Dernekler ve Vakıflar KVKK'ya Tabi mi? Üye Listesi, Bağışçı Verisi ve VERBİS İstisnası

Kısa cevap: evet, tabidirler. Dernek, vakıf ve sendikalar üyelerinin, bağışçılarının, çalışanlarının ve gönüllülerinin verisini işleyen birer veri sorumlusudur; 6698 sayılı Kanun bu tüzel kişileri kapsam dışında bırakmaz. Karışıklık genellikle tek bir noktadan çıkıyor: Kişisel Verileri Koruma Kurulu'nun VERBİS'e kayıt yükümlülüğüne getirdiği istisna, Kanun'a uyum yükümlülüğünü kaldıran bir muafiyet sanılıyor. Öyle değil. Üstelik dernekler ve vakıflar için işin tersi bir zorluğu var: üye olma bilgisinin kendisi Kanun'un 6. maddesine göre özel nitelikli kişisel veri sayılıyor. Yani derneğin elindeki en sıradan görünen belge, yani üye listesi, hukuken en korunaklı veri kategorisinde duruyor.

6. maddenin birinci fıkrası özel nitelikli verileri sayarken "dernek, vakıf ya da sendika üyeliği" ifadesini açıkça listeye koyuyor. Kurumun 2025 yılında yayımladığı Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber bu kavramları mevzuattaki tanımlara bağlıyor: dernek için 5253 sayılı Dernekler Kanunu'nun 2. maddesi, vakıf için 5737 sayılı Vakıflar Kanunu'nun 3. maddesi, sendika için 6356 sayılı Kanun'un 2. maddesi ile kamu görevlileri bakımından 4688 sayılı Kanun'un 3. maddesi. Rehberdeki örnek de meseleyi somutlaştırıyor: bir işverenin, çalışanının sendikaya üye olduğu bilgisini işlemesi doğrudan 6. madde kapsamında bir işleme faaliyetidir. Aynı mantık derneğin kendi kayıtları için de geçerli. Üye kayıt defteri, aidat takip tablosu, genel kurul hazirun listesi ve WhatsApp üye grubu; hepsinde özel nitelikli veri var.

12 Mart 2024 tarihli Resmî Gazete'de yayımlanan ve 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun, 6. maddenin üçüncü fıkrasına sivil toplum kuruluşlarını doğrudan ilgilendiren bir bent ekledi. Yeni (g) bendi şöyle: "Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması." Değişiklikten önce bu kuruluşların özel nitelikli veriyi hangi hükme dayanarak işleyeceği belirsizdi ve pratikte her şey açık rızaya bağlanıyordu. Şimdi ayrı bir hukuki sebep var.

Bu bende sevinmeden önce ön şartına bakmak gerekiyor, çünkü çoğu dernek onu kaçırıyor. Rehber açıkça vurguluyor: bendin uygulanabilmesinin ön koşulu, kuruluşun siyasi, felsefi, dini ya da sendikal amaçlarla kurulmuş olmasıdır. Bir mahalle spor kulübü, mezunlar derneği, hayvan barınağı derneği ya da mesleki dayanışma vakfı bu tanıma girmeyebilir. Girmiyorsa (g) bendine dayanamaz; elindeki sağlık raporu, engellilik bilgisi veya ceza mahkûmiyeti verisi için 6. maddenin diğer bentlerinden birini bulması ya da açık rıza alması gerekir. Rehberdeki iki örnek bendin sınırını iyi gösteriyor: bir siyasi partinin, engelli üyesinin oy kullanabilmesi için tekerlekli sandalye temin etmek amacıyla engellilik verisini işlemesi ve bir sendikanın, iş kazası geçiren üyesinin sürecini takip etmek için sağlık verisini işlemesi. İkisi de amaç ve faaliyet alanının içinde kalıyor.

