Otellerde KVKK ve Misafir Verileri Nasıl Yönetilmeli?

Bir otel misafir hakkında düşündüğümüzden çok daha fazla bilgiye sahip olabilir.

Misafirin;

• adı,
• soyadı,
• T.C. kimlik numarası,
• pasaport bilgileri,
• telefon numarası,
• e-posta adresi,
• adresi,
• rezervasyon tarihleri,
• hangi odada kaldığı,
• ödeme bilgileri,
• faturası,
• araç plakası,
• kamera görüntüsü,
• Wi-Fi kullanımına ilişkin bazı teknik kayıtları,
• özel talepleri,
• önceki konaklamaları

farklı sistemlerde bulunabilir.

Bazı oteller bunun da ötesine geçer.

PMS içerisinde:

“Kaz tüyü yastık istemiyor.”

“Glutensiz kahvaltı istiyor.”

“Doğum günü 18 Temmuz.”

“Eşiyle yıldönümü için geliyor.”

gibi notlar tutulabilir.

Bu bilgiler misafir deneyimini geliştirebilir.

Ancak otel açısından önemli bir soruyu da beraberinde getirir:

Bu verilerin tamamını gerçekten işlemeye hakkımız var mı ve bunları nasıl koruyoruz?

KVKK açısından temel mesele:

“Misafir bize bilgiyi kendisi verdi.”

değildir.

Asıl mesele:

Hangi veriyi neden topluyoruz?
Hangi hukuki sebebe dayanıyoruz?
Ne kadar süre saklıyoruz?
Kim erişebiliyor?
Kimlerle paylaşıyoruz?
Yurt dışına gidiyor mu?
İşleme amacı sona erdiğinde ne yapıyoruz?

sorularının cevaplanabilmesidir.

Bu nedenle otellerde KVKK'yı:

web sitesinin altına konulan bir gizlilik politikası

olarak görmek büyük bir hatadır.

KVKK, misafir verisinin otele girdiği andan silindiği veya anonim hale getirildiği ana kadar devam eden bir veri yönetim sistemidir.

1. Otel Aslında Büyük Bir Veri İşleme Operasyonudur

Misafir otele gelmeden veri işleme başlayabilir.

Örneğin misafir:

Google
↓
otel web sitesi
↓
rezervasyon motoru
↓
PMS
↓
ödeme sistemi
↓
OTA
↓
e-posta
↓
WhatsApp
↓
check-in
↓
KBS
↓
Wi-Fi
↓
kamera
↓
restoran/POS
↓
fatura
↓
CRM
↓
pazarlama

zincirinin farklı noktalarına temas edebilir.

Dolayısıyla kişisel veriler yalnızca resepsiyonda bulunmaz.

Otelin neredeyse bütün dijital ekosistemine yayılmış olabilir.

İlk yapılması gereken iş bu nedenle:

Verinin otel içerisindeki yolculuğunu görmek

olmalıdır.

2. KVKK'nın Temel Mantığı Nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu açısından kişisel verilerin işlenmesinde temel prensiplerden biri:

“İhtiyacımız olabilir, saklayalım.”

değildir.

Kişisel veri işleme;

• hukuka ve dürüstlük kurallarına uygun,
• doğru ve gerektiğinde güncel,
• belirli, açık ve meşru amaçlarla,
• amaçla bağlantılı, sınırlı ve ölçülü,
• gerekli süre kadar

yürütülmelidir.

Otelcilik açısından bunu daha basit ifade edebiliriz:

Gerekmeyen veriyi toplama. Gerektiğinden fazla kullanma. Gerektiğinden uzun saklama. Gerekmeyen kişiye gösterme.

Bu dört prensip iyi bir otel veri yönetim sisteminin temelini oluşturur.

3. Her Veri İçin Açık Rıza Almanız Gerekmez

KVKK konusunda en sık yapılan hatalardan biri:

“Misafirden KVKK onayı aldık, artık bütün verileri işleyebiliriz.”

yaklaşımıdır.

Bu doğru değildir.

Kişisel veri işleme faaliyetinin hukuki sebebi her zaman açık rıza olmak zorunda değildir.

Örneğin bazı veriler;

• kanunda açıkça öngörülmesi,
• sözleşmenin kurulması veya ifası,
• veri sorumlusunun hukuki yükümlülüğü,
• bir hakkın tesisi, kullanılması veya korunması,
• temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat

gibi Kanunda öngörülen başka işleme şartlarına dayanabilir.

Dolayısıyla doğru soru:

“Açık rıza aldık mı?”

değil,

“Bu veri işleme faaliyetinin hukuki sebebi nedir?”

olmalıdır.

4. Aydınlatma ile Açık Rıza Aynı Şey Değildir

Bu ayrım oteller için çok önemlidir.

Aydınlatma

Misafire;

• veri sorumlusunun kim olduğunu,
• hangi verilerin hangi amaçlarla işlendiğini,
• kimlere ve hangi amaçlarla aktarılabileceğini,
• verinin nasıl toplandığını,
• hukuki sebebini,
• KVKK kapsamındaki haklarını

anlatmaktır.

Açık Rıza

Kanundaki koşullar çerçevesinde belirli bir veri işleme faaliyetine ilişkin alınan irade beyanıdır.

Bunlar aynı işlem değildir.

Dolayısıyla:

“KVKK metnini kabul ediyorum.”

şeklindeki tek kutu ile her şeyi çözmeye çalışmak doğru değildir.

Aydınlatma yükümlülüğü ile açık rıza gereken faaliyetler birbirinden ayrılmalıdır.

5. Misafir Aydınlatma Metnini Check-In Sisteminin Bir Parçası Yapın

Otel misafir verisini işlerken aydınlatma yükümlülüğünü yerine getirmelidir.

Aydınlatmada en azından;

• veri sorumlusunun kimliği,
• veri işleme amaçları,
• verilerin kimlere ve hangi amaçla aktarılabileceği,
• veri toplama yöntemi,
• hukuki sebep,
• ilgili kişinin hakları

yer almalıdır.

