Restoran ve Kafeler İçin KVKK: Gün Boyu Veri Akışı

“Bizde veri yok” diyen restoranlarda bile rezervasyon telefonu, kamera görüntüsü, kablosuz ağ formu ve teslimat adresi gibi kişisel veriler işlenebilir. Bu rehber, bir restoranın gün içindeki temas noktalarını sırayla ele alarak hangi bilgilerin neden toplandığını ve nasıl yönetilebileceğini açıklar.

Not: Genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.

Restoran hangi kişisel verileri işler?

Restoranda kişisel veri yalnızca müşterinin adını ve telefon numarasını içeren bir müşteri listesinden ibaret değildir. Rezervasyon defterindeki iletişim bilgisi, kamera görüntüsünde seçilebilen yüz, kablosuz ağa bağlanırken doldurulan formdaki bilgi, sadakat kartıyla ilişkilendirilen alışveriş geçmişi ve paket servis için alınan adres de belirli bir kişiyle ilişkilendirilebiliyorsa kişisel veri olabilir. Veri, kâğıtta, işletme telefonunda, kasada, çevrim içi sipariş ekranında ya da hizmet alınan bir sistemde tutuluyor olabilir.

Sabah masaları hazırlayan çalışan, önceki akşamdan kalan rezervasyon notlarını kontrol eder. Notta müşteri adı, telefon numarası, kişi sayısı ve özel bir istek bulunabilir. Gün içinde kasadan alışveriş yapan müşteri sadakat kartını okutur; akşam güvenlik kamerası giriş ve salon görüntüsü kaydeder. Paket sipariş geldiğinde teslimat adresi ve telefon numarası, işletmenin kendi sipariş kanalında ya da siparişi getiren hizmet sağlayıcının ekranında görünür. Her veri parçası için aynı amaç ve aynı erişim düzeni varsayılmamalıdır.

İlk pratik adım, veri envanteri çıkarmaktır: Hangi noktada hangi bilgi alınıyor, kim görüyor, hangi amaçla kullanılıyor, başka bir işletmeye aktarılıyor mu ve ne zaman siliniyor? Örneğin rezervasyon için gereken telefon numarası, müşteriye kampanya göndermek için otomatik olarak kullanılacak bir iletişim izni anlamına gelmez. Kamera görüntüsü de sadakat kartı geçmişiyle birleştirilerek farklı bir amaçla değerlendirilmemelidir. Kişisel verilerin işlenme şartları m.5’te, özel nitelikli kişisel verilerin işlenme şartları ise m.6’da düzenlenir; restoran, her veri türü ve amaç için uygun dayanağı ayrıca değerlendirmelidir.

Hatalı uygulamalardan biri, “müşteri bilgisi” adı altında her şeyi tek bir dosyada toplamaktır. Böyle olunca garson, kurye, işletme sahibi ve pazarlama işiyle ilgilenen kişi gereğinden fazla bilgi görebilir; eski kayıtlar da unutulup kalabilir. Basit bir kayıt çizelgesiyle rezervasyon, kamera, kablosuz ağ, sadakat ve paket servis süreçlerini ayrı satırlarda izleyin. Restoranlara yönelik süreç örnekleri için restoran KVKK süreçleri sayfasını, temel kavramlar için veri sorumlusu sözlüğünü inceleyebilirsiniz.

Rezervasyon için aydınlatma nasıl yapılır?

Telefonla, mesajla veya çevrim içi form üzerinden rezervasyon alan restoran, müşteriden bilgi alırken bu bilgilerin kullanımı hakkında aydınlatma yapmalıdır. Veri sorumlusunun aydınlatma yükümlülüğünü m.10 düzenler. Aydınlatma, müşterinin rezervasyon bilgilerini vermesinden önce ya da bilgi alınırken anlaşılır biçimde sunulmalı; yalnızca uzun bir metni internet sitesinin görünmeyen bir köşesine koymakla yetinilmemelidir. Amaç, müşterinin hangi işletmeyle iletişim kurduğunu ve bilgisinin rezervasyon için nasıl kullanılacağını anlayabilmesidir.

