Otel personeli ve KVKK: CV’ler, çalışan aydınlatma metni ve gizlilik taahhüdü

Bir otel, iş başvurusu yapanlara ve çalışanlarına, misafirlerine gösterdiği aydınlatma yükümlülüğünün aynısını borçludur: veri sorumlusunu, amaçları, aktarımları, toplama yöntemini ve hukuki sebebi sayan, kişinin haklarını da içeren bir metin, veriler ilk toplandığı anda verilir. İşe alınmayanların CV’leri ancak yazılı bir amaç sürdüğü sürece tutulabilir.

Her bahar bir sezonluk otel birkaç yüz CV alır ve hazirana gelindiğinde kimse hangilerinin imha edildiğini, nerede saklandığını ya da klasörü kimin açtığını söyleyemez. KVKK’nın misafir tarafı ilgi görür; dosyaların gerçekten yığıldığı yer personel tarafıdır. Bu yazı aday aydınlatma metnini, KVKK’nın gerektirdiği çalışan aydınlatma metnini, sağlık raporlarını, erişim kurallarını ve çıkış sürecini ele alıyor. Okuduktan sonra kendi personel verisi izini bir öğleden sonra denetleyebilirsiniz.

Bir otel gerçekte hangi personel verilerini tutar?#

Misafir tarafının ima ettiğinden fazlasını: bir otel her aday ve her çalışan için kimlik, iletişim, banka, sağlık ve performans verisi işler ve her setin kendi amacı, kendi okuyucusu vardır.

Adaylar, herhangi bir sözleşme var olmadan önce CV, bazen ön yazı ve referans, çoğu zaman da kimlik fotokopisi ya da sağlık raporu verir. Çalışanlar buna kimlik ve adres, IBAN, SGK bildirimi, acil durum kişisi, imzalı sözleşme, izin kayıtları, puantaj, performans notları ve varsa disiplin dosyasını ekler. Sağlık verisi işe giriş muayenesinden, periyodik muayeneden, işyeri hekiminden ve raporlardan gelir; özel nitelikli veridir ve ayrı bir dosyada durmalıdır.

Tümünü kapsayan bir hukuki tavan vardır. Türk Borçlar Kanunu’nun 419. maddesi (yeni sekmede açılır) uyarınca işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili olduğu veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir; özel kanun hükümleri saklıdır (Mevzuat Bilgi Sistemi, 07.11.2026). Bu bir tavandır, kuralın tamamı değil.

Pratik denetim: her veri seti için amacı tek cümleyle yazın. Yazamıyorsanız, o veriyi büyük olasılıkla tutmamanız gerekir.

İş başvurusu yapanlara verilecek metin ne demeli?#

Her KVKK aydınlatma metninin gerektirdiği aynı beş unsur, CV’yi topladığınız anda, sözleşme aşamasını beklemeden verilerek.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’in 4. maddesi (yeni sekmede açılır) (Resmî Gazete 10.03.2018, sayı 30356; 28.04.2019, sayı 30758 ile değişik) asgari olarak şunları arar: veri sorumlusunun ve varsa temsilcisinin kimliği; işleme amacı; verilerin kimlere ve hangi amaçla aktarılabileceği; toplama yöntemi ve hukuki sebep; ilgili kişinin 6698 sayılı Kanun’un 11. maddesindeki diğer hakları (Kişisel Verileri Koruma Kurumu, 04.11.2026).

Aynı Tebliğin 5. maddesi işleyiş kurallarını ekler. Aydınlatma, işleme açık rızaya ya da Kanundaki başka bir şarta dayansın yapılmalıdır. İlgili kişinin talep etmesi beklenmez ve verildiğinin ispatı veri sorumlusuna aittir. Aydınlatma ile açık rızanın alınması ayrı adımlardır. Ayrıca amaçlar belirli, açık ve meşru olmalı, ifadeler genel ve muğlak olmamalıdır. Hangi hukuki sebebe dayandığınızı 5. veya 6. maddede belirtin ve verilerin tamamen veya kısmen otomatik yollarla mı, yoksa veri kayıt sisteminin parçası olarak otomatik olmayan yöntemlerle mi elde edildiğini yazın.

