Otelde kişisel veri ihlali: KVKK bildirimi adım adım

Kişisel veri ihlali, misafirin ya da çalışanın kişisel verilerinin yetkisiz kişilerin eline geçmesi, kaybolması veya açığa çıkmasıdır. 6698 sayılı Kanun, durumu ilgilisine ve Kurula "en kısa sürede" bildirilmesini ister; Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı kararı bu süreyi, öğrenme anından itibaren 72 saat olarak yorumlar. Bu yazı, KVKK veri ihlali bildirimi sürecini adım adım anlatır.

Saat 07:40'ta ön büro müdürü, geçen ayın misafir listesini içeren paylaşılan klasör bağlantısının Cuma gününden beri adresi bilen herkese açık olduğunu fark eder. Henüz kimse zarar görmemiştir. Ama otel bir kişisel veri ihlalini öğrenmiştir ve bir saat işlemeye başlamıştır. Bu yazının sonunda bir olayın ihlal sayılıp sayılmayacağına karar verebilecek, ilk saatleri doğru yürütebilecek, Kurulun formunu doldurabilecek, etkilenen misafirleri bilgilendirebilecek ve yasal olarak tutulması gereken kaydı hazırlayabileceksiniz.

Otelde kişisel veri ihlali ne zaman söz konusu olur?#

İhlal, kişisel verilerin yetkisi olmayan kişiler tarafından ele geçirilmesi, kopyalanması, kaybolması, değiştirilmesi veya açığa çıkmasıyla sonuçlanan her olaydır; kasten ya da hata sonucu olması, henüz kimsenin zarar görmüş olması gerekmez.

Tanım üç tür bozulmayı kapsar. Gizlilik bozulur, veriyi görmemesi gereken biri görürse. Bütünlük bozulur, veri değiştirilirse. Erişilebilirlik bozulur, veri kaybolursa; örneğin resepsiyon dizüstü bilgisayarının çalınması ya da fidye yazılımı durumunda. Üçünden biri olması yeterlidir.

Otel işleri ihlalleri en sıradan yollarla üretir. Havaalanı transfer masasında unutulmuş basılı varış listesi. Yanlış misafire e-postayla gönderilen pasaport taramaları. Ele geçirilmiş bir rezervasyon sitesi extranet hesabı. Tüm resepsiyon için ortak tek şifre. Ayrılan çalışanın kişisel bulut klasöründe biriktirdiği misafir kayıtları. Hata sonucu olanlar da sayılır: bir dosyayı yanlış adrese göndermek otellerde sık görülen bir vakadır ve yine de bir ihlaldir. Hesap ele geçirmeleri sizi endişelendiriyorsa sahte rezervasyon mesajları ve ele geçirilen extranet hesapları üzerine yazımızı okuyun.

Her olay bildirilebilir bir ihlal değildir. Bir çalışanın oltalama e-postasını görüp, kimse oturum açmadan silmesi ve hiçbir veriye erişilmemiş olması: bu, kayda geçirilecek bir olaydır, bildirilecek bir ihlal değil. Ölçüt, kişisel verinin fiilen ele geçirilip geçirilmediği, kaybolup kaybolmadığı ya da açığa çıkıp çıkmadığıdır.

Otel adına bir veri işleyenin nezdinde tutulan veriler, örneğin bir e-bülten sağlayıcısının ya da rezervasyon motorundaki veriler, otelin veri sorumlusu olarak sorumluluğundadır. Veri işleyen durumu gecikmeden otele bildirir; bildirim yükümlülüğü oteldedir. Kararı, danışmanıyla birlikte genel müdür verir. Hangi yönde karar verirseniz verin, gerekçeyi yazıya geçirin; çünkü "veriye erişim olmadığı için değerlendirildi, ihlal değildir" diyen dosya da bir bildirim kadar değerlidir.

