5651 sayılı Kanun ve misafir Wi-Fi: işletmeler için sade rehber

Toplu kullanım sağlayıcı kimdir?

Kanun, internete erişimi kendi ağı üzerinden başkalarına açan kişi ve işletmeleri ‘toplu kullanım sağlayıcı’ olarak adlandırır. Kafe, restoran, otel, yurt, hastane bekleme salonu, AVM, ofis lobisi, fabrika misafirhanesi: müşterinize ya da ziyaretçinize kendi hattınızdan Wi-Fi veriyorsanız bu tanımın içinde olursunuz. İnternet hattını size satan operatör ise ‘erişim sağlayıcı’dır; onun yükümlülükleri sizinkinden farklıdır ve sizin ağınızın içinde kime hangi adresi verdiğinizi bilemez, dolayısıyla sizin yerinize kayıt tutamaz.

Kanun, bu hizmeti ticari amaçla sunanlarla sunmayanları ayrı ele alır ve beklentilerin ayrıntısı buna göre değişir. Hangi gruba girdiğiniz iş yerinizin niteliğine bağlıdır; kayıt tutma beklentisi ise iki grup için de geçerlidir. Wi-Fi'yi ücretsiz vermeniz bu beklentiyi kaldırmaz. Misafir sayısının az olması da kaldırmaz: bir kişiye bile ağınızdan internet açıyorsanız, o kişinin ağınızda ne zaman ve hangi adresle bulunduğunu gösterebilmeniz beklenir.

Bazı durumlar tartışmalıdır. AVM'de her mağaza ayrı yükümlü mü, yoksa AVM yönetimi tek başına mı? Site yönetimi ortak alanlara Wi-Fi verdiğinde toplu kullanım sağlayıcı sayılır mı? Reşit olmayan misafir nasıl ele alınır? Bu sorular için hukuki görüş alın. Kutu açısından fark yoktur: her iki durumda da kayıt aynı şekilde tutulur, imzalanır ve saklanır; kimin yükümlü olduğu değişse bile kaydın niteliği değişmez.

• Misafirine Wi-Fi veren işletme 5651'e göre ne yapmak zorunda?
• Telefondaki hotspot ile işletmedeki hotspot aynı şey değil
• Sektörünüze göre rehberler

Ne saklanmalı: iç IP dağıtım kayıtları

Kanun'un çevresindeki düzenleme, toplu kullanım sağlayıcıdan ‘iç IP dağıtım kayıtları’ tutmasını bekler. Bu, kendi ağınızda hangi cihaza, hangi tarih ve saatte hangi iç IP adresinin verildiğini gösteren kayıttır. Kaydın amacı tek bir soruya cevap vermektir: belirli bir anda ağınızdan çıkan trafiğin arkasında hangi cihaz ve hangi doğrulanmış kişi vardı?

Pratikte bir oturum kaydında şu alanlar bulunur: misafirin doğrulama bilgisi (telefon numarası, kupon kodu veya e-posta), cihazın MAC adresi, atanan iç IP, oturumun başlangıç ve bitiş zamanı, varsa NAT bilgisi. Kayıt bu kadardır. Ziyaret edilen siteler, açılan sayfalar, içerik, mesajlar ve konum kaydedilmez; bunları tutmak Kanun'un beklediği bir şey değildir ve KVKK açısından gereksiz veri birikimi anlamına gelir.

Kaydın işe yaraması için bir kimliğe bağlanabilmesi gerekir. Duvara asılan ortak parola kimseyi kimseye bağlamaz: aynı parolayla giren yüz kişinin kaydı birbirinin aynıdır. SMS kodu, kupon, e-posta veya kayıtlı kullanıcı girişi bu bağı kurar. En yaygın ve en dayanıklı yol SMS kodudur, çünkü telefon numarası operatör tarafında zaten bir kişiye kayıtlıdır.

• Bir erişim kaydında hangi alanlar olmalı?
• ‘Erişilen siteler kaydedilir’ efsanesi
• Duvara asılan Wi-Fi parolası neden yetmiyor?

Bütünlük, zaman damgası ve 2 yıl saklama

Kaydın var olması yetmez; değiştirilmediğini de gösterebilmeniz beklenir. Düzenleme, kayıtların doğruluğunun, bütünlüğünün ve gizliliğinin korunmasını ve bütünlüğün zaman damgasıyla kanıtlanabilir kılınmasını ister. Zaman damgası, bir verinin belirli bir anda var olduğunu ve o andan sonra değişmediğini bağımsız bir servisin imzasıyla belgeler. Kutunun kendi saati bunun yerine geçmez, çünkü o saati siz değiştirebilirsiniz.

Teknik olarak süreç şöyle işler: her günün kayıt dosyalarının SHA-256 özeti alınır. Özet, dosyanın parmak izidir; tek bir karakter değişse özet tamamen değişir. Günler birbirine zincirlenir: her günün manifesti önceki günün özetini içerir. Sonra o günün özeti RFC 3161 standardında bir zaman damgası sunucusuna gönderilir ve imzalı damga geri alınır. Damga sunucusuna kayıtların kendisi değil yalnızca özet gider; misafir verisi kutudan çıkmaz.