CV kişiden değil bir ajans, bir yönlendirme ya da herkese açık bir profilden geliyorsa Tebliğin 6. maddesi uygulanır: kişi verilerin elde edilmesinden itibaren makul bir süre içinde aydınlatılır; veriler kişiyle iletişim için kullanılacaksa ilk iletişimde, aktarılacaksa en geç ilk aktarım sırasında. Metni adayın elinde kalacak bir biçimde verin, örneğin başvuru sayfasında bir bağlantı ve ayrıca e-postayla bir kopya; sürümü ve tarihi kayıt altına alın. Aynı yapı misafir tarafı için de geçerlidir; bkz. Otellerde KVKK: aydınlatma metni, açık rıza ve saklama süreleri.

İşe alınmadığı kişilerin CV’leri ne kadar tutulabilir?#

Hiçbir metin sabit bir süre öngörmez. Sınır amaçtır: bir CV’yi ancak yazılı olarak belirttiğiniz bir amaç sürdüğü sürece tutabilirsiniz ve o amacın ne zaman bittiğini söyleyebilmelisiniz.

Bir CV’yi gelecek sezon için tutmak meşru bir amaçtır; ama yazılı olmalı, adaya metinde bildirilmiş olmalı ve bir bitiş tarihi almalıdır. Böyle bir amacınız yoksa CV’yi ilan kapanınca imha edin ve imhayı kayda geçirin. Karar, başvuru formunu tasarlarken verilir; klasör dolduğunda değil.

Olağan başarısızlık bir karar değil, birikimdir: ortak bir e-posta kutusu, resepsiyon bilgisayarında bir klasör, İK dolabında bir kutu, CV’lerin iletildiği bir mesaj grubu. İmha kaydında tarih, veri seti, yöntem ve işlemi yapan kişi bulunmalıdır. Olmazsa “sildik” bir iddiadır, kanıt değil. Kayıtların geniş sorusu için bkz. Otel kayıtları ne kadar saklanır? Saklama ve imha tablosu hazırlamak.

Çalışan aydınlatma metni bölüm bölüm ne kapsamalı?#

Aynı beş yasal unsur, istihdam ilişkisine yazılmış biçimde ve her şeyi kapsayan tek paragraf yerine, her veri seti için bir amaç ve bir hukuki sebeple.

Veri sorumlusu, kişiyi istihdam eden işletme şirketidir; adresi ve varsa temsilcisiyle birlikte yazılır. Bir marka adı veri sorumlusu değildir. Amaçları tek tek adlandırın: bordro, SGK bildirimleri, iş sağlığı ve güvenliği, erişim kontrolü, eğitim ve performans. Aktarımları da adlandırın: bordro danışmanı, muhasebeci, banka, iş güvenliği firması, işyeri hekimi ve yazılım sağlayıcıları, her biri aktarım amacıyla birlikte ve kişi değil alıcı grubu olarak.

Hukuki sebebi veri seti bazında belirtin: bordro ve SGK işleri için sözleşmenin ifası ya da yasal yükümlülük; sağlık verisi için 6. maddenin üçüncü fıkrasındaki istihdam ve iş sağlığı ve güvenliği şartı, Kurulun önlemleri alınmış olarak. Dosyayı hangi kanalların beslediğini yazın: formlar, bordro sistemi, puantaj saati, işyeri hekimi. 11. madde haklarını, kimsenin okumadığı genel bir adresle değil, adı konmuş bir başvuru yoluyla listeleyin. Son olarak, amaç değiştiğinde, örneğin performans dosyası disiplin dosyasına dönüştüğünde, işlemeden önce yeni bir aydınlatma yapılması gerektiğini unutmayın.

Sağlık verisi: otel işyeri hekimi raporlarını nasıl ele almalı?#

Sağlık verisi özel nitelikli kişisel veridir: işlenmesi, 6698 sayılı Kanun’un 6. maddesinde sayılan şartlar dışında yasaktır ve oteller normalde istihdam ile iş sağlığı ve güvenliği yükümlülüklerine dayanır; her durumda Kurulun belirlediği yeterli önlemler alınmalıdır.

1. maddenin birinci fıkrası özel nitelikli kategorileri sayar; sağlık bunlar arasındadır. 2 Mart 2024’te kabul edilen 7499 sayılı Kanun ikinci fıkrayı yürürlükten kaldırdı ve üçüncü fıkrayı yeniden yazdı; bu yüzden 6698 sayılı Kanun’un güncel birleşik metnini (yeni sekmede açılır) okuyun (Mevzuat Bilgi Sistemi, 07.11.2026). Şartlar arasında açık rıza, kanunda açık öngörü, hayatın veya beden bütünlüğünün korunması, kişinin alenileştirdiği veriler, bir hakkın tesisi veya korunması, kamu sağlığı ve sağlık hizmetleri, istihdam ile iş sağlığı ve güvenliği yükümlülükleri ve kâr amacı gütmeyen kuruluşların üyelerine ilişkin işlemeleri yer alır. Dördüncü fıkra, Kurulun önlemlerinin her durumda alınması şartını ekler.

