Kafede masaya yapıştırılmış bir Wi-Fi şifresi, otelde herkese aynı verilen bir parola, fabrikanın ziyaretçi salonunda yıllardır değişmeyen bir ağ adı. Bu yöntemler misafiri internete bağlar ama bir soruya cevap veremez: belirli bir tarih ve saatte ağınızdan internete çıkan cihazın arkasında kim vardı? Hotspot, yani karşılama sayfası üzerinden doğrulama, bu boşluğu kapatır. Ancak misafirden telefon numarası ya da kimlik bilgisi aldığınız anda kişisel veri işlemeye başlarsınız. Bu yazıda SMS ve T.C. kimlik numarasıyla doğrulamanın nasıl çalıştığını, 5651 kayıtlarıyla ilişkisini ve KVKK açısından nelere dikkat etmeniz gerektiğini anlatıyoruz. Kayıt yükümlülüğünün kendisi için 5651 log tutma rehberi yazımıza bakabilirsiniz.
Hotspot nasıl çalışır?
Misafir, açık ya da ortak şifreli kablosuz ağa bağlandığında internete hemen çıkamaz. Tarayıcısında bir karşılama sayfası (captive portal) açılır. Misafir burada kendini doğrular, kullanım koşullarını ve aydınlatma metnini görür; doğrulama başarılı olursa güvenlik duvarı o cihaza belirli bir süre için internet erişimi tanır.
Arka planda üç kayıt birbirine bağlanır:
- Cihaza verilen iç IP adresi ve MAC adresi, başlangıç ve bitiş zamanıyla
- Doğrulama sırasında kullanılan bilgi (telefon numarası ya da kimlik doğrulaması sonucu)
- Güvenlik duvarının o cihaz için ürettiği erişim kayıtları
5651 kapsamındaki kayıt yükümlülüğünün özü iç IP dağıtım kayıtlarıdır; hotspot bu kayıtları bir kişiyle ilişkilendirmeyi kolaylaştırır. Misafir doğrulamasının hangi yöntemle yapılacağı konusunda işletmenizin durumunu güncel mevzuata göre hukuk danışmanınızla değerlendirmenizi öneririz.
Doğrulama yöntemleri
SMS ile doğrulama
Misafir telefon numarasını girer, numaraya tek kullanımlık bir kod gönderilir, kod karşılama sayfasına yazılır. Yurt içi hatlar bir aboneye kayıtlı olduğu için doğrulama, gerektiğinde bir kişiyle ilişkilendirilebilir. Misafir açısından en tanıdık yöntemdir. Dikkat edilmesi gerekenler: SMS gönderim maliyeti, SMS sağlayıcısıyla yapılan sözleşme ve yurt dışı numaralarına kod gönderimi.
T.C. kimlik numarası ile doğrulama
Misafir T.C. kimlik numarası, ad, soyad ve doğum yılı bilgisini girer; bu bilgiler Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü’nün (NVİ) servisleri üzerinden doğrulanır. Telefonu yanında olmayan ya da SMS almakta sorun yaşayan misafirler için alternatif olur. Ancak daha fazla ve daha hassas kişisel veri işler. NVİ’nin doğrulama servislerinde 2025 yılında değişiklik yapıldığı ve kurumsal doğrulamanın Kimlik Paylaşım Sistemi (KPS) üzerinden yürütülmesinin öne çıktığı görülüyor. Kullandığınız hotspot yazılımının doğrulamayı hangi servis üzerinden, hangi koşullarla yaptığını sağlayıcınıza mutlaka sorun.
Yabancı misafirler ve diğer yöntemler
Yabancı misafirler için pasaport bilgisiyle kayıt, otellerde oda numarası ve soyadıyla giriş, kurumsal ziyaretçiler için resepsiyonda üretilen tek kullanımlık fiş gibi yöntemler kullanılabilir. Çalışanlar için ise misafir hotspot’u yerine Active Directory hesabıyla doğrulanan ayrı bir ağ daha doğru bir yaklaşımdır.
| Yöntem | Misafir için kolaylık | İşlenen veri | Dikkat |
|---|---|---|---|
| SMS | Yüksek | Telefon numarası | SMS maliyeti, yabancı numaralar |
| T.C. kimlik | Orta | Kimlik numarası, ad, soyad, doğum yılı | Daha hassas veri, doğrulama servisinin koşulları |
| Oda numarası / fiş | Yüksek | Konaklama ya da ziyaret kaydıyla ilişki | Resepsiyon kayıtlarıyla eşleşme |
KVKK ile ilişkisi
Hotspot, ziyaretçinin kişisel verisini işler: telefon numarası ya da kimlik bilgisi, cihazın MAC adresi, bağlantı zamanları ve erişim kayıtları. Bu nedenle kurulum teknik olduğu kadar bir veri koruma işidir.
Aydınlatma
Misafir, doğrulamadan önce hangi verilerinin, hangi amaçla, hangi hukuki sebebe dayanılarak işlendiğini, kimlerle paylaşılabileceğini ve haklarını öğrenebilmelidir. Uygulamada aydınlatma metni karşılama sayfasında, doğrulama adımından önce ve kolayca açılabilir biçimde sunulur. Metni hukuk danışmanınızla birlikte hazırlayın; hazır bir metni kopyalamak yerine işletmenizin gerçek veri akışını anlatmasına dikkat edin.
Açık rıza ile aydınlatmayı karıştırmayın
Aydınlatma, bilgilendirmedir. Açık rıza ise ayrı bir hukuki sebeptir ve yalnızca gerektiği durumlarda istenir. Kayıt yükümlülüğü için işlenen veri ile pazarlama amaçlı iletişim için alınacak onay aynı kutucukta birleştirilmemelidir. Misafirin internete bağlanabilmesi, kampanya mesajı almayı kabul etmesine bağlanmamalıdır. Bu ayrımın işletmenizde nasıl kurulacağını hukuk danışmanınızla netleştirin.
Veri minimizasyonu ve erişim
- Amaca yetecek kadar veri toplayın. SMS yeterliyse ek kimlik bilgisi istemeyin.
- Ziyaretçi kayıtlarına erişebilen kişileri sınırlayın ve erişimi kayıt altına alın.
- Saklama süresini güncel mevzuata göre belirleyin; süre dolduğunda silme ya da anonimleştirme sürecini işletin.
- Hotspot ya da SMS hizmetini bir dış sağlayıcıdan alıyorsanız verinin nerede tutulduğunu ve sözleşmedeki veri koruma hükümlerini kontrol edin.
Teknik tedbirlerin geneli için KVKK teknik tedbirler kontrol listesi yazımıza, süreç tarafı için ISO 27001 ve KVKK sayfamıza bakabilirsiniz.
Ağ tasarımı: misafiri ayırın
Doğrulama ne kadar iyi olursa olsun, misafir ağı şirket ağından ayrılmadıysa risk sürer. Misafir cihazları muhasebe sunucusunu, yazıcıları ya da kamera sistemini görmemelidir. Misafir ağını ayrı bir ağ bölümünde tutun, yalnızca internete çıkışa izin verin, bant genişliğini sınırlayın ve web filtrelemesi uygulayın. Güvenlik duvarı tarafında bu ayrım için FortiGate, WatchGuard ya da Ruijie kullanılabilir. Ruijie, bulut tabanlı karşılama sayfasını anahtar ve kablosuz ağla aynı yapıdan yönetmek isteyen oteller ve okullar için ayrıca değerlendirilebilir.
Misafir deneyimini de düşünün. Oturum süresi çok kısa tutulursa misafir gün içinde defalarca kod ister; çok uzun tutulursa cihaz başkasının eline geçtiğinde eski doğrulama geçerli kalır. Otelde konaklama süresi, kafede birkaç saat, fabrikanın ziyaretçi salonunda iş günü gibi senaryonuza uygun bir süre belirleyin. Aynı telefon numarasıyla bağlanabilecek cihaz sayısını da sınırlamak, bir kodun herkesle paylaşılmasını önler.
Misafir ağında şifreli trafiğin derinlemesine denetlenmesi, misafir cihazlarına sertifika yüklenemediği için genellikle uygun değildir. Bu konuyu SSL/TLS denetimi yazımızda anlattık.
Hangi yazılım?
FortiGate kullanan yapılarda Unna’nın kendi ürünü Unna Controller, SMS doğrulaması ve captive portal (karşılama sayfası) ile çalışan hotspot, markanıza özel karşılama sayfası ve KVKK uyumlu ziyaretçi kaydını, Kamu SM zaman damgasıyla imzalanan 5651 arşiviyle aynı platformda sunar. T.C. kimlik numarasıyla doğrulama ya da Windows üzerinde yerel kurulum isteyen FortiGate kullanıcıları için FortiLogger da bir seçenektir; iki ürünün farkını FortiLogger nedir yazımızda karşılaştırdık.
Unna ile misafir Wi-Fi
Önce misafirlerinizi ve ağınızı dinleriz: kimler bağlanıyor, yabancı misafir oranı ne, kaç lokasyonda misafir ağı var? Doğrulama yöntemini, karşılama sayfasını ve ağ ayrımını birlikte planlarız. Aydınlatma metnini hukuk danışmanınızın hazırladığı içerikle karşılama sayfasına yerleştirir, kayıtların imzalandığını ve sorgulanabildiğini sizinle birlikte test ederiz. Sonrasında SMS sağlayıcısı, imzalama ve kapasite tarafını düzenli olarak takip ederiz. Ayrıntılar için 5651 loglama sayfamıza bakabilir ya da bize yazabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Misafir doğrulama yöntemi, aydınlatma metninin içeriği, saklama süreleri ve yaptırımlar işletmenin türüne göre değişir ve mevzuat güncellenebilir. İşletmenizin durumunu güncel mevzuata göre hukuk danışmanınızla değerlendirmenizi öneririz.
