Bir veri ihlali ortaya çıktığında olay tek bir hukuk dalında kalmaz. Aynı olgu, TCK 243-245 kapsamında bilişim sistemine hukuka aykırı erişim boyutuyla ceza soruşturmasına; KVKK bakımından veri sorumlusunun bildirim ve veri güvenliği yükümlülüğüne; sızan içerik yayılmışsa 5651 sayılı Kanun çerçevesinde erişim tedbirlerine konu olur. Bu rehber, ihlalin fark edildiği andan itibaren atılacak başvuru ve itiraz adımlarını, delilin bütünlüğünü koruma önceliğiyle sıralar.
İhlalin Fark Edildiği İlk Saatler
İlk refleks çoğu zaman sistemi kapatmak ya da sızan içeriği silmek olur; oysa bu hamle delili de birlikte yok eder. Doğru sıra, durumu dondurmak ve kaydını almaktır.
- Sunucu ve uygulama loglarının değiştirilmeden kopyalanması
- Etkilenen kayıt sayısının ve veri kategorilerinin listelenmesi
- Ekran görüntüsü yerine zaman bilgisi taşıyan ham kaydın tercih edilmesi
- İhlali kimin hangi saatte öğrendiğinin yazılı olarak sabitlenmesi
KVKK rejiminde veri sorumlusu, ihlali öğrendiğinde Kurula en kısa sürede bildirimde bulunmak ve ilgili kişileri bilgilendirmekle yükümlüdür. Bildirim metnindeki ifadeler sonradan hem idari süreçte hem ceza dosyasında karşınıza çıkacağından, doğrulanmamış tahminlerin bildirime yazılmaması gerekir.
Delil Zincirini Ayakta Tutan Kayıt Düzeni
- Her delil için kaynak sistem, alınma zamanı ve işlemi yapan kişi kaydedilir.
- Çalışma kopya üzerinde yürütülür, orijinal imaj el değmeden saklanır.
- Özet değeri alınarak kopyanın bütünlüğü gösterilebilir hale getirilir.
- Dış hizmet sağlayıcıdaki kayıtlar için saklama süresi dolmadan talep yazılır.
Zincirin en kırılgan halkası genellikle üçüncü taraf kayıtlarıdır. Barındırma sağlayıcısı veya ödeme altyapısındaki loglar sınırlı süre tutulduğu için, bu kayıtların istenmesi talebi şikâyet dilekçesine baştan yazılmalıdır.
Ceza, İdari ve Tazminat Hatlarının Ayrımı
Cumhuriyet başsavcılığına yapılan şikâyet ile Kurula yapılan şikâyet birbirinin alternatifi değildir. Ceza yolu failin sorumluluğuna, idari yol veri sorumlusunun yükümlülüklerine odaklanır; maddi ve manevi tazminat talebi ise ayrıca hukuk mahkemesinde ileri sürülür. Üç hattın da aynı olayda açılabileceği, ancak her birinin kendi usulüne ve süresine tabi olduğu unutulmamalıdır.
Usule Aykırı İşlem Nerede Devreye Girer
Bu dosyalarda en sık karşılaşılan itiraz gerekçesi, delilin hukuka aykırı biçimde elde edildiğidir. Şirket içi incelemede çalışanın kişisel cihazına rızası dışında erişilmesi, yetkisiz kişilerce yapılan adli kopyalama veya usulüne uygun karar olmadan yürütülen içerik incelemesi, elde edilen bulguyu dosyada kullanılamaz hale getirebilir. Bildirim yükümlülüğünün geç yerine getirilmesi de esasa ilişkin savunmayı zayıflatır.
Yukarıdaki başlıklar genel bir çerçeve sunar; ihlalin türü, etkilenen veri kategorisi ve kurumun yükümlülük düzeyi sonucu değiştirebilir. Adım sırasını belirlemeden önce dosyanın teknik ve hukuki yönünü birlikte değerlendiren bir hukukçuyla çalışmanız yerinde olur.