Bir kurumun sistemlerine izinsiz erişilmesi ya da kişisel verilerin sızdırılması hâlinde, olayın ilk saatlerinde alınan kararlar hem cezai hem idari süreçlerin kaderini belirler. Bilişim uyuşmazlıklarının en zor yanı, delilin fiziksel dünyada değil, kolayca değişebilen ve silinebilen kayıtlarda bulunmasıdır. Bu nedenle mercii belirlemek kadar, delili bozulmadan koruyabilmek de kritik önemdedir.
Paralel Yürüyen Üç Süreç
Aynı veri ihlali olayı üç ayrı hatta ilerleyebilir. Sisteme girme, verileri hukuka aykırı olarak ele geçirme veya yayma fiilleri TCK'nın 243-245. maddeleri ile ilgili hükümleri kapsamında savcılığa taşınır. Verinin işlenmesi ve güvenliği yönünden yükümlülük ihlali KVKK ve 6698 sayılı Kanun çerçevesinde Kurul'un denetimine girer. İçeriğin internette yayılması söz konusuysa 5651 sayılı Kanun uyarınca erişimin engellenmesi ve içeriğin çıkarılması istenebilir. Bu üç sürecin birbirini beklemesi gerekmez; aksine, eşzamanlı yürütülmeleri delil kaybını önler.
Yer Bakımından Yetki Neye Göre Belirlenir?
Bilişim suçlarında suçun işlendiği yer tartışması, failin bulunduğu yer, sunucunun konumu ve zararın doğduğu yer arasında sıkışır. Uygulamada mağdurun bulunduğu yer cumhuriyet başsavcılığına yapılan şikâyet, yetkisizlik hâlinde dosyanın ilgili yere gönderilmesiyle sonuçlanır ve bu süre içinde log kayıtlarının saklama süresi işlemeye devam eder. Erişimin engellenmesi taleplerinde ise sulh ceza hâkimliği devreye girer; kişilik haklarının ihlali iddiasına dayanan talepler için öngörülen özel usul, genel soruşturma sürecinden bağımsız işler.
Delil Zincirini Ayakta Tutmak
Dijital delilin mahkemede kabul görmesi, elde ediliş ve saklanış biçimine bağlıdır. Zincirin kopmaması için şu adımlar önem taşır:
- Olay fark edildiğinde sistem üzerinde onarım yapmadan önce imaj alınması
- Log kayıtlarının, IP ve zaman damgası bilgileriyle birlikte değiştirilemez biçimde saklanması
- Ekran görüntüleri yerine, mümkün olduğunda noter tespiti veya bilirkişi eşliğinde tespit yapılması
- Delili kimin, ne zaman, hangi araçla topladığının yazılı olarak kayda geçirilmesi
- Erişim yetkisi olan personel listesinin ve yetki değişikliklerinin belgelenmesi
Kurum içi incelemede çalışanın kişisel cihazına ya da özel yazışmalarına izinsiz erişilmesi, delil elde etme çabasını başlı başına bir ihlale dönüştürebilir. Hukuka aykırı yolla elde edilen delil ceza yargılamasında değerlendirilemez; bu yüzden hızlı hareket etme isteği, hukuka uygunluk denetiminin önüne geçmemelidir.
Saklama Sürelerine Karşı Yarış
Erişim sağlayıcı ve yer sağlayıcıların trafik bilgilerini saklama yükümlülüğü süresizdir denemez. Şikâyet dilekçesinde ilgili sağlayıcılardan kayıt talep edilmesi açıkça istenmezse, soruşturma ilerlediğinde kayıtların temini imkânsız hâle gelebilir. Bu nedenle talep, dilekçenin ilk sayfasında ve hangi tarih aralığını kapsadığı belirtilerek yazılmalıdır.
İhlal Bildirimi Yükümlülüğü
Veri sorumlusu sıfatı taşıyan kurumlar bakımından, ihlalin öğrenilmesinden sonra Kurul'a ve ilgili kişilere bildirim yapılması ayrı bir yükümlülüktür. Bildirimin gecikmesi, esas ihlalden bağımsız bir yaptırım konusu olabilir.
Bu metin genel çerçeveyi anlatmak için hazırlanmıştır. Olayın teknik yapısı ve kurumun konumu izlenecek yolu değiştireceğinden, ihlalin fark edildiği ilk günlerde hem teknik hem hukuki destek alınması yerinde olur.