Sunucu günlüğündeki bir IP adresi
Sunucu erişim günlükleri internet altyapısının temel katmanını oluşturur ve bir web sunucusunun işlediği her dosya isteğini kaydeder. Bu düz metin dosyalarının her satırında, isteği yapan cihazın IP adresi mutlaka yer alır.
Bu adresler, yanlarında hiçbir ad ya da e-posta adresi bulunmayan sayısal ya da alfanümerik bir diziden ibaret olsalar da, günümüzün gizlilik düzenlemeleri onları her yerde kişisel veri sayar. Görünüşte anonim bir sayı dizisinin neden bu kadar hukuki ağırlık taşıdığını anlamak, internette bir sitesi olan herkes için çok önemlidir.
Bir sayı neden kişisel veri sayılır
Bu sınıflandırma, kimliğin teorik olarak belirlenebilir olmasından kaynaklanır. Site sahibi tek başına bir IP adresini belirli bir kişiyle ilişkilendiremez; ancak o adresi atayan internet servis sağlayıcısının elinde kesin fatura kayıtları vardır.
Ceza soruşturması gibi belirli hukuki durumlarda bu iki veri kümesi birleştirilerek ekranın arkasındaki kişi ortaya çıkarılabilir. Bu belirlenebilirlik olasılığı bulunduğundan hukuk, IP adresini sunucu günlüğüne düştüğü andan itibaren kişisel veri sayar; dikkatle işlenmesini ve saklanmasının sıkı biçimde sınırlanmasını şart koşar.
Kısaltılmış bir adresi hukuken farklı bir şey yapan da aynı mantıktır. Son bölümü silmek geriye bir bağlantı değil, bir adres aralığı bırakır; bir aralık ise sağlayıcı iş birliği yapsa bile tek bir aboneye geri götürülemez.
Sunucu günlüğünün görevi
Bir erişim günlüğü tutmak, sunucunun güvenli çalışması için teknik olarak vazgeçilmezdir. Sistem yöneticileri kaba kuvvet saldırılarını tespit etmek, kötü niyetli trafik artışlarını fark etmek ve kritik yönlendirme hatalarını gidermek için bu kayıtlara dayanır.
Hangi IP adreslerinin sunucuyu isteklerle boğduğu görülemezse, hizmet dışı bırakma saldırılarına karşı savunma imkânsız hâle gelir. Bu işletimsel zorunluluk, IP adreslerinin işlenmesinde meşru bir menfaat doğurur ve kayıt tutma mekanizmasının hukuki dayanağını oluşturur.
Saklama süresinin sınırı
Ancak bu meşru menfaat, süresiz saklamaya izin vermez. Güvenlik analizi ve hata teşhisi için duyulan acil ihtiyaç ortadan kalktığında, kişisel verileri saklamanın hukuki dayanağı da sona erer.
Bu nedenle tam IP adreslerini içeren sunucu günlüklerine, genellikle birkaç günden en fazla birkaç haftaya kadar uzanan katı saklama süreleri uygulanmalıdır.
Belirlenen bu sürenin sonunda günlükler otomatik olarak silinmeli ya da adresin kimlik belirleyen bölümleri çıkarılarak kalıcı biçimde anonimleştirilmelidir. Bu denge, veri koruma düzenlemelerinin çizdiği gizlilik sınırlarına sıkı sıkıya uyarken güçlü bir teknik güvenlik de sağlar.
Küçük bir site açısından pratik sonuç kısaca özetlenebilir. Sunucu günlüğü isteğe bağlı değildir, saklama süresi ise öyledir; bu süreyi belirleyen ayar da çoğu zaman sunucu yapılandırmasında şimdiye kadar kimsenin bakmadığı tek bir satırdır.