Turizm Hukuku Köşesi

Otellerde Kimlik Fotokopisi Alınmasına İlişkin KVKK İlke Kararı: Yasak Değil, Farkındalık

Av. İslam Amirhan

Değerli okurlar,

9 Aralık 2025 tarihli ve 33102 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulu’nun 06.11.2025 tarih ve 2025/2120 sayılı ilke kararı, uzun süredir otel ve benzeri konaklama tesislerinde alışkanlık hâline gelmiş bir uygulamaya net bir sınır çizdi: Misafirlerden T.C. kimlik belgesinin fotokopisini almak hukuka aykırıdır.

Kurul, bu kararla yalnızca mevcut uygulamayı durdurmakla kalmadı; geçmişte bu yöntemi kullanan veri sorumlularına da açık bir sorumluluk yükledi. Ellerinde bulunan kimlik fotokopileri, Kişisel Verilerin Korunması Kanunu’nun 7. maddesi uyarınca imha edilmelidir. Ancak bu kararı yalnızca bir “yasak” olarak okumak eksik olur. Asıl önemli olan, kararın arkasında yatan ilke temelli yaklaşımı doğru anlamaktır.

KVKK’nın yürürlüğe girdiği günden bu yana Kurulun ilke kararları, cezalandırmadan çok yol gösterme amacını taşır. Amaç; kişisel verilerin işlenmesi konusunda farkındalığı artırmak, gönüllü uyumu sağlamak ve veri sorumlularına rehberlik etmektir. Son karar da tam olarak bu bakış açısıyla ele alınmalıdır.

Hukuka ve Dürüstlük Kuralına Uygunluk ilkesi :

Kurulun kararı, kişisel veri işleme faaliyetlerinin hukuka uygun olması gerektiği temel prensibine dayanıyor. Kimlik fotokopisinin alınmasını zorunlu kılan bir mevzuat bulunmadığı gibi, bu uygulamanın makul ve öngörülebilir bir gereklilik olduğunu söylemek de mümkün değil. Otel kayıtlarının İçişleri Bakanlığı’nın sisteminde işlendiği düşünüldüğünde, fotokopinin saklanması ilgili kişinin mahrem alanını gereksiz ve orantısız biçimde ihlal ediyor.

Bu yönüyle karar, sadece bir yasak getirmiyor; veri sorumlularına “gerekçen yoksa veri işleme” mesajı veriyor.

Doğru ve Güncel Olma İlkesi

Kimlik fotokopisi çoğu zaman anlık doğrulama amacıyla alınıyor. Dolayısıyla bu belgelerin saklanması, güncellik ve doğruluk ilkesi bakımından da sorun yaratıyor. Kimlik yenilendiğinde, otelin arşivinde kalan fotokopi yanlış ve işlevsiz bir veri hâline geliyor. Kurul, bu uygulamayı hukuka aykırı bularak aslında işletmelere şunu hatırlatıyor: "Doğru olmayan, güncelliğini yitirmiş veya amaca hizmet etmeyen veriyi elinde tutma.”

Belirli, Açık ve Meşru Amaç İlkesi

Konaklama tesislerinin amacı bellidir: Misafirin kimliğini doğrulamak ve mevzuat gereği kimlik bildirimini yapmak. Bu amaçla kimlik belgesinin gösterilmesi yeterlidir. Ancak fotokopinin alınması ve saklanması, belirtilmiş amaçla doğrudan bağlantılı değildir. Veri işleme amaçları ilgili kişi tarafından açıkça anlaşılabilir olmalı ve meşru bir zemine dayanmalıdır. Otelin “güvenlik” veya “ihtiyaç olabilir” gerekçesiyle fotokopi alması, keyfi ve belirsiz bir amaç niteliği taşıdığından bu ilkeye aykırıdır.

Bağlantılı, Sınırlı ve Ölçülü Olma İlkesi

Kimlik fotokopisinde; T.C. kimlik numarası, Anne baba adı, Doğum yeri ve tarihi, Fotoğraf,

Seri numarası gibi çok sayıda kişisel veri bulunmaktadır. Bu kadar kapsamlı bir verinin saklanması ölçülülük ilkesini açıkça ihlal eder. Kimliğin gösterilmesi yeterliyken fotokopinin alınması, amaçla orantısız bir veri işleme faaliyetidir.

Burada ise karşımızda bir başka mesaj ve farkındalık ihtiyacı çıkıyor ” Gerçekten ihtiyaç duyduğundan fazla veri işleme “

Gerekli Süre Kadar Muhafaza İlkesi

Kimlik fotokopilerin çoğu otellerde yıllarca saklanıyor, hatta bazen hiç imha edilmiyor. Bu durum, Kanun’un 4/2-e maddesindeki saklama süresine uyma yükümlülüğünü tamamen ortadan kaldırıyor. Kurul'un imha zorunluluğunu hatırlatması bu nedenle son derece isabetlidir.

Sonuç: Kurulun İlke Kararı Sektör İçin Bir Yasak Değil, İlke Farkındalığı Çağrısıdır

Kurulun ilke kararı otel işletmelerine sadece bir yasak getirmiyor; aynı zamanda tüm sektörlere şu mesajı veriyor:

"KVKK uyumu, belge toplamak değil; ilkelere uygun hareket etmektir."

Kişisel verilerin korunmasına ilişkin temel ilkeler hukuka uygunluk, ölçülülük, açıklık, sınırlılık ve gereklilik tüm işletmelerin içselleştirmesi gereken evrensel standartlardır.

Kurumun ilke kararlarının amacı da tam olarak budur Farkındalığı artırmak, gönüllü uyumu teşvik etmek, kişi ve şirketlere yol göstermek, kişisel veri bilincini toplumda yerleştirmek. Herkes bu tür kararların sektörlerde uygulamaya dönüşmesine katkı sunmak durumundadır. Çünkü veri koruma kültürünün gelişmesi, hem bireylerin mahremiyetine saygıyı artıracak hem de işletmelerin daha güvenilir ve şeffaf hale gelmesine katkı sağlayacaktır.