Kuaför ve Güzellik Salonları KVKK Kapsamında mı? Randevu Kaydı, Kampanya SMS'i, Öncesi-Sonrası Fotoğraf ve Kabin Kamerası

Kısa cevap: evet, kapsamdalar. Müşterisinin adını, telefon numarasını, randevu geçmişini ve hangi işlemi yaptırdığını kaydeden bir kuaför, berber ya da güzellik salonu 6698 sayılı Kanun anlamında veri sorumlusudur. Kanun'da küçük işletme muafiyeti yok; tek koltuklu bir salon ile zincir bir marka aynı başlıklardan sorumlu. VERBİS kaydı bundan ayrı bir mesele, eşiklerin altında kalan salonların çoğu sicile kayıt yaptırmaz, ama aydınlatma, veri güvenliği, saklama ve imha yükümlülükleri olduğu gibi devam eder. Şikâyetlerin toplandığı yer de genellikle dört başlık: izinsiz gönderilen kampanya mesajları, müşterinin öncesi ve sonrası fotoğrafının sosyal medyada paylaşılması, kabinleri ve bekleme alanını gören kameralar, bir de müşteri kartına düşülen alerji ya da hamilelik notunun herkesin açabildiği bir dosyada durması. Sonuncusu en ağır olanı, çünkü o not sağlık verisidir ve Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri sayılır.

Salonda hangi verilerin biriktiği sorusu çoğu işletmeciyi şaşırtıyor. Kasadaki defter, telefondaki rehber, WhatsApp yazışmaları, Instagram'dan gelen randevu mesajları, müşteri kartındaki işlem geçmişi, boya formülleri, ödeme kayıtları ve personelin kendi telefonuna not ettiği numaralar. Kanun'un 3. maddesi işlemeyi geniş tanımlıyor: elde etme, kaydetme, saklama, değiştirme, aktarma, hepsi işleme sayılıyor. Dijital bir sisteminiz olması da şart değil. Belirli bir düzen içinde tutulan kâğıt randevu defteri de kayıt sistemidir ve Kanun kapsamına girer. Biz veri falan tutmuyoruz cümlesi, defter açıldığı anda geçerliliğini yitiriyor.

Her kaydın bir hukuki sebebi olmak zorunda ve bunların hepsi rıza değil. Randevu almak, hizmeti vermek ve sonrasında müşteriye ulaşmak için ad ve telefon işlemek, Kanun'un 5. maddesinin ikinci fıkrasındaki sözleşmenin kurulması veya ifası şartına dayanır; bunun için ayrıca rıza aramanıza gerek yok. Fatura ve muhasebe kayıtları hukuki yükümlülük bendiyle tutulur. Pazarlama ise bambaşka bir kulvar, orada dayanak açık rızadır. İki metni birbirine karıştırmamak gerekiyor: aydınlatma metni bilgilendirir, açık rıza izin alır. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ bu ikisinin ayrı ayrı yerine getirilmesini istiyor, Kurul'un 18 Şubat 2026 tarihli ve 2026/347 sayılı ilke kararı da aynı ayrımı tekrarlıyor. Tek satırda birleştirilmiş okudum, kabul ediyorum kutucuğu geçerli bir rıza üretmez. Rızayı hizmetin ön şartı yapmak da aynı sonucu doğurur: müşteri kampanya mesajı almayı reddettiği için randevuya alınmıyorsa, ortada özgür iradeyle verilmiş bir rıza yoktur.

