Kimlik Fotokopisi Alınması: Dayanak, Ölçülülük ve Yaptırım

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri işleme şartları, Kurul kararları ve uyum süreçleri için çalışma alanı.

Kişisel Verileri Koruma Kurulu, 9 Aralık 2025 tarihli Resmî Gazete'de yayımlanan ilke kararıyla otellerin misafirlerden T.C. kimlik belgesi fotokopisi almasını sona erdirmiştir. Aynı kararla, daha önce toplanan fotokopilerin imha edilmesi de veri sorumlularına bildirilmiştir. Kimlik fotokopisi alınması uygulaması yalnızca konaklama sektörüne özgü değildir; mağazadan bankaya, iş yerinden site yönetimine kadar pek çok veri sorumlusu kimlik belgesinin bir kopyasını dosyasına koyar.

Bu makale, kimlik fotokopisi alınmasının 6698 sayılı Kanun karşısındaki durumunu üç Kurul kararı üzerinden inceler: 06.11.2025 tarihli ve 2025/2120 sayılı ilke kararı, 01.10.2019 tarihli ve 2019/294 sayılı karar ile 26.08.2021 tarihli ve 2021/859 sayılı karar. Üç karar birlikte okunduğunda ortak bir ölçüt ortaya çıkar: Kimlik belgesinin kopyası ancak onu açıkça öngören bir düzenleme varsa alınabilir; düzenleme yoksa aynı amaca daha az veriyle ulaşmak mümkün olduğundan fotokopi ölçülülük ilkesine aykırı kalır. Kararın tekil görünümü için arkalı önlü kimlik görüntüsü talebine ilişkin Kurul kararının analizi, soru formatındaki karşılığı için otel resepsiyonu kimlik fotokopisi isteyebilir mi sayfası kullanılabilir.

1. Kimlik Bilgisini Yazmak ile Kimlik Belgesini Kopyalamak Aynı İşlem Değildir

Kimlik belgesi görüldüğünde veri sorumlusunun eline geçen bilgi ile belge kopyalandığında dosyaya giren bilgi arasında nicelik ve nitelik farkı vardır. Ad, soyad ve T.C. kimlik numarasının deftere veya sisteme yazılması sınırlı bir veri setinin işlenmesidir. Fotokopi ise belge üzerindeki tüm alanları, fotoğrafı, imzayı ve belgenin türüne göre başka bilgileri de kalıcı bir kayda dönüştürür.

Bu fark, 6698 sayılı Kanun m. 3 bakımından kişisel verinin kapsamını değiştirmez; her iki işlem de kişisel verinin işlenmesidir. Fark, Kanun m. 4/2-(ç) bendindeki ölçülülük ilkesinin değerlendirilmesinde ortaya çıkar. Kurul'un 2025/2120 sayılı ilke kararı bu ayrımı açıkça kurmuştur: Konaklama yerlerinde misafirin ad, soyad ve T.C. kimlik numarasının kaydı 1774 sayılı Kimlik Bildirme Kanunu ve uygulama yönetmeliğine dayandığı için hukuka uygun sayılmış, belgenin fotokopisinin alınması ise aynı dayanağa bağlanmamıştır.¹

Pratikte bu ayrım şu soruyu doğurur: Veri sorumlusu kimlik belgesini kendisi mi saklayacaktır, yoksa belgeye bakarak doğruladığı bilgiyi mi kaydedecektir? İlk seçenek ek bir yasal dayanak gerektirir; ikinci seçenek çoğu hâlde gerektirmez.

2. Hukuka Uygunluğun Üç Basamağı

Kimlik fotokopisi alınmasının hukuka uygunluğu üç ayrı sorudan geçer. Soruların biri olumsuz yanıtlandığında işleme hukuka aykırı olur.

Birinci basamak işleme şartıdır. 6698 sayılı Kanun m. 5/2 uyarınca kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi için zorunlu olma, hakkın tesisi, kullanılması veya korunması ve meşru menfaat gibi şartlardan birinin bulunması aranır. Şartın varlığı işlemeyi mümkün kılar; kapsamını belirlemez.