Örneğin telefonda arayan kişi masa ayırtmak için adını ve numarasını paylaşır. Çalışan, görüşmenin başında veya rezervasyon onayında işletmenin bu bilgileri masa ayırma, değişiklikleri bildirme ve rezervasyonla ilgili iletişim kurma amacıyla kullandığını açıklayabilir; ayrıntılı aydınlatma metnine erişim yolu da sunabilir. Çevrim içi formda ise metne form gönderilmeden önce kolayca ulaşılabilmelidir. Metinde veri sorumlusunun kimliği, işleme amaçları, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları anlaşılır biçimde yer almalıdır. Aydınlatma metni hazırlama adımları için aydınlatma metni rehberine bakılabilir.

Sık rastlanan hata, aydınlatmayı açık rıza kutusuna dönüştürmektir. Aydınlatma, kişiye bilgi verme yükümlülüğüdür; açık rıza ise gereken durumlarda ayrı ele alınan bir irade beyanıdır. Rezervasyonu tamamlamak için gerekli olmayan pazarlama iznini “rezervasyon şartı” gibi sunmak, müşterinin seçimini serbestçe yapmasını zorlaştırabilir. Açık rızanın hangi durumlarda gündeme gelebileceğine ilişkin açık rıza rehberi bu ayrımı anlamaya yardımcı olur.

İşletme için uygulanabilir yöntem, rezervasyon kanalına uygun kısa açıklama ile ayrıntılı metni birlikte kullanmaktır. Personelin ezberden hukuki açıklama yapması beklenmemeli; onaylı kısa bilgilendirme cümlesi ve metne erişim yolu hazır olmalıdır. Rezervasyon iptal edildiğinde bilgi hangi süreyle tutulacak, kimin erişimi olacak ve pazarlama amacıyla tekrar kullanılacak mı sorularına önceden cevap verin. Kâğıt rezervasyon defteri kullanılıyorsa defteri herkesin görebileceği bankoda bırakmayın; işletme telefonundaki kayıtları da çalışanların kişisel cihazlarına gelişigüzel aktarmayın.

Kamera kaydı ve mutfak kamerası

Güvenlik kamerası görüntüsü, kişiler seçilebiliyorsa kişisel veri içerebilir. Kamera kullanımında amaç açıkça belirlenmeli ve kayıt alanı bu amaçla sınırlı tutulmalıdır. Giriş, kasa ya da müşteri salonundaki kamera ile çalışanların sürekli izlenmesine imkân veren mutfak kamerası aynı ihtiyaçla açıklanamayabilir. Restoran, kamera yerleşimini “her yeri kaydedelim, gerekirse bakarız” anlayışıyla değil, somut güvenlik ihtiyacını ve kişilerin makul beklentisini dikkate alarak değerlendirmelidir.

Müşteri kamera bulunduğunu fark edebilmeli ve kayıt hakkında bilgiye kolayca ulaşabilmelidir. Girişte görünür bir uyarı işareti kullanılabilir; ayrıntılı kamera aydınlatma metni de erişilebilir bir yerde sunulabilir. Uyarı yalnızca kameranın varlığını belirtmekle kalmamalı, kişiyi daha kapsamlı açıklamaya yönlendirmelidir. Kayıtların kimler tarafından izlenebileceği, hangi olaylarda inceleneceği ve ne zaman silineceği işletme içinde belirlenmelidir. Kamera alanlarının, kayıt erişiminin ve saklama düzeninin gözden geçirilmesi için kamera kaydı ve KVKK rehberi ile kamera aydınlatma metni şablonu kullanılabilir.

Mutfak kamerası ayrıca değerlendirme gerektirir. İşletme, yalnızca müşteri güvenliğini sağlamak için kurduğu bir kamerayı çalışanların iş yapış biçimini kesintisiz takip etmekte kullanıyorsa amaç ile kullanım arasında uyumsuzluk doğabilir. Görüntüye ses kaydı eklemek, görüşme ve konuşmaları da kayda alabilir; bu nedenle ses özelliği açık bırakılmadan önce ihtiyaç ve ölçülülük dikkatle incelenmelidir. Kamera, soyunma veya dinlenme gibi özel alanlara yöneltilmemeli; görüş açısı komşu işletme ya da kamusal alanı gereksiz yere kapsamayacak şekilde ayarlanmalıdır.

