Otel ve Pansiyonlarda 5651 Loglama Zorunluluğu | NextLog

Konaklama Tesislerinde İnternet Erişimi: Yasal Sorumluluk ve Zorunluluklar

Otel, pansiyon, butik otel ve benzeri konaklama tesisleri, misafirlerine sundukları WiFi hizmeti ile birlikte 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun kapsamında ciddi yasal yükümlülükler altına girmektedir. Bu yükümlülükler, tesislerin büyüklüğünden veya yıldız sayısından bağımsız olarak tüm konaklama işletmelerini kapsar. Bir butik pansiyonun beş odasında sunduğu ücretsiz WiFi ile beş yıldızlı bir otelin kongre salonundaki kurumsal ağ, aynı yasal çerçeveye tabidir.

2007 yılında yürürlüğe giren ve 2014, 2020 yıllarında önemli değişiklikler geçiren 5651 sayılı kanun, internet erişimi sağlayan her türlü işletmeyi erişim sağlayıcı statüsüne sokar. Bu statü, konaklama tesislerinin misafir trafiğine dair belirli bilgileri kayıt altına almasını, bu kayıtları belirli sürelerle saklamasını ve yetkili makamların talebi halinde sunmasını zorunlu kılar. Kanunun 5. ve 6. maddeleri, bu yükümlülüklerin temelini oluşturur ve uygunsuzluk halinde 5.000 TL'den başlayan idari para cezaları öngörülmektedir.

Konaklama sektöründe yaşanan en büyük yanılgı, "misafir WiFi'ı ücretsiz olduğu için loglama gerekmez" veya "küçük işletmeyiz, bizi kapsamaz" şeklindeki yanlış kabullerdir. Oysa BTK denetimleri ve olası suç soruşturmaları sırasında log kayıtlarının sunulamaması, hem idari cezalara hem de cezai sorumluluk riskine yol açabilir. Bu yazıda, otel ve pansiyonların 5651 loglama zorunluluğunu nasıl yerine getireceğini, KVKK uyumluluğunu nasıl sağlayacağını ve hangi teknik altyapının gerekli olduğunu detaylı şekilde ele alacağız.

5651 Sayılı Kanun Kapsamında Hangi Bilgilerin Loglanması Zorunludur?

Erişim sağlayıcı konumundaki konaklama tesisleri, misafirlerinin internet kullanımına dair belirli trafik verilerini kayıt altına almak zorundadır. Bu kayıtlar, olası bir suç soruşturmasında hangi IP adresinin hangi tarih ve saatte hangi kullanıcı tarafından kullanıldığını tespit edebilmeyi amaçlar. Kanunun öngördüğü zorunlu log alanları şunlardır:

• Kullanıcı kimlik bilgileri: Misafirin adı, soyadı, TC kimlik numarası veya pasaport numarası. Otellerde bu bilgiler genellikle check-in sırasında PMS (Property Management System) yazılımlarına kaydedilir.
• Bağlantı tarihi ve saati: Misafirin WiFi ağına ilk bağlandığı an, dakika ve saniye hassasiyetinde zaman damgası (timestamp) ile kaydedilmelidir.
• Bağlantı süresi: Oturumun ne kadar sürdüğü veya oturumun sonlandığı zaman bilgisi.
• Atanan IP adresi: Misafirin cihazına DHCP tarafından verilen yerel veya genel IP adresi. Çoğu otelde NAT arkasında özel IP blokları kullanılır, bu nedenle hangi yerel IP'nin hangi misafire ait olduğunun kaydı kritiktir.
• Kullanılan port numarası: Özellikle çok sayıda cihazın aynı genel IP'yi paylaştığı NAT ortamlarında, port numarası bilgisi kullanıcıyı ayırt etmek için gereklidir.
• Cihaz MAC adresi: Bağlanan cihazın fiziksel ağ kartı adresi. Bu bilgi, aynı kullanıcının farklı cihazlarla yaptığı bağlantıları ayırt etmeye yarar.

