Kafe ve Otel Wi-Fi: 5651 Log Yükümlülüğü
Wi-Fi sunan işletmeler 5651’e göre toplu kullanım sağlayıcıdır: iç IP loglarını iki yıl saklama ve içerik engelleme yükümlülükleri.
Kafenize, otelinize veya ofisinize misafir ya da çalışan Wi-Fi'si koyduğunuz anda 5651 sayılı Kanun kapsamında toplu kullanım sağlayıcı sıfatını kazanırsınız ve iki temel yükümlülüğünüz doğar: konusu suç oluşturan içeriklere erişimi önleyici tedbirleri almak ve iç ağınızda dağıttığınız IP adreslerine ilişkin kayıtları (iç IP dağıtım loglarını) elektronik ortamda tutup iki yıl boyunca saklamak. Bu yükümlülükler İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'te düzenlenir ve müşteriye ücretsiz Wi-Fi veren küçük bir kafeden yüzlerce oda sunan otele, çalışanlarına internet açan şirket ofisine kadar herkesi kapsar.
Mevzuat iki farklı sağlayıcı tipini ayırır ve yükümlülük seti buna göre değişir. Yönetmelik, 'internet toplu kullanım sağlayıcı'yı kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayan gerçek ve tüzel kişiler; 'ticari amaçla internet toplu kullanım sağlayıcı'yı ise internet salonu ve benzeri umuma açık yerlerde belirli bir ücret karşılığı bu hizmeti veren kişiler olarak tanımlar. Pratik ayrım şudur: internetin kendisini bir ücret karşılığı satan internet kafe veya internet salonu ticari amaçla sağlayıcıdır; internet erişimini asıl işine yan hizmet olarak sunan kafe, restoran, otel, AVM ve ofis ise (ücretsiz veya konaklama ya da servis bedeline dahil olarak) genel toplu kullanım sağlayıcı sayılır.
Bu ayrım maliyetli bir yanlış anlamayı önler. Müşterisine kahve satarken ücretsiz Wi-Fi veren bir kafe ya da odasında internet sunan bir otel, ticari amaçla sağlayıcı için öngörülen izin belgesi ve onaylı filtreleme yükümlülüklerine tabi değildir; internetin satışını yapan internet salonu ise tabidir. İki grubun ortak paydası ise iç IP dağıtım loglarını tutmak ve suç içeriğine erişimi engellemektir. Yani otel veya ofis, 'ben internet kafe değilim' diyerek loglama yükümlülüğünden kurtulamaz.
Genel toplu kullanım sağlayıcıların (kafe, otel, restoran, AVM, ofis) yükümlülükleri iki başlıkta toplanır. Birincisi, konusu suç oluşturan içeriklere erişimi önleyici tedbirleri almak; ikincisi, iç IP dağıtım loglarını elektronik ortamda kendi sistemlerine kaydetmektir. Kritik nokta içeriğin ne olduğu değil, hangi cihaza hangi iç IP'nin ne zaman verildiğinin kayıt altına alınmasıdır. Loglama yükümlülüğü ziyaret edilen siteleri değil, iç ağda IP tahsis eşleşmesini hedefler.
İç IP dağıtım logu somut olarak şunları içerir: ağınızda bir cihaza atanan IP adresi, bu tahsisin başlangıç ve bitiş tarihi ile saati ve tahsisin yapıldığı cihazın tanımlayıcı bilgileri (tipik olarak MAC adresi). Amaç, bir soruşturma halinde dış dünyaya çıkan bağlantının işletme ağı içindeki hangi cihaza ait olduğunun geriye dönük olarak eşleştirilebilmesidir. Kaydın işe yaraması için saatin doğru olması şarttır; NTP ile senkron ve tutarlı bir zaman kaynağı olmadan loglar delil değeri taşımaz.
