Daireyle eşleşen sayaç okuma verisi KVKK açısından kişisel veri sayılabilir; yönetim erişimi, paylaşımı ve saklama süresini yazılı belirlemeli.
Merkezi sistemli bir binada her dönem kalorimetre, ısı pay ölçer ve su sayacı endeksleri okunur, daireye göre hesaplanır ve belgeye dönüşür. Bu yazı, bu verinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) karşısındaki yerini yönetimin gözünden ele alıyor: veri kimin, kime gösterilebilir, sayaç okuma firması ile yapılan sözleşmeye ne yazılmalı ve ne kadar saklanır. Okuma ve paylaştırma yazılımının mevzuattan gelen yükümlülükleri ise sayaç faturalandırma yazılımı sayfasında ayrıca anlatılıyor.
Not: Bu yazı genel bilgi niteliğindedir, hukuki danışmanlık değildir. Binanıza özgü bir karar için bir hukukçuya danışmanızı öneririz.
Tüketim verisi kişisel veri mi?
KVKK'nın 3. maddesi kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar. Tek başına bir sayaç seri numarası ve endeks değeri kimseyi göstermez. Ancak okuma sistemi bu değeri bir daireyle eşleştirir, paylaşım belgesi de onu bir isimle buluşturur. Isınma giderlerinin paylaştırılmasına ilişkin yönetmeliğin 5. maddesinin yedinci fıkrası, daireye giden bildirimde bağımsız bölüm kullanıcısının adı-soyadı ve adres bilgilerinin yer alacağını söyler (RG 14/4/2008-26847).
Bu eşleşme kurulduğu anda tüketim, belirli bir kişinin evde ne kadar ısındığını ve sıcak su kullandığını anlatan bir bilgiye dönüşür. Uzaktan okumada günlük veri oluştuğunda bu bilgi daha ayrıntılı hâle gelir: hangi günlerde tüketimin hiç olmadığı, yani dairenin boş kaldığı dönemler bile okunabilir. Bu nedenle ihtiyatlı yaklaşım, daireyle eşleşmiş okuma verisini kişisel veri gibi ele almaktır. Kanunun 6. maddesinde sayılan özel nitelikli veriler arasında tüketim verisi yer almaz; yine de ölçülü işleme ilkesi geçerlidir.
Yönetim, okuma firması ve yazılım: kim ne rolde?
Kanun iki rol tanımlar. Veri sorumlusu, verinin işleme amaçlarını ve vasıtalarını belirleyen kişidir; veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek veya tüzel kişidir (madde 3). Sayaç okumada bu rollerin kime düştüğü her binada aynı biçimde cevaplanamaz.
Gider paylaşımının yapılmasına karar veren ve hizmeti satın alan taraf yönetim olduğu için yönetimin veri sorumlusu konumunda değerlendirilmesi akla yatkındır. Okuma firması ise yönetim adına okuma ve hesap yapar. Öte yandan yetkilendirilmiş ölçüm şirketinin ölçülen veriyi en az beş yıl dijital ortamda saklayabilmesi yönetmeliğin 10. maddesinde ayrıca şart koşulmuştur; firmanın bu verileri kendi mevzuat yükümlülüğü için de tuttuğu düşünülebilir. Rollerin hangi işlem için kime ait olduğunu sözleşmede açıkça yazmak, ileride doğacak tartışmayı baştan azaltır.
Rol ne olursa olsun Kanunun 12. maddesinin ikinci fıkrası önemlidir: veri sorumlusu, verinin kendi adına başkasınca işlendiği durumda güvenlik tedbirleri konusunda o kişiyle birlikte müştereken sorumludur. Yani yönetim, okumayı dışarı vererek veri güvenliği sorumluluğunu da tamamen devretmiş olmaz.
Daire sakinine erişim ve ilan panosu
Paylaşım sonuçlarının sakinlerle paylaşılması mevzuatın da öngördüğü bir iştir. Yönetmeliğin 5. maddesinin sekizinci fıkrasına göre bağımsız bölüm paylaşım bildirimlerinin icmali, bina girişindeki ilan panosunda asgari üç gün süreyle liste hâlinde ilan edilir. Kanunun 5. maddesi, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olan işlemeyi açık rıza aranmayan hâller arasında sayar. Bu ilanın o çerçevede değerlendirilmesi mümkündür.
