IP Adresi Kişisel Veri mi? Sunucu Logları, 5651 Trafik Bilgisi Saklama Süreleri ve Başkasının IP Adresini Öğrenmek

Kısa cevap: evet, IP adresi kişisel veridir. 6698 sayılı Kanun'un 3. maddesi kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlıyor. Bir IP adresi tek başına ad soyad göstermez, ama başka bir kayıtla eşleştiğinde kişiyi belirlenebilir kılar ve tanım için bu yeterli. Bunu en net gösteren yer Kurum'un kendi sistemi: Kişisel Verileri Koruma Kurumu'nun VERBİS Kılavuzu'ndaki kişisel veri kategorileri listesinde sekizinci sıra "İşlem Güvenliği" başlığını taşıyor ve parantez içinde verilen ilk örnek "IP adresi bilgileri". Hemen yanında internet sitesi giriş çıkış bilgileri ile şifre ve parola bilgileri duruyor. Yani web sunucunuzun tuttuğu erişim kaydı, güvenlik duvarı logu ya da üyelik formunun arka planında saklanan IP, envanterinizin dışında kalan teknik bir ayrıntı değil. İşin ayrıntısı şurada: IP'nin ne kadar kişisel veri olduğu, onu kiminle ve neyle birlikte tuttuğunuza bağlı olarak değişiyor.

Kanun'un tanımına yakından bakmakta fayda var, çünkü tartışmanın çoğu listelerden çıkıyor. Kurum'un Mart 2025'te yayımladığı 100 Soruda Kişisel Verilerin Korunması Kanunu kitapçığı (KVKK Yayınları No: 59), kişisel veri örneklerini sayarken telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, e-posta adresi, parmak izi, özgeçmiş ve ses kayıtlarını anıyor. IP adresi bu cümlede geçmiyor. Metnin devamı bu boşluğu kapatıyor: kişisel veri, kişinin kimliğini doğrudan göstermemekle birlikte "herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri" de kapsıyor ve Kanun'da sınırlı sayım yoluna gidilmediği için kapsamın genişletilmesi mümkün. IP'yi listede göremediği için kapsam dışı sayan bir yaklaşım, aynı mantıkla çerez kimliğini, cihaz kimliğini ve oturum numarasını da dışarıda bırakmak zorunda kalır. Pratikte kimse bunu savunmuyor.

Asıl teknik itiraz şu: dinamik IP adresleri sürekli değişiyor, bir web sitesi sahibi elindeki IP'den kişiye ulaşamıyor. Doğru, ama belirleyici değil. Avrupa Birliği Adalet Divanı'nın 19 Ekim 2016 tarihli Breyer kararında (C-582/14) ortaya konan ölçüt şu: site işletmecisi kullanıcıyı tek başına tanımlayamasa bile, erişim sağlayıcıdan ek bilgi edinmek için hukuken bir yola sahipse dinamik IP adresi kişisel veridir. Türkiye'de bu yol zaten kanun metninde kurulu. 5651 sayılı Kanun'un 2. maddesi trafik bilgisini tanımlarken "taraflara ilişkin IP adresi, kaynak ve hedef port bilgisi, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı ve varsa abone kimlik bilgileri" diyor. IP ile abone kimliği aynı cümlede, aynı kayıt setinin parçası olarak sayılıyor. Öte yandan madalyonun diğer yüzünü de görmek gerekiyor: operatörlerin kullandığı adres paylaştırma teknikleri, kurumsal ağlar ve VPN'ler yüzünden tek bir IP'nin arkasında yüzlerce kullanıcı olabiliyor. Bu yüzden IP, zaman bilgisi ve port bilgisi olmadan kimseyi işaret etmez.

