Site Girişinde Ziyaretçinin Kimliği ve Plakası Kaydedilebilir mi, Ne Kadar Saklanabilir?

Site girişinde kimlik ve plaka kaydı, geçerli bir hukuki sebep bulunması ve güvenlik amacı için gerçekten gerekli olması şartıyla tutulabilir. Ancak bütün apartman ve sitelerde her ziyaretçinin T.C. kimlik numarasının, kimlik fotokopisinin ve plakasının alınmasını zorunlu tutan genel bir kural yoktur. Kimliği görmek, belirli bilgileri kaydetmek, kartın fotoğrafını çekmek ve kayıtları saklamak ayrı ayrı değerlendirilmelidir.

Ziyaretçi kayıtları için bütün sitelerde uygulanacak tek bir saklama süresi de bulunmaz. Süre, varsa ilgili mevzuattaki zorunluluk ve kaydın amacı dikkate alınarak belirlenir. “Güvenlik için alıyoruz” açıklaması, gereksiz veri toplamayı veya kayıtları süresiz tutmayı haklı kılmaz.

Site girişinde kimlik ve plaka kaydı KVKK kapsamına girer mi?

Ad, soyad, T.C. kimlik numarası ve kimlik kartı görüntüsü kişisel veridir. Araç plakası da ziyaretçi, araç sahibi veya sürücüyle ilişkilendirilerek bir gerçek kişinin belirlenmesini sağladığında kişisel veri niteliğindedir. Ziyaret edilen daire, giriş ve çıkış saati gibi bilgilerle birlikte tutulan plaka kaydı, kişinin ziyaret hareketlerini de ortaya koyabilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 2 ve 3. maddeleri bakımından, kayıtların bilgisayarda tutulması şart değildir. Tarih, kişi veya daire bilgisine göre düzenlenmiş bir ziyaretçi defteri de veri kayıt sisteminin parçası olabilir. Bu nedenle “Sadece kâğıda yazıyoruz” açıklaması KVKK yükümlülüklerini ortadan kaldırmaz.

Kimliğe yalnızca gözle bakılarak teyit yapılması, bütün kartın kalıcı biçimde kaydedilmesine göre daha sınırlı bir müdahaledir. Bunun KVKK kapsamındaki değerlendirmesinde ise işlemin otomatik bir sistemle veya veri kayıt sistemiyle bağlantısı ayrıca incelenir. Her durumda kimlik görme işlemi, kartı kopyalama izni olarak kabul edilemez.

Güvenlik görevlisi kimlik göstermemi veya bilgilerimi vermemi zorunlu tutabilir mi?

Siteye girişin teyit edilmesi ile kamu gücüne dayanılarak kimlik kontrolü yapılması aynı şey değildir. Ziyaret edilen kişinin onayı, giriş amacı ve uygulanacak güvenlik tedbirleri değerlendirilebilir. Ancak özel güvenlik görevlisinin yetkileri, görevlinin sıfatına ve somut duruma göre belirlenir; polis veya jandarmanın bütün yetkilerine sahip değildir.

5188 sayılı Özel Güvenlik Hizmetlerine Dair Kanun’un 7. maddesinde kimlik sorma yetkisi, belirli etkinlikler ve toplu ulaşım tesisleri gibi durumlar için düzenlenmiştir. Aynı Kanun’un 9. maddesi de yetkilerin görev süresi ve görev alanıyla sınırlı olduğunu belirtir. Bu hükümler, her konut sitesi ziyaretçisinin kimlik ve plaka bilgilerini sürekli kaydetme yükümlülüğü doğurmaz.

Giriş kontrolü kapsamında kimlik teyidi talep edilmesi somut koşullarda değerlendirilebilir. Buna karşılık ziyaretçinin kimliğini güvenliğe bırakması, kimliğin giriş kartına karşılık tutulması veya fotokopisinin alınması ayrıca gerekçelendirilmelidir. Kimlik göstermenin gerekli olması, kimliği teslim etmenin veya bütün bilgilerini kaydettirmenin de gerekli olduğu anlamına gelmez.

Ziyaretçi, talep edilen bilgilerin amacını ve hukuki dayanağını sorabilir; ziyaret ettiği kişiden teyit alınmasını isteyebilir. Kimlik kopyası vermeyi reddetmek ile bütün makul giriş kontrollerini reddetmek aynı şekilde değerlendirilemez. Girişin reddinin hukuka uygunluğu da talep edilen verinin gerekliliği, giriş hakkı ve daha az müdahaleci seçenekler birlikte incelenerek belirlenir.

Hangi bilgiler kaydedilebilir, hangileri gereğinden fazla olabilir?

