Otelde Kimliğinizi Verdiniz: Bu Bilgiler Ne Kadar Saklanabilir, Kimlerle Paylaşılabilir?
Otele, pansiyona, apart otele veya günübirlik kiralanan bir konuta giriş yaptığınızda resepsiyon görevlisinin sizden kimlik istemesi son derece olağan bir uygulamadır. Ancak birçok kişinin aklına şu sorular gelir: Otel kimlik bilgilerimi neden alıyor, bu bilgileri ne kadar süre saklayabilir, kimlerle paylaşabilir, sevgilimle veya eşimle kaldığım bilgisi üçüncü kişilere verilebilir mi, kimliğimin fotokopisini çekebilir mi, pasaport bilgilerim otelin sisteminde yıllarca tutulabilir mi?
Bu soruların cevabı yalnızca “KVKK var, paylaşamazlar” şeklinde verilemez. Çünkü konaklama sektöründe kişisel verilerin işlenmesi bakımından hem 1774 sayılı Kimlik Bildirme Kanunu hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu birlikte uygulanmaktadır. Bir başka ifadeyle otelin bazı kişisel verileri işlemesi hukuken zorunlu iken, bazı bilgileri gereğinden fazla toplaması veya hukuki dayanak olmaksızın üçüncü kişilerle paylaşması açıkça hukuka aykırı hâle gelebilir.
1774 sayılı Kimlik Bildirme Kanunu uyarınca otel, motel, pansiyon, günübirlik kiralanan ev ve benzeri konaklama yerlerinin sorumlu işleticileri, buralarda kalan kişilerin kimlik ve geliş-ayrılış kayıtlarını usulüne uygun biçimde tutmakla yükümlüdür. Dolayısıyla bir otelin misafirinden ad, soyad, T.C. kimlik numarası ve mevzuatın zorunlu kıldığı diğer konaklama bilgilerini istemesi, kural olarak hukuka uygundur. Kişisel Verileri Koruma Kurulu da bu verilerin işlenmesinin KVKK m.5/2-a kapsamında “kanunlarda açıkça öngörülmesi” ve m.5/2-ç kapsamında “veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” şartlarına dayanabileceğini açıkça kabul etmektedir.
Ancak burada çok önemli bir sınır bulunmaktadır. Otelin kimlik bilgilerini görmek istemesi ile kimliğin fotokopisini alıp saklaması aynı şey değildir. Kişisel Verileri Koruma Kurulunun 06.11.2025 tarihli ve 2025/2120 sayılı İlke Kararı bu konuda son derece nettir. Kurul, konaklama hizmeti alan kişinin kimliğinin doğruluğunun resmî belgeyle kontrol edilebileceğini, ancak T.C. kimlik belgesinin fotokopisinin alınarak kaydedilmesinin gereğinden fazla veri işleme anlamına geldiğini ve bunun için hukuki dayanak bulunmadığını belirtmiştir. Kurul ayrıca otel ve benzeri işletmelerin kimlik fotokopisi alma uygulamasına son vermesine ve daha önce kaydedilen fotokopilerin KVKK m.7 kapsamında imha edilmesine karar vermiştir.
Bu kararın önemi büyüktür. Çünkü kimlik kartında yalnızca ad, soyad ve T.C. kimlik numarası bulunmaz. Kişinin fotoğrafı, doğum tarihi ve bazı eski kimliklerde din veya kan grubu gibi daha hassas bilgiler de yer alabilir. Otelin konaklama kaydı için ihtiyaç duymadığı verileri toplaması, KVKK’daki “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine aykırılık oluşturabilir. Dolayısıyla resepsiyon görevlisinin kimliğinizi görüp gerekli bilgileri sisteme kaydetmesi başka, kimliğin önlü arkalı fotokopisini alıp dosyaya kaldırması başka bir işlemdir.
Pasaport bakımından da benzer bir yaklaşım geçerlidir. Yabancı misafirin kimliğinin ve mevzuatın zorunlu kıldığı bilgilerin doğrulanması için pasaport gösterilmesi gerekebilir. Ancak pasaportun tüm sayfalarının taranması veya gereksiz biçimde kopyalanması, veri minimizasyonu ve ölçülülük ilkeleri bakımından ayrıca sorgulanmalıdır. Otel yalnızca hukuki yükümlülüğünü yerine getirmek için gerekli olan verileri işlemelidir.
