Kişisel Verilerin Korunması Kanunu’nun kabulü sonrası her kesimde olduğu gibi derneklerde de mevzuata uyum çalışmaları önem kazandı. Mevzuat, Kişisel Verileri Koruma Kurumu ve aynı isimli Kurulun mevzuatı yorumlayan ve Resmî Gazete’de yayımlanan kararları, konunun dinamik yönünü ortaya koyuyor. Kurul tarafından düzenlenen yüksek idari para cezaları, uzun zamandır kişisel veri toplayan veya bulundurmak zorunda olan herkes gibi derneklerin de uykusunu kaçırıyor.
Hemen belirtelim ki bu mekanizma aslında kişisel verilerin korunmasına, yani kişilerin haklarının korunmasına ilişkin bir mevzuatın ürünü. Sivil toplum, KVKK denilince haklı olarak birtakım angarya işleri ve cezalandırma riskini hissetse de KVKK mevzuatı insan hakları açısından yargısal olmayan bir denetim mekanizması işlevi de görüyor. Örneğin Kişisel Verileri Koruma Kurumunun görevlerinden biri de yıllık faaliyet raporunu Cumhurbaşkanlığının yanı sıra Türkiye Büyük Millet Meclisi İnsan Haklarını İnceleme Komisyonuna sunmak. Nitekim Kurum bünyesindeki Kişisel Verileri Koruma Kurulu ise parlamentonun denetim mekanizmalarından biri işlevini görüyor. Zira bu kurulun dokuz üyesinden beşi TBMM Genel Kurulu tarafından seçiliyor ve TBMM’de grubu bulunan siyasi parti gruplarının Kurulda oy oranlarına göre temsilini güvence altına alan bir yapısı var. Yani korkulu rüyalara neden olan bu kurul aslında aynı zamanda parlamentonun uzantısı işlevine sahip. Kalan üyelerini ise Cumhurbaşkanı atıyor.
HANGİ KAYITLARIN TUTULMASI KVKK AÇISINDAN HUKUKA UYGUN?
Öncelikle belirtelim ki derneklerin kanunen açıkça öngörülmesi halinde veri sahibinin özel bir rızası olmasa bile bazı kişisel verilerin işlenmesi mümkün, hatta zorunludur. Örneğin Dernekler Tarafından Tutulan Üye Kayıt Defterinde Bulunması Gereken Bilgiler ile Bu Defterin Şekli Hakkında Tebliğ uyarınca derneğe üyelik başvurusu kabul edilen gerçek kişi üyenin; adı soyadı, T.C. kimlik numarası, tabiiyeti, anne adı, cinsiyeti, üyeliğe giriş ve üyelikten çıkış tarihlerinin deftere yazılması zorunludur. Dolayısıyla dernek açısından kanunen açıkça öngörülmüş olan bu bilgilerin dernek defterlerine üyenin rızası bulunmadığı halde işlenmesi hukuka aykırı olmayacaktır. Bu durum, kanunun 5/2-a bendinden kaynaklanmaktadır.
| “(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi.” |
Sayılanlar arasında üyenin adresi, e-mail adresi veya cep telefonu numarasının bulunmadığı dikkat çekmektedir. Peki bu tür bilgilerin rıza olmaksızın dernek tarafından işlenmesi mümkün müdür? Buna evet cevabı verebiliriz. Zira Dernekler mevzuatı, genel kurul süreçlerinde üyelere gündem, toplanma yeri gibi konulara ilişkin bilgi verilmesini zorunlu tutar; bu bilgilerin SMS veya mail yoluyla iletilmesine olanak sağlar. Bu bilgilerin toplanmasını doğrudan zorunlu kılan bir kural yok denebilirse de derneğin genel kurulundan üyelerin haberdar edilmesi başka bir mevzuatın zorunlu sonucudur. Dolayısıyla burada da Kanunun 5/2-ç bendi devreye girecektir.
| “(2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.” |
Ayrıca bu veriyi işleyen dernek açısından meşru bir menfaat olduğunu da gözden kaçırmamak gerekir.
