Aviso de privacidad para visitantes en Turquía (KVKK): contenido, identificación y plazos

En la caseta de seguridad de una fábrica, un visitante pregunta mientras escribe su nombre en el libro: “¿Para qué son estos datos y cuánto tiempo se guardarán?” El vigilante se encoge de hombros; en la pared de la caseta hay un papel colgado, pero nadie lo lee, y el visitante, con prisa, firma y sigue. Al día siguiente otro visitante pregunta por qué se anota su número de identidad, y nadie tiene una respuesta clara. Estos momentos muestran que el aviso no es un trámite de papel, sino parte del diseño del registro de visitas. Basándonos en los textos oficiales turcos, sobre todo la Ley turca de Protección de Datos Personales n.º 6698 (KVKK), explicamos qué debe incluir el aviso de privacidad para visitantes y cómo abordar las cuestiones de la identificación y la conservación.

El aviso de privacidad para visitantes es la información que explica a la persona que llega a unas instalaciones quién trata sus datos personales, con qué finalidad, cómo y con qué base jurídica, a quién pueden transferirse y cuáles son sus derechos. Su base legal es el artículo 10 de la Ley turca n.º 6698 de Protección de Datos Personales.

¿Cuándo nace la obligación de informar en el registro de visitas?

El artículo 10 de la Ley exige que el responsable del tratamiento informe a los interesados sobre determinados puntos en el momento de recoger los datos personales. En el caso del visitante, ese momento es cuando su nombre y su empresa se escriben en el libro o se introducen en un formulario digital. Según el Comunicado sobre los Procedimientos y Principios para Cumplir la Obligación de Informar, la información no depende de que el interesado la pida; debe darse aunque el visitante no pregunte. El mismo Comunicado establece que la carga de probar que se informó corresponde al responsable del tratamiento. Por tanto, no basta con que el texto esté colgado: también importa un registro de que el visitante fue informado.

¿Qué apartados debe tener el aviso de privacidad para visitantes?

El artículo 10 de la Ley y el artículo 4 del Comunicado enumeran el contenido mínimo de la información. La tabla siguiente adapta estos apartados al registro de visitas; las frases de ejemplo son orientativas y el texto debe redactarse según sus propios procesos.

¿Cómo se informa al visitante en la práctica?

El Comunicado indica que la información puede darse de forma oral, escrita o electrónica. Más que el método, lo importante es que el visitante quede realmente informado y que esto pueda demostrarse. Una lista de control aplicable en recepción podría ser esta:

1. Coloque un texto breve donde el visitante pueda verlo durante el registro; debe poder leerse de un vistazo.
2. Indique cómo acceder al texto completo; puede ser una copia impresa o el texto íntegro abierto en una pantalla.
3. Prepare para el personal de recepción una nota que resuma la finalidad, el plazo de conservación y la vía de solicitud, para que pueda responder preguntas.
4. Piense en una versión comprensible del texto para visitantes extranjeros y otras necesidades de idioma.
5. Registre que el visitante fue informado; por ejemplo, una línea de firma en papel o un paso de confirmación en el registro digital.
6. Revise el texto una vez al año y cada vez que cambie el proceso, y guarde la versión vigente con su fecha.

Errores frecuentes en el aviso de privacidad para visitantes

El artículo 5 del Comunicado contiene principios detallados sobre cómo debe darse la información. En la práctica, estos son los puntos que más se pasan por alto:

• Escribir una finalidad vaga: expresiones como “con diversos fines” o “con otros fines cuando sea necesario” no cumplen el principio de finalidad concreta y explícita que exige el Comunicado.
• No indicar la base jurídica: debe constar con claridad en qué condición de tratamiento de los artículos 5 y 6 de la Ley se basa el tratamiento de los datos.
• Usar un lenguaje difícil: la información debe darse con un lenguaje claro y sencillo; en la puerta, el visitante necesita un texto lo bastante corto y comprensible para leerlo.
• Unir el aviso de privacidad y el texto de consentimiento: si el tratamiento se basa en el consentimiento explícito, la información y el consentimiento deben gestionarse por separado.
• Mezclar áreas: si distintas áreas tratan datos con fines distintos, debe informarse por separado en cada una; por ejemplo, la recepción y el registro del aparcamiento pueden no compartir el mismo texto.
• No actualizar cuando cambia la finalidad: si cambia la finalidad del tratamiento, debe informarse por separado de la nueva finalidad antes de tratar los datos.