Ancak 8 sayfalık hukuki metni resepsiyonda misafirin önüne koymak iyi kullanıcı deneyimi değildir.

Daha iyi yaklaşım katmanlı aydınlatma olabilir.

Örneğin check-in ekranında:

Kısa Bilgilendirme
↓
Detaylı KVKK Aydınlatma Metni

bağlantısı sunulabilir.

Web rezervasyonunda da aynı yaklaşım uygulanabilir.

Ama önemli olan:

Misafirin bilgiye gerçekten erişebilmesidir.

6. “Okudum, Kabul Ediyorum” Her Zaman Gerekli Değildir

Aydınlatma yükümlülüğü misafirin onayına bağlı değildir.

Otelin görevi gerekli bilgilendirmeyi yapmaktır.

Dolayısıyla aydınlatma:

“Kabul etmezsen otelde kalamazsın.”

şeklinde sunulmamalıdır.

Ayrıca aydınlatma ile açık rıza aynı kutu altında birleştirilmemelidir.

Örneğin:

☐ KVKK metnini okudum ve tüm işlemlere onay veriyorum.

gibi geniş ifadeler yerine veri işleme faaliyetlerinin hukuki dayanakları ayrı ayrı belirlenmelidir.

7. Kimlik Bildirimi İçin Açık Rıza Gerekiyor mu?

Önceki makalede KBS'yi ele aldık.

Otelin 1774 sayılı Kimlik Bildirme Kanunu kapsamındaki yükümlülükleri nedeniyle bazı kimlik bilgilerinin işlenmesi yasal yükümlülük kapsamında gerçekleşir.

Dolayısıyla:

“Misafir KBS bildirimi için açık rıza vermedi.”

diyerek yasal bildirim yükümlülüğü ortadan kalkmaz.

Burada işleme faaliyetinin hukuki dayanağı açık rızadan farklıdır.

Ancak bu durum:

otel misafirin kimliğiyle ilgili istediği her şeyi saklayabilir

anlamına da gelmez.

Ve burada 2025 yılında otelcilik sektörü açısından çok önemli bir karar ortaya çıktı.

8. Oteller Artık T.C. Kimlik Fotokopisi Almamalı

Kişisel Verileri Koruma Kurulu'nun 6 Kasım 2025 tarihli ve 2025/2120 sayılı İlke Kararı otelcilik sektörü açısından son derece önemlidir.

Kararın temel yaklaşımı şudur:

Konaklayan kişinin;

• adı,
• soyadı,
• T.C. kimlik numarası

gibi gerekli kimlik bilgilerinin mevzuat kapsamında işlenmesi mümkündür.

Otel, bilgilerin doğruluğunu kontrol etmek amacıyla misafirin T.C. kimlik belgesini görebilir.

Ancak:

T.C. kimlik belgesinin fotokopisini alıp kaydetmek gereğinden fazla veri işleme olarak değerlendirilmiştir.

Kurul bu uygulamaya son verilmesini istemiştir.

Dolayısıyla resepsiyon SOP'sinde:

Kimliği al
→ gerekli bilgileri doğrula
→ sisteme gerekli veriyi gir
→ kimliği misafire geri ver

akışı kurulmalıdır.

Kimliği fotokopi çek
→ dosyaya koy

eski alışkanlığı terk edilmelidir.

9. Eski Kimlik Fotokopilerini de Unutmayın

2025 tarihli İlke Kararı yalnızca bundan sonra kimlik fotokopisi alınmamasını söylemekle kalmamaktadır.

Karardan önce konaklayan misafirlere ait T.C. kimlik belgesi fotokopilerini kayıt altında tutan veri sorumlularının bu belgeleri Kanunun 7'nci maddesine uygun şekilde imha etmesi gerektiği de belirtilmiştir.

Bu nedenle mevcut oteller açısından bir defalık önemli çalışma yapılmalıdır:

Arşiv taraması.

Bakılabilecek yerler:

• resepsiyon klasörleri,
• fiziksel misafir dosyaları,
• taranmış belgeler,
• bilgisayar klasörleri,
• e-posta ekleri,
• ortak ağ klasörleri,
• eski PMS ekleri.

Eski sistemde bulunan gereksiz kimlik kopyaları tespit edilmelidir.

10. Pasaport Kopyalarını da Otomatik Olarak Saklamayın

Yabancı misafirlerde pasaport bilgileri KBS ve operasyon açısından gerekli olabilir.

Ancak:

pasaport bilgisinin gerekli olması

ile

pasaportun tam görüntüsünün yıllarca saklanması

aynı şey değildir.

Pasaport görüntüsü üzerinde işleme amacı için gerekli olmayan ek bilgiler bulunabilir.

Bu nedenle yabancı misafir süreçlerinde de:

Hangi bilgi gerçekten gerekli?

sorusu sorulmalıdır.

Pasaport tarama/OCR sistemi kullanılıyorsa sistemin görüntüyü yalnızca okumak için mi kullandığı, yoksa ayrıca saklayıp saklamadığı kontrol edilmelidir.

11. PMS Otelin En Kritik Kişisel Veri Sistemlerinden Biridir

PMS içerisinde çok sayıda kişisel veri bulunabilir:

• ad-soyad,
• iletişim bilgileri,
• rezervasyon geçmişi,
• oda bilgisi,
• ödeme bilgileri,
• fatura bilgileri,
• misafir tercihleri,
• notlar.

Bu nedenle PMS erişimi:

“Otelde çalışan herkes görebilir.”

şeklinde olmamalıdır.

Rol bazlı yetkilendirme kullanılmalıdır.

Örneğin:

Resepsiyon

Operasyon için gerekli misafir bilgileri.

Housekeeping

Oda durumu ve görev için gerekli sınırlı bilgi.

F&B

Gerekliyse rezervasyon/oda hesabı bilgisi.

Muhasebe

Fatura ve finans için gerekli bilgiler.

Yönetim

İşlevine göre gerekli erişim.

Teknik servisin misafirin pasaport numarasını görmesine ihtiyaç yoktur.

Housekeeping'in kredi kartı bilgisine erişmesine de gerek yoktur.

