Ziyaretçiden Kimlik Almak KVKK'ya Uygun mu? Site, İşyeri ve Fabrika Girişinde Ziyaretçi Kaydı Rehberi

Ziyaretçiden kimlik almak KVKK'ya uygun mu?

Ziyaretçiden kimliğini göstermesini istemek ve ziyaretin amacı için gerekli en az bilgiyi kaydetmek, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde meşru bir güvenlik amacıyla yapılabilir; kimliğin fotokopisini çekmek, taramak ya da dosyada saklamak ise gereğinden fazla veri işlemek anlamına gelir. Kanunun 4. maddesi kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesini, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını ve gerekli süre kadar muhafaza edilmesini ister.

Bu ilkeler ziyaretçi girişinde şu soruya dönüşür: Girişte gerçekten neye ihtiyacınız var? Çoğu site ve işyeri için cevap; kişinin kim olduğunun teyidi, kimi ziyaret ettiği, giriş ve çıkış saati ve gerekiyorsa araç plakasıdır. Kimliğin kendisinin kopyası, fotoğrafı, anne-baba adı, doğum yeri gibi alanlar bu amaç için genellikle gerekli değildir.

Bu yazı genel bilgi içindir, hukuki görüş değildir. Her tesisin risk durumu ve sektörü farklıdır; uygulamaya geçmeden önce KVKK uyum danışmanınıza ya da avukatınıza doğrulatın.

Kimlik fotokopisi neden sorunlu? Kurul ilke kararı

Kimlik fotokopisi konusunda en net örnek, Kişisel Verileri Koruma Kurulu'nun konaklama sektörüne ilişkin ilke kararıdır. Turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerin T.C. kimlik belgesi fotokopisinin kaydedilmesi hakkındaki karar (Karar No: 2025/2120, tarih: 6 Kasım 2025), 9 Aralık 2025 tarihli ve 33102 sayılı Resmî Gazete'de yayımlanmıştır.

Kurul, 1774 sayılı Kimlik Bildirme Kanunu gereği ad, soyad ve T.C. kimlik numarası gibi bilgilerin kayıt defterine işlenmesini hukuka uygun bulmuş; kimlik belgesinin istenip resmî belgeyle teyit edilmesini de olağan saymıştır. Buna karşılık fotokopinin alınıp kaydedilmesini gereğinden fazla veri işleme olarak değerlendirmiş ve bunun için hukuki dayanak bulunmadığını belirtmiştir.

Kararın iki önemli dayanağı vardır. Birincisi, eski nüfus cüzdanlarında din ve kan grubu gibi özel nitelikli kişisel veriler yer aldığı için fotokopi almanın KVKK'nın 6. maddesi bakımından da aykırılık doğurması. İkincisi, karardan önce alınmış kopyaların KVKK'nın 7. maddesi uyarınca silme, yok etme ya da anonim hale getirme yoluyla imha edilmesi gerektiği.

Karar doğrudan konaklama tesislerini kapsar. Site yönetimi, fabrika ya da ofis girişi için bire bir uygulanacağını varsaymak yerine ilkenin mantığını almak gerekir: kimliğin gösterilmesi yeterliyse fotokopi alınmamalı. Kendi tesisiniz için kesin hukuki sonuç almak adına KVKK'nın güncel karar ve rehberlerini doğrulayın.

Kimlik Bildirme Kanunu ve KVKK çerçevesi: aydınlatma, minimizasyon, saklama

1774 sayılı Kimlik Bildirme Kanunu konaklama yerlerine kimlik ve geliş-ayrılış kaydı tutma yükümlülüğü getirir; bu yükümlülük otel, pansiyon gibi yerler içindir, her site veya işyerinin ziyaretçi kaydı için otomatik bir kanuni dayanak sağlamaz. Site ve işyerlerinde ziyaretçi kaydı genellikle güvenlik, iş sağlığı ve güvenliği ya da sözleşmesel gerekliliklere dayanan meşru menfaat gibi KVKK'nın 5. maddesindeki işleme şartlarıyla gerekçelendirilir; hangi şartın uygun olduğu tesise göre avukatla belirlenmelidir.

Ziyaretçi kaydında üç uygulama başlığı öne çıkar:

• Aydınlatma (KVKK m.10): Veriyi alırken veri sorumlusunun kimliği, verinin hangi amaçla işlendiği, kimlere aktarılabileceği, toplama yöntemi ve hakları anlatılmalıdır. Girişte görünür bir aydınlatma metni asmak ve dijital sistemde ekranda göstermek bu yükümlülüğe hizmet eder.
• Veri minimizasyonu (KVKK m.4): Yalnızca amaç için gerekli alanlar toplanmalıdır. T.C. kimlik numarasının her ziyaretçi için gerekip gerekmediği ayrıca tartılmalı, gerekmiyorsa alınmamalıdır.
• Saklama süresi (KVKK m.4 ve m.7): Kayıtlar işlendikleri amaç için gerekli süre kadar tutulmalı, süre dolunca silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Bu süre için sabit bir sayı yoktur; kurumun saklama ve imha politikasında gerekçesiyle belirlenir ve ilgili mevzuat ile Kurum rehberlerinden doğrulanır.
• Veri güvenliği (KVKK m.12): Defter ya da sistem yetkisiz erişimden korunmalı; dijital kayıtlarda erişim yetkisi, günlük (log) ve yedekleme gibi teknik ve idari tedbirler alınmalıdır.

