ISO 27001 ve KVKK: Konaklama İşletmeleri İçin Uygulama Rehberi

ISO 27001, bir otelin bilgi güvenliğini yönetim sistemiyle kurmasını sağlayan uluslararası standarttır; KVKK ise kişisel verileri korumak için Türkiye'de zorunlu olan kanundur. İkisi aynı şey değildir ve biri diğerinin yerine geçmez. Ancak ISO 27001 sistemi kuran bir otel, KVKK'nın istediği "uygun güvenlik düzeyi" yükümlülüğünün teknik ve idari kısmını sistematik biçimde karşılar. Belge, akredite bir belgelendirme kuruluşundan alınır. PusulaNorm belge vermez; kurulumu hazırlar, iç denetimi yapar ve ekibi eğitir. Bu yazı hukuki görüş değildir; kişisel veri hukuku konusunda yetkin bir avukatla çalışmanızı öneririz.

Otelde hangi misafir verisi tutulur?

Bir otelin veri envanteri sanıldığından geniştir. Resepsiyondaki kayıt formu yalnızca bir başlangıçtır. Aşağıdaki tablo, çoğu konaklama işletmesinde karşılaşılan veri gruplarını ve nerede durduklarını gösterir.

Bazı bilgiler özel nitelikli kişisel veridir: sağlık bilgisi bunlardan biridir. Mutfağın alerji listesi ya da ön büronun "engelli oda" notu bu kapsama girebilir. Bu veriler daha sıkı korunmalıdır. Hangi verinin özel nitelikli olduğunu kanun metninden ve avukatınızdan kontrol edin.

Konaklama tesislerinin misafir kimlik bilgilerini mevzuata göre kolluğa bildirme yükümlülüğü ayrıca vardır. Bu bildirim ayrı bir hukuki dayanağa sahiptir ve KVKK'daki rıza sorunundan farklı değerlendirilir. Aktarım biçimini ve saklama süresini güncel mevzuattan ve hukuk danışmanınızdan doğrulayın.

Üçüncü taraflar: veri sizde olmayabilir

Otel verisini çoğu zaman başka firmalar işler: online seyahat acenteleri, kanal yöneticisi, ön büro yazılım sağlayıcısı, e-posta pazarlama aracı, bulut yedekleme hizmeti, Wi-Fi hotspot sağlayıcısı, kamera bakım firması. Bu firmalar veri işleyen konumunda olabilir. Sözleşmelerinde güvenlik şartı, veri ihlali bildirimi ve verinin iadesi ya da silinmesi maddeleri yoksa riski siz taşırsınız.

KVKK ve ISO 27001 ilişkisi

KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu), kişisel verilerin işlenme şartlarını, ilgili kişi haklarını ve veri sorumlusunun yükümlülüklerini düzenler. Güvenlikle ilgili maddesi, veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını ister. Kanun hangi teknik tedbirin hangi cihaz ya da yazılımla alınacağını söylemez. Kişisel Verileri Koruma Kurumu rehberleri bu konuda yol gösterir.

ISO/IEC 27001:2022 ise bilgi güvenliği yönetim sistemi (BGYS) standardıdır. Risk değerlendirmesi yapmanızı, bunlara karşı kontroller seçmenizi, uygulamanızı ve izlemenizi ister. Farkı kısaca şöyle özetleyebiliriz:

ISO 27001 hukuki uyumu otomatik sağlamaz. Aydınlatma metni, açık rıza, VERBİS kaydı, ilgili kişi başvurularının yanıtlanması gibi hukuki yükümlülükler ISO 27001 belgesinden bağımsızdır. Buna karşılık, güvenlik tedbirleri kısmında ISO 27001 kontrolleri güçlü bir çerçeve sunar: erişim yetkileri, şifreleme, yedekleme, olay yönetimi, tedarikçi ilişkileri, fiziksel güvenlik. Bu yüzden iki yaklaşım birlikte kurulduğunda ortak envanter ve ortak risk analizi kullanılabilir.

Kurum güncel hükümlerini değiştirebildiği için KVKK'daki yükümlülüklerin son halini özellikle kanun değişikliklerinden sonra kontrol edin. Veri ihlali bildirimi, özel nitelikli veri ve yurt dışına aktarım hükümleri son yıllarda gündemdeydi. Güncel metin için mevzuat.gov.tr ve kvkk.gov.tr kaynaklarına bakın.

