Emlak Ofisleri ve Emlakçılarda KVKK: Portföy, Müşteri Verisi ve MASAK Yükümlülükleri
Emlak ofisleri kimlik, tapu ve gelir belgesi işleyen birer veri sorumlusudur. VERBİS muafiyeti, portföy paylaşımı, aydınlatma ve MASAK kimlik tespiti yükümlülükleri.
Kısa cevap: bir emlak ofisi ya da bağımsız emlak danışmanı, işlediği verinin türü gereği baştan sona 6698 sayılı Kanun'a tabi bir veri sorumlusudur. Alıcının bütçesini, satıcının telefonunu, kiracının gelir belgesini, kefilin kimliğini, tapu ve nüfus bilgilerini elinde tutan bir ofis, en yoğun kişisel veri işleyen küçük işletmelerden biridir. Buna ikinci bir mevzuat katmanı eklenir: taşınmaz alım satımına aracılık edenler, 5549 sayılı Kanun kapsamında MASAK'a karşı da yükümlüdür ve belirli işlemlerde kimlik tespiti yapıp kayıt tutmak zorundadır. Çoğu emlak ofisi çalışan ve ciro eşiklerinin altında kaldığı için VERBİS'e kayıt olmak zorunda değildir, ama bu bir muafiyet yanılgısı yaratır; VERBİS'ten muaf olmak KVKK'dan muaf olmak anlamına gelmez. Aydınlatma, doğru hukuki sebep, veri güvenliği ve saklama-imha yükümlülükleri ilk günden itibaren geçerlidir.
Bir emlak ofisinin gün içinde topladığı veriye yakından bakmak, tablonun neden bu kadar ağır olduğunu gösterir. Portföye ev veren mülk sahibinin adı, telefonu, adresi ve tapu bilgisi; ev arayan müşterinin bütçesi, aile durumu, çalıştığı yer; kiralamada devreye giren gelir belgesi, maaş bordrosu, kefil kimliği ve kimi zaman icra ya da kredi geçmişi. Bunların bir kısmı sıradan iletişim bilgisi, bir kısmı ise kişinin mali durumunu ortaya koyan hassas ayrıntılardır. Ofis bu verileri kendi amaçları için, kendi belirlediği yöntemlerle işler; yani hukuken veri sorumlusudur. Kullandığı ilan portalı, CRM yazılımı veya bulut depolama sağlayıcısı ise çoğu zaman veri işleyen konumundadır ve onunla verinin nasıl işleneceğini düzenleyen yazılı bir sözleşme yapılması gerekir.
En sık yapılan hata, her müşteriye bir 'rıza formu' imzalatıp işi bitmiş saymaktır. Oysa bir müşteriye ev göstermek, sözleşme hazırlamak ve süreci tapuya kadar yürütmek için işlenen verinin çoğu açık rızaya değil, sözleşmenin kurulması ve ifası şartına dayanır. MASAK'ın istediği kimlik tespiti ise kanunda açıkça öngörüldüğü için ayrı bir hukuki sebebe oturur. Açık rıza yalnızca gerçekten gerektiği yerde alınmalıdır; örneğin bir müşterinin verisini, hizmetin parçası olmayan bir amaçla başka bir firmaya pazarlama için aktaracaksanız. Rızayı gereksiz yere her şeyin temeli yapmak, üstelik her an geri alınabilir olduğu için, ofisi daha kırılgan bir zemine oturtur. Doğru hukuki sebebi baştan seçmek hem işi kolaylaştırır hem de bir şikayet halinde savunulabilir olmayı sağlar.
Sektörün en yaygın ama en az konuşulan riski portföy paylaşımıdır. Bir mülk sahibi evini tek bir ofise emanet ettiğini sanırken, telefon numarası ve ev bilgisi çoğu zaman onlarca emlakçının bulunduğu WhatsApp gruplarında, ofisler arası paylaşım ağlarında dolaşmaya başlar. Bu, mülk sahibinin verisinin üçüncü kişilere aktarılmasıdır ve bunun için ya bir hukuki sebep ya da açık rıza gerekir. Sahibinin haberi ve onayı olmadan numarasını başka ofislere savurmak, ardından o kişinin tanımadığı emlakçılardan sürekli aranması, hem KVKK'ya aykırı bir aktarım hem de ilgili kişinin şikayet edebileceği somut bir zarardır. Portföyünüzü paylaşacaksanız, bunu mülk sahibine önceden açıklayın ve neyi kiminle paylaşacağınızı sözleşmeye bağlayın.