Bu bilgilerin tamamı, NTP (Network Time Protocol) senkronize edilmiş bir sistem üzerinde, geriye dönük değiştirilemez şekilde saklanmalıdır. Zaman damgasının doğruluğu, adli süreçlerde kritik öneme sahiptir; bir saniye bile sapma, delil niteliğini zayıflatabilir. Bu nedenle, loglama sisteminin Türkiye Ulusal Zaman Enstitüsü (UME) veya BTK'nın belirlediği NTP sunucularıyla senkronize olması önerilir.

Saklama Süreleri ve Yasal Çerçeve

5651 sayılı kanunun 6. maddesi, trafik bilgilerinin en az bir yıl, en fazla iki yıl süreyle saklanmasını zorunlu kılar. BTK, bu süreyi belirlemede yetkilidir ve mevcut düzenlemeler uyarınca bir yıllık saklama süresi standart uygulamadır. Ancak tesisler, kendi iç politikaları gereği bu süreyi iki yıla kadar uzatabilir. Önemli olan, belirlenen süre boyunca kayıtların bütünlüğünün ve erişilebilirliğinin garanti altında olmasıdır.

Saklama süresi dolduğunda, kayıtların güvenli şekilde imha edilmesi KVKK'nın 7. maddesi (veri minimizasyonu) gereğidir. Gereksiz yere uzun süre saklanan loglar, veri ihlali riskini artırır ve KVKK uyumsuzluğuna yol açabilir. Bu nedenle, otomatik log rotasyonu ve imha politikası oluşturmak kritik önem taşır.

KVKK Uyumluluğu: Misafir Verilerinin Korunması ve Şeffaflık

5651 loglama zorunluluğu, aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile kesişir. Konaklama tesisleri, misafirlerinin internet kullanım verilerini işlerken KVKK'nın tüm ilkelerine uymak zorundadır. Bu iki yasal çerçeve arasında denge kurmak, hem yasal yükümlülüğü yerine getirmeyi hem de misafir mahremiyetini korumayı gerektirir.

Aydınlatma Yükümlülüğü

KVKK'nın 10. maddesi, veri sorumlusunun (otel/pansiyon işletmesi) veri sahibini (misafir) bilgilendirmesini zorunlu kılar. Misafirlere, WiFi hizmeti sunulmadan önce aşağıdaki hususlar açıkça bildirilmelidir:

• Hangi kişisel verilerin toplandığı (kimlik, IP, MAC adresi, bağlantı zamanı)
• Verilerin hangi amaçla işlendiği (5651 sayılı kanun gereği yasal yükümlülük)
• Verilerin ne kadar süreyle saklanacağı (bir yıl)
• Verilerin kimlere aktarılabileceği (yetkili makamlar, BTK, Emniyet, Savcılık)
• Veri sahibinin KVKK kapsamındaki hakları (erişim, düzeltme, silme talep etme)

Bu aydınlatma metni, WiFi giriş portalında (captive portal) açık ve anlaşılır bir dilde sunulmalı, misafirin kabul etmesi istenmelidir. Örneğin: "5651 sayılı kanun gereği internet erişim kayıtlarınız bir yıl süreyle saklanacak ve sadece yetkili makamlara sunulacaktır. Detaylı bilgi için KVKK Aydınlatma Metnimizi inceleyebilirsiniz." şeklinde bir bildirim, hem yasal zorunluluğu yerine getirir hem de misafirin bilgilendirilmiş onayını sağlar.

Veri Güvenliği ve Teknik Önlemler

KVKK'nın 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun güvenlik tedbirlerini almasını zorunlu kılar. Log kayıtları, hassas kişisel veri içerdiğinden, aşağıdaki teknik önlemler alınmalıdır:

• Şifreleme: Log veritabanı ve yedeklemeler, AES-256 gibi güçlü algoritmalarla şifrelenmelidir.
• Erişim kontrolü: Log kayıtlarına sadece yetkili personel (IT yöneticisi, genel müdür, hukuk danışmanı) erişebilmelidir. Rol tabanlı erişim kontrolü (RBAC) uygulanmalıdır.
• Denetim izi (audit log): Log kayıtlarına kimin, ne zaman, hangi amaçla eriştiği ayrı bir kayıt sisteminde tutulmalıdır.
• Fiziksel güvenlik: Log sunucusu veya bulut altyapısı, fiziksel ve siber saldırılara karşı korunmalıdır. Bulut tabanlı sistemlerde ISO 27001 sertifikalı veri merkezleri tercih edilmelidir.
• Yedekleme ve felaket kurtarma: Log kayıtları düzenli olarak yedeklenmeli, yedekler farklı coğrafi konumlarda saklanmalıdır. Yangın, sel veya siber saldırı gibi olağanüstü durumlarda veri kaybı yaşanmamalıdır.

