Turizm ve Otelcilik Sektöründe Kimlik Fotokopisi Uygulamasına Son Veren KVKK İlke Kararı İncelemesi

Kişisel Verileri Koruma Kurulunun (“Kurul”) 06.11.2025 tarihli ve 2025/2120 sayılı “Turizm ve Otelcilik Sektöründe Konaklama Hizmeti Alan Kişilerin T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Hakkında İlke Kararı” (“Karar”) 9 Aralık 2025 tarihli ve 33102 sayılı Resmî Gazete’de yayımlanmıştır.

I. KISA ÖZET

Kişisel Verileri Koruma Kurulu, 9 Aralık 2025 tarihli Resmî Gazete ’de yayımlanan Kararında turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerden T.C. kimlik belgesi fotokopisinin alınması ve saklanması uygulamasını mercek altına almış, Kimlik Bildirme Kanunu, ilgili Yönetmelik ve Vergi Usul Kanunu çerçevesinde yaptığı değerlendirme sonucunda:

• Kimlik bilgilerinin kanunda açıkça öngörülen yükümlülükler kapsamında işlenmesini hukuka uygun veri işleme faaliyeti olarak değerlendirmiş,
• T.C. kimlik belgesi fotokopisinin alınmasını ve saklanmasını ise hukuka aykırı veri işleme faaliyeti olarak nitelendirmiştir.

Kararda, kimlik fotokopisi alma işleminin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 4. maddesinde düzenlenen “ölçülülük” ve “veri minimizasyonu” ilkelerini ihlal ettiği vurgulanmıştır. Ayrıca, eski tip nüfus cüzdanlarının arka yüzünde yer alan “din” ve “kan grubu” haneleri nedeniyle, fotokopi alma işleminin Kanun’un 6. maddesinde düzenlenen “özel nitelikli kişisel verilerin işlenmesi” yasağına da takıldığı ve bu verilerin işlenmesi için açık rıza da dahil olmak üzere geçerli bir hukuki sebep bulunmadığı belirtilmiştir. Kurul, veri sorumlularına bu uygulamayı derhal sonlandırma ve mevcut arşivleri imha etme yükümlülüğü de getirmiştir. Anılan Kararda, konaklama işletmelerinin kimlik fotokopisi alma uygulamasına son vermesi ve daha önce alınmış fotokopileri imha etmesi gerektiğine karar vermiş, ilke kararını Resmî Gazete ve Kurum internet sitesinde yayımlamıştır.

• Bu inceleme yazımızda, söz konusu kararın hukuki temelleri, sektör üzerindeki olası etkileri ve uyum süreçlerine etkisi değerlendirilmeye gayret edilecektir.

II. UYGULAMADAKİ İŞLEYİŞ VE SORUNUN ORTAYA ÇIKIŞI

Turizm ve otelcilik sektörü, doğası gereği 7/24 hizmet veren, sirkülasyonun oldukça yoğun olduğu ve güvenlik endişelerinin de üst düzeyde tutulduğu bir alandır. Bu dinamik yapı içerisinde, otel resepsiyonlarında (front office) gerçekleştirilen giriş (check-in) işlemleri misafir ile işletme arasındaki hukuki ilişkinin başladığı andır. Yıllardır süregelen uygulamalarda, resepsiyon görevlilerince otele giriş yapan misafirden kimlik belgesinin ibraz edilmesi (Nüfus Cüzdanı, Ehliyet veya Pasaport) talep edilmekte ve genel itibariyle aşağıda sayılan üç yöntemden biriyle veri işleme faaliyeti yürütülmektedir:

• Manuel giriş: Kimlikteki bilgilerin elle sisteme veya deftere girilmesi (Daha fazla zaman alıyor olması sebebiyle günden güne daha az tercih edilmektedir).
• Fotokopi alma: Müşterinin kimliğinin fotokopisinin alınması ile müşteri evrakları arasına veya “Registration Card” (Konaklama Belgesi) arkasına zımbalanması.
• Dijital tarama (scanning/OCR): Kimliğin bir tarayıcıdan geçirilerek hem görselinin saklanması hem de üzerindeki yazıların Optik Karakter Tanıma (OCR) teknolojisi ile metne çevrilerek Otel Yönetim Sistemine (PMS) aktarılması.

