Turizm ve otelcilik sektörü, insana hizmet etme niteliğinden dolayı kişisel verilerin en yoğun işlendiği sektörlerden biridir. Bu minvalde konaklama yerlerinde misafir edilen kişilerden T.C. kimlik belgesi fotokopisi alındığı yönünde Kişisel Verileri Koruma Kurumuna (Kurum) muhtelif sayıda şikâyet ve ihbar iletilmiş olup bu husus hakkında sektörün bilgilendirilmesi ve konuya ilişkin olarak Kişisel Verileri Koruma Kurulu (Kurul) tarafından İlke Kararı alınması gereği hasıl olmuştur.
Bu çerçevede mevzuat hükümleri incelendiğinde;
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (Kanun) 5 inci maddesinde kişisel verilerin işlenme şartlarına yer verilmiş olup; bu maddenin birinci fıkrasında, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, ikinci fıkrasında belirtilen şartlardan birinin varlığı halinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu hükme bağlanmıştır.
Kanun'un 6'ncı maddesi gereğince; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.
1774 sayılı Kimlik Bildirme Kanunu'nun 2 nci maddesi; "Otel, motel, han, pansiyon, bekar odaları, günübirlik kiralanan evler, kamp, kamping, tatil köyü ve benzeri her türlü, özel veya resmi konaklama yerleri ile özel sağlık müesseseleri, dinlenme ve huzur evleri, dini ve hayır kurumlarının sosyal tesislerinin sorumlu işleticileri, bu yerlerde ücretli veya ücretsiz, gündüz veya gece, yatacak yer gösterdikleri yerli veya yabancı herkesin kimlik ve geliş- ayrılış kayıtlarını, örneğine ve usulüne uygun şekilde günü gününe tutmak, genel kolluk örgütlerinin her an incelemelerine hazır bulundurmak, Devlet İstatistik Enstitüsüne, talebi halinde vermek zorundadırlar." hükmünü haizdir.
Kimlik Bildirme Kanununun Uygulanmasına Dair Yönetmeliğin "Kayıtlama" başlıklı 5 inci maddesi; "Bu Yönetmelik hükümlerine göre kimlik bildirme belgelerini en yakın yetkili genel kolluk örgütüne vermekle yükümlü tutulanlar, kimliğini nüfus hüviyet cüzdanı veya diğer resmi geçerli belgelerle ispat edemeyen kimseleri, tesislerinde barındıramaz, konut ve iş yerinde çalıştıramaz." hükmünü haizdir.
Yukarıda yer verilen mevzuat hükümleri çerçevesinde bütün olarak değerlendirme yapıldığında; anılan yerlerde konaklama hizmeti alan ilgili kişilerden isim, soy isim, T.C. kimlik numarasından oluşan kimlik bilgilerinin kaydedilmesi şeklinde gerçekleşen kişisel veri işleme faaliyetinin 1774 sayılı Kimlik Bildirme Kanunu ve Kimlik Bildirme Kanununun Uygulanmasına Dair Yönetmeliğin açık hükümleri doğrultusunda 6698 sayılı Kanunun 5 inci maddesinin (a) bendi "Kanunlarda açıkça öngörülmesi" ve (ç) bendi "Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması" şartları çerçevesinde işlendiği ve dolayısıyla hukuka uygun bir işleme faaliyeti olduğu açıktır.
Bununla beraber önemle belirtmek gerekir ki, ilgili yerlerde konaklayan kişilerden işlenen kişisel verilerin doğruluğunun resmî belge ile karşılaştırmak suretiyle teyidinin sağlanması ve bu amaçla T.C. kimlik belgesinin talep edilmesi, hukuki olduğu gibi aynı zamanda eşyanın tabiatı gereğidir. Ancak, teyit amacıyla olsa dahi T.C. kimlik belgesinin istenmesinin ardından fotokopisinin de alınarak kayda geçirilmesi şeklinde gerçekleşen kişisel veri işleme faaliyeti, gereğinden fazla veri işleme sonucunu doğurmakla beraber bu işleme faaliyetinin herhangi bir hukuki bir dayanağı da söz konusu değildir. Dolayısıyla ilgili kişilere ait T.C. Kimlik Belgesi fotokopisinin kaydedilmesi işleminin 6698 sayılı Kanun uyarınca hukuka aykırı bir işleme faaliyeti olduğu sonucuna varılmaktadır.
Ek olarak, bilindiği üzere ülkemizde 2 Ocak 2017 tarihinden itibaren eski nüfus cüzdanları değiştirilerek üzerinde çip bulunan kimlik kartına geçiş yapılmıştır. Ancak halihazırda nüfus cüzdanı kullanımına da devam edilebilmektedir. Dolayısıyla nüfus cüzdanı üzerinde kişilerin dini ve kan grubu gibi özel nitelikli kişisel verilerinin de yer aldığı dikkate alındığında; veri sorumlularının konaklama nedeniyle ilgili kişilerin nüfus cüzdanı fotokopilerini kayıt altına alması halinde Kanunun 6 ncı maddesine de ayrıca aykırılık teşkil edecek bir işleme faaliyetinde bulunduğunun belirtilmesi elzemdir.
Diğer taraftan turizm ve otelcilik sektöründe genel olarak konaklamaya ilişkin bir hizmet satışı söz konusu olduğundan faturalandırma amacıyla ilgili kişilerin kişisel verilerinin işlenmesi de mümkündür. Bu çerçevede 213 sayılı Vergi Usul Kanunu uyarınca ilgili kişilerin anılan maddede yer verilen kişisel verilerinin işlenmesi faaliyeti 6698 sayılı Kanunun 5 inci maddesinin (a) bendinde yer alan "Kanunlarda açıkça öngörülmesi" şartı çerçevesinde hukuka uygun bir işleme faaliyetidir.
Sonuç olarak, Kurul tarafından yapılan değerlendirme neticesinde;
- Turizm ve otelcilik alanında hizmet veren veri sorumluları tarafından, konaklama yerlerinde misafir edilen kişilerden T.C. kimlik belgesi fotokopisi alınması uygulamasına son verilmesi,
- İlke Kararının yayımlanmasından önce konaklama amacıyla hizmet alan ilgili kişilere ait T.C. Kimlik Belgesi fotokopilerini kayıt altına alan veri sorumlularının bu nitelikteki belgeleri Kanun'un 7 nci maddesine uygun olarak imha etmesi gerektiği
sonucuna varılmıştır.
Bu çerçevede yukarıda belirtilen hususların, Kanun'un 12 nci maddesinin birinci fıkrası uyarınca kişisel verilerin hukuka uygun işlenmesini teminen veri sorumluları tarafından alınması gereken idari ve teknik tedbirlerden olduğu ve belirtilen hususlara uygun hareket edilmediğinin tespiti halinde ilgili veri sorumluları hakkında Kanun'un 18 inci maddesi hükümleri çerçevesinde işlem tesis edileceği hususunda kamuoyunun ve sektör temsilcilerinin bilgilendirilmesi ve bu kapsamda Kanun'un 15 inci maddesinin altıncı fıkrası uyarınca İlke Kararı alınarak Resmi Gazete'de ve Kurumun internet sitesinde yayımlanmasına oybirliği ile karar verilmiştir.