Apartman ve Site Yönetimlerinde Kişisel Verilerin Korunması

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri sorumlusu yükümlülükleri, Kurul kararları ve uyum süreçleri için çalışma alanı.

Apartman ve site yönetimlerinde kişisel verilerin korunması, uygulamada en çok ihmal edilen KVKK alanlarından biridir. Oysa bir site yönetimi her gün kişisel veri işler: ortak alan kameralarıyla görüntü kaydeder, kat maliki ve kiracı listeleri tutar, aidat borç kayıtlarını izler, ziyaretçi ve araç giriş bilgilerini saklar. Bu faaliyetlerin tamamı 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır ve Kişisel Verileri Koruma Kurulu (KVKK Kurulu), site yönetimlerinin Kanun karşısındaki konumunu ilkesel kararlarla belirlemiştir.¹

Konunun pratik önemi iki uyuşmazlık tipinden doğar. Birincisi, kat maliki veya kiracının, verilerinin hukuka aykırı işlendiği iddiasıyla yönetime karşı Kurula şikâyet yoluna gitmesidir. İkincisi, yönetimin veri işleme faaliyetini hangi hukuki sebebe dayandıracağını bilememesi ve ya gereksiz açık rıza toplaması ya da hiçbir dayanak göstermemesidir.

Veri Sorumlusu Kim: Kat Malikleri Kurulu

6698 sayılı Kanun m. 3 veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Apartman ve sitelerde bu tanımın kime oturduğu uzun süre tartışmalıydı; zira kat malikleri kurulunun tüzel kişiliği yoktur ve bu husus Yargıtay içtihadında da açıkça ifade edilir.

KVKK Kurulu, 22.07.2020 tarihli ve 2020/560 sayılı kararında bu belirsizliği giderdi.² Kurul, 634 sayılı Kanun m. 27 uyarınca ana gayrimenkulün kat malikleri kurulunca yönetildiğini, yöneticinin ise 634 sayılı Kanun m. 35 ve m. 38 çerçevesinde kurul kararlarını uygulayan ve kat maliklerine karşı vekil gibi sorumlu olan bir görevli olduğunu tespit etti. Buradan hareketle varılan sonuç şudur:

Kanun'un "veri sorumlusu"na ilişkin getirdiği tanımın, hayatın olağan akışına uygunluğunun sağlanması ve pratikte ortaya çıkan sorunların çözülebilmesi adına geniş yorumlanması gerektiği; bu kapsamda her ne kadar tüzel kişiliği haiz olmasa da kural olarak apartman, site ve benzeri yapılar bakımından veri sorumlusu olarak kat malikleri kurulunun kabul edilebileceği

KVKK Kurulu, 22.07.2020, 2020/560

Kurul, kat malikleri kurulunun, Kanun'un veri sorumlusuna yüklediği yükümlülüklerin yerine getirilmesi bakımından bir kişiyi görevlendirebileceğini; bu kişinin yönetici olabileceği gibi başka bir kat maliki veya iradi temsilci de olabileceğini belirtmiştir. Görevlendirme, sorumluluğun kaynağını değiştirmez: Yükümlülüklerin sahibi kural olarak kat malikleri kuruludur.

Önemli: Veri sorumlusu sıfatı somut olaya göre değişebilir. Kararda, site yönetiminin profesyonel bir yönetim şirketine bırakıldığı hallerde, işleme amaç ve vasıtalarını fiilen bu şirket belirliyorsa veri sorumlusu sıfatının yönetim şirketinde olabileceği açıkça ifade edilmiştir. Sözleşmeyle dışarıdan hizmet alan sitelerde bu ayrım, şikâyetin doğru muhataba yöneltilmesi bakımından belirleyicidir.

Profesyonel Yönetim Şirketinin Konumu

Uygulamada büyük siteler yönetimi tüzel kişiliği olan yönetim şirketlerine devreder. Bu durumda iki ihtimal ayrışır. Şirket yalnızca kat malikleri kurulunun kararlarını uyguluyor, veri kayıt sistemini kurulun belirlediği çerçevede işletiyorsa veri işleyen konumuna yaklaşır. Buna karşılık kamera sisteminin kapsamını, kayıtların saklama süresini, hangi verinin toplanacağını fiilen şirket belirliyorsa, 2020/560 sayılı karardaki ayrıksı durum gerçekleşir ve şirket veri sorumlusu sıfatını taşır.

Bu ayrımın sonuçları somuttur: Aydınlatma metnini kimin hazırlayacağı, ilgili kişi başvurularına kimin cevap vereceği ve idari para cezasının kime kesileceği bu tespite göre belirlenir. Yönetim sözleşmelerinde veri koruma rollerinin yazılı olarak paylaştırılması, her iki taraf bakımından da ispat kolaylığı sağlar.

