5651 Kanunu: Kimler Log Tutmak Zorunda? (2026)
Erişim, yer ve toplu kullanım sağlayıcıların 5651 log tutma yükümlülüğü, saklama süreleri ve izin belgesi kuralları netçe açıklanıyor.
5651 sayılı Kanun kapsamında internet erişim kaydı (log) tutmak zorunda olanlar üç grupta toplanır: erişim sağlayıcılar, yer sağlayıcılar ve toplu kullanım sağlayıcılar. Kişilere belli bir yerde ve belli bir süre internet kullanım olanağı sağlayan herkes (otel, kafe, restoran, alışveriş merkezi, iş yeri misafir ağı, yurt, hastane, okul gibi) bu üçüncü grupta yer alır ve erişim kaydı tutma yükümlülüğü altındadır. Buna karşılık yalnızca kendi içeriğini üreten içerik sağlayıcılar için Kanun'da genel bir trafik veya log saklama zorunluluğu düzenlenmemiştir. Özetle, internet erişimini başkalarına açan veya barındıran taraf log tutar; sadece içerik yayımlayan taraf kural olarak tutmaz.
5651 sayılı Kanun (İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun) 2. maddesinde dört aktörü tanımlar. İçerik sağlayıcı, internet üzerinden sunulan bilgi veya veriyi üreten, değiştiren ve sağlayan taraftır. Yer sağlayıcı, hizmet ve içerikleri barındıran sistemleri sağlayan veya işleten taraftır (hosting, sunucu, veri merkezi hizmetleri gibi). Erişim sağlayıcı, kullanıcılarına internet ortamına erişim olanağı sunan taraftır (internet servis sağlayıcıları). Toplu kullanım sağlayıcı ise kişilere belli bir yerde ve belli bir süre internet kullanım olanağı sağlayan taraftır. Yükümlülüğünüzü doğru belirlemek için önce hangi tanıma girdiğinizi netleştirmek gerekir, çünkü saklama süreleri ve ek yükümlülükler aktöre göre değişir.
Erişim sağlayıcılar için yükümlülük Kanun'un 6. maddesinde düzenlenmiştir. Erişim sağlayıcı, sağladığı hizmetlere ilişkin trafik bilgilerini altı aydan az ve iki yıldan fazla olmamak üzere ilgili yönetmelikte belirlenen süre kadar saklamak, bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlüdür. Kesin süre Kanun'da sabit bir rakam olarak değil, bu alt ve üst sınır arasında Bilgi Teknolojileri ve İletişim Kurumu (BTK) düzenlemesiyle belirlenir. Erişim sağlayıcı ayrıca faaliyetine son verecekse durumu üç ay önceden Kuruma ve abonelerine bildirmek ve trafik bilgisine ilişkin kayıtları Kuruma teslim etmekle yükümlüdür.
Yer sağlayıcılar için yükümlülük 5. maddede yer alır. Yer sağlayıcı, yer sağladığı hizmetlere ilişkin trafik bilgilerini bir yıldan az ve iki yıldan fazla olmamak üzere yönetmelikte belirlenen süre kadar saklamak ve bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlüdür. Yer sağlayıcı, barındırdığı içeriği kontrol etmek veya hukuka aykırı bir faaliyet olup olmadığını araştırmakla yükümlü değildir; ancak Kanun'un 8. ve 9. maddeleri uyarınca kendisine bildirilen hukuka aykırı içeriği teknik olarak imkan bulunduğu ölçüde yayından çıkarmakla yükümlüdür. Bu nedenle yer sağlayıcının log yükümlülüğü içerik denetimi değil, trafik bilgilerinin belirli süre güvenli biçimde muhafazasıdır.
Uygulamada en geniş kitleyi ilgilendiren grup toplu kullanım sağlayıcılardır ve Kanun bunları ikiye ayırır. Ticari amaçla toplu kullanım sağlayıcı, umuma açık yerlerde belli bir ücret karşılığı internet hizmeti sunan işletmelerdir (internet kafe tipik örnektir). Ticari amaç taşımayan toplu kullanım sağlayıcı ise misafirlerine, müşterilerine veya çalışanlarına ek hizmet olarak internet erişimi sunan yerlerdir; otel, restoran, kafe, hastane, kütüphane, iş yeri konuk ağı ve benzeri yerler çoğunlukla bu kapsamdadır. Bir yere hotspot veya misafir Wi-Fi kurup üçüncü kişilerin kullanımına açtığınız anda toplu kullanım sağlayıcı sıfatı doğar; kullanıcıdan ayrıca ücret almıyor olmanız yükümlülüğü ortadan kaldırmaz.
