KVKK bir emlak ofisini neden ilgilendirir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri olarak tanımlar. Bir alıcı adayının adı ve telefonu, bir mal sahibinin adresi, bir kiracının gelir belgesi ya da bir gezide alınan geri bildirim notu bu tanımın içindedir. Bu verileri kendi amaçları için işleyen bir emlak ofisi, kural olarak veri sorumlusu sıfatıyla Kanun'daki yükümlülüklerle karşı karşıyadır.
Emlak sektörünün bir özelliği, kişisel verinin çok sayıda kanaldan ve çoğu zaman gayriresmî yollarla gelmesidir: tabelayı görüp arayan biri, WhatsApp'tan fotoğraf gönderen bir mal sahibi, web sitesindeki formu dolduran bir ziyaretçi, ofise gelip kimliğini masaya bırakan bir müşteri. Veriler telefonlarda, mesajlarda, defterlerde ve programlarda dağınık hâlde birikir. KVKK açısından ilk adım, bu dağınıklığı görmek ve düzene sokmaktır.
Bir emlak ofisinde hangi kişisel veriler işlenir?
Doğru bir başlangıç, ofisinizdeki kişisel verilerin kısa bir envanterini çıkarmaktır. Aşağıdaki tablo tipik bir emlak ofisinde karşılaşılan veri gruplarını özetler:
| Kişi grubu | Örnek veriler | Genellikle nerede birikir? |
|---|---|---|
| Alıcı ve kiracı adayları | Ad, telefon, e-posta, bütçe, aradığı bölge, gezi notları | Müşteri kayıtları, telefon rehberi, mesajlar |
| Mal sahipleri | Ad, telefon, adres, tapu bilgisi, ödeme bilgileri | Portföy kayıtları, sözleşmeler |
| Kiracılar ve kefiller | Kimlik bilgileri, gelir belgesi, iletişim bilgileri | Kira sözleşmesi dosyaları |
| Yer gösterme belgesindeki taraflar | Kimlik bilgileri, gösterilen taşınmaz, tarih | Yer gösterme belgeleri |
| Web sitesi ziyaretçileri | Ad, telefon, e-posta, mesaj | İletişim formu kayıtları |
| Ev içi fotoğraf ve videolar | Evin içi, bazen kişiler ve eşyalar | İlan galerileri, teslim kayıtları |
| Çalışanlar ve danışmanlar | Kimlik, iletişim, prim ve ödeme bilgileri | Personel dosyaları, muhasebe |
Envanteri çıkarırken her veri grubu için dört soru sorun: Bu veriyi neden topluyoruz? Gerçekten gerekli mi? Kimler erişebiliyor? Ne zamana kadar saklayacağız? Örneğin bir kiralık daire gezisi için kimlik fotokopisi almak gerekmiyorsa almayın; kimlik fotokopisi alınması gereken durumlarda da gereğinden fazla bilgi içeren kopyaların birikmemesine dikkat edin. KVKK md. 4'teki genel ilkeler, verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını öngörür.
Sağlık bilgisi, din, dernek üyeliği gibi veriler Kanun'da özel nitelikli kişisel veri olarak ayrıca korunur ve daha sıkı kurallara tabidir. Emlak işinde bu verilere genellikle ihtiyaç duyulmaz; bir müşteri böyle bir bilgiyi kendiliğinden paylaşsa bile bunu kayıtlara geçirmeden önce gerçekten gerekli olup olmadığını düşünün.
Aydınlatma yükümlülüğü: kişiye neyi, ne zaman anlatmalısınız?
KVKK md. 10'a göre veri sorumlusu, kişisel verileri elde ederken ilgili kişiyi bilgilendirmekle yükümlüdür. Bu bilgilendirme, rıza alınıp alınmamasından bağımsızdır; yani yalnızca rızaya dayanan işlemeler için değil, tüm işlemeler için geçerlidir. Kanun'da sayılan başlıca konular şunlardır:
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- Kişisel verilerin hangi amaçla işleneceği,
- İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği,
- Verilerin toplanma yöntemi ve hukuki sebebi,
- İlgili kişinin md. 11'de sayılan hakları.
Pratikte emlak ofisinin aydınlatmayı farklı kanallarda yapması gerekir: ofise gelen müşteriye basılı ya da ekranda bir metinle, telefonla ulaşan kişiye kısa bir bilgilendirme ve metne bağlantıyla, web sitesindeki formda formun yanında erişilebilir bir metinle. Aydınlatma metninizi güncellediğinizde hangi kişiye hangi sürümün gösterildiğini bilmek, ileride bir soru geldiğinde ne anlattığınızı gösterebilmenizi sağlar.
Açık rıza: ne zaman gerekir, nasıl alınır?
