Otel Wi-Fi ve 5651 sayılı kanun: misafir interneti, giriş ve log kaydı

Türkiye'de 5651 sayılı kanun, kişilere belli bir yerde ve belli bir süre internet kullanım olanağı sağlayan herkesi toplu kullanım sağlayıcı sayar ve bu sağlayıcılardan erişim kaydı tutmasını ister. 2017 tarihli yönetmelik iki yıllık saklama süresini ve kaydedilecek alanları belirler. Bir otelin kapsama girip girmediği ise yazılı olarak doğrulanması gereken bir hukuki yorumdur.

Bir misafir resepsiyondan Wi-Fi şifresini ister, yönlendirici birkaç saatlik bir tampon bellek tutar ve otel sahibine üç ayrı kişi, otellerin misafir internet kayıtlarını iki yıl saklamak zorunda olduğunu söyler. Bu üç kişiden yalnızca biri metni okumuştur. Bu yazının sonunda Türkiye'de otel Wi-Fi'sini düzenleyen 5651 sayılı kanunun (yeni sekmede açılır) gerçekte ne dediğini, yönetmeliğin hangi kayıtları istediğini ve BT sağlayıcınıza ve avukatınıza göndereceğiniz yedi soruyu bileceksiniz.

Bir otel misafir Wi-Fi kaydı tutmak zorunda mı?#

Evet, otel bir toplu kullanım sağlayıcıysa: 5651 sayılı kanun, kişilere belli bir yerde ve belli bir süre internet erişimi veren herkese kayıt tutma yükümlülüğü getirir; bunu ticari amaçla yapanlara ayrıca izin yükümlülükleri ekler.

Kanun 4 Mayıs 2007'de kabul edildi ve 23 Mayıs 2007 tarihli, 26530 sayılı Resmî Gazete'de yayımlandı. Madde 2/1-i, toplu kullanım sağlayıcıyı kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayan olarak tanımlıyor. Madde 7, ticari amaçlı olsun ya da olmasın her sağlayıcıya iki yükümlülük yüklüyor: suç oluşturan içeriklere erişimin engellenmesi için yönetmelikle belirlenen tedbirleri almak ve kullanıma ilişkin erişim kayıtlarını tutmak.

Ticari amaçlı sağlayıcıların yükü daha ağır. Bunlar mahallî mülkî amirden izin belgesi alır; mülkî amir izin bilgilerini otuz gün içinde Siber Güvenlik Başkanlığına bildirir ve bu sağlayıcıları denetler. Ayrıca ailenin ve çocukların korunması, suçun önlenmesi ve suçluların tespiti için yönetmelikte belirlenen tedbirleri de almak zorundadırlar.

Kanun kimin ve neyin sorusunu çerçeve düzeyinde yanıtlar. Nasıl sorusu, BTK'nın çıkardığı ve 11 Nisan 2017 tarihli, 30035 sayılı Resmî Gazete'de yayımlanan İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelikten gelir; bu yönetmelik 2007'deki eski yönetmeliği yürürlükten kaldırdı. İki metin de otelleri adıyla anmaz. Bu boşluk, yazının bir ürün önerisiyle değil avukata sorulacak sorularla bitmesinin tek nedenidir.

Misafir kimlik bildirimi (KBS) ve kişisel verilerin korunması (KVKK) bu yükümlülüğün yanında ayrı ayrı yürüyen görevlerdir; ikisini ayrı ayrı ele alıyoruz.

Kim toplu kullanım sağlayıcı sayılır?#

Kanunun tanımı geniştir ve büyüklük eşiği yoktur; yönetmeliğin ticari amaçlı sağlayıcı tanımı daha dardır ve internet salonu ve benzeri umuma açık yerleri sayar, otelleri saymaz.

Kanunun sözleri geniş: belli bir yer, belli bir süre. Lobideki internet, havuz barı, toplantı salonu ve misafir odası bu sözlere zorlanmadan sığar. Buna karşılık yönetmeliğin 3. maddesi, ticari amaçlı sağlayıcıyı internet salonu ve benzeri umuma açık yerlerde belirli bir ücret karşılığı internet toplu kullanım hizmeti veren gerçek ve tüzel kişiler olarak tanımlar.

Kilit nokta "ücret karşılığı" ifadesi. Bir otel Wi-Fi'yı ayrı bir kalem olarak satmaz; oda fiyatının içine dahildir. Bunun ücret sayılıp sayılmayacağı teknik değil hukuki bir yorumdur ve hangi yükümlülük setinin uygulanacağını bu belirler. Yönetmelik otelleri dışlamaz, kanun da adlarını anmaz; iki yorum da mümkündür. Yanıtın, iki metni de okumuş bir avukattan yazılı olarak gelmesi bu yüzdendir.

