KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun kısaltmasıdır. Kanun; kimliği belirli veya belirlenebilir kişilere ait her türlü bilginin işlenmesini düzenler. Oteller ad-soyad, kimlik/pasaport bilgisi, iletişim bilgileri, ödeme bilgileri, konaklama tercihleri, kamera kayıtları gibi çok sayıda kişisel veri işlediği için KVKK'nın en yoğun uygulandığı sektörlerden biridir. Kanunun uygulanmasını Kişisel Verileri Koruma Kurumu ve Kurulu denetler.
Temel ilkeler
- Hukuka uygunluk ve amaçla sınırlılık: Veriyi belirli, açık ve meşru bir amaç için toplayın; o amaç için gerekenden fazlasını istemeyin.
- Hukuki sebep: Her veri işleme faaliyetinin bir hukuki sebebi olmalıdır. Örneğin misafir kimlik bilgilerinin alınması Kimlik Bildirim Sistemi kapsamındaki kanuni yükümlülükten, rezervasyon bilgileri sözleşmenin ifasından kaynaklanır. Açık rıza her iş için gerekli değildir; ancak pazarlama gibi başka bir hukuki sebebe dayanmayan işlemler için gerekebilir.
- Aydınlatma yükümlülüğü: Misafire, verisinin hangi amaçla işlendiğini, kimlere aktarılabileceğini ve haklarını anlatan bir aydınlatma metni sunulmalıdır (web sitesi, rezervasyon motoru, resepsiyon).
- Saklama süresi: Veriler ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar saklanmalı, sonra silinmeli, yok edilmeli ya da anonim hale getirilmelidir.
Otellere özgü konular
- Özel nitelikli veriler: Sağlık bilgisi (alerji, engellilik durumu), biyometrik veri gibi veriler daha sıkı kurallara tabidir. Gerekmedikçe toplamayın.
- Kimlik fotokopileri: Kimlik veya pasaportun kopyasını alışkanlıkla saklamak yerine gerçekten gerekip gerekmediğini değerlendirin.
- Kamera kayıtları: Ortak alanlardaki kameralar için bilgilendirme yapılmalı, kayıtlara erişim sınırlanmalıdır.
- Yurt dışına aktarım: Yabancı OTA'lar, bulut tabanlı PMS ve CRM sistemleri çoğu zaman veriyi yurt dışında işler. Yurt dışına aktarım kuralları 2024 yılında değiştirilmiştir; kullandığınız hizmet sağlayıcılarla yapılan sözleşmeleri bu açıdan gözden geçirin.
- VERBİS: Belirli ölçütleri karşılayan veri sorumluları Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmakla yükümlüdür. Tesisinizin yükümlü olup olmadığını teyit edin.
Pazarlama iletileri
E-posta pazarlaması, SMS ve WhatsApp kampanyaları için KVKK'nın yanında 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve İleti Yönetim Sistemi (İYS) kuralları da geçerlidir. Ticari elektronik ileti göndermek için alıcının önceden onayı gerekir; onayları İYS'ye kaydetmek ve ret taleplerini hızla işlemek gerekir.
Sık yapılan hatalar
- Konaklama için alınan telefon numarasını onay almadan kampanya listesine eklemek.
- Kimlik fotokopilerini kilitsiz dolaplarda veya ortak e-posta kutularında bırakmak.
- Personelin kişisel WhatsApp hesaplarından misafir verisi paylaşması.
- Tüm işlemler için tek bir genel "açık rıza" metni imzalatıp aydınlatma yükümlülüğünü yerine getirdiğini sanmak.
- Eski çalışanların PMS ve kanal yöneticisi erişimlerini kapatmamak.