KVKK ve Log Saklama Zorunluluğu: İşletmeler İçin Rehber

Türkiye'de faaliyet gösteren her işletme, kullanicilarina ait verileri koruma altına almakla yükümlüdür. Kişisel Verilerin Korunmasi Kanunu (KVKK), bu yukumlulugun yasal cercevesini oluşturur. Özellikle ağ üzerinden toplanan log kayıtları, KVKK kapsamında özel bir öneme sahiptir. Bu yazı, işletmelerin log saklama süreçlerinde KVKK'ya nasıl uyum saglayabilecegini açık ve anlaşılır bir dille ele almaktadir.

1. KVKK Nedir?

6698 sayılı Kişisel Verilerin Korunmasi Kanunu (KVKK), 2016 yılında yürürlüğe giren ve kişilere ait verilerin toplanması, islenmesi, saklanması ve paylasimina iliskin kuralları belirleyen temel yasal düzenlemedir. Kanunun amacı, bireylerin kişisel verilerini hukuka aykiri islenmekten korumak ve veri sorumlularina belirli yükümlülükler getirmektir.

KVKK, yalnızca büyük ölçekli şirketleri değil, kişisel veri işleme faaliyetinde bulunan her olcekteki isletmeyi kapsamaktadir. Bir kafe, otel, hastane veya ofis ortamında internet erişimi sunan her kurulusun KVKK'ya uyum sağlaması gerekmektedir.

2. Log Saklama ile KVKK İlişkisi

Ağ üzerinde tutulan log kayıtları, kullanıcıların internet erişim aliskanliklarina dair önemli bilgiler içerir. Bu kayıtlar, bir kullanıcının hangi zaman araliginda, hangi IP adresiyle ve hangi cihazla ağa baglandigini gösterir. Dolayisiyla log dosyaları, KVKK kapsamında kişisel veri niteligindedir.

Bu durum, işletmelerin log kayıtlarını tutarken aynı zamanda bu verilerin güvenliğini sağlaması, yetkisiz erişime karşı korunması ve belirlenen sureler doldugundan imha edilmesi gerektiğini ifade etmektedir. Log saklama ve KVKK uyumu bir arada dusunulmesi gereken ayrılmaz iki konudur.

3. Hangi Veriler Kişisel Veri Sayılır?

KVKK'ya göre kişisel veri, kimligli veya kimlik belirlenebilir gerçek kişiye iliskin her türlü bilgidir. Ağ yönetimi baglaminda aşağıdaki veriler kişisel veri kapsamında degerlendirilmektedir:

4. 5651 ve KVKK Arasındaki Fark ve Ortak Noktalar

İşletmeler sıklıkla 5651 sayılı kanun ile KVKK'yi birbirine karistirmaktadir. Her iki duzenleme de log kayitlariyla iliskili olmakla birlikte, amacları ve kapsam alanları farklıdır:

Ortak nokta: Her iki kanun da işletmelerin log kayıtlarını düzenli ve güvenli bir şekilde tutmasini gerektirmektedir. 5651 logların tutulmasını zorunlu kilarken, KVKK bu logların nasıl korunacagini ve ne zaman silinecegini düzenler. Dolayisiyla işletmelerin her iki kanuna aynı anda uyum sağlaması gerekmektedir.

5. İşletmelerin Yasal Yükümlülükleri

KVKK kapsamında kişisel veri işleme faaliyetinde bulunan işletmelerin yerine getirmesi gereken temel yükümlülükler şunlardır:

• Aydinlatma yükümlülüğü: Kullanıcılar, hangi verilerinin toplandigi, ne amaçla işlendiği ve ne kadar süre saklanacagi konusunda bilgilendirilmelidir.
• Açık riza alma: Zorunlu hukuki yetki disindaki veri işleme faaliyetleri için kullanıcıdan onay alınmalıdır.
• Veri güvenliği önlemleri: Toplanan kişisel veriler, yetkisiz erişime, degistirilmeye ve kaybedilmeye karşı teknik ve idari tedbirlerle korunmalıdır.
• Veri envanter kaydı: İşletmelerin hangi verileri topladigini, nerede sakladigini ve kimlerle paylastigini gösteren bir envanter olusturmasi gerekmektedir.
• Veri sorumlusu sicil kaydina (VERBIS) basvuru: Belirli kriterleri karşılayan veri sorumlularinin VERBIS'e kayıt olması zorunludur.
• Ihlal bildirimi: Veri ihlali durumunda en kısa sürede Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yapılmalıdır.

