Derneklerde Kişisel Verilerin Korunması

Derneklerde kişisel verilerin korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında hukuki bir yükümlülüktür. Dernekler; üyelerin, bağışçıların, gönüllülerin, çalışanların ve faaliyetlerine katılan kişilerin verilerini işlerken hukuka uygun bir sebebe dayanmak, kişileri bilgilendirmek, verileri güvenli biçimde saklamak ve gerekli hâllerde silmek zorundadır. Üstelik dernek üyeliğine ilişkin bilgi, KVKK’nın 6. maddesi uyarınca özel nitelikli kişisel veridir. Bu nedenle üyelik kayıtlarının korunması, sıradan iletişim bilgilerinin saklanmasından daha sıkı şartlara bağlıdır.

Derneklerin kâr amacı gütmemesi veya gönüllüler aracılığıyla faaliyet göstermesi KVKK yükümlülüklerini ortadan kaldırmaz. Bununla birlikte her derneğin VERBİS’e kayıt olması da zorunlu değildir. VERBİS istisnaları, üyelik bilgilerinin işlenme şartları, açık rıza, veri güvenliği, yurt dışına aktarım ve yaptırımlar birbirinden ayrı değerlendirilmelidir.

Dernekler KVKK Kapsamında mıdır?

Evet. KVKK’nın 2. maddesi, kişisel verileri tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişilere uygulanır. Dernekler de tüzel kişiliğe sahip olduklarından bu düzenlemenin kapsamındadır.

Derneğin üyelik başvuru formu toplaması, üye kayıt defteri tutması, üyelerinin telefon numaralarını saklaması, bağışçı bilgilerini kaydetmesi veya etkinlik katılımcılarına elektronik posta göndermesi kişisel veri işleme faaliyetidir.

Verinin bilgisayarda tutulması zorunlu değildir. Belirli bir düzende saklanan fiziki üyelik dosyaları ve üye kayıt defterleri de KVKK kapsamında değerlendirilebilir.

Derneklerde veri sorumlusu kimdir?

KVKK m. 3 uyarınca veri sorumlusu, kişisel verilerin hangi amaçlarla ve hangi yöntemlerle işleneceğini belirleyen gerçek veya tüzel kişidir. Derneğin kendi faaliyetleri kapsamında yürüttüğü işlemlerde veri sorumlusu, kural olarak dernek tüzel kişiliğidir.

Yönetim kurulu, derneğin faaliyetlerinin hukuka uygun yürütülmesi için gerekli organizasyonu oluşturmakla yükümlüdür. Başkanın veya başka bir yönetim kurulu üyesinin veri işlemlerini fiilen yürütmesi, dernek tüzel kişiliğinin veri sorumlusu sıfatını kendiliğinden ortadan kaldırmaz.

Dernek adına hizmet sunan yazılım, muhasebe veya barındırma şirketleri ise ilişkinin niteliğine göre veri işleyen olabilir. Bu kişilerin veri sorumlusunun talimatlarına uygun hareket etmesi ve gerekli güvenlik önlemlerini alması gerekir. Dernek yöneticilerinin hangi durumlarda ayrıca kişisel sorumluluk taşıyabilecekleri, dernek yönetim kurulunun hukuki sorumluluğu kapsamında ayrıca değerlendirilmelidir.

Dernekler Hangi Kişisel Verileri İşler?

Dernek faaliyetlerinde işlenen veriler, ilgili kişinin dernekle kurduğu ilişkiye göre değişir. Her veri kategorisi için toplama amacı, hukuki sebep, erişim yetkisi ve saklama süresi ayrı belirlenmelidir.

Kişisel veri yalnızca kimlik numarasından ibaret değildir. Belirli bir gerçek kişiyle ilişkilendirilebilen görüntü, ses, elektronik posta adresi, IP adresi ve ödeme bilgileri de şartlarına göre kişisel veri niteliği taşıyabilir.

Dernek Üyeliği Bilgisi Neden Özel Nitelikli Kişisel Veridir?

KVKK m. 6/1, dernek, vakıf veya sendika üyeliğine ilişkin bilgiyi açıkça özel nitelikli kişisel veriler arasında saymıştır.

Bu koruma yalnızca siyasi veya dini amaçlı derneklerin üyeleriyle sınırlı değildir. Kültür, çevre, meslek dayanışması, eğitim ya da sosyal yardım amacıyla kurulan bir derneğe üyelik bilgisi de özel nitelikli kişisel veridir.

Örneğin bir kişinin belirli bir derneğe üye olduğunun üçüncü kişilere açıklanması, yalnızca adının veya telefon numarasının paylaşılmasından farklı hukuki sonuçlar doğurabilir.

Özel nitelikli verilerin işlenmesinde iki temel koşul birlikte aranır:

• KVKK m. 6/3’te sayılan hukuka uygun veri işleme şartlarından en az birinin mevcut olması.
• KVKK m. 6/4 gereğince Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması.

Bir veri işleme şartının bulunması güvenlik tedbirlerini gereksiz kılmaz. Aynı şekilde güçlü güvenlik önlemleri alınması da hukuki sebebi bulunmayan bir veri işlemini kendiliğinden hukuka uygun hâle getirmez.

Dernekler Üyelerinden Açık Rıza Almak Zorunda mıdır?

Derneklerin bütün kişisel veri işlemleri için üyelerinden açık rıza almaları zorunlu değildir. İşleme faaliyetine uygulanabilen başka bir kanuni şartın bulunması hâlinde, bu şartın kapsamıyla sınırlı olarak açık rıza aranmadan veri işlenebilir.

Genel nitelikli kişisel verilerin işlenme şartları

KVKK m. 5/2 kapsamında; veri işlemenin kanunlarda açıkça öngörülmesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması, bir hakkın tesisi veya korunması için gerekli bulunması ve kanunda düzenlenen diğer şartların gerçekleşmesi hâllerinde açık rıza aranmaksızın işlem yapılabilir.

Örneğin derneğin mevzuat gereği saklaması gereken bazı mali belgelerdeki kişisel bilgilerin işlenmesi, ilgili kanuni yükümlülüğe dayanabilir. Ancak bu durum, aynı bilgilerin pazarlama veya başka bir amaçla sınırsız kullanılmasına izin vermez.

Üyelik bilgileri bakımından hangi şartlar uygulanır?

Dernek üyeliği özel nitelikli veri olduğundan, KVKK m. 5’teki genel şartlara dayanmak tek başına yeterli değildir. KVKK m. 6/3’teki özel nitelikli veri işleme şartlarından biri bulunmalıdır.

5253 sayılı Dernekler Kanunu’nun 23. maddesi ile Dernekler Yönetmeliği’nin 32. maddesi, üyelik bilgilerinin kaydedilmesi ve belirli bilgilerin yetkili idareye bildirilmesine ilişkin yükümlülükler getirmektedir. Bu hükümlerin açıkça gerektirdiği veri işlemleri, kapsamlarıyla sınırlı olmak üzere KVKK m. 6/3-b kapsamında değerlendirilebilir.

Ancak mevzuatın zorunlu kıldığı veri işlemi ile derneğin kendi isteğiyle gerçekleştirdiği başka faaliyetler ayrılmalıdır. Üye kayıt defterinin tutulması için hukuki dayanak bulunması, üye listesinin bütün bağışçılara veya kamuya açıklanmasını meşrulaştırmaz.

KVKK m. 6/3, ayrıca bir hakkın tesisi, kullanılması veya korunması için zorunlu olan özel nitelikli veri işlemlerine de imkân tanır. Bunun uygulanabilmesi, somut işlemin gerçekten bu amaç için gerekli olmasına bağlıdır.

Siyasi, felsefi, dini veya sendikal amaçlı dernekler için özel şart

1 Haziran 2024 tarihinde yürürlüğe giren düzenleme sonucunda KVKK m. 6/3-g, siyasi, felsefi, dini veya sendikal amaçlarla kurulan belirli kâr amacı gütmeyen kuruluşlar için özel bir işleme şartı öngörmektedir.

Bu kapsamda ilgili kuruluş, mevzuatına ve amaçlarına uygun, faaliyet alanıyla sınırlı ve üçüncü kişilere açıklanmama koşuluna bağlı olarak mevcut veya eski üyeleri, mensupları ya da kendisiyle düzenli temas hâlindeki kişilere ilişkin özel nitelikli verileri işleyebilir.

Bu şartın bütün derneklere sınırsız biçimde uygulanması mümkün değildir. Kuruluşun amacı, veri işleme faaliyeti ve verinin üçüncü kişilere açıklanıp açıklanmadığı ayrıca değerlendirilmelidir.

Hangi işlemlerde açık rıza gerekebilir?

Kanunda düzenlenen başka bir veri işleme şartı bulunmayan hâllerde açık rıza gündeme gelir. Örneğin üyelik için gerekli olmayan özel bir bilgi kategorisinin toplanması veya kişinin fotoğrafının tanıtım amacıyla kullanılması, somut koşullara göre açık rıza gerektirebilir.

KVKK m. 3 uyarınca açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızadır. Bu nedenle geniş kapsamlı, belirsiz ve bütün gelecekteki işlemleri kapsadığı iddia edilen tek bir onay metni uygun değildir.

Açık rızaya dayanan veri işlemlerinde rızanın geri alınması da dikkate alınmalı; ancak başka bir hukuki yükümlülük nedeniyle saklanması gereken kayıtlarla isteğe bağlı işlemler birbirine karıştırılmamalıdır.

Derneklerde Üyelik Kayıtları ve DERBİS Bildirimleri KVKK’ya Nasıl Uygun Yürütülür?

Derneklerin üyelik kayıtlarını tutması ve kanunun belirlediği bilgileri idareye bildirmesi, veri koruma yükümlülükleriyle çelişmez. Burada önemli olan kanuni bildirim ile gereksiz veri toplamayı ayırmaktır.

5253 sayılı Kanun m. 23 kapsamında üyeliğe kabul edilen ve üyeliği sona eren kişilerin kanunda belirtilen kimlik ve tarih bilgilerinin, kabul veya sona erme tarihinden itibaren 45 gün içinde ilgili dernekler birimine bildirilmesi gerekmektedir.