Kanun açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Ancak açık rıza, kişisel veri işlemenin tek hukuki sebebi değildir. KVKK md. 5, açık rıza dışında da işleme şartları sayar; örneğin bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat için zorunlu olması.
| İşleme örneği | Değerlendirmede göz önünde bulundurulabilecek nokta |
|---|---|
| Müşterinin istediği daireyi aramak ve gezi planlamak | Kişinin talep ettiği hizmetin kendisiyle ilgilidir; açık rıza dışındaki işleme şartları değerlendirilebilir. |
| Kira sözleşmesini hazırlamak | Sözleşmenin kurulması ve ifasıyla doğrudan ilgilidir. |
| Yer gösterme belgesi düzenlemek | Mevzuattan doğan bir yükümlülükle ilişkili olabilir. |
| Yeni ilanlar için pazarlama mesajı göndermek | İsteğe bağlı bir amaçtır; çoğu durumda açık rıza gündeme gelir. |
| Müşteri bilgisini ofis dışındaki biriyle paylaşmak | Paylaşımın amacı ve hukuki sebebi ayrıca değerlendirilmelidir. |
Tablodaki değerlendirmeler yalnızca örnektir; her işlemenin hukuki sebebini ofisinizin süreçlerine göre bir avukatla belirleyin. Açık rıza alınacaksa dikkat edilecek bazı genel noktalar şunlardır:
- Amaç bazlı alın: “Tüm verilerimin her amaçla işlenmesine onay veriyorum” gibi genel bir onay yerine, pazarlama araması, mesaj ya da e-posta gibi her amaç için ayrı rıza alın.
- Hizmete şart koşmayın: İsteğe bağlı bir işleme için verilen rızayı, kişinin talep ettiği hizmetin ön koşulu hâline getirmek özgür irade unsurunu zedeleyebilir.
- Aydınlatmadan ayırın: Aydınlatma metni ile rıza metnini aynı paragrafta birleştirmek yerine ayrı tutun.
- Geri çekmeyi kolaylaştırın: Kişi rızasını her zaman geri çekebilir; geri çekme tarihini de kaydedin ve o andan itibaren ilgili işlemeyi durdurun.
Saklama süresi: veriyi ne zamana kadar tutabilirsiniz?
KVKK md. 7'ye göre, işlenmesini gerektiren sebepler ortadan kalktığında kişisel veriler resen ya da ilgili kişinin talebiyle silinir, yok edilir veya anonim hâle getirilir. Emlak ofisinde bu, örneğin iki yıl önce ev arayıp sonra hiç dönmeyen bir müşterinin kaydının süresiz olarak tutulmaması gerektiği anlamına gelir. Belirli koşullarda veri sorumlularının yazılı bir saklama ve imha politikası hazırlaması da gerekebilir.
| Kayıt türü | Süreyi belirlerken düşünülebilecek sorular |
|---|---|
| Aday müşteri kayıtları | Son iletişimden bu yana ne kadar zaman geçti? Kişiyle ilişki sürüyor mu? |
| Talep ve gezi notları | Talep kapandı mı? Notların ileride bir ispat ihtiyacı var mı? |
| Sözleşme ve işlem kayıtları | Vergi, ticari ve olası uyuşmazlıklara ilişkin saklama ihtiyacı ne kadar sürer? |
| Rıza kayıtları | Rızanın alındığını ispat etmek için hangi kayıtların saklanması gerekir? |
Ticari ilişkilerde olası uyuşmazlıklar için genel zamanaşımı süresi sıklıkla dikkate alınır; Türk Borçlar Kanunu'nda genel kural on yıldır. Ancak her kayıt türünün süresi farklı olabilir ve tek bir süreyi her şeye uygulamak doğru olmayabilir. Süreleri ve dayanaklarını hukuk danışmanınız ve mali müşavirinizle birlikte belirleyin, yazılı hâle getirin ve düzenli aralıklarla uygulayın.
Silme ile anonimleştirme arasındaki fark da önemlidir. Anonimleştirmede veri, başka verilerle eşleştirilse bile kimliği belirli ya da belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilir. Böylece örneğin geçmiş işlemlerin sayısı ve tutarları istatistik olarak korunurken, kişiyi tanımlayan ad, telefon ve kimlik bilgileri kaldırılmış olur.
İlgili kişi başvurusu geldiğinde ne yapmalısınız?
KVKK md. 11, kişilere verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, eksik veya yanlış işlenmişse düzeltilmesini, şartları oluştuğunda silinmesini isteme ve itiraz etme gibi haklar tanır. Kanun'a göre veri sorumlusu başvuruyu talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırır. Bir eski müşterinin “bilgilerimi silin” mesajı da bu kapsamda değerlendirilmesi gereken bir başvuru olabilir.