Güzellik tarafında işin rengi değişiyor. Saç boyası öncesinde sorulan alerji geçmişi, kalıcı oje ya da epilasyon öncesinde alınan hamilelik beyanı, cilt bakımı için not edilen egzama veya akne bilgisi, kullanılan ilaçlar, hepsi sağlık verisidir. Kanun'un 6. maddesi bu verilerin işlenmesini kural olarak yasaklıyor ve yalnızca üçüncü fıkrada sayılan hâllerde izin veriyor. O fıkranın (e) bendi, sır saklama yükümlülüğü altında bulunan kişiler tarafından tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla işlemeye izin verir; bir güzellik salonu sağlık kuruluşu olmadığı ve çalışanları sağlık meslek mensubu sayılmadığı için bu bende dayanamaz. Geriye (a) bendi, yani açık rıza kalıyor. Rızanın ayrı bir metinle, neyin niçin sorulduğu anlatılarak alınması ve geri alınabilir olması gerekir. Maddenin dördüncü fıkrası ayrıca Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı kararındaki yeterli önlemleri zorunlu tutuyor: bu formların diğer evraktan ayrı ve kilitli tutulması, erişebilecek personelin sınırlanması, aktarım gerekiyorsa güvenli bir kanal kullanılması gibi somut şeyler. Enjeksiyonla yapılan uygulamalar gibi tıbbi işlemler zaten salonda yapılamaz, onları yapan yerler sağlık kuruluşu mevzuatına ve bambaşka bir denetim rejimine tabidir.

Kampanya mesajı en sık şikâyet edilen konu ve burada iki ayrı izin var. Birincisi 6563 sayılı Kanun kapsamında alınan ve İleti Yönetim Sistemi'ne işlenen ticari elektronik ileti onayı, ikincisi KVKK'nın aradığı açık rıza. Her mesaj onay istemiyor: müşterinin kendi verdiği numaraya randevu hatırlatması göndermek, saatin değiştiğini bildirmek ya da ödeme hatırlatması yapmak hizmetin gereğidir, ticari ileti sayılmaz. Hafta sonuna özel indirim, yeni açılan şubenin duyurusu veya doğum günü kampanyası ise ticari iletidir ve önceden onay ister. Kurul'un 10 Şubat 2022 tarihli ve 2022/107 sayılı kararı iki belgeyi birbirinden ayırıyor: ticari ileti mevzuatına göre alınmış bir onay, KVKK anlamında geçerli bir açık rızanın yerine geçmiyor. Bir müşteri ret bildirdiğinde gönderimi en geç üç iş günü içinde durdurmanız gerekir. Dışarıdan satın alınan hazır numara listeleri ise en riskli yol, çünkü o listedeki kişilerle aranızda hiçbir ilişki yok ve aynı olay hem Ticaret Bakanlığı hem Kurul tarafında ayrı ayrı yaptırıma bağlanır.

Öncesi ve sonrası fotoğrafı salonların vitrini olduğu için en çok tartışılan başlık. Temel kural basit: çekime izin vermek, paylaşıma izin vermek değildir. Müşterinin tanınabildiği bir görseli tanıtımda kullanmak açık rıza ister ve bu rızanın belirli olması gerekir. Hangi fotoğrafın hangi hesapta ve ne kadar süreyle yayımlanacağı belli değilse rıza tartışmalı hâle gelir. Müşteri iznini geri aldığında paylaşımın kaldırılması gerekir, çok beğeni aldı savunması burada işe yaramaz. Yüzü kadrajdan çıkarmak da her zaman yetmiyor; dövme, takı, salonun köşesi, etiket ya da yorum kutusundaki isim kişiyi belirlenebilir kılabilir. Görselin salonun hesabından değil, işlemi yapan kişinin kendi hesabından paylaşılması sorumluluğu dağıtmıyor. Kurul'un 29 Haziran 2022 tarihli ve 2022/630 sayılı kararında ameliyat fotoğrafları hekimin kişisel sosyal medya hesabında paylaşılmıştı; Kurul, paylaşımdan haberdar olmasına rağmen gerekli tedbirleri almayan kuruluşu sorumlu tuttu. Çocuk müşterilerde fotoğraf için velinin rızası aranır. İşin bir de ceza boyutu var: Türk Ceza Kanunu'nun 136. maddesi kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis öngörüyor.