İkinci basamak genel ilkelerdir. Kanun m. 4/2 uyarınca işleme hukuka ve dürüstlük kurallarına uygun olmalı, belirli, açık ve meşru amaçlar için yapılmalı, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalı ve gerekli süre kadar saklanmalıdır. Yücedağ, bu ilkelerin birbirine bağlı olduğunu ve bazılarının diğerleri üzerine kurulduğunu belirtir; ölçülülük bakımından da işlenen verinin amaç kapsamında yeterli olanın ötesine geçmesi hâlinde işlemenin genel ilkelere aykırı sayılacağını ve ilgili kişinin hakkına en az müdahale edecek yöntemin seçilmesi gerektiğini ifade eder.² İşleme şartı bulunan bir fotokopi dahi bu ikinci basamakta elenebilir.

Üçüncü basamak özel nitelikli veri ve güvenlik denetimidir. Kimlik belgesi türüne göre din, kan grubu gibi özel nitelikli bilgi taşıyabilir. 7499 sayılı Kanunla yeniden düzenlenen m. 6'ya göre özel nitelikli verinin işlenmesi kural olarak yasaktır ve yalnızca m. 6/3'te sayılan hâllerden birinin varlığında mümkündür. Kopyanın nasıl saklandığı ise m. 12 kapsamındaki teknik ve idari tedbirlerin konusudur.

Stratejik değerlendirme: Uyuşmazlıklarda veri sorumluları çoğunlukla yalnızca birinci basamağı savunur ("sözleşme gereği", "meşru menfaat"). Kurul ise ikinci basamakta, yani aynı amaca daha az veriyle ulaşılıp ulaşılamayacağında karar verir.

3. Kurul'un 2025/2120 Sayılı İlke Kararı

Kurul, turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerin T.C. kimlik belgesi fotokopisinin kaydedilmesine ilişkin ilke kararını 06.11.2025 tarihinde oybirliğiyle almış, karar 09.12.2025 tarihli ve 33102 sayılı Resmî Gazete'de yayımlanmıştır.³

Kararın gerekçesi üç parçadan oluşur. Birincisi, misafirin ad, soyad ve T.C. kimlik numarasının kaydı ile geliş ve ayrılış bilgileri Kimlik Bildirme Kanunu ve ilgili yönetmelik uyarınca zorunludur; kimlik belgesinin ibrazı ve bilgilerin belgeyle doğrulanması da bu çerçevede hukuka uygundur. İkincisi, belgenin fotokopisinin alınması bu yükümlülüğün gerektirdiği veri işlemenin ötesine geçer. Üçüncüsü, fotokopi eski nüfus cüzdanlarındaki din ve kan grubu gibi özel nitelikli bilgileri de kayıt altına alma riski taşıdığından m. 6 bakımından ayrıca sorun yaratır.

gereğinden fazla veri işleme sonucunu doğurmakla beraber bu işleme faaliyetinin herhangi bir hukuki bir dayanağı da söz konusu değildir

KVKK Kurulu, 06.11.2025, 2025/2120 (ilke kararı)

Kurul, fatura düzenleme ve günlük müşteri listesi tutma gibi Vergi Usul Kanunu kaynaklı işlemeleri (m. 230 ve m. 240) hukuka uygun bulmuş, ancak bu yükümlülüklerin de fotokopi almayı gerektirmediğini belirtmiştir. Karar sonucunda veri sorumlularının fotokopi alma uygulamasına son vermesi, ilke kararından önce toplanmış fotokopilerin 6698 sayılı Kanun m. 7 uyarınca imha edilmesi ve m. 12 kapsamındaki tedbirlere uyulmaması hâlinde m. 18 uyarınca işlem yapılması öngörülmüştür.

İlke kararı konaklama sektörüne yöneliktir. Kararın doğrudan bağlayıcılığı bu sektörle sınırlıdır; gerekçesi ise başka sektörlerde de ölçüt olarak kullanılmaya elverişlidir (bkz. bölüm 6).

4. Fotokopiyi Öngören Düzenleme Varsa: 2021/859 Sayılı Karar

Kimlik belgesinin kopyasının alınması her durumda yasak değildir. Kurul'un 26.08.2021 tarihli ve 2021/859 sayılı kararı, tersine bir sonuca ulaşılan örnektir. Bir internet hizmeti sağlayıcısı, abonelik kurmak için ilgili kişinin evine gelerek kimlik belgesinin fotoğrafını cep telefonuyla çekmek istemiş; ilgili kişi bunu reddedince sözleşme kurulmamıştır.⁴

Veri sorumlusu, Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği m. 7/6'ya dayanmıştır. Yönetmelik, abonelik sözleşmesinin elle atılan imza ile kurulması hâlinde işletmecinin kimlik belgesinin bir örneğini almasını, örneğin asıl belge üzerinden ve yalnızca uygun elektronik ortama aktarılarak alınmasını öngörmektedir. Kurul bu açık düzenleme karşısında kimlik belgesinin fotoğrafının çekilmesini m. 5/2-(ç) bendindeki "veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması" şartına dayanan hukuka uygun bir işleme saydı.

