Otelcilik, kişisel veri açısından yoğun bir sektör: misafirin kimlik bilgisi, ödeme kartı, konaklama geçmişi, bazen sağlık/diyet tercihi ve neredeyse her köşede kamera. Üstelik otelin bazı verileri mevzuat gereği toplaması zorunlu.
Bu rehber, otel ve konaklama tesisleri için süreç bazlı bir uyum haritası sunuyor.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Konaklama mevzuatındaki bildirim yükümlülükleri için ilgili kolluk/mevzuat düzenlemelerini esas alın.
Otelin tipik veri süreçleri
| Süreç | Veriler | Hukuki sebep (tipik) | Not |
|---|---|---|---|
| Rezervasyon (doğrudan) | Kimlik, iletişim, ödeme | Sözleşmenin ifası | Acente üzerinden gelirse aktarım vardır |
| Kimlik bildirimi | Kimlik/pasaport bilgileri | Kanunlarda açıkça öngörülme | Rıza gerekmez; mevzuat gereği |
| Konaklama kaydı | Oda, tarih, refakatçi | Sözleşmenin ifası | Saklama süresi mevzuata bağlı |
| Ödeme ve fatura | Finans, fatura bilgisi | Hukuki yükümlülük | 10 yıl (VUK/TTK) |
| Kamera (ortak alan) | Görsel kayıt | Meşru menfaat | Odalarda/soyunma alanlarında ASLA |
| Sadakat programı / bülten | İletişim, tercih | Açık rıza | Ayrı onay ve kayıt şart |
| Misafir yorum/şikâyet | İletişim, içerik | Meşru menfaat | Yanıt sonrası saklama süresi belirleyin |
| Personel özlük | Kimlik, özlük, sağlık raporu | Hukuki yükümlülük | İç süreç ama envantere girer |
Bu tablo, envanterinizin iskeletidir. Yöntem: kişisel veri envanteri nasıl hazırlanır.
Otellere özgü 5 kritik nokta
1. Kimlik bildirimi rızaya bağlı değildir
Konaklama tesislerinin kimlik bildirim yükümlülüğü mevzuattan doğar. Bu veriyi işlemek için misafirden rıza istemeniz gerekmez — istemek, hukuki dayanağınızı yanlış göstermek olur.
2. Kamera yerleşimi denetimin ilk bakacağı yer
Ortak alanlarda güvenlik amaçlı kamera meşru menfaate dayanabilir. Ancak odalar, tuvaletler, soyunma ve personel dinlenme alanları kesinlikle kapsam dışıdır. Kameralı alanlarda görünür bilgilendirme levhası bulunmalı, kayıt süresi (tipik olarak 30-60 gün) belirlenip aşılmamalıdır.
3. Acente ve kanal yöneticisi = aktarım
Booking kanalları, kanal yöneticisi yazılımı, PMS bulutu — hepsi veri aktarımıdır. Yurt dışı sunucu kullanılıyorsa aydınlatma metninde belirtilmelidir. Ayrıca bu firmalarla sözleşmelerinizde veri koruma hükmü bulunmalıdır.
4. Pazarlama iletisi ayrı bir dünya
Misafirin rezervasyon sırasında verdiği e-postaya kampanya göndermek, sözleşmenin ifası değildir. Ayrı açık rıza gerekir ve rıza kaydı saklanmalıdır (rıza rehberi).
5. Yabancı misafir = yurt dışı boyutu
Yabancı misafirlerin verileri de aynı kurallara tabidir; ayrıca AB'den gelen misafirler için GDPR tartışması gündeme gelebilir. Uluslararası müşteri ağırlıklı tesislerde hukuki destek almanız güçlü şekilde tavsiye edilir.
Konaklama sektöründen çıkan Kurul kararları
Turizm ve konaklama, Kurul kararlarında adı geçen sektörlerden biri. Derlediğimiz 313 karar özetinden ikisi doğrudan bu sektörden:
| Karar | Tarih | Konu | Ceza |
|---|---|---|---|
| 2024/1523 | 10.09.2024 | Turizm, otelcilik ve konaklama işletmesinin veri ihlali bildirimi | 500.000 TL |
| 2019/255 | 27.08.2019 | Bir turizm şirketi hakkında verilen karar | 500.000 TL |
İki kararın da ortak noktası: ceza, misafir verisinin korunamamasından doğdu — eksik bir metinden değil. Otel işletmesinde en kritik zafiyet noktaları şunlar:
- PMS/rezervasyon sistemi erişimi: resepsiyon personelinin tamamı tüm misafir geçmişini görebiliyor mu? Görev bazlı yetkilendirme yoksa tek bir hesabın ele geçirilmesi tüm arşivi açar.
- Personel devir hızı: sezonluk çalışan çıkışında hesabın kapatılmaması, konaklama sektöründe en sık rastlanan açıktır.
- Kanal yöneticisi ve acente entegrasyonları: her entegrasyon bir aktarımdır ve çoğu yurt dışı merkezlidir.
