WHOIS Gizliliği, GDPR ve KVKK

2018'e kadar bir alan adının sahibinin adı, adresi, telefonu ve e-postası herkesin görebileceği şekilde WHOIS'te yayımlanıyordu. Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) ile bu dönem sona erdi; bugün kişisel veriler kamuya açık sorgularda büyük ölçüde gizlenir.

2018 öncesi durum

ICANN'in registrar sözleşmeleri uzun yıllar boyunca registrant, idari ve teknik iletişim kişilerinin bilgilerinin WHOIS üzerinden kamuya açık yayımlanmasını şart koşuyordu. Bu açıklık; kötüye kullanım bildirimleri, marka hakkı takibi ve teknik sorunlarda iletişim için faydalıydı, ancak aynı zamanda e-posta adreslerinin spam listelerine girmesine, ev adreslerinin ifşa olmasına ve sosyal mühendislik saldırılarına zemin hazırlıyordu. Bu yüzden kişisel verilerini korumak isteyen kullanıcılar privacy/proxy hizmetlerine yöneldi.

Privacy ve proxy hizmetleri

Bu iki kavram sık karıştırılır:

• Privacy hizmeti: Alan adı sizin adınıza kayıtlıdır, ancak WHOIS/RDAP'ta iletişim bilgileriniz yerine hizmet sağlayıcının bilgileri gösterilir.
• Proxy hizmeti: Alan adı kayıtlarda hizmet sağlayıcının adına görünür ve sağlayıcı alan adının kullanımını size lisanslar. Hukuki açıdan kayıtlı sahip proxy şirketidir.

Her iki durumda da sağlayıcı, gelen e-postaları genellikle size iletir ve belirli koşullarda (ör. mahkeme kararı, kanıtlanmış kötüye kullanım) gerçek bilgilerinizi açıklayabilir. Proxy hizmetlerinde mülkiyet uyuşmazlıklarında ek risk olabileceği için hizmet koşullarını okumak önemlidir.

GDPR ve Temporary Specification

GDPR 25 Mayıs 2018'de uygulanmaya başladı. Kişisel verilerin herhangi bir sınırlama olmadan yayımlanması tüzükle bağdaşmadığı için ICANN, Mayıs 2018'de Temporary Specification for gTLD Registration Data ("Temp Spec") adlı geçici bir düzenleme kabul etti. Temp Spec'in ana hükümleri şunlardı:

• Kişisel veriler kamuya açık WHOIS'te gizlenir ("REDACTED FOR PRIVACY" vb.).
• Kayıt sahibine e-posta ile ulaşmak için anonimleştirilmiş bir e-posta adresi veya bir web formu sunulur.
• Meşru amacı olan üçüncü tarafların gizlenmiş verilere erişim talep edebileceği bir süreç bulunur.

Uygulamada registrar'ların çoğu bu gizlemeyi yalnızca AB'deki kayıt sahipleriyle sınırlamadı, tüm kayıtlara uyguladı. Temp Spec'in ardından ICANN topluluğu EPDP (Expedited Policy Development Process) ile kalıcı kuralları geliştirdi; bu süreçten çıkan Registration Data Policy, gTLD kayıt verilerinin toplanması, aktarılması ve yayımlanması için bugün geçerli çerçeveyi oluşturur. Gizlenmiş verilere erişim taleplerini kolaylaştırmak için ICANN ayrıca RDRS (Registration Data Request Service) adlı bir talep sistemi işletmektedir.

RDAP, bu ihtiyaçlara teknik olarak daha uygundur: kimliği doğrulanmış kullanıcılara farklı veri gösterebilir ve gizlenen alanları RFC 9537 ile tanımlanan redacted uzantısıyla makine tarafından okunabilir biçimde işaretleyebilir.

Hâlâ kamuya açık olan bilgiler

Gizleme, teknik ve operasyonel verileri kapsamaz. Bir gTLD alan adı için genellikle şunları görebilirsiniz:

• Alan adı, registry alan adı kimliği
• Registrar adı, IANA ID'si ve kötüye kullanım (abuse) iletişim bilgileri
• Oluşturma, güncelleme ve bitiş tarihleri
• EPP durum kodları
• Nameserver'lar ve DNSSEC durumu
• Çoğu durumda kayıt sahibinin ülkesi ve il/eyalet bilgisi; kayıt sahibi bir şirketse bazen kuruluş adı

Kuruluş adının görünüp görünmeyeceği registrar'a ve kayıt sahibinin tercihine göre değişebilir. Ayrıca alan adına ait DNS kayıtları (MX, TXT, SPF/DMARC vb.) her zaman herkese açıktır ve kayıt verisinden bağımsızdır.

