5651 Yasası Nedir? Log Saklama Süresi ve KVKK Uyumu 2026

5651 Sayılı Kanun Nedir ve İnternet Hizmeti Sağlayıcılarını Nasıl Bağlar?

5651 sayılı "İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun", 4 Mayıs 2007 tarihinde yürürlüğe girerek Türkiye'de internet üzerinden yapılan yayınların denetimi ve suç soruşturmalarında dijital delillerin korunmasını düzenleyen temel yasal çerçeveyi oluşturmuştur. Bu kanun, yalnızca büyük internet servis sağlayıcılarını değil, aynı zamanda otel, alışveriş merkezi, kafe, ofis ve kamu kurumları gibi misafir internet erişimi sunan tüm ticari ve kurumsal işletmeleri de kapsamaktadır.

Kanunun özünde yatan sorumluluk basittir: İnternet erişimi sağlayan her kuruluş, kullanıcılarının çevrimiçi faaliyetlerini kayıt altına almak ve bu kayıtları belirlenen süre boyunca güvenli bir şekilde saklamak zorundadır. BTK (Bilgi Teknolojileri ve İletişim Kurumu) tarafından yayınlanan düzenlemeler, hangi verilerin toplanacağını, ne kadar süreyle saklanacağını ve nasıl korunacağını detaylı olarak belirler. 2026 yılı itibarıyla, dijital denetim mekanizmalarının güçlendirilmesi ve KVKK ile uyumlu çalışma zorunluluğu, bu gereksinimleri daha da kritik hale getirmiştir.

Özellikle FortiGate, Sophos XG/XGS, MikroTik RouterOS, SonicWall NSa serisi gibi kurumsal güvenlik duvarları kullanan işletmeler, bu cihazlardan üretilen syslog kayıtlarını merkezi bir platformda toplayıp arşivlemek zorundadır. NextLog gibi bulut tabanlı loglama çözümleri, bu süreci otomatikleştirerek hem yasal uyumu hem de operasyonel verimliliği artırır.

BTK Log Saklama Süresi Kaç Yıl? Hangi Veriler Ne Kadar Süreyle Saklanır?

5651 sayılı yasanın 6. maddesi ve BTK'nın ilgili yönetmelikleri, erişim sağlayıcılarının kayıt tutma yükümlülüklerini açıkça tanımlar. 2024 ve 2025 yıllarında yapılan güncellemelerle birlikte 2026 standartlarına göre, trafik kayıtları ve erişim logları minimum 1 (bir) yıl süreyle saklanmalıdır. Ancak bu süre, soruşturma veya kovuşturma başlatıldığında uzayabilir; yetkili makamlar tarafından talep edildiğinde, ilgili kayıtlar derhal erişilebilir formatta sunulmalıdır.

Saklanması Zorunlu Log Türleri ve İçerikleri

• Erişim Kayıtları: Kullanıcının bağlandığı tarih ve saat (milisaniye hassasiyetinde zaman damgası), kaynak IP adresi, hedef IP adresi, kullanılan port numaraları, protokol türü (TCP/UDP), oturum süresi.
• Kimlik Doğrulama Verileri: Kullanıcı adı, MAC adresi, cihaz tanımlayıcıları, bağlantı noktası (switch port/SSID), kimlik doğrulama yöntemi (RADIUS, LDAP, SMS OTP).
• DNS Sorguları: Kullanıcının eriştiği alan adları, DNS sunucusu yanıtları, sorgu zamanı.
• URL ve İçerik Filtreleme Logları: Engellenen veya izin verilen web siteleri, kategori bilgileri, kullanıcı bazlı erişim politikası uygulamaları.
• Hotspot Kabul Kayıtları: Otel, AVM veya kamu alanlarında misafir WiFi kullanan kişilerin onay verdiği kullanım şartları, GSM doğrulaması, e-posta veya sosyal medya girişi kayıtları.

Özellikle otel sektöründe, Opera PMS, Elektraweb, Amonra gibi otel yönetim sistemleriyle entegre çalışan NextLog çözümleri, misafir bilgilerini (oda numarası, check-in/check-out tarihleri) otomatik olarak log kayıtlarıyla eşleştirerek BTK denetimlerinde aranılan "kullanıcı-zaman-IP" üçlüsünü eksiksiz sunar.

5651 Yasası ve KVKK Uyumu Nasıl Sağlanır? Kişisel Veri Koruma İlkeleri

5651 sayılı kanunun log saklama yükümlülüğü ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) arasında hassas bir denge kurulması gerekmektedir. Bir yandan yasal zorunluluk gereği kullanıcı verilerini toplamak ve saklamak zorunda olan işletmeler, öte yandan bu verileri KVKK'nın "veri minimizasyonu, amaç sınırlaması, güvenlik, saklama süresi sınırlaması" gibi temel ilkelerine uygun şekilde işlemek durumundadır.

