Üyelik verisinin özel nitelikli olması
Dernek ve vakıf üyeliği KVKK m.6'da sayılan özel nitelikli veriler arasındadır. Üye listesinin e-posta ekinde dolaşması veya ortak buluta konması tek başına ciddi bir ihlal riskidir.
Sektör · Sektörel KVKK Çözümü
Dernek, Vakıf ve Sivil Toplum Kuruluşlarına Özel KVKK Çözümleri
Bir derneğe üye olmak, çoğu zaman kişinin görüşünü açık eder. KVKK üyelik verisini bu nedenle özel nitelikli sayar. Sınırlı bütçeyle çalışan kuruluşlar için ağır değil ama gerçekten koruyan bir uyum düzeni kuruyoruz.
Kısa cevap
Dernek, vakıf ve sivil toplum kuruluşlarında KVKK uyumunun temeli tek bir tespitte toplanır: dernek ve vakıf üyeliği bilgisi KVKK m.6 kapsamında özel nitelikli kişisel veridir. Üyelik, çoğu zaman kişinin siyasi düşüncesini, felsefi inancını, dinî görüşünü veya sağlık durumunu dolaylı olarak açığa vurur. Bu nedenle üye listesi sıradan bir iletişim listesi gibi yönetilemez; erişim daraltılmalı, aktarım sınırlandırılmalı ve Kurul'un öngördüğü ek güvenlik tedbirleri uygulanmalıdır.
STK'larda KVKK Neden Ayrı Yönetilmeli?
Sivil toplum kuruluşları, ticari şirketlerden daha hassas veri işler ama genellikle daha az kaynağa sahiptir. Üyelik verisi özel nitelikli, yararlanıcı verisi çoğu zaman sağlık veya ekonomik durum bilgisi içerir, gönüllü kadrosu ise sürekli değişir. Buna bir de dernekler mevzuatının kendi bildirim yükümlülükleri eklenir; iki çerçeve birlikte okunmadan doğru bir düzen kurulamaz.
Yararlanıcı ve yardım başvuruları
Burs, gıda yardımı, tedavi desteği ve barınma başvuruları; sağlık durumu, ekonomik güçlük ve aile yapısı bilgisi taşır. Bu veriler kişinin en kırılgan anında toplanır.
Bağışçı iletişimi ve kampanyalar
Bağış yapan kişilerin listeleri kampanya duyuruları için kullanılır; ticari elektronik ileti izni ve rıza yönetimi çoğu kuruluşta hiç kurulmamıştır.
Etkinlik ve saha fotoğrafları
Etkinlik ve yardım dağıtımı fotoğraflarının paylaşımı; kişinin üyeliğini veya yardım aldığını kamuya açık hâle getirir ve ayrı bir rıza gerektirir.
Gönüllü devir hızı
Gönüllüler sık değişir ve çoğu zaman kendi kişisel cihaz ve hesaplarıyla çalışır; ayrılan gönüllünün elinde kalan liste kurumsal kontrol dışındadır.
Uluslararası fon ve raporlama
Yurt dışı fon sağlayıcılara sunulan faaliyet raporlarında yararlanıcı bilgisi yer alabilir; bu, sınır ötesi aktarım rejimine tabidir.
STK'larda İşlenen Kişisel Veriler
Aşağıdaki kırılım üyelik, bağış, gönüllülük ve yararlanıcı süreçlerinden doğan veri kategorilerini gösterir. Küçük ölçekli kuruluşlarda bile bu kategorilerin çoğu birlikte bulunur.
Üyelik kayıtları
Özel nitelikliAd soyad, T.C. kimlik numarası, iletişim bilgileri, üyelik giriş-çıkış tarihleri, aidat kayıtları, üye defteri
Hukuki sebep ve not: Dernek ve vakıf üyeliği özel nitelikli veridir; erişim yönetim kurulu ve yetkili personelle sınırlandırılır.
Yararlanıcı ve başvuru dosyaları
Özel nitelikliBurs ve yardım başvuruları, gelir beyanı, sağlık raporu, aile yapısı bilgisi, sosyal inceleme raporları
Hukuki sebep ve not: Sağlık ve benzeri bilgiler özel nitelikli veridir; başvuru sonuçlandıktan sonraki saklama süresi ayrıca belirlenir.
Bağışçı kayıtları
Ad soyad, iletişim bilgileri, bağış tutarı ve tarihi, ödeme yöntemi, düzenli bağış talimatları, makbuz kayıtları
Hukuki sebep ve not: Hukuki yükümlülük ve sözleşme; kampanya iletişimi için ayrıca ticari elektronik ileti izni gerekir.
Gönüllü kayıtları
Kimlik ve iletişim bilgileri, gönüllülük sözleşmeleri, görev ve vardiya kayıtları, eğitim katılım listeleri
Hukuki sebep ve not: Sözleşme ve meşru menfaat; çocuk ve kırılgan gruplarla çalışan gönüllülerde ek belge talebi ayrıca gerekçelendirilir.