6. Veri Saklama Süreleri

KVKK, verilerin amacin gerektirdigi süre boyunca saklanmasını ongormektedir. Ancak 5651 sayılı kanun, log kayıtlarının en az 2 yıl (24 ay) saklanmasını zorunlu kılmaktadır. Bu iki duzenleme bir arada değerlendirildiğinde işletmelerin uygulaması gereken yaklaşım şudur:

1. Log kayıtlarını yasal zorunluluk gereği en az 2 yıl boyunca saklayın.
2. 2 yillik süre doldugunda, artık islenme amacı kalmayan kişisel verileri KVKK gereği imha edin veya anonim hale getirin.
3. Isletmenizin sektorune özgü ek yasal sureler varsa (örneğin finans veya sağlık sektoru) bu süreleri de dikkate alin.

7. İmzalı Log Dosyalarının KVKK Açısından Önemi

Log dosyalarinin dijital olarak imzalanmasi, hem 5651 hem de KVKK açısından kritik bir gereksinimdir. Loglar varsayılan olarak SelfSign ile imzalanır; KamuSM hesabınız varsa resmi TÜBİTAK KamuSM imzalaması da yapabilirsiniz. Her iki yöntem de yasal geçerliliği sahiptir. Dijital imzalı log dosyaları şu avantajları sağlar:

• Butunluk kaniti: Log dosyasinin olusturulduktan sonra degistirilmedigini ispatlar. KVKK denetimlerinde verilerin manipüle edilmediginin gosterilmesi zorunludur.
• Hukuki gecerlilik: İmzalı loglar mahkeme süreçlerinde ve idari sorusturmalarda delil niteligi taşır.
• Hesap verebilirlik: Isletmenin kişisel verileri hukuka uygun islediginin somut kanitini oluşturur.
• Denetim kolaylığı: Kişisel Verileri Koruma Kurulu denetimlerinde, imzalı loglar uyumluluk sürecini önemli ölçüde kolaylaştırır.

8. Denetim Süreçlerine Hazırlık

Kişisel Verileri Koruma Kurulu, işletmeleri habersiz olarak denetleyebilir. Denetim surecine hazirlikli olmak için aşağıdaki adımları takip etmeniz önerilir:

1. Veri işleme envanterinizi güncelleyin. Hangi log verilerini topladiginizi, nerede sakladiginizi ve kimlerle paylastiginizi belgelendirin.
2. Aydinlatma metinlerinizi gozden gecirin. Captive portal veya diğer giriş noktalarinda kullanıcılara sunulan bilgilendirme metinlerinin KVKK'ya uygun olduğundan emin olun.
3. Teknik güvenlik önlemlerini doğrulayın. Log dosyalarinin şifrelenmiş ortamlarda saklaniyor olması, erişim yetkilerinin sinirlandirilmis olması ve yedekleme süreçlerinin çalışıyor olması gerekmektedir.
4. Veri imha politikası oluşturun. Saklama süresi dolan verilerin nasıl silinecegi veya anonimlestirilecegi yazili bir prosedurle belirlenmis olmalıdır.
5. Periyodik iç denetimler yapın. Yillik veya 6 aylık iç denetimlerle KVKK uyumluluk durumunuzu düzenli olarak degerlendirin.

9. Subgate Network ile KVKK Uyumlu Log Yönetimi

KVKK ve 5651 uyumluluğunu es zamanlı olarak sağlamak, özellikle birden fazla lokasyonda faaliyet gösteren işletmeler için karmaşık bir surecdir. Subgate Network, bu süreci basitleştirmek için tasarlanmış kapsamlı bir altyapı sunmaktadir:

• Tüm ağ cihazlarindan logların merkezi olarak toplanması ve siniflandirilmasi
• SelfSign (varsayılan) ve TÜBİTAK KamuSM (opsiyonel) ile otomatik dijital imzalama
• Kişisel verilerin şifrelenmiş ortamda güvenli saklanması
• Saklama süresi dolan verilerin otomatik imha süreçlerinin yönetilmesi
• Denetim süreçlerinde sunulmaya hazır uyumluluk raporları
• Captive portal üzerinden KVKK aydinlatma metni gösterimi ve açık riza kaydı
• FortiGate, Sophos, pfSense, MikroTik gibi farklı markalarla geniş entegrasyon desteği

Subgate Network ile isletmeniz, yasal yükümlülüklerini yerine getirirken operasyonel is yükünü en aza indirebilir ve olası denetim süreçlerine her zaman hazirlikli olabilir.