KVKK Uyumlu Log Yönetimi İçin Kritik Adımlar

1. Aydınlatma Yükümlülüğü: Misafir WiFi veya kurumsal ağ kullanıcılarına, hangi verilerin toplandığı, ne amaçla işlendiği, ne kadar süre saklanacağı ve kimlere aktarılabileceği konusunda açık ve anlaşılır bilgilendirme yapılmalıdır. Otel lobisindeki hotspot giriş ekranında veya ofis WiFi bağlantı formunda KVKK aydınlatma metni mutlaka yer almalıdır.

2. Açık Rıza veya Hukuki Dayanak: 5651 uyumu için log toplama, "yasal yükümlülüğün yerine getirilmesi" hukuki sebebine dayanır ve açık rıza gerektirmez. Ancak, toplanan verilerin başka amaçlarla (pazarlama, analitik) kullanılması durumunda açık rıza alınması zorunludur.

3. Veri Güvenliği ve Şifreleme: Log kayıtları, yetkisiz erişime karşı korunmalıdır. NextLog gibi bulut tabanlı sistemler, AES-256 şifreleme, TLS 1.3 üzerinden güvenli veri transferi, rol tabanlı erişim kontrolü (RBAC), çift faktörlü kimlik doğrulama (2FA) gibi güvenlik katmanları sunar. Şirket içi sunucularda saklanan loglar için fiziksel güvenlik (kilitli sunucu odası, erişim kayıtları) ve ağ segmentasyonu (VLAN izolasyonu) kritik öneme sahiptir.

4. Saklama Süresi Sınırlaması: Yasal süre olan 1 yıl dolduğunda, loglar otomatik olarak silinmeli veya anonim hale getirilmelidir. Manuel silme işlemleri unutulabilir veya ertelenebilir; bu nedenle NextLog'un otomatik saklama süresi yönetimi ve periyodik temizleme özellikleri, KVKK uyumu açısından büyük avantaj sağlar.

5. Veri Sorumlusu Sicil Kaydı (VERBİS): Yıllık 1 milyondan fazla kişiye hizmet veren veya özel nitelikli kişisel veri işleyen kuruluşlar, Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yaptırmak zorundadır. Büyük otel zincirleri, AVM'ler ve kampüs ağları bu kategoriye girer.

Sektörel Uygulama Örnekleri: Otel, AVM, Ofis ve Kamu

Otel Sektörü: 200 odalı bir otel, günde ortalama 300-500 misafir cihazının WiFi bağlantısını yönetir. Opera PMS entegrasyonu sayesinde, her misafirin oda numarası ve kimlik bilgileri, hotspot giriş anında otomatik olarak log kaydıyla eşleştirilir. Check-out sonrası bile, misafirin internet kullanım kayıtları 1 yıl boyunca güvenli bir şekilde saklanır. Elektraweb veya Amonra kullanan oteller için de aynı entegrasyon süreci geçerlidir.

Alışveriş Merkezleri: Günlük 10.000+ ziyaretçiye ücretsiz WiFi sunan bir AVM, GSM tabanlı OTP (tek kullanımlık şifre) doğrulaması ile kullanıcı kimliğini teyit eder. Her oturum için kaynak IP, MAC adresi, bağlantı süresi ve erişilen web siteleri kaydedilir. SonicWall NSa serisi güvenlik duvarı üzerinden toplanan syslog kayıtları, NextLog bulut platformuna gerçek zamanlı olarak aktarılır.

Kurumsal Ofisler: 500 çalışanlı bir şirket, MikroTik RouterOS tabanlı ağ altyapısı kullanarak tüm internet trafiğini loglar. RADIUS sunucusu üzerinden kimlik doğrulaması yapılır ve her kullanıcının hangi saatte, hangi IP adresine, hangi protokol ile bağlandığı kaydedilir. Sophos XGS firewall ile entegre çalışan NextLog, URL filtreleme ve uygulama kontrolü loglarını da merkezi panelde sunar.

Kamu Kurumları: Belediye, hastane, üniversite gibi kamu kurumlarının misafir WiFi hizmetleri, 5651 ve KVKK'ya tam uyumlu olmak zorundadır. FortiGate serisi güvenlik duvarları, yüksek trafikli ortamlarda bile kesintisiz log üretimi sağlar. NextLog'un otomatik yedekleme ve coğrafi yedeklilik (geo-redundancy) özellikleri, veri kaybı riskini sıfıra indirir.

Log Saklama Yükümlülüğüne Uymamanın Cezai ve İdari Sonuçları

5651 sayılı kanunun 9. maddesine göre, erişim sağlayıcıların yükümlülüklerini yerine getirmemesi durumunda BTK tarafından idari para cezaları uygulanır. 2026 yılı güncel rakamlarıyla, log saklama yükümlülüğüne uymayan işletmelere 50.000 TL ile 500.000 TL arasında idari para cezası kesilebilir. Tekrarlanan ihlallerde bu tutar katlanarak artabilir ve hizmet durdurma yaptırımı da devreye girebilir.

KVKK ihlalleri ise ayrı bir ceza rejimine tabidir. Kişisel verilerin hukuka aykırı işlenmesi, yetersiz güvenlik önlemleri veya veri ihlali bildiriminin yapılmaması durumunda, Kişisel Verileri Koruma Kurulu (KVKK Kurulu) tarafından 2 milyon TL'ye kadar idari para cezası verilebilir. Ayrıca, veri ihlali sonucu zarar gören kişiler, tazminat davası açma hakkına sahiptir.