ISO 27001:2022 nasıl yapılandırılmıştır?

Güncel sürüm ISO/IEC 27001:2022'dir. 2013 sürümüne geçiş dönemi 31 Ekim 2025'te sona erdi; yeni kurulum yapacak bir otel doğrudan 2022 sürümüyle çalışır. Standardın ana gövdesi (madde 4-10) yönetim sistemi gereksinimlerini içerir; Ek A (Annex A) ise kontrol listesidir.

Ana gövde başlıkları:

• Kuruluşun bağlamı ve BGYS kapsamı
• Liderlik, politika, roller
• Planlama: risk değerlendirmesi, risk işleme, Uygulanabilirlik Bildirgesi (SoA)
• Destek: kaynak, yetkinlik, farkındalık, iletişim, dokümante edilmiş bilgi
• Operasyon: riskin uygulanması
• Performans değerlendirmesi: izleme, iç denetim, yönetimin gözden geçirmesi
• İyileştirme: uygunsuzluk ve düzeltici faaliyet

Ek A'daki 93 kontrol dört temada toplanır: organizasyonel (37), insan (8), fiziksel (14) ve teknolojik (34). 2013'teki 114 kontrolden azaltılıp yeniden gruplandırılmış, 11 yeni kontrol eklenmiştir. Bu kontrolleri olduğu gibi uygulamak zorunda değilsiniz. Risk değerlendirmenize göre hangilerinin uygulanacağını seçer, dışarıda bıraktıklarınızı gerekçelendirir ve Uygulanabilirlik Bildirgesi'nde gösterirsiniz.

Otelde önemli ISO 27001 kontrolleri

Aşağıdaki liste kontrol numarası vermeden konuları işletme diliyle anlatır; numaraları ve tam adları kendi standart nüshanızdan alın.

Organizasyonel kontroller

• Politika ve roller. Bilgi güvenliği politikasını genel müdür onaylar. Kim bilgi güvenliğinden sorumlu? Bu kişi çoğu otelde bilgi işlem müdürü ya da dışarıdan hizmet alınan bir yetkilidir; ön büro müdürü ve İK ile birlikte çalışır.
• Varlık envanteri. Sunucu, bilgisayar, POS, kilit sistemi, kameralar, telefon santrali, yazılımlar, bulut hesapları, kâğıt arşiv.
• Sınıflandırma. Hangi bilgi "gizli", hangisi "dahili", hangisi "açık"? Misafir kimlik fotokopisi gizli sınıfa girer.
• Erişim kontrolü. Ön büro yazılımında kullanıcı başına ayrı hesap; ortak "resepsiyon" kullanıcısı denetimde sorun çıkarır.
• Tedarikçi ilişkileri. Yazılım ve bulut sağlayıcılarıyla güvenlik maddeli sözleşme, hizmet seviyesi, veri ihlali bildirimi.
• Olay yönetimi. Kim, kime, ne zaman bildirir? İhlal şüphesinde kararı kim verir?
• İş sürekliliği ve yedekleme. Ön büro sistemi çökerse manuel prosedür ve yedeğin geri yüklenebildiğinin testi.
• Yasal ve sözleşmesel uyum. KVKK ve kimlik bildirimi gibi yükümlülüklerin listesi.

İnsan kontrolleri

• İşe alım ve ayrılış. Sözleşmede gizlilik maddesi; işten ayrılan personelin yetkileri aynı gün kapatılır. Sezonluk çalışan sayısı yüksek olan otellerde bu en sık atlanan noktadır.
• Farkındalık eğitimi. Ön büro personeli kimlik fotokopisinin ne kadar tutulacağını, oltalama (phishing) e-postasını ve telefonla yapılan sahte "banka" ya da "acente" aramalarını bilmeli.
• Uzaktan çalışma ve mobil cihaz. Satış ve rezervasyon ekibinin kişisel telefonlarından misafir verisine erişimi.