Müşteri “kameradaki görüntümü gönderin” diye başvurduğunda, görüntünün tamamını doğrudan paylaşmak her zaman uygun çözüm değildir. Kayıtta başka müşteriler veya çalışanlar bulunabilir; onların hak ve özgürlükleri de dikkate alınmalıdır. Başvuru değerlendirilirken ilgili zaman aralığı belirlenmeli, başvuruyu yapan kişinin kimliği uygun biçimde doğrulanmalı ve diğer kişilerin görüntülerinin korunması gözetilmelidir. Veri güvenliğine ilişkin yükümlülükler m.12’de düzenlenir; kayıt cihazına erişimin sınırlandırılması, güçlü erişim bilgileri kullanılması ve görüntülerin kontrolsüz biçimde dışarı aktarılmaması bu çerçevede ele alınmalıdır. İşletmenin uygulayacağı yöntemin özel durumuna göre avukatınıza veya hukukçunuza danışın.

Ücretsiz Wi-Fi formu kişisel veri toplar mı?

Ücretsiz kablosuz ağ sunmak tek başına her durumda kişisel veri toplandığı anlamına gelmez. Ancak bağlantı formu müşteriden ad, telefon numarası veya başka bir tanımlayıcı bilgi istiyorsa bu bilgiler kişisel veri olabilir. Bağlantı sırasında cihazla veya oturumla ilişkilendirilen kayıtlar da belirli bir kişiyi tanımlamaya elverişli hâle gelebilir. Bu nedenle restoran, “Wi-Fi ücretsiz, o hâlde veri süreci yok” diye varsaymak yerine ağın nasıl çalıştığını ve hangi kayıtların oluştuğunu öğrenmelidir.

Örneğin kafenin kablosuz ağ giriş ekranı, müşteriden telefon numarası alıp bir doğrulama mesajı gönderiyor olabilir. Bu bilgi yalnızca bağlantıyı sağlamak için mi kullanılıyor, yoksa sonradan kampanya iletmek için de mi saklanıyor? Formda bu amaçlar birbirinden ayrılmıyorsa müşteri neye izin verdiğini anlayamayabilir. Bağlantı için gerekli bilgi ile pazarlama amacıyla kullanılacak bilgi aynı kutuda toplanmamalı; müşteri kablosuz ağa erişmek isterken gereksiz bir kampanyaya da katılmaya zorlanmamalıdır.

“Wi-Fi için Türkiye Cumhuriyeti kimlik numarası gerekir mi?” sorusuna, her işletme için geçerli ve her durumda zorunlu bir yanıt varmış gibi yaklaşmamak gerekir. Restoran, böyle bir bilgiyi istemeden önce gerçekten neden ihtiyaç duyduğunu, daha az müdahaleci bir yöntem olup olmadığını ve bu bilgiyi hangi süreçte kullanacağını sorgulamalıdır. Hizmet sağlayıcının varsayılan ayarları veya hazır formu, işletmenin gereksiz bilgi istemesini haklı kılmaz. Gerekli olmayan bir alanı kaldırmak, veriyi baştan toplamamak ve erişimi sınırlandırmak çoğu zaman daha güvenli bir başlangıçtır.

Pratikte işletme, ağ sağlayıcısından hangi bilgilerin kaydedildiğini, saklama ve silme düzenini, destek ekibinin bu verilere erişip erişmediğini ve verilerin işletmeyle hangi koşullarda paylaşıldığını yazılı olarak öğrenmelidir. Müşteriye gösterilen kısa açıklama, bağlantı formunun hemen yanında bulunmalı; ayrıntılı metne erişim de sağlanmalıdır. Kablosuz ağ verileri, sadakat listesine otomatik olarak eklenmemeli ve rezervasyon kayıtlarıyla amaç dışı biçimde birleştirilmemelidir. Sistemin teknik ayrıntıları anlaşılmıyorsa sağlayıcıdan açıklama isteyin; veri akışını netleştirmeden formu kampanya toplama aracına çevirmeyin.

Sadakat kartı ve kampanya mesajları nasıl yönetilir?

Sadakat kartı, müşterinin ziyaretlerini veya alışverişlerini bir hesapla ilişkilendirebilir. Kart numarası, telefon, alışveriş geçmişi ve puan bilgisi birlikte kullanıldığında müşterinin işletmeyle ilişkisi hakkında ayrıntılı bir kayıt oluşabilir. Restoran, bu bilgileri hangi hizmeti sunmak için tuttuğunu açıkça belirlemeli; kartın çalışması için gerekli bilgiyle kampanya amaçlı iletişimi ayırmalıdır. Sadakat programına katılmak, müşterinin her türlü tanıtım mesajını almak istediği anlamına gelmez.