- Eski kayıtların temizlenmemesi: 10 yıl önceki misafirin pasaport görüntüsü hâlâ sunucudaysa, bir ihlalde etkilenen kişi sayısı gereksiz yere büyür.
Bir ihlal yaşandığında 72 saat içinde "hangi veri, kaç kişi, hangi sistemde" sorularına cevap vermeniz gerekir (veri ihlali süreci). Bu cevaplar envanterinizden gelir.
Otel için envanter iskeleti
Aşağıdaki satırlar tipik bir otel/pansiyon işletmesinde neredeyse her zaman çıkar. Kendi envanterinizi bunun üstüne kurabilirsiniz:
| Süreç | Veri kategorileri | Hukuki sebep | Tipik saklama | Aktarım |
|---|---|---|---|---|
| Rezervasyon (doğrudan) | Kimlik, iletişim | Sözleşmenin ifası | Sözleşme + zamanaşımı | — |
| Rezervasyon (acente/OTA) | Kimlik, iletişim | Sözleşmenin ifası | Aynı | Acente/kanal yöneticisi (çoğu yurt dışı) |
| Kimlik bildirimi | Kimlik, belge no | Hukuki yükümlülük | Mevzuattaki süre | Kolluk |
| Konaklama ve oda kaydı | Kimlik, konaklama bilgisi | Sözleşmenin ifası | Ticari defter süresi | — |
| Ödeme / fatura | Finans, kimlik | Hukuki yükümlülük | 10 yıl | Mali müşavir, ödeme kuruluşu |
| Misafir Wi-Fi | İşlem güvenliği (log) | Hukuki yükümlülük | Mevzuattaki süre | — |
| Güvenlik kamerası | Görsel kayıt | Meşru menfaat | 30-60 gün | — |
| Memnuniyet anketi / yorum daveti | İletişim | Meşru menfaat | 1-2 yıl | Anket aracı |
| Pazarlama e-postası / SMS | İletişim | Açık rıza (+ İYS onayı) | Rıza sürdüğü sürece | Gönderim sağlayıcısı |
| Personel özlük | Kimlik, özlük, sağlık raporu | Hukuki yükümlülük | 10 yıl | SGK, mali müşavir |
| İş başvurusu / CV | Kimlik, özgeçmiş | Açık rıza | 1 yıl | — |
Kırmızı çizgi: kimlik bildirimi hukuki yükümlülüktür, pazarlama ise açık rıza ister. Aynı formda "kimliğinizi alıyoruz ve kampanya göndereceğiz" diye tek onay almak, iki farklı hukuki sebebi birbirine karıştırmaktır — ve Kurul bunu, hizmeti rızaya bağlamak olarak değerlendirebilir (açık rıza rehberi).
Nereye hangi metni koymalı?
- Resepsiyon: Aydınlatma metni görünür ve okunabilir şekilde (pano veya masaüstü stant)
- Web sitesi / rezervasyon formu: Form gönderilmeden önce erişilebilir link
- Kamera alanları: Bilgilendirme levhası
- Sadakat/bülten kaydı: Ayrı rıza kutusu (ön işaretsiz)
- Personel dosyaları: Çalışan aydınlatma metni ve gizlilik taahhütnamesi
VERBİS yükümlülüğü var mı?
Otelin kayıt yükümlülüğü, çalışan sayısı ve mali bilanço ölçütlerine göre belirlenir; zincir veya orta ölçekli tesislerin çoğu ölçütleri karşılar. Ayrıntı: KVKK hangi şirketler için zorunlu · VERBİS kaydı nasıl yapılır.
Sık sorulan sorular
Misafirin kimliğini fotokopi çekebilir miyim?
Mevzuatın gerektirdiğinden fazla veri toplamak ölçülülük ilkesine aykırıdır. Bildirim için gereken bilgileri kaydedin; gereksiz fotokopi biriktirmek risk oluşturur.
Kamera kayıtlarını ne kadar saklamalıyım?
Amacın gerektirdiği kadar. Uygulamada 30-60 gün yaygındır; süreyi politikanızda yazın ve otomatik silmeyi kurun.
Misafir "verilerimi silin" derse ne yapmalıyım?
Talebi 30 gün içinde yanıtlamalısınız. Ancak mevzuat gereği saklamak zorunda olduğunuz kayıtlar (kimlik bildirimi, fatura) süre dolmadan silinemez; bunu gerekçesiyle açıklarsınız.
Küçük bir pansiyonum var, yine de gerekir mi?
Kanun kapsamındasınız. VERBİS kaydı gerekmese bile aydınlatma metni, kamera bilgilendirmesi ve saklama politikası gereklidir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kişisel Verileri Koruma Kurumu
- Kurul kararı 2024/1523 — karar özeti
- Kurul kararı 2019/255 — karar özeti
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Otele özel set: KVKK Otomat konaklama sektörü şablonuyla rezervasyon, kimlik bildirimi, kamera ve personel süreçlerini hazır sunar; siz işaretleyin, belgeleriniz üretilsin. Genel çerçeve: KVKK Uyum Rehberi. Otelin süreçlerini birlikte çıkarıp dosyayı sizin adınıza da hazırlıyoruz.