Dernekler Yönetmeliği m. 32 uyarınca üye kayıt defterinde üyelerin kimlik bilgileriyle derneğe giriş ve çıkış tarihleri bulunur. Giriş ve yıllık aidat miktarları da bu deftere işlenebilir.

Bu yükümlülükler yerine getirilirken:

• Üyelik başvuru formlarında yalnızca mevzuatın ve üyelik değerlendirmesinin gerektirdiği bilgiler istenmelidir.
• Üyelik kayıtlarına erişim, görevi nedeniyle erişmesi gereken kişilerle sınırlandırılmalıdır.
• Üye kayıtları kamuya açık internet sayfalarına konulmamalıdır.
• DERBİS kullanıcı bilgileri ortak hesaplarla kontrolsüz biçimde paylaşılmamalıdır.
• Bildirimlerde doğru, güncel ve gerekli bilgiler kullanılmalıdır.

Üyelik kabulü, üyelikten ayrılma ve idareye bildirim süreçlerinin ayrıntıları dernek üyelik kayıtları ve bildirim yükümlülüğü kapsamında; elektronik işlemlerin idari yönü ise DERBİS işlemleri kapsamında ayrıca incelenebilir.

Derneklerde KVKK Aydınlatma Metni Nasıl Hazırlanmalıdır?

KVKK m. 10 uyarınca veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişiye gerekli bilgileri vermekle yükümlüdür.

Dernek tarafından hazırlanacak aydınlatma metninde en az şu konular açıklanmalıdır:

• Veri sorumlusu olan derneğin kimliği ve varsa temsilcisi.
• Kişisel verilerin hangi amaçlarla işleneceği.
• Verilerin kimlere ve hangi amaçlarla aktarılabileceği.
• Verilerin toplanma yöntemi ve hukuki sebebi.
• KVKK m. 11 kapsamındaki ilgili kişi hakları.

Üyelik başvurusu, bağış, gönüllü görevlendirmesi ve etkinlik katılımı gibi farklı süreçlerin veri işleme amaçları değişebilir. Bu nedenle bütün işlemler için belirsiz ifadelerden oluşan tek bir genel metin kullanmak yerine, gerektiğinde sürece özgü aydınlatma yapılmalıdır.

Aydınlatma yükümlülüğü ile açık rıza birbirinden farklıdır. Kişisel Verileri Koruma Kurulunun 26 Temmuz 2018 tarihli ve 2018/90 sayılı kararı da bu ayrımı vurgulamaktadır.

Aydınlatma metninin okunduğuna dair geri bildirim ile açık rıza verilmesi aynı onay kutusuna bağlanmamalıdır. Özellikle üyeliğin yapılabilmesi için zorunlu olmayan bir veri işleme faaliyetinde, açık rızanın özgür iradeyle verilip verilmediği ayrıca incelenmelidir.

Derneklerin VERBİS’e Kayıt Olması Zorunlu mudur?

Her derneğin VERBİS’e kaydolması zorunlu değildir. Ancak dernekler için tanınan istisnanın kapsamı, kendilerine bağlı iktisadi işletme bulunup bulunmadığı ve ilgili Kurul kararları birlikte değerlendirilmelidir.

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi’nin kısaltmasıdır. KVKK m. 16, Sicile kayıt yükümlülüğünü ve Kurulun belirli veri sorumlularına istisna tanıyabilmesini düzenler.

İktisadi işletmesi bulunmayan dernekler

Kurulun 2018/32 ve 2020/315 sayılı kararlarıyla oluşturulan, 2021/571 sayılı kararla güncellenen düzenleme kapsamında; Türkiye’de yerleşik, kendisine bağlı iktisadi işletmesi bulunmayan ve yalnızca ilgili mevzuatına ve amacına uygun olarak faaliyet alanıyla sınırlı kişisel veri işleyen dernekler için Sicile kayıt istisnası öngörülmüştür.

Bu istisnanın değerlendirilmesinde derneğin fiilî veri işleme faaliyetleri esas alınmalıdır. İstisna koşulları dışında kalan faaliyetler bakımından derneğin ayrıca değerlendirilmesi gerekir.

İktisadi işletmesi bulunan dernekler

Kurulun 9 Haziran 2021 tarihli ve 2021/571 sayılı kararına göre, kendisine bağlı iktisadi işletmesi bulunan dernekler hakkında özel bir düzenleme yapılmıştır.

Bu karar uyarınca, ilgili koşulları taşıyan derneklerin Sicile kayıt olması ve kayıt sırasında yalnızca iktisadi işletmenin faaliyetlerine ilişkin bilgi girmesi öngörülmüştür.

Bu nedenle iktisadi işletmesi bulunan derneklerde kayıt değerlendirmesi yalnızca derneğin ticari olmayan faaliyetlerine bakılarak yapılamaz. İktisadi işletmeyle bağlantının niteliği, faaliyetler ve diğer güncel istisna kriterleri birlikte incelenmelidir.

2025 tarihli VERBİS istisna kararları

Kurulun 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararıyla genel Sicil istisna kriterleri güncellenmiştir. İlgili kriterler aşağıdaki gibidir:

Kurulun 25 Aralık 2025 tarihli ve 2025/2393 sayılı kararıyla, bilanço esasına göre defter tutmayan veri sorumlularının bu kriterler kapsamında değerlendirilmesinde yıllık çalışan sayısının esas alınacağı açıklanmıştır.

