Dernekte üye verisi ve KVKK: üye kaydından toplu mesaja

Dernekte üye verisi neden özel nitelikli sayılır?

Kanun m.6 hükmü ırk, etnik köken, siyasi düşünce, felsefi inanç, din, sağlık gibi verilerin yanında dernek, vakıf ya da sendika üyeliğini de özel nitelikli kişisel veri olarak sayar. Bir kişinin adının derneğinizin üye listesinde yer alması, o kişinin bu derneğe üye olduğunu gösterir. Dolayısıyla üye listesi, üye kayıt defteri, aidat listesi ve hatta üyelere gönderilen toplu bir e-postanın alıcı satırı, özel nitelikli veri taşır.

Derneğin amacı da riski büyütebilir. Bir hasta dayanışma derneğinde üyelik sağlık durumunu, inanç temelli bir dernekte üyelik inancı ima edebilir. Bu yüzden her dernek kendi amacını düşünerek, üye bilgisinin başka hangi hassas bilgileri dolaylı olarak ortaya koyduğunu değerlendirmelidir.

Derneğiniz veri sorumlusudur

Kanun m.3, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sistemini kuran ve yöneten kişiyi veri sorumlusu olarak tanımlar. Dernekte bu, tüzel kişi olarak derneğin kendisidir; uygulamada yükümlülükleri yönetim kurulu yerine getirir. Derneğin adına veri işleyen bir muhasebe bürosu, bir barındırma hizmeti ya da bir üye takip yazılımı sağlayıcısı ise veri işleyendir. Kanun m.12, veri işleyenin aldığı güvenlik önlemlerinden veri sorumlusunun da birlikte sorumlu olduğunu söyler. Yani verinin bir hizmet sağlayıcıda durması sorumluluğu ortadan kaldırmaz.

Hangi üye verilerini neden tutuyorsunuz?

Kanun m.4, verilerin belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü olarak işlenmesini ve yalnızca gerekli süre kadar saklanmasını ister. Dernekte üye verisinin büyük kısmı mevzuattan doğan bir ihtiyaca dayanır:

• 5253 sayılı Dernekler Kanunu m.23, derneklerin üyeliğe kabul edilenler ile üyeliği sona erenlerin adını, soyadını, doğum tarihini ve kimlik numarasını kanunda belirtilen süre içinde dernekler birimine bildirmesini ister.
• Dernekler Yönetmeliği m.32, Üye Kayıt Defterine üyelerin kimlik bilgilerinin ve derneğe giriş ve çıkış tarihlerinin işlenmesini ister; giriş ve yıllık aidat miktarlarının da bu deftere işlenebileceğini söyler.
• Dernekler Yönetmeliği m.14, genel kurula katılma hakkı olan üyelerin listesinin düzenlenmesini ve üyelerin ilan, yazılı bildirim, üyenin bildirdiği e-posta adresi ya da iletişim numarasına mesaj gibi yollarla toplantıya çağrılmasını düzenler.
• Aidat tahsilatı ve alındı belgeleri, üyenin adını ve ödeme bilgisini dernek kayıtlarına taşır.

Bunların dışında kalan her alan için kendinize şu soruyu sorun: bu bilgiye gerçekten ihtiyacımız var mı? Meslek, öğrenim durumu, aile bilgisi, sağlık durumu ya da fotoğraf gibi alanları üyelik formuna sırf olsun diye eklemek, ölçülülük ilkesine aykırı düşebilir ve sizi gereksiz bir risk altına sokar.

Özel nitelikli veriyi hangi şartla işlersiniz?

Kanun m.6, özel nitelikli verilerin işlenmesini yasak olarak başlatır ve ardından istisnaları sayar. Dernekleri en çok ilgilendirenler şunlardır:

• İlgili kişinin açık rızasının olması.
• Kanunlarda açıkça öngörülmesi; örneğin Dernekler Kanunu m.23 kapsamındaki üye bildirimleri.
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması.
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan dernek ve diğer kâr amacı gütmeyen kuruluşların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine ve kendileriyle düzenli temasta olan kişilere ilişkin veri işlemesi.

Son istisna yalnızca bu amaçlarla kurulmuş dernekleri kapsar ve üç koşula bağlıdır. Bir spor, kültür ya da hemşehri derneği bu istisnaya dayanamayabilir; bu derneklerde mevzuattan doğan işlemler dışındaki işlemler için çoğu zaman açık rıza gündeme gelir. Derneğinizin hangi gruba girdiği ve hangi işlemin hangi şarta dayandığı konusunda tereddüt varsa bir hukukçuya danışın. Kanun m.6 ayrıca özel nitelikli verilerin işlenmesinde Kişisel Verileri Koruma Kurulunun belirlediği yeterli önlemlerin alınmasını şart koşar; bu önlemleri Kurulun güncel kararından okuyun.