Etkinlik ve iletişim
Katılımcı listeleri, etkinlik fotoğraf ve videoları, bülten abone listeleri, sosyal medya etkileşimleri
Hukuki sebep ve not: Açık rıza; görsellerde kişinin üyeliğinin veya yararlanıcı olduğunun açığa çıkmamasına dikkat edilir.
Mevzuat bildirimleri
Beyanname ekleri, denetim kayıtları, yönetim kurulu ve genel kurul tutanakları, üye listeleri
Hukuki sebep ve not: Hukuki yükümlülük; mevzuatın istediği kapsamla sınırlı paylaşım yapılır, fazlası aktarılmaz.
Çözüm Kapsamı
Program, kuruluşun ölçeğine göre kurulur. Küçük bir dernekte hedef, az sayıda ama gerçekten uygulanan tedbirdir; büyük vakıflarda ise bağış, burs ve saha operasyonu ayrı hatlar hâlinde ele alınır.
Ölçeğe uygun veri envanteri
Üyelik, bağış, gönüllülük, yararlanıcı ve etkinlik süreçleri; kaynak, hukuki sebep ve saklama süresi kırılımıyla çıkarılır.
Üye listesi erişim mimarisi
Özel nitelikli üyelik verisi için erişim yetkisi daraltılır, şifreleme ve erişim kaydı kurulur, e-posta ekiyle dolaşım durdurulur.
Aydınlatma ve açık rıza metinleri
Üye, bağışçı, gönüllü, yararlanıcı ve etkinlik katılımcısı için ayrı metinler; başvuru formlarına gömülü rıza tasarımı dâhil.
Yararlanıcı verisi koruma düzeni
Başvuru dosyalarının kısıtlı erişimi, karar sonrası saklama süresi ve imhası; sosyal inceleme raporlarının ayrı korunması sağlanır.
Gönüllü ve cihaz disiplini
Gönüllü gizlilik taahhütnamesi, kurumsal hesap kullanımı ve ayrılışta veri iadesi akışı kurulur.
VERBİS değerlendirmesi
Kayıt yükümlülüğü kriterleri kuruluş bazında değerlendirilir; yükümlülük varsa envanterle uyumlu kayıt yapılandırılır.
Üye Listesi Şu An Kaç Yerde Duruyor?
- Üye listesi yönetim kurulu üyelerinin kişisel e-posta kutularında ve telefonlarında duruyor.
- Aidat takibi için hazırlanan tablo, ortak buluttaki herkese açık bir klasörde bulunuyor.
- Burs başvurusundaki sağlık raporu ve gelir belgesi, karar verildikten sonra da imha edilmiyor.
- Yardım dağıtımı fotoğrafları, yararlanıcıların yüzü görünecek biçimde sosyal medyada paylaşılıyor.
- Ayrılan gönüllünün telefonundaki bağışçı listesi hiçbir zaman geri alınmıyor.
- Bağış makbuzu için alınan iletişim bilgisi, ayrı bir izin olmadan kampanya listesine ekleniyor.
Uygulama Süreci
Keşif ve kapsam
Üyelik, bağış, gönüllülük ve yararlanıcı süreçleri yönetim kuruluyla birlikte gözden geçirilir; listelerin fiilen nerede tutulduğu tek tek doğrulanır.
Veri envanteri
Tüm veri işleme faaliyetleri; veri kategorisi, hukuki sebep, saklama süresi, alıcı grubu ve aktarım kırılımıyla çıkarılır.
Boşluk analizi
Mevcut durum mevzuatla karşılaştırılır; açıklar ihlal olasılığı ve etkisine göre önceliklendirilir.
Belgelendirme ve devreye alma
Politika, aydınlatma metni, sözleşme seti ve VERBİS adımları hazırlanıp uygulamaya alınır.
Eğitim ve sürdürme
İlgili ekiplere rol bazlı eğitim verilir; periyodik gözden geçirme takvimi kuruma devredilir.
Teslim Edilecek Çıktılar
- Kişisel veri işleme envanteri ve veri akış haritası
- Kişisel veri saklama ve imha politikası ile periyodik imha takvimi
- Veri işleyen sözleşmesi ve gizlilik taahhütnamesi seti
- VERBİS kayıt dosyası ve güncelleme kılavuzu
- İlgili kişi başvurusu karşılama prosedürü ve yanıt şablonları
- Veri ihlali müdahale planı ve Kurul'a bildirim akışı
- Üye, bağışçı, gönüllü, yararlanıcı ve katılımcı aydınlatma metinleri
- Üye listesi erişim ve şifreleme protokolü
- Yararlanıcı başvuru dosyası saklama ve imha prosedürü
- Gönüllü gizlilik taahhütnamesi ve ayrılış kontrol listesi
- Etkinlik görseli çekim, paylaşım ve itiraz akışı
Kimler İçin Uygun?
