Misafir Wi-Fi (Hotspot) karşılama ekranında KVKK aydınlatma yükümlülüğü, açık rıza sınırları, yabancı misafir pasaport doğrulaması ve 5651 log saklama.
Hızlı Özet (TL;DR)
Fabrikalara, kurumsal ofislere, hastanelere, otellere veya kafelere gelen ziyaretçilere şirket içi ana Wi-Fi şifresini bir kağıda yazıp vermek, işletmeyi hem siber saldırılara hem de iki ayrı kanun kapsamında ağır idari para cezalarına açık hale getirir. Birincisi, 5651 sayılı İnternet Kanunu gereği misafirin internet erişimini kimlik doğrulamasıyla kayıt altına almak ve TÜBİTAK zaman damgasıyla 2 yıl saklamak zorunludur; ikincisi ise kimlik doğrulama ekranında (Captive Portal) toplanan T.C. Kimlik Numarası, ad-soyad ve cep telefonu verilerinin 6698 sayılı KVKK (Kişisel Verilerin Korunması Kanunu) kurallarına uygun olarak işlenmesi, aydınlatma metninin sunulması ve ticari ileti açık rızasının hizmet şartına bağlanmaması şarttır.
Misafir Wi-Fi (Hotspot) Ekranında 5651 ve KVKK Kesişimi
Birçok işletme misafir internetinde 5651 sayılı kanuna uyum sağlamak için SMS veya T.C. Kimlik doğrulamalı bir Hotspot sistemi kurmakta, ancak karşılama ekranındaki (Captive Portal) hukuki metinleri yanlış kurguladığı için Kişisel Verileri Koruma Kurumu (KVKK) denetimlerinde cezai yaptırımlarla karşılaşmaktadır.
1. Kanunlarda Açıkça Öngörülme (KVKK Madde 5/2-a ve 5/2-ç)
Misafirin internete bağlanabilmesi için alınan Ad, Soyad, T.C. Kimlik Numarası (veya Yabancı Pasaport/Telefon bilgisi), yerel IP adresi, MAC adresi ve bağlantı zamanı verileri, 5651 sayılı kanunun “Toplu Kullanım Sağlayıcıların Yükümlülükleri” uyarınca yasal bir zorunluluktur. Bu nedenle, sırf yasal loglama amacıyla bu verileri toplarken misafirden “Açık Rıza” alınmasına gerek yoktur; burada veri işleme şartı “Kanunlarda açıkça öngörülmesi” ve “Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi”dir. Ancak ziyaretçiye mutlaka KVKK Aydınlatma Metni gösterilmeli ve “Okudum, anladım” kutucuğu veya bilgilendirme katmanı sunulmalıdır.
2. Hizmetin Açık Rıza Şartına Bağlanması Yasağı (Kritik İhlal)
KVKK Kurul kararlarına göre yapılan en büyük hata; misafire ücretsiz Wi-Fi hizmeti verirken karşılama ekranında “Kampanya ve tanıtım SMS/e-postaları gönderilmesine açık rıza veriyorum” kutucuğunu zorunlu tutmaktır. Eğer ziyaretçi pazarlama izni vermeden internete bağlanamıyorsa, bu durum “Hizmetin açık rıza şartına bağlanması” (Özgür iradenin sakatlanması) sayılarak ağır idari para cezasına konu olur. Pazarlama/ticari ileti onay kutucuğu kesinlikle isteğe bağlı (seçimsiz) bırakılmalıdır.
Kurumsal Hotspot Sisteminin 4 Teknik Doğrulama ve Güvenlik Adımı
Hem siber güvenliği hem de 5651 ve KVKK uyumunu eksiksiz sağlayan kurumsal bir Hotspot mimarisi şu dört adımda çalışır:
- Karşılama Ekranı (Captive Portal) ve Katmanlı Aydınlatma: Ziyaretçi
Sirket_Misafir_WiFiağına bağlandığında telefon veya bilgisayar ekranında otomatik olarak SSL sertifikalı, kurumsal logolu ve çok dilli (Türkçe/İngilizce) giriş sayfası açılır. Sayfada KVKK Aydınlatma Metni bağlantısı yer alır. - Resmi Kimlik ve SMS OTP Doğrulaması:
- T.C. Vatandaşları İçin NVİ Sorgusu: Ziyaretçi T.C. Kimlik No, Ad, Soyad ve Doğum Yılı bilgilerini girer; güvenlik duvarı bu bilgileri İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri (NVİ / MERNİS) servisi üzerinden saniyeler içinde doğrular.
- Yabancı Misafirler ve Denetçiler İçin Pasaport / SMS / Sponsor Onayı: Fabrikayı ziyaret eden yabancı uyruklu mühendisler, müşteriler veya denetçiler T.C. Kimlik numarasına sahip olmadığından; uluslararası roaming cep telefonlarına gelen SMS OTP (Tek Kullanımlık Şifre), pasaport numarası kaydı veya şirket içindeki ev sahibi yöneticinin e-posta/SMS onayı (Sponsorlu Giriş) ile yasal kayıt oluşturularak internete çıkarılır.
- Bant Genişliği (QoS) ve Oturum Süresi Kısıtlaması: Bir misafirin yüksek boyutlu indirme yaparak fabrikanın ERP ve ses/görüntü (VoIP) trafiğini yavaşlatmasını önlemek için ziyaretçi başına hız sınırı (örneğin 10 Mbps Download / 5 Mbps Upload) ve günlük oturum süresi limiti tanımlanır.