Özel nitelikli olmayan veriler için ise Kanun m.5 geçerlidir. Burada açık rıza dışında kanunlarda açıkça öngörülme, bir sözleşmenin kurulması veya ifası, veri sorumlusunun hukuki yükümlülüğü ve meşru menfaat gibi şartlar bulunur.

Üyelik formunda aydınlatma

Kanun m.10, veri toplanırken ilgili kişiye şunların bildirilmesini ister: veri sorumlusunun kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ve Kanun m.11 hükmündeki haklar. Üyelik formunuzun yanında ya da arkasında kısa ve anlaşılır bir aydınlatma metni bulunsun. Metinde örneğin üye bilgilerinin mevzuat gereği dernekler birimine bildirileceğini, genel kurul çağrısı için iletişim bilgisinin kullanılacağını ve üyelik sona erdikten sonra kayıtların ne kadar ve neden saklanacağını açıkça yazın.

Aydınlatma bir onay değildir; üyenin imzası gerekmez, bilgilendirildiğinin ispatı yeterlidir. İnternetteki üyelik başvuru formu için genel kuralları iletişim formu KVKK aydınlatma ve açık rıza rehberimizde, sitenizin tamamı için web sitesi KVKK uyumu kontrol listemizde bulabilirsiniz.

Açık rıza ne zaman gerekir?

Kanun m.3, açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Bu tanımdan üç pratik sonuç çıkar:

• Rıza konuya özgü olmalıdır; tek bir kutuyla her şeye onay almak tanıma uymaz.
• Mevzuattan doğan zorunlu işlemleri, örneğin üye bildirimini, rızaya bağlamayın; üye rızasını geri çekse bile bu yükümlülük sürer ve kurgunuz çelişkiye düşer.
• Üyeliği, zorunlu olmayan bir işleme onay vermeye şart koşmayın; özgür irade böyle zedelenir.

Fotoğraf paylaşımı, tanıtım amaçlı toplu iletiler, üye bilgisinin derneğin dışındaki bir kuruluşla paylaşılması gibi ek işlemler için ayrı ayrı ve isteğe bağlı onay kutuları kullanın. KVKK açık rızası ile ticari ileti onayının farkı için açık rıza ve İYS onayı farkı yazımıza bakın.

Üyelere toplu e-posta ve SMS: İYS ne zaman devreye girer?

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ticari elektronik iletiyi, e-posta, kısa mesaj ve telefon gibi araçlarla ticari amaçla gönderilen iletiler olarak tanımlar. Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik ise mal ve hizmetleri tanıtmak, pazarlamak ya da işletmeyi tanıtmak amacıyla yapılan ticari iletişimi kapsar. Dernekler açısından okuduğumuz metinlerden şu sonuçlar çıkıyor:

• Yönetmeliğin m.6 hükmü, devam eden üyelik durumu, tahsilat, borç hatırlatma ve bilgi güncelleme gibi bildirimler ile ilgili mevzuattan doğan bilgi verme yükümlülüğü durumlarında önceden onay alma zorunluluğu aranmayacağını söyler. Aidat hatırlatması ve mevzuata göre yapılan genel kurul çağrısı bu türden düşünülebilir.
• Aynı hüküm, bu tür bildirimlerde herhangi bir mal veya hizmetin özendirilemeyeceğini ve tanıtımının yapılamayacağını da ekler. Aidat hatırlatmasının altına ücretli bir etkinliğin ya da ürünün reklamını eklemek iletinin niteliğini değiştirir.
• Yönetmeliğin m.2 hükmü, kamuya yararlı derneklerin kendi ticari işletmelerinin faaliyetleriyle ilgili olarak üyelerine gönderdiği iletileri kapsam dışında tutar. Bu istisna yalnızca kamuya yararlı dernekler ve yalnızca üyelere gönderilen bu iletiler içindir.
• Derneğin bilet, ürün ya da ücretli hizmet tanıttığı iletiler ticari ileti niteliği taşıyabilir; bu durumda önceden onay ve İYS kuralları gündeme gelir.

Derneğin ticari amaç taşımayan genel faaliyet duyurularının ticari elektronik ileti sayılıp sayılmadığı okuduğumuz metinlerde dernekler için ayrıca düzenlenmiyor. İçeriğinde tanıtım ya da satış unsuru bulunan her ileti için temkinli davranın; İYS'nin işleyişi için İYS nedir rehberimize, bülten gönderiminde izin sorusu için bülten göndermek için izin şart mı yazımıza bakın. Toplu e-postalarda alıcıları birbirine göstermeyin; açık alıcı satırı, üyelerin kim olduğunu herkese açıklar.