İhlal sonrasında Türk hukuku ne ister?#

6698 sayılı Kanunun 12. maddesi otelden teknik ve idari tedbirler almasını, kendi adına veri işleyenlerle birlikte sorumlu olmasını ve veriler kanuni olmayan yollarla başkalarınca ele geçirildiğinde durumu ilgilisine ve Kurula "en kısa sürede" bildirmesini ister.

Madde, çoğu kez tek bir görev sanılan iki ayrı yükümlülük koyar: hukuka aykırı işlemeyi ve erişimi önlemek; önleme başarısız olursa bildirmek. Bildirimi iyi yapan ama tedbiri hiç almamış bir otel yine de açıkta kalır. Kanunun ifadesi "en kısa sürede"dir. Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararı, Kurumun sitesinde 15.02.2019'da duyuruldu ve bu ifadeyi, veri sorumlusunun ihlali öğrendiği tarihten itibaren 72 saat olarak yorumlar (Kişisel Verileri Koruma Kurumunun ihlal bildirim usulüne ilişkin duyurusu (yeni sekmede açılır), 2026-11-04).

Haklı bir gerekçe 72 saat içinde bildirimi engelliyorsa, gerekçe bildirimle birlikte açıklanır. Süre, yanlış ya da boş bir form gönderme gerekçesi değildir. Aynı karar; ihlal bildirim formunun kullanılmasını, etkilenen kişilere makul olan en kısa sürede bildirim yapılmasını, Kurul için ihlal kaydı tutulmasını ve belirli aralıklarla gözden geçirilen bir müdahale planını şart koşar.

2024'te 7499 sayılı Kanunla yeniden düzenlenen 9. madde, ihlal yurt dışına aktarıma dokunuyorsa devreye girer; örneğin bülten sağlayıcınız Türkiye dışındaysa. Aktarımlar ya Kurulun yeterlilik kararına ya da Kurulca ilan edilen standart sözleşme gibi uygun güvencelere dayanır ve standart sözleşme, imzalandığı günden itibaren beş iş günü içinde Kuruma bildirilir. Birleşik metin Cumhurbaşkanlığı Mevzuat Bilgi Sistemi'nde (yeni sekmede açılır) yer alır (mevzuat.gov.tr, 2026-11-01).

Bunlar planlama amaçlı bir özettir, hukuki danışmanlık değildir. Bildirim yapmadan önce tarihleri, kapsamı ve kendi durumunuzu bir avukatla ya da danışmanınızla teyit edin. Açık rıza, çalışan erişimi ve saklama süreleri gibi daha geniş yükümlülükler için otellerde KVKK rehberimize bakın.

72 saat ne zaman başlar ve ilk saatlerde ne yapılır?#

Süre, otelin ihlali öğrendiği anda başlar, ihlalin gerçekleştiği anda değil; bu yüzden ilk saatler açığın sınırlanmasına ve elinizdeki bilginin yazıya geçirilmesine gider.

Öğrenme anını yazıya sabitleyin: kim gördü, saat kaçta, hangi saat diliminde ve tam olarak neyi gördü. O zaman damgası tüm dosyanın çapasıdır ve "ne zaman öğrendiniz" sorusunun savunulabilir tek yanıtıdır.

Kanıtı yok etmeden sınırlayın. Oturumları iptal edin, şifreleri sıfırlayın, paylaşılan bağlantıyı kapatın, hesabı devre dışı bırakın; etkilenen makineyi silmek yerine ağdan yalıtın. Temizlikten önce günlükleri ve ekran görüntülerini saklayın.

Tek bir sorumlu belirleyin, genellikle otelin KVKK iletişim kişisi; tek bir karar verici, genel müdür. Diğer herkes bu ikisine rapor verir, böylece dosyada olayın tek bir anlatısı olur. Formu yazmadan önce, yazdıktan sonra değil, danışmanı arayın. Aynı görüşmede polisin, sigortacının ya da veri işleyenin olay ekibinin devrede olup olmadığına da karar verilir.