Dernekler
Üye defteri tutan, aidat toplayan ve mevzuat gereği beyanname veren her ölçekten dernek.
Vakıflar
Burs, sağlık ve sosyal yardım programı yürüten, geniş bağışçı ve yararlanıcı kaydı tutan kuruluşlar.
Meslek örgütleri ve odalar
Üyelik kaydı, sicil ve disiplin süreçleri yürüten kamu kurumu niteliğindeki meslek kuruluşları.
Sosyal girişim ve platformlar
Gönüllü ağıyla çalışan, uluslararası fon alan ve düzenli raporlama yapan yapılar.
İlgili Hizmetler
Bu sektörel program, aşağıdaki danışmanlık hizmetlerinin sektöre uyarlanmış birleşimidir; her biri ayrı ayrı da alınabilir.
İlgili Sektörler
Benzer veri kategorilerini işleyen ya da aynı tedarik zincirinde yer alan sektörlerin uyum sayfaları.
Sık Sorulan Sorular
KVKK m.6, dernek ve vakıf üyeliğini doğrudan özel nitelikli kişisel veriler arasında sayar. Gerekçesi şudur: bir kuruluşa üye olmak çoğu zaman kişinin siyasi düşüncesini, felsefi inancını, dinî görüşünü, sağlık durumunu veya etnik kökenini dolaylı olarak açığa vurur. Bu nedenle üye listesi sıradan bir iletişim listesi gibi yönetilemez; işlenmesi kural olarak açık rızaya ya da kanunda öngörülen hâllere bağlıdır ve Kurul'un belirlediği ek güvenlik tedbirleri uygulanmalıdır.
Evet. KVKK'nın uygulanması ölçekle sınırlanmamıştır; kişisel veri işleyen her gerçek ve tüzel kişi veri sorumlusudur. Değişen şey yükümlülüğün varlığı değil, ağırlığıdır: VERBİS kayıt yükümlülüğü belirli kriterlere bağlıdır ve küçük kuruluşların çoğu bu kriterleri karşılamayabilir. Ancak aydınlatma yükümlülüğü, güvenlik tedbirleri, saklama-imha düzeni ve ilgili kişi başvurularını karşılama yükümlülüğü ölçekten bağımsız olarak geçerlidir.
Bağış işlemi sırasında alınan iletişim bilgisi, o işlemin gerçekleştirilmesi ve makbuz düzenlenmesi amacıyla işlenmiştir. Aynı bilgiyi yeni kampanya duyurusu için kullanmak ayrı bir amaçtır ve ticari elektronik ileti izni gerektirir. İzin bağış anında ayrı bir kutucukla, önceden işaretlenmemiş biçimde alınmalı, bağış yapmanın koşulu hâline getirilmemeli ve her iletide kolayca geri alınabilmelidir.
Yararlanıcının kimliği belli olacak biçimde çekilen ve paylaşılan görüntüler, o kişinin yardım aldığını kamuya açık hâle getirir; bu, ekonomik durumu ve çoğu zaman sağlık ya da aile durumu hakkında bilgi ifşasıdır. Paylaşım için açık rıza gerekir ve rıza, yardımın koşulu yapılamaz. Uygulamada en güvenli yol; yüzlerin görünmediği kadrajlar kullanmak, rıza verenlerle sınırlı kalmak ve itiraz hâlinde görüntüyü kaldıracak bir akış tanımlamaktır.
Hayır. Dernekler mevzuatı kapsamında yetkili makama yapılan bildirimler hukuki yükümlülüğe dayanır ve KVKK bakımından meşrudur. Dikkat edilmesi gereken iki nokta vardır: bildirimin mevzuatın istediği kapsamı aşmaması ve bildirim dosyasının kuruluş içinde herkese açık bir yerde saklanmaması. Yükümlülüğün varlığı, verinin iç ortamda gevşek tutulmasını meşrulaştırmaz.
Üyelik sona erdiğinde tüm veri hemen silinmez; dernekler mevzuatı, vergi ve muhasebe düzenlemeleri ile olası hukuki uyuşmazlıklara ilişkin zamanaşımı süreleri bazı kayıtların saklanmasını gerektirir. Ancak bu, kişinin kalıcı olarak aktif üye listesinde tutulmasını haklı kılmaz: aktif listeden çıkarılmalı, saklanacak kayıtlar sınırlı erişimle arşive alınmalı ve süre dolduğunda periyodik imha takvimiyle silinmelidir.
Üye ve yararlanıcı verinizi güvene alalım
Kuruluş ölçeğinizi ve mevcut kayıt düzeninizi paylaşın; ücretsiz ön görüşmede uygulanabilir, bütçenize uygun bir öncelik listesi çıkaralım.
