Yıllar boyunca herkes bir alan adının kime ait olduğunu sorgulayabiliyordu. Bir isim, bir adres, bir telefon numarası ve bir e-posta WHOIS adı verilen halka açık bir veritabanında yer alıyordu. Ardından AB'nin Genel Veri Koruma Tüzüğü (GDPR) yürürlüğe girdi ve bu verilerin büyük bir kısmı görünürden kayboldu. Bu yazı, GDPR WHOIS gizlemesini sade bir dille açıklıyor, İrlanda'nın Veri Koruma Komisyonu'nun (DPC) yaptırım açısından neden bu kadar önemli olduğunu inceliyor ve kendi alan adı bilgilerinizi korumaya yönelik pratik adımlarla sona eriyor.

Başlangıç noktası, Thank Your Robot tarafından yayımlanan ve WHOIS'in nasıl karardığını, İrlanda'nın DPC gizlilik yasasını, LinkedIn cezasını ve en büyük DPC cezalarını ele alan kaynaklı bir vaka dosyasıdır. Elimizdeki özet kısa olduğundan bu makale, söz konusu özetin adlandırdıklarına ve daha önce yayımladığımız haberlere bağlı kalıyor.

GDPR WHOIS'i nasıl kararttı

WHOIS açık bir dizin olarak inşa edilmişti. Bir alan adının kayıt sahibinin kimliğini ve iletişim bilgilerini listeler; bu bilgiler kayıt sahibi bir birey olduğunda GDPR kapsamında kişisel veri sayılır. GDPR yürürlüğe girmeden önceki döneme ait yorumlar iki yönlü bir hukuki soruna işaret ediyordu: veritabanı tasarımı gereği halka açıktı ve verileri kimin kontrol ettiği ve hangi hukuki temelde yayımlandığı konusunda sorular ortaya çıkmıştı.

2025 tarihli bir sektör analizinin belirttiği üzere pratik sonuç, çoğu kayıt kuruluşunun uyumluluk risklerinden kaçınmak için kayıt sahibi bilgilerini varsayılan olarak gizlemeye başlamasıdır. Tam kayıtlara erişim artık genellikle basit bir sorgulama yerine özel bir talep gerektiriyor.

Birçok site sahibinin gözden kaçırdığı bir ayrıntı var. Cloudflare'in topluluk forumundaki bir tartışma, kayıt defteri WHOIS sunucularının kendi ayarlarınızdan bağımsız olarak verileri gizleyebileceğini belirtiyor. Başka bir deyişle, halka açık olarak gördüğünüz şey birkaç katmana bağlı olabilir: kayıt defteri, kayıt kuruluşu ve kendi gizlilik tercihleriniz. Dolayısıyla gizleme her zaman kendi başınıza açıp kapattığınız bir şey değildir.

Bu değişiklik her yerde olumlu karşılanmadı. Siber güvenlik yorumcuları 2018'de açık WHOIS verilerinin kaybedilmesinin kötüye kullanım soruşturmalarını zorlaştıracağına dair endişeler dile getirdi. Çevrimiçi hesap verebilirlik ile kişisel gizlilik arasındaki bu gerilim hâlâ tartışmanın merkezinde.

İrlanda'nın DPC'si yaptırım açısından neden önemli

GDPR AB çapında bir yasadır, ancak yaptırım genellikle bir şirketin Avrupa merkezinin bulunduğu ülkedeki ulusal düzenleyici aracılığıyla yürütülür. Birçok büyük teknoloji şirketi için bu düzenleyici İrlanda'nın DPC'sidir. İrlanda otoritesinin kuralların sıradan kullanıcıların verilerine nasıl uygulandığını İrlanda'nın çok ötesinde şekillendirmesinin nedeni budur.

Thank Your Robot vaka dosyası ayrıca İrlanda'nın DPC gizlilik yasasına işaret ediyor; bu da bir düzenleyicinin soruşturmalarını nasıl yürüttüğünün ve bunlar hakkında neleri açıklayabileceğinin, yaptırımın dışarıdan ne kadar şeffaf göründüğünü etkilediğinin bir hatırlatıcısıdır. Özetten yasanın hükümlerini ayrıntılandıramıyoruz, bu nedenle ayrıntılar için orijinal kaynağa bakın.

Düzenleyicinin kendi önceliklerine dair bir görünüm için İrlanda'nın DPC 2025 Yıllık Raporu haberimiz, hukuk firması Arthur Cox'un özetine dayanarak komisyonun işaret ettiği temel uyumluluk risklerini özetliyor.