Peki bu veri şirketinizde tam olarak nerede duruyor? Listesi çoğu kişinin tahmininden uzun. Web sunucusunun erişim kayıtları, uygulama ve hata logları, güvenlik duvarı ile saldırı önleme sistemi kayıtları, e-posta başlıkları, üyelik ve sipariş kayıtları, ticari elektronik ileti onayının ispatı için tutulan kayıtlar, çağrı ve destek talebi sistemleri, analitik ve reklam çerezleri. Sahada sık rastlanan tutarsızlık da burada ortaya çıkıyor: VERBİS bildiriminde İşlem Güvenliği kategorisi işaretlenmiş oluyor, ama aynı şirketin aydınlatma metninde IP adresinden tek kelime edilmiyor. Bir denetimde bu iki belge yan yana konur. Aynı şekilde saklama ve imha politikasında web sunucusu loglarının kaç gün tutulduğu yazmıyorsa, o loglar fiilen süresiz saklanıyor demektir.

Kurul kararlarında IP adresi en çok veri ihlali bildirimlerinde karşımıza çıkıyor ve etkilenen veri kategorileri arasında açıkça sayılıyor. 23 Aralık 2021 tarihli ve 2021/1324 sayılı Yemeksepeti kararında etkilenen veriler kullanıcı adı, adres, telefon numarası, e-posta adresi, şifre ve IP bilgileri olarak sıralandı; ihlal 21.504.083 kullanıcıyı kapsıyordu. Karar metnindeki ayrıntı, konunun neden sadece hukuki değil teknik de olduğunu gösteriyor: saldırgan yaklaşık 28,2 GB veriyi Fransa'daki bir IP adresine gönderdi ve bu trafik güvenlik duvarı kayıtlarında görünmesine rağmen fark edilmedi. Kurul, 6698 sayılı Kanun'un 12. maddesinin birinci fıkrası kapsamında gerekli tedbirlerin alınmadığı sonucuna vararak 1.900.000 TL idari para cezası uyguladı. 8 Haziran 2023 tarihli ve 2023/1017 sayılı kararda da benzer bir tablo var: dijital oyun ve eğlence platformu işleten veri sorumlusunda Türkiye'de 90.182 kişinin kullanıcı adı, adı, e-posta adresi, doğum tarihi, cinsiyeti, ülkesi ve IP adresi etkilendi, veri sorumlusu ihlali kendi güvenlik ekibinden değil verinin satışa çıkarıldığı forum ilanından öğrendi ve log yönetimi ile sızma testi eksiklikleri nedeniyle 1.500.000 TL ceza çıktı.

IP'nin doğrudan kişisel veri olarak anıldığı karar ise 28 Eylül 2023 tarihli ve 2023/1645 sayılı karar. Çevrim içi bir oyunun Türkiye dağıtıcısı hakkındaki şikâyette Kurul, ilgili kişinin "kişisel verisi niteliğindeki e-posta adresi ve IP adresi" ifadesini kullandı ve bu verilerin yurt dışına çıkıp çıkmadığı net olarak gösterilemediği için yerinde inceleme yaptı. Oyun sunucuları ve hile önleme yazılımı bakımından ihlal bulunmadı. İhlal çerezlerden çıktı. Yurt dışı kaynaklı üçüncü taraf çerezler "zorunlu" olarak etiketlenmişti ve tek bir "tüm çerezlere izin ver" düğmesiyle toplu onay alınıyordu. Kurul bu onayı belirli bir konuya ilişkin ve özgür iradeyle verilmiş saymadı, aktarım için 9. maddedeki şartların karşılanmadığını tespit etti ve 750.000 TL idari para cezası uyguladı. Kararın pratik anlamı şu: ziyaretçinin IP adresinin yurt dışındaki bir çerez sağlayıcısına akması, "sadece teknik bir istek" değil, yurt dışına aktarımdır.

