Otelde Kimlik Fotokopisi ve KVKK Kararı

Kurul ne dedi, kararın özü nedir

Kişisel Verileri Koruma Kurulu'nun 6 Kasım 2025 tarihli ve 2025/2120 sayılı ilke kararı, 9 Aralık 2025 tarihli ve 33102 sayılı Resmî Gazete'de yayımlandı. Karar, turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerin T.C. kimlik belgesi fotokopisinin kaydedilmesini konu alıyor.

Kararın özü tek cümleye sığıyor. Tesis misafirin kimlik belgesini isteyebilir, belgeye bakarak kimliği doğrulayabilir ve bildirime yetecek bilgiyi kaydedebilir. Kurul ise belgenin fotokopisinin alınıp kaydedilmesini gereğinden fazla veri işleme sayıyor ve bu uygulamanın hukuki dayanağının bulunmadığını belirtiyor.

Sureti almak derken sadece fotokopi makinesinden çıkan kağıt kastedilmiyor. Telefonla çekilen fotoğraf, tarayıcıdan geçirilip klasöre atılan PDF, rezervasyon formuna yüklenen görsel, hepsi aynı şey: belgenin kopyası.

Karar, turizm ve otelcilik sektöründe konaklama hizmeti veren veri sorumlularını kapsıyor. 1774 sayılı Kimlik Bildirme Kanunu'nun saydığı otel, motel, han, pansiyon, kamp, kamping, tatil köyü ve benzeri konaklama yerleri bu tanımın içinde kalır. Kararda tesis büyüklüğüne göre bir ayrım yapılmıyor.

Karar tarihi: 6 Kasım 2025
Karar numarası: 2025/2120
Resmî Gazete: 9 Aralık 2025, sayı 33102
Kapsam: turizm ve otelcilik sektöründe konaklama hizmeti veren veri sorumluları

Kimliğe bakmak serbest, kimliğin kopyasını almak değil.

Hangi veriler alınabilir

Kurul kararında dayanak olarak 1774 sayılı Kimlik Bildirme Kanunu ile Kimlik Bildirme Kanununun Uygulanması ile İlgili Yönetmelik'in 5. ve 23. maddeleri gösteriliyor. Bu mevzuat konaklama tesisine misafirin kimliğini tespit etme, kayıt tutma ve genel kolluğa bildirme yükümlülüğü veriyor. Yani kimlik bilgisini kaydetmeniz zaten kanuni bir gereklilik.

Yönetmeliğin 23. maddesi işin nasıl yürüyeceğini de tarif ediyor. Konaklayan kişinin verdiği bilgiler, kimliğini belirten geçerli resmî belge ile karşılaştırıldıktan sonra konaklama yeri kayıt defterine geçiriliyor. Mevzuatın aradığı şey karşılaştırma; belgenin bir kopyasının dosyada durması değil.

Kurul, ad, soyad ve T.C. kimlik numarasının kaydedilmesini hukuka uygun bulmuş. Geliş-ayrılış ve oda bilgisi gibi kalemler ise Kimlik Bildirme mevzuatının aradığı kayıtlar. Ölçü şu: kartın üzerindeki her alan değil, bildirime ve faturaya yetecek alanlar.

Fatura tarafı ayrı bir dayanağa oturuyor. Kurul kararı, fatura düzenlenecekse 213 sayılı Vergi Usul Kanunu kapsamında gereken bilgilerin istenmesini kabul ediyor: ad-soyad, adres, kurumsal misafirde vergi dairesi ve vergi numarası. Bunların hiçbiri de belgenin suretini gerektirmiyor.

Kısacası ihtiyacınız olan şey belgenin üzerindeki bilgi, belgenin kendisi değil. Resepsiyonist kimliğe bakar, bilgiyi ekrana girer, belgeyi iade eder. Süreç burada biter.

Alınabilir: ad, soyad, T.C. kimlik numarası
Alınabilir: giriş ve çıkış tarihi, oda bilgisi
Alınabilir: fatura için ad-soyad, adres, vergi dairesi ve numarası
Alınamaz: kimlik kartının fotokopisi, taraması veya fotoğrafı
Alınamaz: bildirim ve fatura için gerekmeyen diğer alanlar

Belgenin kendisi neden saklanamaz

Kurulun iki temel gerekçesi var. Birincisi ölçülülük. Kimliğin gerçekliğini doğrulamak için belgeyi görmek yeterliyken suretini alıp arşivlemek, gereğinden fazla veri işlemek anlamına geliyor. Amaca ulaşmak için daha az veriyle yetinmek mümkünse fazlasını toplamanın dayanağı olmuyor.