Temel prensip:

Görev kadar veri.

12. PMS İçerisindeki Misafir Notlarına Dikkat Edin

Otelcilikte misafir notları çok faydalıdır.

Örneğin:

“Sessiz oda tercih ediyor.”

“Üst kat istiyor.”

“Ekstra yastık istiyor.”

Bunlar hizmet kalitesini artırabilir.

Ancak personel bazen gereksiz veya uygunsuz notlar yazabilir.

Örneğin:

“Çok problemli misafir.”

“Eşiyle kavga etti.”

“Psikolojik problemi var gibi.”

“İlaç kullanıyor.”

Bu tür notlar ciddi kişisel veri sorunları yaratabilir.

Bu nedenle PMS için bir Misafir Notu Yazım Standardı oluşturulmalıdır.

Kural basit olabilir:

Operasyon için gerekli değilse yazma.

13. Sağlık Bilgilerine Özellikle Dikkat Edin

KVKK kapsamında sağlık verileri özel nitelikli kişisel veri kategorisindedir.

Oteller bazen farkında olmadan sağlık verisi işleyebilir.

Örneğin:

“Misafir diyabet hastası.”

“Kalp rahatsızlığı var.”

“Tekerlekli sandalye kullanıyor.”

“Şu ilaca alerjisi var.”

gibi bilgiler gündeme gelebilir.

Bu tür veriler normal misafir tercihi gibi düşünülmemelidir.

Özel nitelikli kişisel verilerin işlenmesi Kanunun 6'ncı maddesindeki özel şartlara tabidir ve daha sıkı güvenlik yaklaşımı gerektirir.

Dolayısıyla:

“Misafir söyledi, PMS'e yazdık.”

yaklaşımı doğru değildir.

14. Gıda Alerjisi Notlarını da Kontrollü Yönetin

Restoran açısından:

“Fıstık alerjisi var.”

bilgisi hayati önem taşıyabilir.

Ancak aynı zamanda kişinin sağlık durumuna ilişkin veri niteliği taşıyabilir.

Bu nedenle bu tür bilgilerin;

• gerçekten gerekli olduğu ölçüde,
• doğru hukuki çerçevede,
• yalnızca ihtiyaç duyan çalışanların erişebileceği şekilde,
• gereğinden uzun tutulmadan

işlenmesi gerekir.

Örneğin mutfak personelinin:

misafirin pasaport numarasına

ihtiyacı yoktur.

Ama servis sırasında:

fıstık alerjisi bulunduğunu

bilmesi gerekebilir.

Yine:

Görev kadar veri.

15. OTA'lardan Gelen Veriler de Sizin Veri Ekosisteminizin Parçasıdır

Misafir rezervasyonu;

• Booking.com,
• Expedia,
• başka OTA,
• seyahat acentesi,
• tur operatörü

üzerinden yapmış olabilir.

Bu durumda veri otele üçüncü bir kanal üzerinden gelir.

Otel yine kendi yaptığı kişisel veri işleme faaliyetlerinden sorumludur.

Bu nedenle:

“Booking gönderdi, bizim KVKK sorumluluğumuz yok.”

denilemez.

OTA'dan gelen verinin;

• PMS'e aktarılması,
• kimlerin eriştiği,
• ne kadar tutulduğu,
• başka amaçlarla kullanılıp kullanılmadığı

ayrıca değerlendirilmelidir.

16. OTA Misafirinin E-Postasını Pazarlama Listesine Otomatik Eklemeyin

Misafir Booking.com üzerinden rezervasyon yaptı.

Otel konaklamayı gerçekleştirdi.

Bu durum:

“Artık kendi kampanyalarımızı sürekli gönderebiliriz.”

anlamına gelmez.

Rezervasyonun gerçekleştirilmesi için iletişim bilgisinin kullanılması ile gelecekte reklam ve pazarlama amacıyla kullanılması farklı faaliyetlerdir.

Bu nedenle:

operasyonel iletişim

ile

pazarlama iletişimi

birbirinden ayrılmalıdır.

17. Pazarlama İzni Ayrı Yönetilmelidir

Otel geçmiş misafirlere;

• kampanya,
• sezon açılışı,
• özel fiyat,
• yeni yıl paketi,
• restoran etkinliği

gibi mesajlar göndermek isteyebilir.

Burada KVKK yanında ticari elektronik ileti mevzuatı da gündeme gelir.

Dolayısıyla:

“Otelde kaldı, müşterimiz oldu.”

tek başına sınırsız pazarlama mesajı gönderme hakkı olarak değerlendirilmemelidir.

Pazarlama için gereken izin/onay süreçleri ayrıca kurulmalıdır.

18. Pazarlama Rızasını Konaklamanın Şartı Haline Getirmeyin

Örneğin check-in ekranında:

“Kampanya mesajlarını kabul etmezseniz check-in tamamlanamaz.”

şeklinde bir sistem doğru değildir.

Konaklama hizmetinin sunulması için gerekli olmayan bir pazarlama faaliyeti ile hizmetin kendisi birbirinden ayrılmalıdır.

Daha iyi sistem:

Konaklama işlemleri → gerekli veri işleme

ve ayrı olarak:

☐ Kampanya ve fırsatlardan haberdar olmak istiyorum.

şeklinde kurgulanabilir.

19. WhatsApp Oteller İçin Büyük Bir “Shadow Database” Oluşturabilir

Butik otellerde WhatsApp son derece yaygındır.

Misafir:

“Havalimanından transfer istiyorum.”

“Pasaportumu gönderiyorum.”

“Faturayı şu şirkete kesin.”

“Çocuğum için yatak hazırlayın.”

diyebilir.

Bir süre sonra otelin gerçek veri tabanı yalnızca PMS değildir.

Şuralarda da veri vardır:

• resepsiyon telefonu,
• kişisel çalışan telefonları,
• WhatsApp grupları,
• e-posta kutuları,
• ekran görüntüleri.

Bu yapıya shadow database — gölge veri tabanı diyebiliriz.

