Bir veri ihlalinde en hızlı kaybedilen şey delildir. Sistem kayıtları döner, cihaz yeniden kurulur, ekran görüntüsü tarihsiz kalır. TCK'nın bilişim alanındaki suçları düzenleyen 243-245. maddeleri, 5651 sayılı Kanun ve KVKK'nın birlikte devreye girdiği bu dosyalarda, ilk saatlerde atılan adımlar sonraki tüm aşamaları belirler.
İlk aşama: durdurmak değil, dondurmak
Refleks olarak sistemi kapatmak veya şifreleri değiştirip devam etmek çoğu zaman kaydı bozar. Doğru sıra; erişimi sınırlayıp etkilenen sistemin durumunu olduğu gibi korumak, sunucu ve uygulama loglarını dışa aktarmak, mümkünse disk imajı almak ve alınan kopyaların özet değerini kayıt altına almaktır. Kim tarafından, ne zaman ve hangi yöntemle alındığı yazılmayan bir kopya, sonradan tartışmaya açık hâle gelir.
Zinciri belgeleyen unsurlar
- Erişim ve işlem logları ile zaman damgası bilgisi
- Kopyanın alınma yöntemi ve özet (hash) değeri
- Materyali kimin devraldığına ilişkin teslim kaydı
- Trafik bilgisi ve hizmet sağlayıcıdan talep edilen kayıtlar
- Etkilenen kişi ve veri kategorilerini gösteren envanter çıktısı
Şikâyet, ihbar ve idari başvuru ayrımı
Aynı olay üç ayrı hatta yürüyebilir. Sisteme hukuka aykırı erişim, verilerin ele geçirilmesi veya bozulması bakımından savcılığa suç duyurusu; kişisel verilerin korunmasına ilişkin yükümlülük ihlali bakımından KVKK kapsamında Kurula başvuru; içeriğin yayılması söz konusuysa 5651 sayılı Kanun çerçevesinde erişimin engellenmesi veya içerikten çıkarılması talebi gündeme gelir. Bu hatların birbirini beklemesi gerekmez; ancak her birinde farklı belge ve farklı süre rejimi bulunduğu unutulmamalıdır.
Usule aykırı işlem: delili değersizleştiren adımlar
Hukuka aykırı yolla elde edilen materyal yargılamada kullanılamaz. Çalışanın kişisel cihazının rızası olmadan incelenmesi, başkasına ait hesaba izinsiz erişilerek kanıt toplanması ya da aydınlatma yapılmadan yürütülen izleme, dosyaya katkı sağlamak yerine ayrı bir sorumluluk doğurabilir. Kurum içi inceleme yürütülecekse, incelemenin dayanağı, kapsamı ve bilgilendirme adımları önceden yazılı olarak belirlenmelidir.
İhlal sonrası yükümlülükler ve tazminat
Veri sorumlusunun ihlali ilgili kişilere ve Kurula bildirme yükümlülüğü bulunur; bildirimin gecikmesi başlı başına bir değerlendirme konusudur. İlgili kişi bakımından ise zararın giderilmesi talebi, ihlalin varlığından çok zararın ve nedensellik bağının belgelenmesine dayanır. Bu nedenle ihlal sonrası oluşan dolandırıcılık girişimi, hesap ele geçirme veya itibar kaybına ilişkin kayıtlar ayrı bir dosyada toplanmalıdır.
Buradaki açıklamalar genel bilgilendirme niteliğindedir; sistemin yapısı, verinin kategorisi ve ihlalin türü izlenecek yolu değiştirir. Kayıtların saklama süresi kısa olabileceğinden, ihlali fark ettiğiniz anda teknik ve hukuki değerlendirmeyi birlikte başlatmanız gerekir.