Elle yazılan ziyaretçi defteri ile dijital ziyaretçi yönetimi

Elle yazılan defter basit ve ucuz görünür, ancak KVKK açısından en çok sorun üreten yöntemlerden biridir; dijital sistem ise doğru kurulursa daha az veri toplayıp daha iyi koruyabilir. Fark, aracın kendisinden çok nasıl yapılandırıldığındadır.

• Elle yazılan defter: Sayfalar açıktır; sonraki ziyaretçi öncekilerin ad, telefon ve plakasını görür. Bu, kişisel verinin yetkisiz kişilerce görülmesi riskidir. Silme ve imha ise sayfa yırtmak ya da defteri saklamak arasında kalır.
• Defterde sık yapılan hata: İmza, telefon, T.C. kimlik numarası ve ziyaret nedeni gibi çok sayıda alanı herkese açık bir sayfada toplamak. Alanlar amaca göre azaltılmalı, mümkünse ziyaretçi kendi satırını kapalı bir formda doldurmalıdır.
• Dijital ziyaretçi yönetimi: Alan sayısı sisteme baştan tanımlanır, kayıtlar yetkiye göre görülür, saklama süresi dolunca otomatik silme kuralı çalıştırılabilir ve erişim günlükleri tutulur.
• Dijital sistemin riski: Her şeyi kaydeden bir sistem de gereksiz veri toplar. Kimlik görüntüsü saklamak, fotoğraf çekmek ya da tüm kimlik alanlarını çıkarmak ayrıca gerekçelendirilmelidir.
• Seçim ölçütü: Küçük, az ziyaretçili yerde kapalı formlu basit bir defter yeterli olabilir; çok ziyaretçili site, fabrika ve ofis kulelerinde dijital sistem hem güvenlik hem veri koruma bakımından daha yönetilebilirdir.

Dijital ziyaretçi takip sistemi neler içerir?

Ziyaretçi takip sistemi, girişte ziyaretçiyi tanımlayan, ziyaret edilecek kişiye bildiren ve giriş-çıkışı kaydeden yazılım ile onu destekleyen donanımın bütünüdür. Kapsamı kurulumdan kuruluma değişir; aşağıdaki bileşenlerin her biri ayrı bir kişisel veri kararı doğurur.

• Kimlik veya ehliyet tarama: Okuyucu, belgenin üzerindeki bilgileri (örneğin makine tarafından okunabilir alan) metne çevirir. KVKK uyumu için taramanın yalnızca gerekli alanları kaydetmesi, belge görüntüsünü saklamaması ve ayarın yönetilebilir olması aranır.
• QR kodlu ön randevu: Ziyaretçiyi ev sahibi önceden sisteme tanımlar, ziyaretçi telefonuna tek kullanımlık kod alır. Girişte kimlik yerine kod okutulabildiği için toplanan veri azalır; kodun geçerlilik süresi sınırlanabilir.
• Rozet basımı: Ziyaretçiye yalnızca ad, ziyaret edilen birim ve tarih içeren, gizli veri taşımayan bir yaka kartı verilir. Rozet üzerinde T.C. kimlik numarası gibi bilgiler görünmemelidir.
• Kameralı kayıt: Girişte yüz fotoğrafı çekmek ya da kamera ile eşleştirmek, ayrıca biyometrik veri sorusunu gündeme getirir. Yüz tanıma kullanılacaksa yüz tanıma sistemleri ve KVKK yazısındaki özel nitelikli veri ayrımına bakın; sıradan giriş kaydı için fotoğraf çekmek ölçülülük bakımından ayrıca gerekçelendirilmelidir.
• Raporlama ve silme: Acil durumda tesiste kimlerin bulunduğunu gösteren anlık liste ile saklama süresi dolan kayıtları kaldıran otomatik silme özelliği birlikte düşünülmelidir.

Geçiş kontrol ve interkom ile entegrasyon

Ziyaretçi sistemi tek başına bir kayıt aracıdır; geçiş kontrol ve interkom ile birleştiğinde kapıyı açan, kaydı kendiliğinden tutan bir akışa dönüşür. Bu akışta veri akışının nereye gittiği tasarlanmalıdır.

