Oda ile Birlik arasındaki veri paylaşımı aktarım mıdır?

Bir baro ile Türkiye Barolar Birliği, bir ticaret odası ile TOBB, bir serbest muhasebeci mali müşavirler odası ile TÜRMOB arasında her gün üye verisi hareket eder: levha kayıtları, aidat bilgileri, disiplin dosyaları, staj kayıtları. Uygulamada bu hareket çoğu zaman "kurum içi işlem" olarak görülür. Kişisel veri hukuku açısından ise durum farklıdır.

Ölçüt tek: ayrı tüzel kişilik var mı?

Kişisel Verileri Koruma Kurumu'nun Mart 2026'da yayımladığı Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları İçin Kişisel Verilerin Korunması Kanununa Uyum Rehberi (KVKK Yayınları No: 114) bu ayrımı net biçimde koyar:

• Aynı tüzel kişilik içindeki paylaşım aktarım değildir. Bir kurumun farklı birimleri veya çalışanları arasındaki paylaşım, aktarım sayılmaz.
• Farklı tüzel kişilikler arasındaki paylaşım aktarımdır ve Kanun'un 8. maddesi (yurt içi) ile 9. maddesi (yurt dışı) kapsamında değerlendirilir.

Meslek kuruluşlarında bu ölçütün sonucu şudur: odalar ve bağlı oldukları birlikler, kendi kuruluş kanunlarıyla ayrı tüzel kişiliğe sahip kamu kurumu niteliğindeki meslek kuruluşlarıdır. Dolayısıyla bir odadan birliğe —veya birlikten odaya— giden üye verisi, hiyerarşik bir ilişki içinde olsa dahi aktarımdır.

Aynı mantık odalar arasında da işler: bir ilin ticaret odasından başka bir ilinkine yapılan paylaşım da aktarımdır.

Verinin üçüncü kişilere aktarılması ile kamuya açık levha ve sicil yayınlarında yayımlanması ise ayrı konulardır; ikincisini alenileştirme yazımızda ele aldık.

"Aktarım" demek "yasak" demek değildir

Bu tespitin ürküttüğü bir yanı var; oysa sonuç bir engel değil, bir usul farkıdır. Rehberin en çok vurguladığı noktalardan biri, Kanun'un aktarımı yasaklayan değil, hangi şartlarda hukuka uygun sayılacağını belirleyen bir çerçeve olduğudur. Kanun'u mutlak bir yasak gibi yorumlamak, özel kanunlarla verilmiş görevleri işlevsiz kılar.

Pratikte yapılması gereken üç adım vardır:

1. Önce kendi mevzuatınıza bakın. Kanun'un 8. maddesi, diğer kanunlardaki aktarım hükümlerini saklı tutar. Meslek kuruluşlarının kuruluş kanunları, birliğe bildirim ve merkezî sicil tutma gibi yükümlülükler içerir. Böyle bir hüküm varsa aktarımın dayanağı zaten oradadır.

2. Özel hüküm yoksa işleme şartına dayanın. Kanun'un 5. maddesindeki şartlardan biri —tipik olarak kanunlarda açıkça öngörülme veya hukuki yükümlülüğün yerine getirilmesi— gösterilir. Veri özel nitelikliyse 6. madde ve ek yükümlülükler devreye girer.

3. Ölçüyü kaçırmayın. Dayanak bulunması, her veriyi göndermeyi meşrulaştırmaz. Rehber, ileride doğması muhtemel ihtiyaçlar veya genel amaçlı talepler doğrultusunda aktarım yapılmamasını; verilerin yalnızca somut ve güncel bir amaç doğrultusunda asgari ölçüde aktarılmasını ister.

Protokol dayanak değildir

Odalar ile birlikler arasında veri paylaşımı çoğu zaman bir protokolle düzenlenir. Bu yararlı bir uygulamadır — ancak rehberin altını çizdiği bir sınır vardır: protokol tek başına aktarımın hukuki dayanağı olamaz.

Protokolün işlevi, var olan bir hukuki sebebin nasıl uygulanacağını düzenlemektir: hangi veri kategorileri paylaşılacak, hangi amaçla, hangi sıklıkta, hangi teknik ve idari güvenlik tedbirleriyle, taraflar hangi sorumlulukları üstlenecek. Dayanak yoksa protokol o boşluğu dolduramaz.