İkincisi özel nitelikli veri sorunu. Eski tip nüfus cüzdanlarında din hanesi ve kan grubu yer alıyor. Bunlar 6698 sayılı Kanun'un 6. maddesi kapsamında özel nitelikli kişisel veri sayılıyor ve işlenmeleri çok daha ağır şartlara bağlı. Fotokopiyi aldığınız anda, istemeseniz de bu verileri işlemiş oluyorsunuz.

Yeni çipli kimlik kartının yüzünde din bilgisi basılı değil; bu veri kartın çipinde tutuluyor. Buna karşılık anne adı, baba adı, seri numarası ve uyruk gibi bildirim için hiç gerekmeyen alanlar kartın üzerinde duruyor. Fotokopi her durumda ihtiyacın ötesinde bir veri yığını demek.

Bir de pratik risk tarafı var. Ön büro arkasındaki klasörde yüzlerce kişinin kimlik sureti birikiyor. O klasör kaybolduğunda ya da taranmış görüntüler sızdığında konu bir veri ihlali olarak önünüze gelir; kimlik suretiyle yapılabilecek dolandırıcılığın muhatabı da tesis olur.

KBS bildirimiyle çelişir mi

Hayır. Sahada en çok karışan nokta burası, o yüzden net olalım: bildirim yükümlülüğü ile belge saklama iki ayrı şey.

1774 sayılı Kimlik Bildirme Kanunu, konaklama tesisine kalan herkesin kimlik ve geliş-ayrılış kayıtlarını günü gününe tutma yükümlülüğü koyuyor. Kanunun ek 1. maddesi ise bu kayıtların bilgisayarda tutulmasını ve genel kolluk kuvvetlerinin terminallerine bağlanarak anlık olarak bildirilmesini istiyor. Bildirim bilgi üzerinden yürüyor.

Bildirim yükümlülüğünüzü yerine getirmek için kimlik belgesinin bir kopyasını sisteme yüklemeniz ya da tesiste saklamanız gerekmiyor. Bildirilen şey ad, soyad, T.C. kimlik numarası ve giriş-çıkış bilgisi. Kurul da kararında bu yükümlülüğü kabul edip ad, soyad ve T.C. kimlik numarasının kaydedilmesini hukuka uygun bulmuş; ayrıksı bulduğu tek şey belgenin suretinin alınması.

"Kolluk isterse diye duruyor" cümlesi de bu kararla birlikte zayıf bir savunma hâline geliyor. Dayanak gösterilen mevzuat sizden belge sureti istemiyor; kayıt tutmanızı ve bildirimi zamanında yapmanızı istiyor.

Bildirim ayrı, belge saklama ayrı. Birini yapmak için diğerine ihtiyacınız yok.

Çekmecede biriken fotokopilerle ne yapılmalı

Karar sadece bundan sonrasını değil, geçmişi de kapsıyor. Daha önce alınmış kimlik suretlerinin 6698 sayılı Kanun'un 7. maddesi uyarınca silinmesi, yok edilmesi veya anonim hale getirilmesi gerekiyor. Yani "artık almıyoruz" demek yetmiyor, elde olanı da temizlemek gerekiyor.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, yok etmeyi verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi olarak tanımlıyor. Kağıt suretlerde bu tanımı karşılayan yol evrak imha makinesidir. Yırtıp çöpe atmak yok etme sayılmaz; okunabilir parça kalıyorsa iş bitmemiştir.

Dijital tarafta klasördeki JPG ve PDF'leri silmek çoğu zaman yetersiz kalıyor. Kopyalar yedeklerde, gönderilmiş e-posta eklerinde, resepsiyonun WhatsApp arşivinde, eski bir bilgisayarın diskinde, hatta bulut senkronizasyon geçmişinde duruyor olabilir. Tek tek bakılması gereken yerler bunlar.

Aynı Yönetmelik, silme, yok etme ve anonim hale getirmeyle ilgili bütün işlemlerin kayıt altına alınmasını ve bu kayıtların en az üç yıl saklanmasını istiyor. Tarih, işlemi yapan kişi, yaklaşık evrak sayısı ve kullanılan yöntem yazsın, imzalansın. Denetimde en çok işinize yarayacak belge büyük ihtimalle bu kayıt olacak.