Ve çoğu otelde en büyük KVKK riski resmi PMS'ten değil, bu kontrolsüz yan kanallardan çıkar.

20. Personelin Kişisel Telefonundan Misafir Verisi Yönetmeyin

Örneğin resepsiyon görevlisi kendi telefonundan misafire WhatsApp mesajı gönderiyor.

Misafir pasaport fotoğrafını gönderiyor.

Personel üç ay sonra işten ayrılıyor.

Pasaport görüntüsü nerede?

Eski çalışanın kişisel telefonunda.

İşte problem budur.

Mümkün olduğunca;

• kurumsal telefon,
• kurumsal WhatsApp hesabı,
• kurumsal e-posta,
• kontrollü PMS/CRM

kullanılmalıdır.

Çalışan ayrıldığında erişim kapatılabilmelidir.

21. E-Posta Kutularını da Veri Sistemi Olarak Görün

Otel e-postalarında;

• rezervasyon detayları,
• pasaport görüntüleri,
• şirket fatura bilgileri,
• kredi kartı talepleri,
• transfer bilgileri,
• misafir şikâyetleri

bulunabilir.

Bu nedenle e-posta:

iletişim aracı

olduğu kadar

kişisel veri deposu

haline de gelebilir.

Gereksiz eklerin yıllarca inbox içerisinde tutulması doğru veri yönetimi değildir.

22. Kredi Kartı Bilgilerini E-Posta veya WhatsApp'ta İstemeyin

Ödeme güvenliği KVKK'nın yanında ödeme sistemleri güvenliği açısından da kritik bir konudur.

Misafirden:

“Kartın ön ve arka yüzünün fotoğrafını WhatsApp'tan gönderin.”

istemek son derece riskli bir uygulamadır.

Ödeme işlemleri mümkün olduğunca;

• güvenli ödeme altyapısı,
• sanal POS,
• tokenizasyon destekleyen sistemler,
• güvenli rezervasyon motorları

üzerinden yürütülmelidir.

Otelin ihtiyacı:

kart numarasını bilmek

değil,

ödemeyi güvenli şekilde almak

olmalıdır.

23. Güvenlik Kameraları da Kişisel Veri İşler

Otelin;

• girişinde,
• lobisinde,
• otoparkında,
• koridorlarında,
• ortak alanlarında

kameralar bulunabilir.

Kamera görüntüsünde gerçek kişiler belirlenebildiği için kişisel veri işleme faaliyeti söz konusudur.

Bu nedenle:

• kameranın amacı,
• kamera konumu,
• kayıt süresi,
• erişim yetkileri,
• güvenliği,
• aydınlatma

planlanmalıdır.

Kamera:

“Güvenlik için, istediğimiz yere koyabiliriz.”

mantığıyla kullanılmamalıdır.

24. Kameranın Görüş Alanını Amaçla Sınırlayın

Güvenlik için kullanılan kamera güvenlik ihtiyacıyla orantılı olmalıdır.

Örneğin;

• misafir odası,
• banyo,
• soyunma alanı

gibi mahremiyet beklentisinin son derece yüksek olduğu alanlarda kamera kullanımı kabul edilebilir bir güvenlik yöntemi olarak düşünülemez.

Ortak alanlarda dahi:

Kamera gerçekten bu alanı görmek zorunda mı?

sorusu sorulmalıdır.

Amaç:

mümkün olduğunca fazla görüntü toplamak

değil,

gerekli güvenliği mümkün olan en sınırlı veriyle sağlamak

olmalıdır.

25. Kamera Kayıtlarını Sonsuza Kadar Saklamayın

Kişisel Verileri Koruma Kurumu güvenlik kamerası kayıtlarının gereğinden uzun tutulmaması gerektiğini özellikle vurgulamaktadır.

Dolayısıyla:

“Disk dolana kadar kayıt tutuyoruz.”

iyi bir saklama politikası değildir.

Saklama süresi;

• kullanım amacı,
• tesisin risk yapısı,
• ilgili mevzuat,
• gerçek operasyon ihtiyacı

üzerinden belirlenmelidir.

Mümkün olan en kısa yeterli süre tercih edilmeli ve otomatik imha mekanizmaları kullanılmalıdır.

Bir olay yaşanmışsa yalnızca ilgili görüntünün hukuki süreç için ayrıca korunması gerekebilir.

26. Kamera Kayıtlarına Kim Erişiyor?

Bu soru çoğu otelde yeterince sorulmaz.

Kamera ekranı:

• resepsiyonda,
• güvenlikte,
• müdür odasında

olabilir.

Ama kayıtları kim geri sarabiliyor?

Kim USB'ye kopyalayabiliyor?

Kim WhatsApp'tan paylaşabiliyor?

İyi sistemde:

• canlı görüntü erişimi,
• geçmiş kayıt erişimi,
• kayıt dışa aktarma yetkisi

ayrı ayrı tanımlanabilir.

Kameranın şifresini bilmek, görüntüyü kullanma yetkisi anlamına gelmemelidir.

27. Misafir Wi-Fi'si de Veri Haritasına Dahil Edilmelidir

Otel Wi-Fi sistemi;

• cihaz bilgileri,
• IP/log bilgileri,
• bağlantı zamanları,
• kimlik doğrulama bilgileri

gibi çeşitli veriler üretebilir.

Bu alanda KVKK yanında elektronik haberleşme ve internet erişimine ilişkin başka mevzuat da gündeme gelebilir.

Dolayısıyla:

“Wi-Fi firmasını çağırdık, sistemi kurdu.”

demek yeterli değildir.

Şunlar sorulmalıdır:

• hangi veri tutuluyor?
• neden tutuluyor?
• nerede tutuluyor?
• ne kadar süre tutuluyor?
• kim erişebiliyor?
• hizmet sağlayıcı veriyi kullanıyor mu?
• sunucu Türkiye'de mi, yurt dışında mı?

28. Bulut PMS Kullanıyorsanız Verinin Nerede Olduğunu Sorun

Modern oteller giderek daha fazla cloud sistem kullanıyor.

