Otel kara listesi KVKK’ya uygun mu? Sorunlu misafir kaydı ve oteller arası paylaşım

Bir otel, misafiriyle ilgili kendi bünyesinde tuttuğu notu saklayabilir; ancak diğer otellerle paylaşılan bir liste tutamaz. Kişisel Verileri Koruma Kurulu'nun araç kiralama sektörüyle ilgili 2021/1304 sayılı ilke kararı (23 Aralık 2021), yalnızca denge testinden sonra şirket içi listeye izin verdi, ortak yazılımla paylaşımı reddetti. Otellere özgü bir karar yok: bunu kural değil, akıl yürütme olarak okuyun.

Bir misafir odaya zarar verip ödemeden ayrılıyor. Ön büro müdürü profile bir not düşüyor, akşama kadar adı aynı şehirdeki otelcilerin WhatsApp grubunda. İki adım da mantıklı görünüyor. Yalnızca biri, Türkiye'deki kişisel veri mevzuatında bir dayanak taşıyor. Yazının sonunda hangisi olduğunu, misafir profilinde ne bulunabileceğini, ne kadar kalabileceğini ve paylaşılan listenin yerine ne yapılacağını bileceksiniz.

Kurul'un 2021/1304 sayılı kararı tam olarak ne diyor?#

Karar araç kiralama hakkında, otel değil; ve Türkiye'de kara listelerle ilgili elimizdeki en yakın resmî metin. Kurul, ilke olarak şirketin kendi iç listesine izin verdi, kayıtların ortak yazılımla firmalar arasında paylaşılmasını reddetti.

Olay şöyle: araç kiralama firmalarına satılan bir yazılımda kara liste özelliği vardı. Firmalar müşteri verilerini, kiralama sırasında yaşanan hasar ya da ödeme sorunu gibi olumsuzluklara dair kendi yorumlarıyla listeye giriyordu. Sistem bu kayıtları, müşterilerin haberi olmadan, aynı yazılımı kullanan diğer firmalara da açıyordu (Kişisel Verileri Koruma Kurulu ilke kararı 2021/1304 (yeni sekmede açılır), 23 Aralık 2021; Resmî Gazete, 20 Ocak 2022, sayı 31725).

İç liste konusunda: yalnızca firmanın kendi işletme faaliyetiyle sınırlı, yani veri sorumlusunun bünyesinde kalan bir kara liste kaydı, 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (f) bendindeki meşru menfaat şartına dayanabilir. Bunun için firmanın meşru menfaati ile ilgili kişinin temel hak ve özgürlükleri arasındaki denge testinde meşru menfaatin ağır basması ve durumun somut olaya göre ayrıca değerlendirilmesi gerekir. Paylaşım konusunda: kaydın diğer veri sorumlularına açılması, ilgili kişinin temel hak ve özgürlüklerine zarar vermeme koşulunu karşılayamaz.

Kurul, Kanun'un 4. maddesindeki genel ilkelere de atıfta bulundu. Müşteri verisinin yazılım aracılığıyla bilinmeyen sayıda firmayla paylaşılması, 4. maddede yer alan hukuka ve dürüstlük kurallarına uygunluk, belirli, açık ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ilkelerine aykırıdır. Roller konusunda, kara liste kayıtlarını kendi menfaatleri doğrultusunda kullanan kiralama firmaları ile yazılım şirketleri ortak veri sorumlusudur.

Oteller için iki nokta daha önemli. Birincisi, bu listeler kişinin 11. maddedeki haklarını kullanmasının önünde engeldir; buna otomatik sistemlerle yapılan analiz sonucu aleyhine çıkan sonuca itiraz hakkı da dahildir, çünkü kişi verisinin hangi firmalara gittiğini bilemez. İkincisi, karar 12. maddedeki teknik ve idari tedbirlerin alınmasını istedi ve Kanuna aykırı kara liste uygulayan veri sorumlularına 18. maddeye göre işlem yapılacağını duyurdu.

Araç kiralama kararı otellere uygulanır mı?#

Doğrudan hayır. Otel kara listeleriyle ilgili bir Kurul kararı bulunamadı; elinizdeki, ödünç alabileceğiniz bir akıl yürütme, resepsiyonunuzu bağlayan bir kural değil.

İlke kararı, Kurul'un belirli bir olay örgüsünde Kanunu nasıl okuduğunu bildirir. Olay örgüsü araç kiralama; 4., 5., 8., 11. ve 12. maddelerin okunuşu ise aynı tür kaydı tutan her sektöre taşınır. Taşınan şey, kendi işletmeniz için tutulan kayıt ile diğer veri sorumlularına açılan kayıt arasındaki ayrım, denge testi ve paylaşımı sağlayan yazılım tedarikçisinin ortak sorumlu sayılmasıdır.

