Restoran ve Kafeler KVKK Kapsamında mı? QR Menü, Rezervasyon, Paket Servis Adresi ve Kurul'un 1 Milyon Liralık Restoran Zinciri Kararı

Kısa cevap: evet. Bir restoran, kafe ya da paket servis işletmesi, müşterisinin adını, telefonunu, adresini ve sipariş geçmişini işlediği anda 6698 sayılı Kanun anlamında veri sorumlusu olur. Tek şubeli bir kahveci de yüz şubeli bir zincir de aynı başlık altındadır. En sık karıştırılan nokta VERBİS: küçük işletmelerin çoğu sicile kayıt yükümlülüğünden istisnadır, ama bu istisna kanundan muafiyet değildir. Aydınlatma yapmak, veri güvenliğini sağlamak, saklama süresi belirlemek ve ihlal halinde bildirimde bulunmak eşik gözetmeden herkes için geçerli. Sektör bunu genellikle sert biçimde öğreniyor. Kurul'un 9 Ocak 2025 tarihli ve 2025/88 sayılı kararıyla bir restoran zinciri ve hızlı servis gıda şirketine toplam 1.000.000 TL idari para cezası uygulandı. 7 Ekim 2026'da ise aynı gün içinde üç ayrı pizza şirketinin veri ihlali bildirimi Kurumun internet sitesinde yayımlandı.

Önce şu soruyu dürüstçe cevaplamak gerekiyor: işletmeniz gerçekte kaç kalem kişisel veri tutuyor? Liste çoğu işletmecinin tahmininden uzun. Rezervasyon defteri ya da uygulaması, paket servis kayıtları, sabit hatta ve çağrı merkezine gelen aramaların ses kayıtları, POS ve ödeme sistemleri, sadakat programı, kamera görüntüleri, misafir Wi-Fi'si, online sipariş platformlarından düşen siparişler, kurye uygulaması, personel özlük dosyaları ve vardiya kayıtları. Misafirine Wi-Fi veren bir kafe, 5651 sayılı Kanun kapsamında iç IP dağıtım loglarını iki yıl saklamakla da yükümlü. Bu kalemlerin hiçbiri tek başına olağanüstü değil. Yan yana geldiklerinde ortaya çıkan tablo ise oldukça ayrıntılı: bir kişinin nerede oturduğu, hangi saatlerde evde olduğu, kiminle yemek yediği, neye ne kadar harcadığı. Veri envanterini çıkarmamış bir işletme, bir ihlal anında neyin sızdığını bile söyleyemez.

2025/88 sayılı karara yakından bakmakta fayda var, çünkü olay son derece sıradan bir yerden başlıyor. Saldırganlar şirketin bilgi işlem biriminde çalışan bir yöneticiye mesaj göndererek şirkete ait verilerin ellerinde olduğunu bildiriyor. İnceleme, tarayıcı üzerinde çalışan zararlı bir yazılımla bu çalışanın bilgisayarına yetkisiz erişim sağlandığını, tarayıcıda kayıtlı kullanıcı adı ve parolaların ele geçirildiğini, bunlarla şirketin diğer sistemlerine girildiğini ortaya koyuyor. Etkilenen müşteri sayısı 505.337. Sızan veriler ad, soyad, cinsiyet, e-posta, telefon ve şehir bilgisi. Kurul'un işaret ettiği eksikler egzotik değil: sisteme yetkisiz giriş yapıldığında haber verecek bir alarm ve izleme mekanizması kurulmamış, iki faktörlü doğrulama kullanılmamış, ihlalden önce çalışanlara kişisel verilerin korunmasına dair eğitim verilmemiş. Ceza da ikiye bölünmüş: Kanun'un 12. maddesinin birinci fıkrasındaki tedbirlerin alınmaması nedeniyle 800.000 TL, ihlalden etkilenen kişilere bildirim yapılmaması nedeniyle 200.000 TL. Tarayıcıya kaydedilmiş bir parolanın bir şirkete bir milyon liraya mal olduğu cümlesi, çoğu farkındalık sunumundan daha ikna edici oluyor.