Örneğin;

• PMS,
• channel manager,
• CRM,
• rezervasyon motoru,
• e-posta,
• analytics,
• müşteri destek yazılımı

yurt dışındaki sunucularda çalışabilir.

Bu durumda kişisel verilerin yurt dışına aktarımı gündeme gelebilir.

Türkiye'de yurt dışına veri aktarımı rejimi 2024 yılında önemli ölçüde değişmiştir.

Yeni sistemde;

• yeterlilik kararları,
• uygun güvenceler,
• standart sözleşmeler,
• bağlayıcı şirket kuralları,
• belirli istisnai aktarım halleri

gibi mekanizmalar bulunmaktadır.

Dolayısıyla:

“Program yabancı ama biz Türkiye'den kullanıyoruz.”

demek yurt dışı veri aktarımı bulunmadığı anlamına gelmeyebilir.

29. Otelin Kullandığı Bütün Yazılımların Veri Haritasını Çıkarın

Basit bir tablo oluşturabilirsiniz:

Bu tablo hazırlanırken birçok otel ilk kez:

“Verilerimizin aslında nerelerde olduğunu bilmiyoruz.”

gerçeğiyle karşılaşır.

Bu farkındalık KVKK sisteminin başlangıcıdır.

30. Tedarikçilerinizi de KVKK Açısından İnceleyin

Otel kişisel verileri tek başına işlemeyebilir.

Örneğin;

• PMS firması,
• IT firması,
• bulut sağlayıcısı,
• çağrı merkezi,
• dijital pazarlama ajansı,
• CRM firması,
• muhasebe firması

verilere erişebilir.

Bu nedenle tedarikçi sözleşmelerinde;

• hangi veriye erişildiği,
• ne amaçla işlendiği,
• güvenlik yükümlülükleri,
• alt hizmet sağlayıcılar,
• veri ihlali bildirimi,
• hizmet sona erdiğinde verinin ne olacağı,
• varsa yurt dışı aktarımı

incelenmelidir.

31. VERBİS Yükümlülüğünüzü Kontrol Edin

KVKK kapsamında bazı veri sorumlularının Veri Sorumluları Sicili — VERBİS kayıt yükümlülüğü bulunmaktadır.

Ancak bütün işletmeler otomatik olarak VERBİS'e kayıt olmak zorunda değildir.

Kurul tarafından belirlenen istisnalar ve güncel kriterler bulunmaktadır.

Bu nedenle:

“Oteliz, kesin VERBİS'e kayıt olmalıyız.”

veya

“Küçük oteliz, kesin muafız.”

şeklinde varsayım yapılmamalıdır.

İşletmenin;

• çalışan sayısı,
• mali yapısı,
• ana faaliyet konusu,
• işlediği veri türleri,
• güncel Kurul kararları

üzerinden yükümlülük kontrol edilmelidir.

32. Veri Envanteri Oluşturun

İyi bir KVKK sistemi için otelin hangi kişisel verileri işlediğini bilmesi gerekir.

Örneğin:

Misafir

• kimlik,
• iletişim,
• rezervasyon,
• ödeme,
• fatura,
• kamera,
• tercih.

Çalışan

• kimlik,
• SGK,
• bordro,
• banka,
• sağlık,
• eğitim.

Tedarikçi

• iletişim,
• finans,
• sözleşme.

Web Ziyaretçisi

• cookie,
• IP,
• analytics.

Her veri için şu sorular cevaplanmalıdır:

Ne topluyoruz?
Neden?
Hukuki sebep?
Nereden geliyor?
Nereye gidiyor?
Kim erişiyor?
Ne kadar saklıyoruz?
Nasıl imha ediyoruz?

33. Saklama Sürelerini “Sonsuza Kadar” Olarak Belirlemeyin

PMS'in teknik olarak misafir profilini sınırsız saklayabilmesi:

hukuken sınırsız saklanabileceği

anlamına gelmez.

Farklı verilerin farklı saklama gerekçeleri olabilir.

Örneğin;

• mali kayıt,
• sözleşme,
• kimlik bildirimi,
• kamera,
• pazarlama,
• müşteri ilişkileri

aynı saklama süresine sahip olmak zorunda değildir.

Bu nedenle veri bazlı Saklama ve İmha Matrisi oluşturulmalıdır.

34. Saklama Sebebi Ortadan Kalkınca Ne Olacak?

KVKK'nın önemli prensiplerinden biri kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında verilerin silinmesi, yok edilmesi veya anonim hale getirilmesidir.

Bu nedenle otel sisteminde:

Topla
→ Kullan
→ Sakla
→ Unut

olmamalıdır.

Doğru akış:

Topla
→ Kullan
→ Gerekli süre sakla
→ Süreyi kontrol et
→ Sil / yok et / anonimleştir

şeklinde olmalıdır.

35. Fiziksel Belgeleri de Unutmayın

KVKK yalnızca bilgisayar verilerini kapsamaz.

Resepsiyon dolabındaki;

• eski kayıt formları,
• çıktı alınmış rezervasyonlar,
• faturalar,
• personel dosyaları,
• kimlik fotokopileri

de kişisel veri içerebilir.

Dolayısıyla veri envanterinde:

dijital + fiziksel

birlikte düşünülmelidir.

36. Çöp Kutusu Veri İmha Yöntemi Değildir

Kişisel veri içeren fiziksel belgeyi buruşturup çöpe atmak güvenli imha değildir.

Örneğin eski rezervasyon listesinde;

• isim,
• telefon,
• oda,
• konaklama tarihi

bulunabilir.

Bu tür belgeler uygun şekilde imha edilmelidir.

Aynı prensip dijital dosyalar için de geçerlidir.

Delete tuşuna basmak her durumda güvenli yok etme anlamına gelmeyebilir.

37. Personel Erişimlerini Rol Bazlı Kurun

KVKK sisteminde en önemli teknik/idari önlemlerden biri erişim kontrolüdür.

Örneğin PMS rolleriniz:

Reception

Night Auditor

Front Office Manager

Housekeeping

Finance

General Manager

şeklinde olabilir.