Bir de kurumsal hayatta çok sık yaşanan, ama nadiren konuşulan bir senaryo var: resmi bir yazı gelir ve kayıtlar istenir. 3 Mart 2020 tarihli ve 2020/196 sayılı kararda bir internet sitesinde yayımlanan haberin altındaki yorumlar nedeniyle bir kamu kurumu idari soruşturma başlatmış, denetçiler veri sorumlusundan haberin altındaki tüm kullanıcı yorumlarını ve yorum yapanların tüm IP adreslerini istemişti. Veri sorumlusu istenenin tamamını gönderdi. Kurul, denetim için bilgi istenmesini ve aktarımı hukuki dayanak bakımından sorunlu bulmadı; takıldığı nokta kapsam oldu. Soruşturmanın konusu olmayan üçüncü kişilerin verileri de aktarıldığı için işleme, Kanun'un 4. maddesindeki işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine aykırı görüldü. Veri sorumlusuna 50.000 TL idari para cezası verildi, veriyi alan kamu kurumuna da soruşturmayla ilgisi olmayan üçüncü kişi verilerini silmesi ve sonucu bildirmesi talimatı verildi. Çıkarılacak ders sade: gelen yazı "tüm kayıtlar" dese bile, gönderilecek olan talebin konusuyla sınırlı olmalı ve neyin neden gönderildiği yazılı kalmalı.

Burada haklı bir soru geliyor: madem IP kişisel veri, en az veriyi tutma ilkesi gereği loglardan kurtulsak olmaz mı? Olmaz, çünkü başka bir kanun tam tersini istiyor. 5651 sayılı Kanun'un 5. maddesinin üçüncü fıkrası yer sağlayıcıya, yer sağladığı hizmetlere ilişkin trafik bilgilerini bir yıldan az ve iki yıldan fazla olmamak üzere yönetmelikte belirlenecek süre kadar saklama ve bu bilgilerin doğruluğunu, bütünlüğünü, gizliliğini sağlama yükümlülüğü getiriyor. 6. madde erişim sağlayıcılar için aynı yükümlülüğü altı aydan az ve iki yıldan fazla olmamak üzere düzenliyor. 7. madde, ticari amaçla olup olmadığına bakılmaksızın bütün internet toplu kullanım sağlayıcılara erişim kayıtlarının tutulması konusunda yönetmelikle belirlenen tedbirleri alma yükümlülüğü koyuyor. Yaptırım da küçük değil: yer sağlayıcılık bildiriminde bulunmayan veya Kanun'daki yükümlülüklerini yerine getirmeyen yer sağlayıcı için yüz bin liradan bir milyon liraya kadar idari para cezası öngörülüyor. Bu kayıtların tutulması KVKK'ya aykırı değil, 6698 sayılı Kanun'un 5. maddesinin ikinci fıkrasının (ç) bendindeki hukuki yükümlülük şartına dayanıyor. Bir not daha: 24 Temmuz 2026 tarihli ve 7590 sayılı Kanunla 5651'deki bazı yetkiler yeniden dağıtıldı ve metne "Başkanlık: Siber Güvenlik Başkanlığını" tanımı eklendi, trafik bilgisi kayıtlarının teslim edileceği merci de buna göre değişti.

Yükümlülüğün sizi zorladığı şeyi, izin verdiği şey sanmamak gerekiyor. 5651 belirli kayıtları belirli bir süre tutmanızı ister; aynı kayıtları pazarlama, profilleme veya kullanıcı davranışı analizi için kullanmanıza izin vermez. Amaç değişince hukuki sebep de değişir. Süre dolduğunda log silinmeli, saklama ve imha politikasındaki periyodik imha takvimi bu kayıtları da kapsamalı, "ne olur ne olmaz" diye beş yıllık arşiv tutulmamalı. Ölçülülük tarafında Kurum'un Temmuz 2025'te güncellediği Çerez Uygulamaları Hakkında Rehber (KVKK Yayınları No: 69) işe yarar bir yöntem öneriyor: birinci taraf analitik çerezlerde işlenmesi zaruri olmayan verilerin anonim hale getirilmesini tavsiye ediyor ve sık kullanılan bir teknik olarak IP bilgisinin maskelenmesiyle kimlik belirleme riskinin azaltılabileceğini örnek veriyor. Aynı rehber, kullanıcıların farklı siteler arasında çapraz takibinin amaçla bağlantılı, sınırlı ve ölçülü olma ilkesiyle bağdaşmayacağını söylüyor. Ziyaretçi sayısını ölçmek için IP'nin son okteti maskelenmiş bir kayıt yeterliyse, tam IP'yi tutmanın savunulacak bir tarafı kalmıyor.

