Otel personeli için gizlilik taahhüdü: neler yazılır, kanun zaten ne der?

Türkiye'de 6698 sayılı Kanun'un 12. maddesi, kişisel veri işleyen herkesin veriyi hukuka aykırı olarak başkasına açıklamasını ve işleme amacı dışında kullanmasını zaten yasaklıyor; bu yükümlülük görevden ayrıldıktan sonra da sürüyor. Otel personeli gizlilik taahhütnamesi bu yükümlülüğü yaratmaz. Taahhütname veriyi, izinli kullanımı, erişim sınırını ve çıkış adımını adlandırır ve kişinin bilgilendirildiğini kayda geçirir.

Girişte misafirin kimlik kartı fotoğraflanır, bir kâğıda oda numarası yazılır, vardiya değişene kadar masada bir ödeme fişi durur. Bunların her birine dokunan kişi ilk sabah bir gizlilik taahhütnamesi imzalar; genellikle başka bir otelden kopyalanmış bir paragraf. Ve o paragraf, misafiri koruyan şey değildir. Bu yazı önce kanunun zaten ne istediğini okuyor, sonra bunu kullanabileceğiniz bir şeye çeviriyor: hangi rollere taahhütname gerekir, metinde ne yazmalı, işi asıl yapan erişim sınırı ve çıkış adımı nedir, bunu nasıl öğretip nasıl denetlersiniz.

12. madde bir otelden zaten ne istiyor?#

6698 sayılı Kanun'un, Türkiye'nin kişisel verilerin korunması kanunu (KVKK) olan 12. maddesi iki yükümlülüğü aynı yerde toplar: otel, uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almak zorundadır ve veriye dokunan hiç kimse veriyi hukuka aykırı olarak açıklayamaz, işleme amacı dışında kullanamaz (Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, Kişisel Verilerin Korunması Kanunu No. 6698).

Güvenlik yükümlülüğü veri sorumlusunun, yani otelin üzerinedir; çalışanın değil. Tedbirler, verilerin hukuka aykırı işlenmesine, hukuka aykırı erişilmesine ve kaybolmasına karşı korunmayı kapsar. Açıklamama yükümlülüğü ise iki ayrı eylemi kapsar: veriyi kanuna aykırı olarak başkasına açıklamak ve işleme amacı dışında kullanmak. İkincisi, kişi kimseye bir şey söylemeden de ihlal edilebilir; örneğin özel bir nedenle bir misafirin telefon numarasına bakmak.

Aynı madde, yükümlülüğün görevden ayrıldıktan sonra da devam ettiğini söyler. Yani işten sonraki dönem, taahhütnamenin icat etmesi gereken bir boşluk değildir. Öte yandan tek başına imzalı bir sayfa az şey kanıtlar: otel, denetlediğini gösterebilmelidir. Taahhütnamenin eklediği şey somutluktur. Veriyi, rolü, izinli kullanımı, bildirim yapılacak kişiyi ve çıkış adımını adlandırır; genel bir yükümlülük, bir çalışanın izleyebileceği ve bir yöneticinin örneklemle denetleyebileceği bir şeye dönüşür.

Taahhütnamenin yapamayacağı da en az yapabildiği kadar önemlidir. Otelin sorumluluğunu çalışana devredemez; erişim kontrolünün, kayıt tutmanın veya eğitimin yerini tutamaz. Metninizi yeniden yazmadan önce maddeyi hukuk danışmanınızla birlikte okuyun; bu bölüm bir okumadır, hukuki tavsiye değildir.

Hangi rollere gizlilik taahhütnamesi gerekir?#

Misafirin kimlik, iletişim, ödeme veya konaklama bilgisini görebilen her role.