İlan yayınlarken de sınır var. Bir evi çevrimiçi ilan platformlarına koyarken çekilen fotoğraflarda evin içindeki aile fotoğrafları, duvardaki isimler, masadaki evraklar ya da pencereden görünen komşu, farkında olmadan kişisel veriyi ifşa edebilir. Kiralık bir dairenin tam adresini ilana yazmak, mülk sahibinin ya da hâlihazırda oturan kiracının güvenliğini riske atabilir. Fotoğrafları yüklemeden önce içeriyi kişisel izlerden arındırmak, gerektiğinde bulanıklaştırmak ve adres bilgisini ilan aşamasında mahalle düzeyinde tutup tam adresi ancak ciddi alıcıyla paylaşmak basit ama etkili bir önlemdir. Kullandığınız platformla aranızdaki ilişkinin ne olduğunu ve verinin orada nasıl işlendiğini bilmek de sizin sorumluluğunuzdadır.
Kimlik ve tapu fotokopisi konusu ayrı bir dikkat ister. 'Her ihtimale karşı' herkesin kimliğini fotokopiyle almak, veri minimizasyonu ilkesine aykırıdır; veriyi ancak gerçekten gerektiği ölçüde toplayabilirsiniz. Sözleşme yapılan taraftan kimlik almak anlaşılırdır, ama sadece ev bakmaya gelen birinden kimlik fotokopisi istemek çoğu zaman gereksizdir. MASAK kapsamına giren bir işlemde kimlik tespiti zorunlu olduğunda ise durum değişir ve belgeyi almak kanuni bir yükümlülüğe dönüşür. Aldığınız kimlik ve tapu suretlerini gelişigüzel bir çekmecede ya da ortak kullanılan bir bilgisayarda tutmak yerine, erişimi sınırlı bir yerde saklamak, gerekmeyen alanları maskelemek ve süresi dolduğunda imha etmek gerekir.
MASAK yükümlülüğü, emlak ofisini benzer ölçekteki birçok işletmeden ayıran ikinci katmandır. Taşınmaz alım satımına aracılık edenler, kara para aklama ve terörün finansmanı ile mücadele mevzuatı kapsamında yükümlü sayılır. Bir işlemin tutarı MASAK'ın belirlediği eşiği aştığında, ki bu eşik dönemsel olarak güncellenir ve son dönemde 185.000 TL olarak uygulanmıştır, müşterinin kimliğini tespit etmek zorunludur; taşınmaz satışlarının büyük bölümü zaten bu tutarın çok üzerinde olduğundan uygulamada kimlik tespiti neredeyse her satışta gündeme gelir. Şüpheli bir durum varsa tutar ne olursa olsun şüpheli işlem bildirimi yapılır. Tespit edilen kimlik belgeleri ve işlem kayıtları, son işlem tarihinden itibaren sekiz yıl saklanır. Yani KVKK'nın 'gereğinden uzun tutma' yasağı ile MASAK'ın uzun saklama zorunluluğu çakışıyor gibi görünse de çelişki yoktur: kanunda öngörülen saklama, KVKK açısından da meşru bir işleme sebebidir.
VERBİS tarafında çoğu emlak ofisi rahat bir noktada. Kayıt zorunluluğu, yıllık çalışan sayısı 50'den çok olan veya yıllık mali bilanço toplamı 100 milyon TL'yi aşan veri sorumluları ile ana faaliyeti özel nitelikli veri işlemek olanlar için doğar. Ana faaliyeti özel nitelikli veri işlemek olanlarda eşik daha düşüktür ve çalışan sayısı 10'dan az, mali bilanço 10 milyon TL'den az olacak şekilde uygulanır. Tipik bir emlak ofisi bu eşiklerin altında kaldığından Sicile kayıt yükümlülüğü bulunmayabilir. Ancak buradan 'bize KVKK işlemez' sonucunu çıkarmak en pahalı yanlışlardan biridir. VERBİS muafiyeti yalnızca kayıt ve bildirim yükümlülüğünü kaldırır; aydınlatma metni hazırlamak, veri envanteri çıkarmak, güvenlik tedbiri almak, saklama-imha süreleri belirlemek ve ilgili kişi başvurularını yanıtlamak eşiğin altındaki en küçük ofis için de zorunludur.
