5651 Sayılı Kanun Rehberi: Loglama Yükümlülüğü, Saklama ve İmza
5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi" hakkındaki kanun, işyerinde ya da işletmesinde başkalarına internet erişimi sunan herkese kayıt tutma yükümlülüğü getirir. Bu rehber; kimin kapsamda olduğunu, hangi kayıtların ne kadar süre saklanacağını, zaman damgasının neden şart olduğunu ve uyumun pratikte nasıl sağlandığını tek sayfada anlatır.
5651 sayılı kanun nedir?
5651 sayılı kanun 2007 yılında yürürlüğe girdi. Amacı, internet ortamındaki yayınları düzenlemek ve internet üzerinden işlenen suçlarla mücadelede iz sürülebilirliği sağlamaktır. Kanun; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı olmak üzere dört aktör tanımlar ve her birine ayrı sorumluluk yükler.
İşletmeleri ilgilendiren kısım çoğunlukla toplu kullanım sağlayıcılıktır: müşterisine, misafirine, öğrencisine ya da çalışanına internet erişimi sunan her kurum — ücretli ya da ücretsiz olması fark etmez — bu tanıma girer.
Kimler kapsamda?
Otel ve konaklama tesisleri, kafe ve restoranlar, fabrikalar ve OSB işletmeleri, okullar, yurtlar, hastaneler, AVM'ler, belediyeler ve ofisine misafir Wi-Fi'ı koyan her işletme. Ticari amaç aranmaz; "toplu kullanıma açık internet" sunmak yeterlidir.
Kapsamdaki işletme, iç ağında hangi kullanıcıya hangi IP adresinin hangi zaman aralığında verildiğini (iç IP dağıtım kayıtları) tutmak ve bu kayıtların doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlüdür.
Hangi kayıtlar tutulur, ne kadar saklanır?
Pratikte tutulması gereken çekirdek kayıt kümesi şudur: kullanıcıyı tanımlayan doğrulama bilgisi (ör. SMS ile doğrulanmış telefon numarası), kullanıcıya atanan iç IP adresi ve MAC bilgisi, bağlantının başlangıç-bitiş zamanı, ve trafiğin kaynak/hedef IP-port kayıtları.
Mevzuat, kayıtların türüne göre altı aydan iki yıla kadar uzanan saklama süreleri öngörür. Uygulamada denetime hazırlıklı olmak için kayıtların en az iki yıl saklanması yaygın ve güvenli kabul edilen yaklaşımdır. Sürenin dolduğu kayıtların da KVKK gereği amaçla sınırlı biçimde imha edilmesi gerekir.
Zaman damgası ve bütünlük neden şart?
Kaydı tutmak yetmez; kaydın değiştirilmediğini kanıtlamak gerekir. Bunun kabul görmüş yolu, günlük kayıt dosyalarının kriptografik özetini (hash) almak ve bu özeti nitelikli bir zaman damgası sunucusuna (örneğin TÜBİTAK Kamu SM) imzalatmaktır.
Böylece bir uyuşmazlıkta "bu kayıt o gün bu haldeydi ve sonradan değiştirilmedi" iddiası, üçüncü taraf doğrulanabilir bir delile dayanır. Zincirleme özet (her günün özetinin bir önceki günü de kapsaması) tek bir günün bile sessizce değiştirilmesini imkânsız kılar. Ayrıntılar için 5651 loglama sayfamıza bakın.
Uymamanın sonucu ne?
Yükümlülüklerini yerine getirmeyen toplu kullanım sağlayıcılar idari para cezasıyla karşılaşır; cezalar her yıl yeniden değerleme oranında güncellenir ve ihlalin niteliğine göre ciddi tutarlara ulaşır. Daha az konuşulan ama daha ağır risk şudur: ağınızdan işlenen bir suçta kayıt sunamazsanız, iz sizde biter — sorumluluğu üstünüzden atacak delil elinizde olmaz.
Pratikte uyum: dört adım
Misafir ağına giren herkes kimliğini doğrular; SMS en yaygın yöntem. Açık, şifresiz misafir ağı kapsam dışı kalmanın değil, ihlalin adresidir.
IP dağıtımı ve trafik kayıtları merkezî olarak toplanır; cihaz üstünde bırakılmaz. Cihaz sıfırlanınca kayıt da gider.
Günlük arşivler hash zinciri ve nitelikli zaman damgasıyla mühürlenir; kayıtların değişmediği üçüncü tarafça kanıtlanabilir olur.
Kayıtlar en az iki yıl, erişimi denetlenen bir arşivde durur; talep geldiğinde günü gününe dışa aktarılır.
Sıkça Sorulanlar
Bu sayfa genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez. Yükümlülükleriniz için kurumunuzun hukuk birimine danışın.
Kaç cihazınız var? Gerisini biz hesaplayalım.
İki dakikalık sihirbazı doldurun; ihtiyacınıza özel teklifi bir iş günü içinde iletelim.
Teklif sihirbazını başlatın