IP Adresi Kişisel Veri midir? (KVKK)
KVKK ve GDPR açısından IP’nin kişisel veri sayıldığı durumlar; site sahipleri için sonuçları.
Kısa cevap: çoğu durumda evet. Hem Türkiye'deki Kişisel Verilerin Korunması Kanunu (KVKK) hem Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR), kişisel veriyi "kimliği belirli ya da belirlenebilir bir kişiye ilişkin bilgi" olarak tanımlıyor. IP adresi tek başına kimsenin adını söylemiyor; ama başka bilgilerle birleşince bir kişiyi gösterebiliyor. Belirleyici kelime bu: belirlenebilir.
Bu yazı hukuki görüş değil. Kendi durumunuz için güncel mevzuata, kurumların kendi rehberlerine ya da bir hukukçuya başvurun.
"Belirlenebilir" ne demek?
Bir bilginin kişisel veri sayılması için onu tutan kişinin kişiyi hemen tanıması gerekmiyor. Makul araçlarla, gerekirse başkasının elindeki bilgiyle birleştirerek tanıyabilmesi yetiyor.
IP adresinde zincir şöyle işliyor: site, ziyaretçinin adresini ve ziyaret saatini biliyor. Operatör, o saatte o adresi hangi aboneye verdiğini biliyor. İkisi birleşince abone belli oluyor. Site bu bilgiye kendi başına ulaşamıyor; ama yasal bir süreçte (örneğin bir suç duyurusunda) ulaşılabiliyor.
Avrupa Birliği Adalet Divanı 2016'da bir dinamik IP davasında bu mantığı kabul etti: site sahibinin, adresi aboneye bağlamak için başvurabileceği yasal yollar varsa dinamik adres de site sahibi için kişisel veri sayılabilir. GDPR'ın gerekçe bölümü de IP adresini çevrim içi tanımlayıcılar arasında anıyor. KVKK uygulamasında da ölçüt aynı: belirlenebilirlik.
Zincirin her halkasını IP adresinden kişi bulunur mu yazısında ayrıntılı anlattık.
Adresi kişiye yaklaştıran ve uzaklaştıran durumlar
| Durum | Kişiye bağlanma ihtimali |
|---|---|
| Adres, üye girişi ya da e-posta ile aynı kayıtta | Yüksek — kayıt zaten kişiyi gösteriyor |
| Sabit adres, tek kişilik abonelik | Yüksek |
| Ev hattının dinamik adresi, saatiyle birlikte | Orta — operatör kaydıyla birleşince belli |
| Mobil hat, CGNAT arkasında, port bilgisi yok | Düşük — adres yüzlerce kişiyle paylaşılıyor |
| Son kısmı silinmiş (kısaltılmış) adres | Düşük |
| Yalnızca ülke ya da şehir düzeyine indirilmiş istatistik | Çok düşük |
Pratik sonuç: site sahibi olarak adresin hangi satıra düştüğünü her ziyaretçi için bilemezsiniz. Bu yüzden ihtiyatlı yaklaşım, topladığınız ham IP adreslerini kişisel veri gibi ele almak. Dinamik adres ile statik adres farkı bu tabloda doğrudan karşılık buluyor.
Site sahibi adresi nerede işliyor?
Hiçbir form koymadığınızı, kimseden bilgi almadığınızı düşünseniz bile siteniz büyük ihtimalle IP adresi işliyor:
| Yer | Ne oluyor |
|---|---|
| Sunucu erişim günlüğü | Her istek adres ve saatle kaydediliyor; çoğu barındırma hizmetinde varsayılan |
| İçerik dağıtım ağı (CDN), güvenlik duvarı | Adres ziyaretçiden önce bu katmana ulaşıyor ve orada kaydediliyor |
| Analitik aracı | Adres ziyaret verisiyle birlikte üçüncü tarafa gidiyor |
| Dışarıdan yüklenen yazı tipi, betik, harita, video | Ziyaretçinin tarayıcısı o sunucuya bağlanıyor; adres karşı tarafa gidiyor |
| İletişim formu, yorum, üyelik | Adres çoğu zaman kişinin yazdığı bilgiyle aynı kayda giriyor |
Dördüncü satır en çok gözden kaçan. Sayfaya dışarıdan bir yazı tipi eklemek, ziyaretçinin adresini yazı tipini sunan şirkete göndermek demek. Almanya'da bir mahkeme 2022'de, bir sitenin ziyaretçi onayı olmadan dış kaynaktan yazı tipi yüklemesini bu gerekçeyle hukuka aykırı buldu. Karar bağlayıcı bir emsal değil ama riskin nerede olduğunu gösteriyor.