Farklı veriler farklı sürelerle saklanır ve bunu tek bir 'ne olur ne olmaz saklayalım' mantığına indirgemek risklidir. Sözleşme ve fatura gibi belgeler ticaret ve vergi mevzuatındaki süreler boyunca, MASAK kapsamındaki kimlik ve işlem kayıtları sekiz yıl, satışı gerçekleşmeyen ve artık aktif olmayan bir müşterinin iletişim bilgileri ise çok daha kısa süre tutulmalıdır. Anahtar soru şudur: bu veriyi hangi amaçla, hangi hukuki sebeple ve ne kadar süre tutuyorum? Amaç ortadan kalktığında ya da süre dolduğunda veri silinmeli, yok edilmeli veya anonim hale getirilmelidir. Bunu düzenli bir saklama ve imha politikasına bağlamak, hem bir denetimde hem de bir başvuruda ofisin elini güçlendirir.
Veri güvenliği kağıt üzerinde kalmamalı, çünkü emlak sektörü ihlallerden azade değil. Kişisel Verileri Koruma Kurulu, bir emlak şirketinde yaşanan ve yaklaşık 35 bin 956 müşteriyi etkileyen bir veri ihlalini kamuoyu duyurusuyla ilan etti; bu, tek bir güvenlik açığının kaç kişiyi birden etkileyebileceğini gösteren somut bir örnek. Müşteri verisini şifresiz Excel dosyalarında, ortak kullanılan bir bilgisayarda ya da herkesin girebildiği bir bulut klasöründe tutmak, böyle bir sonucu davet eder. Erişimi yetkiyle sınırlamak, güçlü parola ve mümkünse iki adımlı doğrulama kullanmak, verileri şifreli tutmak ve düzenli yedek almak asgari adımlardır. Bir ihlal yaşanırsa, öğrenildiği andan itibaren en kısa sürede ve makul olan en geç yetmiş iki saat içinde Kurul'a bildirim yapılması gerektiğini de akılda tutmak gerekir.
Yapılacaklar listesi aslında sade. Ofisinizde hangi verinin nereden gelip nerede durduğunu gösteren bir envanter çıkarın. Müşterilere ve mülk sahiplerine verdiğiniz aydınlatma metnini bu işlemeleri kapsayacak biçimde güncelleyin, görünür ve anlaşılır bir yere koyun. Portföy paylaşımı için net bir kural belirleyin ve bunu sahiplere açıklayın. Kullandığınız ilan portalı, CRM ve muhasebe yazılımıyla veri işleyen sözleşmeleri yapın. Kimlik ve tapu suretlerini erişimi sınırlı, şifreli bir ortamda tutun, gerekmeyeni almayın. MASAK tarafında kimlik tespiti ve şüpheli işlem bildirimi süreçlerinizi oturtup kayıtları sekiz yıl saklayın. Son olarak saklama ve imha sürelerini yazılı hale getirip süresi dolan veriyi düzenli olarak silin.
Yanlış yapmanın bedeli küçük değil. 2026 yılında aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliği tedbirlerinin alınmaması 256.357 TL ile 17.092.242 TL, bir Kurul kararına uymama 427.263 TL ile 17.092.242 TL, VERBİS kayıt yükümlülüğüne aykırılık ise 341.809 TL ile 17.092.242 TL arasında idari para cezasına konu olabilir; buna MASAK yükümlülüklerinin ihlalinden doğan ayrı cezalar da eklenir. Ofisinizin hangi verileri hangi sebeple işlediğini, portföy paylaşımınızın ve ilan pratiğinizin sınırlarını, VERBİS ve MASAK karşısındaki durumunuzu net görmüyorsanız, en hızlı yol bir değerlendirmedir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde emlak ofisinizin süreçlerini birlikte gözden geçirip aydınlatma metninden portföy paylaşım kurallarına, saklama süresinden MASAK uyumuna kadar öncelikli adımları çıkarabiliriz.