Otellerde KVKK Uyumluluğu Rehberi ve Veri Güvenliği

Kişisel Veri İşleme Esasları

Konaklama sektöründe kişisel veri işleme süreci resepsiyonda başlar. Ayrıca bu süreç konuğun tesisten ayrılmasından sonra da devam eder. Bu doğrultuda otellerde KVKK uyumluluğu sağlanırken verilerin toplanma nedenleri doğru analiz edilmelidir. Otel yönetimleri 1774 sayılı Kimlik Bildirme Kanunu kapsamında kolluk kuvvetlerine bildirim yapar. Bu işlem yasal bir zorunluluktur. Ancak bunun dışındaki tüm veri toplama faaliyetlerinde ilgili kişilerin açık rızası aranmaktadır.

Örneğin resepsiyonda alınan ad, soyad ve T.C. kimlik numarası yasal yükümlülüktür. Bununla birlikte pazarlama e-postaları için alınan iletişim bilgileri açık rıza gerektirir. Öte yandan alerji ve sağlık verileri özel nitelikli kişisel veridir. Bu sebeple bu veriler sıkı kurallara tabidir. Otellerde işlenen temel veri kategorileri şu şekildedir:

• Kimlik ve İletişim Verileri: Ad, soyad, T.C. kimlik numarası, pasaport verileri, telefon ve e-posta.
• Finansal Veriler: Kredi kartı bilgileri, fatura dökümleri ve ödeme kayıtları.
• Görsel Kayıtlar: Güvenlik kamerası (CCTV) görüntüleri ve ses kayıtları.
• Özel Nitelikli Veriler: Sağlık durumu, diyet tercihleri ve engellilik bilgileri.
• İşlem Güvenliği Verileri: Wi-Fi erişim logları, IP adresleri ve internet trafiği.

Özellikle Wi-Fi erişiminde 5651 sayılı Kanun devreye girer. Dolayısıyla erişim loglarının zaman damgasıyla saklanması şarttır. Ayrıca saklanan bu logların şifrelenmesi zorunludur. KVKK Resmi Sitesi kararları incelendiğinde otellerin veri sızıntıları nedeniyle ceza aldığı görülmektedir. Bu yüzden teknik tedbirler ertelenmemelidir.

Sonuç olarak veri işleme ilkelerine uyulması riskleri azaltır. Örneğin dürüstlük ilkesi gereği misafir bilgilendirilmelidir. Bunun yanı sıra veriler sadece toplama amacıyla sınırlı kullanılmalıdır. İhtiyaç kalmayan veriler ise imha politikasına göre silinmelidir. İşletmeler bu esaslara dikkat ederek yasal güvence kazanır.

Hukuki Dayanaklar ve Kanunlar

Otellerde veri işleme süreçleri tek bir kanunla sınırlı değildir. Aksine birden fazla mevzuat birbiriyle doğrudan ilişkilidir. Bu nedenle otel yönetimleri hukuki dayanakları çok iyi bilmelidir. İlk olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu temel kuraldır. Bununla birlikte 1774 sayılı Kimlik Bildirme Kanunu güvenlik zorunluluğu getirir. Ayrıca 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun uygulanır.

Bu kanunlar işletmelere farklı sorumluluklar yüklemektedir. Örneğin Kimlik Bildirme Kanunu hızlı kayıt almayı gerektirir. Ancak bu durum KVKK ilkelerinin çiğnenmesine bahane olamaz. İşletmeler iki kanunu aynı anda uygulamak zorundadır. Öte yandan ticari elektronik iletiler için 6563 sayılı Kanun devreye girer. Pazarlama e-postaları için mutlaka Onay Sistemi (İYS) kullanılmalıdır. Aksi halde yüksek idari para cezaları kaçınılmaz hale gelir.

Dolayısıyla hukuki uyum otelin genel yönetim stratejisi olmalıdır. Hukukçular ve siber güvenlik uzmanları birlikte çalışmalıdır. Bu sayede hem yasal şartlar sağlanır hem de veri güvenliği riske atılmaz. İşletmeler düzenli mevzuat takibi yaparak süreçlerini güncellemelidir.

Fiziksel Güvenlik Riskleri

Otellerde veri güvenliği sadece bilgisayarlarla sınırlı değildir. Tam aksine fiziksel alanlardaki zafiyetler büyük ihlaller yaratır. Örneğin resepsiyon bankosunda açıkta duran evraklar risk oluşturur. Yetkisiz kişiler bu formlardaki kişisel verileri görebilir. Ayrıca otel odalarına giren kat hizmetleri personeli kağıt dokümanlara erişebilir.