Ön büro çekmeceleri ve konaklama klasörleri
Muhasebe arşivi ve fatura ekleri
Bilgisayarlardaki tarama klasörleri ve masaüstü kopyalar
Sunucu ve harici disk yedekleri
E-posta ve WhatsApp geçmişindeki kimlik görselleri
Rezervasyon formu veya kanal üzerinden yüklenen dosyalar

Denetimde ne sorulur

Bir şikayet ya da resen inceleme geldiğinde sorular genelde belli başlıklarda toplanıyor. Cevapların ön büro çalışanının hafızasında değil, yazılı bir politikada ve sistem kayıtlarında bulunması gerekir.

Uygulamada en zor cevaplanan soru "neden saklıyordunuz" oluyor. Alışkanlık, eski müdürün talimatı veya "herkes yapıyor" geçerli bir cevap değil. Hukuki sebebi gösteremediğiniz her veri kaleminin savunması baştan zayıf.

İlke kararına uyulmaması hâlinde 6698 sayılı Kanun'un 18. maddesi kapsamında idari para cezası gündeme gelebiliyor. Bu madde kapsamında sayılan kabahatler arasında aydınlatma yükümlülüğü, veri güvenliğine ilişkin yükümlülükler, Kurul kararlarını yerine getirmeme ve Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü de bulunuyor; tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. Kişisel verinin hukuka aykırı kaydedilmesi ise Türk Ceza Kanunu kapsamında ayrıca değerlendirilebilecek bir konu.

Madde metni tesis büyüklüğüne göre değişmiyor. Ancak Kurul ceza miktarını alt ve üst sınır arasında belirlerken somut olayın özelliklerini dikkate alıyor; bu yüzden tutar konusunda peşinen bir rakam beklemek doğru olmaz.

Hangi kişisel verileri hangi hukuki sebeple işliyorsunuz
Kimlik sureti alıyor musunuz, alıyorsanız dayanağınız ne
Saklama ve imha politikanız var mı, süreleri nasıl belirlendi
Kişisel veri işleme envanteriniz güncel mi; VERBİS kayıt yükümlülüğü kapsamında mısınız, kapsamdaysanız kaydınız güncel mi (ana faaliyeti özel nitelikli veri işlemek olmayan, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az veri sorumluları kural olarak istisna kapsamındadır)
Karar sonrası imha yaptınız mı, kaydı ve tarihi var mı
Ön büroda hangi kullanıcı hangi kayda erişebiliyor, yetkiler ayrılmış mı
Aydınlatma metnini misafire nasıl sunuyorsunuz

Doğru akış nasıl kurulur

Değişimi kalıcı yapan şey talimat değil, akışı fiziksel olarak yeniden kurmaktır. Resepsiyondaki adımlar şöyle sadeleşir: misafir kimliğini uzatır, resepsiyonist belgeye bakıp bilgileri karşılaştırır, ekrana ad-soyad, T.C. kimlik numarası ve giriş-çıkış bilgisi girilir, belge misafire iade edilir, bildirim yapılır. Fatura gerekiyorsa fatura bilgileri ayrıca sorulur.

Fotokopi makinesini ön bürodan kaldırın ya da kimlik için kullanılmasını açıkça yasaklayın. Cihaz orada durduğu sürece yoğun bir akşam vardiyasında eski alışkanlığa dönülme ihtimali yüksek.

Personele tek cümlelik bir kural verin ve vardiya devrinde tekrarlatın: kimliğe bakarız, bilgiyi gireriz, belgeyi iade ederiz. Kısa kural, uzun prosedürden daha iyi tutunuyor.

Yazılım tarafı da bu kuralı desteklemeli. Misafir kartında kimlik görseli yükleme alanı hiç bulunmasın; alan yoksa yanlış kullanım da olmaz. T.C. kimlik numarası serbest metin yerine doğrulamalı alan olsun, böylece hem hatalı kayıt azalır hem de gereksiz not düşme alışkanlığı önlenir. Misafir kayıtlarına erişim ön büro, muhasebe ve yönetim için ayrı yetkilerle tanımlansın.

Aydınlatma metnini de gözden geçirin. Metinde hâlâ "kimlik fotokopisi" geçiyorsa güncellenmesi gerekir; işlemediğiniz bir veriyi işliyormuş gibi yazan bir metin denetimde işinizi zorlaştırır.