Kamera tarafında sınır nettir. Güvenlik amacıyla kasayı, girişi ve genel salon alanını izlemek savunulabilir; bakım kabinleri, soyunma bölümleri, epilasyon odaları ve tuvalet gibi alanlar kameraya kapalıdır. Kişisel Verileri Koruma Kurumu'nun 8 Haziran 2026 tarihli iş yeri kamerası duyurusu bu çizgiyi tekrarlıyor: tuvalet, soyunma odası ve dinlenme alanı gibi özel alanlara kamera yerleştirilemez, kameranın konumu ve açısı ölçülülük yönünden değerlendirilir, ses kaydı kural olarak kabul edilmez, kayıtlara yalnızca yetkili kişiler erişebilir ve sistemde otomatik imha mekanizması bulunmalıdır. Piyasadaki IP kameraların çoğu mikrofonla geliyor ve mikrofon varsayılan olarak açık. Kurulumda kapatın. Kayıt tutmuyoruz, telefondan canlı izliyoruz demek de işlemeyi ortadan kaldırmaz, çünkü görüntünün elde edilmesi zaten işlemedir. Mahrem bir alanı gören kamera ayrıca Türk Ceza Kanunu'nun 134. maddesi kapsamında suç oluşturabilir; ihlal görüntü kaydı alınması suretiyle gerçekleşmişse ceza bir kat artırılıyor, takibi şikâyete bağlı. Girişe asılan kamera ile izlenmektedir levhası yalnızca birinci katmandır, yanında tam metne ulaşmanın bir yolu bulunmalı.

Personel tarafı sessiz ama riskli. Müşteri numaralarının çalışanların kendi telefonlarında birikmesi yaygın bir alışkanlık ve kimse ayrılırken o rehberi silmiyor. İşten ayrılan bir kuaförün müşteri listesini yanında götürmesi yalnızca ticari bir mesele değil, salon açısından veri güvenliği yükümlülüğünün ihlali olarak da değerlendirilebilir. Çözüm karmaşık değil: randevu ve müşteri kaydını salonun kendi sisteminde tutmak, kimin neye erişebildiğini yazılı hâle getirmek, işe girişte gizlilik taahhüdü almak ve çıkışta erişimleri kapatmak. Hijyen Eğitimi Yönetmeliği, 5 Temmuz 2013 tarihli Resmî Gazete'de yayımlandığından beri berber, kuaför, masaj ve güzellik salonlarında çalışanlar için belge arıyor; bu belgeler, sağlık muayene kayıtları ve özlük evrakı da ayrı bir koruma gerektiren kişisel veridir. Giriş çıkış takibini parmak iziyle yapma fikrinden ise uzak durun. Kurul'un 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı, mesai takibinin biyometrik tanımlama sistemleriyle yürütülmesini hukuka aykırı buluyor.

Randevu uygulamaları işin görünmeyen kısmı. Bulut tabanlı bir randevu ya da sadakat programı kullanıyorsanız o firma sizin veri işleyeninizdir. Kanun'un 12. maddesinin ikinci fıkrası tedbirlerin alınmasında sizi onunla birlikte müştereken sorumlu tutuyor, dolayısıyla aradaki ilişkiyi yazılı bir sözleşmeye bağlamanız gerekir. Sunucular yurt dışındaysa 9. madde devreye girer: yeterlilik kararı yoksa standart sözleşme gibi uygun güvenceler aranır ve imzalanan standart sözleşmenin beş iş günü içinde Kuruma bildirilmesi gerekir. Açık rızaya dayanan aktarım ancak arızi hâllerde mümkündür, her gün çalışan bir randevu sistemini buna dayandıramazsınız. Küçük ama sık rastlanan bir ayrıntı daha var: salonun ortak bilgisayarında tek bir kullanıcı hesabı bulunması, kimin hangi kaydı ne zaman açtığını görünmez kılar. Personel bazlı hesap ve basit bir yetki ayrımı, bir sorun çıktığında elinizdeki tek dayanak olabilir.