Peki otel bu bilgileri kimlerle paylaşabilir? Öncelikle mevzuat gereği yetkili kamu kurum ve kuruluşlarına yapılan bildirimler hukuka uygundur. Konaklama tesislerinin kimlik ve geliş-ayrılış kayıtlarını tutma ve yetkili kolluk makamlarının incelemesine hazır bulundurma yükümlülüğü vardır. Bu nedenle “Ben bilgilerimin polise gönderilmesine izin vermiyorum” denilmesi, kanundan doğan bildirim yükümlülüğünü ortadan kaldırmaz. Burada veri işleme açık rızaya değil, doğrudan kanuni yükümlülüğe dayanır.
Ancak bunun dışında, otelin müşterinin konaklama bilgisini herhangi bir üçüncü kişiye açıklaması farklı bir hukuki değerlendirme gerektirir. Örneğin bir kişinin eşi, sevgilisi, aile üyesi, işvereni veya başka bir kişi oteli arayıp “Can Bey burada mı kalıyor?”, “Yanında kim var?”, “Hangi odada?” diye sorarsa otelin bu bilgileri paylaşması için kural olarak ayrıca geçerli bir hukuki sebebe ihtiyacı vardır. Konaklama bilgisi, kişinin özel yaşamına ve hareketlerine ilişkin son derece hassas bir kişisel veridir. Bu bilginin yetkisiz kişilere açıklanması ciddi KVKK ihlallerine yol açabilir.
Kişisel Verileri Koruma Kurulunun 03.08.2023 tarihli ve 2023/1327 sayılı kararında, bir otel çalışanının konaklayan kişiye ait kişisel verileri üçüncü kişilerle paylaşması konusu doğrudan incelenmiştir. Kurul kararında konaklama belgesinin mevzuat gereği düzenlenmesinin zorunlu olduğu kabul edilmekle birlikte, bu zorunluluğun reklam, pazarlama veya üçüncü kişilerle paylaşım için sınırsız izin anlamına gelmediği vurgulanmıştır. Özellikle zorunlu konaklama belgesine reklam ve pazarlama amaçlı veri kullanım rızasının eklenmesinin, açık rızanın özgür iradeyle verilmesi unsurunu sakatlayabileceği belirtilmiştir.
Bu nedenle otelin “Rezervasyon formunu imzaladınız, her türlü paylaşımı kabul ettiniz” şeklindeki savunması her durumda geçerli değildir. Açık rızanın hukuken geçerli olabilmesi için belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle verilmesi gerekir. Konaklama hizmetinin verilmesi için zorunlu olmayan pazarlama veya reklam faaliyetlerine ilişkin rıza, konaklama şartı hâline getirilemez.
Bir başka önemli konu, otelin misafir bilgilerini reklam ve pazarlama amacıyla kullanmasıdır. Otelde kaldınız diye telefon numaranızın daha sonra kampanya mesajlarında kullanılması, e-posta adresinize sürekli reklam gönderilmesi veya bilgilerinizin grup şirketleriyle paylaşılması kendiliğinden hukuka uygun hâle gelmez. Bu faaliyetler için ayrı bir hukuki dayanak ve gerektiğinde ayrıca açık rıza gerekebilir. Konaklama kaydının tutulması zorunluluğu ile ticari ileti gönderme yetkisi birbirinden tamamen farklıdır.
Otel rezervasyonunuz bir seyahat acentesi veya tur şirketi üzerinden yapılmışsa veri sorumluluğu daha karmaşık hâle gelebilir. Kişisel Verileri Koruma Kurulu, tur şirketlerinin bazı durumlarda rezervasyon altyapısını kurup yönetmeleri, müşteri verilerinin işlenme amaçlarını belirlemeleri nedeniyle veri sorumlusu sıfatını taşıyabileceğini kabul etmektedir. Bu nedenle kişisel verileriniz yalnızca otelde değil, rezervasyon yaptığınız tur şirketinde veya platformda da işleniyor olabilir.
