Otel kayıtları ne kadar saklanır? Saklama ve imha tablosu hazırlamak

Kişisel veri saklama ve imha politikası, her kaydın ne kadar süreyle tutulacağını ve süresi dolduğunda nasıl yok edileceğini yazıya döken kuraldır. Kanun bazı süreleri belirler: defter ve belgeler beş yıl, konaklama belgeleri bir yıl, konaklama kayıt defterleri beş yıl, sosyal güvenlik kayıtları on yıl. Kalanı otel belirler ve en geç altı ayda bir imha döngüsüyle uygular.

Resepsiyonda geçen hafta ayrılan bir misafirin kâğıt konaklama belgesi, muhasebede aynı konaklamanın faturası duruyor. İkisi de aynı kişiye ait kayıt, ikisini tutmak da hukuka uygun; ama kanun ikisine farklı ömür veriyor. Otelin bunun "neden"ini gösterebilmesi gerekiyor. Yazının sonunda kayıt türlerinizi listeleyebilecek, her birine doğru yasal süreyi ekleyebilecek, kalanlara yazılı bir gerekçeyle süre belirleyebilecek ve iki yükümlülüğün de yerine getirildiğini kanıtlayan imha düzenini kurabileceksiniz.

Oteller neden çok saklar ya da çok siler?#

Çünkü iki yükümlülük zıt yönlerde çeker: bazı kayıtları başka bir kanun gereği tutmak, amacı gerçekleşen kişisel veriyi tutmayı bırakmak. İkisinden yalnızca birini seçen otel, bir yönde hatalıdır.

Her şeyi sonsuza dek saklamak da bir karardır ve hukuki bir gerekçe ister. "Bir gün işe yarar" gerekçe değildir; eski belgelerle dolu bir depo, sessizce büyüyen bir risktir. Çıkışta her şeyi silmek ise gizlilikle ilgisi olmayan yükümlülükleri ihlal eder: vergi, kimlik bildirimi ve sosyal güvenlik, her biri bir kaydın belirli süre var olmasını ister.

Kararın birimi kayıt türüdür; otel de değildir, misafir de. Tek bir misafir bir hesap, bir fatura, bir konaklama belgesi, bir kamera görüntüsü ve belki bir pazarlama izni üretir; her birinin ömrü ayrıdır. Ömrü biten bir kayıt silinebilir, yok edilebilir veya anonimleştirilebilir; seçim önemlidir, çünkü anonimleştirilmiş veri istatistik için hâlâ kullanılabilir, silinmiş veri kullanılamaz.

Her kayıt türü için pratik sınama şudur: onu tutmamızı gerektiren metni ya da gerekçelendiren amacı adlandırın. İkisini de adlandıramıyorsanız, o kaydın var olma nedeni yoktur. Yanıtı yazın: yalnızca müdürün aklında yaşayan bir saklama kararı, bir sonraki müdür tarafından tekrarlanamaz ve kimseye gösterilemez.

Bu sınamanın dayandığı geniş gizlilik yükümlülükleri otellerde KVKK: aydınlatma metni, açık rıza ve saklama süreleri yazısında ele alınıyor.

Bir otel gerçekte hangi kayıtları tutuyor?#

Otel yönetim sisteminin gösterdiğinden fazlasını. Süre, ancak adını koyduğunuz bir kayda bağlanabilir; dolayısıyla envanter tablodan önce gelir.

Kayıtları yaşadıkları yere göre gruplayın: otel sistemi, muhasebe sistemi, resepsiyondaki kâğıtlar, kamera kayıt cihazı, insan kaynakları dosyası, pazarlama aracı. Sonra sistemin dışındaki kopyaları arayın: elektronik tablolar, defterler, gece müdürünün masaüstündeki bir klasör, personel telefonundaki mesajlar. Kopya da kayıttır.

Sizin adınıza tutulan kayıtları da sayın. Yazılım sağlayıcınız, mali müşaviriniz, bordro servisiniz ve pazarlama ajansınız otel verisi tutar. Kimsenin aklına gelmeyenleri de ekleyin: kayıp eşya defteri, kart teslim kayıtları, olay tutanakları, misafir istek notları, rahatsız edilmemek isteyen misafir listeleri.

