Kişisel Verileri Koruma Kurumu’nun 06.11.2025 Tarihli 2025/2120 Numaralı Kararı Resmi Gazetede Yayımlandı
Kişisel Verileri Koruma Kurumu “Kurum” turizm ve otelcilik sektöründe konaklama yerlerinde misafir edilen kişilerden T.C. kimlik belgesi fotokopisi alındığı yönünde Kurum’a çok sayıda şikâyet ve ihbar iletilmesi üzerine önemli bir ilke kararı yayımlandı.
Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade etmekte, kimlik belgesi fotokopisi ile elde edilen bilgilerin kişisel veri olduğu yönünde hiçbir şüphe bulunmamaktadır. 6698 sayılı Kişisel Verileri Korunması Kanunu’nun “Kanun” 5. maddesinin birinci fıkrasında kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği hükmüne, ikinci fıkrasında ise kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olduğu durumlara yer verilmiştir. Dolayısıyla kişilerin açık rızası olmadan kişisel verilerinin işlenmesi ancak şu durumlarda mümkündür;
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Bu doğrultuda Kurum mevzuat hükümlerini incelemiştir.
Kimlik Bildirme Kanunu Hükümleri Bakımından Yapılan Değerlendirme
1774 sayılı Kimlik Bildirme Kanunu’nun 2.maddesi “Otel, motel, han, pansiyon, bekâr odaları, günübirlik kiralanan evler, kamp, kamping, tatil köyü, marinalar, liman tesisi, kıyı tesisi ve benzeri her türlü, özel veya resmi konaklama yerleri ile özel sağlık müesseseleri, dinlenme ve huzur evleri, dini ve hayır kurumlarının sosyal tesislerinin sorumlu işleticileri, bu yerlerde ücretli veya ücretsiz, gündüz veya gece, yatacak yer gösterdikleri gemi/deniz turizmi araçlarında kalan kişiler de dâhil olmak üzere yerli veya yabancı herkesin kimlik ve geliş- ayrılış kayıtlarını, örneğine ve usulüne uygun şekilde günü gününe tutmak, genel kolluk örgütlerinin her an incelemelerine hazır bulundurmak, Devlet İstatistik Enstitüsüne, talebi halinde vermek zorundadırlar.” hükmünü haizdir.
Yine Kimlik Bildirme Kanununun Uygulanmasına Dair Yönetmeliğin “Kayıtlama” başlıklı 5. maddesi, “Bu Yönetmelik hükümlerine göre kimlik bildirme belgelerini en yakın yetkili genel kolluk örgütüne vermekle yükümlü tutulanlar, kimliğini nüfus hüviyet cüzdanı veya diğer resmi geçerli belgelerle ispat edemeyen kimseleri, tesislerinde barındıramaz, konut ve iş yerinde çalıştıramaz.” ve aynı yönetmeliğin “Yönetmeliğin 6.maddesinde sayılan yerlerin sorumlu işleticileri tarafından; buralarda ücretli veya ücretsiz, gündüz veya gece yatacak yer gösterilen yerli veya yabancı herkesin kimliği ile geliş ve ayrılış tarihleri, KONAKLAMA YERİ KAYIT DEFTERİ (Form:7) ne günü gününe geçirilir. Bu yerlerde kalacak kişilerin, kendilerine verilecek kopyalı bir örnek KONAKLAMA BELGESİ (form:8) ni doldurarak imzalamaları ve sorumlu işleticiye vermeleri şarttır. Konaklama belgesindeki bilgiler, kişinin kimliğini belirten geçerli resmi belge ile karşılaştırıldıktan sonra, konaklama yeri kayıt defterine aktarılır.” hükümlerini haizdir.
Kurul, mevzuat hükümleri çerçevesinde anılan yerlerde konaklama hizmeti alan kişilerden alınan kimlik bilgilerinin kaydedilmesi şeklinde gerçekleştirilen veri işleme faaliyetini Kimlik Bildirme Kanunu ve Kimlik Bildirme Kanununun Uygulanmasına Dair Yönetmeliğin anılan hükümleri doğrultusunda değerlendirerek bu faaliyetin Kanun’un 5.maddesinde öngörülen durumlardan “Kanunda açıkça öngörülmesi” ve “Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması” şartları çerçevesinde işlendiğini ve bu durumun hukuka uygun bir işleme faaliyeti olduğunu tespit etmiştir.
Ancak Kurul, T.C. kimlik belgesinin fotokopisinin de alınarak kayda geçirilmesi şeklinde gerçekleşen kişisel veri işleme faaliyetinin gereğinden fazla veri işleme sonucunu doğurduğunu ve bu işlemin herhangi bir hukuki dayanağının olmadığını tespit etmiştir. Dolayısıyla isim, soy isim, T.C. kimlik numarasından oluşan kimlik bilgilerinin kaydedilerek yapılan veri işleme faaliyetini hukuka uygun bulurken T.C. Kimlik Belgesi fotokopisinin kaydedilmesi işleminin hukuka aykırı bir işleme faaliyeti olduğunu sonucuna varmıştır.
Faturalandırma Bakımından Yapılan Değerlendirme
Kurul söz konusu durumu faturalandırma açısından da değerlendirmiştir. Bu açıdan 213 sayılı Vergi Usul Kanun’unun 230. maddesi ile faturada “Müşterinin adı, ticaret unvanı, adresi, varsa vergi dairesi ve hesap numarası” bilgisinin bulunacağı hüküm altına alınmıştır. Aynı kanunun 240. maddesi ise otel, motel ve pansiyon gibi konaklama yerlerinin oda, bölme ve yatak planına uygun olarak günlük müşteri listeleri düzenleneceğini bu listelerde oda numarası yazılmak suretiyle müşterinin adı, soyadı ve oda ücretinin düzenleme tarihi ile birlikte bulunacağı düzenlenmiştir.
Bu hükümler karşısında ilgili kişilerin anılan maddede yer alan kişisel verilerinin işlenmesi faaliyetinin Kanun’un 5. Maddesinde yer alan “Kanunlarda açıkça öngörülmesi” şartı çerçevesinde hukuka uygun bir işleme faaliyeti olduğuna karar vermiştir.
Sonuç
Kurul tarafından yapılan değerlendirme neticesinde;
Turizm ve otelcilik alanında hizmet veren veri sorumluları tarafından konaklama yerlerinde misafir edilen kişilerden T.C. Kimlik Belgesi fotokopisi alınması uygulamasına son verilmesi,
İlke kararın yayınlanmasından önce konaklama amacıyla hizmet alan ilgili kişilere ait T.C. kimlik belgesi fotokopilerini kayıt altına alan veri sorumlularının bu nitelikteki belgeleri Kanun’un 7. maddesine uygun olarak imha etmesinin zorunlu olduğu sonucuna varılmıştır.
Bu doğrultuda Kanun’un 12. maddesi gereğince kişisel verileri hukuka uygun işlenmesini sağlamak amacıyla veri sorumlularının her türlü teknik ve idari tedbirleri almak zorunda olduğu vurgulanmıştır. Kararda belirtilen hususlara uygun hareket edilmediğinin tespiti halinde veri sorumluları hakkında Kanun’un 18. maddesi uyarınca çeşitli idari yaptırım işlemleri tesis edileceğine karar verilmiştir.