Fiziksel kontroller

• Güvenli alanlar. Sunucu odası, arşiv, kasa, kilit sistemi ve anahtar panosu erişimi yetkili personelle sınırlı olmalı.
• Boş masa-boş ekran. Resepsiyonda misafirin görebileceği ekran ya da çıktı bulunmamalı; kimlik fotokopileri açıkta durmamalı.
• Kamera. Kamera yerleşimi ve kayıt saklama süresi belgelenmeli; kayıtlara erişimi kayda geçirin.
• Kâğıt atık. Misafir formları ve çıktılar parçalanarak imha edilmeli.

Teknolojik kontroller

• Hesap ve parola. Çok faktörlü doğrulama, yönetici hesaplarının sınırlandırılması, varsayılan şifrelerin değiştirilmesi.
• Yedekleme. Düzenli yedek, farklı konumda tutulan kopya, geri yükleme testi.
• Şifreleme. Dizüstü bilgisayar ve taşınabilir diskler, e-posta ekleri, bulut transferi.
• Ağ güvenliği. Misafir Wi-Fi ağının personel ve POS ağından ayrılması; kilit sistemi ve kamera ağı da ayrı segmentte olmalı.
• Güncelleme ve zafiyet yönetimi. İşletim sistemi ve yazılım yamaları, antivirüs.
• Loglama. Ön büro yazılımında kimin hangi misafir kaydına baktığının izlenmesi.
• Veri silme ve maskeleme. Saklama süresi dolan verinin silinmesi; test ortamında gerçek misafir verisi kullanılmaması.
• Web ve rezervasyon sistemi. Güvenli bağlantı (HTTPS), ödeme sayfalarında PCI uyumlu ödeme sağlayıcısı kullanımı.

İpucu: Kart bilgisini kendi sisteminizde saklamak yerine ödeme sağlayıcının tokenizasyon hizmetini kullanın. Saklamadığınız veri sızmaz.

Kurulum adımları

Süre, işletmenin büyüklüğüne ve mevcut BT olgunluğuna göre değişir. Aşağıdaki sıra çoğu otel için uygundur.

1. Kapsam ve yönetim kararı. Tüm otel mi, yalnızca ön büro ve rezervasyon mu? Kapsam belgelenir.
2. Veri ve varlık envanteri. Hangi verinin nerede olduğunu haritalayın. Bu aynı zamanda KVKK envanterinin temelidir.
3. Risk değerlendirmesi. Her varlık için tehdit, zafiyet ve etki. Olasılık-etki matrisi basit ve tutarlı olmalı.
4. Risk işleme planı ve SoA. Hangi kontrol uygulanacak, kim yapacak, ne zaman bitecek?
5. Politika ve prosedürler. Erişim, yedekleme, olay yönetimi, tedarikçi güvenliği, temiz masa gibi kısa belgeler.
6. Eğitim ve farkındalık. Tüm personel için kısa, sezon başında tekrarlanan eğitim.
7. Uygulama ve izleme. Kontrollerin çalıştığını kayıtla gösterin: yedek geri yükleme testi, yetki gözden geçirmesi, olay kayıtları.
8. İç denetim ve yönetimin gözden geçirmesi. ISO 19011 yaklaşımıyla yapılır.
9. Belgelendirme denetimi. İki aşamalı denetimi akredite kuruluş yapar. Belge gözetimle sürdürülür.

Yönetim sistemleri danışmanlığı kapsamında bu adımlarda destek sağlıyoruz. Sistemi diğer standartlarla birlikte kuracaksanız entegre yönetim sistemi nasıl kurulur yazısı ortak doküman düzenini anlatır.

Veri ihlali olursa ne yapılır?

İhlalden önce plan olmalıdır. Plan en az şu soruları cevaplar:

• Şüpheyi kim fark eder ve kime bildirir?
• İhlali kim doğrular ve etkilenen sistemi kim izole eder?
• Hangi bilgi etkilendi, kaç kişi, hangi veri türü?
• Kurum ve etkilenen kişilere bildirim yükümlülüğü var mı, kim hazırlar, hangi sürede?
• Kök neden nasıl bulunur ve tekrarı nasıl önlenir?