Bu genel kriterler ile derneklere ve iktisadi işletmelere ilişkin özel Kurul kararları birbirinden bağımsız, otomatik muafiyet sebepleri olarak ele alınmamalıdır. Somut veri sorumlusunun hangi istisna kapsamına girdiği güncel kararlar birlikte okunarak belirlenmelidir.

Derneklerin VERBİS istisnasından yararlanması, aydınlatma, hukuka uygun veri işleme, veri güvenliği ve ilgili kişi başvurularına cevap verme yükümlülüklerini ortadan kaldırmaz.

VERBİS’e kayıt yükümlülüğü bulunan veri sorumluları açısından kişisel veri işleme envanteri ve saklama-imha politikası gibi yükümlülükler de ilgili mevzuat çerçevesinde değerlendirilmelidir. Kayıt istisnası kapsamında olan dernekler ise kanuni veri silme ve güvenlik yükümlülüklerinden muaf değildir.

Dernek Üye Listeleri ve Kişisel Veriler Üçüncü Kişilerle Paylaşılabilir mi?

Derneğin kişisel verileri hukuka uygun biçimde toplamış olması, bu verileri istediği kişiyle paylaşabileceği anlamına gelmez. KVKK m. 8, yurt içindeki kişisel veri aktarımlarını düzenler.

Üye listesinin paylaşılması, üye bilgilerini dışarıya açıklamanın ötesinde özel nitelikli kişisel verilerin aktarılması sonucunu doğurabilir. Böyle bir aktarım için uygun kanuni şartın bulunması ve gerekli önlemlerin alınması gerekir.

Yönetim ve denetim kurullarının verilere erişmesi

Derneğin yetkili organlarının kanuni ve tüzüksel görevlerini yerine getirmek amacıyla gerekli kayıtlara erişmesi mümkündür. Ancak erişimin görevle bağlantılı ve ölçülü olması gerekir.

Örneğin denetim kurulunun üyelik ve mali kayıtları incelemesiyle, dernekteki bütün gönüllülere tüm üyelerin kimlik bilgilerinin verilmesi aynı hukuki nitelikte değildir.

Denetim kurulunun görevlerini yerine getirmek için bilgi ve kayıtlara erişim hakkı, KVKK’nın veri güvenliği hükümleriyle birlikte uygulanmalıdır.

Genel kurul öncesinde üye listesinin paylaşılması

Genel kurula katılma hakkı bulunan üyelerin belirlenmesi, katılım listelerinin hazırlanması ve toplantı usulünün uygulanması için bazı üyelik bilgilerinin kullanılması gerekli olabilir.

Ancak bu amaç, bütün üyelerin kimlik numaralarının veya özel bilgilerinin herkesin erişebileceği ortamlarda yayımlanmasını haklı kılmaz.

Genel kurul belgelerinin hazırlanmasında kanuni amaç için gerekli veri alanları kullanılmalı; katılımın, temsilin ve oy hakkının denetlenebilmesi için zorunlu olmayan bilgiler gereksiz yere açıklanmamalıdır.

WhatsApp gruplarında üye bilgileri paylaşılabilir mi?

WhatsApp veya benzeri mesajlaşma uygulamalarında üye listelerinin topluca paylaşılması, kişisel verilere erişebilen kişi sayısını artırabilir. Ayrıca kullanılan hizmetin teknik yapısına göre yurt dışına veri aktarımı meselesi de ortaya çıkabilir.

Üyelerin birbirlerinin telefon numaralarını görebildiği gruplar kurulurken hukuki sebep, aydınlatma, ölçülülük ve teknik riskler değerlendirilmelidir.

Üyelere duyuru yapılması için gerektiğinde alıcı bilgilerini birbirinden gizleyen veya erişimi sınırlandıran iletişim yöntemleri tercih edilebilir.

Derneklerin Kişisel Verileri Yurt Dışına Aktarması

Dernekler yabancı bağışçılarla iletişim kurabilir, uluslararası kuruluşlarla proje yürütebilir veya yurt dışında bulunan sunucuları ve dijital hizmetleri kullanabilir. Bu işlemler sırasında kişisel verilerin yurt dışına aktarılıp aktarılmadığı ayrıca incelenmelidir.

KVKK m. 9, 7499 sayılı Kanun’la yeniden düzenlenmiş ve yeni rejim 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Eski birinci fıkranın geçici olarak birlikte uygulanmasına ilişkin dönem 1 Eylül 2024 tarihinde sona ermiştir.

Yeni düzenlemede yurt dışına aktarım bakımından temel olarak şu sistem öngörülmüştür:

1. KVKK m. 5 veya 6 kapsamında uygun veri işleme şartının bulunması ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararının mevcut olması.
2. Yeterlilik kararı yoksa, kanunun aradığı diğer koşullarla birlikte uygun güvencelerden birinin sağlanması.
3. Yeterlilik kararı ve uygun güvence bulunmayan hâllerde, yalnızca kanunda sınırlı olarak sayılan arızi aktarım durumlarından birinin gerçekleşmesi.

