KVKK新决定终结酒店业常见做法
摘要
土耳其个人数据保护局（KVKK）已正式禁止酒店及住宿提供者复印或扫描客人的身份证及护照。该决定于2025年12月9日在《官方公报》公布，标志着土耳其数据保护实践向GDPR下欧盟标准接轨的重要一步。关于一手来源，请阅读 KVKK关于酒店身份证件复印决定的官方摘要 。
| 酒店行为 | 状态 |
|---|---|
| 查看护照或身份证件以核验身份 | 允许 |
| 记录法律要求的客人身份信息 | 允许 |
| 复印客人护照或身份证件 | 不允许 |
| 扫描并保留护照或身份证件图像 | 不允许 |
| 保留此前收集的不必要护照/身份证件副本 | 必须删除 |
发生了什么？
2025年11月6日，个人数据保护委员会作出第2025/2120号决定，这是一项正式“原则性决定”（İlke Kararı），针对土耳其旅游及酒店业长期存在的做法。
决定要点：
- 酒店、汽车旅馆、家庭旅馆、青年旅舍及短租物业，不得再复印或扫描客人的土耳其身份证（T.C. Kimlik Kartı）或护照
- 住宿提供者必须销毁此前收集的全部身份证件复印件，并遵循 第6698号法律第7条
- 仍允许目视核验身份证件——工作人员可查看文件以确认身份
- 依据以下法律，在登记系统中记录客人信息（姓名、身份证件号码、入住/退房日期）仍属强制要求： 第1774号《身份通报法》
- 不合规将导致KVKK第18条下的行政罚款
KVKK为何采取这一步？
委员会为该决定列出若干理由：
1. 过度数据处理
复印身份证会获取远超客人登记所需的信息——包括照片、父母姓名、血型及宗教信息（旧版证件上）。这违反数据最小化原则。
2. 缺乏法律依据
尽管土耳其法律要求酒店记录客人信息并向主管机关通报（GİKS系统），但没有法律要求复印身份证件本身。该做法已成为惯例，却缺乏法律基础。
3. 安全风险
存储的身份证件复印件造成重大数据泄露风险。若被盗或泄露，这些信息可用于身份盗用、欺诈或其他犯罪活动。
4. 大量投诉
KVKK收到大量公民投诉，担忧住宿提供者不必要地收集及存储其个人数据。
GDPR比较：欧盟如何处理？
土耳其新决定与欧盟成员国根据《通用数据保护条例》（GDPR）采取的方法高度相似。
数据最小化原则
GDPR第5(1)(c)条规定，个人数据必须： “充分、相关，并限于实现处理目的所必需的范围”.
该原则直接禁止收集超出所需的数据——而身份证件复印件通常包含远超酒店登记所需的信息。
欧盟执法实例
| 国家 | 主管机关 | 行动 |
|---|---|---|
| 西班牙 | AEPD | 因酒店在缺乏适当法律依据的情况下扫描客人护照，罚款€30,000（案件PS/00078/2021） |
| 西班牙 | AEPD | 因坎塔布里亚一家酒店坚持复印客人身份证，对其罚款€1,500。 |
| 西班牙 | AEPD | 于2025年6月发布官方指引，指出身份证件复印违反数据最小化原则 |
这对土耳其酒店意味着什么
酒店经营者、酒店集团及外国连锁酒店，应结合我们的 KVKK与数据保护合规服务审查客人数据流程，尤其是在多处物业共享前台程序、隐私告知或保存规则的情况下。
- 停止复印——立即停止复印任何身份证件/护照
- 更新程序——将入住登记流程调整为仅进行目视核验
- 销毁档案——按照KVKK指引妥善处理此前收集的全部身份证件复印件
- 培训员工——确保前台人员了解新要求
- 更新隐私告知——修订您的KVKK告知文本（aydınlatma metni）
关于实务实施顺序，请参阅 酒店KVKK合规核查清单，包括删除、员工培训及系统审查步骤。
哪些要求保持不变
- 酒店仍须通过查看原始证件核验客人身份
- 客人信息仍须记录在酒店系统中
- 向主管机关提交GİKS（Genel Bilgi Sistemi）通知照常继续
- 账单相关数据处理依《税务程序法》（第213号法律）仍属合法
不合规处罚
继续复印身份证件的酒店面临：
- KVKK第18条下的行政罚款。2026年官方收费表适用25.49%的重估增幅；违反第18(1)(c)条、不遵守委员会决定的，罚款为427,263至17,092,242土耳其里拉。
- 客人向KVKK提出个人投诉
- 在日益重视隐私的市场中声誉受损
向欧盟接轨迈进一步
该决定表明土耳其持续努力，使数据保护框架与欧盟标准协调一致。对于在土耳其运营的国际连锁酒店及欧洲公司，这形成了跨司法管辖区更一致的合规环境。
核心信息很明确：仅收集所需内容，并保护所收集的内容。