KVKK'da ihlalin Kurula ve etkilenen kişilere bildirimine ilişkin usul ve süre hükümleri vardır; güncel süreyi ve usulü kvkk.gov.tr duyurularından kontrol edin. Plan basit olabilir, ancak telefon numaraları, rol listesi ve bildirim şablonu önceden hazır olmalıdır. Yılda bir masabaşı tatbikat yapın: örneğin ön büro bilgisayarına fidye yazılımı bulaştığı varsayımıyla ekibe "ilk bir saatte ne yaparız?" sorusunu sorun.

Sık yapılan hatalar

• Ortak şifre ve ortak hesap. Kim ne yaptı bilinmez.
• Kimlik fotokopisini gereğinden uzun saklamak. Saklama süresi gerekçesi olmayan veri yük olur.
• Yedeği hiç test etmemek. Yedek var ama geri yüklenmiyor.
• Sezonluk personelin hesaplarını açık bırakmak.
• Wi-Fi ağlarını birleştirmek. Misafir ağı ile personel ya da kamera ağı aynı olmamalı.
• Tedarikçi sözleşmesini okumamak. Veri ihlalinde kimin neyi bildirdiği yazmıyor.
• Belgeyi hedef görmek. Belge kağıtta, sistem pratikte yaşar.

İlgili kişi başvuruları ve saklama süreleri

Eski bir misafir "bende hangi bilgiler var?" diye yazdığında ne olur? KVKK'da ilgili kişilerin başvuru hakları vardır ve yanıt için kanunda belirli bir süre öngörülür; güncel süreyi mevzuattan kontrol edin. Pratikte iş şöyle yürür: başvuru tek bir e-posta adresine ya da forma gelir, kimliği doğrulanır, bir kişi veriyi sistemlerden (ön büro, CRM, kanal yöneticisi, e-posta listesi, kamera) toplar, hukuk danışmanıyla yanıt hazırlanır ve kayda geçer. Bu akışı önceden bir sayfaya yazmak, başvuru geldiğinde panik yaşamanızı önler.

Saklama süresi için de her veri grubuna bir gerekçe ve süre yazın. Muhasebe belgeleri, kimlik bildirimi kayıtları, pazarlama izinleri ve kamera görüntüleri için süreler farklıdır ve bir kısmı mevzuata bağlıdır. Süresi dolan veriyi silmek ya da anonimleştirmek için yılda en az bir kez temizlik günü belirleyin. ISO 27001 açısından bu, bilgi silme ve saklama kontrolleriyle ilişkilidir; KVKK açısından ise imha politikasının uygulanmasıdır.

Misafir deneyimi ve güven

Misafir veri paylaşırken güveni bir ürün gibi değerlendirir. Resepsiyonda kimlik fotokopisini niçin aldığınızı açıklayan kısa bir bilgi notu, Wi-Fi giriş ekranındaki aydınlatma metni ve çerez bildirimi hem hukuki yükümlülüklerin hem de güven duygusunun parçasıdır. Misafir sağlığı ve güvenliği konusunda daha geniş bir bakış için otel misafir sağlığı ve güvenliği denetimi yazısına bakabilirsiniz. Yapay zekâ destekli araçlar kullanıyorsanız (chatbot, yorum analizi, fiyatlama) veri paylaşımına dair kuralları da yazılı hale getirin; bu konuyu denetimde yapay zekâ kullanımı yazısında ele aldık.

Kontrol listesi

• Misafir ve çalışan veri envanteri çıkarıldı mı?
• Özel nitelikli veriler (sağlık, alerji) ayrıca işaretlendi mi?
• Tüm sistemlerde kullanıcı başına hesap var mı?
• Ayrılan personelin yetkileri aynı gün kapanıyor mu?
• Yedekler farklı bir yerde tutuluyor ve geri yükleme test edildi mi?
• Misafir Wi-Fi ağı ayrılmış mı?
• Tedarikçi sözleşmelerinde güvenlik ve ihlal bildirim şartı var mı?
• Veri ihlali müdahale planı yazılı ve rolleri belli mi?
• Personel yılda en az bir kez farkındalık eğitimi alıyor mu?
• Kamera kayıt süresi ve erişim yetkisi belgelendi mi?

Bu yazı Kasım 2026 itibarıyla genel bilgilendirme amaçlıdır; işlem öncesi güncel mevzuatı kontrol edin.

Sık Sorulan Sorular