Dernekler için KVKK: Üye verisiyle çalışırken temel ilkeler

Dernekler ve vakıflar üye, bağışçı, gönüllü ve yararlanıcı verisini işlerken KVKK kapsamında veri sorumlusudur ve bu veriyi hukuka uygun, belirli amaçla sınırlı, ölçülü ve gerektiği süre kadar işlemek zorundadır. Pratikte bu yükümlülük beş başlıkta toplanır: aydınlatma, gerektiğinde açık rıza, saklama süresi, erişim yetkisi ve veri güvenliği. Bu yazı genel bir yol haritası sunar; hukuki tavsiye değildir ve kendi durumunuz için bir hukukçuya danışmanız gerekir.

Dernek ve vakıflar KVKK karşısında hangi konumdadır?

Bir dernek, üyelik başvurusu aldığı andan itibaren kişisel veri işler: ad, iletişim bilgisi, kimlik numarası, meslek, adres ve çoğu zaman fotoğraf. Bağış kabul eden, gönüllüyle çalışan, yardım dağıtan ya da personel istihdam eden kurumlarda veri kategorileri daha da çeşitlenir. Bu verilerin hangi amaçla ve hangi yöntemle işleneceğine karar veren dernek, veri sorumlusu konumundadır.

• Üyelerin kimlik, iletişim, meslek ve aidat bilgileri derneğin temel veri grubunu oluşturur.
• Bağışçıların ad, iletişim ve bağış geçmişi bilgileri ayrı bir veri grubu olarak ele alınmalıdır.
• Gönüllülerin uygunluk, beceri ve görev bilgileri çoğu zaman kayıt dışı tablolarda tutulur.
• Yardım alan kişilerin hane, gelir ve sağlık bilgileri en hassas veri grubudur.
• Personel ve yönetim kurulu üyelerinin verileri de aynı ilkelere tabidir.

Derneğin adına veri işleyen dış taraflar ise veri işleyen olarak değerlendirilir. Yazılım sağlayıcısı, muhasebe bürosu, toplu ileti gönderen servis ya da etkinlik organizasyonuna destek veren firma bu gruba girebilir. Bu taraflarla yapılan sözleşmelerde verinin hangi amaçla işleneceği, nasıl korunacağı ve iş bitince ne olacağı açıkça yazılmalıdır.

Dernekler için özellikle dikkat edilmesi gereken bir nokta vardır: kanun, dernek, vakıf ya da sendika üyeliği bilgisini özel nitelikli kişisel veriler arasında sayar. Sağlık bilgisi, din ve inanç bilgisi gibi diğer özel nitelikli verilerle birlikte bu veriler daha sıkı işleme şartlarına ve ek güvenlik önlemlerine tabidir. Bu şartlar zaman içinde güncellenebildiği için güncel metni ve Kişisel Verileri Koruma Kurumu'nun rehberlerini resmi kaynaklardan kontrol edin.

Aydınlatma yükümlülüğü pratikte nasıl yerine getirilir?

Aydınlatma, kişiye verisinin kim tarafından, hangi amaçla ve hangi hukuki sebeple işlendiğini, kimlere aktarılabileceğini ve hangi haklara sahip olduğunu veriyi toplarken anlatmaktır. Aydınlatma metni bir onay kutusu değildir; kişinin okuyup anlayabileceği, sade ve o işleme özgü bir bilgilendirmedir.

Dernekler genellikle tek bir genel metinle yetinir; oysa üyelik başvurusu, bağış formu, etkinlik kaydı ve gönüllü başvurusu farklı amaçlara hizmet eder. Her toplama noktası için kısa ve kendi amacına odaklı bir metin hazırlamak, hem kişinin anlamasını kolaylaştırır hem de derneğin gereğinden fazla veri istemesini engeller.

• Metinde derneğin unvanını ve iletişim bilgisini açıkça belirtin.
• Verinin hangi amaçlarla işlendiğini somut biçimde sıralayın.
• Verinin kimlere ve hangi amaçla aktarılabileceğini yazın.
• Verinin hangi yöntemle toplandığını ve hangi hukuki sebebe dayandığını belirtin.
• Kişinin haklarını ve bu haklar için nasıl başvurabileceğini anlatın.
• Metnin hangi tarihte ve hangi sürümle sunulduğunu kayıt altında tutun.