Saklama süresi 2 yıldır. Bu, en az iki yıl geriye gidebilmeniz anlamına gelir; süresi dolan kaydın ise imha edilmesi KVKK açısından beklenir. Üç yıl, beş yıl saklamak ‘daha güvenli’ değildir; gereğinden uzun tutulan kişisel veri ayrı bir uyumsuzluk konusudur. Doğru hedef, tam 2 yıl saklamak, sonra düzenli ve belgeli biçimde silmektir.

• Misafir Wi-Fi kayıtlarında zaman damgası zorunlu mu?
• Misafir Wi-Fi kayıtları ne kadar süre saklanır?
• Bir günlük arşiv dosyasının içinde ne var?
• İki yıl dolan kayıt ne olur? Otomatik imha ve KVKK

Kayıt talebi geldiğinde süreç nasıl işler?

Talep çoğunlukla savcılık ya da kolluk yazısıyla gelir. Yazıda bir tarih-saat aralığı ve işletmenizin o sırada kullandığı genel IP adresi bulunur; sizden o aralıkta bu adresin arkasındaki iç IP'yi, cihazı ve doğrulanmış kullanıcıyı göstermeniz istenir. Verilen süre genelde kısadır. Kaydı ‘bir yerlerde’ tutan işletmenin bu noktada yaşadığı sorun, kaydı bulmak değil, kaydın o güne ait ve değiştirilmemiş olduğunu gösterememektir. Hazırlıklı işletme, yazı geldiğinde arşivi aramaz; panelden ilgili günleri seçer, doğrular ve çıktıyı alır. Bu rehberin geri kalanı o hazırlığın nasıl kurulacağını anlatır.

Sağlıklı bir süreç beş adımdan oluşur. Yazının kapsamını ve istenen aralığı doğrulayın. İlgili günleri arşivden çıkarın ve bütünlüğünü doğrulayın; doğrulama raporu yazıya eklenir. Yalnızca istenen aralığı teslim edin; iki yılın tamamını vermek hem gereksiz hem KVKK açısından sorunludur. Teslimi kim yaptı, ne zaman, hangi dosyalar: bunu kendi denetim izinize yazın. KVKK bakımından yetkili makamın talebi ayrı bir hukuki sebebe dayanır; bu teslim için misafirden rıza aranmaz.

Sözleşme biter, denetim bitmez. Bugün kullandığınız çözümden iki yıl sonra vazgeçseniz bile, o dönemin kayıtları için talep gelebilir. Kayıtların işletmede, sizin erişebildiğiniz ve bağımsız araçlarla doğrulanabilen bir biçimde durması bu yüzden önemlidir. Sağlayıcıya bağımlı, sözleşme bitince kapanan bir arşiv, denetim gününde boş bir panel demektir.

• Savcılık yazısı geldi: 15 dakikada ne yaparsınız?
• Denetçinin sorduğu 12 soru, kutudan 12 cevap
• Sözleşme biter, denetim bitmez

Sık yapılan hatalar

Router'ın ‘misafir ağı’ özelliğine güvenmek. Bu özellik misafiri personel ağından ayırır, ki iyidir; ancak kimlik doğrulamaz ve kayıt tutmaz. Ortak parola ile giren herkes kayıtta aynı görünür. İkinci yaygın hata, logları modemde veya bir ofis bilgisayarında düz dosya olarak tutmaktır: disk dolar, saat kayar, dosya elle değiştirilebilir ve bütünlüğü kimse kanıtlayamaz.

Saat sapması sessiz bir hatadır. NTP kapalı ya da çalışmıyorsa kutunun saati haftalar içinde dakikalarca kayar ve kayıtlar talepte verilen zamanla eşleşmez. Bir diğer karışıklık, içerik engelleme ile kayıt tutmayı aynı şey sanmaktır. VPN, Tor veya proxy engellemek kaydı korumaz; içerik filtresi kayıt yerine geçmez. Kanun'un toplu kullanım sağlayıcıdan beklediği şey, kimin bağlandığını gösterebilmektir; ne izlediğini değil.

Fazla veri toplamak da bir hatadır. Ziyaret edilen siteleri, pazarlama onayı olmayan iletişim izinlerini veya doğum tarihi gibi gereksiz alanları toplamak Kanun'u yerine getirmez, KVKK riskini büyütür. Son olarak, geriye dönük imza beklentisi: kurulumdan önceki günler için zaman damgası üretilemez. Zincir kutunun kurulduğu gün başlar; bu yüzden erteleme, kapsanmayan gün sayısını artırır.

• Log saklamada en sık yapılan 4 hata
• Router'ın ‘Misafir Ağı’ özelliği yeter mi?
• VPN, Tor veya proxy engellemek kaydı korur mu?
• Suç oluşturan içeriğe erişimi engelleme: ne yeter?
• Kutu saati, NTP ve damga farkı

Hotspot-Box bunların her birini nasıl yapar?