Bunun yanında fiziksel arşiv odalarının güvenliği kriz konusudur. Kilitlenmeyen arşivler veri sızıntılarına doğrudan davetiye çıkarır. Öte yandan kayıp eşya depolarındaki unutulmuş dijital cihazlar tehlike saçar. Bu cihazlarda kalan veriler yetkisiz kişilerin eline geçebilir. Fiziksel alanda sık karşılaşılan riskler şunlardır:

• Açıkta Duran Kayıt Formları: Resepsiyonda misafirlerin erişebileceği alanda bırakılan evraklar.
• Kilitsiz Arşiv Odaları: Temizlik veya teknik personelin denetimsiz girebildiği dosya alanları.
• Güvenlik Kamerası Monitörleri: Lobi veya halka açık alanlardan görülebilen kamera ekranları.
• Çöp Kutuya Atılan Evraklar: Kıyılmadan doğrudan çöpe atılan müşteri bilgileri veya faturalar.

Bu gibi durumlar KVKK açısından doğrudan idari ihlal sayılır. Bu yüzden fiziki ortamlarda temiz masa ve temiz ekran politikası uygulanmalıdır. Kağıt evraklar kilitli dolaplarda tutulmalıdır. İşi biten belgeler ise derhal evrak imha makinelerinden geçirilmelidir.

Dijital Siber Riskler

Günümüzde konaklama tesisleri dijital sistemlere bağımlı çalışır. Ancak dijitalleşme yeni siber tehditleri beraberinde getirmektedir. Bu nedenle otellerde KVKK uyumluluğu için siber güvenlik altyapısı güçlendirilmelidir. Otel yönetim yazılımları (PMS) en çok hedeflenen sistemler arasındadır. Bu sistemlerin ele geçirilmesi binlerce misafir verisinin sızmasına yol açar.

Ayrıca restoranlarda ve barlarda kullanılan POS cihazları risk taşır. Kredi kartı bilgilerini çalan zararlı yazılımlar bu cihazlara sızabilir. Bununla birlikte ortak alanlardaki şifresiz Wi-Fi ağları büyük bir tehdittir. Saldırganlar bu ağları dinleyerek misafirlerin şifrelerini ele geçirebilir. Öte yandan otel personeline yönelik oltalama (phishing) e-postaları çok yaygındır. Personelin tek bir hatalı tıklaması tüm otel ağını kilitleyebilir.

Aşağıdaki tabloda otellerdeki temel dijital riskler ve yaratacağı sonuçlar listelenmiştir:

Söz konusu dijital risklerin engellenmesi için sızma testleri şarttır. Ayrıca ağ mimarisi güvenli şekilde tasarlanmalıdır. Sistemlerdeki tüm hareketler izlenmeli ve loglanmalıdır. İşletmeler ancak bu tedbirlerle tam koruma sağlayabilir.

KVKK Uyum Adımları

Yasal gereksinimlere uyum sağlamak planlı bir süreç gerektirir. Bu kapsamda projenin başarısı için doğru stratejiler uygulanmalıdır. İlk aşamada mevcut durum tespiti yapılmalıdır. Tesis içinde işlenen tüm kişisel veriler detaylıca incelenmelidir. Sonrasında bu veriler envanter çalışması ile kayıt altına alınmalıdır.

Uyum sürecinde izlenmesi gereken temel adımlar sırasıyla şunlardır:

1. Veri Envanteri Hazırlanması: İnsan kaynaklarından ön büroya kadar tüm birimlerin veri haritası oluşturulur.
2. VERBİS Kaydının Yapılması: Kayıt yükümlülüğü bulunan otellerin VERBİS bildirimleri tamamlanır.
3. Aydınlatma Metinlerinin Sunulması: Resepsiyon, web sitesi ve Wi-Fi ekranları için özel aydınlatmalar hazırlanır.
4. Açık Rıza Formlarının Alınması: Pazarlama faaliyetleri ve özel nitelikli veriler için rıza mekanizması kurulur.
5. Imha Politikasının Uygulanması: Saklama süresi biten verilerin silinmesi veya anonim hale getirilmesi sağlanır.

Bu adımların atılması yasal koruma sağlar. Ancak süreç sadece belgelerden ibaret değildir. Bununla birlikte uygulamanın sürekliliği önemlidir. Örneğin envanter güncel tutulmalıdır. Yeni veri süreçleri envantere hemen işlenmelidir. Aksi halde yapılan çalışmalar işlevini yitirir.