Bu önlemler, hem KVKK uyumluluğunu sağlar hem de olası bir veri ihlali durumunda işletmenin sorumluluğunu azaltır. KVKK ihlallerinde, Kişisel Verileri Koruma Kurulu tarafından yüz binlerce liraya varan idari para cezaları uygulanabilmektedir.

Teknik Altyapı: Hangi Cihazlar ve Yazılımlar Gereklidir?

Otel ve pansiyonlarda 5651 loglama altyapısı, mevcut ağ mimarisine entegre edilebilir veya sıfırdan kurulabilir. Temel gereksinim, misafir WiFi trafiğini izleyebilen, kullanıcı kimlik doğrulaması yapabilen ve logları merkezi bir sistemde toplayabilen bir çözümdür. Aşağıdaki tablo, yaygın kullanılan donanım ve yazılım seçeneklerini karşılaştırmaktadır:

FortiGate ve Sophos ile Kurumsal Çözümler

FortiGate serisi güvenlik cihazları (örneğin FortiGate 60F veya 80F modelleri), otel ağlarında hem güvenlik duvarı hem de hotspot işlevini birleştirir. FortiAuthenticator ile entegre çalışan bu sistemler, misafir kimlik doğrulamasını RADIUS protokolü üzerinden yapar ve tüm bağlantı loglarını FortiAnalyzer veya harici syslog sunucusuna gönderir. Sophos XG serisi de benzer yeteneklere sahiptir; Sophos Central platformu üzerinden merkezi yönetim ve raporlama sunar.

Bu cihazların en büyük avantajı, derin paket incelemesi (DPI) ve uygulama kontrolü yetenekleridir. Örneğin, bir otelde torrent trafiği veya yasa dışı içerik erişimi engellenebilir, aynı zamanda bu girişimler de loglanır. Ancak bu sistemlerin kurulumu ve yönetimi, sertifikalı teknik personel gerektirir. FortiGate'in CLI (Command Line Interface) üzerinden hotspot yapılandırması, deneyimsiz kullanıcılar için zorlayıcı olabilir.

MikroTik: Maliyet-Etkin Alternatif

MikroTik RouterOS tabanlı cihazlar, küçük ve orta ölçekli konaklama tesislerinde yaygın kullanılır. Hotspot modülü, kullanıcı kimlik doğrulaması ve log kayıtlarını yerel olarak saklar. Ancak MikroTik'in log yönetimi, varsayılan olarak sınırlı disk alanına sahiptir ve loglar döngüsel olarak silinir. Bu nedenle, harici syslog sunucusuna log gönderimi yapılandırılması kritiktir.

Örnek bir MikroTik yapılandırması şöyle olabilir: Hotspot profili oluşturulur, kullanıcılar PMS sisteminden alınan oda numarası ve TC kimlik numarası ile giriş yapar, RADIUS sunucusu (yerel veya bulut tabanlı) kimlik doğrulaması yapar, her bağlantı syslog formatında NextLog5651 bulut platformuna veya yerel log sunucusuna gönderilir. MikroTik'in User Manager modülü, basit senaryolar için yeterli olsa da, KVKK uyumlu aydınlatma metni ve otomatik log rotasyonu gibi özellikler için ek geliştirme gerektirir.

Bulut Tabanlı NextLog5651 Platformu

NextLog5651, özellikle otel ve pansiyonlar için tasarlanmış bulut tabanlı bir 5651 loglama ve hotspot çözümüdür. Sistemin en büyük avantajı, sıfır donanım yatırımı ve otomatik PMS entegrasyonu sunmasıdır. Tesis, mevcut ağ altyapısına (FortiGate, MikroTik, Sophos, SonicWall veya herhangi bir firewall) NextLog5651'i entegre eder; tüm loglar otomatik olarak bulutta toplanır, şifrelenir ve BTK formatında raporlanır.