Farklı olan ise menfaatin kendisi. Otelin menfaati genellikle oda hasarı, ödenmeyen hesap ya da diğer misafirleri etkileyen davranıştır; kiralama firmasınınki araç hasarı ve ödemedir. Hangi menfaatin ne kadar ağır bastığı bir kategori sorunu değil, somut olguların sorunudur. Denge testi bir kez doldurulan bir form da değildir; her olay için ayrı yapılır: ne kaydettiniz, neden, ne kadar süreyle saklayacaksınız, kimler görecek, misafire ne söylendi.

Çerçeveyi 4. madde çizer: kişisel veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, bu amaçlarla bağlantılı, sınırlı ve ölçülü biçimde işlenir ve ilgili mevzuatın öngördüğü ya da işleme amacının gerektirdiği süre kadar saklanır (6698 sayılı Kanun, 4. ve 5. maddeler (yeni sekmede açılır), T.C. Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, 2 Kasım 2026). Meşru menfaate dayandığınızda koşul, Kurul'un uyguladığıyla aynıdır: işleme, kişinin temel hak ve özgürlüklerine zarar vermemelidir.

İç politikanıza bunun bir kıyas olduğunu yazın ve uygulama rutine dönüşmeden önce kendi durumunuzu bir avukatla teyit ettirin.

Otel kendi misafir profiline ne kaydedebilir?#

Belirli bir konaklamada olmuş olanı, nötr bir dille, rezervasyona bağlı olarak kaydedin; bir gözden geçirme tarihi koyun ve görmesi gereken kişilerden başkasına göstermeyin.

Notu yazmadan önce amacı belirtin. "4471 numaralı rezervasyondaki bakiyeyi tahsil etmek" bir amaçtır; "zor misafir" arkasında amacı olmayan bir etikettir. Sonuç değil olgu yazın: tarih, rezervasyon numarası, oda, ne hasar gördü ya da ne ödenmedi, tutar, ne kararlaştırıldı, kim takip etti. Kişiyle ilgili sıfatlardan kaçının.

Suç isnadı, elinizde olgu değil, iddiadır. Bir tutanağın tutulduğunu ve kimin tuttuğunu kaydedin; misafirin ne yaptığına dair bir hüküm yazmayın. Söz dizimi önemli, çünkü misafir o notu okuyabilir: 11. madde kişiye verisinin işlenip işlenmediğini öğrenme ve bilgi talep etme hakkı verir. Misafirin okuyabileceği bir dille yazılmış not, daha iyi yazılmış nottur. Ön büroya bu konuşma için kısa bir prosedür verin: kim yanıt verir, neyi teyit edebilir, talep ne zaman veri koruma sorumlunuza ya da hukuk müşavirinize gider.

Saklama süresini amaca bağlayın: örneğin bakiye ödenene ya da alacak zamanaşımına uğrayana kadar; sonra silin. 4. madde verinin yalnızca amacın gerektirdiği süre kadar saklanmasını ve doğru olmasını ister. Not alanını ön büro müdürü ve üzeriyle sınırlayın, kimin açtığını kayda geçirin; pazarlama segmentlerinden, teklif listelerinden ve misafir uygulamasından uzak tutun. Notu, satışın teklif için kullandığı genel misafir geçmişine katmayın: bu, amacı sessizce değiştirir ve dayandığınız dengeyi bozar. Süreleri ve erişim kurallarını kendi durumunuz için bir hukuk müşaviriyle teyit edin. Saklama sürelerinin bütününü saklama ve imha tablosuyla planlayabilir, KVKK'nın oteldeki diğer yükümlülükleri için otellerde KVKK rehberine bakabilirsiniz.

Otel grupları: tesisler tek liste tutabilir mi?#

Ancak veri sorumlusunun kim olduğunu söyleyebiliyorsanız. Bir gruptaki birden çok tüzel kişilik ayrı veri sorumlusudur ve aralarında geçen not, iç not değil, veri aktarımıdır.

Tek şirketin işlettiği birkaç otel tek veri sorumlusudur ve amaç ile erişim kuralları tesisler arasında aynı olduğu ve misafirler bilgilendirildiği sürece tek bir iç kayıt tutabilir. Tek marka altındaki birkaç şirket farklıdır: her biri kendi veri sorumlusudur. Misafir notunun aralarında taşınması kendi hukuki dayanağını ister ve dayanak gerçekten uymalıdır: bir bilgilendirme, gerektiğinde açık rıza ya da durumu gerçekten kapsayan bir sözleşme ya da hukuki yükümlülük dayanağı.