Pratik ayrım önemlidir: filtreleme ve kayıt gibi genel yükümlülükler her sağlayıcıya uygulanır; izin, sabit IP ve günlük bütünlük değeri ticari amaç bölümünde yer alır. Ücretli bir iş merkezi ya da ortak çalışma alanı işleten bir otelin, o satış noktası için ikinci ve ayrı bir sorusu daha vardır.

Ne saklanacak ve ne kadar süreyle?#

Yönetmeliğin 4. maddesi, erişim kayıtlarının elektronik ortamda sağlayıcının kendi sistemlerine kaydedilmesini ve iki yıl saklanmasını öngörür; 3. madde bu kayıtların hangi alanları içerdiğini tek tek sayar.

Alanlar şunlardır: ağ içinde dağıtılan IP adresleri, kullanımın başlama ve bitiş zamanı, bu IP'yi kullanan cihazın MAC adresi, hedef IP adresi ve adresler portlar aracılığıyla paylaştırılıyorsa kullanıcıya tahsis edilen gerçek IP ile port bilgisi. İki yıl, kendi sistemlerinizde. Yönlendiricinin birkaç saatlik tampon belleğinde değil, dışa aktaramadığınız bir sağlayıcı panelinde değil.

Otel kamuya açık alanlarda erişim sağlıyorsa 4. madde ayrıca kullanıcıları SMS ve benzeri yöntemlerle tanımlayan bir sistem kurulmasını ister. Ticari amaçlı sağlayıcılar aynı kayıtlara ek olarak, doğruluğu, bütünlüğü ve gizliliği teyit eden ve günlük olarak kaydedilen bir değeri de iki yıl saklar. Düz bir deyişle: o günün kayıtlarının günlük parmak izi, böylece sonradan yapılan bir değişiklik görünür olur.

Filtreleme aynı maddenin parçasıdır: suç oluşturan içeriklere erişimi önleyen bir içerik filtreleme sistemi; ticari sağlayıcılar için ayrıca etkin ve güncel tutulan güvenli internet hizmeti. Listenin içermediği şeyler de en az içerdiği kadar önemlidir: misafir adı yok, oda numarası yok, pasaport yok. Bunlar başka görevlere ve başka kurallara aittir; Wi-Fi kaydına karıştırmak kişisel veri sorununu çözmek yerine yaratır.

Bu alanların arka planındaki sözlük için otel ağ ve Wi-Fi terimlerini ayrı bir yazıda topluyoruz.

Otel hangi misafir giriş yöntemini seçmeli?#

Bir oturumu tanımlanabilir bir kullanıcıya bağlayan ve yukarıdaki alanları yazan her yöntem yeterlidir; seçim, misafirin yaşayacağı sürtünmeye ve kaydın gerçekte neyi kanıtlayabileceğine bağlıdır.

Misafirin internet çalışmadan önce gördüğü giriş sayfasına captive portal denir. Bu bir kimliklendirme adımıdır, kayıt değildir: kayıt, ağ ekipmanının sonrasında yazdığı şeydir.

Oda numarası artı soyadı en az sürtünmeli seçenektir ve odayı kayda geçirir; ama paylaşılan bir oda numarası kişiyi değil odayı kanıtlar. SMS ile tek kullanımlık kod, bir telefon numarasının o an ulaşılabilir olduğunu kanıtlar ve numarayı da zamanı da kaydeder; bir adım ve mesaj maliyeti ekler, bazı misafirlerin de yerel numarası yoktur. Resepsiyonda verilen fiş ya da kod, gruplar ve personel için uygundur ama kodlar el değiştirir ve kayıt misafiri değil kodu gösterir. Cihaz tanımalı otomatik giriş, tekrar gelen misafirler için en akıcı olanıdır; ancak yeni telefonlar MAC adresini rastgele değiştirir, dolayısıyla tanımlayıcı her bağlantıda değişebilir. Bu, sağlayıcıyla konuşulması gereken teknik bir sınırdır, kaydı atlamak için bir gerekçe değildir.

Yöntem her ne olursa olsun, ekipmanın başlama zamanını, bitiş zamanını, iç IP'yi, hedef IP'yi ve tanımlayıcıyı otelin denetlediği bir depoya yazması gerekir. Misafir ağını personel, ödeme ve cihaz ağlarından ayrı tutun ki bir misafir oturumu para ya da kişisel veri taşıyan sistemlere ulaşamasın; misafir, personel, ödeme ve cihaz ağlarını ayırma tasarımını ayrı bir yazıda ele alıyoruz.

Kaydı kullanılabilir kılmak: saat, bütünlük ve erişim#

Üretilemeyen ya da yanlış saat taşıyan bir kayıt hiçbir şeye yaramaz; asıl iş doğru saat, üzerine yazılmayan bir depo ve günlük bir mühürdür.