Yurt dışı tarafı ayrı bir başlık ve çoğu sitede gözden kaçıyor. İçerik dağıtım ağı, bulut güvenlik duvarı, hata izleme aracı, bot koruma hizmeti ve analitik yazılımı, çalışabilmek için ziyaretçinin IP adresini görmek zorunda. Bu hizmetler yurt dışında yerleşikse orada bir aktarım var demektir ve 6698 sayılı Kanun'un 9. maddesindeki şartlardan birine oturması gerekir. 2023/1645 sayılı karar tam olarak bunu cezalandırdı. Çerez bandında "zorunlu" etiketi kullanmak, aktarımı zorunlu hale getirmiyor. Elektronik haberleşme işletmecileri için ise kural daha katı: 4 Aralık 2020 tarihli ve 31324 sayılı Resmî Gazete'de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğinin Korunmasına İlişkin Yönetmelik, milli güvenlik gerekçesiyle trafik ve konum verilerinin yurt dışına çıkarılmamasını esas alıyor. Bu hüküm sıradan bir e-ticaret sitesini doğrudan bağlamıyor, ama IP kayıtlarının hangi hassasiyetle ele alındığını gösteriyor.

Sık sorulan son soru kişisel tarafta: hakkımda yorum yazan ya da sahte hesap açan kişinin IP adresini siteden isteyebilir miyim? İstenebilir, ama veri sorumlusu bunu vermek zorunda değil ve çoğu durumda vermemesi gerekiyor. İlgili kişinin Kanun'un 11. maddesindeki hakları kendi kişisel verisiyle ilgili. Kurul'un 7 Temmuz 2022 tarihli ve 2022/653 sayılı kararı bu sınırı ayrıntılı çizdi: bir verinin aynı anda birden fazla kişiyle ilgili olabileceğini kabul etti, erişim hakkının sadece başkasını ilgilendiren verileri kapsamadığını söyledi ve çatışma halinde veri sorumlusunun diğer kişinin hakları ile talep sahibinin hakkı arasında denge kurması gerektiğini belirtti. Karara konu olayda, başvurucunun kendi hesabından verilen siparişlerde maskelenmiş telefon numarasının kimlik doğrulamayla paylaşılması istendi; başka bir üyenin hesabından verilen siparişteki numara için ise erişim hakkı bulunmadığına hükmedildi. Başkasının IP'si de bu ikinci gruba giriyor. İşleyen yol farklı: içerik için 5651'deki uyarı yöntemiyle önce içerik sağlayıcıya, sonuç alınamazsa yer sağlayıcıya başvurmak, kimlik tespiti içinse savcılığa suç duyurusunda bulunup IP ve abone eşleştirmesinin yargı eliyle yapılmasını sağlamak gerekiyor.

Şirket tarafında yapılacaklar listesi kısa ve çoğu bir öğleden sonra bitecek işler. Aydınlatma metninize IP adresini ve sunucu kayıtlarını yazın, VERBİS'te İşlem Güvenliği kategorisini işaretlediyseniz iki belge birbirini doğrulasın. Envanterde logların hangi sistemde tutulduğunu, kimin eriştiğini ve kaç gün saklandığını belirtin. 5651 kapsamındaysanız süreyi mevzuata göre belirleyin, kapsamda değilseniz güvenlik amacıyla tuttuğunuz kayıtlar için makul ve yazılı bir süre koyup sonunda silin. Analitikte IP maskelemeyi açın, çerez bandındaki "zorunlu" listesini gerçekten zorunlu olanlarla sınırlayın. Yurt dışındaki hizmet sağlayıcılarına akan IP trafiğini aktarım olarak ele alıp 9. maddeye göre dayandırın. Bir ihlal yaşarsanız bildirim formunda IP'yi de etkilenen veri kategorileri arasında gösterin, Kurul kararlarında bu kalem zaten sayılıyor. Log kayıtlarınızın hangi mevzuata dayandığından, ne kadar saklandığından veya kimlerle paylaşıldığından emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut durumu birlikte gözden geçirebiliriz.

Randevu Al