Ortak Alan Kameralarında Hukuki Sebep ve Ölçülülük

Site girişine, otoparka ve ortak alanlara kamera kurulması, can ve mal güvenliğinin sağlanması amacına dayandığında kural olarak 6698 sayılı Kanun m. 5/2-f kapsamında veri sorumlusunun meşru menfaati çerçevesinde değerlendirilir. Ancak meşru menfaat, ilgili kişinin temel hak ve özgürlüklerine zarar vermeme kaydına bağlıdır; bu nedenle kameranın konumu ve kayıt kapsamı ölçülülük süzgecinden geçmek zorundadır.

Sınırlar iki karar grubuyla çizilmiştir. Yargıtay, ortak alanı gören kamerayı kabul ederken bir bağımsız bölümün kapısını ve iç mekânını gösteren kameranın özel hayatın gizliliğini ihlal ettiğine ve kaldırılmasına hükmeder; bu içtihadın çözümlemesi komşuyu gören güvenlik kamerası analizi sayfasındadır. KVKK Kurulu ise 12.03.2020 tarihli ve 2020/212 sayılı kararında, görüntü kaydıyla beklenen faydanın sağlanabildiği hallerde ayrıca ses kaydı yapılmasının ölçülülük ilkesine aykırı olduğunu belirtmiştir.³

Söz konusu kayıt ile beklenen faydanın ses kaydı olmaksızın görüntü kaydı ile elde edilebileceği hallerde ses kaydının da yapılması, gerçekleştirilecek kişisel veri işleme faaliyeti ile ulaşılmak istenen amaç arasındaki dengenin bozulmasına yol açacağından ölçülülük ilkesine aykırılık teşkil edecektir.

KVKK Kurulu, 12.03.2020, 2020/212

Site yönetimleri bakımından bunun anlamı açıktır: Ses kayıt özelliği açık kameralar, asansör içi ve kapı önü gibi alanlarda dahi savunulması güç bir işleme oluşturur. Kameraların görüş açısı bağımsız bölüm kapılarını, balkonları ve daire içlerini kapsamamalı; kayıtlara erişim yalnızca görevlendirilen kişiyle sınırlanmalı ve saklama süresi amaçla orantılı belirlenmelidir. Kameranın kat mülkiyeti hukuku yönünden hangi çoğunlukla kurulabileceği ise ortak alana güvenlik kamerası konulabilir mi sayfasında ayrıca işlenmiştir.

Aidat ve Borç Bilgilerinin Paylaşımı

Aidat borcu, kimliği belirli bir kişiye bağlandığı anda kişisel veridir. Yönetimin bu veriyi kiminle, hangi amaçla paylaşabileceği pratikte en sık sorulan sorudur. KVKK Kurulu, 29.09.2020 tarihli ve 2020/755 sayılı kararında ölçüyü koydu: Kiracının aidat borcu bilgisinin ev sahibine iletilmesi, 634 sayılı Kanun m. 22 uyarınca malik ile kiracının ortak giderlerden müştereken ve müteselsilen sorumlu olması nedeniyle, 6698 sayılı Kanun m. 5/2-e kapsamında bir hakkın tesisi, kullanılması veya korunması için zorunlu veri işleme sayılır ve açık rıza gerektirmez.⁴ Kararın ayrıntısı aidat borcunun ev sahibine bildirilmesi analizi sayfasındadır.

Kararın sınırına dikkat edilmelidir. Hukuka uygun bulunan paylaşım, borçtan hukuken sorumlu olan kişiye, sorumluluğunun kapsamıyla sınırlı bilgi verilmesidir. Aynı bilginin borçla ilgisi olmayan üçüncü kişilere açılması, örneğin borçlu listesinin herkesin görebileceği panoya asılması, amaçla bağlantılılık ve ölçülülük ilkeleri karşısında aynı korumadan yararlanamaz; bu ayrım apartman panosuna borçlu listesi asılabilir mi sayfasında ayrıca ele alınmıştır. Müteselsil sorumluluğun borçlar hukuku boyutu için kiracı ve malikin ortak giderlerden müteselsil sorumluluğu makalesine bakılabilir.

Aydınlatma Yükümlülüğü ve Kayıt Sistemleri

Veri sorumlusu sıfatının kat malikleri kurulunda olması, 6698 sayılı Kanun m. 10 kapsamındaki aydınlatma yükümlülüğünü ortadan kaldırmaz. Kameralı izleme yapılan sitelerde girişlere bilgilendirme levhası konulmalı; kat maliki, kiracı, ziyaretçi ve site çalışanlarına yönelik aydınlatma metinleri hazırlanmalıdır. Metinlerin kurgusu için KVKK aydınlatma metni rehberi aynı yapıyı izler.

Ziyaretçi defterleri, araç plaka kayıtları ve dış kapı giriş sistemleri de birer veri kayıt sistemidir. Her biri için amaç, hukuki sebep ve saklama süresi belirlenmeli; süre dolduğunda kayıtlar imha edilmelidir. Kimlik fotokopisi almak, ziyaret kaydı için gerekenin ötesinde veri topladığından veri minimizasyonu ilkesiyle bağdaşmaz.