Her tür için içeriğini, süreyi kimin belirlediğini ve her kopyanın nerede durduğunu not edin. Son sütun, otellerin çoğunun unuttuğu ikinci kopyayı keşfettiği yerdir.

Türk hukuku hangi süreleri belirliyor?#

Burada anılan metinler defter ve belgelere, konaklama belgeleri ve defterlerine, sosyal güvenlik kayıtlarına süre koyar. Her süre kendi başlangıç noktasından işler ve otellerin yanıldığı yer tam olarak bu başlangıçtır.

213 sayılı Vergi Usul Kanunu'nun 253. maddesi, defter tutmakla yükümlü olanların defter ve belgelerini ilgili oldukları yılı izleyen takvim yılının başından itibaren beş yıl saklamasını öngörür; metin için Mevzuat Bilgi Sistemi'ndeki kanun metnine (yeni sekmede açılır) bakılabilir. Örneğin 2026 yılına ait bir belgenin süresi 2031 yılının sonunda dolar. Aynı kanunun 240. maddesi, konaklama yerlerinden oda ve yatak planına uygun, müteselsil seri ve sıra numaralı, oda numarasıyla birlikte müşterinin adını, soyadını ve oda ücretini gösteren günlük müşteri listeleri düzenlemesini ister. O günlük liste bir belgedir; beş yıllık kural ona da ulaşır.

Kimlik Bildirme Yönetmeliği kendi sürelerini 24. maddede belirler. Konaklama belgesi (Form 8) bir yıl, konaklama yeri kayıt defteri (Form 7) beş yıl saklanır; süreler belgenin düzenlendiği veya defterin dolduğu yılı izleyen takvim yılından başlayarak işler ve kayıtlar sorumlu işleticinin sorumluluğu altında tesiste tutulur; konsolide yönetmelik metni (yeni sekmede açılır) mevcuttur. Aynı madde devirleri de düzenler: süreler içinde sorumlu işletici değişirse belgeler ve defterler yeni işleticiye geçer; tesis kesin olarak kapanırsa en yakın yetkili genel kolluk birimine hemen verilir ve kalan süre orada saklanır.

1. madde daha dar bir durumu kapsar: adına kâğıt kimlik bildirme belgesi düzenlenmiş bir çalışan veya tesiste barınan kişi ayrıldığında tesis, kolluğa verilmek üzere ayırdığı zımbalı kısma ayrılış tarihini yazar; kolluk görevlisinin imzalayarak geri verdiği zımbalı kısmı, kendisinde kalan belge örneğiyle birlikte üç yıl saklar. Ek 1. maddeye göre elektronik ortamda bildirilen kayıtlar genel kolluk kuvvetlerinin sisteminde beş yıl tutulur ve otomatik olarak silinir; bu, kolluğun sistemidir, otelde tutulan bir dosya değildir ve otelin kendi yükümlülüklerini ortadan kaldırmaz. 1774 sayılı Kanunun kendisi konaklama kayıtları için süre belirlemez; üç yıllık süresi kiralanan araçların konum kayıtlarına ilişkindir. Yönetmeliğin Ek 3. maddesi ayrıca Vergi Usul Kanunu ve Türk Ticaret Kanunu'ndaki saklama yükümlülüklerini saklı tutar; gizliliğe dayalı bir silme, vergi yükümlülüğünü asla geçersiz kılmaz.

İş hukuku tarafında, 5510 sayılı Kanunun 86. maddesi işveren ve işyeri sahiplerinden işyeri defter, kayıt ve belgelerini ilgili olduğu yılı izleyen yılın başından itibaren on yıl saklamasını ister; SGK memurları istediğinde belgeler on beş gün içinde ibraz edilir, kamu idareleri için süre otuz yıldır; konsolide kanun metni (yeni sekmede açılır) mevcuttur. 4857 sayılı İş Kanunu'nun 75. maddesi her işçi için kimlik bilgilerini ve düzenlenmesi gereken belgeleri içeren bir özlük dosyası ister ama saklama süresi belirlemez; süre bu yüzden başka bir metinden ya da otelin kendi politikasından gelir.

