5651 Logları KVKK'ya Aykırı Olmadan Nasıl Tutulur? Kişisel Veri İçeren Logların Yönetimi
5651 loglarını KVKK'ya aykırı olmadan saklamak için iki yükümlülüğü tek bir saklama ve imha politikasında birleştirmeniz gerekir: log türüne göre süre belirleyin, kişisel verilere erişimi rol bazlı maskelemeyle sınırlayın, süre dolunca imhayı tutanakla kayıt altına alın ve loglar için değişmezliği koruyun.
5651 logları neden KVKK kapsamına girer?
5651 logları doğası gereği kişisel veri içerir: IP adresleri, telefon numaraları ve kimlik bilgileri. Bu yüzden 5651'e uyarken KVKK'yı ihlal etmek mümkündür, tersi de geçerlidir. Loglamayı yasal zorunluluk olarak yapmak, verinin her amaçla, her sürede ve herkes tarafından erişilebilir biçimde tutulabileceği anlamına gelmez.
Pratikte üç risk öne çıkar: gereğinden geniş erişim, birbirini tutmayan saklama süreleri ve imhanın kanıtlanamaması. Aşağıdaki bölümler bu üç riski sırayla ele alır.
Hangi çelişki en sık yaşanır?
En sık görülen çelişki, ayrı araçların farklı süreler uygulamasıdır. Ayrı bir loglama ürünü ile ayrı bir KVKK aracı kullanan işletmelerde, loglama aracı logları 5 yıl saklarken KVKK aracı 2 yılda imha isteyebilir. Hangisinin doğru olduğu belli olmaz ve iki sistem birbirini bozar.
Çözüm, saklama ve imhayı aynı politikanın iki yüzü olarak yönetmektir. LogSpot KVKK ve Veri Yönetimi modülü bu yaklaşımı benimser: saklama ve imha tek politikadan yürüdüğü için çelişki oluşamaz. Log saklama sürelerinin kendisi için 5651 kapsamında ağ loglarının kaç yıl saklanacağı yazısına bakabilirsiniz.
Adım adım nasıl bir saklama düzeni kurulur?
Düzen, veriyi envanterleyip her veri tipine bir süre ve bir sahip atamakla başlar. Aşağıdaki sıra, küçük bir işletmeden kuruma kadar uygulanabilir.
- Envanter çıkarın: Hangi logda IP, MAC, telefon ve kimlik bilgisi olduğunu listeleyin.
- Süreyi doğrulayın: 5651 loglarının süresini 5651 sayılı Kanun ve ilgili yönetmelikten teyit edin; KVKK yönetmeliği bu süreyi belirtmez.
- Veri tipine göre politika yazın: Her veri tipi için saklama süresi ve imha yöntemi tanımlayın.
- Erişimi daraltın: Rol bazlı maskeleme ile yalnız yetkili kişi açık veriyi görsün.
- Periyodik imha planlayın: İmha aralığını politikaya yazın ve her imhayı tutanakla kaydedin.
- Kaydı saklayın: İmha kayıtlarını gerekli süre boyunca muhafaza edin.
Maskeleme ve erişim nasıl yönetilir?
Rol bazlı maskeleme, aynı kaydı farklı yetkideki kişilere farklı ayrıntıda göstermektir. Destek ekibi bir bağlantı sorununu çözerken telefon numarasının yalnız bir kısmını görür; tam veriye yalnızca yetkili kişi veya resmî talep süreci erişir. LogSpot KVKK modülü bu amaçla rol bazlı maskeleme sunar.
Maskeli örnek: telefon 05** *** ** 42, kimlik numarası *********01. Belgelerde ve ekran görüntülerinde gerçek kişi verisi yerine bu tür maskeli örnekler kullanın.
Kimliğin loga nereden bağlandığını bilmek de önemlidir: Kimlik Çözümleme ve IP-MAC rehberi, IP'nin belirli bir anda kimde olduğunu nasıl bulduğunuzu açıklar. Bu eşleme yetkiyle sınırlanmalıdır.
İmha nasıl yapılır ve kanıtlanır?
KVKK'nın silme, yok etme ve anonim hale getirme yönetmeliğine göre işleme şartları ortadan kalkınca veri silinmeli, yok edilmeli veya anonim hale getirilmelidir. Saklama ve imha politikası olan veri sorumlusunda periyodik imha aralığı 6 ayı geçemez; imha işlemlerinin kayıtları en az 3 yıl tutulur.
Yönetmeliğe göre politikanın varlığı, verinin hukuka uygun saklandığını tek başına göstermez. Bu nedenle uygulamanın da belgelenmesi gerekir. Aşağıdaki tablo, bir politikada bulunması gereken öğeleri özetler.
| Öğe | Ne yazılmalı? |
|---|---|
| Veri tipi | IP, telefon, kimlik, MAC gibi kategoriler |
| Saklama süresi | Mevzuattan doğrulanmış süre |
| Erişim rolü | Kim hangi ayrıntıyı görür |
| İmha aralığı | 6 ayı aşmayan periyot |
| İmha kaydı | Tutanak, en az 3 yıl muhafaza |
Bütünlük tarafında 5651 imzalama ve arşivleme motoru logları hash zinciriyle mühürler; KamuSM zaman damgası ile imzalanır. Süre dolduğunda imha, politika ve tutanak üzerinden yürütülür.
Kurumlar ve yerel saklama için neye dikkat edilir?
Kamu kurumlarında loglar kurumun kendi sunucusunda, at-rest şifreli tutulabilir ve bulut zorunluluğu yoktur; bu, veri egemenliğinin şartnameye yazılmasını kolaylaştırır. Ayrıntılar için Kamu ve Belediyeler çözümü sayfasına bakın. Politikanızı kurmadan önce demo talebi ile kendi senaryonuzu konuşabilirsiniz.
Sık sorulan sorular
5651 logu tutmak KVKK'ya aykırı mıdır?
Tutmak tek başına aykırı değildir; ancak erişim, süre ve imha kontrolsüzse risk doğar. Önemli olan, saklamanın bir politikaya bağlanması ve uygulamanın belgelenmesidir. Hukuki değerlendirme için uzmana danışın.
Saklama süresi dolan loglar ne olur?
Süre dolunca veri silinir, yok edilir veya anonim hale getirilir. İmha tutanakla kaydedilir ve KVKK yönetmeliğine göre bu kayıtlar en az 3 yıl muhafaza edilir.
Maskeleme loglara erişimi engeller mi?
Hayır, erişimi yetkiye göre ayrıştırır. Çoğu kullanıcı maskeli veriyi görür; açık veriye yalnız yetkili roller veya resmî talep süreci erişir.
Kaynaklar: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve KVKK Kişisel Veri Saklama ve İmha Politikası.
C.F.