NextLog ile 5651 ve KVKK Uyumlu Log Yönetimi: Teknik Özellikler ve Avantajlar

NextLog, Türkiye'nin önde gelen bulut tabanlı 5651 loglama ve kurumsal hotspot çözümüdür. FortiGate, Sophos, MikroTik, SonicWall gibi tüm büyük güvenlik duvarı ve router markalarıyla syslog protokolü üzerinden sorunsuz entegrasyon sağlar. Otel sektörüne özel olarak Opera, Elektraweb ve Amonra PMS sistemleriyle API bazlı entegrasyon sunar.

Otomatik Yedekleme ve Coğrafi Yedeklilik

NextLog, gelen log kayıtlarını gerçek zamanlı olarak işler ve en az iki farklı coğrafi bölgede yedekler. Türkiye'deki veri merkezlerinde (İstanbul ve Ankara) tutulan veriler, AES-256 şifreleme ile korunur. Donanım arızası, doğal afet veya siber saldırı durumunda bile veri kaybı yaşanmaz; otomatik failover mekanizması devreye girer ve hizmet kesintisiz devam eder.

Milisaniye Hassasiyetinde Zaman Damgası ve NTP Senkronizasyonu

BTK denetimlerinde en sık karşılaşılan sorunlardan biri, log kayıtlarındaki zaman tutarsızlıklarıdır. NextLog, NTP (Network Time Protocol) sunucularıyla otomatik senkronizasyon yaparak tüm log girişlerine milisaniye hassasiyetinde UTC zaman damgası ekler. Bu sayede, farklı cihazlardan gelen loglar arasında zaman uyumsuzluğu yaşanmaz ve adli soruşturmalarda delil değeri korunur.

Rol Tabanlı Erişim Kontrolü ve Denetim İzi

KVKK'nın "veri güvenliği" ilkesi gereği, log kayıtlarına erişim sıkı bir şekilde kontrol edilmelidir. NextLog'da rol tabanlı erişim kontrolü (RBAC) sayesinde, BT yöneticisi, hukuk müşaviri, otel müdürü gibi farklı kullanıcı gruplarına farklı yetki seviyeleri tanımlanabilir. Her kullanıcı girişi, log sorgusu ve rapor oluşturma işlemi ayrıca loglanır; böylece "kim, ne zaman, hangi veriye erişti" sorusunun cevabı her zaman mevcuttur.

Otomatik Saklama Süresi Yönetimi ve Veri İmhası

NextLog, her log kaydının oluşturulma tarihini takip eder ve yasal saklama süresi (1 yıl) dolduğunda otomatik olarak silme işlemi başlatır. Bu süreç, KVKK'nın "saklama süresi sınırlaması" ilkesine tam uyumludur. İşletme yöneticileri, manuel müdahale gerektirmeden yasal uyumu sürdürür; unutulan veya ertelenen silme işlemleri nedeniyle KVKK ihlali riski ortadan kalkar.

Gelişmiş Arama, Filtreleme ve Raporlama

BTK veya kolluk kuvvetlerinden gelen resmi taleplerde, belirli bir IP adresine, MAC adresine veya zaman aralığına ait kayıtların hızla bulunması gerekir. NextLog'un gelişmiş arama motoru, IP adresi, kullanıcı adı, MAC adresi, zaman aralığı, hedef domain, protokol türü gibi onlarca kritere göre saniyeler içinde filtreleme yapar. Bulunan kayıtlar, PDF veya Excel formatında dışa aktarılabilir ve dijital imza ile güvenli hale getirilebilir.

Sık Sorulan Sorular: 5651, BTK Log Saklama ve KVKK Uyumu

5651 yasası sadece büyük internet sağlayıcılarını mı kapsar?

Hayır. 5651 sayılı kanun, internet erişimi sunan tüm ticari ve kurumsal kuruluşları kapsar. Otel, kafe, restoran, AVM, ofis, kamu kurumu gibi misafir veya çalışan WiFi hizmeti veren her işletme, log saklama yükümlülüğüne tabidir. İşletme büyüklüğü veya kullanıcı sayısı fark etmez; yasal sorumluluk aynıdır.

BTK log saklama süresi 2026'da değişti mi?

Hayır, temel saklama süresi değişmedi. Erişim logları, kimlik doğrulama kayıtları ve DNS sorguları minimum 1 yıl süreyle saklanmalıdır. Ancak, KVKK ve veri güvenliği düzenlemelerindeki güncellemeler nedeniyle, log yönetimi süreçlerinin daha sıkı denetlenmesi ve güvenlik önlemlerinin artırılması beklenmektedir.

KVKK aydınlatma metni hotspot ekranında nasıl gösterilmeli?

Hotspot giriş ekranında, kullanıcıya bağlanmadan önce açık, anlaşılır ve erişilebilir bir aydınlatma metni sunulmalıdır. Bu metin, hangi verilerin toplandığını (IP, MAC, erişim zamanı, ziyaret edilen siteler), ne amaçla