Otellerde KVKK: aydınlatma metni, açık rıza ve saklama süreleri

KVKK, Türkiye'nin kişisel verilerin korunması kanunudur (6698 sayılı Kanun). Bir otel için dört yükümlülük demektir: misafirlerinize verisiyle ne yaptığınızı bildirin, her amaç için hukuki bir dayanağınız olsun, otel içinde kimin veriyi görebileceğini sınırlayın ve amaç sona erdiğinde silin. Hukuki dayanaklar ve süreler danışmanınıza aittir.

Misafir girişte kimliğini verir, akşam yemeğini odaya yazdırır, resepsiyona mesaj atar ve gelecek yıl aynı deniz manzaralı odayı ister. Çıkışa kadar otel, dört ayrı birimin oluşturduğu beş ayrı kayıtla tek bir kişi hakkında bilgi tutar; hangisinin, kim tarafından ve ne kadar süreyle saklanabileceğine kimse karar vermemiştir. Bu yazı otellerde KVKK uygulamasını resepsiyon pratiğine indiriyor: kanun ne istiyor, bir konaklama hangi kayıtları doğuruyor, otel içinde kime hangi dilim gerekiyor ve bunun kanıtını nasıl saklayıp siliyorsunuz.

KVKK bir otelden gerçekte ne istiyor?#

KVKK, kişisel verilerin toplanma, kullanılma, saklanma ve silinme biçimini düzenler; misafir verisinin neden ve nasıl işleneceğine karar veren otel, bu verinin veri sorumlusudur. Kanun dört yükümlülüğe indirgenebilir ve her biri binadaki farklı bir kişiye düşer.

Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen taraftır; tanım 6698 sayılı Kanun'un 3. ve 10. maddelerinde (yeni sekmede açılır) yer alır (mevzuat.gov.tr, birleşik metin, 2026). Bir otel, kendi rezervasyonları, misafir hesapları ve misafir mesajları için normalde veri sorumlusudur. Bu sıfat önemlidir: veriden yanıt veren taraf, yazılım sağlayıcısı değil otelin kendisidir.

Yükümlülük biri, aydınlatma: veri sorumlusu, veriyi elde ederken kişiye kimliğini, işleme amacını, verinin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini, ayrıca kişinin haklarını bildirir (aynı kaynak, madde 10). Yükümlülük iki, dayanak: açık rıza olmadan veri işlenemez; ancak kanunda sayılan şartlardan biri varsa işleme yapılabilir. Bunlar arasında kanunlarda açıkça öngörülmüş işleme, kişiyle sözleşme kurulması ya da ifası için zorunlu işleme ve veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu işleme yer alır (aynı kaynak, madde 4 ve 5). Yükümlülük üç, koruma: veri sorumlusu hukuka aykırı işleme ve erişime karşı gerekli teknik ve idari tedbirleri alır, kendi adına veri işleyenlerle bu tedbirlerden müştereken sorumludur; veri başkaları tarafından hukuka aykırı yolla elde edilmişse durumu en kısa sürede ilgilisine ve Kurula bildirir (aynı kaynak, madde 12). Yükümlülük dört, saklamayı bırakma: veriler, ilgili mevzuatta öngörülen ya da işleme amacı için gerekli olan süreden uzun tutulamaz; sebepler ortadan kalktığında veri sorumlusu veriyi resen ya da talep üzerine siler, yok eder veya anonim hâle getirir (aynı kaynak, madde 5 ve 7).

Yaygın yanlış okuma, KVKK'yı bir rıza formu sanmaktır. Rıza, dayanaklardan yalnızca biridir ve aydınlatma, rızaya gerek kalmasa da her durumda borçtur. Bu yükümlülüklerin ödeme, mali belge ve kimlik bildirimiyle yan yana nasıl durduğunu otellerin yasal yükümlülükleri yazısında ele aldık.

Bir konaklama neden bu kadar kişisel veri doğurur?#

Çünkü konaklama tek bir işlem değil, bir işlem zinciridir ve her halkası farklı bir birim tarafından farklı amaçla oluşturulur. Yazılacak ilk belge, herhangi bir metinden önce veri haritasıdır.

