STK'da Gönüllü Olurken Kişisel Verilerimi Nasıl Korumalıyım?
Gönüllülük başvurusunda hangi kişisel verileri paylaşmanızın gerçekten gerekli olduğunu, KVKK aydınlatmasını nasıl kontrol edeceğinizi ve riskli taleplerde ne yapabileceğinizi öğrenin.
Bir STK'nın gönüllülük başvurusunda ad-soyad, telefon ve e-posta gibi bilgileri istemesi tek başına olağan dışı değildir. Ancak hangi verinin neden istendiğini, kim tarafından saklanacağını ve kimlerle paylaşılabileceğini bilmeden kimlik belgesi, sağlık bilgisi, banka bilgisi veya benzeri hassas verileri göndermemek gerekir.
KVKK bakımından temel soru “Bu kuruluş benden veri isteyebilir mi?” değil, veriyi hangi amaç ve hukuki sebeple işliyor, bu konuda beni açıkça bilgilendiriyor mu? sorusudur.
Başvuru formunda önce aydınlatma metnini kontrol edin
Kişisel Verileri Koruma Kurumu'na göre veri sorumlusu, kişisel veriler elde edilirken kişiye en azından şu konularda bilgi vermelidir:
- veri sorumlusunun kim olduğu,
- verilerin hangi amaçla işleneceği,
- kimlere ve hangi amaçlarla aktarılabileceği,
- verilerin hangi yöntemle ve hangi hukuki sebeple toplandığı,
- KVKK kapsamındaki hakların nasıl kullanılabileceği.
Bu bilgilendirme, veri işleme açık rızaya dayanmasa bile yapılmalıdır. Açık rıza gerekiyorsa da aydınlatma ile açık rıza aynı şey değildir; 2026 tarihli KVKK ilke kararı bu iki metnin ve beyanın ayrı yürütülmesi gerektiğini özellikle vurguluyor.
Başvuru sayfasında yalnızca “KVKK'yı kabul ediyorum” şeklinde belirsiz bir kutu varsa, metni açıp okumadan işaretlemek yerine kuruluşun gerçek aydınlatma metnini bulun.
Her istenen belgeyi otomatik olarak göndermeyin
Gönüllülüğün niteliğine göre istenebilecek veri de değişir. Etkinlik iletişimi için telefon numarası makul olabilirken, basit bir tanışma başvurusu aşamasında kimlik fotokopisi, banka hesap bilgisi veya ayrıntılı sağlık raporu çok daha güçlü bir gerekçe gerektirir.
Özellikle şu durumlarda neden istendiğini sorun:
- T.C. kimlik kartının tam kopyası,
- sağlık raporu veya engellilik bilgisi,
- adli sicil kaydı,
- banka hesabı bilgileri,
- ev adresi,
- yakınlara ait iletişim bilgileri,
- sosyal medya hesaplarına erişim veya şifre,
- gereğinden ayrıntılı fotoğraf/video izinleri.
Sağlık, biyometrik veri, dernek/vakıf üyeliği gibi bazı bilgiler KVKK'da özel nitelikli kişisel veri olarak ayrıca korunur. Böyle bir veri gönüllülük için gerçekten gerekiyorsa kuruluşun bunu hangi amaçla ve hangi hukuki dayanakla işlediğinin açık olması önemlidir.
Kimlik belgesi gerekiyorsa kopyayı amaca göre sınırlandırın
Kuruluşun gerçekten kimlik doğrulaması yapması gerekiyorsa, belgenin tamamını kontrolsüz biçimde mesajlaşma uygulamasından göndermek yerine önce hangi alanların gerekli olduğunu sorun.
Belgeyi paylaşmanız gerekiyorsa, kabul ediliyorsa kopyanın üzerine örneğin “X Derneği gönüllü kaydı için, 5 Eylül 2026” gibi kullanım amacını belirten bir not eklemek kopyanın başka bir işlemde kullanılmasını zorlaştırabilir. Gerekmeyen alanların kapatılıp kapatılamayacağını da kuruluşa sorun; bunu tek taraflı yapmanız bazı resmî işlemlerde belgeyi geçersiz kılabilir.
Gönüllü olarak çalışırken başkalarının verilerini de koruyun
Kişisel veri güvenliği yalnız kendi başvuru formunuzla bitmez. Bir sosyal yardım, çocuk, sağlık, göç, engellilik veya afet projesinde gönüllüyseniz yararlanıcılara ait çok daha hassas bilgilere erişebilirsiniz.
Bu durumda:
- yararlanıcı listelerini kişisel e-posta hesabınıza göndermeyin,
- proje dosyalarını kişisel bulut hesabına kopyalamayın,
- isim ve fotoğrafları “iyi niyetli paylaşım” gerekçesiyle sosyal medyada yayımlamayın,
- ekran görüntüsü, Excel listesi veya WhatsApp grubunda gereksiz veri dolaştırmayın,
- yalnız göreviniz için gerçekten gerekli verilere erişin.
“Ben sadece gönüllüyüm” demek veri güvenliği riskini ortadan kaldırmaz. STK'nın size hangi bilgileri hangi kanaldan kullanabileceğinizi açıkça anlatması gerekir.
Fotoğraf ve sosyal medya iznini ayrı düşünün
Etkinliğe katılmak ile fotoğrafınızın tanıtım materyalinde veya sosyal medyada kullanılmasına izin vermek aynı işlem değildir.
Kayıt formunda “etkinliğe katılım, fotoğraf çekimi, tanıtım, sponsor paylaşımı ve ilerideki kampanyalar” tek bir genel onaya bağlanıyorsa bunun kapsamını sorgulayın. KVKK, açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmasını ister; sınırsız “her türlü kullanım” ifadeleri sağlıklı bir rıza örneği değildir.
Verilerinizle ilgili sonradan soru sorabilirsiniz
Gönüllülüğünüz bittikten sonra da “Bendeki hangi veriler hâlâ tutuluyor?”, “Bu bilgiler kimlerle paylaşıldı?” veya “Artık gerekli olmayan verilerimin silinmesi mümkün mü?” gibi sorular yöneltebilirsiniz.
Ancak her veri gönüllülük sona erdiği anda otomatik olarak silinmek zorunda değildir. Kuruluşun kanuni saklama yükümlülüğü veya başka geçerli bir hukuki sebebi bulunabilir. Bu nedenle en doğru yaklaşım, silme talebini mutlak bir hak gibi değil, verinin işlenmesini gerektiren sebebin devam edip etmediğini sorgulayarak yapmaktır.
Şüpheli bir veri talebiyle karşılaştığınızda başvuruyu tamamlamak için acele etmek yerine kuruluşun resmî iletişim kanalından teyit alın. Gerçek bir STK'nın adı kullanılarak hazırlanmış sahte gönüllülük formları da kişisel veri toplamak için kullanılabilir.
Kaynaklar: