İnternet Erişim Kayıtlarında Zaman Damgası ve Saklama Süresi: 5651 Yükümlülükleri

5651 sayılı Kanun kapsamında internet erişim kayıtlarında zaman damgası, kaydın ne zaman üretildiğini ve o andan sonra değiştirilmediğini kanıtlayan mühürdür; saklama süresi ise sağlayıcı türüne göre değişir. İlgili yönetmelik uyarınca erişim sağlayıcılar trafik bilgisini bir yıl, yer sağlayıcılar yer sağladıkları hizmete ilişkin trafik bilgisini altı ay, internet toplu kullanım sağlayıcılar (kafe, otel, restoran, AVM gibi işletmeler) erişim kayıtlarını iki yıl süreyle tutmakla yükümlüdür. Bu kayıtların yalnızca tutulması yeterli değildir; doğruluğunu, bütünlüğünü ve gizliliğini kanıtlayan dosya bütünlük değerlerinin zaman damgasıyla birlikte muhafaza edilmesi gerekir.

Zaman damgasının hukuki tanımı 5651 sayılı Kanun'da değil, 5070 sayılı Elektronik İmza Kanunu'nda yapılmıştır. Bu tanıma göre zaman damgası, bir elektronik verinin üretildiği, değiştirildiği, gönderildiği, alındığı veya kaydedildiği zamanın tespiti amacıyla, elektronik sertifika hizmet sağlayıcısı tarafından elektronik imzayla doğrulanan kayıttır. Pratikte bunun anlamı şudur: Bir log dosyasının özet değerini (hash) kendi sisteminizde saklamanız tek başına delil niteliği taşımaz; bu değerin yetkili bir zaman damgası sunucusu tarafından belirli bir ana bağlanması, kaydın o tarihten sonra oynanmadığını ispatlayan unsurdur.

Erişim kayıtlarında iki ayrı bilgi katmanını birbirinden ayırmak gerekir. Birincisi trafik ve erişim verisinin kendisidir: bağlantının başlangıç ve bitiş zamanı, kaynak IP adresi, atanan IP, port bilgisi ve ilgili oturum verileri. İkincisi ise bu verinin değişmezliğini kanıtlayan bütünlük değeridir. Zaman damgası bu ikinci katmana uygulanır. Yani her günün log dosyasının hash değeri hesaplanır, bu hash zaman damgasıyla imzalanır ve saklanır. Böylece bir uyuşmazlık veya adli talep durumunda, kaydın hangi tarihte üretildiği ve sonradan müdahale edilip edilmediği teknik olarak gösterilebilir.

Saklama sürelerinin sağlayıcı türüne göre farklılaşması, sık yapılan bir karışıklık kaynağıdır. 5651 sayılı Kanun asgari ve azami sınırları çizer, kesin süreyi ise ilgili yönetmelik belirler. Erişim sağlayıcılar için trafik bilgisi bir yıl süreyle tutulur ve trafik bilgisine ilişkin dosya bütünlük değerlerinin zaman damgasıyla muhafazası şart koşulur. Yer sağlayıcılar bakımından yer sağladıkları hizmete ilişkin trafik bilgisi için altı aylık saklama öngörülür. İşletmelerin çoğunu doğrudan ilgilendiren kategori olan toplu kullanım sağlayıcılar için ise iki yıllık saklama süresi düzenlenmiştir. Kendi işletmenizin hangi kategoriye girdiğini doğru tespit etmek, uygulanacak süreyi ve teknik gereklilikleri belirler.

İnternet toplu kullanım sağlayıcılar için yükümlülük yalnızca kayıt tutmakla sınırlı değildir. Bu işletmeler, kullanıcılara sağladıkları internet erişimine ilişkin kayıtları elektronik ortamda kendi sistemlerine kaydetmek, bu kayıtların bütünlüğünü ve doğruluğunu teyit eden değeri saklamak ve iki yıl boyunca muhafaza etmekle yükümlüdür. Ticari amaçla toplu kullanım sağlayan işletmelerin ayrıca işyeri açma ve çalışma ruhsatı veren yetkili merciden izin belgesi alması ve filtreleme yükümlülüklerini yerine getirmesi de gerekir. Kayıtların günlük olarak alınıp zaman damgasıyla imzalanması, denetimde ibraz edilebilir bir delil zinciri oluşturur.