Her rol yalnızca ihtiyaç duyduğu ekranlara erişmelidir.

Bu yaklaşım:

Least Privilege — Asgari Yetki

prensibidir.

Personel yapabildiği kadar değil, görevi için gerektiği kadar erişebilmelidir.

38. Ortak Kullanıcı Hesaplarını Azaltın

Örneğin bütün resepsiyon:

reception / 123456

hesabını kullanıyorsa bir veri değiştirildiğinde kimin yaptığını bilemezsiniz.

Mümkün olduğunca kişiye özel kullanıcı hesapları kullanılmalıdır.

Böylece;

• erişim kontrolü,
• log takibi,
• hata analizi,
• çalışan ayrılışı

daha güvenli yönetilir.

39. Personel Ayrıldığında Dijital Offboarding Yapın

Çalışan işten ayrıldı.

SGK çıkışı yapıldı.

Uniformasını bıraktı.

Ama:

• PMS hesabı açık,
• e-posta çalışıyor,
• Google Drive erişimi devam ediyor,
• WhatsApp grubunda hâlâ bulunuyor,
• kamera sisteminin şifresini biliyor.

Bu ciddi veri güvenliği riskidir.

Offboarding checklist içerisinde:

PMS
+
e-posta
+
POS
+
CRM
+
KBS
+
Wi-Fi yönetimi
+
CCTV
+
cloud storage
+
WhatsApp/iletişim grupları

erişimleri kontrol edilmelidir.

40. Veri İhlali Nedir?

Bir çalışanın misafir listesini yanlış e-posta adresine göndermesi.

Laptopun çalınması.

PMS hesabının ele geçirilmesi.

Misafir pasaportlarının internete sızması.

Kamera görüntüsünün yetkisiz paylaşılması.

Eski personelin CRM verilerini kopyalaması.

Bunların bazıları kişisel veri ihlali oluşturabilir.

Otelin:

“Böyle bir şey olursa ne yaparız?”

sorusunun cevabı olaydan önce hazırlanmalıdır.

41. Veri İhlalinde 72 Saat Kritik

Kişisel Verileri Koruma Kurulunun mevcut kararına göre kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi halinde veri sorumlusu durumu gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirmelidir.

Etkilenen ilgili kişilere de koşullara göre makul olan en kısa sürede bildirim yapılması gerekir.

Bu nedenle:

“IT firması araştırsın, haftaya yönetim karar verir.”

yaklaşımı ciddi risk yaratabilir.

Otelde bir Veri İhlali Müdahale Planı bulunmalıdır.

42. Veri İhlali Prosedürü Nasıl Olabilir?

Basit akış:

Şüpheli olay tespit edildi
↓
Sistemi güvenli hale getir
↓
KVKK sorumlusunu / yönetimi bilgilendir
↓
Hangi veriler etkilendi?
↓
Kaç kişi etkilendi?
↓
İhlal ne zaman başladı?
↓
Ne zaman öğrenildi?
↓
Risk nedir?
↓
Gerekli hukuki değerlendirme
↓
KVKK Kurulu bildirimi
↓
Gerekirse ilgili kişilerin bilgilendirilmesi
↓
Kök neden analizi
↓
Düzeltici faaliyet

En kritik noktalardan biri:

İhlalin öğrenildiği zamanı kayıt altına almaktır.

Çünkü 72 saatlik değerlendirmede bu zaman önemlidir.

43. KVKK'yı Karar Kapılarıyla Yönetin

Bu seride kullandığımız decision gates — karar kapıları sistemini burada da uygulayabiliriz.

Karar Kapısı 1 — Veri

Hangi kişisel verileri topluyoruz?

Net → Amaca geç.

Belirsiz → Veri envanteri çıkar.

Karar Kapısı 2 — Amaç

Bu veriye gerçekten neden ihtiyacımız var?

Net ve meşru → Hukuki sebebe geç.

Gereksiz → Toplama.

Karar Kapısı 3 — Hukuki Sebep

Kanundaki hangi işleme şartına dayanıyoruz?

Net → Devam.

Belirsiz → İşleme faaliyetini başlatmadan değerlendir.

Karar Kapısı 4 — Aydınlatma

Misafire gerekli bilgilendirmeyi yaptık mı?

Evet → Devam.

Hayır → Aydınlatma sistemini kur.

Karar Kapısı 5 — Açık Rıza

Bu faaliyet gerçekten açık rızaya mı dayanıyor?

Hayır → Rıza toplamaya çalışma; doğru hukuki sebebi kullan.

Evet → Açık rızayı aydınlatmadan ayrı ve uygun şekilde al.

Karar Kapısı 6 — Veri Minimizasyonu

Topladığımız bütün alanlar gerçekten gerekli mi?

Evet → Devam.

Hayır → Gereksiz alanları kaldır.

Karar Kapısı 7 — Erişim

Bu veriyi kimlerin görmesi gerekiyor?

Net → Rol bazlı yetki ver.

Belirsiz → Erişimi verme.

Karar Kapısı 8 — Aktarım

Veri başka şirkete veya yurt dışına gidiyor mu?

Hayır → Saklamaya geç.

Evet → Aktarımın hukuki çerçevesini kontrol et.

Karar Kapısı 9 — Saklama

Bu veriyi ne kadar süre tutmamız gerekiyor?

Net → Saklama matrisi oluştur.

Belirsiz → “Sonsuza kadar” varsayımını kullanma.

Karar Kapısı 10 — İmha

İşleme amacı ve hukuki saklama sebebi sona erdi mi?

Hayır → Güvenli şekilde sakla.

Evet → Sil / yok et / anonimleştir.

Karar Kapısı 11 — İhlal

Veri güvenliği olayı yaşandı mı?

Hayır → İzlemeye devam.

Evet → İhlal müdahale planını derhal çalıştır.

Bu son kapı otel faaliyet gösterdiği sürece kapanmaz.

44. Otellerde Yapılan 20 Yaygın KVKK Hatası

1. KVKK'yı yalnızca web sitesi metni sanmak

Operasyon gözden kaçar.