Örneğin müşteri kasada telefon numarasını vererek bir sonraki alışverişinde kullanacağı avantajı hesabına tanımlatır. Çalışan bu numarayı ayrıca doğum günü kampanyası veya yeni ürün duyurusu için kullanacaksa, bu yeni amacı müşteriye anlaşılır biçimde açıklamalı ve gerekli izinleri ayrı şekilde yönetmelidir. Müşterinin doğum tarihini almak da otomatik olarak zorunlu değildir. Kampanya için tam doğum tarihi yerine daha sınırlı bir bilgi yeterli olabilir mi diye sorun. Veri minimizasyonu, ihtiyaç duyulmayan alanları formdan çıkarmakla başlar.

Doğum günü mesajı göndermek için her durumda aynı türde rıza gerektiğini söylemek doğru olmaz; değerlendirme, bilginin hangi amaçla ve hangi dayanakla işlendiğine, mesajın niteliğine ve pazarlama iletişimi kurallarına bağlıdır. KVKK kapsamında aydınlatma ile gerektiğinde açık rızanın birbirinden ayrılması önemlidir. Ayrıca ticari elektronik iletiye ilişkin izin süreçleri, kişisel veri işleme değerlendirmesinin yerine geçmez. Bu nedenle “müşteri kartı aldı, artık kampanya gönderebiliriz” varsayımını kullanmayın. Açık rıza gereken bir işlem varsa bu irade, hizmetin zorunlu şartı gibi sunulmamalı ve müşteri tercihinden kolayca vazgeçebilmelidir.

Kampanya listesi oluştururken kimlerin neye izin verdiğini, hangi kanaldan iletişim kurulduğunu ve geri çekme talebinin nasıl uygulanacağını kayda bağlayın. İzin vermeyen müşterinin numarasını başka bir listeye kopyalamayın; çalışanların kişisel telefonlarından toplu mesaj göndermesine izin vermeyin. Eski kampanya kayıtlarını düzenli gözden geçirin ve artık amaç için gerekmeyen bilgileri saklamayın. Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi m.7’de düzenlenir. Rıza ve kampanya süreçleri birbirine karışıyorsa önce hangi verinin hangi işlem için kullanıldığını gösteren basit bir akış çıkarın.

Paket servis ve kurye platformları: kim veri sorumlusu?

Paket siparişte müşteri adı, telefon numarası, teslimat adresi ve sipariş bilgisi bulunabilir. Sipariş doğrudan restoranın telefonundan alınmışsa bu bilgileri hangi amaçla ve nasıl kullanacağını restoran belirler. Sipariş bir yemek platformundan gelmişse veri, platformun sistemi üzerinden restorana iletilebilir. “Platformdan geldi, sorumluluk yalnızca platformda” ya da “siparişi restoran hazırlıyor, her şey restoranın sorumluluğunda” demek, tarafların gerçek işleyişini incelemeden verilebilecek kesin bir yanıt değildir.

Veri sorumlusu, işleme amaçlarını ve araçlarını belirleyen taraftır; bir hizmet sağlayıcı ise belirlenen amaç doğrultusunda veri işleyebilir. Roller, tarafların sözleşmede kullandığı tanımlara göre değil, siparişin hangi adımında kimin karar verdiğine ve veriyi kimin kullandığına göre incelenmelidir. Platform, müşteri hesabını ve kendi hizmetini yürütmek için verileri kullanabilir; restoran da siparişi hazırlama ve teslim etme amacıyla kendisine aktarılan bilgileri işleyebilir. Kurye hizmeti veya başka bir tedarikçi de sürece dahil olabilir. Bu ilişkilerde kimin müşteriyi hangi işleme hakkında aydınlattığı ve bilgilerin hangi sınırlar içinde paylaşılacağı açıklığa kavuşturulmalıdır.

Restoran, platform ekranında gördüğü telefon numarasını sipariş dışı kampanyalar için kullanmamalıdır. Teslimat adresi, sonraki siparişleri kolaylaştırmak amacıyla kaydedilecekse bunun amacı ve saklama düzeni ayrıca değerlendirilmelidir. Sipariş tamamlandıktan sonra personele açık ekranda kalmış müşteri bilgileri, gereksiz erişim riski yaratır. Çalışanların yalnızca görevleri için gereken bilgiye erişmesi, ekranların başıboş bırakılmaması ve sipariş dökümlerinin çöpe atılmadan önce uygun şekilde imha edilmesi gibi önlemler iş akışına eklenebilir.