Merkezi bir sistem tesislerin birbirinin notlarını görüyorsa bu, ortak veri sorumluluğuna yaklaşır: düzenlemeyi yazılı hale getirin ve misafir başvurusuna kimin yanıt vereceğine karar verin. "Markamızın hiçbir otelinde konaklatılmaz" gibi grup genelinde bir işaret en zor durumdur, çünkü konaklamaya erişim hakkındaki misafir menfaati, genel bir marka menfaatine karşı ağır basar. Not, yanıtlanabilecek kadar somut olmalıdır.

İşareti süre ve kapsamda dar tutun: hangi tesisler, ne zamana kadar, hangi kayıtlı olgulara dayanarak. İşaret konduğunda misafire sade bir dille haber verin ve itiraz yolu bırakın; sessiz bir işaret, Kurul'un eleştirdiği olay örgüsünün ta kendisidir. Özelliği açmadan önce, şikâyet gelmeden önce, tüzel kişilikleri bir avukatla haritalandırın.

Oteller arası kara liste neden paylaşılamaz?#

Çünkü paylaşılan otel kara listesi, Kurul'un reddettiği uygulamanın ta kendisidir: sayısı bilinmeyen işletmeye, haber verilmeksizin ve düzeltme imkânı olmadan taşınan isimler.

Bir WhatsApp grubu, ortak bir elektronik tablo ve ortak yazılımdaki bir kara liste modülü aynı mekanizmadır: misafirin haberi olmadan, verinin diğer veri sorumlularına açılması. Gruptaki her otel ayrı bir veri sorumlusudur. Misafir verisinin kimde olduğunu öğrenemez; bu da Kurul'un adını koyduğu 11. madde sorunudur. 5. maddedeki hiçbir şart tam olarak yerine oturmaz: hukuki yükümlülük değildir, misafirin hiç rezervasyon yapmadığı bir otelle sözleşme ifası değildir; meşru menfaat ise veri kendi işletmenizden çıktığı anda denge testini geçemez.

Grup yöneticileri ve yazılım tedarikçileri, listeyi kullanan otellerle ortak veri sorumlusu olur; tıpkı karardaki kiralama firmaları ve yazılım sağlayıcıları gibi. Pratik risk gerçektir: hatalı bir kayıt misafirin bir rezervasyonunu kaybetmesine yol açabilir ve misafirin şikâyet yolu vardır; ayrıca kanıtlayamayacağınız bir isnadı yineleme riskini taşırsınız. Aynı çözümleme, e-postayla dolaşan "konaklatmama" listelerine ve bir destinasyon ya da dernek platformu içindeki paylaşılan listelere de uygulanır. Misafir ne tuttuğunuzu sorduğunda, doğaçlama bir yanıt değil, bir prosedürle yanıtlayın.

Kara listenin yerine ne kullanılabilir?#

Riski paraya ve yazılı koşullara taşıyın; bunları bir kişi hakkında hüküm tutmadan uygulayabilirsiniz.

Girişte, odaya ve konaklama süresine göre boyutlandırılan ve çıkışta serbest bırakılan bir teminat ya da kart ön provizyonu, misafirle ilgili hiçbir kayıt tutmadan hasar ve minibar riskini karşılar. Kurumsal ve acente rezervasyonlarında ödeme garantisi, misafirin rezervasyon anında kabul ettiği yazılı iptal ve gelmeme politikasıyla birlikte, ödenmeyen hesap durumunu çözer. Sonucu belirtilmiş kurallar, rezervasyondan önce ve girişte bir kez daha gösterilmek koşuluyla, personele işaret edebileceği kişisel olmayan bir dayanak verir. Bunları kısa ve somut cümleler halinde yazın ve misafirin gerçekten baktığı yerde gösterin: rezervasyon sayfası, onay e-postası ve giriş ekranı. Nasıl yazılacağını otel kuralları rehberinde bulabilirsiniz.

Grup ve etkinliklerde, hasarı ve davranışı kapsayan, düzenleyenin elinde imzalı bir sözleşme, listedeki bir isimden güçlüdür. Risk davranışsal ve güncelse, kalıcı bir kayıt yazmak yerine ön büro müdürünü sözlü bilgilendirin. Olay kaydını rezervasyona bağlı tutun, belirlediğiniz saklama süresi içinde kalsın ve yalnızca o rezervasyonun talebi için kullanın. Sigorta ve yazılı bir hasar prosedürü, sonucu bir kişiyle ilgili karardan çıkarıp süreç haline getirir.

Şimdi ne yapmalı#

Bu hafta misafir notu kuralınızı yazın: tek cümlelik amaç, izin verilen alanlar, kimler görebilir, ne kadar kalır, misafire nasıl haber verilir. Sonra ekibinizin üye olduğu bütün paylaşılan listeleri çıkarın ve isimleri diğer otellere aktaranlardan ayrılın. Araç kiralama kararı bir akıl yürütmedir, otel kuralı değil; uygulama sertleşmeden önce kendi durumunuzu bir avukatla teyit ettirin.