Apartman ve Site Yönetiminde KVKK Yükümlülükleri

Apartman ve site yönetimi; kat maliklerinin ve kiracıların adını, daire numarasını, telefonunu, aidat borcunu, ortak alan kamerası görüntülerini ve personelin bilgilerini işler. Bu bilgiler kişisel veridir ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uygulanır. Kişisel Verileri Koruma Kurulu'nun 2020/560 sayılı kararına göre kural olarak veri sorumlusu kat malikleri kuruludur; yönetici bu yükümlülükleri kurul adına yerine getirir. Yönetimin dört temel işi şunlardır: her veri için bir hukuki sebep belirlemek, sakinleri aydınlatmak, verileri güvenle korumak ve gereğinden uzun saklamamak.

Site yönetimi hangi kişisel verileri işler?#

KVKK m.3'e göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Kayıt tutmak, saklamak, paylaşmak ve silmek de "işleme" sayılır. Tipik bir sitede işlenen veriler şunlardır:

Bazı veriler özel nitelikli kişisel veridir (KVKK m.6): sağlık bilgisi (ör. engelli sakinlerin acil durum listesi), biyometrik veri (ör. parmak izi veya yüz tanımalı giriş sistemi) gibi. Bunların işlenmesi kural olarak yasaktır ve yalnız m.6/3'te sayılan hâllerde, Kurulun belirlediği ek önlemlerle mümkündür. Böyle bir sistem kurmadan önce mutlaka uzman görüşü alın.

Veri sorumlusu kimdir?#

Kurul, 22.07.2020 tarihli ve 2020/560 sayılı kararında site yönetimlerini 634 sayılı Kat Mülkiyeti Kanunu (KMK) ile birlikte değerlendirmiştir. Kararın özü şöyledir:

• Ana gayrimenkulü kat malikleri kurulu yönetir. Kurul, yöneticinin görevini kurul kararlarını uygulamak olarak nitelemiş ve yöneticinin kat maliklerine karşı vekil gibi sorumlu olduğunu hatırlatmıştır (KMK m.38).
• Kat malikleri kurulunun tüzel kişiliği yoktur. Kurul yine de veri sorumlusu tanımının geniş yorumlanması gerektiğini belirtmiş ve kural olarak apartman, site ve benzeri yapılarda veri sorumlusunun kat malikleri kurulu kabul edilebileceği sonucuna varmıştır.
• Kat malikleri kurulu, KVKK yükümlülüklerini yerine getirmek için bir kişiyi görevlendirebilir. Bu kişi yönetici, başka bir kat maliki veya bir temsilci olabilir.
• Kurul, yöneticinin somut olayda farklı bir rol üstlenmesi hâlinde istisnai durumlar çıkabileceğini de belirtmiştir. Site yönetimi ayrı bir tüzel kişilik tarafından yürütülüyorsa o tüzel kişi veri sorumlusu olabilir.

Kurul 13/04/2021 tarihli ve 2021/359 sayılı kararında, bir sitenin yönetim hizmetini sağlayan şirketi veri sorumlusu, şirket adına mobil uygulamayı işleten firmayı ise veri işleyen olarak değerlendirmiştir. Kim veri sorumlusu olursa olsun pratik sonuç aynıdır: Yükümlülükleri kimin yerine getireceği kurul kararıyla yazılı olarak belirlenmelidir. Her somut olayda veri işleme kararını kimin aldığına bakılır; tereddüt varsa somut duruma göre değerlendirilmelidir.

