KVKK Uyumlu Otel Çerez Politikası Rehber ve Uygulama Adımları

1. Giriş

Otel web siteleri ve mobil uygulamalar, kullanıcı deneyimini geliştirmek amacıyla çerez teknolojilerinden faydalanmaktadır. Ancak bu uygulamalar, kişisel verilerin korunması açısından dikkatle ele alınmalıdır. Türkiye’de çerez kullanımının KVKK kapsamında değerlendirilmesi ve uyumlu politikaların oluşturulması, hem hukuki yükümlülüklerin yerine getirilmesi hem de misafir güveninin sağlanması bakımından büyük önem taşımaktadır.

Bu çalışmada, otel işletmelerinin çerez kullanımını KVKK ile uyumlu biçimde düzenleyebilmeleri için izlenmesi gereken yöntemler açıklanmaktadır.

2. Çerez Tanımı ve Kullanım Amaçları

Çerez (cookie), bir web sitesi ziyareti sırasında kullanıcının cihazına yerleştirilen küçük veri dosyalarıdır. Bu dosyalar, tarayıcı ile sunucu arasındaki veri alışverişini kaydederek site deneyimini optimize eder.

Çerezler işlevlerine göre genellikle şu şekilde sınıflandırılır:

• Zorunlu / İşlevsel Çerezler: Site işlevlerinin sürdürülebilmesi için gerekli olan çerezlerdir. Örnek: oturum yönetimi veya alışveriş sepeti.
• Analitik / Performans Çerezleri: Web sitesinin kullanım istatistiklerini ve performans verilerini toplamak için kullanılır.
• Tercih / İşlevsellik Çerezleri: Kullanıcının dil, tema veya benzeri tercihlerini hatırlamak için oluşturulur.
• Reklam / Pazarlama Çerezleri: Kullanıcının ilgi alanlarına uygun reklam ve içerik sunumunu sağlar.

Ayrıca çerezler, kaynağına göre “birinci taraf” (ziyaret edilen site tarafından oluşturulan) veya “üçüncü taraf” (dış sağlayıcılar tarafından sağlanan) olarak da sınıflandırılabilir.

3. Çerezler ve KVKK Perspektifi

Çerez kullanımına ilişkin Türkiye mevzuatında özel bir düzenleme bulunmamaktadır; ancak KVKK, çerezler aracılığıyla işlenen verilerin kişisel veri niteliği kazanabileceğini öngörür.

Çerezler doğrudan kimliği belirlemez; ancak başka verilerle birleştirildiğinde kişi tanımlanabilir hâle gelir ve bu durumda KVKK kapsamına girer. Örneğin bir ziyaretçinin tarayıcı bilgileri veya sayfa gezinme geçmişi, analiz veya pazarlama amacıyla kullanıldığında kullanıcıdan açık rıza alınması gerekir.

KVKK Kurulu’nun 23/12/2022 tarihli 2022/1358 sayılı Kararı, zorunlu olmayan çerezler için rıza alınmamasını ve bilgilendirme yapılmamasını ihlal olarak değerlendirmiştir.

4. Rıza Gerektiren ve Gerektirmeyen Çerezler

KVKK ve ilgili Kurul kararları doğrultusunda çerezler iki ana grupta incelenebilir:

• Rıza gerektirmeyen çerezler: Temel işlevleri sağlayan ve kullanıcı talebi ile ilişkilendirilen çerezler.
• Rıza gerektiren çerezler: Analitik, performans, reklam ve pazarlama amaçlı çerezler. Bu tür veriler, kullanıcı açıkça onay vermeden işlenemez.

5. Çerez Aydınlatma Metni

Otelin web sitesi veya mobil uygulamasında yer alacak çerez aydınlatma metni şu unsurları içermelidir:

• Çerezlerin tanımı ve işleyiş mekanizması
• Kullanılan çerez türleri (zorunlu, analitik, tercih, reklam vb.)
• Çerezlerin kullanım amaçları
• Saklama süreleri
• Üçüncü taraf çerezler ve veri paylaşım durumları
• Kullanıcının çerezleri kabul veya reddetme seçenekleri
• Çerez tercihlerini değiştirme yolları
• KVKK kapsamında kullanıcı hakları

Metin, site girişinde veya ayrı bir “Çerez Politikası” sayfasında sunulmalı ve açık rıza mekanizmalarına erişim imkânı sağlanmalıdır.

6. Rıza Alma Yöntemleri

Kullanıcının hangi çerezleri kabul edeceğini belirleyebilmesi, etkili bir rıza mekanizmasının temelini oluşturur. Varsayılan olarak tüm çerezlerin aktif olması yerine opt-in yaklaşımı uygulanmalıdır. Zorunlu olmayan çerezler, yalnızca kullanıcı onayı alındığında devreye girmelidir. Ayrıca rıza kayıtları tutulmalı ve denetim amaçlı kullanılmalıdır.

7. Çerez Envanteri

Otelin kullandığı tüm çerezler detaylı şekilde envanterlenmelidir. Envanterde yer alması gereken bilgiler:

• Çerezin adı
• Türü
• Sağlayıcı (site içi veya üçüncü taraf)
• Kullanım amacı
• Saklama süresi
• Varsayılan durumu (aktif / pasif)

Bu envanter, çerez politikasının doğruluğunu teyit etmek, kullanıcı taleplerini yönetmek ve uyumluluğu denetlemek için gereklidir.

8. Saklama Süreleri ve Çerez Yönetimi

Her çerez, belirli bir saklama süresine sahiptir (örneğin oturum çerezleri oturum sonunda silinir, analitik çerezler daha uzun süre tutulabilir). Kullanıcı rızasını geri çektiğinde ilgili çerezler derhal silinmeli veya devre dışı bırakılmalıdır. Çerezler ayrıca düzenli olarak gözden geçirilmeli ve gereksiz olanlar kaldırılmalıdır.

9. Üçüncü Taraf Çerezleri ve Veri Paylaşımı

Otel web sitelerinde üçüncü taraf analiz, reklam veya sosyal medya servisleri kullanılabilir. Bu durumlarda:

• Hangi üçüncü tarafların çerez yerleştirdiği kullanıcıya bildirilmelidir
• Veri paylaşımı varsa, aydınlatma metninde açıkça ifade edilmelidir
• Yurt dışına veri aktarımı KVKK kuralları çerçevesinde düzenlenmelidir
• Üçüncü tarafların KVKK uyumlu olması sağlanmalıdır

10. Denetim ve Sürekli Uyum

Çerez politikası sürekli gözden geçirilmeli ve yeni çerezler eklendiğinde güncellenmelidir. Otel, çerez yönetimi ile ilgili iç denetimler yapmalı ve kullanıcı taleplerini hızlı şekilde yerine getirmelidir. Mevzuat değişiklikleri ve KVKK Kurulu rehberleri takip edilmelidir.

11. Kısaca

Otel işletmeleri için çerez politikalarının hazırlanması yalnızca teknik bir zorunluluk değil, aynı zamanda misafir güvenini artıran bir uygulamadır. KVKK uyumlu çerez politikası, açık rıza mekanizmaları, şeffaflık, doğru saklama süreleri ve sürekli denetim ile mümkündür. Bu yaklaşım, hem hukuki riskleri azaltır hem de misafirlerin gizliliğine saygı gösterilmesini sağlar.