7 Ekim 2026 tarihli üç duyuru sektörün ikinci zayıf noktasını gösteriyor. Dodo Brands International FZCO'ya ilişkin bildirimde ihlalin 28 Eylül 2026'da tespit edildiği, verilerin bulunduğu sistemlere yetkisiz erişim sağlandığı, etkilenen kategorilerin kimlik, iletişim, lokasyon, müşteri işlem ve finans bilgileri olduğu, etkilenen grubun müşteriler ve çalışanlar olduğu yazıyor; ilgili kişilerin Dodo Pizza mobil uygulaması üzerinden bilgilendirileceği belirtilmiş. Aynı gün yayımlanan diğer iki bildirim Deniz Pizza Restoranları ve DDP Temizlik Pizza Gıda şirketlerine ait ve ikisinde de durumu veri sorumlusuna haber veren taraf veri işleyen; biri 30 Eylül, diğeri 1 Ekim 2026 tarihli. Buradan üç pratik sonuç çıkıyor. İhlal sizin sunucunuzda değil, sipariş ya da sadakat yazılımınızı işleten firmada gerçekleşse bile Kuruma ve ilgili kişilere bildirim yükümlülüğü sizde kalır; Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararına göre süre, ihlali öğrendiğiniz andan itibaren en geç 72 saattir. Zincir ve franchise yapılarında her şirket kendi müşterisinin veri sorumlusudur ve bildirimi kendi adına yapar; üç duyurunun aynı gün yayımlanması tesadüf değil, yapının doğal sonucu. Son olarak, bildirimlerden biri yurt dışında yerleşik bir şirkete ait. Merkezin başka ülkede olması Türkiye'deki kullanıcıların verisi bakımından yükümlülüğü ortadan kaldırmıyor.

QR menü, sektörün en yaygın ve en kolay düzeltilebilir hatasını barındırıyor. Masadaki kodu okutan müşteriden telefon numarası, e-posta adresi ya da üyelik isteyen sistemler az değil. Kanun'un 4. maddesi kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını istiyor. Menü göstermek için telefon numarasına ihtiyaç yok. Numara isteniyorsa amaç menü değil pazarlamadır; o zaman da ayrı bir hukuki sebep, ayrıca alınmış bir açık rıza ve kendi aydınlatma metni gerekir. İki nokta sık atlanıyor. QR menüyü sağlayan firma sizin veri işleyeninizdir, aranızda yazılı bir sözleşme yoksa onun topladığı her kayıt sizin sorumluluğunuzda birikiyor demektir. İkincisi, bu sayfalar çoğu zaman üçüncü taraf analitik ve reklam kodlarıyla geliyor; müşteri daha menüyü görmeden tarayıcısına izleyici yerleşiyorsa çerez tarafında ayrı bir sorununuz var. Doğrusu sade: menü hiçbir kayıt istemeyen açık bir adreste açılmalı, sipariş ve ödeme isteyen akış ayrı bir adım olmalı.

Paket servis verisi, bir restoranın elindeki en hassas kalemdir. Adres, kat, daire, kapı kodu ve çoğu uygulamada konum bilgisi; yani bir kişinin nerede yaşadığı ve genellikle hangi saatlerde evde olduğu. Ekim ayındaki üç bildirimde lokasyon kategorisinin ayrıca sayılması boşuna değil. Üç kural işin büyük kısmını çözüyor. Kurye müşterinin numarasını ham haliyle görmemeli; maskelenmiş arama altyapısı kullanılmalı, kullanılamıyorsa erişim teslimatla sınırlanmalı ve teslimat biter bitmez kapanmalı. Teslimat sonrası kuryenin müşteriye kişisel mesaj göndermesi yazılı bir yasak olarak kurallara girmeli, sahada en çok şikayet üreten başlıklardan biri bu. Üçüncüsü saklama. Fatura ve muhasebe kayıtlarını mali mevzuat gereği belirli bir süre tutmanız, üç yıl önceki bir siparişin kapı kodu notunu da aynı süre tutmanızı gerektirmiyor. Müşteri profilini mali kayıttan ayırın, profil tarafına bir saklama süresi yazın, süresi dolanı gerçekten silin.