İşletme, platform ve kurye hizmetiyle yaptığı anlaşmalarda veri paylaşımı, erişim, saklama ve destek süreçlerini incelemelidir. Müşterinin talebi geldiğinde hangi tarafın yanıt vereceği de önceden belirlenmelidir. Kendi sipariş formunuzu işletiyorsanız formu kısa tutun ve teslimat için gerekmeyen bilgileri istemeyin. Veri işleyen kavramını daha iyi anlamak için veri işleyen sözlüğüne bakabilir; sipariş, rezervasyon ve kampanya süreçlerini belgelemek için belge sihirbazını kullanabilirsiniz. Söz konusu araçlar ücretsizdir; kayıt ve kart istemez.

Kendi telefon rezervasyonu mu, yemek platformu mu?

Müşterinin bilgiyi hangi kanaldan verdiği, verinin kim tarafından ve hangi amaçla işlendiğini tek başına belirlemez. Telefonla rezervasyon, rezervasyon platformu ve yemek sipariş platformu arasındaki rol farkı, ilgili tarafların gerçek faaliyetlerine ve veri akışına göre incelenmelidir. Aşağıdaki tablo, işletmenin başlangıç değerlendirmesi için nitel bir çerçeve sunar; her hizmetin sözleşmesi ve teknik işleyişi ayrıca kontrol edilmelidir.

Sık yapılan hata, platformun müşteriye gösterdiği metnin restoranın kendi veri kullanımını da otomatik olarak kapsadığını sanmaktır. Restoran müşteri telefonunu siparişin tesliminden sonra başka amaçla kullanıyorsa bu ayrı bir işlem olabilir ve müşteriye açıkça anlatılmalıdır. Tersi de geçerlidir: Restoranın müşteriyi bilgilendirmesi, platformun kendi hesabı veya hizmeti için yürüttüğü işlemleri açıklama yükümlülüğünü kendiliğinden ortadan kaldırmaz. Tarafların müşteriye sunduğu metinler ve aralarındaki sözleşmeler birlikte incelenmelidir.

Pratik kontrol için bir siparişin baştan sona izini sürün: Müşteri bilgiyi nerede giriyor, platform hangi alanları restorana gösteriyor, kurye ne kadarını görüyor, işletme siparişi bitirdikten sonra hangi kaydı saklıyor? Bu soruların yanıtını sağlayıcıdan yazılı biçimde alın. Çalışanın sipariş ekranından müşteri numarasını alıp kişisel rehberine eklemesini önleyin. Platformdan gelen müşteri bilgisi, restoranın kontrolsüz pazarlama listesi değildir. Tarafların görev paylaşımı belirsizse sözleşmeyi ve uygulamayı birlikte inceleyin; avukatınıza veya hukukçunuza danışın.

Restoran için aydınlatma metni nerelerde gerekir?

Aydınlatma metnini tek bir belge olarak hazırlayıp bütün süreçlerde aynı açıklamayı kullanmak, farklı veri akışlarını görünmez hâle getirebilir. Restoranın rezervasyon, kamera, kablosuz ağ, sadakat programı ve paket servis süreçleri birbirinden farklı bilgiler ve amaçlar içerebilir. Bu nedenle metinlerin her temas noktasında müşterinin karşısına uygun zamanda çıkması gerekir. Amaç, müşteriyi uzun bir metinle karşı karşıya bırakmak değil; hangi bilginin ne için kullanıldığını kolayca anlamasını sağlamaktır.

Rezervasyon formu, telefonda yapılan kayıt, kamera uyarısı, kablosuz ağ bağlantı ekranı ve sadakat kartı başvurusu farklı sunum alanlarıdır. İşletme kısa bilgilendirmeyi bu temas noktasına yerleştirip ayrıntılı açıklamaya yönlendirebilir. Metinlerde işletmenin kimliği ve iletişim yolu açık olmalı; işleme amaçları, veri aktarımı, toplama yöntemi ve hukuki sebep ilgili sürece uygun anlatılmalıdır. Her süreçte kullanılmayan açıklamaları kopyalayıp bırakmak, müşteriyi yanlış yönlendirebilir. Örneğin kamera metninde pazarlama listesine ilişkin uzun bir açıklama bulunması, kamera kaydının amacıyla ilgili bilgiye ulaşmayı zorlaştırabilir.