Etkinlik fotoğrafları ve sosyal medya

Bir kişinin tanınabildiği fotoğraf, Kanun m.3 tanımına göre kişisel veridir; internette yayımlamak da bir işleme faaliyetidir. Dernek etkinliğinde çekilmiş bir fotoğraf, kişinin derneğe üye olduğunu ya da dernekle bağını açığa çıkarabilir. Okuduğumuz metinler etkinlik fotoğrafları için ayrı bir kural koymuyor; bu nedenle şu temkinli uygulamayı öneriyoruz:

• Etkinlik duyurusunda ve girişte fotoğraf ve video çekileceğini açıkça belirtin.
• Yayımlanacak yakın plan fotoğraflar için kişiden ayrıca ve isteğe bağlı onay alın; onayı istediği zaman geri çekebileceğini söyleyin.
• Çocukların ve hassas durumdaki kişilerin görüntülerini yayımlamadan önce özellikle dikkatli olun.
• Fotoğraf altına kişilerin üyelik durumunu ya da hassas bilgilerini yazmayın.
• Yayından kaldırma talebine hızlı ve kayıtlı şekilde yanıt verin.

Üye listesi kimlerle paylaşılabilir?

Kanun m.8, kişisel verilerin kural olarak açık rıza olmadan aktarılamayacağını, ancak m.5 ve m.6 hükümlerindeki şartlardan biri varsa (özel nitelikli verilerde yeterli önlemler alınarak) aktarılabileceğini söyler. Dernekler birimine yapılan mevzuat bildirimleri bu çerçevede değerlendirilir. Buna karşılık üye listesini bir sponsora, bir siyasi ya da ticari kuruluşa, başka bir derneğe ya da bir etkinlik ortağına vermek, ayrı bir hukuki şart gerektirir ve çoğu durumda yapılmamalıdır. Siyasi, felsefi, dini veya sendikal amaçlı dernekler için m.6 istisnasının üçüncü kişilere açıklanmamak koşuluna bağlı olduğunu da unutmayın.

Yurt dışında bulunan bir hizmet üzerinden veri tutmak ya da göndermek, Kanun m.9 hükmündeki yurt dışına aktarım şartlarını gündeme getirir. Bu şartlar ayrıntılıdır; bu konuda bir hukukçuya danışın.

Güvenlik, saklama ve ihlal durumu

Kanun m.12, veri sorumlusunun verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almasını ister. Dernekte bu tedbirlerin çoğu basit ama disiplin isteyen alışkanlıklardır:

• Üye listesine yalnızca görevi gereği ihtiyaç duyan yönetim kurulu üyeleri ve sekreter erişsin; yetkileri görev değişince güncelleyin.
• Üye listesini kişisel e-posta hesaplarında, paylaşılan açık bağlantılarda ve kalabalık mesajlaşma gruplarında dolaştırmayın.
• Kâğıt defterleri kilitli bir dolapta, dijital kayıtları güçlü parola ve düzenli yedekle koruyun.
• Yönetim değişikliğinde erişimleri ve parolaları devir teslim tutanağıyla yeni yönetime aktarın.
• Bir veri ihlali olursa Kanun m.12 gereği durumu en kısa sürede ilgililere ve Kurula bildirin.

Saklama süresi konusunda iki kural birlikte düşünülmelidir. Kanun m.7, işlenme sebebi ortadan kalkan verilerin silinmesini, yok edilmesini ya da anonim hâle getirilmesini ister; aynı maddede diğer kanunlardaki hükümler saklı tutulur. Dernekler Yönetmeliği m.39 ise alındı belgeleri, harcama belgeleri ve diğer belgelerin belirli bir süre saklanmasını ister; m.33 de deftere geçirilen bir kaydın silinerek okunamaz hâle getirilemeyeceğini söyler. Bu yüzden ayrılan bir üyenin üye kayıt defterindeki satırı silinmez; ama derneğin artık ihtiyaç duymadığı ek bilgileri, örneğin iletişim tercihleri ya da fotoğrafları, saklamaya devam etmeniz için bir neden olmayabilir. Kayıtlarınızı kâğıtta, bir tabloda ya da dernekler için hazırladığımız yazılım gibi bir araçta tutmanız bu kuralları değiştirmez.

Üyelerin hakları ve başvurular

Kanun m.11, herkese kendisiyle ilgili veri işlenip işlenmediğini öğrenme, bilgi isteme, düzeltilmesini ve kanundaki şartlarla silinmesini isteme, aktarılan üçüncü kişileri bilme ve zarar hâlinde giderim isteme gibi haklar tanır. Kanun m.13 ise başvuruların kanunda belirtilen süre içinde sonuçlandırılmasını ister. Dernekte bu başvurular genellikle sekretere ya da başkana gelir; kim tarafından karşılanacağını yönetim kurulu kararıyla belirleyin ve başvuruları tarih sırasıyla kayıt altına alın.