Kimliğin fotokopisinin alınması çok farklı sebeplerle talep edilse de genellikle aşağıda sayılan gerekçelerle savunulduğu bilinmektedir.

• Hız: Misafiri resepsiyonda bekletmemek, kimliği alıp hızlıca fotokopi çekmek suretiyle misafiri odasına yönlendirmek ve veri giriş işlemini daha sonra müsait bir zamanda yapabilmek.
• Güvenlik ve ispat: Olası bir adli soruşturmada veya kriminal bir vakada (örn. sahte kimlik kullanımı, “chargeback” itirazları) “gerçekten o kişinin konakladığını” ispat edebilmek.
• Yasal zorunluluk algısı: 1774 sayılı Kimlik Bildirme Kanunu’nun veri işlemeyi emrettiği, dolayısıyla fotokopinin de bu emrin bir parçası olduğunu değerlendirmek.

Ancak, Karar metninden de anlaşılacağı üzere Kişisel Verileri Koruma Kurumu’na intikal eden çok sayıda şikâyet; misafirlerin kimlik fotokopilerinin alınmasından genel itibariyle rahatsızlık duyduğunu, bu belgelerin güvenliğinin sağlanmasından endişe edildiği ve kötü niyetli kişilerin eline geçme riskine çok açık olduğunu ortaya koymuştur. Kurul, konuyu bireysel şikayetlerin ötesinde ele alarak, uygulamanın sektör genelinde yaygın bir ihlal olduğunu tespit etmekle konuyu bir “İlke Kararı” ile düzenleme gereği duymuştur. Olayın özü, “hizmetin ifası ve güvenlik” ile “kişisel verilerin korunması ve mahremiyet” arasındaki dengenin, veri sorumluları tarafından ölçüsüz bir şekilde veri toplama lehine bozulmuş olmasından ibaret görünmektedir.

III. HUKUKİ İRDELEME

Bu kararın çözümlediği temel sorun, konaklama hizmeti alan kişilere ait kimlik bilgilerinin Kimlik Bildirme Kanunu, ilgili Yönetmelik ve Vergi Usul Kanunu uyarınca kaydedilmesinin hukuki dayanağı ile bu işlemenin KVKK m.5 çerçevesinde açık rıza aranmaksızın gerçekleştirilebilir olup olmadığıdır. Bunun yanı sıra, kimlik doğrulamasının ötesine geçilerek T.C. kimlik belgesinin fotokopisinin alınması ve muhafaza edilmesinin kanunlarda açıkça öngörülmüş bir yükümlülüğe dayanıp dayanmadığı ile KVKK’nın ölçülülük ve veri minimizasyonu ilkeleri kapsamında kabul edilebilir bir veri işleme faaliyeti teşkil edip etmediği uyuşmazlığın esasını oluşturmaktadır.

Kurul kararını; dayandığı hukuki normlar, kanunlar arası ilişki, veri işleme şartları ve ceza hukuku boyutları ile ele almak mümkün olacaktır. Nitekim, KVKK’nın temel ilkelerinden başlayarak, özel kanun hükümlerinin (Lex Specialis) Karar çerçevesinde yorumlanması en uygun sonuca ulaşılmasında fayda sağlayacaktır.

