Hızlı cevap: Oteller; misafirin kimlik ve pasaport bilgisi, iletişim, ödeme kartı, konaklama geçmişi ve tercihleri gibi çok sayıda kişisel veriyi işler. Bu veri KVKK kapsamındadır ve otelin veri sorumlusu olarak koruma, saklama süresi ve ihlal bildirimi yükümlülükleri vardır. Otellerde KVKK uyumu; misafir verisinin sınıflandırılması, gereksiz saklamanın önlenmesi, erişimin sınırlanması ve bir ihlalde 72 saat içinde bildirim yapılmasına dayanır.

Otel hangi kişisel verileri işler?

Bir otel, misafir daha lobiye girmeden verisini işlemeye başlar. Rezervasyon anındaki ad ve iletişim bilgisinden, giriş sırasındaki kimlik ve pasaport kaydına, ödeme kartından konaklama geçmişine kadar geniş bir veri toplanır. Buna misafirin tercihleri, sadakat programı bilgisi ve bazen sağlık ya da yeme içme alışkanlıkları da eklenir.

Bu verinin bir kısmı özellikle hassastır. Kimlik ve pasaport numarası, ödeme kartı ve varsa sağlıkla ilgili tercihler daha yüksek koruma gerektirir. Otelin bu veriyi neden topladığını, ne kadar süre tuttuğunu ve kimin eriştiğini bilmesi gerekir.

Otellerde KVKK temel yükümlülükleri

Yükümlülük Otel için anlamı
Aydınlatma yükümlülüğü Misafire hangi verinin neden işlendiğini açıklama
Amaçla sınırlılık Veriyi yalnızca gerekli amaçla toplama ve kullanma
Saklama süresi Veriyi gereğinden uzun tutmama, süresi dolanı silme
Veri güvenliği Teknik ve idari tedbirlerle koruma
İhlal bildirimi İhlali öğrenince en kısa sürede, 72 saat içinde Kurula bildirme
VERBİS Gereken hallerde veri işleme envanterine kayıt

Sık yapılan hatalar

  • Kimlik ve pasaport fotokopilerinin korumasız bir klasörde ya da masaüstünde birikmesi.
  • Ödeme kartı bilgisinin PMS'te ya da e-postada kalıcı tutulması.
  • Ayrılan personelin erişiminin kaldırılmaması.
  • Konaklama sonrası gereksiz verinin yıllarca silinmeden saklanması.
  • Misafir verisinin pazarlama için açık rıza olmadan kullanılması.

Bir veri ihlalinde ne yapılır?

Otelde bir veri ihlali yaşandığında (örneğin PMS'in ele geçirilmesi ya da misafir verisinin sızması), süre işlemeye başlar. Önce olay kontrol altına alınır ve etkilenen veri belirlenir. Ardından ihlalin KVKK Kuruluna bildirilmesi gerekir, bunun için ilkeli olarak 72 saatlik bir pencere esas alınır. Etkilenen misafirlere de bildirim gerekebilir. Bu sürecin doğru yürütülmesi, hem yasal sorumluluğu hem de itibar kaybını azaltır.

KAOS ve DSET yaklaşımı

DSET, otellerin KVKK uyumunu hem hukuki hem teknik açıdan değerlendirir: hangi misafir verisi nerede tutuluyor, kim erişiyor, ne kadar saklanıyor. Geliştirdiğimiz KAOS güvenlik motoru, otel altyapısında açıkta kalan misafir verisini, korumasız kimlik fotokopisi klasörlerini ve maskelenmemiş kart verisini raporlar. Bu yazı genel bir bilgilendirmedir, somut bir uyuşmazlıkta hukuki görüş için danışmanlık gerekir. Bizim alanımız teknik tespit ve uyum denetimidir.

Bağlantılı okumalar: otel PMS yönetim sistemi güvenliği, otel misafir Wi-Fi güvenliği, KVKK uyum danışmanlığı ve VERBİS, veri ihlali 72 saat KVKK bildirimi, KVKK ihlal cezası ne kadar, veri maskeleme ve anonimleştirme.

Sık sorulan sorular

Otel misafir kimlik fotokopisini ne kadar saklayabilir? Otel, kimlik ve konaklama kaydını yasal yükümlülükleri kadar tutmalı, bu sürenin ötesinde gereksiz saklamamalıdır. Fotokopilerin korumasız bir klasörde ya da masaüstünde birikmesi tipik ve riskli bir hatadır. Amaçla sınırlılık ve saklama süresi ilkesi gereği, işlevini yitiren veri güvenli biçimde silinmelidir. Kesin süreler için hukuki danışmanlık önerilir.

Otelde veri ihlali olursa 72 saat kuralı nasıl işler? KVKK, veri sorumlusunun ihlali öğrendiği andan itibaren en kısa sürede, ilkeli olarak 72 saat içinde Kurula bildirim yapmasını bekler. Bu yüzden bir ihlal fark edilir edilmez olay kontrol altına alınmalı, etkilenen veri belirlenmeli ve bildirim süreci başlatılmalıdır. Doğru ve zamanında bildirim hem yasal sorumluluğu hem itibar kaybını azaltır.

Misafir verisini pazarlama için kullanabilir miyiz? Ancak uygun bir hukuki dayanak varsa. Misafire e-posta ya da mesaj yoluyla pazarlama yapmak genelde açık rıza gerektirir. Konaklama için toplanan veriyi otomatik olarak pazarlamada kullanmak, amaçla sınırlılık ilkesine aykırı olabilir. Bu yüzden pazarlama izinleri ayrı ve açık biçimde alınmalıdır.

Kaynaklar

Otelinizin KVKK uyumunu teknik ve hukuki açıdan değerlendirmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.