Site Sahipleri İçin IP ve KVKK Yükümlülükleri
Ziyaretçi IP’si toplayan siteler için aydınlatma metni ve saklama süresi.
Ziyaretçi IP adresi toplayan bir site sahibinin iki somut işi var: aydınlatma metninde adresi doğru anlatmak ve adresi ne kadar tutacağını belirleyip o süre sonunda gerçekten silmek. İkisi de kâğıt üstünde kısa, uygulamada ayrıntılı.
IP adresinin neden kişisel veri sayıldığını ve sitenizin adresi hangi noktalarda işlediğini IP adresi kişisel veri mi yazısında envanter olarak çıkardık. Bu yazı o envanterden sonra gelen adım: metni yazmak ve saklama düzenini kurmak.
Bu yazı hukuki görüş değil. Kanun, yönetmelik ve Kişisel Verileri Koruma Kurumu'nun rehberleri güncellenebiliyor; kendi durumunuz için güncel metne ya da bir hukukçuya başvurun.
Aydınlatma metninde IP paragrafı
Aydınlatma metni, veriyi topladığınız anda ziyaretçiye ne yaptığınızı anlatan metin. IP adresi için yazılacak bölümün altı kalemi var ve her biri somut olmalı. "Hizmet kalitesini artırmak için çeşitli veriler toplanabilir" gibi genel bir cümle hiçbir kalemi karşılamıyor.
| Kalem | Sorusu | Örnek ifade |
|---|---|---|
| Veri sorumlusu | Kim topluyor? | Sitenin işletmecisi olarak şirket ya da kişi adı ve ulaşılabilir bir iletişim adresi |
| Amaç | Ne için? | Sitenin güvenliğini sağlamak, kötüye kullanımı ve saldırıları tespit etmek |
| Hukuki sebep | Hangi dayanakla? | Güvenlik günlüğü için meşru menfaat; ölçüm ve pazarlama için açık rıza |
| Aktarım | Kime gidiyor? | Barındırma hizmeti, içerik dağıtım ağı, analitik sağlayıcısı — yurt dışındaysa bu da belirtilir |
| Toplama yöntemi | Nasıl? | Sunucu tarafından her istekte otomatik olarak |
| Saklama süresi | Ne kadar? | Sizin belirlediğiniz süre ve sonrasında ne olduğu (silme ya da anonimleştirme) |
Metnin sonunda ziyaretçinin haklarını (bilgi isteme, düzeltme, silme, itiraz) ve başvurunun nereye yapılacağını yazmak gerekiyor. Bu bölüm site genelinde bir kez yazılır; IP için ayrıca tekrar edilmez.
Her amaç için ayrı satır
Aynı adresi iki farklı amaçla kullanıyorsanız (güvenlik günlüğü ve ziyaret ölçümü) ikisini tek cümlede birleştirmeyin. Amaçların hukuki sebebi, alıcısı ve süresi farklı; tek cümle bunları birbirine karıştırıyor ve okuyan kişi hangisinin neye dayandığını göremiyor.
Aydınlatma ile açık rıza aynı şey değil
Sık yapılan hata, aydınlatma metninin sonuna "Okudum, kabul ediyorum" kutusu koymak. Aydınlatma bilgi vermek; ziyaretçinin onayına bağlı değil, her durumda yapılır. Açık rıza ise belirli bir işlem için ayrıca, özgür iradeyle ve kolayca geri alınabilecek biçimde alınır.
- Güvenlik günlüğü: çoğu durumda rızaya bağlanmaz; aydınlatma yeterlidir.
- Analitik ve reklam çerezleri: çoğu durumda açık rıza aranır. Onay alınmadan bu araçlar hiç yüklenmemeli.
- Geri alma: rıza veren ziyaretçi bunu sitenin her sayfasından geri çekebilmeli; altbilgideki bir bağlantı yaygın yol.
Çerez onayının nasıl kurulduğunu ve takip araçlarının nasıl çalıştığını çerezler ve takip yazısında anlattık.
Saklama süresini nasıl belirleyeceksiniz?