i. Anayasal Temel ve Normlar Hiyerarşisi

Kişisel verilerin korunması hakkı, 2010 yılında Anayasa’nın 20. maddesinde yapılan düzenleme ile anayasal bir güvenceye kavuşturulmuştur. Maddeye göre; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir.” Bu hak, ancak kanunla öngörülen hallerde veya kişinin açık rızasıyla sınırlandırılabilir. Kurul’un 2025/2120 sayılı kararı, temel hak ve özgürlüklerin sınırlandırılmasında geçerli olan “kanunilik” ve “ölçülülük” ilkelerinin somut bir yansımasıdır. Nitekim, bir otel işletmesinin, ticari faaliyetlerini yürütürken kolluk faaliyeti seviyesinde “delil toplama” veya “kimlik doğrulama için belge sureti saklama” yetkisinin bulunmadığı sonucuna ulaşmıştır. Anayasal düzlemde, kişinin mahremiyet hakkına yapılan müdahalenin -kimlik fotokopisi alma işleminin- elverişli, gerekli ve orantılı olup olmadığı noktasında irdeleme yapılması gerektiği açıktır.

ii. 1774 Sayılı Kimlik Bildirme Kanunu

Veri sorumlularının bu noktadaki en temel savunma argümanı olan 1774 sayılı Kanun’un 2. maddesi şu hükmü içermektedir:

“Otel, motel, han, pansiyon, bekar odaları, günübirlik kiralanan evler… sorumlu işleticileri, bu yerlerde ücretli veya ücretsiz, gündüz veya gece, yatacak yer gösterdikleri yerli veya yabancı herkesin kimlik ve geliş- ayrılış kayıtlarını, örneğine ve usulüne uygun şekilde günü gününe tutmak, genel kolluk örgütlerinin her an incelemelerine hazır bulundurmak, Devlet İstatistik Enstitüsüne, talebi halinde vermek zorundadırlar.”

Bu madde ve ilgili Yönetmelik hükümleri dikkatle incelendiğinde şu sonuçlar ortaya çıkmaktadır:

• Kayıt zorunluluğu: Kanun, “kimlik kayıtlarının tutulmasını” emretmektedir. “Kayıt tutmak”, bilginin (ad, soyad, TCKN) bir veri tabanına veya fiziksel bir deftere işlenmesi anlamına gelmektedir. Salt “kayıt tutma” ibaresinin, hatalı olarak kopya alınması seviyesinde bir yükümlülük yüklediği değerlendirilmemelidir.
• İspat aracı olarak kimlik: Yönetmeliğin 5. maddesi, işletmecinin misafirden “kimliğini ispat eden resmî belge” talep etmesini zorunlu kılmaktadır. Ancak bu zorunluluk, “görüldü” (ibraz ve kontrol) işleminin gerçekleştirilebilmesi içindir. Diğer bir deyişle, görevli personel, kişinin beyan ettiği ismin kimliktekiyle aynı olduğunu ve kişinin kimlikteki şahıs olduğunu kontrol etmekle yükümlü bulunmaktadır.
• Anlık veri gönderimi: Ek fıkra ile getirilen KBS (Kimlik Bildirim Sistemi) zorunluluğu, verilerin dijital ortamda kolluk birimlerine anlık gönderilmesini temin etmektedir. KBS sistemi, veri girişi ile ilerleyen bir sistem olduğundan; buradan belge fotoğrafı yüklenilmesi talep edilmemektedir.

Dolayısıyla, 1774 sayılı Kanun, KVKK m.5/2-a’daki “Kanunlarda açıkça öngörülmesi” şartını, sadece “kimlik bilgilerinin işlenmesi” (recording of data) açısından karşılamakta ve fakat “kimlik belgesinin fotokopisinin alınması” açısından karşılamamaktadır.

iii. Veri Minimizasyonu ve Ölçülülük İlkesi (KVKK m.4)

KVKK’nın 4. maddesi, tüm veri işleme faaliyetlerinin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” olmasını şart koşmaktadır. Bir kimlik belgesinin (örneğin T.C. Kimlik Kartı) üzerinde kısaca, T.C. Kimlik No, Ad, Soyad, Doğum Tarihi, Seri No, Son Geçerlilik Tarihi, Cinsiyet, Uyruk, Anne Adı/Baba Adı, Doğum Yeri, Fotoğraf, İmza, bilgileri yer almaktadır.

