Orta Doğu Teknik Üniversitesi Siber Savunma ve Güvenlik Uygulama ve Araştırma Merkezi'ne ilişkin yönetmelik, Resmî Gazete'de 31417 sayı ile yayımlanan üniversite merkez düzenlemelerinden biridir. Bu tür yönetmelikler, 2547 sayılı Yükseköğretim Kanunu'nun üniversitelere uygulama ve araştırma merkezi kurma imkânı tanıyan hükümlerine dayanır. Siber güvenlik alanında faaliyet gösteren bir merkez söz konusu olduğunda ise yönetmelik metni tek başına yeterli değildir; merkezin yürüttüğü her proje aynı anda kişisel verilerin korunması ve bilişim suçları mevzuatının kapsamına girebilir.
Merkez Yönetmeliği Ne Tür Bir Hukuki Metindir?
Üniversite merkez yönetmelikleri, kanun değil düzenleyici idari işlem niteliğindedir. Bu ayrım pratikte önemlidir: metnin hükümlerine dayanılarak tesis edilen kararlar idari işlem sayılır ve idari yargı denetimine tabidir. Yönetmeliğin kendisi de, menfaati ihlal edilenler tarafından, İdari Yargılama Usulü Kanunu çerçevesinde dava konusu edilebilir. Merkez müdürünün görevlendirilmesi, yönetim kurulu kararları ve merkez bünyesinde alınan disiplin nitelikli tasarruflar bu denetimin dışında kalmaz.
Siber Güvenlik Faaliyetinin Doğurduğu Özel Yükümlülükler
Bir siber savunma merkezinin gündelik işleyişi, hukuken hassas alanlara temas eder:
- Kişisel veri işleme: Ağ trafiği analizi, log incelemesi ve zafiyet testleri sırasında elde edilen veriler 6698 sayılı Kanun kapsamında kişisel veri olabilir. Araştırma amacı, tek başına hukuka uygunluk sebebi yaratmaz.
- Sızma testi izni: Yetkisiz erişim, izin sınırı aşıldığında Türk Ceza Kanunu'nun bilişim sistemlerine ilişkin hükümleri bakımından değerlendirilebilir. Kapsam ve süreyi belirleyen yazılı yetkilendirme metni, sonradan tartışmayı önleyen en güçlü belgedir.
- İçerik ve erişim kayıtları: Üniversite ağı üzerinden yürütülen çalışmalarda 5651 sayılı Kanun'un yer sağlayıcı ve erişim sağlayıcı yükümlülükleri gündeme gelebilir.
Uyum Dosyasında Bulunması Gerekenler
- Projeye özel, kapsamı ve hedef sistemleri açıkça yazılmış yetkilendirme yazısı.
- Veri envanteri: hangi verinin hangi amaçla, ne süreyle tutulacağı.
- Aydınlatma ve gerekiyorsa açık rıza metinleri; anonimleştirme tercih ediliyorsa yöntemin kaydı.
- Bulguların paylaşılacağı kişi çevresini sınırlayan gizlilik taahhütnameleri.
- Test sırasında oluşabilecek hizmet kesintileri için önceden bildirim ve geri dönüş planı.
Anlaşmazlık Çıktığında İzlenecek Yol
Merkez kararlarına karşı önce idare içinde başvuru yolları değerlendirilir; bu yol tüketilmeden ya da tüketilerek idari yargıya gidilebilir. Sürelerin işlemin tebliğinden itibaren hesaplandığı unutulmamalı, tebligatın yapıldığı tarih belgelenmelidir. Kişisel veri boyutu varsa Kişisel Verileri Koruma Kurumu'na şikâyet yolu ayrı ve bağımsız bir seçenektir.
Buradaki açıklamalar genel çerçeve sunar. Merkez faaliyetinizle ilgili somut bir uyuşmazlıkta, yönetmeliğin güncel metni ve dosyanızın kendi koşulları birlikte incelenmeli; gerekirse hukuki görüş alınmalıdır.