Dernekler için KVKK rehberi: üye ve bağışçı verileri, aydınlatma metni ve VERBİS

Bir dernek, üyelerinin, bağışçılarının, gönüllülerinin, çalışanlarının ve hizmet verdiği kişilerin bilgilerini tutar. Ad, telefon, T.C. kimlik numarası, IBAN, fotoğraf: bunların hepsi kişisel veridir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) göre bu verilerin neden ve nasıl işleneceğine karar veren dernek, veri sorumlusudur. Veriler bir Excel dosyasında, bir WhatsApp grubunda ya da kâğıt bir defterde dursa da kurallar aynıdır.

Dernek üyeliği "özel nitelikli" veridir

KVKK, bazı verileri daha sıkı korunacak özel nitelikli kişisel veri olarak sayar: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, sağlık, cinsel hayat, ceza mahkûmiyeti, biyometrik ve genetik veriler ile dernek, vakıf ya da sendika üyeliği. Yani bir kişinin derneğinize üye olduğu bilgisi bile özel nitelikli veridir.

Özel nitelikli veriler kural olarak işlenemez; ancak kanunda sayılan sebeplerden birine dayanılarak işlenebilir. Dernekler için öne çıkanlar şunlardır:

• Kanunda açıkça öngörülmesi: Üye kayıt defteri tutmak ve üyeleri idareye bildirmek Türk Medeni Kanunu ile Dernekler Kanunu'ndan doğan yükümlülüklerdir.
• Amaca bağlı dernekler için istisna: Siyasi, felsefi, dini ya da sendikal amaçla kurulmuş dernekler; mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı kalmak ve üçüncü kişilere açıklamamak şartıyla mevcut ya da eski üyelerinin ve düzenli temas hâlindeki kişilerin verilerini işleyebilir.
• Açık rıza: Bu sebeplerin hiçbiri yoksa, örneğin yararlanıcılardan sağlık bilgisi alıyorsanız, ayrıca açık rıza almanız gerekir.

Özel nitelikli verilerde ayrıca Kişisel Verileri Koruma Kurulunun belirlediği ek güvenlik önlemlerinin alınması gerekir. Bu yüzden üye listenizi herkese açık bir klasörde ya da kalabalık bir mesajlaşma grubunda paylaşmayın.

Diğer veriler hangi sebeple işlenir?

Kişisel veriler kural olarak açık rızayla işlenir. Ancak kanun, rıza aranmayan durumları da sayar. Bir dernekte en sık kullanılanlar:

Açık rıza belirli bir konuya ilişkin, kişi bilgilendirildikten sonra ve özgür iradeyle verilmelidir. Bu yüzden açık rızayı üyelik ya da yardım almanın şartı hâline getirmeyin; "kabul etmezseniz üye olamazsınız" denilerek alınan rıza özgür sayılmaz.

Aydınlatma metni

Hangi sebebe dayanırsanız dayanın, veriyi toplarken kişiyi bilgilendirmek zorundasınız. Aydınlatma metninde şunlar bulunmalıdır:

1. Veri sorumlusu olarak derneğin adı ve iletişim bilgileri
2. Verilerin hangi amaçla işleneceği
3. Verilerin kimlere ve hangi amaçla aktarılabileceği (örneğin idareye yapılan üye bildirimi, muhasebeci, banka)
4. Verilerin hangi yöntemle ve hangi hukuki sebeple toplandığı
5. Kişinin KVKK'dan doğan hakları

Aydınlatma metnini üyelik başvuru formuna, bağış sayfasına ve gönüllü başvuru formuna ekleyin. Açık rıza gereken konularda rızayı aydınlatma metninden ayrı, ayrıca işaretlenecek bir onay olarak alın.

Verileri güvende tutmak

Dernek, verilerin hukuka aykırı işlenmesini ve yetkisiz kişilerin erişmesini önlemek için gerekli teknik ve idari önlemleri almak zorundadır. Küçük bir dernek için bile şu adımlar fark yaratır:

• Üye ve bağışçı listelerine yalnızca ihtiyacı olan yöneticilerin erişmesini sağlayın; dosyaları şifreleyin.
• Görevi biten yöneticilerin ve gönüllülerin erişimlerini kapatın.
• Kâğıt kayıtları kilitli bir dolapta saklayın.
• Gönüllülerden ve çalışanlardan gizlilik taahhüdü alın; bu yükümlülük görevden ayrıldıktan sonra da sürer.
• Muhasebeci, yazılım firması ya da e-posta hizmeti gibi sizin adınıza veri işleyenlerle yazılı sözleşme yapın. Bu kişilerin aldığı önlemlerden siz de birlikte sorumlusunuz.

Bulut servisleri ve yurt dışına aktarım

Sunucusu yurt dışında olan bir bulut depolama, e-posta, anket ya da toplu e-posta servisine üye listesi yüklemek, kişisel verilerin yurt dışına aktarılması anlamına gelebilir. 2024'te yapılan değişiklikle yurt dışına aktarım; yeterlilik kararı, Kurulun ilan ettiği standart sözleşme ya da arızi durumlarda açık rıza gibi belirli şartlara bağlandı. Standart sözleşme imzalandığında beş iş günü içinde Kuruma bildirilmelidir. Kullandığınız servisin bu konuda ne sunduğunu kontrol edin; emin değilseniz bir uzmana danışın.

Kişiler başvurursa

Üyeleriniz ve bağışçılarınız, hakkında hangi verilerin işlendiğini öğrenmek, yanlışların düzeltilmesini ya da işleme sebebi ortadan kalkan verilerin silinmesini istemek gibi haklara sahiptir. Derneğe yazılı olarak yapılan başvuruları en geç otuz gün içinde ve kural olarak ücretsiz sonuçlandırmanız gerekir. Talebi kabul ediyorsanız gereğini yapın; reddediyorsanız gerekçesini yazılı ya da elektronik olarak bildirin.

Verileri ne kadar saklayacağınızı da belirleyin. Örneğin alındı ve harcama belgeleri beş yıl saklanır; bu sürenin sonunda saklama sebebi kalmayan veriler silinmeli, yok edilmeli ya da anonim hâle getirilmelidir.

Dernekler VERBİS'e kayıt olmalı mı?

VERBİS, veri sorumlularının kayıt olduğu sicildir. Kişisel Verileri Koruma Kurulu, mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olarak veri işleyen ve kendisine bağlı bir iktisadi işletmesi bulunmayan dernekleri VERBİS'e kayıt yükümlülüğünden istisna tutmuştur.

Derneğinizin bir iktisadi işletmesi varsa, örneğin kafe, kitap satışı ya da eğitim hizmeti veriyorsanız, VERBİS'e kayıt olmanız ve kayıtta yalnızca iktisadi işletmenin faaliyetlerine ilişkin bilgileri girmeniz gerekir. VERBİS istisnası, KVKK'nın diğer yükümlülüklerinden muafiyet anlamına gelmez; aydınlatma, güvenlik ve başvurulara cevap verme yükümlülükleri her dernek için geçerlidir.

Kısa kontrol listesi

• Hangi verileri, nerede ve kimin eriştiği bir listede yazılı
• Üyelik, bağış ve gönüllülük formlarında aydınlatma metni var
• Bülten ve fotoğraf paylaşımı için ayrı onay alınıyor
• Veri işleyenlerle sözleşme yapıldı
• Görevi biten kişilerin erişimleri kapatılıyor
• İhlal ve başvuru durumunda kimin ne yapacağı belli

Gönüllü verileri için ayrıca: gönüllülerle çalışırken nelere dikkat etmeli?