Uygulamada sağlık raporlarını genel personel dosyasının içinde değil, ayrı yetkilerle ayrı bir dosyada tutun ve bir raporu departman şeflerine e-postayla göndermeyin. Yöneticinin ihtiyacı olan kararı paylaşın, gece vardiyasına uygun ya da değil; arkasındaki teşhisi değil. İşe giriş muayenesi, periyodik muayene ve rapor üç ayrı belge, üç ayrı okuyucudur. Hangi belgeleri ne kadar tutmak zorunda olduğunuzu işyeri hekiminizle ve danışmanınızla doğrulayın; hekimin kendi görevi için bkz. Otelde iş güvenliği uzmanı ve işyeri hekimi: tehlike sınıfı, süre ve eğitim.

Hangi dosyayı kim açabilir ve ne imzalar?#

Erişim, işlemenin amacını izler, kıdemi değil; misafir ya da personel verisi görebilen herkes, o veriyle ne yapabileceğini söyleyen bir taahhüt imzalar.

Gizlilik taahhüdü kısa ve somut olmalıdır: hangi sistemler, hangi veriler, neye izin var, ne yasak, çıkışta ne olur ve yükümlülüğün iş bitince de sürdüğü. İşe alımda imzalanır, rol değişince yeniden imzalanır. Yıllar önce imzalanıp bir daha el atılmamış genel bir sayfa kimseyi korumaz.

Sessiz risk, kayıtlara yapılan sorgulardır. Bir resepsiyonistin tanınmış bir misafirin rezervasyonunu araması merak değil, veri ihlalidir; bunu taahhütte ve eğitimde açıkça söyleyin. Sistemin izin verdiği yerde kimin neye eriştiğini kaydedin ve bir misafir şikâyet ettiğinde kaydı inceleyin. Bir misafirle ilgili soruları yanıtlamak, dosyayı görmekten ayrı bir karardır ve kendi kuralı vardır; bkz. “Eşim sizde mi kalıyor?” Misafir bilgisi kime verilir. Erişim listesini sezon başında bir kez gözden geçirin: bir otelde roller, belgelerden hızlı değişir.

Bir çalışan ayrıldığında ne kapanır?#

Erişim, son iş gününde kapanır ve açıldığı biçimde: tek liste, tek sorumlu, imzalı tek kontrol.

Hesapları kapatın: otel sistemi, arka ofis, ortak e-posta kutusu, rezervasyon kanalı girişleri ve kişinin kullandığı tedarikçi hesapları. Ortak kanalları kaldırın: yöneticilerin mesaj grubu, paylaşılan bulut klasörü, kişinin oluşturduğu bulut klasörü. Fiziksel öğeleri toplayın: anahtarlar, kartlar, personel dosyası ve kişinin tuttuğu kâğıt CV yığını. Yönlendirmeleri kontrol edin: postayı kişisel bir adrese kopyalayan bir e-posta kuralı, çıkıştan sonra da süren bir sızıntıdır.

İşe alımda imzalanan taahhüt, çıkışı uygulanabilir kılar; ayrılana yazılı olarak hatırlatın. Ayrılan kişinin kendi personel verisi, bordro ve istihdam kayıtlarına uygulanan saklama kuralları altında kalır; süreleri muhasebeciniz veya danışmanınızla doğrulayın ve gerisini imha edin. İmzalı çıkış kontrol listesini dosyada tutun: erişimin kapatıldığının kanıtı odur.

Şimdi ne yapmalı#

Bitirebileceğiniz en küçük setle başlayın: son işe alım turunun CV yığını. Amacını ve bitiş tarihini tek cümleyle yazın, o cümleyi aydınlatma metninde adaylara söyleyin, dışında kalanları imha edin ve imhayı kayda geçirin. Çalışan aydınlatma metni, sağlık dosyası, erişim listesi ve çıkış listesi aynı deseni izler: amacı adlandırın, okuyucuyu adlandırın, bitişi adlandırın.