Hangi bilginin tarayıcıdan karşı tarafa gittiğini tarayıcı bilgim aracıyla görebilirsiniz; sayfanızın dışarıya hangi istekleri attığını tarayıcının geliştirici araçlarındaki ağ sekmesi listeliyor.
Site sahibi için sonuçlar
- Aydınlatma. Hangi adresi, hangi amaçla, ne kadar süre ve kimlerle paylaşarak işlediğinizi gizlilik metninde yazmak gerekiyor. Sunucu günlüğü ve analitik bu metnin parçası.
- Hukuki dayanak. Güvenlik ve kötüye kullanımın önlenmesi için kısa süreli günlük tutmak genellikle meşru menfaatle açıklanabiliyor; pazarlama ve izleme için ise çoğu durumda açık rıza aranıyor.
- Yurt dışına aktarım. Analitik, CDN ya da yazı tipi sağlayıcısı yurt dışındaysa adres yurt dışına aktarılmış oluyor. Bu aktarımın kuralları ayrıca düzenleniyor ve son yıllarda değişti; güncel hâlini kontrol edin.
- Silme ve erişim talepleri. Ziyaretçi verisini sormak ya da silinmesini istemek hakkına sahip. Günlüklerin nerede ve ne kadar tutulduğunu bilmiyorsanız bu talebe cevap veremezsiniz.
Azaltma yolları
- Saklama süresini kısaltın. Sunucu günlüklerini güvenlik için gereken süre kadar tutun, sonra otomatik silinsin.
- Adresi kısaltın. İstatistik için tam adres gerekmiyor; IPv4 adresinin son bölümünü sıfırlamak yaygın bir yöntem.
- Dış kaynakları içeri alın. Yazı tiplerini ve betikleri kendi sunucunuzdan servis edin.
- Ağır gömüleri onaya bağlayın. Harita ve video, ziyaretçi tıklayınca yüklensin.
- Analitiği onaydan sonra başlatın ve onay vermeyen ziyaretçide hiç istek atılmadığını tarayıcıda ölçün.
Kullanıcı tarafından bakış için IP adresi loglanır mı yazısı, işletmelerin kayıt yükümlülüğü için 5651 log tutma yazısı bu yazının tamamlayıcıları.
Sıkça sorulan sorular
IP adresi kişisel veri midir?
Çoğu durumda evet. KVKK ve GDPR kişisel veriyi belirlenebilir bir kişiye ilişkin bilgi olarak tanımlar. IP adresi başka bilgilerle, örneğin operatörün abone kaydıyla birleşince bir kişiyi gösterebildiği için kişisel veri sayılabilir.
Dinamik IP adresi de kişisel veri sayılır mı?
Sayılabilir. AB Adalet Divanı 2016’da, site sahibinin adresi aboneye bağlamak için başvurabileceği yasal yollar varsa dinamik adresin de kişisel veri olabileceğine karar verdi.
Sitem form içermiyor, yine de IP adresi işliyor muyum?
Büyük ihtimalle evet. Sunucu erişim günlükleri, CDN ve güvenlik duvarı, analitik araçları ve dışarıdan yüklenen yazı tipi ya da betikler ziyaretçinin adresini işler ya da üçüncü tarafa iletir.
IP adresini kısaltmak yeterli mi?
Riski belirgin biçimde azaltır. İstatistik için tam adres gerekmez; IPv4 adresinin son bölümünü sıfırlamak yaygın bir yöntemdir. Güvenlik günlüklerinde ise kısa saklama süresi daha uygundur.
Bu konuda kesin cevabı nereden alırım?
Bu yazı hukuki görüş değildir. Kendi durumunuz için güncel mevzuata, kurumların rehberlerine ya da bir hukukçuya başvurun.