Karara konu edilen fotokopi işleminin gerçekleştirilmesi halinde ise, kural olarak kolluğa bildirim yapılması ve finansal işlemlerin gerçekleştirilmesi ile sınırlı bir amaç sebebiyle, yukarıda bahsi geçen tüm kişisel verilerin işlenmesi durumu ortaya çıkmaktadır. Özellikle Fotoğraf ve İmza verileri, otelin amacı için pek de gerekli olmayan, “aşırı veri” (excessive data) niteliğindedir. Bir kişinin imza örneğinin otel arşivinde saklanması, örneğin olası hukuka aykırı ele geçirme neticesinde o kişi adına sahte evrak düzenlenmesi veya bilgisi olmaksızın kimliğinin çeşitli iş ve işlemlerde kullanılması riskini beraberinde getirmektedir. Kurul, incelemeye konu kararı ile fotokopi işleminin bu “gereksiz veri yığınını” beraberinde getirmesi nedeniyle ölçülülük ilkesine aykırı olduğuna kanaat etmiştir.

iv. Özel Nitelikli Kişisel Veriler Sorunu: Eski Tip Nüfus Cüzdanları

Türkiye’de halen çok sayıda vatandaşın “Eski Tip Nüfus Cüzdanı” kullanmakta olduğu düşünüldüğünde, bu belgelerin arka yüzünde, din ve kan grubu hanelerinin bulunması da diğer bir soruna yol açmaktadır. KVKK m.6 uyarınca; kişinin dini inancı ve sağlık verisi (kan grubu), Özel Nitelikli Kişisel Veri statüsündedir. Bu verilerin işlenmesi yasaktır ve kural olarak ancak özgür iradeye dayanan açık rıza veya kanunda açıkça öngörülmüş olma hallerinde işlenebilmesi mümkündür. Ne var ki işletme tarafından eski kimlik fotokopisini alındığında, otomatik olarak kişinin din ve kan grubu bilgisi de bu yolla işlenmiş olmaktadır. Kurulun, bu noktada “karartma” (maskeleme) yöntemini de yeterli görmediğini söylemek mümkündür. Zira fotokopi alma eyleminin başlı başına kendisinin gerekli olmadığının değerlendirildiği Karar metninden anlaşılmaktadır.

v. 213 Sayılı Vergi Usul Kanunu (VUK) ve Fatura Düzenleme

Konunun değerlendirilmeye muhtaç diğer bir yönü ise, mali açıdan ortaya çıkan yükümlülüklerle ilgilidir. VUK m.230 ve m.231, faturada bulunması gereken asgari bilgileri düzenlemektedir. Buna göre, gerçek kişiler için fatura bilgileri, ad ve soyad, T.C. Kimlik Numarası (Nihai tüketiciler için vergi kimlik numarası yerine geçer) ve adres bilgisinden ibarettir. VUK, faturanın tevsiki için “müşterinin kimlik fotokopisinin faturaya iliştirilmesini” şart koşmamaktadır. Keza vergi incelemesi gerçekleştirilen aşamada dahi müfettişler, faturadaki T.C. kimlik numarasının doğruluğunu MERNİS üzerinden de sorgulayabileceğinden, kişilerin kimlik fotokopisine ihtiyaç bulunmamaktadır. Dolayısıyla, VUK açısından da fotokopi işlemini meşru bir zemine oturtan “hukuki yükümlülük” (KVKK m.5/2-ç) ortaya çıkmamaktadır.

vi. Veri Sorumlusunun Meşru Menfaati (KVKK m.5/2-f)

Veri sorumlularınca, “İleride oluşabilecek hukuki ihtilaflarda kendilerini savunabilmek adına (örneğin odaya zarar verilmesi veya kıymetli bir malzemenin odadan çalınmış olması, ödeme yapılmamış olması vb.) kimlik fotokopisinin saklanılmasının gerektiği” noktasında “meşru menfaat” savunması yapılabilecektir. Ancak “Meşru Menfaat” şartının kullanılabilmesi için, veri işleme faaliyetinin “ilgili kişinin temel hak ve özgürlüklerine zarar vermiyor olması” esaslı unsurlardandır.

