Bir veri ihlalinde en değerli kanıtlar, olayın ilk günlerinde sistem üzerinde durur ve zamanla silinir. Bu yüzden bilişim kaynaklı uyuşmazlıklarda asıl mücadele mahkemede değil, delilin bozulmadan sabitlendiği ilk aşamada kazanılır.
Üç Ayrı Yol Aynı Anda İşler
- Ceza yolu: Bilişim sistemine hukuka aykırı erişim, verileri hukuka aykırı olarak verme veya ele geçirme gibi fiiller TCK 243-245 ve kişisel verilere ilişkin hükümler kapsamında suç oluşturabilir; şikâyet Cumhuriyet başsavcılığına yapılır.
- İdari yol: KVKK kapsamında veri sorumlusunun yükümlülük ihlali, Kişisel Verileri Koruma Kurulu önünde ayrıca değerlendirilir.
- İçerik yolu: 5651 sayılı Kanun kapsamında erişimin engellenmesi ve içeriğin çıkarılması talepleri sulh ceza hâkimliğine yöneltilir.
Bu üç yol birbirinin alternatifi değildir; biri diğerinin sonucunu beklemez ve her birinin kendi takvimi vardır.
Yer Yönünden Yetki Neden Tartışmalı?
Bilişim suçlarında fiilin işlendiği yerin tespiti çoğu zaman mümkün olmaz. Sunucu yurt dışında, fail belirsiz, mağdur başka ilde olabilir. Böyle durumlarda şikâyetin mağdurun bulunduğu yer başsavcılığına yapılması ve dosyanın gerekiyorsa yetkili yere gönderilmesi izlenen yoldur. Şikâyeti geciktirerek doğru yeri araştırmak, hem verilerin silinmesine hem de failin izini kaybetmeye yol açar.
Delil Zincirini Kurmak
- Sabitleme: Ekran görüntüsü tek başına zayıftır; noter tespiti veya elektronik tespit raporu ile tarih ve içerik birlikte kayıt altına alınır.
- Bütünlük: Cihaz veya dosya inceleniyorsa adli kopya alınır ve özet değeri kaydedilir; orijinal üzerinde çalışılmaz.
- Kaynak: Trafik ve erişim kayıtlarının saklama süresi dolmadan ilgili sağlayıcıdan istenmesi için savcılıktan talepte bulunulur.
- Zincir kaydı: Delilin kim tarafından, ne zaman, hangi yöntemle alındığı ve kime teslim edildiği yazılı olarak izlenir.
- Meşruiyet: Karşı tarafın cihazına izinsiz erişimle elde edilen materyal, dosyaya değer katmaz; aksine yeni bir soruşturma doğurur.
Veri Sorumlusunun Yükümlülük Takvimi
Kurumsal tarafta ihlalin tespiti, teknik ve idari tedbirlerin gözden geçirilmesi, ilgili kişilerin bilgilendirilmesi ve Kurula bildirim ayrı ayrı yükümlülüklerdir ve bildirim için çok kısa bir süre öngörülmüştür. Bu adımların tarihli biçimde belgelenmesi, sonraki idari incelemede kurumun en güçlü savunmasıdır. Kayıt tutulmamışsa, alınmış tedbirlerin varlığı bile gösterilemez.
Zararın Tazmini Ayrı Bir Dosyadır
Ceza soruşturmasının sonucu, maddi ve manevi tazminat talebini kendiliğinden karşılamaz. Tazminat davası hukuk mahkemesinde ayrıca açılır ve kendi zamanaşımı rejimine tabidir. Ceza dosyasının beklenmesi bazı hâllerde yararlı olsa da, süre hesabı bu bekleme nedeniyle askıya alınmış sayılmaz.
Bu içerik genel bir yol haritası sunar. Veri ihlallerinde teknik ayrıntı hukuki sonucu değiştirdiğinden, ilk 72 saatte hem teknik hem hukuki destek almak belirleyici olur.