya ticari amaçla, üye/mensup/bağışçı olmayan kişilere veri işleme faaliyeti (reklam vb.) yaparsanız istisnadan çıkma riskiniz doğar.

5. Burs verdiğimiz öğrencilerin verisi bu kapsama girer mi?

Evet, Kurul’un bu kararı ile bursiyerler “kendisine bağış yapılanlar” kategorisine girer ve bu kişilerin verisini işlemeniz istisnayı bozmaz.

---

Kaynaklar

• KVKK Kurumu – 2019/353 Sayılı Karar Özeti
• 6698 Sayılı KVKK (Madde 16)
• 2018/32 Sayılı Kurul Kararı (İstisna Kriterleri)

---

Etiketler

KVKK, VERBİS İstisnası, Dernekler, Vakıflar, Sendikalar, Bağışçı Kapsamı, 2019/353 Sayılı Karar, Bilişim Hukuku, Özgür Eralp, Veri Sorumluları Sicili, Mensup Verileri, STK Uyum Rehberi