Bir sistemin ele geçirilmesi veya verilerin sızdırılması, tek bir olayda birbirinden bağımsız üç sürecin aynı anda işlemesine yol açar. KVKK (6698) kapsamında idari bildirim ve inceleme, TCK 243-245 çerçevesinde ceza soruşturması ve 5651 sayılı Kanun kapsamında yayılan içeriğe yönelik tedbirler. Bu üç sürecin muhatapları farklıdır; birine yapılan bildirim diğerinde hiçbir hak doğurmaz.
İhlal Bildiriminin Kendi Takvimi Vardır
Veri sorumlusu, ihlali öğrendiğinde durumu gecikmeksizin ve Kurul'un belirlediği kısa süre içinde (en geç yetmiş iki saat) Kurul'a bildirmekle yükümlüdür. Bu süre kaçırıldığında, ihlalin kendisinden bağımsız bir sorumluluk gündeme gelir. İlgili kişilere yapılacak bildirim ise ayrı bir yükümlülüktür ve makul en kısa sürede yerine getirilir. Bildirim metninde ihlalin kapsamı, etkilenen veri kategorileri ve alınan tedbirler somut biçimde yazılmalıdır; "teknik bir sorun yaşanmıştır" düzeyindeki ifadeler eksik bildirim riski taşır.
Ceza Soruşturması Neden Ayrıca Başlatılır?
Sisteme yetkisiz erişim, verilerin bozulması veya yok edilmesi TCK'nın bilişim suçlarına ilişkin hükümleri kapsamındadır ve şikâyet Cumhuriyet başsavcılığına yapılır. Kurul'a yapılan bildirim bir suç duyurusu değildir. Failin tespiti için gereken IP ve trafik kayıtlarının temini, ancak yürütülen bir soruşturma kapsamında mümkün olur; bu nedenle bildirimle yetinmek, teknik delilin saklama süresi içinde toplanmaması sonucunu doğurur.
Delil Zinciri İlk 72 Saatte Kurulur
- Etkilenen sistemlerin imajı alınır; "temizleyip devam etme" refleksi delili yok eder.
- Sunucu ve uygulama logları ayrı bir ortama, değiştirilemez biçimde kopyalanır.
- Erişim yetkileri ve yetki değişikliklerinin geçmişi tarih damgasıyla kayda alınır.
- Sızdırılan verinin nerede yayımlandığı, bağlantı adresi ve tarihiyle birlikte tespit edilir.
- Olay müdahale ekibinin adımları, saatiyle birlikte tutanağa bağlanır.
Yayılan Veriye Karşı Ayrı Yol
- Sızdırılan içerik internette yayımlanmışsa kaldırma talebi 5651 sayılı Kanun kapsamında sulh ceza hâkimliğine yöneltilir.
- Bu talep, ceza soruşturmasının sonuçlanmasını beklemez; paralel yürütülür.
- İçerik yurt dışı kaynaklıysa dahi erişimin engellenmesi ayrıca değerlendirilir.
- Zarara uğrayan ilgili kişilerin tazminat talepleri ise özel hukuk alanına aittir.
Veri ihlali dosyalarında teknik müdahale ile hukuki yükümlülükler saat bazında iç içe geçer; ilk günün kayıtları sonradan üretilemez. Bu metin genel bir çerçeve sunar, olayın kapsamı ve etkilenen veri türü değiştiğinde yükümlülükler de farklılaşacağından, ihlal fark edilir edilmez teknik ve hukuki desteği birlikte devreye almak gerekir.