• Geçici kart veya QR ile geçiş: Ziyaretçi onaylandığında sistem sınırlı süreli kart ya da kod üretir; kapı okuyucusu bunu yalnızca belirli turnike ve kapılar için kabul eder. Okuyucu ile kontrolör arasındaki protokol (Wiegand ve OSDP) seçimi, geçici kartların şifreli ve izlenebilir olması açısından da önemlidir.
• Interkom ile doğrulama: Ziyaretçi dış kapıda ev sahibini arar, ev sahibi kapıyı uzaktan açar ve olay günlüğe düşer. Apartman ve sitelerde diafon sisteminin değişimi için kat malikleri kararı ve oy çoğunluğu konusu ayrıca incelenmelidir.
• Araç girişi: Plaka okuyucu ile ziyaretçi randevusunun eşleştirilmesi, plakanın da kişisel veri sayıldığını unutturmamalıdır; ayrıntılar için otopark ve plaka verisi KVKK yazısına bakın.
• Kayıtların ayrılması: Kapı olay günlüğü ile ziyaretçi kimlik kaydı farklı amaçlara hizmet eder. Bu verilerin tek bir havuzda birleşmesi yerine yetki ve saklama sürelerinin ayrı tanımlanması daha güvenlidir.

Otel, hastane, site ve fabrikada farklı uygulamalar

Aynı ziyaretçi sistemi her yerde aynı ayarlarla çalışmaz; yerin hukuki zemini ve risk düzeyi kayıt kapsamını belirler.

• Otel ve konaklama tesisi: Kimlik Bildirme Kanunu kayıt yükümlülüğü getirir. Kurul kararı gereği kimlik gösterilir, gerekli alanlar kayda geçirilir, fotokopi alınmaz.
• Hastane ve sağlık tesisi: Ziyaretçi saatleri, refakatçi kartı ve yoğun bakım gibi bölgeler tesisin ve ilgili idari düzenlemelerin kurallarına bağlıdır. Hasta bilgisi sağlık verisi olduğundan, ziyaretçi kaydına hangi hastanın ziyaret edildiğini yazarken özellikle dikkat gerekir; uygulama sağlık mevzuatına göre doğrulanmalıdır.
• Konut sitesi: Kimlik istemeyi yönetim planı ve kat malikleri kurulu kararıyla duyurmak, kapıdaki güvenlik görevlisinin neyi sorabileceğini yazılı hale getirir. Misafir ve kurye için ayrı, daha hafif bir kayıt düzeni kurulabilir.
• Fabrika ve sanayi tesisi: Yüksek riskli alanlar, müteahhit ve alt yüklenici personeli ile iş sağlığı ve güvenliği eğitimi kaydı gibi ek ihtiyaçlar vardır. Eğitim ve izin bilgisi ziyaretçi kimliğinden ayrı tutulmalıdır.
• Ofis ve plaza: Ön randevu, QR kod ve rozet pratiktir; çalışan kameraları ve ziyaretçi kameraları için işyerinde güvenlik kamerası ve KVKK yazısındaki ilkeler birlikte uygulanır.

Kurulumcu müşterisine KVKK uyumlu çözüm önerirken nelere dikkat etmeli?

Kurulumcu, ziyaretçi sistemini kurarken genellikle veri sorumlusu değil, müşterisine teknik hizmet veren taraftır; ancak sistemi hangi ayarla teslim ettiğiniz müşterinin KVKK yükünü doğrudan etkiler. Teklif ve keşif aşamasında şu başlıkları yazılı hale getirmek iki tarafı da korur.

• Amaç ve alan listesi: Hangi alanların neden toplanacağını müşteriyle yazılı belirleyin; varsayılan olarak tüm kimlik alanlarını çıkaran ayarla teslim etmeyin.
• Belge görüntüsü saklanmasın: Tarama sistemlerinde kimlik görüntüsünü saklama seçeneği kapalı başlasın; açılacaksa gerekçesi ve süresi müşterinin politikasında yer alsın.
• Aydınlatma metni: Kiosk, tablet ve giriş kapısında gösterilecek aydınlatma metni için müşteriyi avukata yönlendirin; kamera uyarısı için KVKK kamera uyarı levhası ve aydınlatma metni konusundaki mantık yol gösterir.
• Saklama ve silme ayarı: Otomatik silme kuralını müşterinin saklama süresiyle birlikte tanımlayın; süreyi siz belirlemeyin, müşterinin hukuki görüşüne ve mevzuata göre doğrulanan değeri girin.
• Erişim yetkisi: Güvenlik görevlisi, yönetici ve teknik servis için ayrı roller kurun; teknik servisin uzaktan erişimi varsa kurulumcunun uzaktan erişiminde veri işleyen sorumluluğu yazısına bakın.
• Veri nerede duruyor: Yazılım bulutta ise sunucunun konumu ve yurt dışına aktarım durumu müşteriye açıkça söylenmeli; ayrıntı için kamera bulut kaydı ve yurt dışı veri aktarımı rehberi kullanılabilir.
• Teslim tutanağı: Ayarların ne olduğunu, hangi özelliklerin kapalı bırakıldığını ve eğitimi alan kişileri teslimde yazın.

Bayifi'de kurulumcu ve ürün bulmak

Site ya da işyeri için geçiş kontrol, interkom ve kamera çözümü kuracak firmayı aramak isterseniz Bayifi'nin bayi listesi ve il rehberlerinden (örneğin İstanbul) kurulumcuların hizmet ve marka bilgilerine bakabilirsiniz. Kurulumcular ve toptancılar ürün ve stok için pazar sayfasını kullanabilir, firmasını kaydol sayfasından ekleyebilir.