- 1
Başvuruyu kaydedin
Başvurunun hangi kanaldan, hangi tarihte geldiğini ve ne talep edildiğini not edin. 30 günlük süre bu tarihten işlemeye başlar.
- 2
Kimliği doğrulayın
Bilgileri başka birine vermemek için başvuranın gerçekten ilgili kişi olduğundan emin olun.
- 3
Verileri bulun
Kişiye ait verilerin hangi kayıtlarda, mesajlarda ve dosyalarda bulunduğunu belirleyin. Envanteriniz burada işinizi kolaylaştırır.
- 4
Hukuki değerlendirme yapın
Talebin karşılanıp karşılanamayacağını, örneğin saklama yükümlülüğü olan bir kaydın silinip silinemeyeceğini avukatınızla değerlendirin.
- 5
Yanıtlayın ve kaydedin
Yanıtı süresi içinde verin; yanıt tarihini ve içeriğini kayıt altına alın.
Başvurular her zaman resmî bir dilekçeyle gelmez; bir telefon görüşmesinde ya da WhatsApp mesajında da dile getirilebilir. Ofiste bu tür taleplerin kime iletileceğini ve nereye kaydedileceğini önceden belirlemek, 30 günlük sürenin fark edilmeden dolmasını önler. Başvuru usulüne ilişkin ayrıntılar için Kurul'un ilgili tebliğini ve güncel rehberlerini de inceleyin.
Erişim kaydı ve veri güvenliği: kim neye dokundu?
KVKK md. 12, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri almasını öngörür. Emlak ofisi ölçeğinde bu tedbirlerin önemli bir kısmı günlük alışkanlıklarla ilgilidir:
- Yetkiyi sınırlayın: Her danışmanın her müşterinin her bilgisine erişmesi gerekmez. Rol bazlı yetkilendirme, erişimi işin gerektirdiğiyle sınırlar.
- Erişimleri kaydedin: Kişisel veri alanlarına kimin, ne zaman, hangi eylemle eriştiğinin kaydı; hem iç denetim hem de bir soru geldiğinde cevap vermek için değerlidir.
- Mesajlaşma gruplarına dikkat edin: Kimlik fotokopilerini ve sözleşmeleri kalabalık mesaj gruplarında paylaşmak, verinin kontrolünü kaybetmenin en kolay yoludur.
- Ayrılan çalışanın erişimini kapatın: Danışman ofisten ayrıldığında hesabını aynı gün kapatın.
- Kâğıt dosyaları unutmayın: Kimlik fotokopileri ve sözleşmeler kilitli bir dolapta durmalı, gereği kalmadığında usulüne uygun imha edilmelidir.
- Hizmet sağlayıcılarınızı bilin: Verilerinizin hangi programlarda ve sunucularda tutulduğunu bilin; yurt dışına aktarım ayrı kurallara tabidir.
Bir veri ihlali yaşandığında, örneğin müşteri listesini içeren bir telefon çalındığında, Kanun veri sorumlusuna durumu ilgili kişilere ve Kurul'a bildirme yükümlülüğü getirir. Bildirim süreleri ve usulü için Kurul kararlarını takip edin ve böyle bir durumda vakit kaybetmeden hukuki destek alın. Veri sorumluları siciline (VERBİS) kayıt yükümlülüğü ve istisnaları için de güncel Kurul kararlarını kontrol edin.
Aydınlatma, rıza ve saklama kayıtlarını bir programla tutmak
Yukarıdaki adımların çoğu bir kayıt sorusudur: kime hangi metin gösterildi, kim hangi amaçla rıza verdi, başvuru ne zaman geldi, hangi kayıt ne zaman anonimleştirildi, kim hangi bilgiye erişti? Emlink'in KVKK kayıtları bölümü bu kayıtları her kurulumda tutar: amaç bazlı rıza olayları ve geçmişi, sürümlü aydınlatma metinleri ve hangi kişiye hangi sürümün hangi kanaldan gösterildiği, son tarihi kendiliğinden hesaplanan ilgili kişi başvuruları, ofisin belirlediği süre ve dayanakla çalışan saklama politikaları (önce ön izleme, onayla uygulama; diğer modüllerdeki kayıtlar silinmek yerine anonimleştirilir) ve değiştirilemeyen bir erişim günlüğü.
Bir program kayıt tutar ve tanımladığınız politikayı uygular; aydınlatma metninin içeriği, işlemelerin hukuki sebebi, saklama süreleri ve başvurulara verilecek yanıtlar ise ofisinizin sorumluluğunda kalır. Web sitesi iletişim formunda onay kutusunun nasıl çalıştığını ofis web sitesi sayfasında, yer gösterme sırasında toplanan bilgileri yer gösterme belgesi nedir rehberinde bulabilirsiniz.