KVKK’nın 4. maddesi, kişisel verilerin amaçla bağlantılı, sınırlı ve ölçülü işlenmesini zorunlu tutar. Uygulamadaki temel soru şudur: Aynı güvenlik ihtiyacı, daha az bilgiyle karşılanabilir mi?

T.C. kimlik numarası, sırf kimlik numarası olduğu için KVKK’nın 6. maddesindeki özel nitelikli veri kategorisine girmez. Bununla birlikte başka verilere erişimi kolaylaştırabilen yapısı nedeniyle gereksiz toplanması önemli risk taşır. Kurumun T.C. kimlik numaralarının işlenmesine ilişkin rehber duyurusu da daha az müdahaleci yöntemlerin tercih edilmesini vurgular.

Kimlik fotokopisi konusunda Kurulun yaklaşımı

Kişisel Verileri Koruma Kurulunun 06.11.2025 tarihli ve 2025/2120 sayılı İlke Kararı, kimlik teyidi ile kimlik kopyası alma arasındaki farkı somutlaştırır. Karar, 09.12.2025 tarihli Resmî Gazete’de yayımlanmıştır. Konaklama sektöründe kimlik bilgilerinin kanuni yükümlülük kapsamında kaydedilebildiği belirtilirken, kimlik belgesinin ayrıca fotokopisinin alınması gereğinden fazla ve hukuki dayanaktan yoksun veri işleme olarak değerlendirilmiştir.

Bu karar turizm ve otelcilik sektörüne özgüdür; site ziyaretçileri hakkında doğrudan verilmiş bir karar değildir. Bununla birlikte KVKK’nın ölçülülük ilkesiyle birlikte okunduğunda, kimlik doğrulamanın kartın tamamını kopyalamayı kendiliğinden haklı kılmadığını gösterir. Kararın kapsamı, Kurumun kimlik fotokopisi alınmasına ilişkin açıklamasından incelenebilir.

Her ziyaretçiden açık rıza alınması gerekir mi?

Her kişisel veri işlemi mutlaka açık rızaya dayanmaz. KVKK m.5/2-f uyarınca, kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olan veri işleme, açık rıza olmadan gerçekleştirilebilir. Site güvenliği bu kapsamda değerlendirilebilecek bir amaçtır; ancak her veri alanı ve saklama süresi için zorunluluk ile haklar arasındaki denge somut olarak gösterilmelidir.

Örneğin ziyaret edilen dairenin teyidi ve sınırlı giriş bilgisi yeterliyken bütün kimlik kartının kopyalanması aynı gerekçeyle açıklanamaz. Yönetim planında veya kat malikleri kararında kayıt tutulacağının yazması da KVKK’daki işleme şartlarının yerine geçmez. Kat Mülkiyeti Kanunu’nun 27. maddesi, yönetim tarzının belirlenmesinde kanunların emredici hükümlerini saklı tutar.

Açık rızaya dayanılacaksa rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olmalıdır. Gerekli olmayan kimlik kopyasına rıza vermeyen kişinin başka seçenek sunulmadan içeri alınmaması, rızanın özgür olup olmadığını tartışmalı hâle getirir. Rıza alınması, gereksiz veri toplama veya süresiz saklama sorununu ortadan kaldırmaz.

Ziyaretçi kimlik ve plaka bilgileri ne kadar saklanabilir?

Olağan konut sitesi ziyaretçi kayıtları için herkese uygulanacak sabit bir gün, ay veya yıl sayısı yoktur. KVKK m.4/2-d gereğince kayıtlar, ilgili mevzuatta öngörülen veya işleme amacı için gerekli olan süreyle sınırlı tutulur. Yönetimin seçtiği süre, somut ihtiyaca dayanmalı; yazılı bir politikaya konulmuş olması tek başına yeterli sayılmamalıdır.

Saklama süresi belirlenirken şu ayrımlar yapılmalıdır:

• Rutin ziyaret kaydı: Ziyaretin teyidi ve güvenlikle ilgili olayların tespiti için gerçekten gerekli süre belirlenir. “Bir gün lazım olabilir” düşüncesi belirsiz saklamayı haklı kılmaz.
• Otopark yetkilendirme bilgisi: Sürekli giriş izni ile tek seferlik ziyaret farklıdır. Yetki sona erdiğinde plakanın aktif giriş listesinde tutulmasının gerekçesi yeniden değerlendirilir.
• Somut olayla ilgili kayıt: Kaza, hırsızlık veya hukuki uyuşmazlıkla bağlantılı belirli kayıtlar, bir hakkın tesisi, kullanılması veya korunması için gerekli olduğu ölçüde KVKK m.5/2-e kapsamında ayrıca saklanabilir.

