Kimlik Fotokopisi İstemek KVKK'ya Aykırı mı? İşletmelerde Kimlik Belgesi Alma

Kısa cevap: çoğu durumda evet, gereksizdir ve KVKK'ya aykırıdır. Bir işletme kimliğinizi görüp bilgilerinizin doğruluğunu teyit edebilir, ama fotokopisini alıp saklamak için gerçek bir hukuki dayanağa ihtiyacı vardır. Böyle bir dayanak yoksa kimlik fotokopisi almak, 6698 sayılı Kanun'un 4. maddesindeki amaçla sınırlılık ve ölçülülük ilkelerine aykırı, yani ölçüsüz bir veri işlemedir. Kişisel Verileri Koruma Kurulu bu yaklaşımı en net biçimde konaklama sektörü için ortaya koydu: 6 Kasım 2025 tarihli ve 2025/2120 sayılı ilke kararında (9 Aralık 2025 tarihli Resmî Gazete'de yayımlandı) otel ve pansiyonların misafirden kimlik fotokopisi almasını hukuka aykırı buldu. Karar oteller için verilmiş olsa da dayandığı mantık her sektör için geçerlidir.

Neden bu kadar hassas bir mesele? Kimliğinizin üzerindeki ad, soyad, doğum tarihi ve T.C. kimlik numarası tek tek kişisel veridir. Bunların bir arada durması ise kimliğinizi bir tür anahtara dönüştürür; T.C. kimlik numarası ele geçtiğinde başka pek çok sisteme ve verinize kapı aralayabilir. Eski tip nüfus cüzdanlarında iş daha da ağırlaşır. O belgelerde din ve kan grubu hanesi bulunur; bunlar 6698 sayılı Kanun'un 6. maddesi anlamında özel nitelikli, yani hassas kişisel veridir. Yani eski kimliğinizin fotokopisini alan bir işletme, çoğu zaman ihtiyaç bile duymadığı dini bilginizi de dosyasına eklemiş olur.

Asıl kural 4. maddede saklı. Kişisel veri ancak belirli bir amaçla bağlantılı, o amaçla sınırlı ve ölçülü biçimde işlenebilir. Kimlik doğrulaması söz konusu olduğunda amaç bellidir: karşınızdaki kişinin beyan ettiği kişi olduğundan emin olmak. Bunun için çoğu durumda belgeyi görmek, yani görerek doğrulama yapmak yeterlidir. Gereken birkaç alanı (örneğin ad, soyad ve gerçekten lazımsa kimlik numarası) sisteme not etmek başka şeydir, belgenin tamamının kopyasını çekip arşive kaldırmak başka. İlki genellikle ölçülüdür, ikincisi çoğu zaman değildir.

2025/2120 sayılı karar bu ayrımı somutlaştırıyor. Kurul, otelin misafirin ad, soyad ve T.C. kimlik numarasını 1774 sayılı Kimlik Bildirme Kanunu ve 213 sayılı Vergi Usul Kanunu gereği kaydetmesini hukuka uygun buldu; bunun dayanağı 5. maddedeki kanunlarda açıkça öngörülme ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi şartlarıdır. Ama aynı bilgileri elde etmek için kimlik belgesinin fotokopisini almanın ayrı bir dayanağı olmadığını, üstelik fotokopinin kan grubu, din, fotoğraf, anne baba adı gibi bildirim kapsamı dışındaki verileri de taşıdığını vurguladı. Sonuç açık: fotokopi almayın, geçmişte alınanları 7. madde uyarınca imha edin. Bu cümleyi otel yerine herhangi bir işletme koyarak okuyabilirsiniz, mantık değişmez.

Gündelik hayatta gereksiz fotokopi alan yer bir otelden ibaret değil. Spor salonuna üye olurken, bir daireyi gezmek için emlakçıya uğrarken, ikinci el araç bakarken, kargo teslim alırken, siteye girerken, bir kursa kaydolurken ya da bir etkinliğe katılırken sık sık kimliğin fotokopisi veya fotoğrafı isteniyor. Bunların büyük kısmında işletmenin gerçek ihtiyacı, kimliğinizi görüp bir iki bilgiyi doğrulamaktan ibarettir. Her biri veri sorumlusudur ve her biri kopyayı neden aldığını, hangi hukuki sebebe dayandığını açıklayabilmek zorundadır. Açıklayamıyorsa o kopya baştan fazladır.

Peki fotokopi hiç mi meşru olmaz? Bazı durumlarda kanunun kendisi kimlik tespitini ve belgelendirmeyi zorunlu kılar. 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamındaki yükümlüler bunun başında gelir: bankalar, sigorta ve bireysel emeklilik şirketleri, noterler, gayrimenkul alım satımına aracılık edenler, kuyumcular, araç galerileri ve benzerleri. Bu taraflar belirli işlemlerde müşterinin kimliğini tespit etmek ve MASAK mevzuatına göre kimlik belgesini kopyalamak ya da bilgilerini kaydetmekle yükümlüdür. Burada fotokopinin bir hukuki dayanağı vardır. Ama bu dayanak sınırsız değildir; yükümlü olan bir emlakçının bir evi yalnızca gezdirirken kimlik kopyalaması ile gerçek bir satış işlemini yürütürken tespit yapması aynı şey sayılmaz.