Hangi hukuki sebeple veri işlenir?#

KVKK m.5'e göre kural açık rızadır; ancak m.5/2'de sayılan şartlardan biri varsa açık rıza aranmaz. Site yönetiminde verilerin çoğu açık rıza olmadan, şu şartlara dayanılarak işlenir:

• Kanunlarda açıkça öngörülmesi (m.5/2-a) ve veri sorumlusunun hukuki yükümlülüğü (m.5/2-ç): örneğin KMK'nin gider paylaşımı, hesap verme ve karar defteri hükümlerinin gerektirdiği kayıtlar; personel için iş ve sosyal güvenlik mevzuatının gerektirdiği bilgiler.
• Bir hakkın tesisi, kullanılması veya korunması (m.5/2-e): aidat borcunun takibi, icra işlemleri. Kurul 2020/755 sayılı kararında, kiracının aidat borcunun site yönetimince ev sahibine bildirilmesini bu şarta dayandırmış ve KMK m.22'deki müteselsil sorumluluğa atıf yapmıştır.
• Meşru menfaat (m.5/2-f): ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, ör. ortak alan güvenliği.

Açık rıza ancak bu şartlardan hiçbiri yoksa gerekir. Örneğin bir sakin duyuru grubuna veya isteğe bağlı bir uygulamaya katılacaksa açık rıza gündeme gelir. Kurul 2021/359 sayılı kararında, site yönetimi işlerinden ayrı amaçlı ve isteğe bağlı bir uygulamaya veri aktarılmasının m.5/2 şartlarına dayandırılamayacağını, açık rıza gerektiğini belirtmiştir. Açık rıza KVKK m.3'e göre «Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza» demektir. Aidatı ödemeyi açık rızaya bağlamak gibi uygulamalar rızanın özgür olması şartıyla bağdaşmaz.

Hangi şart olursa olsun KVKK m.4'teki ilkeler her zaman uygulanır: hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre kadar saklama.

Aydınlatma yükümlülüğü#

KVKK m.10'a göre veri elde edilirken ilgili kişiye şu bilgiler verilir: veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, m.11'deki haklar. Aydınlatma Tebliği ayrıca şu kuralları koyar (m.5):

• Aydınlatma, kişinin talep etmesine bağlı değildir; her veri işlemede yapılır.
• «Aydınlatma yükümlülüğünün yerine getirildiğinin ispatı veri sorumlusuna aittir.» Bu nedenle metni nasıl ve ne zaman ilettiğinizi belgeleyin.
• Hukuki sebep açıkça yazılmalı, genel ve muğlak ifadeler kullanılmamalı, dil anlaşılır ve sade olmalıdır.
• Açık rıza da alınacaksa aydınlatma ile açık rıza ayrı ayrı yapılır; tek bir "okudum, onaylıyorum" kutusu yetmez.

Uygulamada sakinler için bir, personel için bir ve ziyaretçiler/kamera için kısa bir metin hazırlamak yeterlidir. Yeni taşınan sakine metni ilk kayıtta verin; panoya, duyuru kanalına veya yönetim yazılımına koyun.

Veri güvenliği ve erişim yetkisi#

KVKK m.12'ye göre veri sorumlusu, verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak zorundadır. Site ölçeğinde bu, şu demektir: sakin listesine ve kamera kayıtlarına erişebilecek kişileri adıyla belirlemek, ortak şifre kullanmamak, yönetici değiştiğinde şifreleri yenilemek, kâğıt dosyaları kilitli tutmak.

Yönetim firması, muhasebeci, kamera firması veya yazılım sağlayıcı veriler üzerinde işlem yapıyorsa genellikle veri işleyen konumundadır. Kanun burada açıktır: «Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.» (m.12/2). Bu nedenle hizmet sözleşmesine gizlilik ve veri güvenliği hükümleri ekleyin.

Veriler kanuni olmayan yollarla başkalarının eline geçerse (çalınan telefon, yanlış gruba atılan liste, ele geçirilen kamera kaydedicisi), veri sorumlusu durumu en kısa sürede ilgili kişilere ve Kurula bildirir (m.12/5).