Ticari amaçla toplu kullanım sağlayıcılar için ek yükümlülük Kanun'un 7. maddesinde düzenlenmiştir. Bu işletmeler faaliyete başlamadan önce mahalli mülki amirden (il için vali, ilçe için kaymakam) izin belgesi almak zorundadır. İzne ilişkin bilgiler otuz gün içinde mülki amir tarafından BTK'ya bildirilir ve denetim mülki amirlerce yürütülür. İzin belgesinin verilmesine ve denetime ilişkin usuller ilgili yönetmelikle düzenlenmiştir. Ticari amaç taşımayan toplu kullanım sağlayıcılar için ise izin belgesi zorunluluğu bulunmamakla birlikte, iç ağlarında dağıttıkları IP adresi bilgilerini ve bu bilgilerle kendilerine dağıtılan sabit veya değişken IP adresi eşleştirmesine ilişkin kayıtları tutma yükümlülüğü doğar.
Toplu kullanım sağlayıcılara ilişkin teknik yükümlülüklerin ayrıntısı İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'te belirlenmiştir. Ticari amaçla toplu kullanım sağlayıcılar, konusu suç oluşturan içeriklere erişimi önleyici tedbirleri almak, onaylı içerik filtreleme yazılımı kullanmak, iç IP dağıtım loglarını elektronik ortamda kaydetmek ve bu erişim kayıtlarını doğruluğunu, bütünlüğünü ve gizliliğini teyit eden bir değerle (zaman damgasıyla) birlikte iki yıl süreyle saklamakla yükümlüdür. Ticari amaç ayrımı gözetilmeksizin tüm toplu kullanım sağlayıcılar, konusu suç oluşturan içeriklere erişimi önleyici tedbirleri almakla yükümlüdür.
Kaydedilmesi gereken bilgi, kullanıcıların gezdiği web sitelerinin içeriği değildir. 5651 kapsamında tutulan log, kimin hangi zaman aralığında hangi IP adresini kullandığını gösteren erişim ve trafik meta verisidir; yani IP adresi tahsis kayıtları, oturum başlangıç ve bitiş zamanları ve iç ağdaki eşleştirme bilgileridir. Kullanıcıların ziyaret ettiği sitelerin içeriğini kaydetmek ne zorunludur ne de amaçlanır. Bu ayrım aynı zamanda 6698 sayılı KVKK açısından önemlidir: tutulan kayıtlar kişisel veri niteliği taşıyabileceğinden, yalnızca yasal yükümlülüğün gerektirdiği veriyle sınırlı kalınmalı, saklama süresi sonunda imha edilmeli ve kayıtlar yetkisiz erişime karşı korunmalıdır.
Kanun'da öngörülen süreler bir üst sınır değil, saklamanın kesintisiz sürdürülmesi gereken asgari çerçevedir. Log kayıtlarının hiç tutulmaması, eksik tutulması, bütünlüğünün zaman damgasıyla güvence altına alınmaması veya erken imha edilmesi idari yaptırıma tabidir. Ticari amaçla toplu kullanım sağlayıcının izin belgesi almadan faaliyet göstermesi de ayrı bir aykırılıktır. Bir uyuşmazlık, adli soruşturma veya denetim halinde talep edilen kayıtları sunamamak, yükümlülüğün işletme üzerinde bırakılması sonucunu doğurabilir; bu nedenle Wi-Fi'yi kim kurup işletiyorsa kaydın kimde tutulacağının sözleşmeyle netleştirilmesi önemlidir.
Yükümlülüğü doğru konumlandırmak için pratik bir kontrol listesi işe yarar. Sadece kendi içeriğinizi mi yayımlıyorsunuz (içerik sağlayıcı, kural olarak log yükümlülüğü yok); başkalarının içeriğini veya verisini mi barındırıyorsunuz (yer sağlayıcı, 1-2 yıl aralığında trafik logu); abonelere internet erişimi mi satıyorsunuz (erişim sağlayıcı, 6 ay-2 yıl aralığında trafik logu); yoksa bir mekanda misafir veya müşteri internetini mi açıyorsunuz (toplu kullanım sağlayıcı, iç IP dağıtım logları, ticari ise izin belgesi ve iki yıl saklama). Birden fazla sıfatı aynı anda taşımanız mümkündür ve bu durumda yükümlülükler birleşir.
İşletmenizin 5651 kapsamında hangi aktör sayıldığını, izin belgesi gerekip gerekmediğini ve mevcut loglama düzeninizin süre, bütünlük ve KVKK uyumu açısından yeterli olup olmadığını netleştirmek isterseniz KVKK Danışman'ın ücretsiz ön değerlendirmesinden yararlanabilirsiniz. Mevcut durumunuzu kısaca aktarın, hangi yükümlülüklerin sizin için geçerli olduğunu ve öncelikli adımları birlikte belirleyelim.