İlk saatte misafirlere tahminlerle mesaj atmayın. Karar, etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bildirim yapılmasını ister; yanlış bir ilk mesajı düzeltmek zordur. Zamanları, kararları ve kimin karar verdiğini gösteren bir günlük tutun; o günlük hem ihlal kaydı olur hem Kurul formunun temeli.

Önleyici taraf için işletme sahibi ve genel müdür için otel siber güvenlik kontrol listemize bakın.

Kurula nasıl bildirim yapılır ve form ne ister?#

Bildirim, Kişisel Veri İhlal Bildirim Formu ile, gecikmeksizin ve öğrenmeden itibaren en geç 72 saat içinde yapılır; her alanı yanıtlayamıyorsanız elinizdekini gönderir, gerisini aşamalı olarak tamamlarsınız.

Form; veri sorumlusunun kimliğini ve iletişimini, ihlal ve tespit tarihlerini, veri kategorilerini, etkilenen kişi ve kayıt sayısını, nedeni, olası sonuçları, alınan tedbirleri ve etkilenen kişilerin bilgilendirilip bilgilendirilmediğini sorar. Göndermeden önce güncel formu kvkk.gov.tr'den kontrol edin.

Yazmadan önce sayıları hazırlayın. Kaç kişi, hangi veri alanları, hangi sistemler. Sayım yöntemiyle birlikte verilmiş bir aralık, kendinden emin bir tahminden iyidir. Kurul kararı aşamalı gönderime izin verir: ilk sürümü gönderin, gerisini gecikmeden ekleyin. Dosyada neyin eksik olduğunu ve ne zaman geleceğini belirtin.

72 saat geçtiyse yine de bildirin ve haklı gerekçeyi bildirimin içinde açıklayın. Geç ama açıklamalı bir bildirim, sessizlikten bambaşka bir dosyadır. Gönderdiğiniz sürümü tarihi, saati ve referansıyla saklayın. Form hukuki bir beyandır; imzalayan kişi, olguların arkasında durabilecek kişi olmalıdır.

Formu bir formalite olarak anlatmayın. Kurul daha sonra soru sorarsa ilk okuyacağı belge odur ve misafire gönderilen mesajla tarih ve sayılarda kelimesi kelimesine örtüşmelidir.

Kurul bildiriminizi yayımlar mı?#

Bazen. Kurulun 25.12.2025 tarihli ve 2025/2451 sayılı kararından bu yana, Kurula iletilen ihlal bildirimleri Kurumun internet sitesinde en fazla 60 günle sınırlı belirli bir süreyle ilan ediliyor ve Kurul yayımlamadan önce birkaç ölçütü tartıyor (Kişisel Verileri Koruma Kurumunun 20 Ocak 2026 tarihli kamuoyu duyurusu (yeni sekmede açılır)).

Bu değişiklikten önce Kurula iletilen bildirimler Kurumun sitesinde süre sınırı olmaksızın ilan ediliyordu. Kurul şimdi şu ölçütlere bakıyor: etkilenen kişi grubu ve sayısı, verilerin niteliği ve niceliği, ihlalin nasıl gerçekleştiği, veri sorumlusunun sektörü ve etkilenen kişilere bildirim yapılıp yapılmadığı.

Erken kaldırma yolu var: otel, ilgili kişilere daha kısa sürede bildirim yaptığını belgelendirirse ilan Kurumun sitesinden kaldırılıyor. Bunun pratik sonucu şu: misafirlerinize yaptığınız bildirimin hızı ve kalitesi, erken kaldırma talebinizin de gerekçesidir. Kanıtı saklayın: gönderim saatleri, teslim raporları ve kullandığınız metnin aynısı.

İlan bir açıklamadır, yaptırım değil. Onu ceza gibi anlatmayın ve bir misafire kamuya görünmeyeceğine söz vermeyin.