Kanun "gerektiği kadar" diyor; gün sayısını çoğu kayıt türü için size bırakıyor. Doğru yaklaşım, süreyi her kayıt türü için ayrı belirlemek ve gerekçesini yazılı tutmak:
| Kayıt | Süreyi ne belirler | Süre sonunda |
|---|---|---|
| Sunucu erişim günlüğü | Bir saldırıyı fark edip incelemeniz ne kadar sürer? | Silinir |
| Güvenlik duvarı engel kaydı | Tekrarlayan saldırganı tanımak için gereken süre | Silinir |
| Ziyaret istatistiği | Tam adres gerekmez | Baştan kısaltılmış ya da anonim tutulur |
| Form ve yorum kaydındaki adres | Kötüye kullanım şikâyetine cevap verme süresi | Adres silinir, mesaj ayrıca değerlendirilir |
| Yasal yükümlülükle tutulan kayıt | İlgili mevzuattaki süre | Süre bitince silinir |
Son satır için hangi işletmenin hangi kaydı tutmakla yükümlü olduğunu 5651 log tutma yazısında ayrıca ele aldık. Sıradan bir içerik sitesinin oraya girip girmediğini kendi durumunuza göre kontrol edin.
İmha düzeni: süreyi yazmak yetmiyor
Metinde "30 gün" yazıp günlükleri yıllarca biriktirmek, hiç süre yazmamaktan daha kötü bir durum: hem kurala aykırı hem yazılı bir çelişki. Saklama süresini yazdıysanız silmeyi otomatik hâle getirin:
- Günlük döndürme: sunucuda günlükler belirlediğiniz gün sayısından sonra otomatik silinecek şekilde ayarlanır. Paylaşımlı barındırmada bu ayar panelde ya da destek talebiyle değişir.
- Üçüncü taraflar: analitik ve içerik dağıtım ağı hizmetlerinin kendi saklama ayarları var. Sizin metninizdeki süreyle uyuşmalı.
- Yedekler: günlükler site yedeğinin içine giriyorsa yedek de aynı süreye tabi. En çok gözden kaçan yer burası.
- Kayıt tutun: neyi ne zaman sildiğinizi gösteren basit bir not, bir başvuru ya da denetimde işinize yarar.
Başvuruya cevap verebilmek
Bir ziyaretçi "Hakkımda hangi verileri tutuyorsunuz?" diye sorduğunda IP adresi açısından şunları bilmeniz gerekiyor:
- Adresin hangi sistemlerde durduğu (sunucu, içerik dağıtım ağı, analitik, form veritabanı).
- Her sistemde ne kadar süre kaldığı.
- Ziyaretçinin kendi adresini ve ziyaret saatini vermesi hâlinde ilgili kayıtları bulup bulamayacağınız.
Dinamik adres kullanan bir ziyaretçinin kaydını bulmak çoğu zaman imkânsız; bunu da açıkça söyleyebilirsiniz. Önemli olan, verinin nerede durduğunu bilmeniz.
Kontrol listesi
- Aydınlatma metninde IP için altı kalemin hepsi var mı?
- Her amaç ayrı satırda mı?
- Rızaya bağlı araçlar onaydan önce hiç yüklenmiyor mu? HTTP başlık kontrolü ve tarayıcının ağ sekmesi bunu gösterir.
- Metindeki süre ile sunucudaki gerçek ayar aynı mı?
- Yedeklerdeki günlükler de aynı sürede siliniyor mu?
- Başvuru adresi çalışıyor mu?
Kullanıcı gözünden aynı konu için IP adresi loglanır mı yazısına bakabilirsiniz.
Sıkça sorulan sorular
Sitem IP adresi topluyorsa aydınlatma metninde ne yazmalı?
Kimin topladığı, amacı, hukuki sebebi, kime aktarıldığı, nasıl toplandığı ve ne kadar saklandığı. Her amaç için ayrı satır yazmak, genel bir cümle kurmaktan daha doğrudur.
IP adresi için açık rıza almam gerekir mi?
Amacına bağlı. Güvenlik günlüğü çoğu durumda rızaya bağlanmaz. Analitik ve reklam amaçlı işleme için ise çoğu durumda açık rıza aranır ve araçlar onaydan önce yüklenmemelidir.
IP adreslerini ne kadar saklamalıyım?
Kanun çoğu kayıt türü için gün sayısı vermez, gerektiği kadar der. Süreyi amaca göre siz belirler, gerekçesini yazılı tutar ve süre sonunda otomatik silinmesini sağlarsınız.
Aydınlatma metninin altına onay kutusu koymalı mıyım?
Hayır. Aydınlatma bilgi vermektir ve onaya bağlı değildir. Açık rıza gereken işlemler için ayrı, kolayca geri alınabilen bir onay alınmalıdır.
Yedeklerdeki günlükler de silinmeli mi?
Evet. Günlükler yedeğe giriyorsa yedek de aynı saklama süresine tabidir. Gözden en çok kaçan yer burasıdır.