Rekor DPC cezaları ne gösteriyor

Vaka dosyası LinkedIn cezasını ve en büyük DPC cezalarını vurguluyor. Bu yaptırımlar GDPR'ın sadece bir evrak işi olmadığını gösteriyor. Düzenleyiciler kişisel verilerin nasıl işlendiğine büyük mali sonuçlar bağlayabilir ve bağlıyor.

Ayrıntılı olarak ele aldığımız bir örnek: DPC, Google'a kullanıcıların konum verilerini usulsüz şekilde işlediği için 403 milyon € ceza verdi; şirketin 2018 ile 2020 arasında bu verileri işleyerek GDPR'ı ihlal ettiğini tespit etti. Ayrıntılar için İrlanda'nın Google'a konum verisi kötüye kullanımı nedeniyle 403 milyon € ceza verdiği haberimizi okuyun. Ayrıca davanın hâlâ aktif olan bir izleme özelliğini nasıl ortaya çıkardığına da baktık; bu da bir cezanın bir uygulamayı otomatik olarak sona erdirmediğinin faydalı bir hatırlatıcısıdır.

WHOIS gizlemesi ile bu cezalar arasındaki ortak nokta aynı ilkedir: kişisel veriler sağlam bir hukuki gerekçe olmadan toplanmamalı, yayımlanmamalı veya işlenmemelidir. Alan adı kayıt kuruluşları bu ilkeye gizleme yaparak yanıt verdi. Büyük platformlardan ise yaptırımlar yoluyla bu ilkenin hesabını vermeleri isteniyor.

Bu Sizin İçin Ne Anlama Geliyor

Bir alan adına birey olarak sahipseniz, adınız, ev adresiniz, telefon numaranız ve e-postanız bir zamanlar herkes tarafından görülebiliyordu. Gizleme bu maruziyeti azalttı, ancak bu bir garanti değil. Cloudflare tartışmasının gösterdiği gibi sonuç, kayıt defterinize, kayıt kuruluşunuza ve ayarlarınıza bağlıdır.

Sadece bir internet kullanıcısıysanız, DPC'nin rekor cezaları düzenleyicilerin veri koruma kurallarını çok büyük şirketlere karşı uygulamaya istekli olduğunun bir işaretidir. Bu cezalar kendi dikkatli olma ihtiyacınızı ortadan kaldırmaz, ancak şirketlerin verilerinizle neler yapmasına izin verildiğini şekillendirir.

Alan adı kayıt bilgilerinizi nasıl gizli tutarsınız

  • Kayıt kuruluşunuzun gizlilik ayarlarını kontrol edin. Bir alan adı gizliliği veya WHOIS gizliliği seçeneği arayın. HostGator gibi kayıt kuruluşları bunu kişisel iletişim bilgilerinizi halka açık WHOIS veritabanından gizleyen bir hizmet olarak tanımlar.
  • Gerçekte neyin halka açık olduğunu doğrulayın. Kendi alan adınızda bir WHOIS sorgusu yapın ve neyin göründüğüne bakın. Sırf GDPR nedeniyle gizlemenin açık olduğunu varsaymayın.
  • Ayarlar ile görüntülemenin farklı olabileceğini unutmayın. Kayıt defteri sunucuları, kayıt kuruluşunuzun gizlilik özelliği devre dışı olsa bile verileri gizleyebilir; bu nedenle gizlenmiş bir sonuç, ayarınızın etkin olduğunu kanıtlamaz.
  • Ayrı iletişim bilgileri kullanın. Ayrı bir e-posta adresi ile bir iş veya yönlendirme adresi, gizleme başarısız olursa açığa çıkabilecekleri sınırlar.
  • Kayıt kuruluşu kaydınızı doğru tutun. Gizlilik araçları verileri halktan gizler, ancak yine de kayıt kuruluşunuzda geçerli iletişim bilgilerinin kayıtlı olması gerekir.

Çıkarımlar

Tek cümleyle GDPR WHOIS gizlemesi: gizlilik hukuku alan adı kayıt verilerini halkın görünümünden çıkardı ve İrlanda'nın DPC'si gibi düzenleyicilerin yaptırımları, kişisel verileri kötü yöneten şirketler üzerindeki baskıyı sürdürüyor. Bu hafta birkaç dakikanızı ayırıp kayıt kuruluşunuzun gizlilik ve gizleme ayarlarını kontrol edin ve alan adlarınız için halka açık bir sorgulamanın ne gösterdiğini doğrulayın. Ardından, yaptırımların verilerinizin korunmasını nasıl şekillendirdiğini görmek için Google 403 milyon € konum verisi cezası ve DPC 2025 yıllık raporu haberlerimizden başlayarak DPC'nin en büyük son cezalarını okuyun.