Bir sistemin ele geçirilmesi, verilerin sızdırılması ya da izinsiz erişim iddiası, aynı olayın hem ceza hem idari hem de tazminat boyutunu aynı anda doğurur. TCK'nın bilişim sistemlerine ilişkin hükümleri, 5651 sayılı Kanun ve KVKK bu üç boyutu ayrı ayrı düzenler. Veri ihlali dosyalarında sonucu belirleyen ise çoğu zaman hukuki nitelendirme değil, delil zincirinin ilk saatlerde korunup korunmadığıdır.
Üç Ayrı Yol, Üç Ayrı Merci
Yetkisiz erişim, sistemi engelleme veya verileri bozma iddiası cumhuriyet başsavcılığına yapılacak suç duyurusunun konusudur. Kişisel verilerin hukuka aykırı işlenmesi veya güvenliğinin sağlanamaması yönü Kişisel Verileri Koruma Kurumu önündeki şikayet sürecine aittir. Uğranılan maddi ve manevi zarar için ise ayrıca hukuk davası açılması gerekir. Bu üç yol birbirinin alternatifi değildir ve biri diğerinin süresini durdurmaz. İçerik kaldırma veya erişim engelleme talebi söz konusuysa 5651 sayılı Kanun kapsamındaki sulh ceza hakimliği yolu ayrı bir başlık olarak işletilir.
Yer Yönünden Yetki: Suçun İşlendiği Yer Nerede
Bilişim yoluyla gerçekleştirilen fiillerde failin bulunduğu yer, sunucunun bulunduğu yer ve sonucun doğduğu yer farklı olabilir. Uygulamada mağdurun bulunduğu yer başsavcılığına yapılan başvurular, gerekli görüldüğünde yetkili birime gönderilir; bu nedenle mağdurun kendi bulunduğu yerden başvuru yapması engel değildir. Ancak dilekçede erişimin gerçekleştiği tarih ve saat aralığı ile hangi sisteme erişildiği açıkça belirtilmezse, dosya ilk aşamada teknik olarak yürütülemez hale gelir.
Delilin İlk Saatlerde Korunması
Dijital veriler kolayca değişebildiği için ispat değeri, elde ediliş biçimine sıkı biçimde bağlıdır. İhlal fark edildiğinde şu adımlar öncelik taşır:
- Etkilenen sistem üzerinde temizlik veya kurulum yapmadan kayıtların dondurulması
- Sunucu, güvenlik duvarı ve uygulama günlüklerinin tarih aralığıyla birlikte dışa aktarılması
- Ekran görüntülerinin tarih ve saat bilgisi görünecek şekilde alınması
- Cihaz üzerinde inceleme gerekiyorsa imaj alma talebinin makamdan istenmesi
- Erişim kayıtlarının saklama süresi dolmadan resmi yazıyla talep edilmesi
Kendi imkanlarıyla ele geçirilen ve elde ediliş yöntemi tartışmalı olan kayıtlar, hem hukuka uygunluk hem de bütünlük yönünden savunmanın hedefi olur. Bu nedenle delilin nasıl elde edildiği, ne olduğu kadar önemlidir.
Veri Sorumlusunun Bildirim Yükümlülüğü
İhlale uğrayan taraf bir kurum ise, KVKK kapsamındaki bildirim yükümlülüğünün makul sürede yerine getirilip getirilmediği ayrıca değerlendirilir. Bildirim gecikmesi, teknik ve idari tedbirlerin yeterliliği tartışmasını doğrudan etkiler. İlgili kişiler bakımından ise bilgilendirmenin içeriği, sonradan açılacak tazminat davalarında zararın öğrenilme anını belirleyen unsur haline gelir.
Kapanış Notu
Veri ihlali dosyalarında kaybedilen ilk günler, sonradan hiçbir hukuki argümanla telafi edilemez. Olayın fark edildiği anda teknik ekiple hukuki danışmanın birlikte hareket etmesi ve adımların kayıt altına alınması gerekir; somut sistemin yapısı izlenecek yolu değiştirebileceğinden profesyonel değerlendirme önerilir.