Müşteriye “metni okudum” kutusu işaretletmek, aydınlatmanın kendisi değildir. Metne erişim kolaylığı, açıklamanın açık dili ve doğru zamanda gösterilmesi daha önemlidir. Aydınlatmayı rıza metniyle tek kutuda birleştirmek de müşterinin bilgi almasıyla belirli bir işleme izin vermesini birbirine karıştırabilir. Gerektiğinde rıza beyanı ayrı ve belirli bir işlem için tasarlanmalıdır. Müşterinin iletişim bilgisi alındığında rezervasyon hatırlatması ile reklam mesajını aynı amaç gibi göstermekten kaçının.

İşletmede metinleri düzenli tutmak için her belgeye sorumlu bir kişi atayın ve değişen uygulamalarda metni yeniden gözden geçirin. Yeni bir çevrim içi sipariş ekranı açıldığında, yeni kamera eklendiğinde veya sadakat sisteminin sağlayıcısı değiştiğinde eski açıklama hâlâ doğru mu diye kontrol edin. Personel, hangi metni hangi durumda müşteriye göstereceğini bilmelidir. Metin hazırlamadan önce süreç çizelgesi çıkarıp her açıklamayı gerçek işleyişle karşılaştırın; genel bir şablonu değişiklik yapmadan kullanmayın. Süreçleri gözden geçirmek için KVKK kontrol listesinden yararlanabilirsiniz.

VERBİS kaydı gerekir mi?

Her restoranın otomatik olarak VERBİS’e kayıt yaptırması gerektiği ya da restoranların tamamının kayıt dışında olduğu söylenemez. Veri Sorumluları Sicili’ne ilişkin yükümlülük m.16’da düzenlenir; uygulanacak kayıt değerlendirmesi işletmenin niteliği ve güncel ölçütler çerçevesinde yapılmalıdır. Bu nedenle yalnızca işletmenin restoran olması, çalışan sayısı hakkında varsayım yürütmek veya yakın çevredeki başka bir işletmenin durumunu örnek almak yeterli olmaz.

Restoran sahibi önce işletmenin hangi tüzel veya gerçek kişi tarafından yürütüldüğünü, hangi verileri ne ölçüde işlediğini ve kendisine uygulanabilecek güncel kayıt ölçütlerini belirlemelidir. Birden fazla şubesi, merkezi müşteri programı ya da dışarıdan sağlanan sipariş ve rezervasyon hizmeti olan işletmelerin veri akışı, küçük bir tek şubeli işletmeden farklı olabilir. Ancak bu farklılık tek başına kayıt zorunluluğu olduğu anlamına gelmez; değerlendirme, geçerli düzenlemeler ve varsa istisnalar dikkate alınarak yapılmalıdır. Güncel kapsamı anlamak için VERBİS kayıt ölçütleri rehberini inceleyin.

Sık rastlanan hata, VERBİS kaydı yapılmış olmasını bütün KVKK süreçlerinin tamamlandığı şeklinde yorumlamaktır. Sicil işlemleri, aydınlatma metinlerinin uygunluğu, kamera kayıtlarının korunması, çalışanların erişimi ve müşterinin başvurularına yanıt verilmesi gibi ayrı işlerin yerine geçmez. Tersi yönde, kaydın gerekip gerekmediğini araştırmadan “küçük işletmeyiz, bize uygulanmaz” diye karar vermek de doğru bir kontrol yöntemi değildir. Restoran, kayıt durumunu ve kararın hangi ölçütlere dayandığını belgeleyerek saklamalıdır.

İşletme kendisi için bir kontrol notu hazırlayabilir: güncel ölçütleri nereden kontrol etti, hangi bilgilerle değerlendirme yaptı, istisna olup olmadığını nasıl inceledi ve hangi tarihte yeniden gözden geçirecek? İşin ölçeği değiştiğinde, yeni bir şube veya merkezi müşteri sistemi devreye girdiğinde bu değerlendirmeyi yenileyin. Sicil yükümlülüğünün kapsamı konusunda emin değilseniz resmi güncel açıklamaları inceleyin ve özel durumunuz için avukatınıza veya hukukçunuza danışın. Bir internet kontrol listesi tek başına somut işletme için hukuki sonuç garantisi vermez.