Kararın ikinci bölümü sözleşmeden vazgeçen kişiye ilişkindir. İlgili kişi sözleşme kurulmadığı için verilerin silinmesini istemiş, veri sorumlusu ise ileride yapılabilecek şikâyetlere karşı asgari kimlik bilgisini saklamıştır. Kurul, sözleşme dayanağı ortadan kalktığı için m. 5/2-(c) bendinin artık uygulanamayacağını, ancak asgari düzeydeki kimlik verisinin m. 5/2-(e) bendindeki "bir hakkın tesisi, kullanılması veya korunması" şartıyla işlenebileceğini kabul etmiştir. Veri sorumlusu, verileri amaçla bağlantılı olarak asgari süreyle sınırlı saklamak ve amacı dışında kullanmamak yönünde talimatlandırılmıştır.

2025/2120 ile 2021/859 yan yana okunduğunda ölçü belirginleşir: Otel örneğinde fotokopiyi öngören bir düzenleme yoktur; abonelik örneğinde vardır. Fark, işlemenin niteliğinde değil, hukuki dayanağın varlığındadır.

5. Arkalı Önlü Kimlik Görüntüsü ve Özel Nitelikli Veri: 2019/294 Sayılı Karar

Kurul'un 01.10.2019 tarihli ve 2019/294 sayılı kararı, kimlik görüntüsünün hiçbir düzenlemeye dayanmadan istendiği bir uyuşmazlığa ilişkindir. Bir havayolu şirketinin sadakat programı kullanıcısı, kullanıcı adı ve parola bilgilerini değiştirmek için başvurmuş; çağrı merkezi, arkalı önlü kimlik görüntüsünü göndermesi hâlinde talebin yerine getirileceğini bildirmiştir.⁵

Kurul, kimlik görüntüsünde din ve kan grubu bilgilerinin de bulunması nedeniyle görüntüdeki verileri özel nitelikli kişisel veri saydı; açık rıza bulunmadığı için işlemeyi hukuka aykırı buldu. Genel ilkeler bakımından da kimlik doğrulama için daha az veri işlenmesinin mümkün olduğunu, bu nedenle kimlik görüntüsünün işlendiği amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı olduğunu tespit etti. Doğrulama amacıyla ek bilgi istenmesinin kendisini ise yerinde buldu; sorun, istenen bilginin kapsamındaydı.

Kararın ayrıntısı karar analizi sayfasında yer alır. Burada önemli olan, 2019 tarihli bu kararın 2025 ilke kararının gerekçesini önceden kurmuş olmasıdır: Özel nitelikli veri riski ve "daha az veriyle doğrulama" argümanı, her iki kararda aynı biçimde belirleyicidir.

6. Başka Sektörlerde Kıyas: Hangi Soru Sorulmalıdır?

İlke kararı turizm ve otelcilik sektörüne ilişkin olsa da, kararın gerekçesinden çıkan soru dizisi diğer sektörlerde de kullanılabilir. Kimlik fotokopisi isteyen bir veri sorumlusu için sorular şunlardır:

Fotokopiyi açıkça öngören bir kanun veya yönetmelik hükmü var mı?
Hüküm varsa, kopyanın kapsamını (asıl belge üzerinden, elektronik ortamda, belirli süreyle) aşıyor muyum?
Hüküm yoksa, belgeyi yalnızca görerek ve gerekli alanları kaydederek aynı amaca ulaşabilir miyim?
Kopya özel nitelikli bilgi taşıyabilir mi?
Kopyayı ne kadar süre, hangi tedbirlerle saklayacağım?

Üçüncü soruya olumlu yanıt verilebiliyorsa fotokopi, ölçülülük ilkesi bakımından savunulamaz hâle gelir. Bu çıkarım Kurul'un sektör dışı bir kararında açıkça yer almadığından kıyas niteliğindedir; kanaatimizce 2019/294 sayılı kararın gerekçesi bu yorumu desteklemektedir.