Normal bir konaklama şunları geride bırakır: rezervasyon kaydı, KBS bildiriminin (misafir kimlik bildirimi) dayandığı kimlik kaydı, harcamalarıyla birlikte misafir hesabı, konaklama öncesinde ve sırasında paylaşılan mesajlar, tercih notları ve pazarlama izinleri. Her kayıt için dört şey yazın: nerede oluşturulur, neden var, otel içinde ve dışında kim görür, danışmanınız hangi hukuki dayanağı ve süreyi atar. Son sütunu doldurmak sizin işiniz değildir.

Farklı saatleri fark edin. Misafir hesabı vergi ve muhasebe kurallarına, kimlik kaydı KBS yükümlülüğüne, tercih notu çıkışla sona eren bir hizmet amacına bağlıdır. Her şey için tek bir genel süre belirlemek, tipik hatadır. Misafirden almadığınız veriyi de düşünün: acente ya da rezervasyon sitesinden gelen bir rezervasyonda kişi yine aydınlatılmalıdır; makul bir süre içinde, ilk iletişimde ya da en geç verinin ilk aktarımında (aydınlatma tebliğinin 5. ve 6. maddeleri (yeni sekmede açılır), Resmî Gazete, 10 Mart 2018). Alerji ve erişilebilirlik notlarını olası özel nitelikli veri sayın ve kuralı resepsiyonda değil, hukuk danışmanınıza sorun.

Haritayı birim başına bir sayfada tutun. Masada kimsenin okuyamayacağı bir harita, yoğun bir cumartesiyi atlatamaz.

Bir konaklamanın geride bıraktığı beş kayıt#

Otel içinde kime hangi veri gerekiyor?#

Her rol, işini yapmasına yetecek en küçük dilime ihtiyaç duyar ve aydınlatma metni bunu yansıtmalıdır: tebliğ, veriyi farklı amaçlarla işleyen her birimin aydınlatmayı ayrıca yapmasını ister (Resmî Gazete, aydınlatma tebliği, madde 5 ve 6, 10 Mart 2018).

Resepsiyonun rezervasyona, kimlik kaydına ve misafir hesabına ihtiyacı vardır. Kat hizmetlerinin ihtiyacı oda, konaklama tarihleri ve istektir; pasaport numarası değil. Yiyecek ve içecek servisinin ihtiyacı oda numarası ve hesaptır. Muhasebenin ihtiyacı mali kayıttır. Yönetimin ihtiyacı toplamlardır, kişi geçmişleri değil. Pazarlama, ayrı amacı olan ayrı bir birimdir; kendi aydınlatma metnini ve kendi onay kaydını gerektirir. Rezervasyon anında gösterilen tek bir genel metin, spa'yı, restoranı ve bülteni kapsamaz.

Ortak girişler kaydı yok eder. Kişi başına adlandırılmış bir hesap, neye kimin baktığını söyleyebilmenin tek yoludur. Erişim, kişinin ayrıldığı gün kapatılabilmelidir; sezonluk personel ve tesiste çalışan acenteler dahil. Veri sorumlusu, güvenlik tedbirlerinden kendi adına veri işleyenlerle müştereken sorumludur (mevzuat.gov.tr, 6698 sayılı Kanun, birleşik metin, madde 12, 2026) ve bu, veriyi tutan yazılım sağlayıcısını da kapsar. Çok otelli yazılım kullanıyorsanız her otelin verisinin nasıl ayrı tutulduğu aynı sorunun parçasıdır.

Matrise güvenmeyin, sınayın: kat hizmetleri hesabından bir pasaport taramasını açmayı deneyin ve ne olacağına bakın.

Aydınlatma metni ile açık rıza aynı şey mi?#

Değil. Aydınlatma her durumda borç olduğunuz bir bilgilendirmedir; açık rıza olası hukuki dayanaklardan biridir ve aydınlatmadan ayrı alınmalıdır. Pazarlama izni ise ayrı bir kanuna tabi üçüncü bir işlemdir.

