Üniversitelerin bilgisayar bilimleri araştırma merkezleri; yazılım geliştirme, veri analizi, yapay zekâ uygulamaları ve altyapı hizmetleri gibi çıktısı doğrudan dijital olan işler üretir. Bu çıktıların hukuki statüsü, klasik akademik yayından farklıdır. Merkez yönetmeliği kuruluş ve organları düzenlerken, uygulamadaki asıl sorular yazılımın mülkiyeti, veri kaynağının meşruluğu ve sistem güvenliği etrafında toplanır.
Geliştirilen Yazılımın Hak Sahipliği
Bir yazılım, ortaya çıktığı anda eser niteliği kazanır. Merkez bünyesinde geliştirilen bir yazılımda hak sahipliği; geliştirenin statüsüne (öğretim elemanı, öğrenci, dışarıdan sözleşmeli geliştirici), projenin finansman kaynağına ve varsa proje sözleşmesine göre değişir. Karışıklığı önlemek için proje başında şu ayrımların yazılı yapılması gerekir:
- Kaynak kod üzerindeki mali hakların kime ait olduğu
- Projeye dâhil edilen açık kaynak bileşenlerin lisans koşulları
- Öğrencilerin katkısının nasıl kayıt altına alınacağı
- Yazılımın açık kaynak olarak yayımlanıp yayımlanmayacağı
- Bakım ve güncelleme sorumluluğunun proje bitiminde kimde kalacağı
Açık kaynak lisans uyumsuzluğu, üniversite projelerinde en geç fark edilen ve en pahalı düzeltilen hatadır; çünkü sorun genellikle yazılım kuruma teslim edildikten sonra ortaya çıkar.
Veri Kaynağının Meşruluğu
Veri analizi ve model eğitimi çalışmalarında ilk soru, verinin nereden geldiğidir. Kurum içi sistemlerden alınan veriler, öğrenci veya hasta verisi içeriyorsa 6698 sayılı Kanun kapsamında ayrı bir dayanak ve kimliksizleştirme adımı gerektirir. İnternetten toplanan verilerde ise hem site kullanım koşulları hem de veri koruma boyutu birlikte değerlendirilmelidir. Yayın aşamasında "veri nasıl elde edildi" sorusuna verilecek cevabın, proje başında hazır olması gerekir.
Sistem Güvenliği ve Yetkisiz Erişim
Merkezlerin işlettiği sunucular, hem araştırma verisi hem de kurum altyapısı açısından hedef olabilir. Güvenlik testi yapılacaksa, testin kapsamı ve izni yazılı olarak alınmalıdır. İzinsiz yapılan bir sızma testi, akademik amaçla dahi olsa bilişim sistemine hukuka aykırı erişim tartışmasını gündeme getirir ve Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümleri kapsamında değerlendirilebilir. Bu nedenle test kapsamının, hedef sistemlerin ve zaman aralığının yazılı izinde açıkça sayılması zorunlu bir tedbirdir.
Olay Müdahale Planı
- İhlal şüphesinde ilk 24 saatte kimin ne yapacağını yazılı olarak belirleyin.
- Log kayıtlarının bütünlüğünü koruyacak şekilde saklanmasını sağlayın.
- Kişisel veri içeren bir ihlalde bildirim yükümlülüğünü değerlendirin.
- Etkilenen sistemleri kapatmadan önce delil niteliğindeki kayıtları imajlayın.
- Olay sonrası raporu, tekrarını önleyecek teknik önlem listesiyle kapatın.
Dış Hizmet ve Barındırma
Bulut hizmeti ya da dış barındırma kullanılıyorsa, verinin nerede tutulduğu ve yurt dışına aktarım söz konusu olup olmadığı ayrıca incelenmelidir. Hizmet sözleşmelerinde veri sahipliği, hizmet sonlandığında verinin iadesi ve silme taahhüdü çoğu zaman eksik bırakılır. Sözleşme bitiminde verinin geri alınamaması, teknik değil hukuki bir ihmalin sonucudur.
Yukarıdaki açıklamalar genel bilgilendirme amaçlıdır. Yazılım hakları, veri koruma ve güvenlik yükümlülükleri projenin niteliğine ve kurumun iç yönergelerine göre değişebilir; somut bir proje veya sözleşme öncesinde ayrıca hukuki değerlendirme alınması yerinde olur.