Ayrıca sözleşmelerin revize edilmesi gerekir. Tedarikçilerle yapılan anlaşmalara KVKK maddeleri eklenmelidir. Öte yandan veri aktarımı yapılan üçüncü taraflar denetlenmelidir. Bu sayede veri zincirindeki tüm halkalar güvenli hale getirilir.

Kimlik Fotokopisi Sorunu

Sektörde en çok yapılan hata kimlik fotokopisi çekmektir. Birçok otel muhasebe veya güvenlik gerekçesiyle kimlik kopyalamaktadır. Oysaki Kişisel Verileri Koruma Kurulu kararları nettir. Otellerin kimlik fotokopisi alması ölçülülük ilkesine aykırıdır. Bu uygulama aşırı veri işleme olarak kabul edilir.

1774 sayılı Kimlik Bildirme Kanunu verilerin kolluk kuvvetlerine bildirilmesini ister. Fakat bu kanun fotokopi saklama zorunluluğu getirmez. Kimlik belgesindeki kan grubu veya din gibi bilgiler özel niteliklidir. Bu verilerin kopyalanması büyük risk taşır. Bu yüzden oteller resepsiyon süreçlerini değiştirmelidir.

Resepsiyon görevlisi misafirin kimlik belgesini kontrol etmelidir. Ardından gerekli bilgileri (Ad, Soyad, T.C. No) sisteme yazılı olarak girmelidir. İşlem biter bitmez belge misafire iade edilmelidir. Kesinlikle fotokopi çekilmemelidir. Aynı zamanda taranarak dijital arşiv yapılmamalıdır. Eşzamanlı olarak misafire aydınlatma yapılmalıdır. Böylece otellerde KVKK uyumluluğu ilkeleri tam korunur.

Bununla birlikte eski arşivlerde bulunan fotokopiler imha edilmelidir. Saklama süresi geçen kopyalar güvenli biçimde yok edilir. Örneğin kağıt kıyma makineleri kullanılmalıdır. Dijital kopyalar ise geri döndürülemez şekilde silinmelidir. Bu adımlar idari para cezası riskini tamamen ortadan kaldırır.

Gerekli Teknik Tedbirler

KVKK’nın 12. maddesi veri güvenliği tedbirlerini düzenler. Veri sorumlusu olan oteller güvenlik önlemlerini almak zorundadır. Bu nedenle hem teknik altyapıda hem idari yapıda düzenlemeler yapılır. BTK Resmi Sitesi rehberlerinde belirtilen güvenlik standartları oteller için de geçerlidir.

Otellerde uygulanması gereken temel teknik tedbirler şunlardır:

• Ağ Ayrıştırma (VLAN): Misafir Wi-Fi ağı ile otel otomasyon ağları birbirinden ayrılmalıdır.
• Veri Şifreleme: Veri tabanlarındaki hassas bilgiler güçlü şifreleme yöntemleriyle korunmalıdır.
• Erişim Yönetimi: Personel sadece görevi gereği ihtiyaç duyduğu verilere erişmelidir.
• Güvenlik Duvarı Kullanımı: Otel ağına yönelik siber sızmaları engellemek için UTM sistemleri kurulmalıdır.
• SIEM ve Log Kaydı: Kullanıcı hareketleri merkezi log sistemleri ile kayıt altına alınmalıdır.

Öte yandan sızma testleri (penetrasyon testleri) teknik tedbirlerin odağında yer alır. Sistemlerdeki açıklar bu testlerle belirlenir. Ayrıca yedekleme politikaları oluşturulmalıdır. Ransomware (fidye yazılımı) saldırılarına karşı veriler yedeklenmelidir. Böylece oteller veri kaybı yaşamaz.

Bununla birlikte güncel antivirüs yazılımları tüm bilgisayarlara yüklenmelidir. İşletim sistemleri ve uygulamalar sürekli güncel tutulmalıdır. Yaması yapılmamış yazılımlar siber korsanların ilk hedefidir. Bu sebeple yama yönetimi aksatılmadan sürdürülmelidir.

Gerekli İdari Tedbirler

Teknik tedbirler veri güvenliği için tek başına yeterli değildir. İdari düzenlemelerin de eksiksiz yapılması şarttır. Bu doğrultuda kurum içi politikalar oluşturulmalıdır. Veri Güvenliği Politikası ve Veri Saklama ve İmha Politikası hazırlanmalıdır. Bu dokümanlar tüm personele tebliğ edilmelidir.

Ayrıca çalışanlarla yapılan iş sözleşmeleri güncellenmelidir. Sözleşmelere gizlilik taahhütleri ve KVKK maddeleri eklenmelidir. Personelin görev değişikliğinde yetkileri derhal revize edilmelidir. İşten ayrılan çalışanların sistem erişimleri anında kapatılmalıdır. Aksi bir durumda, işletme bünyesinde ciddi veri ihlalleriyle karşılaşılabilir.