Bendin en çok ihlal edilen kısmı "üçüncü kişilere açıklanmamak" koşulu. Rehber bunu, veriyi kuruluşla bağlantısı bulunmayan ilgisiz taraflara açmama olarak tanımlıyor. Sahada karşılığı çok net şeyler: üye listesini sponsor firmayla paylaşmak, bağışçı tablosunu başka bir derneğe göndermek, genel kurul hazirun cetvelinin fotoğrafını sosyal medyada yayımlamak, toplu bilgilendirme e-postasını gizli alıcı alanı yerine normal alıcı alanına yüzlerce adres yazarak göndermek. Son örnek Kurul'un ihlal bildirimlerinde sık gördüğü bir hata ve teknik olarak en kolay önlenebilen türden. Bir dernek yöneticisinin "zaten hepsi birbirini tanıyor" savunması, hukuki bir dayanak değil.

Gelelim VERBİS tarafına. Kurul, 2 Nisan 2018 tarihli ve 2018/32 sayılı kararıyla dernek, vakıf ve sendikalara Sicile kayıt istisnası tanımıştı; ancak istisnanın kapsamı yıllar içinde değişti. Bugünkü çerçeveyi 9 Haziran 2021 tarihli ve 2021/571 sayılı karar çiziyor. Karar, 24 Haziran 2021 tarihli ve 31521 sayılı Resmî Gazete'de yayımlandı ve istisna metnini şu hale getirdi: "yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye'de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunmayanlar." Ayırt edici ölçüt iktisadi işletme. Kurumun 25 Haziran 2021 tarihli duyurusuna göre kendisine bağlı iktisadi işletmesi bulunanlar VERBİS'e kayıt olacak ve kayıt sırasında yalnızca iktisadi işletmenin faaliyetlerine ilişkin bilgi girişi yapacak.

Diyelim ki bir vakfın işlettiği bir kafeteryası, bir yayınevi ya da eğitim merkezi var ve bunlar iktisadi işletme olarak kurulmuş. O vakıf artık istisnanın dışında. Kayıt yapmadığında karşısına çıkan rakam ciddi: Sicile kayıt ve bildirim yükümlülüğüne aykırı hareket 2026 yılında 341.809 TL ile 17.092.242 TL arasında idari para cezasına konu oluyor. Kayıtlı olanların ayrıca kişisel veri işleme envanteri hazırlaması, irtibat kişisi ataması ve Sicildeki bilgilerde değişiklik olduğunda bunu yedi gün içinde VERBİS üzerinden bildirmesi gerekiyor. Bu yedi günlük süre Veri Sorumluları Sicili Hakkında Yönetmelik'in 13. maddesinde düzenlenmiş durumda ve pratikte en çok atlanan yükümlülüklerden biri.

İstisna kapsamında kalan dernek ve vakıflar içinse şu cümleyi altını çizerek yazmak gerekiyor: VERBİS muafiyeti yalnızca kayıt ve bildirim yükümlülüğünü kaldırır. Aydınlatma metni hazırlama (madde 10), teknik ve idari tedbirleri alma (madde 12), saklama ve imha sürelerini belirleyip uygulama, ilgili kişi başvurularını en geç otuz gün içinde cevaplama (madde 13) yükümlülükleri aynen devam eder. Rakamlar da devam eder: 2026 için aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezasına bağlı. Kurula yapılan bir şikâyette "biz VERBİS'ten muafız" cevabı hiçbir sonuç doğurmaz.