Rezervasyon tarafında iki alışkanlık dikkat ister. Birincisi gelmeyen müşteriler için tutulan listeler. Ad, soyad ve telefon numarasının yanına gelmedi notu düşmek bir değerlendirme kaydı yaratır; bunun 5. maddede bir dayanağı, belirlenmiş bir saklama süresi ve kişinin haberdar edildiği bir aydınlatma metni olmalıdır. Süresiz tutulan bir kara liste ölçülü sayılmaz. İkincisi tercih notları. Eşinin doğum günü, her zaman aynı masa, alkol kullanmıyor gibi notlar misafirperverlik adına tutuluyor ama kişinin inancına ya da özel hayatına ilişkin çıkarım üreten kayıtlara dönüşebiliyor. Denge için bir örnek: bardağa yazılan isim çoğu zaman bu tartışmanın dışındadır. Kanun'un 2. maddesi, otomatik olmayan yollarla yapılan işlemeyi ancak bir veri kayıt sisteminin parçası olduğunda kapsıyor, siparişle birlikte çöpe giden bir isim arşiv oluşturmaz. Risk, o ismin bir uygulamada kalıcı bir profile bağlandığı anda başlıyor.

Alerji ve diyet bilgisi ayrı bir başlık. Müşterinin çölyak hastası olduğunu ya da fıstık alerjisi bulunduğunu söylemesi, 6698'in 6. maddesi anlamında sağlık verisi paylaşması demektir ve özel nitelikli verilerde işleme şartları çok daha dardır. Buradaki ayrım an ile kalıcılık arasında. Siparişi doğru hazırlamak için mutfağa düşen anlık bir not ile müşteri kartına kalıcı olarak işlenen bir etiket aynı şey değil. Birincisi hizmetin kendisidir, ikincisi profil oluşturmaktır. Sipariş uygulamanızda alerjen alanı varsa ve bu alan müşteri profiliyle birlikte yıllarca duruyorsa, dayanağını yazılı olarak gösterebilmeniz gerekir. Pratikte en temiz yol şu: bilgiyi yalnızca o siparişin notunda tutup siparişle birlikte kapatmak, profile işlenecekse açık rıza almak ve saklama süresini belirlemek. Aynı mantık hamilelik, bebek maması tercihi ve dini gerekçeyle talep edilen menü notları için de geçerli.

Kamera, restoranlarda hem hijyen hem kasa güvenliği gerekçesiyle kuruluyor ve genellikle fazla kuruluyor. Ölçü şurada: mutfakta süreç güvenliği için gerekli olan açı ile personelin dinlenme alanına, soyunma bölümüne veya tuvalet girişine bakan açı aynı değerlendirmeye tabi değildir, ikincisi kural olarak savunulamaz. Ses kaydı ise ayrı bir eşik. Görüntüye kıyasla çok daha müdahaleci sayılıyor ve masa konuşmalarını kaydeden bir sistem için hukuka uygun bir dayanak bulmak neredeyse imkansız; mikrofonları kapatın. Girişte ve kamera bulunan alanlarda tabela olmalı, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'e uygun katmanlı bir aydınlatma yapılmalı: tabelada kısa bilgi, ayrıntılı metne kolay erişim. Saklama süresi yazılı olmalı, görüntüye kimin eriştiği kayıt altına alınmalı. Bir de sektöre özgü refleks var: hesabı ödemeden çıkan ya da tartışma çıkaran müşterinin kamera görüntüsünü sosyal medyada paylaşmak. Bu, hukuka aykırı bir veri işlemenin ötesinde Türk Ceza Kanunu'nun 136. maddesi kapsamında değerlendirilebilecek bir fiil. Görüntü kolluğa ve mahkemeye verilir, hikayeye değil.