Meşru menfaat şartı yönünden yapılan denge testinde, otelin ücret alacağını veya olası uyuşmazlıkları güvence altına alma yönündeki menfaati ile misafirin kimlik fotokopisindeki bilgilerin işlenmesi ve kişisel verilerinin kötüye kullanılmasına karşı korunma ve mahremiyet hakkı karşılaştırıldığında, kimlik doğrulamasının belgenin sadece aslının görülüp iade edilmesi suretiyle sağlanması gibi amacı gerçekleştirmeye elverişli ve daha hafif araçlar mevcut iken kimlik belgesinin fotokopisinin alınmasının zorunlu olmadığı, bu nedenle söz konusu veri işleme faaliyetinin veri sorumlusunun meşru menfaatine dayandırılamayacağı kabul edilmektedir.

vii. Ceza Hukuku Boyutu

Kişisel veriye ilişkin ihlaller, sadece KVKK kapsamında idari para cezası değil, aynı zamanda Türk Ceza Kanunu (“TCK”) kapsamında hapis cezası riskini de içerisinde barındıran eylemlerdendir.

• TCK m.135 (Kişisel Verilerin Kaydedilmesi): Hukuka aykırı olarak kişisel verileri kaydeden kimseye 1 yıldan 3 yıla kadar hapis cezası verilir. Fotokopi çekmek, teknik olarak bir “kayıt” işlemidir. Yasal dayanağı olmayan bu kayıt, örnek olayın özelliklerine göre değişiklik arz etmekle birlikte TCK m.135 kapsamında suç teşkil edebilir.
• TCK m.136 (Verileri Hukuka Aykırı Olarak Verme veya Ele Geçirme): Arşivdeki fotokopilerin yetkisiz personel veya üçüncü kişilerce ele geçirilmesi durumunda (örn. siber saldırı veya fiziki hırsızlık), veri sorumlusunun bu madde üzerinden de sorumluluğunun tartışılabilmesi mümkündür.

IV. KURUL KARARI VE GEREKÇELENDİRİLMESİ

Kurul’un 2025/2120 sayılı kararı, yukarıda tartışılan hususları da içerisinde barındıracak bir biçimde bağlayıcı hükümler içermektedir. Kararda iki temel faaliyet irdelenmiş ve neticesinde kimlik bilgilerinin kayıt edilmesi işleminin hukuka uygunluğu ile, fotokopi alınması işleminin hukuka aykırılığı açıklanmıştır.

Hukuka uygunluk açısından, Kimlik Bildirme Kanunu, ilgili Yönetmelik ve VUK hükümleri uyarınca konaklama hizmeti alan kişilerin kimlik bilgilerinin kaydedilmesinin kolluk ve vergisel yükümlülüklerin ifası için zorunlu olduğu ve bu nedenle KVKK m.5/2(a) ve (ç) kapsamında açık rıza aranmaksızın hukuka uygun bir veri işleme faaliyeti teşkil ettiğini kabul edilmiştir.

Buna karşılık Kurul, kimlik bilgilerinin doğruluğunun ilgili belgenin ibrazı suretiyle hukuken teyit edilebildiği, ne Kimlik Bildirme Kanunu ve Yönetmeliği ne de VUK hükümlerinde kimlik belgesi fotokopisinin alınmasına ilişkin açık bir düzenlemenin bulunduğu, ayrıca fotokopi uygulamasının eski nüfus cüzdanlarında yer alan din ve kan grubu gibi özel nitelikli kişisel verilerin gereksiz biçimde işlenmesine yol açarak KVKK m.4’te düzenlenen ölçülülük ve veri minimizasyonu ilkelerine aykırılık teşkil ettiği ve sonuç olarak KVKK m.5 ile m.6 bakımından meşru bir veri işleme şartına dayanmadığı gerekçeleriyle, T.C. kimlik belgesi fotokopisinin alınmasını hukuka aykırı bir veri işleme faaliyeti olarak değerlendirmektedir.

