Otel ve Konaklama Sektöründe KVKK ve 5651: Misafir Verisi, Kimlik Bildirimi ve Log Yükümlülükleri

Otel ve konaklama tesisleri, misafirlerinin ad, soyad ve T.C. kimlik numarasını 1774 sayılı Kimlik Bildirme Kanunu gereği kaydedip Kimlik Bildirim Sistemi (KBS) üzerinden kolluğa bildirmek zorundadır. Bu işleme için misafirden açık rıza almak gerekmez, çünkü hukuki dayanağı doğrudan kanundur. Buna karşılık Kişisel Verileri Koruma Kurulu, kimlik belgesinin fotokopisinin alınıp saklanmasını 6 Kasım 2025 tarihli ve 2025/2120 sayılı ilke kararıyla (9 Aralık 2025 tarihli Resmî Gazete'de yayımlanmıştır) hukuka aykırı bulmuştur. Aynı işletmeler misafirlerine sundukları ücretsiz Wi-Fi nedeniyle 5651 sayılı Kanun kapsamında toplu kullanım sağlayıcı sayılır ve internet erişim kayıtlarını tutmakla yükümlüdür. Kısacası sektörde iki ayrı mevzuat aynı anda geçerlidir: KVKK misafir verisinin ölçülü işlenmesini, 5651 ise internet trafiğinin loglanmasını düzenler.

Konaklama tesisleri için kimlik verisi işlemenin temel hukuki dayanağı 1774 sayılı Kimlik Bildirme Kanunu'dur. Bu Kanun; otel, motel, han, pansiyon, bekar odası, günlük kiralık ev, kamp, kamping, tatil köyü ve benzeri konaklama yerlerinin sorumlularına, ücretli ya da ücretsiz, gündüz veya gece kalan tüm yerli ve yabancı kişilerin kimlik ve geliş-ayrılış bilgilerini günü gününe usulüne uygun kaydetme, kolluk denetimine hazır tutma ve istendiğinde ilgili kurumlara verme yükümlülüğü getirir. Kimliğini geçerli resmi belgeyle ispatlayamayan kişi tesise kabul edilemez. Bu nedenle otel, girişte kimlik belgesini görüp bilgilerin doğruluğunu teyit etme hakkına sahiptir.

KVKK açısından kritik ayrım, kimlik belgesini görmek ile fotokopisini almak arasındadır. Kurul 2025/2120 sayılı ilke kararında, ad, soyad ve T.C. kimlik numarasının 1774 sayılı Kanun ve 213 sayılı Vergi Usul Kanunu çerçevesinde işlenmesinin KVKK'nın 5. maddesinin ikinci fıkrasındaki kanunlarda açıkça öngörülme ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi şartlarına dayandığını belirtmiştir. Ancak kimlik belgesinin fotokopisinin alınıp kaydedilmesinin bu kapsamda bir dayanağı bulunmadığını, bunun ölçüsüz ve amaçla bağlantısız veri işleme oluşturduğunu tespit etmiştir. Fotokopi üzerinde kan grubu, din, fotoğraf, anne-baba adı gibi bildirim yükümlülüğü kapsamı dışındaki veriler de yer aldığından, fotokopi almak veri minimizasyonu ilkesine aykırıdır.

Bu karar konaklama işletmeleri için iki somut sonuç doğurur. Birincisi, artık misafirden kimlik fotokopisi alınmamalı; bilgiler belge ibraz edilerek doğrulandıktan sonra yalnızca gerekli alanlar sisteme girilmelidir. İkincisi, geçmişte alınmış ve arşivlenmiş kimlik fotokopilerinin KVKK'nın 7. maddesi uyarınca silinmesi, yok edilmesi veya anonim hale getirilmesi gerekir. Karara aykırılık halinde KVKK'nın 18. maddesindeki idari para cezaları uygulanır; bu cezaların üst sınırı her yıl yeniden değerleme oranıyla güncellenir. Bir zamanlar yerleşik hale gelmiş fotokopi al ve dosyala alışkanlığı artık doğrudan uyumsuzluk kaynağıdır.

Fatura ve muhasebe süreçleri için farklı bir hukuki dayanak devreye girer. Vergi Usul Kanunu gereği faturada bulunması gereken ad, soyad, adres, vergi dairesi ve vergi/T.C. kimlik numarası, oda numarası ve konaklama bedeli gibi bilgiler bu amaçla işlenebilir. Buradaki dayanak yine kanuni yükümlülüktür; bu veriler için de ayrı açık rıza aranmaz. İşletmenin dikkat etmesi gereken nokta, faturalama amacıyla toplanan veriyi pazarlama gibi başka amaçlarla kullanmamaktır. Farklı amaç, farklı hukuki dayanak ve çoğu zaman ayrı açık rıza gerektirir.