Web sitesindeki formlar ve kayıt sayfaları da aynı özeni gerektirir. Formda yalnızca amaç için gereken alanların bulunması, isteğe bağlı alanların açıkça işaretlenmesi ve aydınlatma metnine formun hemen yanından ulaşılabilmesi, iyi bir uygulamanın göstergesidir. Ziyaretçi verisi toplayan çerezler ve ölçüm araçları için de ayrı bir bilgilendirme yapılması gerekir.

Açık rıza ne zaman gerekir, ne zaman gerekmez?

En sık yapılan hata, her veri işleme faaliyeti için açık rıza istemektir. Kanun, sözleşmenin kurulması, hukuki yükümlülüğün yerine getirilmesi ya da meşru menfaat gibi başka hukuki sebepler de tanır. Üyelik ilişkisinin yürütülmesi için zorunlu olan bir işleme için rıza istemek, kişiye aslında sahip olmadığı bir seçim hakkı varmış gibi gösterir ve rıza geri alındığında derneği zor durumda bırakır.

Açık rıza ise başka bir hukuki sebebin bulunmadığı durumlarda devreye girer; örneğin üye fotoğraflarının tanıtım amaçlı yayımlanması ya da üyenin ilgi alanlarına göre bilgilendirme yapılması bu kapsamda değerlendirilebilir. Rıza belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle verilmelidir. Üyeliği ya da bir hizmeti rıza şartına bağlamak bu özgürlüğü ortadan kaldırır.

Rıza alındığında ne zaman, hangi metinle ve hangi kanaldan verildiği kaydedilmelidir. Rızanın geri alınması da verilmesi kadar kolay olmalı; geri alma talebi geldiğinde ilgili işleme gerçekten durdurulmalıdır. Tanıtım amaçlı toplu iletiler için ayrıca ticari ileti mevzuatındaki güncel kuralları kontrol etmek gerekir.

Açık rıza her kapıyı açan bir anahtar değildir; doğru hukuki sebep, doğru amaçla birlikte seçilir.

Üye verisi ne kadar süre saklanmalı?

Kişisel veri, işlendiği amaç için gerekli olan süre ya da mevzuatın öngördüğü süre kadar saklanmalıdır. Bu ilke iki yönlü çalışır: bir yandan muhasebe ve dernek mevzuatı bazı kayıtların belirli süreler boyunca saklanmasını zorunlu kılar, öte yandan amacı sona eren verinin süresiz tutulması ölçülülük ilkesine aykırıdır.

Bu dengeyi kurmanın yolu bir saklama ve imha politikası hazırlamaktır. Politika, her veri kategorisi için saklama süresini, sürenin neye dayandığını ve süre dolduğunda verinin silineceğini, yok edileceğini ya da anonim hale getirileceğini belirtir. Somut süreleri mevzuattan ve hukuk danışmanınızdan teyit edin; bu yazıda süre verilmemesinin nedeni, sürelerin kayıt türüne ve güncel düzenlemelere göre değişmesidir.

Pratikte en çok gözden kaçan kayıtlar, reddedilen üyelik başvuruları, eski etkinlik katılımcı listeleri ve e-posta kutularında biriken ek dosyalardır. Ayrılan bir üyenin aidat ve muhasebe kayıtları saklanması gereken belgeler arasında kalırken, iletişim tercihleri ve tanıtım amaçlı verileri artık işlenmemelidir. Periyodik imha işlemlerinin kayıt altına alınması, politikanın gerçekten uygulandığını gösterir.

Erişim yetkisi nasıl sınırlandırılmalı?

Dernek verisine kimin erişebildiği, veri güvenliğinin en somut göstergesidir. Temel kural en az yetki ilkesidir: herkes yalnızca görevini yapmak için gereken veriyi görmelidir. Bir şube sekreteri diğer şubelerin üyelerini, bir gönüllü koordinatörü üyelerin aidat geçmişini, bir etkinlik görevlisi bağışçı bilgilerini görmemelidir.

Yetkinin kâğıt üzerinde tanımlanması yetmez; kullanılan sistemin bu sınırları teknik olarak uygulaması gerekir. Ortak kullanılan hesaplar, herkesin erişebildiği paylaşımlı klasörler ve e-postayla dolaşan üye listeleri, en iyi yazılmış politikayı bile etkisiz bırakır. Seçimle görevden ayrılan yöneticilerin erişimi aynı gün kapatılmalı, kritik işlemler ve toplu dışa aktarımlar kayıt altına alınmalıdır.

