5651 sayılı Kanun ve yer sağlayıcı yükümlülükleri: genel çerçeve

Kanunu okumadan önce rolünüzü tanımlayın

5651 sayılı Kanun, internet ortamındaki yayınlarla ilgili farklı aktörlere farklı görevler yükler: içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı bunların başlıcalarıdır. Bir topluluk platformu kuran işletme için ilk iş, kendi faaliyetinin bu rollerden hangisine ya da hangilerine denk düştüğünü hukuk danışmanıyla birlikte belirlemektir. Kullanıcıların içerik ürettiği, işletmenin ise bu içeriği barındırıp yayımladığı bir yapı, çoğu değerlendirmede yer sağlayıcılık başlığı altında ele alınır; ancak işletme kendi adına içerik de yayımlıyorsa o içerik bakımından içerik sağlayıcı da sayılabilir.

Rol tanımı akademik bir ayrıntı değildir. Hangi kayıtların tutulacağı, bildirimlere nasıl yanıt verileceği ve hangi bilgilerin kamuya açık olması gerektiği bu tanıma göre şekillenir. 5651 uyumlu sosyal platform hedefleyen bir ekip, yazılım gereksinim listesini kanunun genel mantığından türetmeli, madde numarası ezberinden değil.

Yer sağlayıcının genel yükümlülükleri

Genel çerçevede yer sağlayıcıdan beklenen, barındırdığı içeriği önceden kontrol etmesi ya da hukuka aykırı bir faaliyetin olup olmadığını sürekli araştırması değildir. Beklenen, hukuka aykırı içerikten usulüne uygun biçimde haberdar edildiğinde o içeriği yayından kaldırmak ya da erişimi engellemek, ayrıca yer sağladığı hizmetlere ilişkin trafik bilgisini mevzuatın öngördüğü süre ve koşullarla saklamaktır. Bu iki görev, yazılımın iki temel modülüne karşılık gelir: içerik kararları ve trafik kaydı.

Bunlara ek olarak işletmenin kendisine ulaşılabilir olması, kim olduğunu ve iletişim bilgilerini görünür biçimde paylaşması da beklenir. Takma adlı bir topluluk platformunda kullanıcılar gizlenir; işletme gizlenmez. Künye ya da iletişim sayfası bu nedenle platformun vazgeçilmez parçasıdır.

Sosyal ağ niteliği taşıyan ve belirli bir kullanıcı ölçeğine ulaşan platformlar için mevzuatta ayrıca temsilci atama, raporlama ve başvurulara yanıt verme gibi ek yükümlülükler de bulunabilir. Bu eşiklerin ve yükümlülüklerin güncel hâli mutlaka hukuk danışmanıyla teyit edilmelidir.

Trafik bilgisi ne demek, ne demek değil?

Trafik bilgisi, kullanıcının yazdığı içerik değil, o içeriğe ve oturuma eşlik eden teknik izdir: hangi hesabın, hangi IP adresi ve kaynak port üzerinden, hangi zaman diliminde bağlandığı ve hangi işlemi yaptığı gibi bilgiler. Paylaşımlı IP kullanımı yaygın olduğu için yalnız IP adresini kaydetmek çoğu zaman bir kişiyi belirlemeye yetmez; kaynak port ve hassas zaman damgası bu yüzden önemlidir.

Trafik bilgisinin ne olmadığını bilmek de en az bunu bilmek kadar önemlidir. Bu kayıtlar pazarlama, kullanıcı profili çıkarma ya da reklam hedefleme için kullanılmamalıdır. Yasal saklama amacıyla tutulan veriyi başka amaçla işlemek, KVKK açısından da ayrı bir sorun doğurur. Bu yüzden trafik kayıtlarını ürün analitiğinden fiziksel ve mantıksal olarak ayırmak, en sağlam başlangıç noktasıdır.

Trafik kaydına kimlerin erişebileceği de en baştan sınırlanmalıdır. Bu kayıtlar olağan ürün geliştirme sürecinde hiç görülmemeli, yalnız yetkili rollerce, gerekçeyle ve denetim izine yazılarak açılmalıdır.

İçerik bildirimleri için çalışan bir akış

Bir bildirim geldiğinde neyin hukuka aykırı olduğuna işletme kendi başına karar vermek zorunda kalabilir; ama çoğu zaman bildirim bir mahkeme kararı, bir idari karar ya da kişinin kendi başvurusu biçiminde gelir. Her biri farklı bir akış ister. Yazılımda bu yüzden bildirim türlerini ayıran, her birine dosya numarası, ilgili içerik, son tarih ve karar alanı açan bir kayıt ekranı bulunmalıdır.

Kuytuna demosunda bu ekran “İçerik kaldırma ve erişim engeli kararları” adıyla ayrı bir modüldür. Karar uygulandığında içerik kamusal görünümden çekilir, ama sürüm geçmişinde ve karar kaydında saklanır. Böylece kararın ne zaman, kimin onayıyla ve hangi içeriğe uygulandığı sonradan gösterilebilir. Karar kalkarsa içerik aynı kayıt üzerinden geri yüklenebilir; yeni bir kopya oluşturulmaz.

Yazılım gereksinimlerine çeviri

Kanunun genel mantığını yazılım diline çevirdiğimizde ortaya çıkan liste aşağı yukarı şöyledir: her oturum açılışında ve önemli işlemlerde IP, kaynak port, zaman damgası ve cihaz bilgisinin kaydı; bu kayıtların değiştirilemez biçimde saklanması; saklama süresinin yönetim panelinden ayarlanabilir olması; kayıtlara erişimin rol tabanlı olması ve her erişimin denetim izine yazılması; içerik kararları için ayrı bir modül; yetkili makam talepleri için teslim paketi üretebilen bir araç.

Bu listede bilinçli olarak gün sayısı yoktur. Saklama süreleri mevzuatta ve ikincil düzenlemelerde değişebilir; yazılımın görevi doğru süreyi tahmin etmek değil, işletmenin hukukçusunun belirlediği süreyi güvenilir biçimde uygulamaktır. Bu nedenle süreyi koda gömmek yerine yapılandırmaya koymak, yıllar içinde en çok zaman kazandıran karardır.

Sık görülen yanlış varsayımlar

“Biz küçük bir platformuz, bize uygulanmaz” varsayımı en riskli olanıdır; yükümlülüklerin bir kısmı ölçekten bağımsızdır. “Her şeyi sonsuza kadar saklarsak güvende oluruz” varsayımı da yanlıştır; gereğinden uzun saklama KVKK açısından ayrı bir ihlal doğurabilir. “Kullanıcıyı anonim tutarsak sorumluluk da ortadan kalkar” düşüncesi ise takma adlı platformun doğasını yanlış okur.

Bu metin bir demo içindir; gerçek kurulumda hukukçu onayı gerekir. Yazıda anlatılanlar genel bir çerçevedir ve hiçbir somut olay için hukuki tavsiye yerine geçmez. Briefikir, bu çerçevenin yazılım karşılığını kurmakta yardımcı olabilir; hukuki nitelendirme ise her zaman işletmenin kendi danışmanının işidir.

Bir başka yanılgı, yükümlülüklerin yalnız yazılımla karşılanabileceğini düşünmektir. Kayıt tutan bir altyapı gereklidir; ama bildirimi kimin karşılayacağı, kararı kimin vereceği ve kaydı kimin açabileceği insanlara ve yazılı süreçlere bağlıdır. Yazılım bu süreçleri hızlandırır ve belgeler, ama onların yerine geçmez.