Somut bir olayın delilini korumak ile bütün ziyaretçilerin yıllarca süren hareket geçmişini tutmak aynı değildir. Olayla bağlantılı kayıt ayrıştırılmalı; kapsamı, erişebilecek kişiler ve saklama gerekçesi belirlenmelidir. Bütün kayıtların en uzun zamanaşımı süresine göre otomatik saklanması yerine, her veri grubunun ihtiyacı ayrıca değerlendirilmelidir.

Saklama süresi ile imha süresi aynı mı?

Hayır. Saklama süresi, verinin ne kadar süre gerekli olduğunu; imha süresi ise işleme şartları sona erdiğinde silme, yok etme veya anonimleştirme işleminin hangi zaman içinde yapılacağını ifade eder. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.11 ve m.12 bu ayrım bakımından önemlidir.

• Saklama ve imha politikası hazırlamış veri sorumlusu, imha yükümlülüğünün doğmasını izleyen ilk periyodik imha işleminde veriyi imha eder. Periyodik imha aralığı altı ayı geçemez.
• Politika hazırlama yükümlülüğü bulunmayan veri sorumlusu, imha yükümlülüğünün doğmasını izleyen üç ay içinde işlemi gerçekleştirir.
• İlgili kişinin silme veya yok etme başvurusunda, işleme şartlarının tamamı ortadan kalkmışsa talep en geç otuz gün içinde sonuçlandırılır ve kişiye bilgi verilir.

Bu süreler, her siteye ziyaretçi verilerini altı ay veya üç ay saklama hakkı veren süreler değildir. Ayrıca imha işlemlerine ilişkin kayıtların Yönetmelik m.7/3 gereğince en az üç yıl saklanması, imha edilmiş ziyaretçi verilerinin de üç yıl boyunca tutulması anlamına gelmez. İmha işlemi kaydı ile ziyaretçinin kimlik ve plaka kaydı farklıdır.

Politika hazırlama yükümlülüğünün bulunmaması, verileri koruma ve imha etme yükümlülüklerini kaldırmaz. Yönetmelik m.8-10 bakımından silme, veriyi ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz; yok etme, hiç kimse için geri getirilemez hâle getirmeyi gerektirir. Anonimleştirmede ise başka verilerle eşleştirilse bile kişiyle bağlantı kurulamamalıdır. Bir kaydı yalnız ekranda gizlemek veya adını kaldırmak bu sonuçları kendiliğinden sağlamaz.

Kayıtlardan kim sorumludur, kimler erişebilir?

Veri sorumlusu, bilgilerin hangi amaçla ve nasıl işleneceğini belirleyen taraftır. Kurumun site yönetimlerine ilişkin yayımladığı değerlendirmede kural olarak kat malikleri kurulunun veri sorumlusu kabul edilebileceği açıklanmıştır. Bununla birlikte yönetici veya profesyonel yönetim şirketinin amaç ve yöntemleri fiilen belirlediği durumlarda farklı sonuçlar ortaya çıkabilir. Sıfat, yalnız sözleşmedeki başlığa bakılarak belirlenmez.

Güvenlik şirketinin kayıtları yönetim adına işlemesi de yönetimin bütün yükümlülüklerini ortadan kaldırmaz. KVKK m.12/2, veri güvenliği tedbirleri bakımından veri sorumlusunun kendi adına veri işleyenlerle birlikte sorumluluğunu düzenler.

Erişim, görevin gerektirdiği kişilerle ve gerekli kayıtlarla sınırlandırılmalıdır. Ziyaretçi defterinin sonraki ziyaretçilerin okuyabileceği şekilde açık bırakılması, listelerin bütün site sakinlerine gönderilmesi veya görevlinin kişisel telefonunda kimlik fotoğrafları tutulması uygun güvenlik tedbirleriyle bağdaşmayabilir.

Bir kişinin kat maliki olması, bütün ziyaretçilerin kimlik veya plaka kayıtlarını öğrenme yetkisi vermez. Yetkili kolluk veya yargı merciinden gelen talepler ise talebin hukuki dayanağı ve kapsamına göre ayrıca değerlendirilir. Kayıtların grupta paylaşılması gündeme geliyorsa WhatsApp grubunda kişisel veri paylaşımına ilişkin hukuki ayrımlar da dikkate alınmalıdır.

Girişte ziyaretçiye hangi bilgiler verilmelidir?

KVKK m.10 kapsamındaki aydınlatma, verilerin elde edilmesi sırasında yapılmalıdır. Olağan ziyaretçi kayıtlarında, veri sorumlusunun kimliği, işleme amacı, aktarım yapılabilecek kişiler ve amaçları, toplama yöntemi, hukuki sebep ve ilgili kişinin hakları açıklanmalıdır.