Uygulamada en sık hata: Fotokopinin "ispat için" alınması gerekçesi. Kurul'un 2021/859 sayılı kararı, ispat amacının asgari kimlik verisini meşrulaştırdığını, ancak belgenin tamamının kopyasını meşrulaştırmadığını gösterir.

7. Rıza, Sözleşme ve Meşru Menfaat Fotokopiyi Meşrulaştırır mı?

Veri sorumluları çoğunlukla fotokopiyi sözleşme şartına veya meşru menfaate bağlar. 2025/2120 sayılı ilke kararının gerekçesi bu savunmaları sınırlar: İşlemenin "herhangi bir hukuki dayanağı" bulunmadığı tespitine ulaşılmış olması, sözleşme (m. 5/2-(c)) ve meşru menfaat (m. 5/2-(f)) şartlarının bu işlem bakımından aranan zorunluluk testini geçemediği söylenebilir.

Açık rızaya dayanma ihtimali ayrıca tartışılabilir. Bu kararlar açık rızanın ölçülülük ilkesini ortadan kaldırıp kaldırmadığı konusunda doğrudan bir tespit içermemektedir. Genel ilkeler, işleme şartından bağımsız olarak uygulandığından, rıza alınmış olsa dahi amaçla bağlantılı, sınırlı ve ölçülü olma ilkesinin ayrıca karşılanması gerekir. Bu sonuç doktrindeki genel yaklaşımdan çıkarılmaktadır; kimlik fotokopisi bakımından kesinleşmiş bir Kurul uygulaması bulunmadığından ihtiyatlı değerlendirilmelidir.²

8. Saklama, İmha ve İlgili Kişinin Başvurusu

Kopya bir kez alındıktan sonra sorun saklamaya dönüşür. 6698 sayılı Kanun m. 7 uyarınca işlenmesini gerektiren sebepler ortadan kalkan kişisel veri silinir, yok edilir veya anonim hâle getirilir. 2025/2120 sayılı kararda bu hüküm, ilke kararından önce toplanan fotokopiler bakımından açıkça uygulanmıştır.

İlgili kişi kimlik kopyasının silinmesini veri sorumlusuna yazılı olarak talep edebilir; veri sorumlusu başvuruya en geç otuz gün içinde yanıt vermek zorundadır (Kanun m. 13). Başvuru yanıtsız kalırsa veya yetersiz bulunursa Kurul'a şikâyet yolu açıktır (Kanun m. 14). 2019/294 sayılı karar, bu aşamada yapılan hatalı bilgilendirmenin de bağımsız bir ihlal sayılabileceğini gösterir: Veri sorumlusu, kimlik görüntülerinin silinmediği hâlde "sistemlerde tutulmadığı" yanıtını vermiş ve bu yanıt, başvuru hakkına riayet edilmemesi olarak değerlendirilmiştir. Başvuru yöntemi için KVKK veri sahibi başvurusu nasıl yapılır ve şirketten kişisel verilerin silinmesini isteme sayfalarına bakılabilir.

Yaptırım bakımından 2019/294 sayılı kararda m. 12/1 ihlali nedeniyle m. 18/1-(b) uyarınca 100.000 TL idari para cezası uygulanmıştır. m. 18 hükmü 7499 sayılı Kanunla değiştirildiğinden güncel tutarlar için KVKK idari para cezaları sayfasına ve yürürlükteki metne bakılmalıdır.

Uygulamada

Veri sorumlusu açısından ilk adım, kimlik belgesi kopyalarının envanterinin çıkarılmasıdır. Hangi süreçte, hangi dayanakla ve ne kadar süreyle kopya tutulduğu yazılı olarak belirlenmeli; dayanağı bulunmayan arşivler saklama ve imha politikası çerçevesinde imha edilmelidir. Kimlik doğrulaması gereken süreçlerde belge gösterilerek ad, soyad ve gerekli numaranın kaydedilmesi, çoğu hâlde fotokopi ihtiyacını ortadan kaldırır.

Kopya alınması mevzuatla zorunlu kılınmışsa, mevzuatın öngördüğü yöntem aşılmamalıdır. Asıl belge üzerinden, uygun elektronik ortamda ve belirli bir süreyle saklama, 2021/859 sayılı kararda hukuka uygun bulunan modeldir. Çalışanların kendi telefonlarıyla belge fotoğrafı çekmesi ise ayrı bir güvenlik riskidir; bu konuda m. 12 kapsamında kurumsal bir yöntem belirlenmelidir.

