Site Yönetimi Hangi Veri Güvenliği Tedbirlerini Almalı?

Site Yönetimi Hangi Veri Güvenliği Tedbirlerini Almalı?

İlgili çalışma alanı: Kişisel Verilerin Korunması. Veri sorumlusu yükümlülükleri ve Kurul kararları bu sayfada ele alınır.

Site yönetimi, 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 12/1 uyarınca kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri" almak zorundadır. Somut olarak bu, kat maliki ve sakin kayıtlarına erişimi görevli kişilerle sınırlamayı, yönetim yazılımı ve güvenlik şirketiyle veri işleme sözleşmesi yapmayı, kamera kayıtlarını kısa ve belirli sürede imha etmeyi, çalışanlara gizlilik yükümlülüğü yüklemeyi ve bir sızıntı hâlinde Kurula yetmiş iki saat içinde bildirim yapabilecek düzeni önceden kurmayı ifade eder. Yükümlülüğün muhatabı kural olarak kat malikleri kuruludur; yönetici bu tedbirleri kurul adına uygular.

Yükümlülük Kat Malikleri Kuruluna, Uygulama Yöneticiye Düşer

Kişisel Verileri Koruma Kurulu, site yönetimlerinin Kanun karşısındaki konumunu 22.07.2020 tarihli ve 2020/560 sayılı kararıyla belirlemiştir. Karar, kat malikleri kurulunun tüzel kişiliği bulunmadığını kabul etmekle birlikte veri sorumlusu tanımının geniş yorumlanması gerektiği sonucuna varmıştır:

"Tüm bu açıklamalar doğrultusunda; Kanun'un "veri sorumlusu"na ilişkin getirdiği tanımın, hayatın olağan akışına uygunluğunun sağlanması ve pratikte ortaya çıkan sorunların çözülebilmesi adına geniş yorumlanması gerektiği; bu kapsamda her ne kadar tüzel kişiliği haiz olmasa da kural olarak apartman, site ve benzeri yapılar bakımından veri sorumlusu olarak kat malikleri kurulunun kabul edilebileceği, kat malikleri kurulunun ise Kanun'un veri sorumlusuna yüklediği yükümlülüklerin yerine getirilmesi bakımından bir kişiyi görevlendirebileceği [...]"

Veri güvenliği bakımından bu tespitin anlamı şudur: m. 12'deki tedbirleri karara bağlayan organ kat malikleri kuruludur, bunları günlük işleyişte uygulayan kişi yöneticidir. 634 sayılı Kat Mülkiyeti Kanunu m. 35/1-(a) ve (h) yöneticiye kat malikleri kurulu kararlarını yerine getirme ve anagayrimenkulün korunması için gerekli tedbirleri onlar adına alma görevini verir ve m. 38 yöneticiyi kat maliklerine karşı "aynen bir vekil gibi" sorumlu tutar.¹ Hâl böyle olunca güvenlik tedbirlerinin yönetim planına veya genel kurul kararına bağlanması, hem yöneticinin hangi yetkiyle hareket ettiğini gösterir hem de bir inceleme hâlinde tedbirin ihlalden önce var olduğunu ispatlar. Kararda saklı tutulan istisna da gözetilmelidir; işleme kararlarını fiilen profesyonel bir yönetim şirketi alıyorsa veri sorumlusu bu şirket olabilir. Sıfat tartışmasının ayrıntısı site yönetimi veri sorumlusu mu, VERBİS kaydı gerekli mi sorusunda yer alır.

Hangi Kayıtlar Hangi Tedbiri Gerektirir

Bir sitede işlenen veriler sanıldığından çeşitlidir: kat maliki ve kiracı listeleri, telefon ve e-posta bilgileri, aidat tahakkuk ve borç kayıtları, araç plakaları, ziyaretçi defteri, kartlı giriş sistemi kayıtları, site çalışanlarının özlük dosyaları ve ortak alan kamera görüntüleri. Bu kayıtların bir kısmı yöneticinin kişisel bilgisayarında, bir kısmı bulut tabanlı yönetim yazılımında, bir kısmı güvenlik kulübesindeki kayıt cihazında durur. Kanun m. 12/1 tedbirin türünü saymaz, amacını sayar; bu nedenle tedbirler kaydın bulunduğu ortama göre belirlenir.