Personel tarafında gıda sektörünün kendine özgü bir yükü var. 5 Temmuz 2013 tarihli ve 28698 sayılı Resmî Gazete'de yayımlanan Hijyen Eğitimi Yönetmeliği gıda üretim ve perakende iş yerlerini kapsıyor; tanımlar maddesi restoranları, hazır yemek hizmetini ve iş yeri yemekhanelerini perakende iş yeri sayıyor. Yönetmeliğin 5. maddesi belgesi olmayan kişilerin çalıştırılamayacağını, iş yeri sahibi ve işletenin bundan birinci derecede sorumlu olduğunu söylüyor. 9. madde çalışmaya engel hastalıkları sayıyor ve ikinci fıkrasında çalışanların hastalıkları konusunda işverene bilgi vermekle yükümlü olduğunu belirtiyor; 10. madde iyileşmenin tabip raporuyla belgelenmesini arıyor. Yani mevzuatın kendisi işvereni çalışanın sağlık durumunu öğrenmek zorunda bırakıyor. KVKK tarafında dayanak, 6. maddede sayılan şartlar arasındaki kanunlarda açıkça öngörülme hali ile istihdam ve iş sağlığı ve güvenliği alanındaki hukuki yükümlülüklerin yerine getirilmesidir, bu nedenle ayrıca açık rıza aranmaz. Dosyada duracak olan teşhis değil sonuçtur: çalışmasında sakınca yoktur ya da rapor ibraz edilmiştir. Hijyen eğitimi belgesi ise bir kurs bitirme belgesidir, sağlık verisi değildir; ikisini aynı klasörde tutup aynı kişilere açmak yaygın bir hata. Devir hızının yüksek olduğu bir sektörde ikinci kural daha da basit: ayrılan çalışanın POS, sipariş paneli ve kamera yazılımı yetkileri aynı gün kapatılmalı.

Online sipariş platformları rolleri karıştırıyor. Platform üzerinden gelen bir siparişte müşterinin adı, telefonu ve adresi size ulaşır; bu veriyi siparişi hazırlamak ve teslim etmek için kullanmanız sözleşmenin ifasıdır. Aynı numarayı kendi pazarlama listenize ekleyip kampanya mesajı göndermek bambaşka bir işlemedir, ayrı bir hukuki sebep ve ticari elektronik ileti tarafında İYS üzerinden alınmış bir onay gerektirir. Platformun kendi güvenliği de sizi doğrudan ilgilendiriyor, çünkü ihlalde etkilenen kişi sizin müşteriniz. Sektörün en büyük dosyası hâlâ Kurul'un 23 Aralık 2021 tarihli ve 2021/1324 sayılı kararı. Veri sorumlusunun web uygulama sunucusuna erişilen olayda 21 milyondan fazla kullanıcı etkilenmiş; kullanıcı adı, adres, telefon numarası, e-posta adresi, parola ve IP bilgileri söz konusuymuş. Sisteme yüklenen zararlı yazılımın sekiz gün boyunca fark edilmediği ve sızma testlerinin etkin biçimde yapılmadığı tespit edilmiş, 1.900.000 TL idari para cezası uygulanmıştı. Aradan geçen beş yılda yöntem değişmedi, yalnızca rakamlar büyüdü.

VERBİS sorusuna gelirsek: Kurul'un 2018/87 sayılı kararı ve bunu güncelleyen 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararı uyarınca, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıt yükümlülüğünden istisnadır. Tek şubeli çoğu işletme bu kapsamda kalır, büyüyen zincirler kalmaz. İstisnanın diğer yükümlülüklere dokunmadığını bir kez daha söylemekte fayda var. Rakamlar da ortada: 2026 yılında aydınlatma yükümlülüğünün yerine getirilmemesi 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL, VERBİS yükümlülüğüne aykırılık ise 341.809 TL ile 17.092.242 TL arasında idari para cezasına konu oluyor. Bu hafta yapılabilecek altı iş var: yönetim panellerinde iki faktörlü doğrulamayı açın, tarayıcılara kaydedilmiş parolaları temizleyip parola yöneticisine geçin, sipariş ve sadakat yazılımı tedarikçinizle veri işleyen sözleşmenizi imzalayın, QR menüden gereksiz alanları kaldırın, kamera ve sipariş kayıtları için saklama süresi belirleyin, ayrılan personelin yetkilerini kapatmayı çıkış prosedürünüze yazın. Restoran, kafe, pastane ya da paket servis işletiyorsanız ve bu başlıkların hangisinde durduğunuzdan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde süreçlerinizi birlikte gözden geçirip önce hangi adımın atılması gerektiğini çıkarabiliriz.

Randevu Al