VERBİS Karşısında Site Yönetimlerinin Konumu

Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü 6698 sayılı Kanun m. 16 ile düzenlenir ve Kurul, çalışan sayısı ile mali bilanço ölçütlerine göre istisnalar belirlemiştir. Kat malikleri kurulu tüzel kişiliği olmayan bir topluluk olduğundan ve tipik bir site yönetimi Kurulca belirlenen eşiklerin altında kaldığından, uygulamada site yönetimleri bakımından kayıt yükümlülüğü kural olarak gündeme gelmez. Buna karşılık siteye hizmet veren profesyonel yönetim şirketi, kendi ölçeği eşikleri aşıyorsa kendi veri işleme faaliyetleri için sicile kayıt yükümlüsü olabilir. Bu değerlendirme site yönetimi veri sorumlusu mu sayfasında soru formatında özetlenmiştir.

Uygulamada

Uygulamada en sık hata, yönetimin her veri işleme faaliyeti için açık rıza toplamaya çalışmasıdır. Kamera kaydı, aidat takibi ve borç bildirimi gibi faaliyetler zaten m. 5/2'deki rıza dışı işleme şartlarına dayanır; bu alanlarda rıza istemek, rıza geri alındığında meşru işlemeyi tartışmalı hale getirir. Doğru kurgu, her faaliyet için doğru hukuki sebebi belirleyip aydınlatmayı eksiksiz yapmaktır.

Uyuşmazlık tarafında ise şikâyet stratejisi sıfat tespitiyle başlar. Kurula başvuruda muhatap olarak yalnızca yöneticinin gerçek kişi olarak gösterilmesi, 2020/560 sayılı karar karşısında eksik kalabilir; somut olayda işleme kararlarını kimin aldığı ortaya konulmalıdır. Yönetim tarafında da savunmanın ilk adımı, işleme faaliyetinin kat malikleri kurulu kararına ve yönetim planına bağlanabildiğini belgelemektir. Kat malikleri kurulunun karar alma düzeni için kat malikleri kurulu ve yönetim rehberi birlikte okunmalıdır.

Sonuç

Apartman ve site yönetimlerinde KVKK uyumu üç tespit üzerine kurulur. Veri sorumlusu kural olarak kat malikleri kuruludur ve yükümlülüklerin yerine getirilmesi için bir kişi görevlendirilebilir. Kamera, aidat ve giriş kayıtları gibi olağan faaliyetler açık rızaya değil, m. 5/2'deki işleme şartlarına dayanır; ancak her birinde ölçülülük sınırı korunmalıdır. Aydınlatma yükümlülüğü ise sıfat tartışmasından bağımsız olarak her halde yerine getirilmelidir. Genel çerçeve için kişisel verilerin korunması rehberi temel başvuru metnidir. Somut uyuşmazlıkta profesyonel hukuki destek yerinde olur.

İlgili içerikler için bkz. Kişisel Verilerin Korunması Rehberi, Aidat Borcunun Ev Sahibine Bildirilmesi: KVKK Kurul Kararı, Aidat ve Ortak Gider Rehberi ve Kişisel Verilerin Korunması.

6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, m. 3, m. 4, m. 5, m. 10, m. 12 ve m. 16. ↩
KVKK Kurulu, 22.07.2020, 2020/560. Kararda kat malikleri kurulunun tüzel kişiliğinin bulunmadığına ilişkin olarak Yargıtay 1. Hukuk Dairesi'nin 29.03.2004 tarihli, E. 2004/3091, K. 2004/3556 sayılı ve E. 2007/10090, K. 2007/11914 sayılı kararlarına atıf yapılmıştır. 634 sayılı Kat Mülkiyeti Kanunu m. 27, m. 28, m. 32, m. 34, m. 35, m. 38 ve m. 41 kararın dayanağını oluşturur. ↩
KVKK Kurulu, 12.03.2020, 2020/212. Kararda Anayasa Mahkemesi'nin 28.09.2017 tarihli, E. 2016/125, K. 2017/143 sayılı kararına atıfla, kişisel verilerin korunması hakkına ilişkin sınırlamaların dar yorumlanması gerektiği vurgulanmıştır. ↩
KVKK Kurulu, 29.09.2020, 2020/755. Veri işlemede genel ilkeler ve işleme şartları bakımından ayrıca bkz. YÜCEDAĞ, Nafiye, "Kişisel Verilerin Korunması Kanunu Kapsamında Genel İlkeler", Kişisel Verileri Koruma Dergisi, 2019, C. 1, S. 1, s. 47-63; KÜZECİ, Elif, Kişisel Verilerin Korunması, 4. Baskı, İstanbul: On İki Levha Yayıncılık, 2024. ↩

Apartman ve Site Yönetimlerinde Kişisel Verilerin Korunması