ETKİNLİKTEKİ İLETİŞİM BİLGİLERİNİ TOPLAMAK, FOTOĞRAF KAYDI ALMAK MÜMKÜN MÜDÜR?
Birçok dernek yürüttüğü projelerle ilgili fon verenlere hesap vermek zorundadır. Ara ve nihai raporlar, derneğin harcama ve faaliyetlerinin yürüttüğü projelerle ilgili olarak ikna edici bilgileri içermesini zorunlu kılar. Örneğin faaliyet yapan, bir atölye çalışması yürüten dernekler açısından katılımcıların isim ve soy isim bilgileri ile iletişim bilgilerini almak zorunlu mudur? Öte yandan son dönemde dernek denetimlerinde Sivil Toplumla İlişkiler Müdürlüğünün faaliyetlere ilişkin soruları, etkinlik katılımcısı kişilerin gerçekten var olduğunu ispat konusunda dernekleri özel bir çabaya itmiştir.
Burada henüz Kurul tarafından verilmiş spesifik bir karar yoktur. Belirsizliğin kanun çerçevesinde yorumlanması gerekir. Proje makamına ve Sivil Toplumla İlişkiler Müdürlüğüne hesap verme yükümlülüğü, dernek açısından kişisel verilerin belirli bir yükümlülüğü yerine getirmek bağlamında tutulmasına olanak sağlayabilir. Örneğin etkinliğe katılanların isim ve soy isimlerinin kayıt altına alınması böyledir. Kanımızca iletişim bilgilerinin toplanması da olası bir denetimde çapraz doğrulama konusunda bir ihtiyacı açığa çıkarabilir; bu nedenle kişinin gerçekliğinin iletişim bilgileriyle doğrulanması ihtiyacı doğacaktır. Ancak bu durumlarda en doğrusu kişilerin iletişim bilgilerinin hangi nedenle alındığını açıkça açıklamak, bu açıklamanın kişiler tarafından okunduğunu ispata yarayacak imza almak ve ayrıca aydınlatıldıklarını da imzalarıyla teyit etmektir.
AYDINLATMA METNİ ZORUNLULUĞU
Derneklerin bir kısmının aydınlatma metinleri hazırladığı görülmektedir. Bu hem veri sahibinin haklarını yazılı olarak kendilerine iletmek hem de derneklerin kendilerini belirli ilkelerle sınırlamaları açısından olumludur. Ancak bu zaten aynı zamanda bir zorunluluktur. Zira dernek, faaliyetini sürdürürken zorunlu olarak kişisel veri toplar. Kanunun 10. maddesi ise verisi işlenenin aydınlatılmasını zorunlu kılar.
| Veri sorumlusunun aydınlatma yükümlülüğü MADDE 10- (1) Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; a) Veri sorumlusunun ve varsa temsilcisinin kimliği, b) Kişisel verilerin hangi amaçla işleneceği, c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi, d) 11 inci maddede sayılan diğer hakları, konusunda bilgi vermekle yükümlüdür. |
Her derneğin bir politika belgesi olması bu bağlamda zorunludur.
AMA VERBİS ZORUNLULUĞU YOK
VERBİS, yani Kişisel Verileri Koruma Kurumu Veri Sorumluları Sicil Bilgi Sistemi’ne kayıt her dernek açısından bir zorunluluk değildir. Zorunluluk, iktisadi işletmesi mevcut olan dernekler açısından söz konusudur ve kayıtta sadece iktisadi işletme ile ilgili bilgilerin girişi yapılır. Ancak diğer derneklerin VERBİS kayıt yükümlülüğü olmaması, yukarıda bahsettiğimiz veri sahibinin aydınlatılması zorunluluğuna bir istisna getirmez.
Bu yazı 28 Haziran 2026 tarihinde yayımlanmıştır.