2. Her veri için açık rıza istemek

Hukuki sebepler yanlış kurgulanır.

3. Aydınlatma ile açık rızayı tek kutuda birleştirmek

İki ayrı süreç karıştırılır.

4. T.C. kimlik fotokopisi almak

2025 İlke Kararı gözden kaçırılır.

5. Eski kimlik fotokopilerini arşivde tutmaya devam etmek

Gereksiz veri saklanır.

6. Pasaport görüntülerini kontrolsüz saklamak

Gerekenden fazla veri tutulabilir.

7. PMS'e gereksiz misafir notları yazmak

Operasyon dışı veri birikir.

8. Sağlık bilgilerini sıradan tercih gibi kaydetmek

Özel nitelikli veri riski doğar.

9. OTA müşterisini otomatik pazarlama listesine eklemek

Konaklama ve pazarlama amaçları karıştırılır.

10. Pazarlama iznini check-in şartı yapmak

Rızanın niteliği bozulabilir.

11. Misafir verisini personelin kişisel telefonunda tutmak

Kontrol kaybedilir.

12. Kimlik ve pasaportları WhatsApp grubunda paylaşmak

Gölge veri tabanı oluşur.

13. Kart fotoğrafını WhatsApp'tan istemek

Finansal ve kişisel veri riski yaratılır.

14. Kamera kayıtlarını yıllarca tutmak

Ölçülülük kaybedilir.

15. Her personele PMS'te tam erişim vermek

Asgari yetki prensibi uygulanmaz.

16. Ortak kullanıcı hesabı kullanmak

Kimin ne yaptığı izlenemez.

17. Cloud yazılımın sunucu lokasyonunu bilmemek

Yurt dışı aktarımı gözden kaçabilir.

18. Tedarikçi erişimlerini kontrol etmemek

Veri zincirinin dış halkaları unutulur.

19. Personel ayrıldığında erişimleri kapatmamak

Eski çalışan sisteme erişmeye devam edebilir.

20. Veri ihlali planı olmaması

72 saatlik kritik süre kontrolsüz geçebilir.

45. Oteller İçin KVKK Kontrol Listesi

Veri Envanteri

• ☐ Misafir verileri listelendi.
• ☐ Çalışan verileri listelendi.
• ☐ Tedarikçi verileri listelendi.
• ☐ Web/cookie verileri listelendi.
• ☐ Fiziksel arşivler listelendi.
• ☐ PMS kontrol edildi.
• ☐ OTA verileri kontrol edildi.
• ☐ CRM kontrol edildi.
• ☐ E-posta kontrol edildi.
• ☐ WhatsApp süreçleri kontrol edildi.
• ☐ CCTV kontrol edildi.
• ☐ Wi-Fi sistemi kontrol edildi.

Hukuki Çerçeve

• ☐ Her işleme amacı belirlendi.
• ☐ Her işleme faaliyeti için hukuki sebep belirlendi.
• ☐ Açık rıza gereken faaliyetler ayrıldı.
• ☐ Aydınlatma metinleri hazırlandı.
• ☐ Aydınlatma ve açık rıza ayrıştırıldı.
• ☐ VERBİS yükümlülüğü kontrol edildi.

Check-In

• ☐ Gerekli kimlik bilgileri alınıyor.
• ☐ T.C. kimlik fotokopisi alınmıyor.
• ☐ Eski kimlik fotokopileri için arşiv taraması yapıldı.
• ☐ Pasaport işlemleri veri minimizasyonuna göre düzenlendi.
• ☐ Aydınlatma erişilebilir.
• ☐ Resepsiyon personeli eğitildi.

PMS

• ☐ Kullanıcılar kişiye özel.
• ☐ Roller oluşturuldu.
• ☐ Yetkiler görev bazlı.
• ☐ Gereksiz misafir notları engelleniyor.
• ☐ Özel nitelikli veri süreçleri kontrol altında.
• ☐ Ayrılan personelin erişimi kapatılıyor.
• ☐ Log kayıtları değerlendiriliyor.

Pazarlama

• ☐ Operasyonel iletişim ve pazarlama ayrıldı.
• ☐ Pazarlama izinleri ayrıca yönetiliyor.
• ☐ OTA misafirleri otomatik listeye eklenmiyor.
• ☐ İptal/ret mekanizması bulunuyor.
• ☐ İzin kayıtları ispatlanabilir.

Kamera

• ☐ Kamera amacı tanımlı.
• ☐ Görüş alanları kontrol edildi.
• ☐ Aydınlatma yapılıyor.
• ☐ Saklama süresi belirlendi.
• ☐ Otomatik silme değerlendirildi.
• ☐ Erişimler sınırlı.
• ☐ Dışa aktarma yetkisi kontrollü.

Dijital Sistemler

• ☐ PMS sağlayıcısı incelendi.
• ☐ Channel manager incelendi.
• ☐ Booking engine incelendi.
• ☐ CRM incelendi.
• ☐ E-posta sağlayıcısı incelendi.
• ☐ Cloud storage incelendi.
• ☐ Wi-Fi sistemi incelendi.
• ☐ Sunucu lokasyonları biliniyor.
• ☐ Yurt dışı aktarımlar kontrol edildi.

Tedarikçiler

• ☐ Veri erişen tedarikçiler listelendi.
• ☐ Sözleşmeler kontrol edildi.
• ☐ Gizlilik yükümlülükleri düzenlendi.
• ☐ Güvenlik tedbirleri değerlendirildi.
• ☐ Alt hizmet sağlayıcılar kontrol edildi.
• ☐ Veri ihlali bildirim süreci tanımlandı.
• ☐ Hizmet sonunda veri imhası düzenlendi.

Saklama ve İmha

• ☐ Saklama matrisi hazırlandı.
• ☐ Hukuki saklama süreleri değerlendirildi.
• ☐ Gereksiz fiziksel belgeler belirleniyor.
• ☐ Dijital silme prosedürü var.
• ☐ Fiziksel imha prosedürü var.
• ☐ Periyodik imha sistemi değerlendirildi.
• ☐ Anonimleştirme gereken süreçler belirlendi.

