Misafirine, müşterisine ya da personeline internet açan her işletme, 5651 sayılı Kanun’un diliyle bir “sağlayıcı”dır ve çoğu bunu bilmeden yükümlülük taşır. Bu yazı toplu kullanım sağlayıcı kavramını sade dille tanımlıyor, hangi işletmelerin kapsama girdiğini örneklerle gösteriyor ve tutulması gereken kaydın ne olduğunu anlatıyor. Hukuki değerlendirmede son söz danışmanınızındır; buradaki amaç, soruyu doğru sormanızı sağlamaktır.
Toplu kullanım sağlayıcı kimdir?
Toplu kullanım sağlayıcı, 5651 sayılı Kanun’a göre kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayan gerçek ya da tüzel kişidir. Tanımın anahtarı başkasına internet açmaktır: bağlantıyı siz alır, başkaları sizin ağınız üzerinden internete çıkarsa bu tanımın içindesiniz.
Kanun dört sağlayıcı tipi tanır: içerik, yer, erişim ve toplu kullanım sağlayıcı. İlk üçü büyük ölçüde yayıncıları, barındırma şirketlerini ve operatörleri ilgilendirir. Toplu kullanım sağlayıcı ise sokaktaki işletmedir: kafe, otel, alışveriş merkezi, hastane, okul, yurt ve personeline internet veren ofis. Kanun bu tipi ticari amaçlı olan ve olmayan diye ikiye ayırır; internet kafe gibi ticari amaçlı işletmeler için izin belgesi ve ek yükümlülükler vardır.
Ofis, otel, kafe ve AVM 5651 kapsamına girer mi?
Girer; ölçüt işletmenin türü değil, başkalarına internet erişimi sağlayıp sağlamadığıdır. Otel misafirine, kafe müşterisine, AVM ziyaretçisine, ofis ise personeline ve ziyaretçisine internet açtığı anda toplu kullanım sağlayıcı konumuna gelir.
| İşletme | Kim bağlanır | Tipik durum |
|---|---|---|
| Otel | Misafirler, toplantı katılımcıları | Oda ve lobi Wi-Fi’si, şifre resepsiyonda |
| Kafe, restoran | Müşteriler | Tek şifreli açık ağ, kimin bağlandığı bilinmez |
| AVM | Ziyaretçiler | Yüksek yoğunluk, kısa oturumlar |
| Hastane | Hasta ve refakatçiler | Uzun oturumlar, hassas ortam |
| Ofis | Personel ve ziyaretçiler | Kurumsal ağ ile misafir ağı, ikisi de kapsamda |
| Okul, yurt | Öğrenciler | Sabit kullanıcı kitlesi, yoğun trafik |
Sık yapılan hata, “biz internet kafe değiliz” diyerek kapsam dışı kalındığını sanmaktır. Ticari amaç ayrımı ek yükümlülükleri belirler; kayıt tutma yükümlülüğünün kendisi başkasına internet açan herkesi ilgilendirir.
Toplu kullanım sağlayıcı hangi kaydı tutar?
Toplu kullanım sağlayıcının tuttuğu temel kayıt iç IP dağıtım kaydıdır: ağınızdaki hangi cihaza hangi iç adresin ne zaman verildiği ve o cihazın hangi kimlikle (tipik olarak MAC adresi) bağlandığı. Bu kayıt, bir soruşturmada “o saatte o adresi kim kullanıyordu” sorusunun cevabıdır.
Kayıt üç unsur taşımalıdır: kimlik (cihazın MAC adresi ve varsa doğrulanmış kullanıcı), zaman ve bütünlük. Bütünlük, kaydın sonradan değiştirilmediğinin kanıtıdır ve nitelikli zaman damgasıyla sağlanır. Zaman damgasız bir kayıt, üretildiği andaki haliyle korunduğunu gösteremez; denetimde ya da mahkemede değeri tartışmalı olur.
Saklama süresi sağlayıcı tipine göre yönetmelikte belirlenir ve kesin süre yürürlükteki yönetmelikten teyit edilmelidir. Pratikte iki yıllık arşiv, bilinen üst sınırı karşılar.
Misafir ağı ile personel ağı aynı mı değerlendirilir?