İş yeri tarafında da tablo incelikli. İşveren, çalışanını SGK'ya bildirmek ve İş Kanunu'nun öngördüğü özlük dosyasını tutmak için kimlik bilgilerini işlemek zorundadır; bunun bir dayanağı vardır. Ancak bu, her çalışandan kimlik fotokopisi alıp süresiz saklamayı otomatik olarak haklı kılmaz. İhtiyaç duyulan alanlar bellidir ve fazlasını toplamak yine ölçülülük ilkesine takılır. Çalışanın eski kimliğindeki din bilgisi gibi özel nitelikli veriler dosyaya girdiğinde ise 6. maddenin daha katı rejimi devreye girer. Kısacası özlük dosyası, sınırsız fotokopi biriktirme yetkisi değildir.

Kurul'un gerçek kararları bu dengenin nasıl kurulduğunu gösteriyor. Bir kripto varlık platformu, üyelik seviyesini yükseltmek isteyen kullanıcılardan kimliğin ön ve arka yüzünün fotoğrafını, üstüne bir de kişinin kendi fotoğrafını istemişti. Kurul bunu gereğinden fazla ve ölçüsüz veri işleme saydı ve 2023 yılında 200.000 TL idari para cezası uyguladı. Buna karşılık, internet aboneliği için evine gelen görevlinin kimliğini telefonla fotoğraflamasını incelediği başka bir olayda, ilgili mevzuat bu doğrulamayı gerektirdiği için işlemeyi hukuka uygun buldu; ama verinin yalnızca gerektiği kadar ve sınırlı süre saklanmasını istedi. Soru her seferinde aynı: dayanak var mı ve ölçülü mü?

Eski ve yeni kimlik farkı burada pratik bir sonuç doğuruyor. Nüfus cüzdanı adıyla bilinen eski belgelerin ön yüzünde din, arka yüzünde kan grubu yazardı. Yeni çipli T.C. kimlik kartında ise bu bilgiler kartın görünen yüzünde yer almıyor; din hanesi karttan kaldırıldı, bu tür veriler yalnızca çipte ve isteğe bağlı tutuluyor. Dolayısıyla elinizde hâlâ eski kimliğin fotokopileri varsa, bunlar hassas veri içerdiği için öncelikli imha edilmesi gereken belgelerdir. Kopya almanın zorunlu olduğu istisnai durumlarda ise ihtiyaç dışı alanların (örneğin kan grubu, din) maskelenmesi, hem 4. hem 6. madde açısından riski azaltır.

İşletme tarafında yapılacaklar sade. Önce kimlik doğrulamasını görerek yapın ve yalnızca gerçekten gereken alanları kaydedin. Fotokopiyi ancak açık bir kanuni yükümlülük varsa alın; o zaman da ihtiyaç dışı bilgileri maskeleyin, erişimi sınırlayın, bir saklama ve imha süresi belirleyin. Kimlik verisi işlediğinizi aydınlatma metninizde açıkça belirtin ve bu işlemeyi kişisel veri envanterinize ekleyin. Geçmişte biriktirdiğiniz ve artık dayanağı kalmayan kimlik kopyalarını 7. madde uyarınca silin, yok edin ya da anonim hale getirin. Bu adımlar hem denetimde hem de olası bir veri ihlalinde sizi koruyan en ucuz sigortadır.

Birey olarak da haklarınız var. Bir işletme kimliğinizin fotokopisini istediğinde bunu hangi amaçla ve hangi hukuki sebeple aldığını sorabilir, gereksiz görüyorsanız vermeyi reddedip yalnızca göstermeyi önerebilirsiniz. Vermek zorunda kaldığınızda kopyanın üzerine hangi kuruma, hangi amaçla ve hangi tarihte verildiğini yazmak yaygın bir koruma yöntemidir. Verinizin silinmesini 11 ve 13. maddeler kapsamında veri sorumlusundan talep edebilir, yanıt alamazsanız Kurul'a şikayette bulunabilirsiniz. İşletmeler için bedeli de küçük değil: 2026 yılında aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliği tedbirlerinin eksikliği 256.357 TL ile 17.092.242 TL, bir Kurul kararına uymama ise 427.263 TL ile 17.092.242 TL arasında idari para cezasına konu olabilir.

İşletmenizde hangi noktalarda kimlik fotokopisi ya da fotoğrafı alındığını, bunların bir hukuki dayanağı olup olmadığını ve elinizde birikmiş eski kopyaların ne durumda olduğunu bilmiyorsanız, riski görmenin en hızlı yolu bir değerlendirmedir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde kimlik doğrulama süreçlerinizi gözden geçirip aydınlatma metninden imha planına, maskelemeden saklama sürelerine kadar öncelikli adımları birlikte çıkarabiliriz.

Randevu Al