VERBİS sorusunun cevabı eşiklerde saklı. Kurul'un 19 Temmuz 2018 tarihli ve 2018/87 sayılı kararıyla getirilen istisna; yıllık çalışan sayısı 50'den az, yıllık mali bilanço toplamı eşiğin altında olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumlularını sicile kayıttan muaf tutuyor. Bilanço eşiği, 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararla 100 milyon TL'ye çıkarıldı. Ana faaliyeti özel nitelikli veri işlemek olanlar için eskiden hiçbir eşik yoktu; 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararla bu gruba da bir istisna tanındı, çalışan sayısı 10'dan az ve bilanço toplamı 10 milyon TL'nin altında olanlar kayıt yükümlülüğünün dışında kaldı. Bilanço esasına göre defter tutmayan işletmelerde yalnızca çalışan sayısı kriteri uygulanıyor; çalışan sayısı da yılın on iki muhtasar ve prim hizmet beyannamesinin en az yedisindeki kayıtlara göre hesaplanıyor. Pratikte salonların büyük çoğunluğu kayıt yükümlülüğünün dışında kalır. Yalnız şunu karıştırmayın: sicile kaydolmamak, Kanun'un geri kalan yükümlülüklerinden muaf olmak anlamına gelmiyor.

İşler ters gittiğinde takvim hızlı işliyor. Tableti çalınan, randevu dosyasını yanlışlıkla bir WhatsApp grubuna düşüren ya da müşteri listesi sızdırılan bir salon veri ihlali yaşamış demektir. Kanun'un 12. maddesinin beşinci fıkrası ihlalin öğrenilmesi hâlinde en kısa sürede Kurula bildirim yapılmasını istiyor, Kurul bu süreyi 72 saat olarak uyguluyor ve etkilenen kişilere de bilgi verilmesini arıyor. Müşteri tarafındaki yol şöyle işliyor: 11. madde kapsamında salona yazılı başvuru, en geç 30 gün içinde cevap, cevap gelmezse ya da yetersiz kalırsa 30 gün içinde ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyet. Yaptırım tarafında aydınlatma yükümlülüğüne uymamak, veri güvenliğini sağlamamak ve Kurul kararını yerine getirmemek ayrı ayrı idari para cezasına bağlanmış durumda; tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. Kişisel verileri hukuka aykırı olarak kaydetmek ise Türk Ceza Kanunu'nun 135. maddesi kapsamında bir yıldan üç yıla kadar hapis cezası gerektiriyor ve bu kısım işletmeyi değil, fiili işleyen kişiyi bulur.

Bir öğleden sonrada bitirebileceğiniz bir sıra var. Önce elinizdeki kayıtları yazın: randevu defteri, telefon rehberi, müşteri kartları, fotoğraf arşivi, kamera kayıtları, personel dosyaları. Her biri için kim erişiyor, nerede duruyor ve ne kadar süre saklanıyor sorularını cevaplayın. Kasaya ve bekleme alanına görünür bir aydınlatma metni asın, kampanya mesajı için ayrı bir onay alın, İYS kaydınızı ve oradaki izinleri kontrol edin. Alerji ve sağlık beyanı formlarını diğer evraktan ayırın, fotoğraf izni için tek sayfalık ayrı bir metin hazırlayın ve hangi görselin nerede yayımlanacağını o metne yazın. Kabin ile soyunma alanlarını kamera açısının dışına çıkarın, mikrofonları kapatın, kayıtların kaç gün sonra silindiğini öğrenin. Nereden başlayacağınızdan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde randevu kayıtlarınızı, mesaj izinlerinizi, fotoğraf onaylarınızı ve kamera yerleşiminizi birlikte gözden geçirebiliriz.

Randevu Al