Rezervasyon platformları bakımından da aynı şekilde verinin kim tarafından, hangi amaçla, ne kadar süreyle işlendiği incelenmelidir. Otel, seyahat acentesi, online rezervasyon platformu ve ödeme hizmeti sağlayıcısı farklı kişisel veri işleme faaliyetleri gerçekleştirebilir. Bu nedenle “Bilgilerimi sadece otele verdim” düşüncesi pratikte her zaman doğru değildir.
Peki bu veriler ne kadar süre saklanabilir? KVKK bakımından temel ilke son derece açıktır: Kişisel veriler, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilebilir. Verinin hukuki işleme amacı ortadan kalktığında ve başka bir saklama zorunluluğu bulunmadığında silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir. KVKK’da bütün oteller için “misafir bilgileri kesin olarak şu kadar yıl saklanır” şeklinde tek ve genel bir süre yoktur. Saklama süresi, hangi verinin hangi kanuni yükümlülük kapsamında tutulduğuna göre belirlenmelidir.
Örneğin vergisel belgelerde bulunan müşteri verileri, Vergi Usul Kanunu ve ilgili mali mevzuattan doğan saklama yükümlülükleri kapsamında farklı sürelerle tutulabilir. Günlük müşteri listeleri ve konaklama kayıtları bakımından da ilgili özel mevzuat dikkate alınmalıdır. Buna karşılık hukuki dayanağı sona ermiş bir pazarlama profili veya artık gerekli olmayan kimlik fotokopisi yıllarca sistemde tutulamaz. Özellikle 2025/2120 sayılı İlke Kararı sonrasında kimlik fotokopilerinin imha edilmesi gerektiği açıkça ortaya konmuştur.
Otelin “biz her şeyi beş yıl saklıyoruz” veya “sistemimiz böyle” demesi tek başına hukuki gerekçe değildir. Veri sorumlusu her veri kategorisi bakımından hangi hukuki sebebe dayanarak ne kadar süre saklama yaptığını ortaya koyabilmelidir. Kişisel verilerin süresiz biçimde tutulması, amaçla sınırlılık ve ölçülülük ilkeleriyle bağdaşmaz.
Konaklama bilgileri yalnızca kimlik verilerinden ibaret değildir. Rezervasyon tarihi, otele giriş ve çıkış saati, oda numarası, beraber konaklanan kişiler, ödeme yöntemi, kredi kartının son hanesi, telefon numarası, e-posta adresi, özel talepler ve bazen araç plakası gibi çok sayıda veri de sistemlerde bulunabilir. Bu verilerin tamamı aynı hukuki sebeple işlenmeyebilir.
Özellikle “kimle kaldığınız” bilgisi özel hayat bakımından son derece hassastır. Bir kişinin hangi tarihte hangi otelde, kiminle birlikte kaldığının üçüncü kişilere açıklanması, kişinin özel yaşamına yönelik ciddi sonuçlar doğurabilir. Bu nedenle otel personelinin merak, arkadaşlık, akrabalık veya başka kişisel sebeplerle bu bilgileri sistemden sorgulaması veya paylaşması hukuka uygun kabul edilemez.
Otel çalışanlarının müşteri kayıtlarına erişimi de sınırsız olmamalıdır. Resepsiyon çalışanının konaklama kaydına işini yapmak için erişmesi başka, başka departmandaki bir çalışanın merak amacıyla müşteri bilgilerine bakması başka bir işlemdir. KVKK m.12 kapsamında veri sorumlusu, kişisel verilere hukuka aykırı erişimi önlemek için gerekli teknik ve idari tedbirleri almakla yükümlüdür.
Bu tedbirler arasında rol bazlı yetkilendirme, kullanıcı hesaplarının ayrıştırılması, erişim loglarının tutulması, çalışanların KVKK konusunda eğitilmesi, sistemlere yetkisiz erişimin engellenmesi ve erişim kayıtlarının denetlenmesi yer alabilir. Bir çalışan müşterinin konaklama verisini sistemden sorgulayıp üçüncü kişiye gönderirse, yalnızca çalışanın kişisel sorumluluğu değil, otelin gerekli güvenlik tedbirlerini alıp almadığı da incelenir.