Resepsiyon ve rezervasyon en geniş veri setini görür: kimlik bilgileri, telefon numarası, oda numarası, fiyat ve ödeme yöntemi, çoğu zaman tek bir ekranda. Kat hizmetleri oda durumunu görür ve bir odanın dolu olması başlı başına kişisel veridir; personel ayrıca misafirin masada bıraktıklarını da görür. Gün sonu ve muhasebe faturaları, kart fişlerini ve günün ödeme kayıtlarını ele alır. Restoran, bar ve spa personeli bir harcamaya misafirin adını iliştirir ve çoğu zaman yanında oda numarasını görür.

Satış ve grup birimleri grup listelerini ve kurumsal bağlantıları tutar; bilişim ve bakım sistem erişimini elinde tutar, yazıcıyı tamir etmeye gelen kişi dahil. Sezonluk personel, yarı zamanlı çalışanlar ve stajyerler daimi personelle aynı taahhütnameyi imzalar, kendi işe başlangıç tarihleriyle. Dış kaynaklı temizlik şirketleri, yazılım entegratörleri ve kapı kilidi teknisyenleri otelin çalışanı değildir: firmayla veri işleyen sözleşmesi yapılır, firmanın personeli kendi gizlilik hükümlerine tabi olur. Aday CV'leri gibi personel tarafındaki verilerde de aynı mantık geçerlidir; ayrıntılar için otel personeli ve KVKK: CV'ler, çalışan aydınlatma metni ve gizlilik taahhüdü yazısına bakabilirsiniz.

Taahhütname aslında ne demeli?#

Ağırlığı altı madde taşır: hangi veriler kapsanır, veriyle ne yapılamaz, kim görebilir, hata nasıl bildirilir, son gün ne olur ve yükümlülük orada bitmez.

Kapsamı kategoriyle yazın, rolün dokunduğunu adlandırın: kimlik, iletişim, ödeme, konaklama, şikâyet notları. "Tüm bilgiler" yazmayın; bu hiçbir şeyi adlandırmaz. Yasak eylemleri durum olarak yazın: aile, arkadaş, basın veya diğer misafirlerle paylaşılmaz; özel amaçla kullanılmaz; kişisel telefona, deftere, e-posta adresine veya mesajlaşma uygulamasına kopya alınmaz. Erişim kuralını belirtin: yalnızca rolün gerektirdiği kadar, kişinin kendi kullanıcı girişiyle; asla ortak hesapla.

Bildirim maddesi ekleyin: adı yazılı bir kişi ve kaybolan telefon, yanlış adrese giden bir e-posta veya görmemesi gereken birinin gördüğü bir kayıt için basit bir yol. Çıkış adımlarını ekleyin: cihaz ve anahtarlar teslim edilir, kişisel kopyalar silinir, son günden önce yazılı teyit alınır. Süren yükümlülüğü düz bir dille yazın ve ihlalin iç sonucunu belirtin; ceza tutarlarını başka bir otelin metninden kopyalamayın, ifadeyi danışmanınıza kontrol ettirin. Biçimi pratik tutun: Türkçe, sade dil, tek sayfa artı rol eki, imzalı ve tarihli, çalışana bir kopyası verilmiş ve hangi metnin imzalandığını bilmenizi sağlayan bir sürüm numarası.

Bir misafir kaydını kim görebilir ve erişim nasıl kayda geçer?#

Erişim vardiyayı değil rolü izlemeli: herkes kendi kullanıcı girişini kullanır, işin gerektirdiği alanları görür ve sistem hangi kaydın kim tarafından ne zaman açıldığını yazar.

Ortak bir "resepsiyon" girişi, erişim kaydını işe yaramaz hale getirir ve taahhütnameyi uygulanamaz kılar; çünkü kimin baktığını kimse söyleyemez. Personelin ihtiyaç duymadığı ekranlarda kimlik numaralarını ve kart bilgilerini maskeli gösterin, misafir listesini resepsiyondaki yazıcıdan uzak tutun. Erişim kaydını düzenli aralıklarla ve her şikâyetten sonra inceleyin; yalnızca bir şey ters gittiğinde değil. Telefon sınavını uygulayın: arayan kişi adı verilen birinin kalıp kalmadığını sorduğunda yanıt yazılı bir politikadan gelir, telefonu açanın anlık kararından değil; ayrıntılar için "Eşim sizde mi kalıyor?" Misafir bilgisi kime verilir yazısına bakabilirsiniz. Kamera görüntüleri ve kapı kilidi kayıtları da kişisel veridir; aynı erişim kuralı onlara da uygulanır. Her şeyi görebilen birinin imzaladığı taahhütname hiçbir şeyi korumaz; işi yapan kısım erişim sınırıdır.