Önce saat. Yönlendirici, ağ anahtarı (switch) ve kayıt sunucusu saat konusunda anlaşamıyorsa, alanlar eksiksiz olsa bile kayıttaki başlama ve bitiş zamanları yanlıştır. Her cihazı tek bir zaman kaynağına yönlendirin ve bunu denetleyin.

Sonra depolama. Birçok yönlendirici kısa bir tampon tutar ve birkaç saat içinde üzerine yazar. Yönetmelik kayıtların sağlayıcının kendi sistemlerinde iki yıl kalmasını öngörür; kaydın gerçekte nereye düştüğünü varsaymadan önce öğrenin. Günlük değer, o günün kayıtlarının parmak izidir: biri sonradan bir kaydı değiştirirse ya da silerse parmak izi artık tutmaz ve değişiklik görünür olur. Kaydın değiştirilmesini engellemez; değişikliği görünür kılar.

Sonra erişim. Kayıtlar kişisel veri içerir; hangi isimlendirilmiş kişilerin okuyabileceğine karar verin ve bu listeyi kısa tutun. İki yıllık kayıt görevini KVKK saklama ve imha politikanızla uzlaştırın; birbiriyle çelişen iki kuralı paralel yürütmeyin. Kayıtların yedeğini alın: resepsiyon dolabındaki tek bir disk, biri istediğinde hiçbir şey üretememekten bir arıza ötededir.

İzin, sabit IP ve yaptırımlar neleri kapsar?#

Ticari amaçlı sağlayıcılar için yönetmelik, mahallî mülkî amirden izin, değişikliği on beş gün içinde bildirilen sabit IP ve kapanma ya da devir bildirimini ekler.

İzni illerde vali, ilçelerde kaymakam verir. Kanuna göre mülkî amir izin bilgilerini otuz gün içinde Siber Güvenlik Başkanlığına bildirir ve bu sağlayıcıları denetler. Sabit IP erişim sağlayıcıdan alınır ve her değişiklik on beş gün içinde bildirilir; operatörünü ya da hattını kimseye söylemeden değiştiren bir otel, teknik bir ayrıntıyı değil on beş günlük bir görevi ihlal etmiş olur. İşyerinin kapanması ya da devri de on beş gün içinde bildirilir ve izin belgesi teslim edilir.

Kanun yaptırım merdivenini kurar: ihlalin ağırlığına göre uyarma, idari para cezası ya da üç güne kadar ticari faaliyeti durdurma. Kanunda yazılı ceza tutarları, bugün uygulanan tutarlar değildir; idari para cezaları her takvim yılı başında yeniden değerlenir, bu yüzden bugün uygulanan sınırlar kanun metnindekinden yüksektir. Kanun metnini aktarmak yerine güncel tutarları bir danışmana sorun.

Otel BT sağlayıcısına ve avukatına ne sormalı?#

Aynı soruları ikisine de yazılı olarak sorun ve yanıtları saklayın: kapsamı avukat netleştirir, ekipmanın metnin istediğini gerçekten üretip üretemediğini BT sağlayıcı netleştirir.

Kapsam ilk sorudur ve teknik değildir: 5651 sayılı kanuna göre toplu kullanım sağlayıcı mıyız, 2017 yönetmeliğine göre ticari amaçlı sağlayıcı mıyız? Yanıtı gerekçesiyle birlikte yazılı isteyin. Sonra ekipman: erişim kaydını hangi cihaz yazıyor ve madde 3'teki tüm alanları, adresler paylaşımlıyken gerçek IP ve port dahil, tutuyor mu? Sonra depolama: kayıt nereye düşüyor, kimin sisteminde ve üzerine yazılmadan önce ne kadar süre kalıyor?

Sonra saat: tüm ağ cihazları zamanı tek bir kaynaktan alıyor mu ve bunu ayda bir kim denetliyor? Sonra bütünlük ve erişim: günlük değer nasıl üretiliyor ve kayıtları hangi isimlendirilmiş kişiler okuyabiliyor? Sonra evrak: izin belgesi ve sabit IP elimizde mi, değişikliği on beş günde bildiren bir sürecimiz var mı? Son olarak örtüşme: bu kayıtlar KVKK saklama ve imha politikamızla nasıl uzlaşıyor ve yetkili bir merci istediğinde kaydı kim üretiyor?

Şimdi ne yapmalı#

Yedi soruyu aynı gün BT sağlayıcınıza ve avukatınıza gönderin ve yazılı yanıt isteyin. Kimin kapsama girdiğine kanun, hangi kayıtların ne kadar süre tutulacağına yönetmelik, kaydın neyi kanıtlayabileceğine giriş yöntemi, istendiğinde ayakta kalıp kalmayacağına ise saat, depolama ve günlük değer karar verir. Saati ve depolamayı bu ay düzeltin; kapsamı avukata bırakın.