Veri Güvenliği

• ☐ Güçlü parola politikası var.
• ☐ Yetki matrisi var.
• ☐ Kişiye özel kullanıcı hesapları var.
• ☐ Yedekleme sistemi var.
• ☐ Güncellemeler takip ediliyor.
• ☐ Personel KVKK eğitimi alıyor.
• ☐ Kişisel telefon kullanımı sınırlandırıldı.
• ☐ Offboarding checklist var.

Veri İhlali

• ☐ Veri ihlali prosedürü hazır.
• ☐ Müdahale ekibi belli.
• ☐ Hukuki sorumlu belli.
• ☐ IT sorumlusu belli.
• ☐ İhlalin öğrenilme zamanı kaydediliyor.
• ☐ 72 saat kuralı biliniyor.
• ☐ İlgili kişi bildirim süreci tanımlı.
• ☐ Kök neden analizi yapılıyor.
• ☐ Düzeltici faaliyet sistemi var.

46. Otelde Doğru Veri Yönetim Akışı Nasıl Olmalı?

Bütün sistemi tek akışta özetleyelim:

Misafir temas noktalarının belirlenmesi
↓
Veri envanteri
↓
İşleme amaçlarının belirlenmesi
↓
Hukuki sebepler
↓
Veri minimizasyonu
↓
Aydınlatma
↓
Gerekiyorsa açık rıza
↓
Rezervasyon
↓
Check-in / KBS
↓
PMS
↓
Otel içi operasyon
↓
Yetki kontrolü
↓
Tedarikçi / sistem aktarımları
↓
Yurt dışı aktarım kontrolü
↓
Pazarlama izinleri
↓
Saklama süresi
↓
Silme / yok etme / anonimleştirme
↓
Veri güvenliği
↓
İhlal yönetimi
↓
Periyodik denetim
↓
Sürekli KVKK uyumu

Buradaki en önemli prensip:

Veriyi önce toplamayın, sonra neden topladığınızı düşünmeyin. Önce neden gerektiğini belirleyin, sonra yalnızca gereken veriyi toplayın.

Sonuç

Otelcilikte veri çok değerlidir.

Misafiri tanımak hizmet kalitesini yükseltebilir.

Önceki konaklamasını bilmek deneyimi kişiselleştirebilir.

Tercihlerini hatırlamak sadakati artırabilir.

CRM kullanmak doğrudan rezervasyonu geliştirebilir.

Ama:

Daha fazla veri her zaman daha iyi otelcilik anlamına gelmez.

Kontrol edemediğiniz veri risk haline gelir.

PMS'teki gereksiz not.

Eski kimlik fotokopisi.

WhatsApp'taki pasaport fotoğrafı.

Çalışanın kişisel telefonundaki misafir listesi.

Yıllardır silinmeyen kamera görüntüsü.

Kimsenin hatırlamadığı Excel dosyası.

Eski personelin açık kalan PMS hesabı.

Yurt dışında çalışan ama kimsenin veri aktarımını incelemediği cloud yazılım.

Bunların tamamı otelin görünmeyen veri borcudur.

Bu nedenle yatırımcı açısından doğru soru:

“KVKK metnimiz var mı?”

değildir.

Doğru soru:

“Misafir verisi otelimize girdiği andan çıktığı ana kadar kontrolümüz altında mı?”

olmalıdır.

Ben otellerde KVKK yönetimini şu denklemle özetlerim:

Gerekli veri + doğru hukuki sebep + şeffaflık + minimum erişim + güvenli sistem + doğru saklama süresi + güvenli imha = sürdürülebilir veri yönetimi

Ve 2025 tarihli T.C. kimlik fotokopisi İlke Kararı bu yaklaşımın çok iyi bir örneğidir.

Otelin kimliği görmesi gerekebilir.

Kimlik bilgilerini doğrulaması gerekebilir.

Gerekli bilgileri kaydetmesi gerekebilir.

Ancak bu:

belgenin tamamını kopyalayıp yıllarca saklaması gerektiği

anlamına gelmez.

KVKK'nın temel mantığı tam olarak burada ortaya çıkar:

İhtiyacın olan veriyi işle. İhtiyacın olmayan veriyi toplama.

Otel Yatırım Rehberi — Cilt III: Resmî Süreçler ve Uyum

Bu makalede otellerde KVKK ve misafir veri yönetimini;

• kimlik ve pasaport bilgileri,
• KBS,
• PMS,
• OTA'lar,
• misafir notları,
• sağlık ve alerji bilgileri,
• WhatsApp ve e-posta,
• pazarlama,
• kamera sistemleri,
• Wi-Fi,
• cloud yazılımlar,
• yurt dışı veri aktarımı,
• tedarikçiler,
• VERBİS,
• saklama ve imha,
• personel erişimleri,
• veri ihlalleri

başlıklarıyla yatırımcı ve işletmeci perspektifinden ele aldım.

Otel Yatırım Rehberi — Cilt III içerisinde ise kişisel veri yönetimini misafir kayıtları, KBS, çalışan verileri, sözleşmeler, hukuki risk ve sürekli uyum sistemiyle birlikte daha kapsamlı şekilde ele alıyorum.

Amaç yalnızca “KVKK metni nasıl hazırlanır?” sorusunu cevaplamak değil; otelin tamamında çalışan gerçek bir veri yönetim sisteminin nasıl kurulacağını göstermek.

Önemli Not: Kişisel verilerin korunması, yurt dışına veri aktarımı, VERBİS, ticari elektronik ileti, elektronik sistemler ve ilgili ikincil mevzuat zaman içerisinde değişebilir. Ayrıca yükümlülükler otelin kullandığı sistemlere, veri kategorilerine, şirket yapısına ve veri işleme faaliyetlerine göre farklılaşabilir. Bu makale genel bilgilendirme amacı taşır. Uygulama öncesinde güncel mevzuat ve Kişisel Verileri Koruma Kurulu kararları kontrol edilmeli; gerektiğinde KVKK alanında uzman hukukçu ve bilgi güvenliği uzmanlarından destek alınmalıdır.