İşten ayrıldıktan sonra da yükümlülük sürüyor mu?#

Evet. 12. madde, açıklamama yükümlülüğünün görevden ayrıldıktan sonra da devam ettiğini belirtir; taahhütname de aynı şeyi söylemeli ve otel son gün bunun gereğini yapmalıdır (Cumhurbaşkanlığı Mevzuat Bilgi Sistemi, Kişisel Verilerin Korunması Kanunu No. 6698, 11 Kasım 2026).

Sistem girişlerini ve e-posta hesabını son çalışma gününde kapatın, biri hatırlayınca değil. Anahtarları, kartları, cihazları ve isim kartlarını toplayın, kişisel kopyaların silindiğini yazılı olarak teyit edin. Orijinal taahhütnameye atıf yapan ve süren yükümlülüğü tek paragrafla yineleyen kısa bir çıkış imzası isteyin. İmzalı taahhütnameyi göstermeniz gerekebileceği süre boyunca dosyada tutun; süreyi başka bir otelden kopyalamak yerine danışmanınıza doğrulatın; kayıt tarafı için otel kayıtları ne kadar saklanır? Saklama ve imha tablosu yazısına bakabilirsiniz.

Sık görülen başarısızlıklar sıkıcı olanlardır: üç hafta geç kapatılmış bir hesap, personel mesaj grubunda kalmış eski bir çalışan, içinde misafir dışa aktarım klasörü duran geri verilmiş bir dizüstü bilgisayar. Eski bir çalışan bir misafir fotoğrafı yayınlarsa yol şudur: durdur, belgele, danışmanını ara; kamuya açık yerde pazarlık etmeyin.

İşe başlangıçta nasıl öğretilir ve izlendiği nasıl denetlenir?#

Personelin gerçekte karşılaştığı durumlarla öğretin, sonra bir imza daha değil, örneklemeyle denetleyin.

İşe başlangıçta dört senaryo ve kısa bir sınavla geçirilen on dakika, sessizce okunan bir sayfadan daha işe yarar; yılda bir kez ve her olaydan sonra yineleyin. Yöneticinin denetimi bir örneklemedir: ayda beş misafir kaydı, kim açmış, ortak girişler var mı, ayrılanların hesapları kapanmış mı. Eğitimi ve denetimi kayda geçirin; tedbirin alındığını gösteren şey kaydın kendisidir. Bir ihlal olduğunda önce durdurun, sonra belgeleyin, sonra danışmanınızı arayın; resepsiyonda doğaçlama bir yanıt vermeyin. Senaryoları güncel tutun: otel bir mesajlaşma kanalı veya yeni bir sistem eklediği anda durumlar değişir. Oteliniz yapay zekâ asistanlarını değerlendiriyorsa danışmanınıza sorulacak sorular da benzerdir; yapay zekâ ve misafir verisi: KVKK danışmanınıza sorulacak sorular yazısına bakabilirsiniz.

Şimdi ne yapmalı#

Bugün kullandığınız paragrafı alın, altı madde ve rol tablosunun yanına koyun ve tek başına kapsayamadığı erişim ve çıkış adımlarını düzeltin. Sonra son metni bir hukukçuya bir kez okutun. Taahhütname böylece yapabileceği işi yapar: kanunun zaten koyduğu bir yükümlülüğü, bir kişinin izleyebileceği ve bir yöneticinin denetleyebileceği bir şeye çevirir.