Uygun güvenceler arasında, koşullarına göre Kurul tarafından ilan edilen standart sözleşmeler ve Kurul iznine tabi taahhütnameler bulunmaktadır. Standart sözleşmelerin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir (KVKK m. 9/5).

Arızi aktarım için öngörülen açık rıza istisnası, sürekli ve düzenli bütün yurt dışı aktarımlarının yalnızca rıza alınarak yapılabileceği anlamına gelmez.

Örneğin bir dernek, üyelik kayıtlarını yurt dışındaki bir bulut sisteminde saklıyorsa; hizmet sağlayıcının rolünü, verilere yurt dışından erişim olup olmadığını, aktarımın sürekliliğini, veri işleme şartını ve varsa uygun güvence mekanizmasını değerlendirmelidir.

Benzer şekilde yabancı bir fon sağlayıcıya iletilen proje raporunda yararlanıcıların kimlik veya sağlık bilgilerinin bulunması, ayrıca veri aktarımı değerlendirmesi gerektirebilir. Gereksiz kişisel bilgilerin çıkarılması veya gerçekten anonim hâle getirilmiş verilerin kullanılması, riskleri azaltabilecek yöntemlerdir.

Derneklerde Kişisel Veri Güvenliği Nasıl Sağlanmalıdır?

KVKK m. 12, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve verilere yetkisiz erişimi önlemek, verilerin korunmasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almasını zorunlu kılar.

Üyelik verilerinin özel nitelikli olması nedeniyle Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı kararıyla belirlenen yeterli önlemler ayrıca dikkate alınmalıdır.

İdari güvenlik tedbirleri

• Dernek içinde kişisel veri işleme süreçlerinin ve sorumluların belirlenmesi.
• Üyelik kayıtlarına erişim yetkilerinin görev esasına göre tanımlanması.
• Yetkililere veri güvenliği ve gizlilik konusunda düzenli eğitim verilmesi.
• Gerekli gizlilik yükümlülüklerinin yazılı olarak düzenlenmesi.
• Görevden ayrılan veya yetkisi sona eren kişilerin erişim haklarının gecikmeden kaldırılması.
• Veri işleyen hizmet sağlayıcılarla sorumluluk ve güvenlik hükümlerinin belirlenmesi.
• Üyelik kayıtları ve veri erişim süreçlerinin düzenli olarak denetlenmesi.

Teknik güvenlik tedbirleri

• Özel nitelikli verilerin uygun kriptografik yöntemlerle korunması.
• Elektronik sistemlerde kullanıcı yetkilerinin sınırlandırılması.
• Uygun durumlarda çok faktörlü kimlik doğrulama kullanılması.
• Önemli veri erişim ve işlem hareketlerinin kayıt altına alınması.
• Güvenlik güncellemelerinin ve gerekli testlerin yapılması.
• Yedeklerin yetkisiz erişime karşı korunması.
• Fiziki belgelerin kilitli ve kontrollü alanlarda saklanması.
• Veri aktarımlarında güvenli iletişim kanallarının kullanılması.

Bu tedbirlerin kapsamı, işlenen verinin niteliği, miktarı, işleme yöntemi ve risklere göre belirlenmelidir. Özellikle üye listelerinin kişisel bilgisayarlara indirilmesi, ortak şifre kullanılması ve eski yöneticilere ait erişimlerin açık bırakılması önlenmelidir.

Elektronik genel kurul ve yönetim kurulu toplantılarına ilişkin Dernekler Yönetmeliği m. 15/A da ilgili sistemlerde işlenecek verilerin KVKK hükümlerine uygun olarak işlenip muhafaza edilmesini öngörmektedir.

Derneklerin idari denetimlerinde defter ve kayıtlarını ibraz etme yükümlülüğü bulunması, kişisel verilerin güvenli saklanması ihtiyacını ortadan kaldırmaz. İdari denetimin usul ve kapsamı derneklerin denetimi başlığında ayrıca ele alınmaktadır.

Derneklerde Kişisel Veriler Ne Kadar Süre Saklanabilir?

KVKK m. 4/2-d uyarınca kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.

Bu nedenle bütün kişisel veriler için tek bir saklama süresi belirlenmesi doğru değildir. Her veri grubu ve işleme amacı ayrı değerlendirilmelidir.

Örneğin 5253 sayılı Dernekler Kanunu m. 11, alındı belgeleri ve harcama belgeleri için beş yıllık saklama süresi öngörmektedir. Ancak bu hüküm, derneğin topladığı bütün üyelik, sağlık, fotoğraf veya iletişim verilerinin aynı süreyle saklanacağı anlamına gelmez.

Üyelik başvurusunun reddedilmesi, üyeliğin sona ermesi, gönüllü görevinin bitmesi veya bir etkinliğin tamamlanması, ilgili kayıtların saklanma gerekliliğinin yeniden değerlendirilmesini gerektirebilir.

Üyelikten ayrılan kişinin verileri derhâl silinir mi?

Üyelikten ayrılma, bütün kişisel verilerin otomatik olarak aynı anda silinmesini gerektirmez. Derneğin kanuni kayıt yükümlülükleri, mevcut bir hukuki uyuşmazlık veya başka bir meşru saklama sebebi devam edebilir.