Saklama, silme ve imha#

Veriler, işlenmesini gerektiren sebep ortadan kalkınca resen veya ilgili kişinin talebiyle silinir, yok edilir ya da anonim hâle getirilir (KVKK m.7). Silme Yönetmeliği'nin site yönetimlerini ilgilendiren hükümleri şunlardır:

• Saklama ve imha politikası hazırlama zorunluluğu yalnız VERBİS'e kayıt yükümlüsü olan veri sorumluları içindir (m.5/1). Politika hazırlamakla yükümlü olmayanların saklama ve imha yükümlülükleri yine devam eder (m.5/3).
• Politika hazırlama yükümlülüğü olmayan veri sorumlusu, silme yükümlülüğünün doğduğu tarihten itibaren üç ay içinde veriyi siler, yok eder veya anonim hâle getirir (m.11/3).
• Yapılan bütün silme, yok etme ve anonimleştirme işlemleri kayıt altına alınır. Bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak üzere en az üç yıl saklanır (m.7/3).

Kanun her veri için saklama süresi belirlemez. Süreyi siz belirlersiniz: Varsa ilgili mevzuattaki süreye, yoksa amaç için gerekli süreye bakılır (KVKK m.4/2-d). Mali kayıtlar ve personel dosyaları için başka mevzuatta saklama süreleri bulunabilir. Bunları muhasebeciniz veya hukuk danışmanınızla birlikte tabloya dökün. Taşınan kiracının telefonu, süresi geçmiş ziyaretçi kayıtları ve eski kamera görüntüleri ise tipik "gereksiz saklama" örnekleridir.

VERBİS kaydı gerekir mi?#

KVKK m.16'ya göre veri sorumluları, işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolur. Kurul ise objektif kriterlere göre istisna getirebilir. Kurulun 19/07/2018 tarihli ve 2018/87 sayılı kararı, 06/07/2023 tarihli ve 2023/1154 sayılı karar ile değişik hâliyle, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyet konusu özel nitelikli veri işleme olmayan veri sorumlularını kayıttan istisna tutmaktadır. 04.09.2025 tarihli ve 2025/1572 sayılı kararla, ana faaliyeti özel nitelikli veri işleme olan küçük veri sorumluları için ayrı bir eşik de eklenmiştir. Kurumun bu karara ilişkin duyurusunda, 25.12.2025 tarihli ve 2025/2393 sayılı Kurul kararıyla bilanço esasına göre defter tutmayan veri sorumluları için yalnız yıllık çalışan sayısı kriterinin esas alınacağı belirtilmektedir.

Kurulun 2020/315 sayılı kararında, 2018/32 sayılı kararla getirilen istisnalar da sayılmaktadır. Bunlardan biri, veri kayıt sisteminin parçası olmak kaydıyla yalnız otomatik olmayan yollarla veri işleyenlerdir.

kvkk.gov.tr'de apartman veya site yönetimlerinin VERBİS durumunu doğrudan ele alan bir Kurul kararı bulunamamıştır. Kayıt gerekip gerekmediği; kimin veri sorumlusu olduğuna (kat malikleri kurulu ya da yönetim şirketi), çalışan sayısına, bilanço durumuna ve özel nitelikli veri işlenip işlenmediğine göre somut duruma göre değerlendirilmelidir. Yönetimi bir şirket yürütüyorsa, şirketin kendi durumuna ayrıca bakılır.

Sakinlerin başvuruları#

Her sakin, m.11'deki haklarla yönetime başvurabilir: verisinin işlenip işlenmediğini öğrenme, düzeltme veya silinmesini isteme, kimlere aktarıldığını öğrenme gibi. Başvuru en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırılır. Talep kabul edilir ya da gerekçesi açıklanarak reddedilir (m.13). Başvuru reddedilir, cevap yetersiz bulunur veya süresinde cevap verilmezse, ilgili kişi m.14'teki sürelerde Kurula şikâyette bulunabilir.

