Toplu Yapılarda Apartman ve Site Sakinlerine Ait Borç Bilgilerinin Ortak Yerlere Asılması Hakkında İlke Kararı

Kişisel Verileri Koruma Kurulu'nun ("Kurul") 18.02.2026 tarihli ve 2026/348 sayılı İlke Kararı ile apartman ve site yönetimlerinde uygulamada sıklıkla karşılaşılan bir yönteme ilişkin önemli değerlendirmelerde bulunulmuştur. İlgili İlke Kararı, 31.03.2026 tarihli ve 33210 sayılı Resmî Gazete'de yayımlanmıştır.

Kararda aidat, avans ve benzeri borçlara ilişkin olarak ad-soyad, daire numarası, borç tutarı ve gecikme bilgileri gibi kişisel verileri içeren listelerin; asansör, bina girişi ve koridor gibi ortak alanlara asılması suretiyle gerçekleştirilen veri işleme faaliyetinin, belirli ve sınırlı bir muhatap kitlesiyle paylaşım niteliği taşımadığı, aksine belirsiz sayıda üçüncü kişiye ifşasına sebep olabileceği belirtilmiştir. Bu kapsamda söz konusu uygulamanın 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5'inci maddesinde düzenlenen işleme şartlarına dayanamayacağı ve kişisel verilerin yetkisiz kişilerin erişimine açık hâle gelmesi nedeniyle Kanun'un 12'nci maddesi kapsamında veri güvenliğine ilişkin teknik ve idari tedbirlerin alınması yükümlülüğüne aykırılık teşkil ettiği ifade edilmiştir.

Kurul, kat maliklerinin bilgilendirilmesinin mümkün olduğunu kabul etmekle birlikte, bu bilgilendirmenin 6698 sayılı Kanun'un 4'üncü maddesinde yer alan genel ilkelere uygun şekilde, özellikle amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi gözetilerek gerçekleştirilmesi gerektiğini vurgulamıştır. Bu doğrultuda, bilgilendirmelerin yalnızca ilgili kişilerin erişimine açık olacak yöntemlerle yapılması gerektiği açıkça ortaya konulmaktadır.

Bu Karar, uygulamada yaygın olan açık ilan yöntemlerinin artık sürdürülebilir olmadığını ortaya koymakta, apartman ve site yönetimlerinin kişisel veri içeren bilgilendirmeleri daha kontrollü ve güvenli iletişim kanalları üzerinden yürütmesini gerekli kılmaktadır. Aksi yöndeki uygulamaların devamı hâlinde veri sorumluları hakkında 6698 sayılı Kanun'un 18'inci maddesi kapsamında idari yaptırım riski gündeme gelebilecektir.

Karar ile uygulamada özellikle aşağıdaki hususlara yönelik dikkat çekilmiştir:

• Kişisel veri içeren borç bilgilerinin ortak alanlara asılması suretiyle yapılan duyuruların hukuka uygun olmadığı,
• Bu tür paylaşımların belirli bir muhatap kitlesiyle sınırlı kalmayarak üçüncü kişilere ifşa sonucunu doğurabileceği,
• Söz konusu uygulamaların KVKK'nın 5'inci maddesi kapsamında geçerli bir işleme şartına dayanmadığı,
• Kişisel verilerin yetkisiz kişilerce erişilebilir hâle gelmesinin KVKK'nın 12'nci maddesi kapsamında veri güvenliği yükümlülüğüne aykırılık teşkil ettiği,
• Kat maliklerinin bilgilendirilmesinin mümkün olduğu ancak bunun KVKK'nın genel ilkeleri çerçevesinde, ölçülü ve sınırlı şekilde yapılması gerektiği,
• Bilgilendirme süreçlerinde yalnızca ilgili kişilerin erişebileceği kapalı ve kontrollü iletişim yöntemlerinin tercih edilmesi gerektiği.

Öte yandan, her ne kadar ilke kararda açıkça düzenlenmemiş olsa da söz konusu bilgilendirme süreçlerinin yurt dışı merkezli platformlar aracılığıyla yürütülmesi hâlinde kişisel verilerin yurt dışına aktarımı gündeme gelebilecektir. Bu durumda veri sorumlularının 6698 sayılı Kanun'un 9'uncu maddesi kapsamında gerekli aktarım mekanizmalarını kurgulaması; standart sözleşmelerin imzalanması, uygun aktarım şartlarının sağlanması ve ek teknik ve idari tedbirlerin alınması gerekecektir.

Sonuç olarak, İlke Kararı apartman ve site yönetimlerinde şeffaflık yükümlülüğünün devam ettiğini, ancak bu yükümlülüğün yerine getirilmesinde kullanılan yöntemlerin KVKK'ya uygun hâle getirilmesinin zorunlu olduğunu ortaya koymaktadır.

İlgili İlke Kararı'nın tam metnine buradan, Kişisel Verileri Koruma Kurumu tarafından yayımlanan kamuoyu duyurusuna ise buradan ulaşabilirsiniz.