Türkiye'de KVKK açısından

Türkiye'de kişisel verilerin işlenmesi 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile düzenlenir. KVKK; hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaçlar için işleme, amaçla sınırlı ve ölçülü olma gibi ilkeler getirir. Alan adı bağlamında bunun birkaç pratik sonucu vardır:

• .tr alan adları: ICANN politikaları değil, BTK'nın düzenlemeleri ve TRABİS kuralları geçerlidir. Hangi verilerin kamuya açık sorgularda gösterileceğini bu kurallar belirler.
• Türkiye'deki kayıt sahipleri ve gTLD'ler: Bir .com alan adı kaydeden kişinin verileri hem registrar'ın tabi olduğu kurallar hem de ilgili veri koruma mevzuatı çerçevesinde işlenir. Registrar'ın aydınlatma metni, verilerinizin nerede ve hangi amaçla işlendiğini açıklamalıdır.
• Veri toplayan servisler: WHOIS/RDAP sonuçlarını toplu olarak çekip saklayan, geçmiş kayıt arşivi tutan veya kişisel verileri yeniden yayımlayan bir servis işletiyorsanız, bu faaliyet KVKK ve GDPR açısından ayrıca değerlendirilmelidir.

Bu sayfa genel bilgilendirme amaçlıdır, hukuki görüş değildir. Somut bir durum için bir hukuk danışmanına başvurmanız önerilir.

Bu site sorgularınızı saklar mı?

Hayır. bnc7.dev üzerindeki sorgu aracı yaptığınız sorguları saklamaz ve loglamaz. Sorgulanan alan adının kayıt verisi ilgili registry ve registrar kaynağından anlık olarak alınır; yalnızca aynı sorgu kısa süre içinde tekrarlanırsa birkaç dakikalığına bellekte tutulur.

Sorgu sonucundaki "kayıt sahibi" satırı ne anlatır?

bnc7.dev, kaynak yayınlasa bile bir kişinin adını, adresini, telefonunu ve e-posta adresini göstermez; bu bilgiler ham veri görünümünde de maskelenir. Bunun yerine kayıt sahibi satırında aşağıdaki durumlardan biri ve nedeni gösterilir:

• kurum: Kayıt bir şirket veya kurum adına yapılmış ve kurum adı yayınlanıyor. Kurum adı kişisel veri sayılmadığı için gösterilir; kişi adı ve iletişim bilgileri ise çoğunlukla yine gizlidir.
• gizlilik servisi: Alan adı "Domains By Proxy", "Withheld for Privacy" gibi bir proxy servisi üzerinden kayıtlı. Yayınlanan bilgiler gerçek sahibe değil servise aittir; sahibe ancak bu servis aracılığıyla ulaşılabilir.
• gizli: Registry veya registrar kişisel verileri maskelemiş. RDAP yanıtında RFC 9537'ye göre hangi alanların neden gizlendiği belirtilmişse, kaynağın gerekçesi de gösterilir. .tr alan adlarında bu durum genellikle kayıt sahibinin gizleme talebinden kaynaklanır.
• kişisel veri: Kayıt sahibi bir kişi gibi görünüyor ve kaynak bilgiyi açık yayınlıyor; ancak bnc7.dev bu bilgiyi kendi sayfasında tekrar yayınlamaz.
• yayınlanmıyor: Kayıt sunucusu kayıt sahibi bilgisini hiç yayınlamıyor (ör. .de) ya da bilgi yalnızca registrar'da tutuluyor ve registrar'a o an ulaşılamadı.

.com ve .net gibi "thin" registry'lerde kayıt sahibi bilgisi registry'de değil registrar'da tutulur. Araç bu nedenle registry yanıtındaki bağlantıyı izleyerek registrar'ın RDAP sunucusunu da sorgular. Kaynak satırında iki sunucu birlikte görünüyorsa bilgi registrar'dan gelmiştir.

Sık Sorulan Sorular

Artık ayrı bir privacy hizmetine gerek var mı?

gTLD'lerde varsayılan gizleme çoğu durumda yeterlidir. Ancak kuruluş adı gibi bazı alanlar görünebilir ve ccTLD'lerde kurallar farklıdır. Ek koruma istiyorsanız registrar'ınızın sunduğu seçenekleri inceleyin.

Gizlilik ayarları transferi engeller mi?

Genellikle hayır; transfer, auth kodu ile yetkilendirilir. Ayrıntılar için domain transferi ve EPP kodu sayfasına bakın.