Hukuka aykırılığı tespit edilen işleme faaliyetine ilişkin Karar gerekçesinde öne çıkan hususlar şu şekilde özetlenebilir:

• Uygulamanın yaygınlığı ve hukuka aykırılığının tespiti: Kurul, uygulamanın münferit olmadığını, sektör genelinde bir “teamül” olduğunu tespit etmiş; ancak sektör genelinde uygulanıyor olmasının bu eylemi hukuka uygun hale getirmeyeceği vurgulanmıştır.
• Açık rızanın geçersizliği: Kararda, otellerin “müşterinin açık rıza gösterdiği” yönündeki savunmasına itibar edilmediği anlaşılmaktadır. Nitekim, bir hizmetin sunulması (konaklama), veri işleme şartına (fotokopi verme) bağlanmamalıdır. “Bitişik Rıza” (Bundled Consent) yasağı olarak bilinen bu durumda, konaklayacak misafirin örneğin gece yarısı otele geldiğinde, kalacak başka yeri yokken “kimlik fotokopisini verme” yükü altında bırakılmasının, özgür irade ürünü olan bir rızaya dayanmadığını ifade eder.
• İmha zorunluluğu: Kararın diğer bir radikal sonucu ise, İlke Kararı’nın yayımlanmasından sonraki süreci değil, geriye dönük alınmış kayıtların da Kanun’a uygun olarak imha edilmesi yükümlülüğünün de anımsatılmasını içermesidir. Bu, veri sorumluların arşivlerindeki çok sayıda klasör veya sunuculardaki verilerin güvenli bir biçimde imha edilmesi gerektiğini işaret etmektedir.

Özetle Kurul’un İlke Kararı ile amaçladığı hukuki faydanın, veri minimizasyonunu sağlamak ve kimlik hırsızlığı (identity theft) riskini kaynağında yok edecek önlemleri oluşturmak olduğu söylenebilir. Aksi yönde davranışın, veri yığınları oluşumuna sebebiyet vereceği ve sadece işlevsel veri tutulması ilkesinin yerine getirilemeyeceğini göstermektedir.

V. KARAR GEREĞİNCE GÖZDEN GEÇİRİLMESİ TAVSİYE EDİLEN SÜREÇLER

Kişisel Verileri Koruma Kurulu’nun 2025/2120 sayılı kararı, özellikle turizm sektöründe “Veri Koruma Kültürü”nün yerleşmesi adına yapılmış somut yönlendirmelerden biri olarak kabul edilebilir niteliktedir. Bu çerçevede, konaklama işletmelerinin ve ilgili veri sorumlularının ivedilikle alması gereken aksiyonlar şu şekilde başlıklandırılabilir:

1) Operasyonel Süreçlerin Yeniden Dizayn Edilmesi

• Prosedür iptalleri: Eğer mevcut ise, “Kimlik Fotokopisi Alma” prosedürünün yazılı metin ve sözlü talimatlarla iptalinin sağlanması gerekmektedir.
• Personel Eğitimi: Ön büro personeline, KVKK farkındalık eğitimi verilerek, misafirle girilecek olası diyaloglarda paylaşılabilecek yanıtlara ilişkin senaryo çalışmaları yapılması ve (“Beklemek istemiyorum, fotokopisini alabilirsiniz kimliğimin” veya “Neden kimliğimi görmek istiyorsunuz?” vb.) personellerin, kimlik doğrulamasını, kimliğin ibrazı ve Kanunda öngörülen kayıt defteri veya elektronik sistemlere gerekli alanların kaydedilmesi ile sınırlı tutması gerektiği izah edilmelidir.
• Teknoloji yatırımı: Fotokopi yerine, kimlik üzerindeki metni okuyup sisteme aktaran ancak görüntüyü kaydetmeyen “MRZ Okuyucu” (Machine Readable Zone Reader) cihazlara geçiş yapılabilir. Bu cihazlar, pasaport ve yeni kimliklerdeki kodları okuyarak hatasız ve hızlı veri girişi sağlayarak, görüntü saklamadan yükümlülüklerin yerine getirilmesine yardımcı olur.