Dikkat edilmesi gereken, ilanın kapsamını genişletmemektir. Kanunun 4. maddesi verinin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Bu açıdan bakıldığında:
- Listeye yönetmeliğin istemediği bilgi eklenmemeli. Telefon numarası, aidat borcu ya da önceki dönem karşılaştırmaları ilan amacının dışına taşar.
- Daire numarasıyla yetinilebilir mi, sorulmalı. İcmalde ad-soyad yerine daire numarasının yeterli olup olmadığı hukuk danışmanıyla birlikte değerlendirilebilir.
- Süre bitince liste kaldırılmalı. Panoda aylarca kalan liste, ilan süresini aşan bir açıklama hâline gelir.
- Toplu mesaj gruplarına liste atılmamalı. Panoya asılan icmalin bina dışındaki kişilere de ulaşabilecek bir gruba gönderilmesi ayrı bir açıklamadır.
Çevrimiçi erişimde ilke daha basittir: her sakin yalnızca kendi dairesini görmelidir. EnerjiPay ekranı da bu mantıkla kurulur: sakin, başka dairelerin değil yalnız kendi dairesinin tüketimine ve faturasına bakar; ekranın neleri gösterdiği online tüketim ve fatura görüntüleme yazısında anlatıldı. Yönetim tarafında ise panele kimin, hangi yetkiyle girdiği belirlenmeli; yönetim değiştiğinde eski kullanıcıların erişimi kapatılmalıdır.
Sakinleri bilgilendirme ve başvuruları
Kanunun 10. maddesi, veri elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki haklar hakkında bilgi verilmesini ister. Kişisel Verileri Koruma Kurumu'nun aydınlatma yükümlülüğüne ilişkin tebliği (RG 10/3/2018-30356) bu bilgilendirmenin sade bir dille yapılmasını, genel ve muğlak ifadelerden kaçınılmasını ve ispatının veri sorumlusuna ait olmasını belirtir.
Sayaç okuma için bu, kısa ve somut bir metin anlamına gelir: hangi sayaçların okunduğu, verinin gider paylaşımı için kullanıldığı, okuma firmasıyla ve hesap yazılımıyla paylaşıldığı ve ne kadar saklandığı. Metin genel kurul kararıyla birlikte duyurulabilir, yeni taşınan sakine de giriş evraklarıyla verilebilir.
Sakin kendi verisi hakkında bilgi isterse Kanunun 11. maddesi kapsamında başvurabilir. 13. maddeye göre veri sorumlusu başvuruyu en geç otuz gün içinde sonuçlandırır. Okuma firmasının bu tür taleplere veri sağlamada ne kadar sürede destek vereceğini sözleşmeye yazmak, yönetimin bu süreyi kaçırmamasını kolaylaştırır.
Okuma firmasıyla sözleşmede veri maddeleri
Kurumun Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), veri işleyenle yapılan sözleşmenin yazılı olmasını ve bazı hükümleri içermesini önerir. Sayaç okuma hizmetine uyarlandığında şu maddeler bir kontrol listesi olarak kullanılabilir:
- Amaç ve kapsam. Firmanın veriyi yalnızca okuma, paylaştırma ve itiraz incelemesi için, yönetimin talimatı doğrultusunda işleyeceği.
- Veri kategorileri. Hangi verilerin işlendiği: daire, kullanıcı adı, sayaç seri numarası, endeks, tüketim, tutar. Rehber kategorilerin ayrı bir maddede sayılmasını faydalı bulur.
- Gizlilik. Firmanın süresiz sır saklama yükümlülüğü. Kanunun 12. maddesi de bu yükümlülüğün görevden ayrıldıktan sonra devam ettiğini söyler.
- İhlal bildirimi. Bir veri ihlalinde firmanın yönetime derhâl haber vereceği. Kanunun 12. maddesine göre ihlal en kısa sürede ilgilisine ve Kurula bildirilir; bu bildirimi yapabilmek için önce yönetimin haberdar olması gerekir.
- Verinin nerede tutulduğu. Yazılım verisinin yurt dışındaki bir sunucuda tutulup tutulmadığı. Yurt dışına aktarım Kanunun 9. maddesinde ayrı şartlara bağlanmıştır.
- Hizmet bitince veri. Sözleşme sona erdiğinde arşivin yönetime hangi biçimde teslim edileceği ve firmada kalan kopyanın akıbeti.
- Denetim. Yönetimin gerektiğinde firmanın tedbirleri hakkında bilgi isteyebileceği.
Bu maddeler hazır bir şablon değildir; sözleşmenin son hâlini bir hukukçunun gözden geçirmesi doğru olur. Firma değişikliğinde arşivin nasıl teslim alınacağının uygulama tarafı ise ayrı bir konudur.