İkisi de kapsamdadır, ancak kayıt yöntemi farklıdır. Personel ağında kullanıcı zaten bilinir; kayıt, güvenlik duvarının ya da ağ geçidinin ürettiği erişim kaydıyla tutulur. Misafir ağında kullanıcı bilinmez; bu yüzden bağlantı öncesinde kimlik doğrulaması yapan bir karşılama sayfası (captive portal) gerekir.
Tek şifreyi tahtaya yazıp herkese açılan misafir ağı, kayıt üretse bile “kim” sorusunu cevaplayamaz. SMS ile gelen kod ya da benzeri bir doğrulama, oturumu bir kişiyle ilişkilendirir. Ofislerde en sık atlanan nokta budur: personel ağı düzgün kaydedilirken misafir ağı tek şifreyle açık bırakılır.
Kayıtlar nerede ve nasıl tutulmalı?
Kayıtlar, üreten cihazın üzerinde değil, ayrı ve merkezi bir yerde tutulmalıdır; cihaz üzerindeki kayıt cihaz değişince, dolunca ya da sıfırlanınca kaybolur. Merkezi kayıt üç şeyi sağlar: zaman damgası, saklama süresi boyunca erişilebilirlik ve talep geldiğinde tek yerden rapor.
Erişim kayıtları kişilerle ilişkilendirilebildiği için kişisel veri niteliği taşır; KVKK’nın koruma yükümlülükleri onlar için de geçerlidir. Kaydın hangi ülkede tutulduğu bu yüzden ikinci bir sorudur: yetkili talebine yanıt hızı ve KVKK değerlendirmesi, verinin Türkiye’de kalmasıyla kolaylaşır.
Kapsamda olduğunuzu nasıl anlarsınız?
Üç soruluk bir kontrol, kapsamı ve eksiği birlikte gösterir. Üçüne de “evet” diyemiyorsanız yükümlülük büyük olasılıkla vardır ve karşılanmamaktadır.
- Ağınızdan sizin dışınızda biri internete çıkıyor mu? Misafir, müşteri, öğrenci, hasta ya da personel; hepsi aynı kapıdan sayılır.
- Bağlanan kişi ya da cihaz, bağlantı öncesinde tanımlanıyor mu? Tek şifreli açık ağ bu soruya “hayır” der.
- Kayıtlar cihazın dışında, zaman damgalı ve saklama süresi boyunca erişilebilir biçimde tutuluyor mu? Cihaz üzerindeki günlük bu soruya “hayır” der.
İlk soruya “evet”, diğer ikisine “hayır” diyen işletme en yaygın durumdur: kapsamda, ama kayıt düzeni yok.
Bulut tabanlı 5651 kaydı pratikte nasıl kurulur?
Layer Sistem’in LayerLOG hizmetinde mevcut erişim cihazınızda küçük bir düzenleme yapılır ve kayıtlar buluta yönlendirilir; kurulum yaklaşık beş dakika sürer, yeni donanım ve sunucu gerekmez. Kayıtlar TÜBİTAK zaman damgasıyla mühürlenir, Türkiye’deki BTK kayıtlı altyapıda iki yıl saklanır ve merkezi panelden indirilir. Cisco, SonicWall, Fortinet, MikroTik ve Sophos başta olmak üzere 5651’e uygun syslog gönderebilen güvenlik duvarı ve ağ cihazlarıyla çalışır. Misafir ağı tarafında LayerWIFI, misafiri karşılama sayfasında SMS ya da sosyal medya hesabıyla doğrular ve her oturumu kaydeder; otel, hastane, AVM ve ofis için tasarlanmıştır.
Sonuç
Toplu kullanım sağlayıcı olmak için internet kafe olmak gerekmez; başkasına internet açmak yeter. Yükümlülüğün özü üç sorudur: kim bağlandı, ne zaman bağlandı, kayıt değişmedi mi? Cevap cihazın üzerinde değil, zaman damgalı ve merkezi bir arşivde durmalıdır. Kapsamınızdan emin değilseniz önce hukuk danışmanınızla, sonra ağınızı kuran ekiple konuşun.
Konuyu derinleştirmek için: 5651 loglama nedir rehberi ve E-ticaret ve finans için KVKK uyumlu veri saklama.
İletişim: +90 850 500 0 166 | [email protected] | www.layersistem.com