Örnek hesap: sadakat kartı listesine izinsiz kampanya kısa mesajı

Bir kafe, müşterilerine sadakat kartı tanımlamak için telefon numarası topluyor ve bu bilgileri alışveriş geçmişiyle ilişkilendiriyor. Sonra çalışanlardan biri bu numaraları kampanya mesajı göndermek üzere ayrı bir listeye aktarıyor; müşterilere listeye eklenirken kampanya iletişimi hakkında ayrı bir açıklama yapılmamış ve tercihleri kayda alınmamış. Bu örnek, otomatik olarak belirli bir yaptırım uygulanacağı anlamına gelmez; olayın koşulları, işlenen veriler, izlenen amaç ve işletmenin aldığı önlemler değerlendirilir.

Senaryo: Bir restoran zinciri sadakat kartı formundan topladığı telefonlara aydınlatma yapmadan kampanya SMS'i gönderiyor; kamera kayıtları da aydınlatmasız. Müşteri şikâyeti Kurula gidiyor.

Uygulanabilir kalemler ve kanundaki bantlar:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL – 1.709.200 TL
• Veri güvenliği yükümlülüklerinin yerine getirilmemesi: 256.357 TL – 17.092.242 TL

Kalemlerin alt sınırları toplandığında 341.794 TL, üst sınırları toplandığında 18.801.442 TL eder. Bu bir tahmin değil, Kanun'daki bandın toplamıdır: Kurul her kalemi ayrı değerlendirir, kusurun ağırlığına ve veri sorumlusunun ekonomik durumuna göre band içinde takdir kullanır. Kendi durumunuz için ceza riski hesaplayıcısı hangi kalemin size uygulanabileceğini gösterir.

Kanundaki bantlar

Tutarlar 6698 sayılı Kanun m. 18'deki kabahat kalemlerinin 2026 yılı için yeniden değerleme oranıyla (%25,49; 585 Sıra No'lu VUK Genel Tebliği, Resmî Gazete 27.11.2025, sayı 33090) güncellenmiş hâlidir. Kaynak: /blog/kvkk-cezalari-ne-kadar/.

Bu örnekte ilk yapılacak iş, listeyi kullanmayı durdurup hangi müşterilerin, hangi kanaldan ve hangi amaçla kaydedildiğini anlamaktır. Kayıtların kaynağını, çalışan erişimini ve gönderilmiş mesajların kapsamını işletme içinde inceleyin. Kampanya tercihlerinin nerede tutulduğunu ve müşterinin iletişimi durdurma talebinin nasıl uygulanacağını belirleyin. Listeyi başka bir sisteme taşımak veya yalnızca adını değiştirmek, amacı ve izin durumunu açıklığa kavuşturmaz.

Sonraki adım, sadakat hizmeti ile pazarlama sürecini birbirinden ayıran bir işleyiş kurmaktır. Kartı kullanmak için gerekli bilgiler ayrı yönetilmeli; kampanya gönderimi için gereken izin ve tercih kayıtları ayrıca kontrol edilmelidir. Kısa mesaj gönderimini gerçekleştiren hizmet sağlayıcı varsa, bu sağlayıcının hangi bilgilere eriştiğini ve verileri nasıl işlediğini de inceleyin. Personelin kendi telefonundan müşteri listesi göndermesini önlemek için görev ve erişim kuralları koyun.

Benzer bir durumun tekrarını önlemek için sadakat kartı formunu ve kasa sürecini gözden geçirin. Müşteriye kartın nasıl çalıştığı ve bilgilerinin hangi amaçlarla kullanılacağı açıkça anlatılmalı; zorunlu hizmet bilgisi ile isteğe bağlı tanıtım tercihi birbirine bağlanmamalıdır. Kampanya listesi düzenli olarak güncellenmeli ve iletişimi istemediğini bildiren kişinin tercihi iş akışına yansıtılmalıdır. Somut olayda ne yapılacağı konusunda karar vermeden önce avukatınıza veya hukukçunuza danışın.

Kurul kararlarında restoran, kamera ve kampanya mesajı

Kurul kararları restoranlara doğrudan uygulanacak hazır senaryolar değildir; her olay kendi koşullarında değerlendirilir. Aşağıdaki karar tablosu, restoran süreçleriyle ilişkilendirilebilecek başlıklara dikkat çekmek için sunulur.