İlgili kişi açısından başvuru sırası önemlidir: Önce veri sorumlusuna yazılı başvuru yapılmalı, talepler açıkça sayılmalı, otuz günlük süre izlenmelidir. Kimlik teyidi için istenen belgenin kapsamı da sorgulanabilir; teyit gerekliyse daha dar bir yöntem talep edilebilir. Konunun genel veri koruma çerçevesi için Kişisel Verilerin Korunması Rehberi, özel nitelikli verinin kapsamı için özel nitelikli kişisel veri nedir sayfası kullanılabilir.

Sonuç

Kimlik fotokopisi alınmasının hukuka uygunluğu, işlemenin bir hukuki dayanağa ve ölçülü bir kapsama sahip olup olmadığına bağlıdır. KVKK Kurulu 2025/2120 sayılı ilke kararında konaklama sektöründe fotokopi almayı dayanaksız ve gereğinden fazla veri işleme saymış, 2019/294 sayılı kararda kimlik doğrulaması için arkalı önlü görüntü istenmesini özel nitelikli veri ve ölçülülük bakımından hukuka aykırı bulmuş, 2021/859 sayılı kararda ise kopyayı açıkça öngören bir yönetmelik hükmünün varlığı nedeniyle aynı işlemi hukuka uygun kabul etmiştir.

Üç kararın ortak sonucu şudur: Kimlik belgesini görmek ve gerekli bilgiyi kaydetmek çoğu hâlde yeterlidir; belgenin kopyası ise ancak açık bir düzenlemeye dayanabilir ve düzenlemenin çizdiği sınırda kalmak zorundadır. Mevcut arşivlerin gözden geçirilmesi, dayanağı bulunmayan kopyaların imha edilmesi ve doğrulama süreçlerinin daha dar veriyle yeniden kurulması bu sonucun uygulamadaki karşılığıdır.

KVKK Kurulu, 06.11.2025, 2025/2120 (ilke kararı), "Turizm ve Otelcilik Sektöründe Konaklama Hizmeti Alan Kişilerin T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Hakkında İlke Kararı", RG 09.12.2025/33102. Karar metni Resmî Gazete'de ve Kişisel Verileri Koruma Kurumu internet sitesinde yayımlanmıştır. Bu çalışmada gerekçenin kamuya açık yayınlardan aktarılan içeriği esas alınmış, aşağıdaki üçüncü dipnotta gösterilen ibare dışında kararın cümleleri tırnak içinde verilmemiştir. ↩
Yücedağ, Nafiye, "Kişisel Verilerin Korunması Kanunu Kapsamında Genel İlkeler", Kişisel Verileri Koruma Dergisi, C. 1, S. 1, 2019, s. 47-63, özellikle s. 59. Yazar, işlenen verinin işleme amacı kapsamında yeterli olanın ötesine geçmesi hâlinde işlemenin genel ilkelere aykırı sayılacağını ve ilgili kişinin kişisel verilerinin korunması hakkına en az müdahale edecek yöntemin seçilmesi gerektiğini belirtmektedir. Atıf, makalenin DergiPark'ta yayımlanan metninden doğrulanmıştır. ↩ ↩²
KVKK Kurulu, 06.11.2025, 2025/2120. Blok alıntı, kararın gerekçesinden alınmış kısa bir ibaredir ve cümlenin tamamı değildir; kararın Resmî Gazete metni esas alınmalıdır. İlke kararının yaptırım yönü 6698 sayılı Kanun m. 12 ve m. 18 çerçevesindedir. ↩
KVKK Kurulu, 26.08.2021, 2021/859 (karar özeti, Kişisel Verileri Koruma Kurumu internet sitesinde yayımlanmıştır). Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği m. 7/6, Kurul gerekçesinde aktarıldığı şekliyle verilmiştir; yönetmeliğin bugünkü metni ayrıca kontrol edilmelidir. ↩
KVKK Kurulu, 01.10.2019, 2019/294 (karar özeti, Kişisel Verileri Koruma Kurumu internet sitesinde yayımlanmıştır). İdari para cezası 6698 sayılı Kanun m. 18/1-(b) uyarınca uygulanmıştır; m. 18 hükmü 7499 sayılı Kanunla değiştirilmiştir (yürürlük 01.06.2024). ↩

Kimlik Fotokopisi Alınması: Dayanak, Ölçülülük ve Yaptırım