Platform, Opera PMS, Elektraweb, Amonra gibi yaygın otel yazılımlarıyla doğrudan entegre çalışır. Check-in sırasında misafir bilgileri otomatik olarak hotspot sistemine aktarılır, misafir oda numarası ve soyadı ile WiFi'a bağlanır. Captive portal üzerinde KVKK aydınlatma metni gösterilir, misafir onayı alınır. Tüm bu süreç, resepsiyon personelinin ek iş yükü olmadan otomatik gerçekleşir.

NextLog5651'in sunduğu diğer özellikler:

• Otomatik NTP senkronizasyonu: Zaman damgası doğruluğu garanti altındadır.
• Coğrafi yedekleme: Loglar, Türkiye'deki ISO 27001 sertifikalı veri merkezlerinde çoklu kopya olarak saklanır.
• BTK talep yönetimi: Yetkili makamlardan gelen log talepleri, platform üzerinden hızlıca cevaplanabilir; Excel veya PDF formatında rapor oluşturulur.
• Kullanıcı dostu arayüz: Teknik bilgi gerektirmeden, otel yöneticisi veya resepsiyon personeli sistemi yönetebilir.
• Aylık uyumluluk raporları: KVKK ve 5651 uyumluluğunu gösteren otomatik raporlar, denetimler için hazır tutulur.

PMS Entegrasyonu: Opera, Elektraweb ve Amonra ile Sorunsuz Çalışma

Konaklama tesislerinde misafir bilgileri, PMS (Property Management System) yazılımlarında merkezi olarak yönetilir. 5651 loglama sisteminin PMS ile entegrasyonu, hem operasyonel verimliliği artırır hem de veri tutarlılığını sağlar. Manuel veri girişi, hem zaman kaybına hem de hatalara yol açar; örneğin, resepsiyonun misafir adını yanlış yazması, log kayıtlarının kullanılamaz hale gelmesine neden olabilir.

Opera PMS Entegrasyonu

Oracle Hospitality'nin Opera PMS sistemi, dünya çapında binlerce otelde kullanılmaktadır. Opera'nın OHIP (Oracle Hospitality Integration Platform) API'si, NextLog5651 gibi üçüncü parti sistemlerin check-in/check-out verilerine erişmesine olanak tanır. Entegrasyon şu şekilde çalışır:

1. Misafir, resepsiyonda check-in yapar; Opera PMS'e adı, soyadı, TC kimlik numarası, oda numarası ve konaklama tarihleri girilir.
2. Opera, OHIP API üzerinden bu bilgileri NextLog5651'e gönderir (JSON veya XML formatında).
3. NextLog5651, misafir için otomatik bir hotspot kullanıcı hesabı oluşturur; kullanıcı adı oda numarası, şifre ise misafirin soyadı veya özel bir kod olabilir.
4. Misafir, odaya çıktığında WiFi ağına bağlanır, captive portal açılır, oda numarası ve şifre ile giriş yapar.
5. Bağlantı anında, misafirin kimlik bilgileri log kaydına işlenir; IP, MAC, zaman damgası otomatik eklenir.
6. Check-out sonrası, Opera PMS'den gelen bilgi ile hesap pasif hale getirilir, ancak log kayıtları bir yıl boyunca saklanır.

Elektraweb ve Amonra Entegrasyonu

Elektraweb ve Amonra, Türkiye'de yaygın kullanılan yerli PMS çözümleridir. Her iki sistem de REST API veya SOAP web servisleri üzerinden entegrasyon desteği sunar. NextLog5651, bu sistemlerle doğrudan veya middleware (ara yazılım) aracılığıyla entegre olabilir. Özellikle Elektraweb'in modüler yapısı, WiFi yönetimi eklentisinin kolayca devreye alınmasını sağlar.

Amonra PMS kullanan butik otellerde, entegrasyon