Kurum içi paylaşımda da kural biter mi?

Hayır. Aynı tüzel kişilik içindeki paylaşım aktarım sayılmasa bile, işleme faaliyeti olmaya devam eder. Yani yetki ve görev sınırları, işleme şartları ve genel ilkelere uyum yükümlülüğü aynen sürer.

Bunun somut karşılığı, oda içinde de erişim yetkisinin daraltılmasıdır: disiplin dosyasına muhasebe biriminin, aidat kayıtlarına staj biriminin erişebiliyor olması, "kurum içi" olduğu için serbest hâle gelmez.

Sık yapılan yanılgılar

1. "Üst kuruluşumuz, aktarım sayılmaz." Hiyerarşi tüzel kişiliği birleştirmez. Ölçüt tüzel kişiliktir.
2. "Protokol imzaladık, dayanağımız var." Protokol usulü düzenler, dayanağı yaratmaz.
3. "Talep resmî yazıyla geldi, göndermek zorundayız." Resmî yazı, talebin kapsamını da denetlemeniz gerektiğini ortadan kaldırmaz; ölçülülük yine aranır.
4. "Kanun gereği veremeyiz" deyip kategorik reddetmek. Rehber bu tutumu ayrıca ele alır: önce kendi mevzuatınızda aktarımı yasaklayan bir hüküm olup olmadığı araştırılmalı; yoksa ve bir işleme şartı varsa talebe olumlu cevap verilmelidir.
5. Kişisel veri olmayanı kişisel veri sanmak. Yalnızca tüzel kişiye ait unvan, vergi kimlik numarası ve kurumsal iletişim bilgileri kişisel veri değildir. Gerçek kişiyi belirli kılan bir unsur yoksa ortada kişisel veri işleme faaliyeti yoktur; Kanun'un kapsamını gereksiz genişletmek hizmeti yavaşlatır.
6. Güvenli olmayan kanaldan göndermek. Dayanak doğru olsa bile yöntem yanlışsa veri güvenliği yükümlülüğü ihlal edilmiş olur.

Bütüncül gözden geçirme

Bir paylaşımın aktarım olduğunu tespit etmek, tek başına duran bir niteleme değildir; belge zincirinizin tamamını hareket ettirir. Aktarım tespit edildiğinde: kişisel veri envanterinize alıcı grubu ve aktarım amacı işlenmeli, üye ve personel aydınlatma metinleriniz verilerin kimlere ve hangi amaçla aktarıldığını göstermeli, VERBİS kaydınız bu alıcı gruplarıyla tutarlı olmalı, varsa protokol bu çerçeveye oturtulmalı ve saklama-imha politikanız alıcı taraftaki kopyanın akıbetini de dikkate almalıdır.

Meslek kuruluşlarında bu zincir, kuruluş kanunundaki görev ve yetki hükümleriyle iç içe geçtiği için tek başına KVKK okumasıyla kurulamaz; kendi mevzuatınızla birlikte değerlendirilmesi gerekir. Bu nedenle paylaşım haritanızın hukuki destek alınarak çıkarılmasını öneririz. Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle bu değerlendirmede yol gösterir; KVKK belge merkezi ise üyelerinize ve kamuoyuna açık metinlerinizin tek adresten, her zaman güncel biçimde yayımlanmasını sağlar.

Özet

• Ölçüt tüzel kişiliktir: oda ile birlik ayrı tüzel kişilerdir, aralarındaki paylaşım aktarımdır.
• Aktarım olması yasak olduğu anlamına gelmez; dayanak önce kendi kuruluş mevzuatınızda aranır.
• Protokol dayanak değildir, usul düzenler.
• Kurum içi paylaşımda aktarım kuralları uygulanmasa da işleme şartları ve yetki sınırları devam eder.
• Tüzel kişiye ait veriler kişisel veri değildir; kapsamı gereksiz genişletmek hizmeti aksatır.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kuruluşunuzun paylaşım süreçleri için, kendi kuruluş mevzuatınızla birlikte değerlendirilmek üzere hukuki destek alınız.