Bir veri ihlalinin hukuken sonuç doğurması, çoğu zaman olayın kendisinden çok olayın nasıl belgelendiğine bağlıdır. TCK'nın bilişim sistemlerine ilişkin 243-245. maddeleri, 5651 sayılı Kanun ve 6698 sayılı Kişisel Verilerin Korunması Kanunu farklı yollar açar; her yolun kendi mercii, kendi süresi ve kendi delil standardı vardır.
Delil zinciri neden kırılır
Dijital delilin en kırılgan yanı değiştirilebilir olmasıdır. Mağdurun kendi cihazından aldığı ekran görüntüsü tek başına çoğu zaman yetersiz kalır; çünkü verinin kaynağı, alınma anı ve sonrasında değişip değişmediği gösterilemez. Bu nedenle olay fark edilir edilmez cihaza müdahale edilmemeli, sistem üzerinde "düzeltme" amaçlı işlem yapılmamalı, mümkünse cihaz veya sunucu imajı alınarak özet (hash) değeri kayıt altına alınmalıdır. Zincirin her halkasında kimin, ne zaman, hangi işlemi yaptığı yazılı olmalıdır.
Hangi kapıya, hangi talep
Aynı olay üç ayrı kapıyı ilgilendirebilir. Yetkisiz erişim, sistemi engelleme veya verileri hukuka aykırı ele geçirme iddiası cumhuriyet başsavcılığına yapılacak şikâyetin konusudur. İçeriğin yayından çıkarılması ve erişimin engellenmesi talebi 5651 sayılı Kanun çerçevesinde ayrı bir usule tabidir. Veri sorumlusunun güvenlik yükümlülüğünü ihlal ettiği iddiası ise idari denetim yoludur ve önce veri sorumlusuna başvurmayı gerektirir. Üç talebi tek dilekçede toplamak, hepsinin gecikmesine yol açar.
Toplanması gereken teknik kayıtlar
- Erişim ve işlem logları ile bunların saat dilimi bilgisi
- Sunucu, güvenlik duvarı ve VPN kayıtlarının ilgili zaman aralığı
- Kullanıcı yetkilendirme matrisi ve yetki değişikliği geçmişi
- İhlal bildirimi, iç inceleme raporu ve alınan teknik tedbirlerin kaydı
- Sızan verinin kapsamını gösteren örnekleme ve etkilenen ilgili kişi listesi
- Varsa fidye, tehdit veya pazarlama amaçlı iletişim kayıtları
Zamanla yarışan kayıtlar
Log kayıtlarının saklama süreleri sınırlıdır; erişim sağlayıcı ve içerik sağlayıcı nezdindeki veriler belirli bir süre sonra silinebilir. Bu nedenle şikâyet dilekçesinde yalnızca olay anlatılmamalı, hangi kurum veya şirketten hangi kaydın ivedilikle istenmesi gerektiği açıkça talep edilmelidir. Gecikmeli başvuruda esasa ilişkin iddia güçlü olsa bile, teknik kayıt bulunamadığı için dosya somut delilsiz kalabilir.
Bu metin yol gösterici bir çerçeve sunar; ihlalin türü, sistemin mimarisi ve etkilenen veri kategorisi izlenecek yolu değiştirir. Teknik ekipten alınacak ilk raporun hukuki değerlendirmeyle birlikte hazırlanması, sonraki aşamalarda ciddi zaman kazandırır.