Bununla birlikte tedarikçi ilişkileri kontrol altına alınmalıdır. Otel otomasyonu sunan firmalarla Veri İşleyen Sözleşmesi yapılmalıdır. Tedarikçilerin siber güvenlik standartları denetlenmelidir. Kendi sistemini korumayan tedarikçi otelin verilerini de tehlikeye atar. Bu nedenle idari denetimler aksatılmamalıdır.

Personel Eğitimi ve Farkındalık

Dijital güvenlik tedbirlerinde genellikle en büyük zafiyeti kullanıcı davranışları oluşturur. Otel çalışanlarının hatası tüm teknik yatırımları boşa çıkarabilir. Bu yüzden otellerde KVKK uyumluluğu sürecinde eğitime büyük önem verilmelidir. Resepsiyondan temizlik görevlisine kadar herkes eğitilmelidir.

Eğitimlerde teorik bilgiler yerine pratik örnekler verilmelidir. Örneğin şüpheli e-postaların nasıl tanınacağı öğretilmelidir. Şifrelerin karmaşık seçilmesi gerektiği anlatılmalıdır. Şifre yazılı kağıtların ekranlara yapıştırılması engellenmelidir. Misafir bilgilerinin kulaktan kulağa aktarılmaması gerektiği vurgulanmalıdır.

Ayrıca bu eğitimler tek seferlik olmamalıdır. Yılda en az iki kez yenilenmelidir. İşe yeni başlayan personellere oryantasyon sürecinde KVKK eğitimi verilmelidir. Eğitim sonrası farkındalık testleri yapılmalıdır. Başarısız olan çalışanlar tekrar eğitime alınmalıdır. Böylece kurum kültürü oluşturulur.

Veri İhlali Yönetimi

Tüm tedbirlere rağmen veri ihlali yaşanma riski mevcuttur. Önemli olan ihlal anında nasıl hareket edileceğidir. Bu nedenle oteller bir Veri İhlali Müdahale Planı hazırlamalıdır. İhlal tespit edildiği anda kriz ekibi toplanmalıdır. Saldırının kaynağı ve etkilenen veriler hızla belirlenmelidir.

KVKK mevzuatına göre veri ihlalleri Kişisel Verileri Koruma Kurumu’na bildirilmelidir. Bu bildirim ihlalin öğrenilmesinden itibaren 72 saat içinde yapılmalıdır. Gecikme yaşanması durumunda idari para cezaları katlanmaktadır. Ayrıca etkilenen misafirlere de makul sürede bilgi verilmelidir.

İhlal sonrası süreç analiz edilmelidir. Güvenlik açığının neden kaynaklandığı tespit edilmelidir. Sistemlerdeki zafiyet kapatılmalı ve benzer olayların tekrarlanması engellenmelidir. Tüm bu adımlar raporlanarak yasal makamlara sunulmalıdır. Şeffaf yönetim krizin büyümesini önler.

Sibertim Güvenlik Çözümleri

Konaklama sektorunde siber güvenlik ile hukuki uyumu bir arada yürütmek uzmanlık ister. Sibertim bu alanda bütüncül çözümler sunmaktadır. Deneyimli uzmanlarımız ve hukuk danışmanlarımız otellere özel projeler geliştirmektedir. Bu sayede işletmeler siber risklere karşı direnç kazanır.

Sibertim tarafından otel işletmelerine sağlanan temel yetkinlikler şunlardır:

• Sızma Testi Hizmetleri: Otel otomasyonları ve web sistemlerindeki güvenlik açıkları tespit edilir.
• KVKK Danışmanlığı: Envanter hazırlığından VERBİS kaydına kadar tüm süreçler yönetilir.
• Ağ Güvenliği Tasarımı: Misafir ve kurum ağları güvenli biçimde ayrıştırılır ve yapılandırılır.
• Veri Sızıntısı Önleme (DLP): Hassas verilerin otel dışına yetkisiz sızması engellenir.
• 7/24 SOC Hizmeti: Otel altyapıları aralıksız izlenerek tehditler büyümeden durdurulur.

Veri güvenliğini temin etmek işletme itibarını korur. Ayrıca yasal ceza risklerini ortadan kaldırır. Bu nedenle otellerde KVKK uyumluluğu projesini uzman bir ekiple yürütmek gereklidir. Sibertim profesyonel kadrosuyla otelinizin tüm güvenlik ihtiyaçlarını karşılamaya hazırdır.

Sık Sorulan Sorular