- within Consumer Protection topic(s)
Kişisel Verileri Koruma Kurulu (“Kurul”), 18.02.2026 tarihli ve 2026/348 sayılı ilke kararı ile toplu yapılarda apartman ve site sakinlerine ait aidat, avans, demirbaş gideri ve benzeri borç bilgilerini içeren listelerin asansör, bina girişi ve koridor gibi ortak alanlara asılması suretiyle yapılan duyuruları 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında değerlendirmiştir.
Apartman ve site yönetimi süreçlerinde, aidat, avans, demirbaş gideri ve benzeri ortak giderlerin takibi kapsamında çeşitli kişisel veri işleme faaliyetleri gerçekleştirilmektedir. Uygulamada sıklıkla, borçlu kat maliklerinin veya kiracıların ad, soyad, daire numarası, borç miktarı, ödeme gecikme süresi gibi bilgilerini içeren listelerin asansör, bina girişi ve koridor gibi ortak alanlara asılması suretiyle duyuru yapıldığı görülmektedir.
Kurul, öncelikle söz konusu listelerde yer alan bilgilerin kişisel veri niteliğinde olduğunu ve bu verilerin işlenmesinin Kanun’un 4. maddesinde düzenlenen genel ilkelere uygun şekilde gerçekleştirilmesi gerektiğini vurgulamıştır. Bu kapsamda özellikle “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ile “gereğinden fazla veri işlememe” ilkelerinin altı çizilmiştir.
Diğer yandan, 634 sayılı Kat Mülkiyeti Kanunu çerçevesinde kat maliklerinin ortak giderlere katılma yükümlülüğü bulunduğu, yöneticinin kat maliklerine karşı hesap verme sorumluluğunun olduğu ve kat maliklerinin yönetime ilişkin denetim yetkisini haiz olduğu hususları da dikkate alınmıştır. Bu çerçevede, borç bilgilerine ilişkin belirli ölçüde bilgilendirme yapılmasının, Kanun’un 5. maddesinde düzenlenen “kanunlarda açıkça öngörülme” ve kat maliklerinin alacak hakkının temini bakımından “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” şartları kapsamında değerlendirilebileceği kabul edilmiştir.
Bununla birlikte Kurul, bu hukuki dayanağın, kişisel verilerin sınırsız şekilde ve herkese açık alanlarda paylaşılmasına imkân tanımadığını ortaya koymuştur. Nitekim borç bilgilerinin asansörler, bina girişleri, koridorlar gibi ortak alanlara asılması suretiyle, yalnızca kat malikleri değil; site sakini olmayan üçüncü kişiler, ziyaretçiler, kargo görevlileri gibi belirsiz sayıda kişinin de bu verilere erişiminin mümkün hale geldiği belirtilmiştir.
Öte yandan Kurul, söz konusu listelerde ilgili kişilerin ad ve soyadı bilgilerinin yer almaması halinde dahi bu verilerin kişisel veri niteliğini ortadan kaldırmadığını özellikle vurgulamıştır. Zira borç bilgilerinin daire numaralarıyla ilişkilendirilmiş şekilde sunulması, kişilerin kimliklerinin belirlenebilir hale gelmesine imkân tanımakta olup, Kanun’da kişisel verinin “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlandığı dikkate alındığında, bu tür bilgilerin de kişisel veri kapsamında değerlendirilmesi gerekmektedir. Bu durumun, Kanun’un 4. maddesinde yer alan genel ilkeler ile 12. maddede düzenlenen veri güvenliği yükümlülükleri ile bağdaşmadığı ifade edilmiştir.
Kurul ayrıca, özellikle veri minimizasyonu ve erişim kontrolü ilkelerine vurgu yaparak, bilgilendirme yükümlülüğünün yerine getirilmesi sırasında gereğinden fazla kişisel veri paylaşımından kaçınılması ve verilerin yalnızca ilgili kişilerle sınırlı şekilde paylaşılması gerektiğini belirtmiştir. Bu kapsamda, kapalı e-posta, mesajlaşma uygulamaları veya yalnızca yetkili kişilerin erişebileceği sistemler gibi alternatif yöntemlerin tercih edilmesi gerektiği ifade edilmiştir.
Bu değerlendirmeler doğrultusunda Kurul;
- Ortak alanlara asılan kişisel veri içeren listelerin hukuka aykırı veri işleme faaliyeti niteliğinde olduğuna,
- Bu uygulamanın veri güvenliğine ilişkin yükümlülüklere aykırılık teşkil ettiğine,
- Söz konusu uygulamalara son verilmesi ve mevcut listelerin kaldırılması gerektiğine
karar vermiştir.
Sonuç olarak, söz konusu ilke kararı, apartman ve site yönetimlerinde uzun süredir yaygın olarak uygulanan bir yöntemin KVKK kapsamında hukuka uygun olmadığını açıkça ortaya koymakta; veri sorumlularının bilgilendirme yükümlülüklerini yerine getirirken veri minimizasyonu, ölçülülük ve erişim kontrolü ilkelerine uygun hareket etmeleri gerektiğini vurgulamaktadır. Aksi yöndeki uygulamaların tespiti halinde, veri sorumluları hakkında Kanun’un 18. maddesi kapsamında idari yaptırımlar gündeme gelebilecektir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
[View Source]