¿Se puede pedir la identificación a los visitantes?

No hay una respuesta única válida para todos los centros de trabajo. El criterio es el principio del artículo 4 de la Ley: los datos tratados deben estar relacionados con la finalidad del tratamiento, ser limitados y proporcionados. Si su finalidad de seguridad se cumple verificando el nombre y la empresa del visitante, recoger el número de identidad o una fotocopia del documento puede ir más allá de este criterio.

La Junta de Protección de Datos Personales de Turquía, en su decisión de principio n.º 2025/2120, de 6 de noviembre de 2025, sobre el sector del alojamiento, señaló que puede pedirse el documento de identidad para verificar, pero que tomar y registrar una fotocopia supone tratar más datos de los necesarios. La decisión se refiere a establecimientos de alojamiento como hoteles y se apoya en una ley distinta; no se aplica directamente al registro de visitas. Aun así, sirve de orientación porque muestra la diferencia entre “mostrar” y “copiar” y el enfoque de minimización de datos.

¿Cuánto tiempo se conservan los registros de visitas?

La Ley n.º 6698 no fija un plazo concreto para los registros de visitas. El artículo 4 de la Ley exige conservar los datos durante el plazo previsto en la normativa aplicable o el necesario para la finalidad con la que se tratan; el artículo 7 dispone que los datos se supriman, destruyan o anonimicen cuando desaparecen los motivos que exigían el tratamiento. Si tiene un plazo de conservación para los registros de visitas derivado de otra normativa, consulte a su asesor jurídico.

El Reglamento sobre la Supresión, Destrucción o Anonimización de Datos Personales traza este marco: quienes están obligados a inscribirse en el Registro de Responsables del Tratamiento preparan una política de conservación y destrucción. Si el responsable ha preparado una política, el intervalo de destrucción periódica se fija en la política y no puede superar seis meses; el responsable sin obligación de preparar una política realiza la supresión en los tres meses siguientes a que nazca la obligación de suprimir. Las supresiones se registran, y esos registros se conservan al menos tres años, salvo otras obligaciones legales.

¿Se puede llevar un registro orientado a la KVKK con un libro de visitas o Excel?

Se pueden usar un libro en papel y una hoja de cálculo, pero la información, el acceso y la gestión de plazos se llevan a mano. En el libro en papel, los datos de todos los visitantes de la página quedan a la vista del siguiente, y no es posible borrar una sola fila vencida. En Excel, quién accede al archivo, cuándo se borran las filas vencidas y el registro de la supresión dependen de la disciplina de las personas. Enviar datos de visitantes a cuentas personales como WhatsApp dificulta el control desde el punto de vista de la seguridad de los datos.

¿Cómo apoya la Gestión de visitantes de KurumsalPortal el aviso y el registro del consentimiento?

En el módulo Gestión de visitantes, el consentimiento KVKK es un paso del flujo de registro: tras registrar al visitante se obtiene el consentimiento, después se avisa al anfitrión y se inicia la entrada. Como el consentimiento se guarda junto con el registro de la visita, puede comprobarse después. Los registros se guardan en el servidor propio del cliente y quién puede verlos se define con permisos por rol; para el enfoque de permisos, consulte la página de Gestión de menús y permisos.

Lo que ofrece el módulo es llevar de forma ordenada los consentimientos y los registros; el contenido del aviso de privacidad y la elección de la base jurídica deben prepararse según la propia evaluación de la organización conforme a la KVKK. En el módulo este paso aparece como “consentimiento KVKK”; determine con su asesor jurídico a qué condición de tratamiento corresponde el consentimiento en su caso.

Para ver el registro de visitas, el consentimiento KVKK y la lista de personas presentes en un solo flujo, consulte la página de Gestión de visitantes de KurumsalPortal.