Verisi etkilenen misafirlere ne söylemelisiniz?#

Doğrudan ve düz bir dille: ne olduğunu, hangi verilerinin etkilendiğini, otelin ne yaptığını, nelere dikkat etmeleri gerektiğini ve kime başvuracaklarını söyleyin. Kendi internet sitenizi yalnızca onlara ulaşamadığınızda kullanın.

Kurul kararı, etkilenen kişiler belirlendikten sonra makul olan en kısa sürede bildirim yapılmasını ister. Önce doğrudan iletişim gelir; otelin kendi sitesindeki duyuru, iletişim adresine ulaşılamayan kişiler için yedek yöntemdir.

Mesaj beş şey içerir: ilgili dönem, veri kategorileri, tek cümlelik ve suçlamasız neden, alınan tedbirler ve misafirin yapması gerekenler; örneğin şifre değiştirmek ya da konaklamasından söz edip şifre veya ödeme isteyen mesajlara karşı temkinli olmak. Tek tek ya da alıcıları gizleyerek gönderin. Görünür alıcı listesi bir ihlali ikiye çıkarır.

Misafir mesajını Kurul formuyla tutarlı tutun: aynı tarihler, aynı sayılar, aynı neden. Aynı olayun iki ayrı anlatısı, hem misafir hem Kurul gözünde güveni yitirmenin en hızlı yoludur. Kimin yaptığını tahmin etmeyin, kontrolünüzde olmayan sonuçlara söz vermeyin. Adı yazılı bir iletişim kişisi ve gerçekten cevap veren bir telefon numarası verin. Kime, ne zaman ve nasıl bildirildiği kaydını tutun; o kayıt, Kurumun sitesinden erken kaldırma isteyeceğinizde elinizdeki kanıttır.

İhlal kaydında ne bulunur ve tek sayfalık olay föyü nedir?#

Kayıt, ne olduğunu, etkilerini ve alınan tedbirleri içerir ve Kurulun incelemesine hazır tutulur; tek sayfalık föy ise bir nöbet müdürünün saat 03:00'te bu yazıyı okumadan başlatabileceği sürümdür.

Kaydın alanları: tespit zamanı ve kaynağı, etkilenen sistemler ve veri kategorileri, kişi sayısı, neden, saatleriyle sınırlama adımları, Kurula ve kişilere yapılan bildirimlerin tarihleri, tekrarı önleyici tedbirler, sorumlu ve gözden geçirme tarihi. Bunu kişisel bir e-posta kutusunda değil, kontrollü bir belge olarak tutun. Kurul kararı, belirli aralıklarla gözden geçirilen bir veri ihlali müdahale planı da ister; plan, kurum içinde kime raporlanacağını ve yasal bildirimlerden kimin sorumlu olduğunu gösterir.

Nedeni, açığı kaldıran en küçük yapısal değişiklikle ortadan kaldırın: kalıcı dışa aktarma yetkilerini kaldırın, saklama süresini kısaltın ki kaybedilecek veri kalmasın, misafir verisi klasörlerini pazarlama klasörlerinden ayırın, extranete iki adımlı doğrulama koyun. Saklama süreleri için otel kayıtları ne kadar saklanır rehberimize bakın.

Föyü yılda bir kez bir masa başı tatbikatıyla sınayın: bir uydurma senaryo, 45 dakika, kim ne yapacak, kim kimi arayacak. Hiç provası yapılmamış plan bir belgedir, bir rutin değil. Kayıt, aylar sonra Kurula vereceğiniz yanıtın da, aynı ihlalin başka bir dosya adıyla tekrarlanmasını önlemenin de yoludur.

Şimdi ne yapmalı#

Bu hafta tek sayfalık olay föyünü yazın, sorumlusunu belirleyin ve danışmanınızın numarasını üzerine koyun. Yazının mantığı tek satırda şöyle: ihlal olup olmadığına karar verin, saati öğrendiğiniz anda başlatın, sınırlayın ve kaydedin, Kurula formla bildirin, misafirlere doğrudan haber verin, sonra nedeni giderin ki kayıt ikinci kez gerekmesin.