Bir veri ihlalinde sonucu belirleyen şey çoğu zaman ihlalin büyüklüğü değil, ihlale ilişkin kayıtların ne kadar sağlam tutulduğudur. Bu rehber, bilişim kaynaklı veri ihlallerinde delil zincirinin kurulmasını ve idari şikâyet ile yargı yolu arasındaki tercihi ele alır.
İlk Saatlerde Yapılması Gerekenler
İhlalin fark edildiği an, delil zincirinin başlangıç halkasıdır. Log kayıtlarının dönmesini engelleyecek şekilde saklama süresi uzatılmalı, etkilenen sistemlerin imajı alınmalı ve kim tarafından hangi saatte hangi işlemin yapıldığı yazılı olarak tutulmalıdır. Sistem üzerinde acele düzeltme yapılırken orijinal kayıtların üzerine yazılması, sonradan telafisi güç bir kayıptır.
Delil Zincirinin Halkaları
- Kaydın kaynağı: hangi sunucu, hangi uygulama, hangi zaman damgası
- Elde ediliş biçimi: yetkili kişi, kullanılan araç ve tutanak
- Bütünlük kontrolü: özet değerlerin alınması ve karşılaştırılması
- Saklama: kime teslim edildiği, nerede tutulduğu
- İnceleme: bilirkişiye veya uzmana aktarım kaydı
Zincirin bir halkası belgelenemediğinde, teknik olarak doğru bir tespit bile ispat gücünü yitirebilir. Türk Ceza Kanunu'nun bilişim sistemlerine ilişkin hükümleri kapsamında suç duyurusunda bulunulacaksa, delilin hukuka uygun elde edilmiş olması ayrıca tartışılacaktır.
İdari Yol ve Ceza Yolu Aynı Anda Yürür
Kişisel verilerin korunmasına ilişkin mevzuat kapsamında Kurula yapılan şikâyet ile savcılığa yapılan suç duyurusu birbirinin alternatifi değildir; farklı sonuçlar doğurur. İdari süreç, veri sorumlusunun yükümlülüklerine odaklanır; ceza süreci ise faile yönelir. Zarar görenin tazminat talebi ise ayrı bir yargı yolunda ileri sürülür. Bu üç kanalın hangi sırayla açılacağı, elde edilen belgelerin diğer dosyalarda kullanılabilmesi bakımından planlanmalıdır.
Anlaşma Teklifi Geldiğinde
İhlalden sorumlu tutulan taraf çoğu kez erken bir mutabakat önerir. Bu teklifi değerlendirirken, zararın henüz tam belirlenip belirlenmediği ve verinin üçüncü kişilerde dolaşımda olup olmadığı sorulmalıdır. İbra metni geniş yazılmışsa, sonradan ortaya çıkan zararlar için başvuru kapanabilir. Buna karşılık uzayan görüşmeler, şikâyet ve dava için öngörülen süreleri tüketebilir; bu yüzden görüşme süreci ile takvim ayrı izlenmelidir.
Yukarıdaki başlıklar genel bir yol haritası sunar. Sistem mimarisi ve ihlalin kapsamı her olayda farklı olduğundan, teknik ve hukuki değerlendirmenin birlikte yapılması önerilir.