- TÜBİTAK Zaman Damgalı 5651 İmzalama: Ziyaretçinin oturum açtığı saniyeden itibaren aldığı yerel IP, cihaz MAC adresi, kimlik doğrulama kaydı ve eriştiği hedef IP/port geçmişi
.logdosyası haline getirilir, SHA-256 özeti alınır ve TÜBİTAK Kamu SM Zaman Damgası ile mühürlenerek 2 yıl boyunca saklanır.
Misafir Doğrulama Yöntemlerinin Teknik ve Hukuki Karşılaştırması
İşletmelerin ziyaretçi profiline göre seçebileceği Hotspot kimlik doğrulama yöntemlerinin karşılaştırması aşağıdadır:
| Doğrulama Yöntemi | Kimler İçin Uygundur? | 5651 Yasal Geçerliliği | KVKK Uyum Gereksinimi | Operasyonel Maliyet ve Hız |
|---|---|---|---|---|
| T.C. Kimlik (NVİ / MERNİS) | Yerli ziyaretçiler, tedarikçiler ve taşeron personeller | Tam Uyumlu: Devlet veritabanından gerçek kişi teyidi yapar | Aydınlatma metni zorunlu; veriler şifreli log sunucusunda tutulur | Ücretsizdir: SMS kontör maliyeti yoktur, 1 saniyede doğrular |
| SMS OTP (Tek Kullanımlık Kod) | Tüm yerli ve yabancı cep telefonu sahipleri | Tam Uyumlu: GSM hattı sahipliği üzerinden resmi izlenebilirlik | Aydınlatma metni zorunlu; telefon numarası ticari amaçla kullanılamaz | SMS başı düşük operatör/paket maliyeti vardır, 5-10 saniye sürer |
| Yabancı Pasaport + SMS / Sponsor | Yurt dışından gelen yabancı müşteriler ve denetçiler | Tam Uyumlu: Pasaport/Roam GSM veya kurumsal sponsor kaydı tutar | İngilizce (GDPR/KVKK) aydınlatma metni sunulmalıdır | Yabancı ziyaretçilerin resepsiyonda beklemesini tamamen önler |
| Sabit Ortak Şifre (WPA2-PSK) | Hiçbir kurumsal ortam için uygun değildir | Yasal Değildir: Kimin hangi suçu işlediği tespit edilemez | Kişisel veri toplanmaz ancak siber suç sorumluluğu şirkette kalır | Ağ güvenliğini sıfırlar, şirket sunucularını tehlikeye atar |
Şirket İçi Ağdan ve Diğer Misafirlerden %100 İzolasyon
Yasal loglama yapmak tek başına siber güvenlik sağlamaz. Hotspot ağı, kurumsal Güvenlik Duvarı (Firewall) ve yönetilebilir switch’ler üzerinde tamamen ayrı bir Misafir VLAN’ına (örneğin VLAN 60) alınmalıdır. Böylece misafir ağına bağlanan bir cihazdan şirketin ERP sunucularına, muhasebe bilgisayarlarına veya üretimdeki CNC tezgahlarına erişim fiziksel ve mantıksal olarak tamamen kapatılır. Ayrıca şirket içi verilerin misafir ağı üzerinden dışarı sızdırılmasını önlemek için DLP Veri Güvenliği politikalarıyla tam entegrasyon sağlanır.
Fabrikanızda ve ofisinizde hem KVKK hem de 5651 sayılı kanuna %100 uyumlu, yabancı misafir destekli ve TÜBİTAK zaman damgalı Hotspot altyapısını kurmak için KVKK ve 5651 Yasal Loglama sayfamızdan uzman ekibimizle iletişime geçebilirsiniz.
Kaynaklar
- 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
Sıkça Sorulan Sorular
Misafir Wi-Fi ağından toplanan T.C. Kimlik ve telefon numaralarını kaç yıl saklamak zorundayız?
5651 sayılı kanun ve ilgili yönetmelik uyarınca toplu kullanım sağlayıcılar, IP/MAC dağıtım ve kimlik doğrulama loglarını zaman damgalı olarak 2 (iki) yıl boyunca saklamakla yükümlüdür. KVKK’nın “Veri saklama ve imha politikası” gereği, 2 yıllık yasal süre dolduğunda bu kayıtların sistemden otomatik veya periyodik olarak silinmesi/anonimleştirilmesi gerekir.
Şirket çalışanlarımız kendi şahsi cep telefonlarıyla misafir Wi-Fi ağına bağlandığında da loglanmalı mıdır?
Evet. Şirketin internet hattını kullanan her cihaz (misafir, taşeron veya personelin şahsi cep telefonu) 5651 kapsamında izlenebilir olmalıdır. Ancak şirket personeli her gün tekrar tekrar SMS kodu girmek yerine, Active Directory (LDAP / RADIUS) kullanıcı adı ve şifresiyle veya MAC adresi eşleştirmesiyle otomatik doğrulanarak loglanabilir.
Yabancı bir müşterimiz fabrikamıza geldiğinde Türk GSM hattı yoksa internete nasıl bağlanır?
Gelişmiş Hotspot karşılama ekranlarımızda “Foreign Guest / Yabancı Ziyaretçi” seçeneği bulunur. Yabancı misafir, uluslararası dolaşıma (Roaming) açık kendi ülke numarasına SMS alabilir veya toplantı yapacağı şirket yöneticisinin e-posta/cep telefonuna düşen tek tıkla “Sponsor Onayı” mekanizmasıyla saniyeler içinde güvenli ve kayıtlı olarak internete çıkabilir.