Bu konunun önemini gösteren güncel örneklerden biri de Kişisel Verileri Koruma Kurulunun 28.03.2025 tarihli 2025/601 sayılı karar özetidir. Otelcilik ve konaklama yönetimi alanında faaliyet gösteren bir veri sorumlusunda yaşanan veri ihlalinde 909 kişinin verilerinin etkilendiği; etkilenen veriler arasında kimlik numarası, pasaport bilgileri, adres, telefon, e-posta ve ödeme kartı bilgilerinin bulunduğu açıklanmıştır. Bu karar konaklama işletmelerinin ne kadar geniş bir kişisel veri havuzu tuttuğunu ve veri güvenliğinin önemini açık biçimde göstermektedir.
Veri ihlali yalnızca dışarıdan yapılan siber saldırıyla gerçekleşmez. Otel çalışanının müşteri bilgilerini WhatsApp üzerinden başka bir kişiye göndermesi, ekrandaki rezervasyon bilgisinin fotoğrafını çekmesi, konaklama listesinin yetkisiz kişilere verilmesi veya müşteri kayıtlarının kişisel amaçlarla kullanılması da veri ihlali oluşturabilir.
Böyle bir durumda ilgili kişinin ilk olarak delilleri koruması önemlidir. Otelin bilgilerinin paylaşıldığına dair mesajlar, ekran görüntüleri, e-postalar, telefon görüşmeleri, konaklama belgesi, rezervasyon kaydı ve üçüncü kişinin bu bilgileri nereden öğrendiğini gösteren tüm materyaller saklanmalıdır. Çünkü paylaşımın gerçekleştiğinin ispatı, ileride yapılacak KVKK başvurusunun veya tazminat davasının en önemli noktalarından biri olacaktır.
Kişisel verilerinin hukuka aykırı işlendiğini düşünen kişi, KVKK m.11 kapsamında veri sorumlusuna başvurarak kendisi hakkında hangi verilerin işlendiğini, bu verilerin hangi amaçla kullanıldığını, kimlere aktarıldığını, ne kadar süreyle saklanacağını ve hukuki dayanağın ne olduğunu sorabilir. Şartları oluştuğunda verilerin silinmesini veya yok edilmesini de talep edebilir.
Veri sorumlusu başvuruyu kanunda belirtilen süre içinde cevaplamazsa veya verilen cevap yetersiz bulunursa, Kişisel Verileri Koruma Kuruluna şikâyet yolu gündeme gelebilir. Kurul, ihlalin niteliğine göre veri işleme faaliyetinin durdurulması, verilerin silinmesi veya idari yaptırım uygulanması yönünde karar verebilir.
Bunun yanında KVKK başvurusu kişinin tazminat hakkını ortadan kaldırmaz. Hukuka aykırı veri paylaşımı nedeniyle maddi veya manevi zarar doğmuşsa, somut olayın özelliklerine göre tazminat davası açılması da mümkündür. Örneğin kişinin konaklama bilgisinin eşine, ailesine veya işverenine hukuka aykırı biçimde verilmesi nedeniyle özel hayatında ciddi zarar doğmuşsa manevi tazminat talebi gündeme gelebilir.
Otel personelinin kişisel verileri hukuka aykırı olarak üçüncü kişilere vermesi bazı durumlarda yalnızca KVKK kapsamında idari yaptırımla sınırlı kalmayabilir. Türk Ceza Kanunu’nun kişisel verilere ilişkin hükümleri çerçevesinde, kişisel verilerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi ayrıca ceza sorumluluğu doğurabilir. Bununla birlikte her veri paylaşımı otomatik olarak belirli bir suçun oluştuğu anlamına gelmez; failin kastı, paylaşılan verinin niteliği ve olayın gerçekleşme biçimi somut olarak incelenmelidir.
