Misafir Wi-Fi kayıtlarında zaman damgası zorunlu mu?

Misafir Wi-Fi ürünlerinin tanıtımlarında sık geçen bir iddia var: "Kayıtlar zaman damgasıyla imzalanmazsa hukuken geçersizdir."

Bu iddiayı kaynağından doğrulamaya çalıştık. Sonuç şaşırtıcıydı.

Bulgu: yönetmelikte geçmiyor

İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik'in (RG 11/4/2017, No. 30035) tam metninde "zaman damgası" ifadesi hiç geçmiyor. Hem mevzuat.gov.tr'deki güncel metinde hem Resmî Gazete'deki özgün yayında arattık; sıfır sonuç.

"RFC 3161" ifadesi de Türk mevzuatında yer almıyor.

Peki madde 5/1-e ne diyor?

Ticari amaçla toplu kullanım sağlayıcılar için bir bütünlük şartı vardır. Madde 5/1-e şöyle der:

"…bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini teyit eden değeri…"

Bu, kaydın sonradan değiştirilmediğini gösteren bir değer istemektedir. Uygulamada bu genellikle bir özet (hash) değeridir. Ama madde, bu değerin nasıl üretileceğini belirtmez ve zaman damgasından söz etmez.

Ayrıca dikkat edin: bu şart madde 5'tedir, yani ticari amaçla sağlayıcılar içindir. Madde 4'teki genel yükümlülüklerde böyle bir şart yoktur.

Zaman damgası nerede zorunlu?

Zaman damgası Türk mevzuatında gerçekten zorunludur — ama başka sağlayıcı kategorileri için, başka bir yönetmelikte.

İlgili düzenleme, trafik bilgisinin saklanmasına ilişkin usul ve esasları belirleyen yönetmeliktir:

• Yer sağlayıcılar için (madde 7/1-c): trafik bilgisini saklarken "dosya bütünlük değerlerini zaman damgası ile birlikte saklamak" yükümlülüğü açıkça yazılıdır.
• Erişim sağlayıcılar için (madde 8/1-e): benzeri bir yükümlülük bulunur.

Yani zaman damgası yükümlülüğü vardır, ama bir kafe ya da otel bu kategorilerde değildir.

Bu ne anlama geliyor?

İki sonuç çıkıyor:

1. Size "zaman damgası olmazsa kayıtlarınız geçersiz" diyen bir satış anlatımıyla karşılaşırsanız, dayanağını sorun. Yönetmeliğin hangi maddesi olduğunu isteyin.

2. Bu, zaman damgasının işe yaramadığı anlamına gelmez.

Zorunlu değilse neden kullanılıyor?

Zaman damgası, bir verinin belirli bir tarihten önce var olduğunu üçüncü bir tarafa kanıtlar. Kendi sisteminizde ürettiğiniz özet değeri, "bu dosya değişmedi" der ama "bu dosya o tarihte vardı" demez — çünkü sistem saatini siz yönetiyorsunuz.

Bir uyuşmazlıkta bu fark önemli olabilir. Bu nedenle zaman damgasını iyi uygulama olarak öneriyoruz; yasal zorunluluk olarak değil.

Hotspot-Box'ta günlük arşivler SHA-256 zinciriyle bağlanır ve isteğe bağlı olarak RFC 3161 zaman damgasıyla imzalanır. Bunu bir yasal şart olduğu için değil, kaydın değerini artırdığı için yapıyoruz. Zaman damgası kullanmak istemezseniz kapatabilirsiniz; yükümlülüğünüz bundan etkilenmez.

Asıl önemli olan ne?

Yönetmeliğin istediği şey kayıtların tutulması ve iki yıl saklanmasıdır. Pratikte en sık yaşanan sorun bütünlük değil, kayıt boşluğudur:

• Cihaz kapalı kaldığı için kayıt tutulmayan günler
• Disk dolduğu için yazma duran dönemler
• Yapılandırma hatası nedeniyle hiç kaydedilmeyen trafik

Zaman damgalı ama iki hafta boşluğu olan bir arşiv, boşluksuz ama damgasız bir arşivden daha zayıftır.

Önceliğiniz sırayla şu olmalı: önce kesintisiz kayıt, sonra yedek kopya, sonra bütünlük değeri, en son zaman damgası.

Özet

İddia	Doğru mu?
Misafir Wi-Fi kayıtlarında zaman damgası zorunludur	Hayır — yönetmelikte böyle bir ifade yok
Ticari amaçla sağlayıcılar bütünlük değeri saklamalıdır	Evet — madde 5/1-e
Yer ve erişim sağlayıcılar zaman damgası kullanmalıdır	Evet — ama farklı bir yönetmelikte, farklı kategori
Zaman damgası işe yaramaz	Hayır — zorunlu olmasa da kaydın değerini artırır

---

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kendi durumunuz için bir hukukçuya danışın. Alıntılar yazının yayımlandığı tarihteki mevzuat metinlerinden alınmıştır.