Dış tarafların erişimi de aynı kurala bağlıdır. Yazılım sağlayıcısının destek amacıyla veriye ne zaman ve hangi yetkiyle erişebileceği sözleşmede belirlenmeli, bu erişimler de kayıt altına alınmalıdır. Muhasebe bürosu ya da denetçi gibi taraflara verinin tamamı yerine yalnızca işlerine yarayan kısım açılmalıdır.

Veri güvenliği için hangi önlemler alınmalı?

KVKK, veri sorumlusundan verinin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını bekler. Dernekler için bu tedbirler büyük bütçeler gerektirmez; çoğu, düzenli uygulanan basit alışkanlıklardır.

• Her kullanıcının kendi hesabı olsun ve yönetici hesaplarında iki adımlı doğrulama kullanılsın.
• Verinin düzenli yedeği alınsın ve geri yükleme belirli aralıklarla denensin.
• Üye listeleri e-posta eki ya da mesajlaşma grupları üzerinden paylaşılmasın.
• Kişisel veriye erişen herkes gizlilik taahhüdü imzalasın ve kısa bir bilgilendirme alsın.
• Bir veri ihlalinde kimin neyi yapacağını ve Kurum'a bildirimin nasıl yapılacağını önceden yazın.
• Dizüstü bilgisayar ve telefon gibi cihazlarda ekran kilidi ve disk şifreleme kullanılsın.

İhlal bildirimine ilişkin süreler ve usuller Kurum kararlarıyla belirlenir; güncel kuralı Kişisel Verileri Koruma Kurumu'nun resmi sitesinden kontrol edin. Önemli olan, ihlal anında panikle karar vermek yerine önceden hazırlanmış bir planın izlenmesidir.

Kâğıt kayıtlar da güvenlik kapsamındadır. Üyelik başvuru formları, imzalı belgeler ve yardım dosyaları kilitli dolaplarda tutulmalı, dijital ortama aktarılan belgelerin kâğıt kopyalarının ne zaman ve nasıl imha edileceği politikada yazmalıdır.

Sık sorulan sorular

Dernek, üye listesini diğer üyelerle paylaşabilir mi?

Üye listesinin paylaşılması ancak bunun için geçerli bir hukuki sebep ve açık bir amaç varsa düşünülebilir. Paylaşım gerekiyorsa bile yalnızca amaç için gereken alanlarla sınırlı tutulmalı ve önceden hukuki görüş alınmalıdır.

Bağışçı ve gönüllü verisi de KVKK kapsamında mı?

Evet. Gerçek kişilere ait her veri, kişinin dernekle ilişkisi ne olursa olsun kişisel veridir. Bağışçı, gönüllü, yararlanıcı ve etkinlik katılımcısı için de aydınlatma, saklama ve güvenlik ilkeleri aynı biçimde uygulanır.

Dernekler veri sorumluları siciline kayıt olmak zorunda mı?

Kayıt yükümlülüğü ve istisnaları Kurul kararlarıyla belirlenir ve zaman içinde değişebilir. Derneğinizin durumunu Kişisel Verileri Koruma Kurumu'nun güncel duyurularından ve bir hukukçudan teyit edin.

Üye, verisinin silinmesini istediğinde ne yapılmalı?

Talep kayda alınmalı ve mevzuattaki süre içinde yanıtlanmalıdır. Saklama yükümlülüğü bulunan kayıtlar korunurken, amacı sona eren veriler silinir ya da anonim hale getirilir ve kişiye hangi verinin neden saklandığı açıklanır.

Etkinlik fotoğrafları derneğin sitesinde yayımlanabilir mi?

Kişilerin tanınabildiği fotoğrafların tanıtım amacıyla yayımlanması genellikle ayrı bir hukuki değerlendirme ve çoğu durumda açık rıza gerektirir. Etkinlik kaydında bu konuda ayrı ve isteğe bağlı bir onay almak, sonradan doğabilecek itirazları önler.

Küçük ama düzenli adımlarla başlamak

KVKK uyumu bir kerelik bir belge hazırlığı değil, derneğin veriyle çalışma alışkanlığıdır. Veri envanterini çıkarmak, her toplama noktası için kısa bir aydınlatma metni yazmak, saklama sürelerini belirlemek ve erişimi görevlere göre sınırlamak, çoğu dernek için yönetilebilir ve kalıcı bir başlangıçtır. Bir Web Ajans olarak geliştirdiğimiz Dernek Yönetim Sistemi'nde şube kapsamı arayüzde değil veri sorgusu düzeyinde uygulanıyor ve her kurulum kendi veritabanıyla çalışıyor.