Kaynak: kvkk.gov.tr karar özetleri; sitemizdeki Kurul kararları indeksi 313 kararı konu, yıl ve ceza tutarına göre süzer.

Restoran açısından çıkarılabilecek pratik dersler:

• Kampanya listesi hizmet kaydından ayrı yönetilmelidir. Rezervasyon veya sadakat kartı için alınan iletişim bilgisi, kendiliğinden tanıtım mesajı gönderme izni sayılmamalıdır. İletişim tercihlerinin nasıl alındığını ve nasıl geri çekildiğini izlenebilir biçimde kaydedin.
• Verinin hangi kanaldan geldiğini not edin. Platformdan gelen sipariş bilgisi, doğrudan restoranın topladığı rezervasyon numarasıyla aynı bağlamda kullanılmayabilir. Her kanalın amacı, erişim alanı ve saklama düzeni ayrı incelenmelidir.
• Erişim ve kayıt güvenliğini günlük işin parçası yapın. Kamera kayıtlarına kimin bakabildiği, müşteri listesinin kimlerle paylaşıldığı ve eski kayıtların ne zaman kaldırıldığı belli olmalıdır. Bir hizmet sağlayıcıdan yararlanılması, restoranın kendi süreçlerini kontrol etme ihtiyacını ortadan kaldırmaz.

Kararları okurken restoranın karşılaşabileceği her olayın sonucunu önceden çıkarmaya çalışmayın. Bir kararın başlığından hareketle, farklı olayların aynı sonucu doğuracağını varsaymak yanıltıcı olur. Restoranın kendi uygulamasında hangi verinin toplandığını, müşteriye hangi açıklamanın sunulduğunu ve işletmenin hangi önlemleri aldığını belgelemek daha yararlı bir başlangıçtır. İlgili karar metinlerinin kapsamını ve somut olaya uygulanabilirliğini değerlendirirken avukatınıza veya hukukçunuza danışın.

Sık sorulan sorular

Restoranın aydınlatma metni gerekir mi?

Restoran kişisel veri işliyorsa, ilgili kişiyi işleme hakkında aydınlatması gerekir. Metnin biçimi rezervasyon, kamera, kablosuz ağ veya sadakat kartı gibi temas noktasına göre uyarlanmalıdır. Tek bir genel metnin her süreci açıklayıp açıklamadığını kontrol edin.

Müşteri kamera görüntüsünü isteyince kayıt verilir mi?

Başvuru dikkatle değerlendirilmelidir; kayıtta başka kişiler de bulunabilir. Başvuruyu yapan kişinin kimliği ve talep ettiği görüntü belirlenmeli, diğer kişilerin hakları da gözetilmelidir. Somut durum için avukatınıza veya hukukçunuza danışın.

Wi-Fi kullanımı için Türkiye Cumhuriyeti kimlik numarası istenir mi?

Her işletmenin bu bilgiyi istemesi gerektiği varsayılmamalıdır. Restoran, böyle bir bilgiye gerçekten ihtiyaç olup olmadığını ve daha sınırlı bir yöntem kullanıp kullanamayacağını değerlendirmelidir. Ağ sağlayıcısının hangi kayıtları tuttuğunu da öğrenin.

Doğum günü kampanyası için rıza gerekir mi?

Doğum günü bilgisinin alınması, kullanılması ve kampanya mesajı gönderilmesi ayrı ayrı değerlendirilmelidir. Hangi iznin veya hukuki dayanağın gerektiği, somut işleme ve iletişim yöntemine bağlı olabilir. Sadakat kartına katılımı, otomatik kampanya izni gibi göstermeyin.

Yemek platformundan gelen veri kimin sorumluluğundadır?

Yanıt, platformun ve restoranın veriyi hangi amaçla kullandığına ve süreçte nasıl karar verdiğine bağlıdır. Platform ile restoran farklı işlemler bakımından ayrı roller üstlenebilir. Siparişin hangi bilgileri taraflara gösterdiğini ve müşteri aydınlatmasının nasıl yapıldığını kontrol edin.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
• Kişisel Verileri Koruma Kurumu
• Kurul ilke kararları
• VERBİS — Veri Sorumluları Sicil Bilgi Sistemi