“Güvenliğiniz için kayıt alınıyor” levhası tek başına bu unsurların tamamını karşılamaz. Okunabilir kısa bilgilendirme ve kolay erişilen ayrıntılı metin birlikte kullanılabilir. Yalnız QR koduna bağlı, telefon kullanamayan ziyaretçinin ulaşamadığı bir düzen yerine alternatif erişim sağlanması uygun olur. Saklama süresinin ve imha yaklaşımının da anlaşılır biçimde açıklanması, belirsizliği azaltır.

Aydınlatma ile açık rıza aynı işlem değildir. Ayrıca amaç kısmına “güvenlik” yazılması, işlemi KVKK m.28’deki istisnaların içine kendiliğinden sokmaz; ilgili istisnanın somut şartları ayrıca değerlendirilir.

Kimlik veya plaka kaydına itiraz eden ziyaretçi ne yapabilir?

Ziyaretçi öncelikle veri sorumlusuna başvurarak kendisine ait hangi bilgilerin işlendiğini, amaç ve hukuki sebebi, aktarım yapılan kişileri ve saklama süresini sorabilir. KVKK m.11 kapsamında yanlış kaydın düzeltilmesini; m.7’deki şartlar oluşmuşsa verilerin silinmesini veya yok edilmesini isteyebilir. Devam eden hukuki bir işleme sebebi varsa silme talebi gerekçesi açıklanarak reddedilebilir.

Başvuru, KVKK m.13’e uygun biçimde yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yapılmalıdır. Giriş tarihi, talep edilen bilgiler ve varsa kayıt formu veya aydınlatma metni belirtilmesi incelemeyi kolaylaştırır. Delil oluşturmak için başka ziyaretçilerin verilerinin bulunduğu defterin tamamı kopyalanmamalıdır.

Veri sorumlusunun nihai cevabı yazılı olarak veya elektronik ortamda bildirilmelidir. Kurumun başvurulara verilen cevabın bildirim usulüne ilişkin duyurusu, yalnız telefonla veya yüz yüze yapılan açıklamanın bu cevabın yerine geçmediğini belirtir.

• Veri sorumlusunun cevap süresi: Talebin niteliğine göre en kısa sürede ve en geç otuz gündür.
• Kurula şikâyet: Başvuru reddedilirse, cevap yetersizse veya süresinde cevap verilmezse; cevabın öğrenilmesinden itibaren otuz gün ve her durumda veri sorumlusuna başvuru tarihinden itibaren altmış gün içinde yapılabilir.
• Cevap verilmemesi: Otuz günlük cevap süresi dolduktan sonra, ilk başvurudan itibaren altmış günlük sınır gözetilerek şikâyete gidilir. Geç gelen cevabın bu üst sınırı yeniden başlattığı varsayılmamalıdır.

KVKK m.14/2 uyarınca veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyet edilemez. Kişilik hakkı ihlali nedeniyle genel hükümlere göre tazminat hakkı ayrıca saklıdır. Kurula şikâyet, tazminat davasının yerine geçmez.

Site yönetimi için uygulanabilir kayıt düzeni

Uygun bir ziyaretçi kayıt sistemi, yalnız form hazırlamakla kurulmaz. Yönetim, önce güvenlik ihtiyacını tanımlamalı; her veri alanı için gereklilik ve hukuki sebebi belirlemelidir. Ardından şu düzen kurulabilir:

1. Ziyaretçinin beyanını ve ziyaret edilen kişinin teyidini esas alan, gerekli olduğunda kimlik kontrolüyle desteklenen süreç belirlenir.
2. Kimlik kartının tamamını kopyalamak yerine gerekli bilgilerle sınırlı kayıt değerlendirilir.
3. Ziyaret, otopark yetkisi ve somut olay delilleri için ayrı saklama gerekçeleri oluşturulur.
4. Aydınlatma girişte erişilebilir hâle getirilir; gerekiyorsa açık rıza ayrıca alınır.
5. Kâğıt defter ve dijital sistemde erişim yetkileri sınırlandırılır; güvenlik personeline talimat verilir.
6. Süreler sona erdiğinde imha yapılır ve imha işlemi kaydedilir.

Varsayımsal örnek: Otopark kapısına ilişkin hasar incelemesinde olay saatindeki belirli araç girişlerinin korunması gerekli olabilir. Aynı olay, o günün bütün ziyaretçilerinin kimlik fotokopilerinin belirsiz süreyle tutulmasını haklı kılmaz. Güvenlik ihtiyacı, kaydın kapsamı ve süresiyle ilişkilendirilmelidir.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.

Yazar: Av Batuhan Can ZANBAK   Yayınlanma Tarihi: 13.10.2026   Son Güncellenme Tarihi: 13.10.2026