Bununla birlikte üyeliğin sona ermesinden sonra işleme amacı kalmayan bilgilerin süresiz olarak muhafaza edilmesi hukuka aykırılık oluşturabilir.

KVKK m. 7 gereğince işlenmesini gerektiren sebepler ortadan kalktığında, kişisel veriler ilgili yönetmelikteki esaslara göre resen veya ilgili kişinin talebi üzerine silinmeli, yok edilmeli ya da anonim hâle getirilmelidir.

Anonimleştirme, yalnızca isimlerin silinmesi demek değildir. Veri başka bilgilerle birleştirildiğinde dahi ilgili kişi belirlenebiliyorsa gerçek anlamda anonimleştirme gerçekleşmemiş olabilir.

Dernek defterlerinin saklanması ve kayıt düzenine ilişkin özel hükümler, dernek defterleri ve kayıt düzeni kapsamında değerlendirilmelidir.

Bağışçıların, Gönüllülerin ve Çocukların Kişisel Verileri Nasıl Korunur?

Bağışçıların kişisel verileri

Derneklerin bağış işlemlerini belgelendirmek amacıyla gerekli bilgileri işlemesiyle bağışçıları kamuya duyurması farklı hukuki işlemlerdir.

Bağışçının kimlik ve ödeme bilgilerinin mali yükümlülükler nedeniyle işlenebilmesi, isminin internet sitesinde yayımlanmasına kendiliğinden izin vermez.

Özellikle dini, siyasi veya felsefi nitelikli bir kuruluşa yapılan bağışın kişinin inancı veya görüşleri hakkında bilgi ortaya çıkarabileceği durumlarda, verinin niteliği ve işleme şartı daha dikkatli değerlendirilmelidir.

Gönüllülerin kişisel verileri

Gönüllülerden faaliyetlerinin gerektirdiği iletişim ve görevlendirme bilgileri alınabilir. Ancak gönüllü çalışmanın niteliği, görev kapsamı ve somut ihtiyaç bulunmadan gereksiz sağlık, aile veya kimlik bilgilerinin toplanması hukuki risk doğurabilir.

Gönüllü kişiye bilgisayar, üye listesi veya bağışçı kayıtlarına erişim yetkisi verilmesi hâlinde, ilgili kişinin veri güvenliği ve gizlilik yükümlülükleri belirlenmelidir.

Gönüllü faaliyetinin hukuki niteliği ve işçilik ilişkisiyle farkları, derneklerde gönüllü çalışma kapsamında ayrıca incelenebilir.

Çocukların kişisel verileri

Çocuk dernekleri ile çocuklara yönelik eğitim, spor ve sosyal yardım faaliyetlerinde kişisel verilerin işlenmesi ayrıca dikkat gerektirir.

Çocuğun yaşına, ayırt etme gücüne, işlemin niteliğine ve uygulanabilir temsil kurallarına göre gerekli bilgilendirme ve rıza süreçleri belirlenmelidir.

Bir çocuğun fotoğrafının veya sağlık bilgisinin kamuya açıklanması, yalnızca etkinliğe katılması nedeniyle hukuka uygun hâle gelmez. Çocukların yüksek yararı, mahremiyetleri ve verilerin kötüye kullanılma ihtimali gözetilmelidir.

Kişisel Veri İhlali Yaşayan Dernek Ne Yapmalıdır?

Üyelik listesinin yanlış kişiye gönderilmesi, dernek bilgisayarının kötü amaçlı yazılımla ele geçirilmesi, yetkisiz erişim veya kişisel verilerin üçüncü kişilerce hukuka aykırı elde edilmesi veri ihlali oluşturabilir.

KVKK m. 12/5 uyarınca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, durumu en kısa sürede ilgili kişilere ve Kurula bildirmelidir.

Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre, bu kapsamdaki ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirim yapılmalıdır.

İhlalden etkilenen kişiler ise belirlendikten sonra makul olan en kısa sürede uygun yöntemle bilgilendirilmelidir.

Derneğin ihlal durumunda izlemesi gereken başlıca işlemler şunlardır:

1. Yetkisiz erişimi veya veri kaybına yol açan durumu mümkün olduğunca hızlı biçimde durdurmak.
2. İhlalin başlangıcını, kapsamını ve etkilenen veri kategorilerini belirlemek.
3. Özellikle üyelik ve sağlık bilgisi gibi özel nitelikli verilerin etkilenip etkilenmediğini incelemek.
4. Kanuni bildirim yükümlülüğünün koşullarını ve sürelerini değerlendirmek.
5. İlgili kişileri gerekli şekilde bilgilendirmek.
6. İhlalin sebeplerini, alınan önlemleri ve yapılan işlemleri kayıt altına almak.

72 saat içinde haklı gerekçeyle bildirim yapılamaması durumunda gecikmenin sebeplerinin Kurula açıklanması gerekir. Bu süre, her türlü güvenlik olayında otomatik olarak veri ihlali bildirimi yapılacağı anlamına gelmez; olayın KVKK m. 12/5 kapsamına girip girmediği belirlenmelidir.

Dernek Üyeleri KVKK Kapsamında Hangi Haklara Sahiptir?