Teknik tarafta asgari düzen; kişisel bilgisayar yerine yetki tanımlı bir sistemin kullanılması, her görevlinin ayrı kullanıcı adıyla girmesi, ortak şifrenin kaldırılması, cihazların şifrelenmesi ve görevden ayrılan yöneticinin erişiminin aynı gün kapatılmasıdır. İdari tarafta ise kimin hangi kayda neden erişeceğinin yazılı olarak belirlenmesi, güvenlik ve temizlik personeline gizlilik taahhüdü imzalatılması ve kayıtların hangi süre sonunda imha edileceğinin kararlaştırılması gerekir. Kanun m. 12/4, veri sorumluları ile veri işleyenlerin öğrendikleri verileri başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını, bu yükümlülüğün görevden ayrılmadan sonra da süreceğini öngörür; dönem sonunda yönetici değiştiğinde kayıtların devri bu hükme göre tutanakla yapılmalıdır.

Yönetim Yazılımı ve Güvenlik Şirketi Veri İşleyendir

Kanun m. 12/2 uyarınca veri sorumlusu, kişisel verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde tedbirlerin alınması bakımından o kişiyle birlikte müştereken sorumludur. Aidat tahsilatında kullanılan yazılım, kamera sistemini işleten güvenlik şirketi ve muhasebe hizmeti veren büro bu anlamda veri işleyendir. Kurulun 13.04.2021 tarihli ve 2021/359 sayılı kararı bu ilişkinin site yönetimlerindeki sonucunu göstermektedir. Olayda temsilciler kurulu ile sözleşme yapan yönetim şirketi, sakin bilgilerini kayıtlı olduğu ilk uygulamadan kampanya amaçlı ikinci bir uygulamaya aktarılmasına imkân vermiş, sakin rızası olmadan SMS almıştır. Kurul şu sonuca varmıştır:

"Kişisel verilerin aktarıldığı iddia edilen uygulamaya katılımın, site yönetim işlerinden ayrı bir amaca hizmet ettiği ve isteğe bağlı olduğu, bu uygulamaya ilgili kişilerin katılımını sağlamak amacıyla kişisel verilerin işlenmesinin Kanunun 5 inci maddesinin (2) numaralı fıkrasında yer alan işleme şartlarına dayandırılamayacağı ancak ilgili kişinin açık rızası ile gerçekleştirilebileceği, ilgili kişinin açık rızasının ise alınmadığı hususları göz önünde bulundurularak kişisel verilerin hukuka aykırı işlendiği kanaatine varılmış olup, bu çerçevede Kanunun 12 nci maddesinin (1) numaralı fıkrası hükmüne aykırı hareket eden veri sorumlusu Yönetim Hizmeti Sunan Şirket hakkında Kanunun 18 inci maddesinin (1) numaralı fıkrasının (b) bendi uyarınca 100.000 TL idari para cezası uygulanmasına [...]"

Kararın site yönetimi için dersi iki yönlüdür. Yazılım sağlayıcısına tanınan erişim yetkisi, yönetim işinin gerektirdiği amaçla sınırlanmazsa veri sorumlusu, aktarımı kendisi yapmadığını ileri sürse dahi sorumluluktan kurtulamaz. Kurul ayrıca sözleşmeye eklenen ve "paylaşılan her veri bakımından açık rıza niteliğinde" sayılmayı öngören protokol hükmüne itibar etmemiştir. Bu nedenle yazılım ve güvenlik şirketi sözleşmelerinde verinin hangi amaçla işleneceği, alt yükleniciye devredilip devredilemeyeceği, sözleşme sona erince verinin nasıl iade edilip silineceği ve bir ihlal hâlinde şirketin yönetime hangi sürede haber vereceği yazılmalıdır.

Kamera Kayıtlarına Erişim ve Saklama Süresi

Kurum, 08.06.2026 tarihli kamuoyu duyurusunda apartmanlardaki güvenlik kameraları hakkında çok sayıda şikâyet aldığını belirterek tedbirleri tek tek saymıştır. Duyuruya göre kameralar merdiven boşluklarına ve kapı açıldığında bağımsız bölümün içini gösterecek biçimde daire kapılarına yerleştirilmemeli, yüz tanıma ve ses kaydı gibi özellikler barındırmamalı, dar açıdan kayıt almalı ve gereksiz alanlar maskelenmelidir. Asansöre kamera konulacaksa gerekçesi açıkça belirtilmelidir. Kayıtlar makul süre saklanmalı, işlenmeyi gerektiren sebep ortadan kalkınca imha edilmeli, bir olay yaşanmışsa hukuki süreç boyunca yalnızca ilgili kayıt tutulmalıdır. Kayıtlara yalnızca yetkili kişiler erişebilmeli ve görüntüler izinsiz paylaşılmamalıdır. Duyuru, bu hususlara uyulmadığının tespiti hâlinde m. 18 uyarınca idari para cezası uygulanabileceğini de hatırlatmaktadır.

