Burdur Mehmet Akif Ersoy Üniversitesi Bilgi Teknolojileri Uygulama ve Araştırma Merkezi Yönetmeliği 31423 sayı ile yayımlanmıştır. Üniversite bünyesindeki bilgi teknolojileri merkezleri, akademik araştırma yürütmenin yanında fiilen kurumun ağını, sunucularını ve kullanıcı hesaplarını da yönetir. Bu ikili rol, merkezi aynı anda hem araştırma birimi hem de hizmet sağlayıcı konumuna getirir ve sorumluluk haritasını karmaşıklaştırır.
İki Farklı Rol, İki Farklı Sorumluluk Rejimi
Araştırma faaliyetinde ölçüt bilimsel yöntem ve etik kurul onayıdır. Buna karşılık ağ ve sunucu işletmeciliğinde ölçüt teknik güvenlik tedbirleri ve kayıt tutma yükümlülükleridir. Uygulamada sorun, tek bir personelin her iki rolü birlikte üstlenmesi ve hangi işlemin hangi sıfatla yapıldığının belgelenmemesinden çıkar. Bir kullanıcının e-posta içeriğine erişim, araştırma amacıyla yapıldığında bile, yetkilendirme belgesi yoksa savunulması güç bir işleme dönüşür.
Kayıt Tutma ve Log Yönetimi
- 5651 sayılı Kanun ve ikincil düzenlemeleri, internet erişimi sağlayan kurumlar için trafik bilgisinin belirli bir süreyle saklanmasını ve doğruluğunun korunmasını öngörür.
- Log kayıtları da kişisel veri içerebilir; saklama süresi dolduğunda silme, yok etme veya anonim hâle getirme yükümlülüğü 6698 sayılı Kanun'dan doğar.
- Kayıtların bütünlüğünü koruyan zaman damgası veya benzeri yöntem kullanılması, ileride delil değeri bakımından belirleyici olur.
Kullanıcı Hesabı Kapatma ve Erişim Kısıtlamalarında Usul
Bir öğrencinin ya da personelin hesabının askıya alınması, sonuçları itibarıyla bir idari işlemdir ve gerekçelendirilmesi gerekir. Uygulanabilir bir sıralama şu şekildedir:
- İhlal iddiasına konu teknik bulguyu tutanakla tespit edin; ham log ile birlikte saklayın.
- İlgiliye yazılı bildirim yaparak savunma imkânı tanıyın.
- Tedbir niteliğindeki kısıtlamayı süreli uygulayın ve süre sonunda yeniden değerlendirin.
- Kararı ve dayanaklarını yazılı olarak tebliğ edin; tebliğ tarihini kayda geçirin.
Veri İhlali Yaşandığında
Kişisel veri içeren bir sistemde ihlal tespit edilirse, 6698 sayılı Kanun kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere bildirim yükümlülüğü doğabilir. Bildirim süresinin kaçırılması, ihlalin kendisinden bağımsız ayrı bir yaptırım sebebi olabildiği için, olay müdahale planında bildirim adımının ayrı bir sorumluya bağlanması yerinde olur.
Bu metin genel bir yol haritası sunar; kurumunuzun sistem mimarisi ve somut olayın teknik ayrıntıları farklı sonuçlar doğurabileceğinden, ihlal veya inceleme durumunda hukuki destek almanız uygun olur.