Konaklama Sektöründe Kimlik Fotokopisi Uygulamasına İlişkin KVKK İlke Kararı: Sektör İçin Yeni Bir Standart
1.Giriş
06 Kasım 2025 tarihli ve 33102 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulu’nun (“Kurul”) “Konaklama Hizmeti Alan Kişilerden T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Hakkında İlke Kararı”, turizm ve otelcilik sektöründe uzun süredir tartışma konusu olan veri işleme uygulamalarına ilişkin önemli bir çerçeve ortaya koymuştur. Bu kapsamda özellikle kimlik belgesi fotokopisinin alınması ve saklanmasına yönelik değerlendirmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ile uyumun güçlendirilmesine ve konaklama sektöründe kişisel veri işleme faaliyetlerinin açık, ölçülü ve amaçla bağlantılı kurallara bağlanmasına yönelik kritik yenilikler getirmiştir.
Kurul’un söz konusu kararı hem mevzuattaki yükümlülüklerin sınırlarının netleştirilmesi hem de verisi işlenen kişilerin hak ve özgürlüklerinin korunması bakımından önemli bir dönüm noktası niteliği taşımakta; otel, pansiyon ve benzeri tüm konaklama işletmelerinin veri işleme süreçlerini yeniden gözden geçirmesini gerektirmektedir.
2.KVKK m.5 Kapsamında Kişisel Veri İşleme Şartlarına İlişkin Hukuki Değerlendirme
Kurul’un kararında ilk olarak KVKK’nın 5. maddesi merkezî bir konuma yerleştirilmiştir. Anılan hükme göre kişisel verilerin işlenmesi, kural olarak ilgili kişinin açık rızasına tabidir. Ancak veri işlemenin kanunlarda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ya da veri sorumlusunun meşru menfaatleri kapsamında zorunlu hâllerin bulunması gibi durumlarda açık rıza aranmaksızın veri işlenmesi mümkündür.
Kurul’un bu maddeyi karara dahil etmesi, kimlik fotokopisi alma uygulamasının hangi işleme şartı ile ilişkilendirilebileceğinin analizini zorunlu kılmaktadır. Zira kimlik bilgilerinin kontrol edilmesi, 1774 sayılı Kanun gereği veri sorumlusuna yüklenen bir zorunluluk olmakla birlikte, kimlik belgesinin fotokopisinin alınması böyle bir zorunluluğun parçasını oluşturmamaktadır. Bu nedenle söz konusu uygulamanın “hukuki yükümlülüğün yerine getirilmesi” işleme şartı kapsamında değerlendirilemeyeceği açıkça ortaya çıkmaktadır. Kurul, bu gerekçeyle kimlik fotokopisi alma pratiğinin herhangi bir işleme şartı ile hukuki bağ kuramadığını vurgulamakta ve bu yönüyle Kanun’a aykırılık teşkil ettiğini belirtmektedir.
Özel Nitelikli Kişisel Verilere İlişkin Risklerin Değerlendirilmesi
Kararda vurgulanan kritik hususlardan biri, belirli kimlik belgesi türlerinde yer alan din, kan grubu gibi özel nitelikli kişisel verilerin, kimlik belgesinin fotokopi yoluyla çoğaltılması sonucunda işlenme ihtimalidir. KVKK’nın 6. maddesi çerçevesinde özel nitelikli kişisel veriler, bireylerin ayrımcılığa uğrama potansiyelini artıran ve bu nedenle daha katı koruma tedbirlerine tabi tutulan veri kategorileri olarak tanımlanmaktadır. Bu verilerin işlenmesi, Kanun’da öngörülen istisnaların varlığına sıkı sıkıya bağlı olup, açık rıza dışındaki işleme şartları sınırlı ve dar yorumlanması gereken istisnalardır.
Kurul, eski tip nüfus cüzdanlarının hâlen kullanımda olduğu olgusundan hareketle, kimlik fotokopisi alma uygulamasının özel nitelikli verilerin farkında olunmaksızın işlenmesi sonucunu doğurabileceğine dikkat çekmektedir. Bu tespit, söz konusu uygulamanın yalnızca veri minimizasyonu ve ölçülülük ilkelerine aykırılık teşkil etmekle kalmayıp, aynı zamanda özel nitelikli veri kategorisine dâhil bilgilere yönelik hukuki rejimi de ihlal edebilecek nitelikte olduğunu göstermektedir. Bu nedenle Kurul, konaklama tesislerinin mevcut uygulamalarını yeniden değerlendirmeleri ve özel nitelikli veri işleme riskini bertaraf edecek tedbirleri en kısa sürede tesis etmelerinin zorunluluğuna işaret etmektedir.
4.Geçmiş Döneme Ait Veri Setlerinin Akıbeti ve İmha Yükümlülüğü
Kararda, geçmiş dönemlerde alınmış kimlik fotokopilerinin hukuki statüsüne ilişkin kapsamlı bir değerlendirmeye de yer verilmiş ve KVKK’nın 7. maddesi çerçevesinde, hukuki bir işleme şartına dayanmaksızın muhafaza edilen bu verilerin imhasının zorunlu olduğu açıkça ifade edilmiştir. Bu bağlamda veri sorumlularının, hâlihazırda ellerinde bulunan kimlik fotokopilerini sistematik bir şekilde inceleyerek, herhangi bir işleme şartıyla ilişkilendirilemeyen verileri silme, yok etmeveya anonim hâle getirme yöntemlerinden biriyle ortadan kaldırmaları gerekmektedir. Söz konusu yükümlülüğün yerine getirilmesi, yalnızca veri güvenliğinin sağlanması bakımından değil, veri sorumlusunun gelecek dönemde karşılaşabileceği hukuki ve idari yaptırımların bertaraf edilmesi açısından da kurucu bir önem taşımaktadır.
Bu çerçevede konaklama tesislerinin imha faaliyetlerini, belgelendirilebilir, denetime elverişli ve Kurul kararları ile Kurum rehberlerinde öngörülen ilkelerle uyumlu biçimde yürütmeleri gerektiği açıktır. İmha süreçlerinin kurumsal politikalara entegre edilmesi, iç prosedürlerin güncellenmesi ve personelin bu doğrultuda talimatlandırılması; veri sorumlusunun hesap verebilirlik yükümlülüğünün doğal bir uzantısı niteliğindedir. Ayrıca, aydınlatma metinleri ile çalışanlara yönelik operasyonel talimatların İlke Kararı çerçevesinde revize edilmesi, hem şeffaflık ilkesinin gereği hem de hukuka uygun veri işleme pratiğinin sürdürülebilirliği açısından zorunluluk arz etmektedir.
5.Sonuç
Netice itibarıyla Kurul’un bu İlke Kararı, turizm ve konaklama sektöründeki kişisel veri işleme faaliyetlerine ilişkin olarak; hem 1774 sayılı Kimlik Bildirme Kanunu hem de 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda öngörülen genel ilkeler, işleme şartları ve özel nitelikli kişisel verilere ilişkin sınırlamaların bu alana nasıl uygulanması gerektiğini somutlaştıran önemli bir kilometre taşı niteliğindedir. Karar, konaklama hizmeti sunan işletmeler açısından veri işleme süreçlerinin yalnızca kimlik doğrulama ve bildirim yükümlülükleriyle sınırlı tutulmasını; bu amaçla zorunlu olmayan kimlik fotokopisi alma pratiğinin terk edilmesini ve elde edilen verilerin her aşamada amacına uygun, ölçülü ve şeffaf bir şekilde kullanılmasını zorunlu kılmaktadır.