Saklama süresi ve kaydın niteliği yükümlülüğün özüdür. Loglar iki yıl süreyle saklanır; ayrıca bu kayıtların doğruluğu, bütünlüğü ve gizliliği sağlanmalıdır. Uygulamada bu, logların günlük olarak zaman damgalı bütünlük (hash veya özet) değerleriyle birlikte muhafaza edilmesi, bu bütünlük değerlerinin de aynı iki yıllık süre boyunca saklanması ve kayıtların yetkisiz erişime kapalı tutulması anlamına gelir. Bütünlük değeri olmadan tutulan bir log, sonradan değiştirilmediğini ispat edemeyeceği için hukuki değerini büyük ölçüde yitirir.
Ticari amaçla sağlayıcının (internet salonu veya internet kafe) yükümlülükleri daha ağırdır. Bu işletmeler mahalli mülki amirden (kaymakamlık ya da valilik) izin belgesi almak, Başkanlık (BTK) tarafından onaylanan içerik filtreleme yazılımını kullanmak, sabit IP almak ve erişim kayıtları ile iç IP loglarını yine tutup teyit etmek zorundadır. Onaylı filtre ve izin belgesi şartı yalnızca bu gruba özgüdür; kafe veya otel Wi-Fi'si için mevzuat BTK onaylı filtre zorunluluğu getirmez, ancak suç içeriğine karşı önleyici tedbir alma yükümlülüğü her iki grupta da devam eder.
Yaptırım tarafında yükümlülükler ciddiye alınmalıdır. 5651 sayılı Kanun, iç IP loglarını tutmayan veya suç içeriğine erişimi önleyici tedbirleri almayan sağlayıcılar için mahalli mülki amir eliyle idari para cezası öngörür; ticari amaçla sağlayıcılarda uyarma, idari para cezası ve ticari faaliyetin belirli süre durdurulmasına kadar giden kademeli yaptırımlar uygulanabilir. İdari para cezalarının alt ve üst sınırları her yıl yeniden değerleme oranına göre güncellendiğinden, güncel tutarı cezanın uygulandığı yıla göre teyit etmek gerekir. Sabit bir rakam yerine güncel yeniden değerleme oranıyla artırılmış tutarı esas alın.
5651 loglama ile KVKK'yı karıştırmamak önemlidir. 5651 sizden kayıt tutmanızı isterken, tuttuğunuz iç IP logları, MAC adresleri ve Wi-Fi giriş formunda topladığınız ad, telefon veya oda numarası gibi bilgiler 6698 sayılı KVKK anlamında kişisel veridir. Dolayısıyla iki yükümlülük aynı anda geçerlidir: 5651'e göre veriyi iki yıl tutmak, KVKK'ya göre bu veriyi hukuka uygun işlemek. Wi-Fi kayıt ekranında aydınlatma metni sunmalı, veriyi yalnızca yasal yükümlülüğün gerektirdiği süre ve amaçla işlemeli, süre dolduğunda silmeli veya anonim hale getirmelisiniz. Aynı veriyi pazarlama gibi başka bir amaçla kullanacaksanız bunun ayrı bir hukuki dayanağı (çoğu halde açık rıza) olmalıdır.
İşletmenizin tipine göre asgari bir kontrol listesi çıkarabilirsiniz. Wi-Fi trafiğini kimlik doğrulamalı bir kapı (hotspot ya da portal) veya güvenlik duvarı üzerinden geçirin ki iç IP tahsisleri kayıt altına alınabilsin; logları zaman senkronizasyonu sağlanmış şekilde, günlük bütünlük değeriyle birlikte, yetkisiz erişime kapalı ortamda iki yıl saklayın; giriş portalına KVKK aydınlatma metni ekleyin ve topladığınız kişisel veriyi amaç ve süreyle sınırlayın; internetin satışını yapıyorsanız izin belgesi ve BTK onaylı filtre şartını ayrıca karşılayın. Bu adımların çoğu doğru yapılandırılmış tek bir hotspot ya da loglama cihazı ile karşılanabilir.
Kafe, otel veya ofis Wi-Fi'nizin 5651 ve KVKK yükümlülüklerini birlikte karşılayıp karşılamadığından emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesiyle mevcut kurulumunuzdaki eksikleri hızlıca görebilirsiniz. Loglama, saklama süresi ve aydınlatma metni tarafındaki açıkları erken tespit etmek, olası idari yaptırımdan çok daha düşük maliyetlidir.