Kimlik bildiriminin operasyonel ayağı Kimlik Bildirim Sistemi (KBS) üzerinden yürür. Konaklama tesisleri kbs.egm.gov.tr adresi üzerinden bağlı bulundukları kolluk birimine kayıt olarak misafir giriş-çıkış bilgilerini elektronik ortamda iletir. Resepsiyon, misafirin tesise girişini takip eden 24 saat içinde bildirimi tamamlamalıdır. Otel yönetim yazılımları (PMS) çoğunlukla KBS ile entegre çalışır ve bildirimleri otomatik gönderir. KVKK uyumu açısından bu entegrasyonun yalnızca bildirim için zorunlu alanları aktarması, entegrasyonu sağlayan yazılım firmasının veri işleyen sıfatıyla sözleşmeye bağlanması ve veri güvenliği tedbirlerinin denetlenmesi gerekir.

İnternet hizmeti tarafında 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun devreye girer. Misafirlerine oda, lobi veya genel alanlarda internet erişimi sunan otel, bu Kanun anlamında toplu kullanım sağlayıcı konumundadır. Yükümlülük, hangi kullanıcının hangi zaman aralığında internete çıktığını gösteren iç IP dağıtım kayıtlarının zaman damgalı olarak tutulmasıdır. Uygulamada işletmeler misafiri oda numarasıyla eşleştiren giriş ekranı ya da genel alanlarda SMS doğrulaması kullanarak trafiği kimliklendirilebilir hale getirir. Böylece bir soruşturma halinde belirli bir bağlantının hangi kullanıcıya ait olduğu tespit edilebilir.

5651 kapsamındaki log kayıtları BTK'nın belirlediği standartlara uygun, bütünlüğü bozulmadan ve gizliliği sağlanarak saklanmalıdır. Bu iki mevzuatın kesişiminde önemli bir denge vardır: 5651 loglama yükümlülüğü, işletmeye misafirin internet içeriğini izleme veya gezdiği siteleri profilleme yetkisi vermez. Tutulması gereken, kim, ne zaman ve hangi IP bilgisidir; içeriğin gözetlenmesi KVKK ve haberleşme gizliliği açısından ayrı bir ihlal oluşturur. Log verileri de kişisel veri niteliğinde olduğundan erişim yetkisi kısıtlanmalı, saklama süresi sonunda imha edilmeli ve yalnızca yetkili makamların talebiyle paylaşılmalıdır.

Sektöre özgü diğer bir veri kaynağı güvenlik kameralarıdır (CCTV). Lobi, otopark ve giriş gibi alanların güvenlik amacıyla izlenmesi meşru menfaate dayandırılabilir; ancak odalar, tuvaletler, soyunma alanları ve masaj/spa kabinleri gibi mahremiyet beklentisi yüksek yerler kesinlikle izlenemez. Kamera bulunan alanlarda misafirin bilgilendirilmesi için görünür levha ve katmanlı aydınlatma metni bulunmalı, kayıtlar makul bir süreyle sınırlı tutulmalı ve erişim loglanmalıdır. Otel restoranı, sadakat programı, çağrı merkezi ve online rezervasyon kanalları da ayrı ayrı aydınlatma yükümlülüğü ve uygun hukuki dayanak gerektirir.

Konaklama işletmesinin KVKK ve 5651 uyumu için atması gereken pratik adımlar şunlardır: misafir, personel, kamera ve internet erişimi için ayrı kategorilerde kişisel veri envanteri çıkarmak; her veri kategorisi için hukuki dayanağı (kanuni yükümlülük, sözleşme, meşru menfaat, açık rıza) doğru eşleştirmek; kimlik fotokopisi alma uygulamasını durdurup mevcut fotokopileri imha etmek; resepsiyon, KBS ekranı ve web sitesi için aydınlatma metinlerini güncellemek; PMS ve KBS entegrasyonunu sağlayan tedarikçilerle veri işleyen sözleşmeleri yapmak; Wi-Fi log kayıtlarını mevzuata uygun süre ve güvenlikte tutmak; kişisel veri saklama ve imha politikası ile veri ihlali müdahale prosedürü oluşturmak. VERBIS kayıt yükümlülüğünün işletmeye uygulanıp uygulanmadığı da yıllık çalışan sayısı ve mali bilanço eşiklerine göre ayrıca değerlendirilmelidir.

Otelinizin misafir kimlik süreçleri, kamera sistemleri ve misafir Wi-Fi loglaması KVKK ve 5651 karşısında nerede duruyor bilmiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesiyle mevcut durumunuzu ve öncelikli boşlukları kısa sürede görebilirsiniz.

Randevu Al