Saklama süresinin belirlenmesinde Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik bağlayıcıdır. Kayıt yükümlüsü olmadığı için saklama ve imha politikası hazırlamak zorunda olmayan veri sorumlusu, Yönetmelik m. 11/3 uyarınca silme yükümlülüğünün doğduğu tarihi izleyen üç ay içinde veriyi siler, yok eder veya anonim hâle getirir; Yönetmelik m. 7/3 ise imha işlemlerinin kayıt altına alınmasını ve bu kayıtların en az üç yıl saklanmasını öngörür. Kamera kayıt cihazının belirli günde üzerine yazacak şekilde ayarlanması ve bu ayarın genel kurul kararıyla belirlenmesi, yönetimi her iki yükümlülük bakımından da korur. Kameranın kat mülkiyeti yönünden kurulma koşulları ortak alana güvenlik kamerası konulabilir mi sorusunda işlenmiştir.

Sızıntı Hâlinde Bildirim ve Yaptırım

İşlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu, m. 12/5 uyarınca durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi ihlalin öğrenilmesinden itibaren yetmiş iki saat olarak yorumlamıştır. Sakin listesinin bir mesajlaşma grubunda paylaşılması, yönetici bilgisayarının çalınması veya yazılım sağlayıcısında yaşanan sızıntı bu kapsama girer. Kurulun yerleşik uygulamasında geç bildirim, tedbir eksikliğinden ayrı bir aykırılık olarak ele alınmakta ve ayrıca cezalandırılmaktadır. Bildirim usulü KVKK veri ihlali bildirimi nasıl yapılır sorusunda açıklanmıştır.

Tedbir eksikliğinin yaptırımı m. 18/1-(b)'dir. Kanunda 15.000 TL ile 1.000.000 TL olarak yazılı aralık, Kurumun yeniden değerleme tablosuna göre 2026 yılında 256.357 TL ile 17.092.242 TL arasında uygulanır. Kurul, alt ve üst sınır arasında Kabahatler Kanunu m. 17/2 uyarınca kabahatin haksızlık içeriği ile failin kusurunu ve ekonomik durumunu gözetir.

Uygulamada Site Yönetiminin Yapacakları

Uygulamada ilk adım, olağan genel kurulda veri güvenliği tedbirlerine ilişkin ayrı bir gündem maddesi açılması ve kamera saklama süresi, kayıtlara erişecek kişiler ile yazılım sağlayıcısının seçimi hakkında karar alınmasıdır. İkinci adım, yazılım, güvenlik ve muhasebe sözleşmelerinin m. 12/2'deki müşterek sorumluluk dikkate alınarak yenilenmesidir. Üçüncü adım, yönetici değişiminde şifrelerin, cihazların ve dosyaların tutanakla devredilmesi ve eski yöneticinin erişiminin kapatılmasıdır. En sık hata, kat maliklerinin iletişim listesinin herkese açık bir mesajlaşma grubunda tutulması ve görüntü talep eden her sakine kayıt verilmesidir; her iki uygulama da yetkisiz erişimin önlenmesi yükümlülüğüyle bağdaşmaz.

Kanunun yükümlülükler bütünü KVKK'da veri sorumlusunun yükümlülükleri makalesinde, site yönetimlerine özgü hukuki sebepler ve aidat paylaşımı apartman ve site yönetimlerinde kişisel verilerin korunması makalesinde, temel kavramlar ise kişisel verilerin korunması rehberi metninde yer alır. Tedbirlerin hangi organca karara bağlanacağı için kat malikleri kurulu ve yönetim rehberi birlikte okunmalıdır. Somut bir şikâyet veya ihlal durumunda hukuki destek yerinde olur.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 12, m. 18, RG 07.04.2016/29677; 634 sayılı Kat Mülkiyeti Kanunu m. 35, m. 38; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m. 7, m. 11, RG 28.10.2017/30224; Kişisel Verileri Koruma Kurumu, Apartmanlarda Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu, 08.06.2026; Kişisel Verileri Koruma Kurumu, 6698 Sayılı Kanundaki İdari Para Cezaları tablosu (31.12.2025 duyurusu). ↩