2) Dijital ve fiziksel temizlik (Data Sanitization)

• Fiziki imha: Arşivlerdeki tüm kimlik fotokopilerinin, KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca, kağıt kırpma makineleri (shredder) ile parçalanarak veya yakılarak yok edilmesi mümkün olacaktır. Bu işlem bir tutanakla kayıt altına alınmalıdır.
• Dijital imha: Sunucularda, bulut sistemlerinde veya resepsiyon bilgisayarlarında bulunan “Taranmış Kimlikler” benzeri klasörlerin, geri getirilemeyecek şekilde (Wipe yöntemleri ile) silinmesi gerekecektir.

3) Aydınlatma metinlerinin revizyonu

Otel girişinde misafire sunulan KVKK Aydınlatma Metinleri güncellenmelidir. Metinde, kimlik verilerinin hangi amaçla (Kanun 1774) işlendiği, kimlere aktarıldığı (Emniyet GM) açıkça belirtilmeli; ancak mevcut ise “kimlik fotokopisi alınmaktadır” benzeri ibareler çıkarılmalıdır. İç prosedür, sözleşme ve aydınlatma metinlerinin de bu İlke Kararına uyumlu olacak şekilde güncellemesi gerekmektedir.

VI. SONUÇ VE DEĞERLENDİRME

Unutulmamalıdır ki, bu İlke Kararına uyulmaması, Kanun’un 18. maddesi uyarınca “Kurul kararlarını yerine getirmeme” fiilini oluşturur. 2026 yılı yeniden değerleme oranları dikkate alındığında, idari para cezalarının üst limitleri 17.000.000 TL gibi ciddi miktarlara erişecek vaziyettedir. İşletmelerin bu denli yüksek cezalarla karşılaşmamak ve itibar kaybı yaşamamak adına, uygulamadan gelen “eski alışkanlıkları” revize ederek hukuka uygun veri işleme süreçlerini benimsemeleri elzemdir. Aksi halde, özellikle yaygın ihlal tespiti durumunda, Kurulun sektör bazlı denetimler gerçekleştirmesi ve idari para cezası dahil çeşitli yaptırımlar uygulaması şüphesizdir.

Nitekim, İlke Kararının Resmî Gazete’de yayımlanmış olması nedeniyle, Kurul’un bundan sonraki süreçlerde konuyla ilgili daha sıkı bir yaklaşım benimseneceği ve İlke Kararı hilafında faaliyetlerin bulunduğunun tespiti halinde yaptırım uygulanmasının kuvvetle muhtemel olacağını beklemek gerekmektedir. Bu nedenle; Karar, yalnız turizm ve otelcilik sektörü için değil, kimlik doğrulama süreçlerinde “fotokopi alma” veya benzeri “evrak kopyalama” refleksi gelişmiş ve veri minimizasyonu ilkesini gözetmeksizin veri işleme faaliyeti yürüten tüm sektörler için önemli bir referans noktası olarak değerlendirilmelidir.

Yasal Uyarı: Bu karar incelemesi, Kişisel Verileri Koruma Kurulu’nun söz konusu Kararına ve mer’i mevzuata ilişkin genel nitelikte bilgi sunmak amacıyla hazırlanmış olup, somut olayların özelliklerine göre değişebilecek hukuki değerlendirmelerin yerine geçmez; konuya ilişkin özel hukuki değerlendirme ve yönlendirme için uzman bir hukukçudan profesyonel destek alınması önem arz etmektedir.

İlke Kararının tam metni: https://www.legista.com.tr/wp-content/uploads/2025/12/Kvkk-Ilke-Karari-09.12.2025.pdf