KVKK m. 11 uyarınca ilgili kişiler, dernekten kendileri hakkında kişisel veri işlenip işlenmediğini öğrenmeyi, işlenmişse bilgi almayı, işleme amacını ve aktarıldığı üçüncü kişileri öğrenmeyi isteyebilir.

Şartları oluştuğunda yanlış verilerin düzeltilmesini, verilerin silinmesini veya yok edilmesini, yapılan işlemlerin aktarım yapılan üçüncü kişilere bildirilmesini ve kanuna aykırı işlem nedeniyle oluşan zararlarının giderilmesini talep edebilirler.

Dernek KVKK başvurusuna kaç gün içinde cevap vermelidir?

KVKK m. 13 uyarınca veri sorumlusu dernek, ilgili kişinin usulüne uygun başvurusunu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır.

Başvurular kural olarak ücretsiz sonuçlandırılır. İşlemin ayrıca maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret alınabilir.

Derneğin cevabına karşı nereye başvurulur?

Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi Kurula şikâyette bulunabilir.

KVKK m. 14’e göre şikâyet, veri sorumlusunun cevabının öğrenildiği tarihten itibaren 30 gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren 60 gün içinde yapılmalıdır.

Veri sorumlusuna başvuru yolu tüketilmeden doğrudan Kurula şikâyette bulunulamaz. Kişilik haklarının ihlali nedeniyle genel hükümlere göre tazminat talep edilmesi hakkı ise saklıdır.

KVKK’ya Aykırı Hareket Eden Derneklere Hangi Cezalar Uygulanır?

KVKK yükümlülüklerinin ihlali idari yaptırımlara, bazı fiiller bakımından cezai sorumluluğa ve şartları oluştuğunda özel hukuk kapsamında tazminat sorumluluğuna yol açabilir.

İdari para cezaları

KVKK m. 18 kapsamında başlıca idari yaptırım konuları şunlardır:

• Aydınlatma yükümlülüğünün yerine getirilmemesi.
• Veri güvenliğine ilişkin yükümlülüklere aykırı davranılması.
• Kurul tarafından verilen kararların yerine getirilmemesi.
• VERBİS’e kayıt ve bildirim yükümlülüğünün ihlal edilmesi.
• Yurt dışı aktarımında standart sözleşmenin kanuni sürede bildirilmemesi.

İdari para cezaları, ilgili kanuni bentte belirtilen muhataba uygulanır. Özellikle KVKK m. 9/5’teki standart sözleşme bildirim yükümlülüğünün ihlalinde veri sorumlusu veya veri işleyen bakımından özel düzenleme bulunmaktadır.

KVKK m. 18’deki parasal tutarlar yıllık yeniden değerleme uygulamasına tabidir. Bu nedenle yaptırım tutarı belirlenirken ihlale uygulanacak dönem ve Kişisel Verileri Koruma Kurumunun yayımladığı güncel idari para cezası tutarları esas alınmalıdır.

KVKK m. 18/3 uyarınca Kurul tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Somut olayda süre ve diğer usul şartları, uygulanabilir idari yargılama mevzuatı çerçevesinde değerlendirilmelidir.

Ceza hukuku sorumluluğu

KVKK m. 17, kişisel verilere ilişkin suçlarda Türk Ceza Kanunu’nun 135 ila 140. maddelerine atıf yapmaktadır.

Kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya ele geçirilmesi ve kanuni şartları oluştuğu hâlde yok edilmemesi gibi fiiller, somut olayın özelliklerine göre ceza sorumluluğu doğurabilir.

Bir dernekte veri ihlali meydana gelmiş olması tek başına bütün yöneticilerin suç işlediği anlamına gelmez. Failin fiili, kastı, görevi ve ilgili suçun unsurları ayrıca değerlendirilmelidir.

Tazminat sorumluluğu

Kişisel verilerin hukuka aykırı işlenmesi nedeniyle kişilik hakları ihlal edilen kişiler, koşulları oluştuğunda genel hükümlere göre zararlarının giderilmesini isteyebilir.

Bu sorumluluğun belirlenmesinde hukuka aykırılık, zarar, illiyet bağı ve uygulanabilir kusur veya sorumluluk rejimi değerlendirilmelidir.

Dernekler KVKK Uyum Sürecini Nasıl Yürütmelidir?

Derneklerde kişisel veri koruma yükümlülüğünün yerine getirilmesi yalnızca bir internet sitesi aydınlatma metni hazırlamaktan ibaret değildir.

Hukuki ve organizasyonel uyum çalışması, derneğin gerçekten yürüttüğü işlemleri esas almalıdır.