Derneklerin sık takıldığı bir başka nokta DERBİS bildirimleri. 5253 sayılı Kanun'un 23. maddesi uyarınca dernekler, genel kurulu izleyen otuz gün içinde organlarına seçilen asıl ve yedek üyeleri; üyeliğe kabul edilenler ile üyeliği sona erenlerin adını, soyadını, doğum tarihini ve kimlik numarasını ise kabul ve sona erme tarihinden itibaren kırk beş gün içinde merkezinin bulunduğu birime bildirmekle yükümlü. Buradaki hukuki sebep 5. maddenin ikinci fıkrasının (a) bendi, yani kanunlarda açıkça öngörülme. Üyeden bu bildirim için ayrıca açık rıza istemek hem gereksiz hem yanıltıcıdır; rıza geri alınabilir bir şeydir, kanuni yükümlülük ise geri alınamaz. Bu yükümlülüğün geçmişi de öğretici: yalnızca yönetmelikle getirilmiş üye bildirimi düzenlemesi, Danıştay'ın 15 Nisan 2021 tarihli kararıyla, kanunun suskun kaldığı bir konuda doğrudan yönetmelikle düzenleme yapılamayacağı gerekçesiyle iptal edilmişti. Yükümlülük 2020 yılında Dernekler Kanunu'nun 23. maddesine eklenerek kanun düzeyine taşındığı için bugün ayakta.

Bağışçı verisi ayrı bir başlık ve genelde hiç politikası olmayan alan. Bağış makbuzundaki ad, adres, kimlik ve tutar bilgisi vergi ve muhasebe mevzuatı gereği saklanır; buraya kadar sorun yok. Sorun, bağışçı adının faaliyet raporunda, afişte, web sitesinde ya da bir teşekkür panosunda yayımlanmasında çıkıyor. Bu bir açıklama işlemidir ve ayrı bir hukuki sebep gerektirir; uygulamada tek sağlam yol bağış anında alınan, ayrı bir kutucukla ifade edilen ve reddedilebilir bir açık rızadır. Bir ayrıntı daha: yardım kampanyalarında toplanan sağlık raporları, epikrizler ve engellilik belgeleri özel nitelikli veridir, kampanya bittikten sonra klasörde kalmaya devam etmemelidir. Toplu duyuru gönderimlerinde ise Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik'in kapsam maddesindeki istisna dar tutulmuştur; yalnızca kamuya yararlı dernekler ile vergi muafiyeti sağlanan vakıfların, kendilerine ait ticari işletmelerin faaliyetleriyle ilgili olarak üyelerine gönderdiği iletileri kapsar. Bunun dışındaki listeler için numaranın hangi hukuki sebeple tutulduğu sorusu her hâlükârda cevaplanmak zorunda.

Son olarak, dernek ve vakıflara özgü bir veri güvenliği riski var: kurumsal hafıza kişilerin cihazlarında duruyor. Üye listesi eski saymanın kişisel bilgisayarında, bağışçı tablosu bir yönetim kurulu üyesinin kişisel e-posta hesabında, aidat kayıtları herkesin parolasını bildiği ortak bir hesapta. Yönetim kurulu iki yılda bir değişiyor, veri değişmiyor. Kanun'un 12. maddesi bakımından sorumluluk kişilerde değil tüzel kişilikte kalır. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararı özel nitelikli veri işleyenlerden ayrı bir politika ve prosedür belirlemesini, erişimi olan personele düzenli eğitim ve gizlilik taahhüdü verilmesini, yetkilerin tanımlanmasını, verinin şifreli ortamda tutulmasını ve erişim kayıtlarının izlenmesini istiyor. Üye listesi özel nitelikli veri içerdiği için bu önlemler dernekler bakımından da tavsiye değil, beklenen asgari seviye. Devir teslim tutanağına "kişisel verilerin bulunduğu tüm ortamlar" satırını eklemek, tek başına birçok riski kapatır.

Derneğinizin ya da vakfınızın bir aydınlatma metni var mı, üye ve bağışçı verisi kimin hangi cihazında duruyor, iktisadi işletmeniz varsa VERBİS kaydı yapıldı mı? Bu üç sorunun cevabı elinizde yoksa başlamak için doğru zaman. KVKK Danışman'ın ücretsiz ön değerlendirmesinde üye, bağışçı ve gönüllü verisi akışınıza bakıp önce hangi eksiğin kapatılması gerektiğini söyleyebiliriz.

Randevu Al