Aydınlatma, veri güvenliği, Kurul kararlarına uyma ve sicil yükümlülüklerine aykırılık için idari para cezası öngörülmüştür (m.18). Tutarlar her yıl yeniden değerlemeye tabi olduğu için burada rakam verilmemiştir.

Yönetici için kontrol listesi#

1. Sorumluyu belirleyin: KVKK işlerini kimin yürüteceğini kat malikleri kurulu kararıyla yazın (yönetici, bir kat maliki veya yönetim firması).
2. Veri envanteri çıkarın: Yukarıdaki tabloyu kendi sitenize uyarlayın; her veri için amaç ve hukuki sebebi (m.5 bendi) yazın.
3. Aydınlatma metinlerini hazırlayın: sakin, personel ve kamera/ziyaretçi için; nasıl ilettiğinizi belgeleyin.
4. Açık rızayı ayırın: Yalnız gerçekten isteğe bağlı işler (ör. sosyal amaçlı grup, fotoğraf paylaşımı) için ve aydınlatmadan ayrı alın.
5. Saklama sürelerini belirleyin: her veri grubu için süre ve sorumlu kişi; silme işlemlerini tarihli olarak kayda geçirin.
6. Erişim yetkisini sınırlayın: listeye, kayıt cihazına ve yazılıma kimlerin gireceğini adıyla belirleyin; kişiye özel şifre kullanın.
7. Hizmet sözleşmelerini gözden geçirin: yönetim firması, kamera firması, muhasebeci ve yazılım için gizlilik ve veri güvenliği hükümleri.
8. Başvuru kanalı açın: bir e-posta adresi veya yazılı başvuru yeri ilan edin; 30 günü takip edin.
9. Devir tesliminde verileri de devredin: şifreleri değiştirin, eski yöneticinin kişisel cihazında kalan listeleri sildirin (devir teslim).
10. VERBİS durumunu kontrol edin: istisna kriterlerini yılda bir gözden geçirin.

Sık yapılan yanlışlar#

• "Küçük apartmanız, KVKK bize uygulanmaz." KVKK'nın kapsam dışı bıraktığı hâl, gerçek kişinin verileri yalnız kendisi veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetlerde işlemesidir (m.28/1-a). Apartman yönetimi bu kapsama girmez.
• Her şey için açık rıza toplamak. m.5/2'deki şartlardan birine dayanan işlemede açık rıza gerekmez; gereksiz rıza metinleri, hangi hukuki sebebe dayandığınızı belirsizleştirir.
• Borçlu listesini panoya asmak. Kurul bunu bir ilke kararıyla hukuka aykırı bulmuştur; ayrıntı için borçlu listesi ve sakin verilerinin paylaşılması.
• Eski yöneticinin telefonunda sakin listesi kalması. Görevden ayrılma, gizlilik yükümlülüğünü bitirmez (m.12/4).

Sık sorulan sorular#

Yönetici kişisel olarak sorumlu olur mu?

Kurul kararına göre kural olarak veri sorumlusu kat malikleri kuruludur ve yönetici kurul kararlarını uygular. Ancak yönetici kat maliklerine karşı vekil gibi sorumludur (KMK m.38). Özen göstermeden yol açtığı zarardan genel hükümlere göre sorumlu tutulabilir. Somut olaya göre değişebilir; bir avukata danışın.

Aydınlatma metnini her sakine imzalatmak zorunlu mu?

İmza şart değildir. Ancak aydınlatmanın yapıldığını ispat yükü veri sorumlusundadır. E-posta, yazılımda görüntüleme kaydı veya teslim tutanağı gibi izi kalan bir yöntem seçin.

Kiracının bilgilerini ev sahibine verebilir miyiz?

Ortak gider borcu bakımından Kurul, 2020/755 sayılı kararında kiracının aidat borcunun ev sahibine bildirilmesini hukuka uygun bulmuştur. Bu karar diğer bilgilerin paylaşılmasına genellenemez; her paylaşım için ayrı hukuki sebep gerekir.