Kanun m.16, veri sorumlularının Veri Sorumluları Siciline kaydolmasını ister; ancak Kurul belirli kriterlere göre bu zorunluluğa istisna getirebilir. Derneğinizin kayıt yükümlülüğü olup olmadığını Kurulun güncel istisna kararlarına bakarak belirleyin.

Bir dernek sekreterinin günü

Sabah yeni bir üyelik başvurusu gelir. Sekreter formun yanında aydınlatma metninin bulunduğunu ve isteğe bağlı fotoğraf onayının ayrı işaretlendiğini kontrol eder. Yönetim kurulunun kabul kararından sonra üye, üye kayıt defterine işlenir ve mevzuattaki bildirim için takip listesine eklenir. Öğleden sonra bir üye, ayrıldığı hâlde hâlâ duyuru aldığını yazar; sekreter iletişim tercihini kaldırır, talebi ve yanıtı kayıt altına alır. Akşam genel kurul çağrısı hazırlanır: çağrı metni yalnızca mevzuattaki bilgileri içerir, e-postalar gizli alıcı olarak gönderilir ve aynı iletiye dernek kermesinin satış duyurusu eklenmez; o duyuru, onay vermiş üyelere ayrıca gönderilecektir.

Sık yapılan hatalar

• Dernek üyeliğinin özel nitelikli veri olduğunu bilmemek ve üye listesini sıradan bir liste gibi paylaşmak.
• Üyelik formuna gereksiz kişisel bilgi alanları eklemek.
• Aydınlatma ile açık rızayı tek bir metinde ve tek bir imzada birleştirmek.
• Mevzuattan doğan bildirimleri açık rızaya bağlamak.
• Toplu e-postalarda tüm üyeleri açık alıcı olarak yazmak.
• Aidat hatırlatmasına ürün ya da ücretli etkinlik tanıtımı eklemek.
• Üye listesini sponsorlar veya etkinlik ortaklarıyla paylaşmak.
• Yönetim değişince eski yöneticilerin erişimini kapatmamak.
• Hizmet aldığınız yazılım ya da muhasebe firmasıyla veri işleme koşullarını yazılı hâle getirmemek.

Sık Sorulan Sorular

Dernek üye listesi özel nitelikli kişisel veri mi?

Evet. 6698 sayılı Kanunun m.6 hükmü dernek üyeliğini özel nitelikli kişisel veri olarak sayar. Üye listesi bir kişinin derneğe üye olduğunu gösterdiği için bu kapsamda değerlendirilmeli ve ek güvenlik önlemleriyle korunmalıdır.

Dernek üyelik formunda açık rıza almak gerekir mi?

Mevzuattan doğan kayıt ve bildirimler için açık rızaya değil kanundaki şarta dayanırsınız; ama aydınlatma her durumda gerekir. Fotoğraf yayımlama, tanıtım iletileri ya da üye bilgisinin dernek dışına aktarılması gibi ek işlemler için ise ayrı ve isteğe bağlı açık rıza gündeme gelir.

Derneğin üyelere toplu SMS göndermesi için İYS kaydı gerekir mi?

İletinin içeriğine bağlıdır. Üyelik, tahsilat ve borç hatırlatma bildirimleri ile mevzuattan doğan bilgilendirmeler için önceden onay aranmaz, ancak bu iletilerde tanıtım yapılamaz. Ürün, bilet ya da ücretli hizmet tanıtan iletiler ticari ileti niteliği taşıyabilir ve onay ile İYS kurallarını gündeme getirir.

Etkinlik fotoğraflarını paylaşmak için izin gerekir mi?

Tanınabilir bir kişinin fotoğrafı kişisel veridir ve dernek etkinliğindeki görüntü dernekle bağı açığa çıkarabilir. Mevzuat bu konuda ayrı bir kural koymadığı için yayımlanacak yakın plan fotoğraflarda ayrı ve geri çekilebilir onay almak en temkinli yoldur.

Dernek VERBİS'e kayıt olmak zorunda mı?

Kanun m.16 kayıt zorunluluğunu koyar ve Kurula istisna getirme yetkisi verir. Derneğinizin durumunu Kişisel Verileri Koruma Kurulunun güncel istisna kararlarına göre belirleyin; tereddütte bir hukukçuya danışın.

Üye ayrılınca bilgileri silinmeli mi?

Üye kayıt defterindeki giriş ve çıkış kaydı mevzuat gereği tutulur ve silinmez. Mevzuatın gerektirmediği ek bilgiler ise işlenme sebebi ortadan kalktığında silinmeli, yok edilmeli ya da anonim hâle getirilmelidir.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Dernek nasıl kurulur? · Dernek yönetim programı seçimi · Dernek genel kurulu · Web sitesi KVKK uyumu · İYS nedir? · Açık rıza ve İYS onayı farkı