Aydınlatma, ilgili kişinin talebine bağlı değildir, ispatı veri sorumlusuna aittir ve işleme açık rızaya dayanıyorsa aydınlatma ile rıza alma ayrı ayrı yerine getirilir (Resmî Gazete, aydınlatma tebliği, madde 5 ve 6, 10 Mart 2018). Açık rıza, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır (mevzuat.gov.tr, 6698 sayılı Kanun, birleşik metin, madde 3, 2026). Her şeyi kapsayan bir cümle, belirli değildir.

Rıza her zaman doğru dayanak değildir. İşleme kanunda açıkça öngörülmüşse, misafirle sözleşme için zorunluysa ya da hukuki yükümlülük için zorunluysa kanun rızasız işleme izin verir (aynı kaynak, madde 5). Aydınlatma yine borçtur. Pazarlama iletileri elektronik ticaret kanununa tabidir: alıcının önceden onayı alındıktan sonra gönderilebilir; onay yazılı ya da her türlü elektronik iletişim aracıyla alınabilir, iletinin içeriği onaya uygun olmalı ve alıcı dilediği zaman gerekçe göstermeden iletileri reddedebilir; esnaf ve tacirlere önceden onay alınmadan ileti gönderilebilir (6563 sayılı Kanun, madde 6-8 (yeni sekmede açılır), mevzuat.gov.tr, birleşik metin, 2026).

Tipik başarısızlık, girişte aydınlatmayı, her şeye rızayı ve bültene üyeliği tek bir onay kutusuna sıkıştırmaktır. Bunu üç ayrı kayda bölün, gerisi kolaylaşır. Geri çekme, vermek kadar kolay olsun: dur diyen bir misafir, bunu resepsiyonda, bir yanıtta ya da misafir uygulamasında yapabilmelidir.

Misafirin neye onay verdiğini nasıl kanıtlarsınız?#

Metnin kendisini saklayarak, bir tik işaretiyle değil. İfadeyi, sürümü ve anı içermeyen bir "rıza alındı" kaydı, misafire, denetçiye ya da mahkemeye hiçbir şey kanıtlamaz.

Aydınlatma metnini ve rızayı, gösterildiği hâliyle ve tam metniyle, bir sürüm numarasıyla saklayın. İfade değiştiğinde sürüm değişir ve eski kayıtlar eski metne bağlı kalır. Anı, kanalı ve dili kaydedin: resepsiyonda kâğıt form, otel sisteminde onay kutusu, rezervasyonda web formu, varıştan önce misafir uygulaması. Her kanal aynı alanları taşımalıdır.

Pazarlamada hangi kanalların ve hangi içerik türlerinin onaylandığını kaydedin; çünkü ileti, verilen onaya uygun olmak zorundadır (mevzuat.gov.tr, 6563 sayılı Kanun, birleşik metin, madde 6, 2026). Kâğıt formları aynı gün misafirin kaydına tarayın; çekmecedeki bir form klasörü kayıt değildir ve ayrıca bir güvenlik sorunudur. Geri çekmeyi de rıza kadar özenle kaydedin; tarih ve geldiği kanal dahil. Kayıt, personel devrine dayanabilsin: resepsiyondaki bir kişinin ne söylendiği anısında değil, sistemde yaşamalıdır.

Bir otel misafir verisini ne kadar saklayabilir ve nasıl silmelidir?#

Süre, her kayda uygulanan mevzuattan ve verinin toplama amacından gelir; avukatınız ve muhasebecinizle belirlenir. Otelin görevi bu süreyi sistemde uygulamaktır, seçmek değil.