1. Veri işleme faaliyetlerinin belirlenmesi: Üyelik, bağış, gönüllülük, personel, etkinlik ve elektronik iletişim süreçlerinde hangi kişisel verilerin işlendiği tespit edilmelidir.
2. Hukuki sebeplerin değerlendirilmesi: Her faaliyet için KVKK m. 5 veya özel nitelikli veri söz konusuysa m. 6 kapsamında uygun işleme şartı belirlenmelidir.
3. Aydınlatma süreçlerinin düzenlenmesi: Üyeler ve diğer ilgili kişiler, veri toplama sırasında hukuka uygun biçimde bilgilendirilmelidir.
4. VERBİS durumunun incelenmesi: Derneğin statüsü, iktisadi işletmeleri, veri işleme faaliyetleri ve güncel Kurul kararları değerlendirilmelidir.
5. Erişim ve güvenlik önlemlerinin uygulanması: Yönetici, personel, gönüllü ve hizmet sağlayıcıların veri erişim yetkileri sınırlandırılmalıdır.
6. Saklama ve imha süreçlerinin oluşturulması: Her veri kategorisi için hukuki saklama nedenleri ve saklama süresi belirlenmelidir.
7. Başvuru ve ihlal prosedürlerinin hazırlanması: İlgili kişi taleplerinin, veri güvenliği olaylarının ve bildirimlerin nasıl yürütüleceği düzenlenmelidir.
8. Düzenli kontrol: Yönetim değişiklikleri, yeni projeler, elektronik sistemler ve mevzuat değişiklikleri karşısında uygulamalar yeniden gözden geçirilmelidir.

Derneğin faaliyeti, üye sayısı, özel nitelikli veri kategorileri ve kullanılan sistemler bu çalışmaların kapsamını etkiler. Bu nedenle bütün derneklere aynı standart belge setini uygulamak yerine, somut faaliyetler ve hukuki riskler üzerinden değerlendirme yapılmalıdır.

Özellikle üyelik bilgileri, uluslararası veri aktarımı, VERBİS yükümlülüğü ve veri ihlali süreçleri gibi hukuki konular, dernek avukatı tarafından yürütülen hukuki danışmanlık ve uyum çalışmalarının kapsamında değerlendirilebilir. İnceleme, derneğin faaliyet gösterdiği il ile sınırlı olmayıp Türkiye genelindeki derneklerin somut işlem ve yükümlülüklerine göre yürütülebilir.

Derneklerde KVKK Hakkında Sıkça Sorulan Sorular

1. Derneklerin KVKK aydınlatma metni hazırlaması zorunlu mudur?

Dernekler, KVKK m. 10 kapsamındaki aydınlatma yükümlülüğünü yerine getirmek zorundadır. Bunun için işleme faaliyetine uygun metinler ve bilgilendirme yöntemleri kullanılabilir. VERBİS istisnası, aydınlatma yükümlülüğünü ortadan kaldırmaz.

2. Dernek üye listesi kişisel veri midir?

Evet. Üyelerin kimlik ve iletişim bilgileri kişisel veridir. Ayrıca bir kişinin derneğe üye olduğu bilgisi KVKK m. 6 kapsamında özel nitelikli kişisel veridir. Üye listesinin paylaşılması bu nedenle özel koruma gerektirir.

3. Dernekler üyelerin açık rızası olmadan bilgi işleyebilir mi?

Kanunda belirtilen uygun işleme şartının mevcut olduğu ölçüde mümkündür. Ancak üyelik bilgileri özel nitelikli olduğundan KVKK m. 6’daki şartlar ayrıca aranır. Açık rıza bulunması da amaç dışı ve ölçüsüz veri işlemeye izin vermez.

4. Küçük derneklerin VERBİS kaydı yaptırması gerekir mi?

Her küçük dernek için otomatik kayıt zorunluluğu yoktur. Derneklere tanınan özel istisnalar, iktisadi işletme bulunup bulunmadığı ve güncel Sicil kriterleri birlikte değerlendirilmelidir. Kayıt yükümlülüğünün bulunmaması KVKK’dan genel muafiyet anlamına gelmez.

5. Dernek üyesinin telefon numarası diğer üyelerle paylaşılabilir mi?

Bu paylaşımın hukuka uygun bir amacı ve işleme şartı bulunmalıdır. Üyenin telefon numarasını derneğe vermesi, bu numaranın bütün üyelere açıklanmasına kendiliğinden izin vermez. Üyelik ve iletişim amaçları ile kullanılan paylaşım yöntemi ayrıca incelenmelidir.

6. Dernek üyeliğinden ayrılan kişi bütün kayıtlarının silinmesini isteyebilir mi?

İlgili kişi KVKK m. 11 kapsamında silme veya yok etme talebinde bulunabilir. Ancak derneğin kanuni kayıt yükümlülükleri veya başka hukuki saklama sebepleri devam ediyorsa bazı verilerin belirli süre muhafazası gerekebilir. Talep, her veri kategorisi yönünden ayrı değerlendirilmelidir.

7. Derneklerin yurt dışındaki bulut sistemlerini kullanması yasak mıdır?

Yurt dışındaki bulut hizmetlerinin kullanılması kategorik olarak yasak değildir. Ancak kişisel verilerin yurt dışına aktarılması söz konusuysa KVKK m. 9’daki veri işleme şartları, yeterlilik kararı, uygun güvence veya kanunda belirtilen arızi aktarım hâlleri yönünden değerlendirme yapılmalıdır.

8. Derneğin üyelik verileri çalınırsa Kurula bildirim yapılmalı mıdır?

KVKK m. 12/5 kapsamında kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bildirim yükümlülüğü doğar. Kurulun 2019/10 sayılı kararı uyarınca Kurula bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde yapılmalıdır. İlgili kişilerin de makul olan en kısa sürede bilgilendirilmesi gerekir.

Yazar Avukat Fatih SEFER