Hangi süreleri otel kendisi belirliyor?#

Hiçbir metnin kapsamadığı her kayıt için süreyi otel belirler ve gerekçesini tek cümleyle açıklayabilmelidir. Gerekçesiz süre bir tahmindir ve denetimin sınamaya çalıştığı şey tam da tahmindir.

Kamera kayıtları en açık örnektir: burada anılan hiçbir metin süre belirlemez, kararı otel verir. Süreyi amaca bağlayın, örneğin bir olayın genelde kaç günde ortaya çıktığına ve kayıt cihazının gerçekte ne kadar görüntü tutabildiğine. Karar politikaya yazılır, güvenlik firmasıyla yapılan bir konuşmaya değil. Kameralarla gelen bildirim ve yerleşim yükümlülükleri otelde güvenlik kamerası ve KVKK kontrol listesi yazısında ele alınıyor.

Pazarlama izinleri ikiye ayrılan bir muamele ister. İznin geri çekilmesiyle, ilgili kişiyi pazarlama için kullanmayı bırakın; ama iznin bir zamanlar var olduğunun kanıtını ve geri çekme kaydının kendisini tutun. O kayıt yoksa, daha önce gönderdiğiniz mesajların hukuka uygun olduğunu gösteremezsiniz. Misafir tercih notlarının her biri bir amaca bağlanmalıdır: konaklama sırasındaki hizmet ya da tekrar gelen misafiri tanımak gibi. Amacı olmayan not, otelde silmenin en kolay savunulabileceği şeydir.

İşe alınmayan adayların özgeçmişleri ve rezervasyona dönüşmeyen talepler genelde gözden kaçar; kısa ve yazılı bir süre vermesi en kolay kayıtlar bunlardır. Tek bir etkinlik için üretilen kayıtlar, örneğin bir düğün listesi ya da bir grubun oda dağılım listesi, etkinlikle birlikte ve muhasebe yükümlülüğü ne gerektiriyorsa onunla biter; otelin genel alışkanlığıyla değil. Hangi süreyi seçerseniz seçin, yanına tabloda gerekçesini yazın. Gerekçe, süreyi bir tercihten bir karara dönüştüren şeydir.

Kişisel veri saklama ve imha politikasını kim hazırlamak zorunda, içinde ne olmalı?#

VERBİS'e kayıt olmakla yükümlü veri sorumluları, kişisel veri işleme envanterine uygun bir politika hazırlar. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (İmha Yönetmeliği) (yeni sekmede açılır)'nin 6. maddesi asgari içeriği sayar.

Yönetmeliğin 5. maddesi yükümlülüğü, 6698 sayılı Kanunun 16. maddesi gereği VERBİS'e kayıt olmakla yükümlü veri sorumlularına bağlar. Politikanın hazırlanmış olması, verilerin kurallara uygun saklandığı veya imha edildiği anlamına gelmez; işin uygulanışı belirleyicidir. Politika hazırlama yükümlülüğü olmayan veri sorumlularının saklama, silme, yok etme ve anonimleştirme yükümlülükleri de sürer. Politika bir belgedir, yükümlülüğün kendisi değildir.

Belirli bir otelin kayıt zorunda olup olmadığı, Kurulun istisna ölçütlerine bağlıdır ve bu ölçütler birden çok kez değişti. Kurulun 19.07.2018 tarihli ve 2018/87 sayılı kararı iki kez değişti; 06.07.2023 tarihli ve 2023/1154 sayılı karar bilanço sınırını 100 milyon TL'ye çıkardı; 04.09.2025 tarihli ve 2025/1572 sayılı karar ikinci bir istisna grubu ekledi; 25.12.2025 tarihli ve 2025/2393 sayılı karar ölçütlerin birlikte nasıl esas alınacağını belirledi. Değişik haliyle istisna, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan, yıllık çalışan sayısı 50'den ve bilançosu 100 milyon TL'den az veri sorumlularını; ayrıca ana faaliyet konusu özel nitelikli veri işleme olan, çalışan sayısı 10'dan ve bilançosu 10 milyon TL'den az veri sorumlularını kapsar. Kayıt sorunu oteller VERBİS'e kayıt olmak zorunda mı? yazısında ayrıca ele alınıyor.