Zaman damgası ile saklama süresi arasındaki ilişki uygulamada iki yönlüdür. Bir yandan kayıtların belirlenen süre boyunca değiştirilmeden tutulduğunu ispatlamak için zaman damgası gerekir; diğer yandan saklama süresi dolduğunda kayıtların hukuka uygun şekilde işlenmeye devam edilmemesi gerekir. Yani örneğin toplu kullanım sağlayıcılar için iki yıllık süre bir tavan işlevi de görür: Süresi dolan erişim kayıtları, başka bir hukuki dayanak bulunmadığı sürece silinmeli, yok edilmeli veya anonim hale getirilmelidir. Süresiz veya gereğinden uzun saklama, 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından saklama sınırlılığı ilkesine aykırılık oluşturabilir.

Erişim kayıtları IP adresi, MAC adresi ve oturum zamanları gibi verileri içerdiği için aynı anda hem 5651 sayılı Kanun'un hem de 6698 sayılı KVKK'nın kapsamına girer. Bu veriler, tek başına veya diğer verilerle birleştirildiğinde belirli bir kişiye ait bağlantı davranışını gösterdiğinden kişisel veri niteliği taşır. Dolayısıyla erişim kaydı tutan bir işletmenin hukuki dayanağı ikilidir: Log tutma yükümlülüğü 5651 kapsamında bir hukuki yükümlülüğe dayanır, ancak bu veriler işlenirken KVKK'nın genel ilkeleri, aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve saklama sürelerinin belirlenmesi kuralları da uygulanır.

KVKK uyumu açısından erişim kayıtları için ayrı bir saklama ve imha politikası tanımlanması beklenir. 5651 kaynaklı log verilerinin hangi kategoride tutulduğu, saklama süresinin hangi mevzuata dayandığı ve sürenin sonunda hangi imha yönteminin uygulanacağı, işletmenin kişisel veri işleme envanterinde ve saklama ve imha politikasında yer almalıdır. Zaman damgalı bütünlük değerleri de kişisel veri işleme faaliyetinin bir parçası olduğundan, bu değerlerin nerede tutulduğu ve kimlerin eriştiği erişim yetkilendirme ve loglama tedbirleriyle korunmalıdır. Erişim kayıtlarına yetkisiz erişim, hem 5651 delil güvenilirliğini hem de KVKK veri güvenliği yükümlülüğünü zedeler.

Pratik hatalar genellikle üç noktada toplanır. Birincisi, hash değerinin sadece hesaplanıp kaydın kendisiyle aynı sunucuda saklanmasıdır; bu, zaman damgasıyla mühürleme yapılmadığında delil değerini büyük ölçüde kaybeder. İkincisi, cihaz saatlerinin senkronize edilmemesi nedeniyle kayıtlardaki zaman bilgilerinin tutarsız olmasıdır; bu durum bir olayı zaman çizelgesine oturtmayı zorlaştırır. Üçüncüsü ise saklama süresi dolan kayıtların otomatik imha edilmemesi ve verinin gereksiz yere birikmesidir. Bu üç noktanın düzenli aralıklarla teknik ve hukuki olarak kontrol edilmesi, hem denetim hem de olası adli talepler karşısında işletmeyi korur.

Uyum kontrol listesi olarak şu adımlar bir arada işletilmelidir: sağlayıcı türünüzü doğru sınıflandırmak, o türe karşılık gelen saklama süresini uygulamak, günlük log dosyalarının bütünlük değerlerini zaman damgasıyla imzalamak, cihaz saatlerini güvenilir bir zaman kaynağına senkronize tutmak, erişim kayıtlarına erişimi yetkilendirmek ve süresi dolan kayıtlar için otomatik imha mekanizması tanımlamak. Bu adımların KVKK saklama ve imha politikanızla ve varsa VERBİS bildiriminizle uyumlu olması gerekir.

İşletmenizin hangi sağlayıcı kategorisine girdiğinden, uygulanması gereken saklama süresinden veya mevcut loglama yapınızın zaman damgası ve KVKK gereklilikleriyle uyumundan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesiyle mevcut durumunuzu gözden geçirebilir ve öncelikli eksikleri netleştirebilirsiniz.

Randevu Al