Kimlik: misafir SMS kodu ile girer; alternatif olarak kupon, e-posta veya kayıtlı kullanıcı hesabı kullanılabilir. Telefon numarası kutuda şifreli saklanır, panelde maskeli görünür ve yalnız yetkili rol görür. SMS, kutudan doğrudan sizin sağlayıcı hesabınıza gider; numara hotspot-box.com'a hiç ulaşmaz. Daha önce doğrulanmış cihazlar, sizin belirlediğiniz süre boyunca yeniden kod istemez.

Kayıt ve bütünlük: kutu iç IP dağıtım kayıtlarını her gün toplar, SHA-256 özet zinciriyle bağlar ve RFC 3161 zaman damgası alır. Damga servisine kayıt değil yalnızca özet gider. Saat NTP ile eşitlenir; sapma büyürse panel uyarır. İnternet kesilirse kayıt toplanmaya devam eder; damga alınamayan günler kuyrukta bekler ve bağlantı dönünce damgalanır. Panelde bekleyen gün sayısını görürsünüz.

Saklama ve teslim: kayıtlar 730 gün kutuda tutulur, süresi dolan günler otomatik silinir ve silme denetim izine yazılır. İkinci kopya SFTP veya FTPS ile kutu dışına alınabilir. Talep geldiğinde panelden tek tuşla ilgili günler doğrulanır ve ZIP olarak dışa aktarılır: gün dizinleri, satır dosyaları, SHA-256 manifesti, damga dosyası ve doğrulama raporu. Arşiv, standart araçlarla kutudan bağımsız doğrulanabilir. Kayıtlar işletmede kalır; buluta, yurt dışına ya da bize gitmez.

• 5651 arşivi için 3-2-1 kuralı
• Arşivi imzalayan anahtar nerede durur?
• Fiber kesildi, 4.5G devraldı: kayıt zinciri kopmaz
• Ürünler: Kutu, Virtual Appliance, SaaS

5651 ile KVKK nasıl birlikte okunur?

Erişim kaydı tutmanın hukuki sebebi Kanun'dan gelir; bu yüzden misafirden ‘kaydınız tutulsun mu’ diye rıza istenmez, ama kaydın tutulduğu aydınlatma metniyle anlatılır. Pazarlama ayrı bir konudur: kampanya mesajı göndermek istiyorsanız bunun için ayrı ve açık bir onay gerekir ve erişim kaydı bu onayın yerine geçmez. İki amacı tek onay kutusunda birleştirmek en sık görülen KVKK hatasıdır.

Veri sorumlusu işletmenizdir. Kayıtlar kutuda, yani sizin kontrolünüzde durur. Misafir ‘hakkımda ne tutuyorsunuz’ diye başvurduğunda panelden başvuru kaydı açar, oturumları bulur ve cevabı belgelersiniz. Portalda aydınlatma metni gösterilir, onay kutusu işaretlenirse açık rıza kaydı tutulur. KVKK'nın beklediği teknik tedbirlerin çoğu (şifreleme, erişim yetkisi, denetim izi, imha) kutunun içinde hazırdır; belge seti ise sizin tarafınızda tamamlanır.

Üçüncü taraflar konusunda da net olun. SMS sağlayıcınız mesajı iletirken numarayı görür; bu ilişkiyi sağlayıcıyla yaptığınız sözleşmede tanımlayın. Zaman damgası servisi ise yalnızca özet görür, misafir verisi görmez. Kutunun sağlık telemetrisinde misafir verisi yoktur. Bu üç cümle, KVKK envanterinizde ‘veri kime gidiyor’ sorusunun cevabıdır ve çoğu işletme için listenin tamamıdır.

• Misafir Wi-Fi'de KVKK: telefon numarası özel nitelikli veri mi?
• Misafir Wi-Fi için KVKK belge seti
• Erişim kaydı ile pazarlama izni aynı şey değil
• KVKK teknik tedbirler listesi kutuda nerede?

Kaynaklar ve güncellik

Bu rehber hukuki danışmanlık değildir; mevzuatı sade bir dille özetler ve kutunun ne yaptığını açıklar. Birincil kaynaklar aşağıda listelenmiştir; madde numarası ve ceza tutarı vermekten bilerek kaçındık, çünkü bunlar değişir ve bağlamından koparılmış bir rakam yanıltır. İşletmenize özgü durumlar için hukuk danışmanınıza başvurun. Bu sayfanın son gözden geçirme tarihi: Ekim 2026.

Terimleri sözlükte, sık sorulan soruları SSS sayfasında, kafe, otel, yurt ve diğer işletme türlerine özgü ayarları sektör rehberlerinde bulabilirsiniz. Kutuyu 7 gün denemek için ürünler sayfasından başlayın.

• Sık sorulan sorular
• Terimler sözlüğü
• Sektör rehberleri
• Ürünler