Özel hayatın gizliliği de bazı olaylarda ayrıca gündeme gelebilir. Bir kişinin hangi otelde, hangi tarihler arasında ve kiminle konakladığı bilgisi, olayın özelliklerine göre kişinin özel yaşam alanının bir parçasıdır. Bu bilginin hukuka aykırı şekilde ifşa edilmesi, yalnızca kişisel veri koruması yönünden değil, özel hayatın korunması bakımından da değerlendirilmelidir.
Otelin güvenlik kamerası kayıtları da kişisel veri niteliğindedir. Otel güvenlik gerekçesiyle ortak alanlarda kamera kullanabilir; ancak kamera kullanımının belirli, açık ve meşru bir amacı bulunmalı, ölçülülük ilkesine uyulmalı ve misafirler aydınlatılmalıdır. Otel odalarının, banyoların veya kişilerin mahremiyet beklentisinin çok yüksek olduğu alanların kamerayla izlenmesi ise tamamen farklı ve çok daha ağır hukuki sonuçlar doğurabilir.
Kimlik bilgilerinin otel tarafından kullanılmasında bir başka önemli konu da aydınlatma yükümlülüğüdür. Otel müşterisine kişisel verilerinin hangi sıfatla işlendiğini, hangi amaçlarla kullanılacağını, hangi hukuki sebeplere dayanıldığını, kimlere ve hangi amaçlarla aktarılabileceğini ve KVKK kapsamındaki haklarını bildirmek zorundadır. Bu yükümlülük, “Resepsiyonda bir QR kod vardı” denilerek şeklen geçiştirilemez; aydınlatmanın erişilebilir ve anlaşılır olması gerekir.
Aydınlatma metni ile açık rıza da birbirinden ayrılmalıdır. Aydınlatma, veri sorumlusunun bilgilendirme yükümlülüğüdür. Açık rıza ise gerekli olduğu durumlarda kişinin özgür iradesiyle verdiği onaydır. Otel, “KVKK metnini kabul etmiyorsanız konaklayamazsınız” diyerek hukuken zorunlu olmayan bütün veri işleme faaliyetleri için toplu rıza alamaz. Kurulun 2023/1327 sayılı kararında da zorunlu konaklama belgesine reklam ve pazarlama amaçlı rızanın bağlanmasının sorunlu olduğu özellikle vurgulanmıştır.
Sonuç olarak otellerin müşterilerden kimlik bilgisi istemesi kural olarak hukuka uygundur; çünkü 1774 sayılı Kimlik Bildirme Kanunu bu bilgilerin kaydedilmesine ilişkin açık bir yükümlülük getirmektedir. Ancak bu yetki sınırsız değildir. Otel yalnızca mevzuatın ve hizmetin gerektirdiği verileri işleyebilir, gereğinden fazla veri toplayamaz, verileri amacı dışında kullanamaz ve yetkisiz kişilerle paylaşamaz.
Özellikle 06.11.2025 tarihli ve 2025/2120 sayılı Kişisel Verileri Koruma Kurulu İlke Kararı sonrasında, konaklama tesislerinin müşterilerin T.C. kimlik belgesi fotokopilerini kaydetmesine son verilmesi gerektiği artık açık biçimde kabul edilmiştir. Otel kimliği kontrol edebilir ancak kimlik fotokopisini sırf alışkanlık nedeniyle saklayamaz.
Aynı şekilde otelde kiminle kaldığınız, hangi odada bulunduğunuz, giriş-çıkış tarihleriniz veya iletişim bilgileriniz de “resepsiyonda kayıtlı olduğu için herkesin öğrenebileceği bilgiler” değildir. Bunlar kişisel verilerdir ve hukuki bir sebep bulunmadan üçüncü kişilere açıklanmaları mümkün değildir.
Bu nedenle bir otelde konakladığınızda sorulması gereken soru yalnızca “Kimliğimi vermek zorunda mıyım?” değildir. Asıl önemli sorular şunlardır: Otel hangi verimi neden topluyor, hangi hukuki sebebe dayanıyor, kimlere aktarıyor, ne kadar süre saklıyor ve artık ihtiyaç kalmadığında gerçekten siliyor mu? KVKK bakımından hukuka uygun bir konaklama sistemi tam olarak bu soruların cevaplarını verebilmelidir.
