Misafir Wi-Fi sunan işletmeler iki düzenlemeyi aynı anda karşılamak zorundadır: 5651 sayılı kanun erişim kayıtlarının tutulmasını ister, KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) ise bu kayıtlardaki kişisel verilerin hukuka uygun işlenmesini ve korunmasını şart koşar. Bu yazıda iki gerekliliği nasıl birlikte karşılayacağınızı açıklıyoruz.
Kısaca: KVKK ve Wi-Fi loglama birlikte nasıl uygulanır?
KVKK ve Wi-Fi loglama, misafir internetinde birbirini tamamlayan iki yükümlülüktür: 5651 sayılı Kanun'a dayanan yönetmelik erişim kayıtlarının tutulmasını ister, 6698 sayılı KVKK ise bu kayıtlardaki telefon numarası, IP adresi ve bağlantı zamanı gibi kişisel verilerin hukuka uygun işlenip korunmasını şart koşar. Loglama kanunda öngörülen bir hukuki yükümlülük olduğu için bu kayıtlar ayrıca açık rıza aranmadan işlenebilir; ancak misafire giriş ekranında aydınlatma metni sunulması gerekir. Bu metinde verinin hangi amaçla ve hangi hukuki sebeple toplandığı ile misafirin hakları açıkça belirtilir. Kayıtlar yalnızca bu amaçla kullanılmalı, yetkisiz erişime karşı korunmalı ve 2 yıl (24 ay) saklandıktan sonra silinmeli ya da anonim hâle getirilmelidir. Aynı verinin kampanya, SMS veya WhatsApp gönderimi gibi pazarlama amaçlarıyla kullanılması ise ayrı bir konudur: misafirin ön-işaretsiz bir kutucukla vereceği açık rıza gerekir ve ticari elektronik ileti izinleri İleti Yönetim Sistemi'ne (İYS) kaydedilir. Kısacası loglama ile pazarlama izni ayrı tutulduğunda iki düzenleme çatışmaz.
5651 ne ister?
İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik, misafirine internet sunan işletmelerden erişim kayıtlarını elektronik ortamda kendi sistemlerine kaydetmelerini ve iki yıl süreyle saklamalarını ister. Kamuya açık alanlarda internet sunanlar, kullanıcıları kısa mesaj (SMS) ve benzeri yöntemlerle tanımlayan sistemler kurmakla yükümlüdür. Ticari amaçla internet sunan işletmeler ayrıca kayıtların doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri günlük olarak kaydetmeli ve iki yıl saklamalıdır. Yani 5651, kişisel veri içeren bir kaydın tutulmasını zorunlu kılar.
KVKK ne ister?
KVKK bu kaydın nasıl tutulacağına dair çerçeveyi çizer. Misafir Wi-Fi açısından öne çıkan maddeler şunlardır:
- Genel ilkeler (m.4): Veriler hukuka uygun, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlenmeli; ilgili mevzuatta öngörülen süre kadar muhafaza edilmelidir.
- İşleme şartları (m.5): Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olan işleme, açık rıza aranmadan yapılabilir. 5651 loglaması bu kapsamdadır.
- Silme ve imha (m.7): İşlenmesini gerektiren sebepler ortadan kalkınca veriler silinir, yok edilir veya anonim hâle getirilir.
- Aydınlatma yükümlülüğü (m.10): Veri toplanırken misafire veri sorumlusunun kimliği, işleme amacı, aktarım yapılan taraflar, toplama yöntemi, hukuki sebep ve hakları hakkında bilgi verilmelidir.
- Veri güvenliği (m.12): Hukuka aykırı işlemeyi ve erişimi önlemek, verilerin muhafazasını sağlamak için uygun teknik ve idari tedbirler alınmalıdır.
5651 ve KVKK çelişiyor mu?
Hayır, birbirini tamamlar. 5651 "kaydı tut" der, KVKK "kaydı hukuka uygun işle ve koru" der. Sorun, iki amacın karıştırılmasıyla başlar: yasal zorunluluk için toplanan bir telefon numarasının izinsiz olarak kampanya listesine eklenmesi, loglamanın hukuki dayanağını pazarlamaya taşımaya çalışmak anlamına gelir ve KVKK açısından risk yaratır.
İşletmelerin dikkat etmesi gerekenler
- Aydınlatma metni: Misafir giriş ekranında KVKK aydınlatma metni sunulmalı.
- Amaçla sınırlılık: Loglama için yalnızca yasal yükümlülüğün gerektirdiği veriler toplanmalı.
- Ayrı pazarlama izni: Kampanya iletişimi için ön-işaretsiz, ayrı bir açık rıza alınmalı; ticari ileti izinleri İYS'ye kaydedilmeli.
- Güvenli saklama: Kayıtlara erişim yetkili kişilerle sınırlı tutulmalı ve kayıtlar korunmalı.
- Saklama süresi: Kayıtlar 2 yıl (24 ay) tutulmalı, süre sonunda uygun şekilde imha edilmeli.
- Bütünlük: Kayıtların sonradan değiştirilmediği, zaman damgası gibi bir teyit değeriyle gösterilebilmeli.
Useroam ile uyum
Useroam bulut tabanlı (SaaS) çalışır ve iki yükümlülüğü aynı panelde ayrı ayrı yönetmenizi sağlar. Loglama tarafında misafir, markanıza özel karşılama ekranında SMS veya WhatsApp ile doğrulanır; erişim kayıtları her gün TÜBİTAK BİLGEM Kamu Sertifikasyon Merkezi (KamuSM) zaman damgasıyla imzalanır ve Türkiye merkezli altyapıda 2 yıl (24 ay) saklanır. KVKK tarafında karşılama ekranında aydınlatma metni gösterilir; pazarlama izni ön-işaretsiz bir açık rıza kutucuğuyla ayrıca alınır ve izinli kayıtlar İYS'ye yüklenmek üzere dışa aktarılabilir. Pazarlama modüllerini kullanmasanız bile loglama tek başına çalışır. Detaylar için Özellikler sayfasına bakın.
Sık Sorulan Sorular
Misafirin açık rızası gerekir mi?
5651 kapsamındaki loglama, KVKK m.5'teki hukuki yükümlülük şartına dayanır; bunun için ayrıca açık rıza aranmaz. Pazarlama amaçlı kullanım için ise açık rıza gerekir. Aydınlatma metni her durumda sunulmalıdır.
Veriler yurt dışında saklanabilir mi?
Yurt dışına aktarım KVKK'da ayrı şartlara bağlıdır ve ek değerlendirme gerektirir. Useroam verileri Türkiye merkezli altyapıda saklar.
Saklama süresi dolunca ne yapılmalı?
2 yıl (24 ay) sonunda kayıtlar KVKK m.7 uyarınca silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
İlgili: 5651 nedir · 5651 uyumlu log imzalama. Uyum değerlendirmesi alın →