Üniversite bünyesinde kurulan uygulama ve araştırma merkezlerinin yönetmelikleri; merkezin amacını, faaliyet alanlarını, organlarını ve çalışma usulünü düzenler. Elektronik harp ve siber güvenlik alanında faaliyet gösteren bir merkez söz konusu olduğunda, akademik düzenleme kişisel verilerin korunması ve gizlilik mevzuatıyla iç içe geçer. Bu rehber, böyle bir merkezde yürütülen projelerde ortaya çıkan hukuki yükümlülüklere odaklanır.
Araştırma Verisi ile Kişisel Veri Çakışması
Siber güvenlik araştırmalarında toplanan log kayıtları, ağ trafiği örnekleri veya zafiyet test verileri, içinde IP adresi ve kullanıcı kimlik bilgisi barındırdığında 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamına girebilir. Verinin "teknik" olması, kişisel veri niteliğini kendiliğinden ortadan kaldırmaz. Bu nedenle proje tasarım aşamasında şu ayrım yapılmalıdır:
- Gerçekten anonim hale getirilmiş veri ile takma adlandırılmış (yeniden ilişkilendirilebilir) veri aynı hukuki rejime tabi değildir.
- Araştırma amacı, hukuka uygunluk sebebi bulunmaksızın tek başına işleme yetkisi vermez.
- Aydınlatma yükümlülüğü, veri toplanmadan önce yerine getirilir.
Merkez Organlarının Yetki Sınırı
Yönetmelikler merkez müdürü, yönetim kurulu ve danışma kurulu gibi organların görevlerini sayar. Hukuki sorun genellikle yönetmelikte sayılmayan bir işlemin yapılmasından doğar: örneğin merkezin, üniversite rektörlüğü onayı olmaksızın üçüncü kişilerle veri paylaşım protokolü imzalaması. Yetki unsurunda sakatlık, işlemin iptali sonucunu doğurabilecek en güçlü hukuka aykırılık sebeplerinden biridir.
Zafiyet Testlerinde Ceza Hukuku Sınırı
Siber güvenlik çalışmalarında akademik amaç, izinsiz erişimi hukuka uygun hale getirmez. Türk Ceza Kanunu'nun bilişim sistemine hukuka aykırı girme, sistemi engelleme-bozma ve verileri yok etme fiillerini düzenleyen hükümleri, test faaliyetleri bakımından da uygulanabilir. Bu nedenle her test öncesinde:
- Test edilecek sistemin sahibinden yazılı ve kapsamı belirli bir izin alınmalıdır.
- İznin kapsadığı IP aralığı, zaman penceresi ve yöntem açıkça yazılmalıdır.
- İzin belgesi, testi yapan kişinin adıyla eşleştirilmelidir.
Yayın ve İhbar Yükümlülüğü Gerilimi
Araştırma sırasında üçüncü kişilere ait bir sistemde ciddi bir açık tespit edilirse, bulgunun yayımlanması ile sorumlu açıklama ilkesi arasında denge kurulmalıdır. Açığı kamuya duyurmadan önce ilgili kuruma bildirim yapılması, hem etik hem de sorumluluk riski açısından korunaklı yoldur. 5651 sayılı Kanun kapsamındaki yer ve erişim sağlayıcılara ilişkin yükümlülükler de bu noktada gündeme gelebilir.
Bu içerik bilgilendirme amacıyla hazırlanmıştır; merkez faaliyetlerinin somut içeriği, proje sözleşmeleri ve varsa gizlilik dereceli iş ilişkileri ayrıca değerlendirilmelidir.