Politika işleme envanterinden kurulur; dolayısıyla envanter önce gelir. Envantersiz yazılan politika, var olmayan bir oteli tarif eder. Politikada adı geçen kişiler süreler kadar önemlidir: 6. madde, saklama ve imha süreçlerinde yer alan herkesin unvanını, birimini ve görev tanımını ister.

Periyodik imha pratikte nasıl yürür?#

Politikanın belirlediği aralıkla ve bu aralık hiçbir durumda altı ayı geçemez. Politika yükümlülüğü olmayan veri sorumlusu, yükümlülüğün doğduğu tarihi izleyen üç ay içinde işlemi yapar.

Yönetmeliğin 11. maddesine göre politikası olan veri sorumlusu, imha yükümlülüğünün doğduğu tarihi izleyen ilk periyodik imhada verileri siler, yok eder veya anonim hâle getirir. Aralığı politika belirler; altı ay üst sınırdır, hedef değil. 7. madde, her silme, yok etme ve anonimleştirme işleminin kayıt altına alınmasını ve kayıtların en az üç yıl saklanmasını ister. Kayıt, bir rutini kanıtlanabilir bir şeye dönüştüren şeydir.

Yöntemi kayıt türüne göre seçin: sistemde silme, kâğıt için fiziksel yok etme, verinin hâlâ analiz değeri varsa anonimleştirme. Yönetmelik bunları üç ayrı işlem olarak ele alır. Yedeğin içinde kaydı bırakan bir silme bitmiş değildir: yedeklerin aynı döngüde nasıl ele alındığına karar verin ve geri yükleme yolunun kaydı sessizce geri getirmediğini sınayın. Yedekleme tarafı otelde veri yedekleme yazısında ele alınıyor.

Rutine adı yazılmış bir sahip ve imza atan ikinci bir kişi verin. Politika unvanları ve birimleri zaten sayıyor; rutin de aynı adlarla eşleşmeli. İmha kaydını politikanın yanında tutun, tek bir kişinin bulabildiği bir klasörde değil. İstenecek ilk şey odur.

Tablo tek sayfada nasıl görünür?#

Kayıt türü başına bir satır, beş sütun, her satırda adı yazılı bir sorumlu ve kanunun zaten vermediği her satırda bir gerekçe.

Tablo, bir ön büro müdürünün gerçekten kullanacağı parçadır; tek sayfada tutun ve dili sade tutun. Satırları alfabetik değil, kaydın yaşadığı yere göre sıralayın: insanlar elindeki kaydı arar. Her satırda bir "başlangıç" sütunu gerekir, çünkü olaydan itibaren beş yıl ile ertesi yılın başından itibaren beş yıl farklı tarihlerdir. Her satırda bir bitiş eylemi gerekir: sil, yok et, anonimleştir veya devret. Unutulan satırlar devir satırlarıdır.

Bir sistem değiştiğinde tabloyu gözden geçirin. Yeni bir araç yeni bir kayıt türü doğurur ve satırı olmayan kayıt türü, süresi olmayan kayıt türüdür.

Şimdi ne yapmalı#

Bu hafta envanterden tek bir kayıt türü alın, yanına metni ya da amacını yazarak satırını tamamlayın ve sayfa dolana dek tekrarlayın. İki yükümlülük yazıya geçince birbirine uyar: kanun önemsediği süreleri verir, otel kalanını bir gerekçeyle belirler ve imha döngüsü ikisinin de uygulandığını kanıtlar. Yazılım tarafında, AI Otel'in otel işletim sisteminde KVKK açık rızası, veri dışa aktarımı ve saklama süreleri veri modelinin içine kuruldu; sistem geliştirildi ve lansman öncesi aşamada. Politika ve imha düzeni otelin kendi işi olarak kalır. Konunun kendi sistemlerinize nasıl oturduğunu konuşmak isterseniz görüşme talep edin.