Kanun, verilerin ilgili mevzuatta öngörülen ya da işleme amacı için gerekli olandan uzun saklanamayacağını ve işleme sebepleri ortadan kalktığında silinme, yok edilme ya da anonimleştirmeyi öngörür (mevzuat.gov.tr, 6698 sayılı Kanun, birleşik metin, madde 5 ve 7, 2026). Silme, yok etme ve anonimleştirme yönetmeliği (yeni sekmede açılır) (Resmî Gazete, 28 Ekim 2017), Veri Sorumluları Sicili'ne kayıt yükümlüsü veri sorumlularından saklama ve imha politikası hazırlanmasını ister; periyodik imha aralığı bu politikada belirlenir ve altı ayı geçemez; politika yükümlülüğü olmayanlar için süre üç aydır. İlgili kişi silme talep ettiğinde ve işleme şartlarının tamamı ortadan kalkmışsa veri sorumlusu veriyi siler, yok eder ya da anonim hâle getirir, kişiye en geç otuz gün içinde bilgi verir ve veriyi aktardığı üçüncü kişiye bildirir. Tesisinizin sicile kayıt yükümlüsü olup olmadığı hukuk danışmanının konusudur; eşikleri resepsiyonda tahmin etmeyin.

Üç fiili ayırın: silmek kaydı kaldırır, yok etmek geri getirilemez kılar, anonimleştirmek içinde kişi olmayan bir istatistik bırakır. Kayıt türüne göre, yazılı olarak seçin. Silme, yedeklere ve dışa aktarılan kopyalara ulaşmalıdır; yoksa süre ekrandaki bir vaatten ibarettir. Süreyi sistemde bir kez, bir gözden geçirme tarihiyle yapılandırın; birinin hatırlamasına bağlı süreç, saklama politikası değildir. Misafir silme talep ettiğinde veri taleplerini yanıtlayan resepsiyon prosedürü yanıtı otuz gün içinde tutar.

Acenteler, rezervasyon siteleri ve yazılım sağlayıcıları ne olacak?#

Zincirin ayrı taraflarıdır ve otel, kendi adına alınan tedbirlerden sorumlu kalır. Her biri aydınlatma metninde ve yazılı bir sözleşmede yer almalıdır.

Aydınlatma metni, verinin kimlere ve hangi amaçla aktarılabileceğini belirtmelidir (mevzuat.gov.tr, 6698 sayılı Kanun, birleşik metin, madde 10, 2026). Metin yazıldığından beri alıcılar listesi değiştiyse, metin güncel değildir. Veri sorumlusu, güvenlik tedbirlerinden kendi adına veri işleyenlerle müştereken sorumludur (aynı kaynak, madde 12); amacı, süreyi ve silmeyi yazılı hâlde düzenlemeyen bir yazılım sağlayıcısı, bu sorumluluğu tek tarafa yükler.

Her sağlayıcıya üç soru sorun: hizmeti yürütmek dışında verimizle ne yapıyorsunuz, ayrıldıktan sonra ne kadar tutuyorsunuz, belirlediğimiz bir tarihte geri verip silebiliyor musunuz. Acente ya da rezervasyon sitesinden gelen veri de aydınlatmayı tetikler: makul bir süre içinde, ilk iletişimde ya da en geç ilk aktarımda (Resmî Gazete, aydınlatma tebliği, madde 6, 10 Mart 2018). Yurt dışına aktarım dahil, sağlayıcının veriyi nerede tuttuğu ya da işlediği, sözleşme elinizdeyken hukuk danışmanına gider; satış görüşmesinde karara bağlanmaz. Misafir verisini okuyan yapay zekâ araçları aynı soruları ve birkaç fazlasını doğurur; bunları yapay zekâ ve misafir verisiyle ilgili danışmanınıza sorulacak sorular yazısında ayrıca ele aldık.

Şimdi ne yapmalı#

İlk adım, birim başına bir sayfalık veri haritasıdır: üstte dört yükümlülük, hukuki dayanak ve süre sütunları danışmanınızın doldurması için boş. Bu yazıdaki her şey o sayfadan doğar: aydınlatma metni, aydınlatma ile rıza ve pazarlama izninin ayrımı, erişim matrisi ve sistemdeki silme ayarları. KVKK bir kez imzalanan bir form değildir; yazılımda ve vardiyada görünür olmak zorunda olan dört yükümlülüktür.

Yazılım tarafında bir örnek: AI Otel'in otel işletim sistemi (Geliştirildi) KVKK açık rızası, veri dışa aktarımı ve saklama sürelerini veri modelinin içine kurar. Uygulanan süreler danışmanınızın belirledikleridir. Bu yaklaşım planlarınıza uyuyorsa OtelCiro ile görüşün.