Bir sistemin yetkisiz erişime uğradığı anlaşıldığında verilen ilk tepki çoğu zaman teknik olur: sunucu kapatılır, şifreler değiştirilir, log kayıtları temizlenir. Oysa TCK 243-245 kapsamındaki bir suç duyurusunun ya da KVKK süreçlerinin başarısı, tam olarak bu ilk saatlerde korunan kayıtlara bağlıdır. 5651 sayılı Kanun kapsamındaki trafik bilgileri de aynı şekilde zamana karşı yarışan verilerdir.
İlk Saatlerde Yapılması Gerekenler
Delil zincirinin başlangıcı, sistemin mevcut hâlinin bozulmadan kaydedilmesidir. Sunucu ve istemci log kayıtları, erişim tarihleri, IP kayıtları ve yetkilendirme değişiklikleri ayrı bir ortama alınmalı; alınan kopyaların özet değerleri (hash) tutanağa yazılmalıdır. Kayıtların kim tarafından, hangi tarihte ve hangi yöntemle alındığı belirtilmediğinde, sonradan yapılan inceleme bu verilerin bütünlüğü tartışmasına takılır. Sistem üzerinde onarım yapılmadan önce imaj alınması, teknik ekiple hukuk ekibinin birlikte hareket etmesini gerektirir.
İki Ayrı Hat: Savcılık ve Kurul
Aynı olay iki ayrı süreç doğurur. Yetkisiz erişim, sistemi engelleme veya verileri değiştirme iddiası Cumhuriyet başsavcılığına yapılacak suç duyurusunun konusudur. Veri sorumlusu sıfatı taşıyan kuruluş bakımından ise KVKK kapsamında Kurula ihlal bildirimi yükümlülüğü doğar ve bu bildirim için Kurul kararlarıyla belirlenmiş kısa bir süre bulunur. İki hat birbirinden bağımsız işler; ceza soruşturmasının devam etmesi bildirim yükümlülüğünü ertelemez. İlgili kişilere yapılacak bilgilendirmenin içeriği de ayrıca planlanmalıdır.
Arama, El Koyma ve İncelemede Usul
Bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama, kopyalama ve el koyma işlemleri CMK’da özel bir usule bağlanmıştır ve kural olarak hâkim kararı gerektirir. Bu usule aykırı elde edilen verilerin ispat değeri tartışmalı hâle gelir. Mağdur tarafın kendi sistemindeki kayıtları sunması ile karşı tarafın cihazından veri elde edilmesi aynı rejime tabi değildir; bu ayrım şikâyet dilekçesinde gözetilmelidir.
Yetki Sorunu ve Uzlaştırma Beklentisi
Bilişim suçlarında failin bulunduğu yer, sunucunun konumu ve mağdurun bulunduğu yer çoğunlukla farklıdır; bu da yetkili savcılığın belirlenmesini güçleştirir. Şikâyetin mağdurun bulunduğu yer savcılığına yapılması mümkün olsa da dosya yetkisizlikle devredilebilir, bu nedenle süreç takibi kesintisiz sürdürülmelidir. Uzlaştırma bakımından ise beklenti gerçekçi tutulmalıdır: bu usul yalnızca CMK’da kapsamı belirlenen suçlarda uygulanır ve bilişim suçlarının önemli bir bölümü kapsam dışındadır. Zararın giderilmesi yönündeki görüşmeler ceza dosyasını değil, esas olarak tazminat talebini etkiler.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Olayın teknik yapısı ve kuruluşun sıfatı izlenecek yolu değiştirdiğinden, ihlalin ardından hukuki ve teknik değerlendirmenin eş zamanlı yapılması önerilir.