Saklama süresi ve imha
KVKK'nın 4. maddesi verinin ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre kadar muhafaza edilmesini ister. Sayaç verisinde mevzuattan gelen alt sınır bellidir: ısınma giderlerinin paylaştırılmasına ilişkin yönetmeliğin 10. maddesinin birinci fıkrasının (ç) bendi, yetkili ölçüm şirketinin ölçülen verileri en az beş yıl dijital ortamda, veri kaybına imkân vermeyecek şekilde saklayabilmesini şart koşar. Bu arşiv itirazlarda ve okunamayan sayacın hesabında dayanak olarak kullanılır.
Yönetmelik bir üst sınır belirtmez. Saklama gerekçesi ortadan kalktığında Kanunun 7. maddesi verinin silinmesini, yok edilmesini veya anonim hâle getirilmesini öngörür. Pratikte şu ayrım işe yarar:
- Dönem endeksleri ve paylaşım belgeleri: mevzuattaki saklama şartı ve olası uyuşmazlık süresi boyunca.
- Taşınan sakinin iletişim bilgileri: ilişki bittikten sonra ihtiyaç kalmadıysa silinmek üzere.
- Bina geneli istatistikler: daireyle bağı koparılmış, anonim hâlde tutulabilir.
Hangi verinin ne kadar tutulacağı yazılı bir saklama düzenine bağlanırsa hem yönetim hem okuma firması aynı takvime göre hareket eder.
Nortek Enerji ile çalışırken
Nortek Enerji, T.C. Çevre, Şehircilik ve İklim Değişikliği Bakanlığı'ndan yetkili bir okuma ve paylaştırma firmasıdır (yetki belgesi no: 205, tüm illerde geçerli) ve ISO 9001 kalite yönetim sistemi belgesine sahiptir (belge no Q936647525). Veri maddelerini sözleşme aşamasında yönetimle birlikte konuşuyor, sakin paneline erişimi daire bazında açıyoruz. Cihazlarımızı m-bus.com.tr adresinden inceleyebilirsiniz; uzaktan anlık sayaç okuma için EnerjiPay platformumuzu kullanabilirsiniz.
Binanızın okuma düzenini ve veri sorularınızı birlikte değerlendirelim: 0505 059 88 58 · iletişim sayfası
Sık sorulan sorular
Kalorimetre veya pay ölçer verisi kişisel veri midir?
Tek başına seri numarası ve endeks bir kişiyi göstermez. Ancak veri bir daireyle ve paylaşım belgesinde bir isimle eşleştiğinde KVKK'daki kişisel veri tanımına girebilir. İhtiyatlı yaklaşım, daireyle eşleşmiş okuma verisini kişisel veri gibi korumaktır.
Yönetim, daireleri tüketimleriyle ilan panosuna asabilir mi?
Isınma giderlerinin paylaştırılmasına ilişkin yönetmelik, paylaşım bildirimlerinin icmalinin bina girişindeki ilan panosunda en az üç gün liste hâlinde ilan edilmesini öngörür. Listeye yönetmeliğin istemediği bilgileri eklememek ve süre bitince kaldırmak, KVKK'nın ölçülülük ilkesiyle uyumlu bir yaklaşımdır.
Okuma firmasıyla yapılan sözleşmeye hangi veri maddeleri eklenmeli?
İşleme amacı ve kapsamı, işlenen veri kategorileri, süresiz gizlilik, ihlalin yönetime derhâl bildirilmesi, verinin nerede tutulduğu ve hizmet bitince arşivin teslimi temel maddelerdir. Son metni bir hukukçunun gözden geçirmesi önerilir.
Okuma verileri ne kadar süre saklanır?
Yönetmelik, yetkili ölçüm şirketinin ölçülen verileri en az beş yıl dijital ortamda saklayabilmesini şart koşar. KVKK ise verinin amaç için gerekli süre kadar tutulmasını, gerekçe ortadan kalkınca silinmesini, yok edilmesini veya anonim hâle getirilmesini ister.
Daire sakini kendi verisini görmek isterse ne yapılır?
Sakin, KVKK'nın 11. maddesindeki haklarını kullanarak veri sorumlusuna başvurabilir; başvuru en geç otuz gün içinde sonuçlandırılır. Uzaktan okunan binalarda sakin kendi dairesinin tüketimini ve faturasını EnerjiPay ekranından da izleyebilir.
.