Alan yoksa yanlış kullanım da olmaz: kimlik görseli yükleme özelliğini programdan tamamen kaldırın.

Sık karışan üç durum

Yabancı misafir ve pasaport. Karar metni T.C. kimlik belgesi üzerinden kurulmuş. Ancak kararın gerekçesi olan ölçülülük ve veri minimizasyonu mantığı pasaport için de aynı şekilde okunur: bildirime yetecek bilgi alınır, belgenin sureti arşivlenmez. Yabancı misafirlerde de kayıt ve bildirim yükümlülüğü aynı Kanun rejimi içinde işliyor; bilgilerin pasaporttaki yazımıyla eksiksiz ve doğru girilmesi önemli.

Hasar teminatı ve ön otorizasyon. Bazı tesisler oda hasarına karşı kimlik sureti alıp "çıkışta iade ediyoruz" diyor. Teminat kart üzerinden ön provizyonla kurulur; kimlik sureti bunun aracı değildir ve iade sözü de belgenin o süre boyunca sizde durduğu gerçeğini değiştirmez.

Çevrimiçi rezervasyon adımı. Kendi rezervasyon formunuzda veya ön kayıt sayfanızda "kimliğinizin fotoğrafını yükleyin" adımı varsa kaldırın. Kanal yöneticisi veya acente üzerinden size ulaşan kimlik görselleri de aynı kapsamda; gelen dosyayı saklamak da bir işleme faaliyetidir.

Son bir not: bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Tesisinizin özel durumu, sözleşmeleriniz veya devam eden bir inceleme varsa kendi hukuk danışmanınıza sormanız gerekir. Kararın tam metni Kurumun kendi sitesinde ve Resmî Gazete'de yayımlandı; tereddütte kalınan noktada en güvenilir kaynak metnin kendisidir.

Sık sorulanlar

Kimlik fotokopisi almayı bırakırsak bildirimi nasıl yapacağız?

Aynı şekilde. Bildirim bilgi üzerinden yapılır; ad, soyad, T.C. kimlik numarası ve giriş-çıkış bilgisi bildirilir. Yükümlülüğünüzü yerine getirmek için kimlik belgesinin bir kopyasını sisteme yüklemeniz ya da tesiste saklamanız gerekmez.

Misafirin kimliğini isteyebilir miyiz?

Evet. Kurul kimlik belgesinin istenmesini ve görülerek doğrulanmasını hukuka aykırı bulmuyor. Aykırı bulduğu şey, belgenin fotokopisinin veya taramasının alınıp kaydedilmesi.

Eskiden aldığımız fotokopileri saklamaya devam edebilir miyiz?

Hayır. Karar, daha önce kaydedilmiş kimlik suretlerinin 6698 sayılı Kanun'un 7. maddesi uyarınca silinmesini, yok edilmesini veya anonim hale getirilmesini öngörüyor. Kağıt suretler evrak imha makinesinden geçirilmeli, dijital kopyalar yedekler dahil temizlenmelidir.

Karar küçük pansiyonları da kapsıyor mu?

Karar turizm ve otelcilik sektöründe konaklama hizmeti veren veri sorumlularını kapsıyor ve tesis büyüklüğüne göre ayrım yapmıyor. 1774 sayılı Kanun'un saydığı otel, motel, han, pansiyon, kamp, tatil köyü ve benzeri konaklama yerleri bu tanımın içinde kalır.

Yabancı misafirin pasaport fotokopisini alabilir miyiz?

Karar metni T.C. kimlik belgesi üzerinden kurulmuş, ancak dayandığı ölçülülük ve veri minimizasyonu gerekçesi pasaport için de aynı şekilde okunur. Güvenli yol, bildirime yetecek bilgiyi kaydedip belgenin suretini arşivlememektir. Tereddütlü durumda hukuk danışmanınıza sorun.

Otel programımızda kimlik görseli yükleme alanı var, ne yapmalıyız?

Alanı tamamen kaldırın ve mevcut yüklü görselleri imha edin. Alan durduğu sürece yoğun vardiyalarda kullanılma ihtimali sürer; en güvenli önlem özelliğin hiç bulunmamasıdır.

Kaynaklar

Bu yazı bilgilendirme amaçlıdır, hukuki veya mali danışmanlık yerine geçmez. Kendi durumunuz için mali müşavirinize danışın.

Otelde kimlik fotokopisi: KVKK kararından sonra ne saklanabilir, ne saklanamaz