Bir veri ihlali fark edildiğinde saatler içinde alınacak kararlar, aylar sonraki dosyanın kaderini belirler. TCK'nın bilişim sistemlerine ilişkin 243 ilâ 245 inci maddeleri cezai boyutu, KVKK idari sorumluluğu, 5651 sayılı Kanun ise içeriğin yayılmasına karşı alınacak tedbirleri düzenler. Bu üç yol birbirinin yerine geçmez; birlikte ve doğru sırayla işletilir.
İlk Saatlerde Kanıtı Bozmayın
Veri sızıntısı fark edildiğinde ilk refleks çoğu zaman sistemi kapatmak veya kayıtları temizlemektir. Bu, ihlali sonlandırırken delili de yok eder. Yapılması gereken, olay anındaki durumun bozulmadan kayıt altına alınmasıdır:
- Sunucu ve uygulama günlük kayıtlarının ayrı bir ortama, değiştirilmeden kopyalanması
- Kopyaların özet değerinin (hash) alınması ve bu değerin tutanağa yazılması
- Erişim yetkisi bulunan hesapların ve son oturum kayıtlarının listelenmesi
- Kim, ne zaman, hangi kopyayı aldı sorusunu yanıtlayan bir teslim kaydının tutulması
Delil zinciri, bu teslim kayıtlarının kesintisiz olmasıdır. Zincirde bir halka eksikse, teknik olarak doğru bir bulgu bile yargılamada tartışmalı hâle gelir.
Ekran Görüntüsü Neden Yeterli Değil?
Mesajlaşma ekranlarının fotoğrafı ya da ekran görüntüsü, kaynağı ve bütünlüğü gösterilemediği için tek başına zayıf kalır. İçeriğin yayında olduğu anda noter aracılığıyla ya da elektronik tespit yöntemleriyle, adres ve zaman bilgisiyle birlikte kayda alınması dosyayı güçlendirir. Karşı tarafın içeriği kaldırması ihtimali yüksek olduğundan bu tespit, şikâyetten önce yapılmalıdır.
Hangi Talep Hangi Mercie?
Ayrımı baştan kurmak gerekir: kişisel verilerin hukuka aykırı işlenmesi ve veri sorumlusunun yükümlülük ihlalleri KVKK kapsamında Kurula taşınır. Bilişim sistemine girme, verileri hukuka aykırı ele geçirme veya sistemi engelleme fiilleri TCK kapsamında Cumhuriyet başsavcılığına şikâyet edilir. İçeriğin internetten kaldırılması ya da erişimin engellenmesi talebi ise 5651 sayılı Kanun uyarınca sulh ceza hâkimliğinin görev alanındadır. Kaldırma talebiyle savcılığa, ceza şikâyetiyle Kurula gidilmesi, süreç boyunca içeriğin yayında kalması sonucunu doğurur.
Veri Sorumlusu Tarafında Bildirim Yükümlülüğü
İşlenen verilerin hukuka aykırı biçimde başkalarınca elde edilmesi hâlinde, veri sorumlusu ilgili kişiye ve Kurula gecikmeksizin bildirimde bulunmakla yükümlüdür. Bildirim süresi ve biçimi Kurul düzenlemeleriyle belirlendiğinden, olay anında güncel metnin kontrol edilmesi gerekir. Bildirimin geç yapılması, ihlalin kendisinden bağımsız ayrı bir yaptırım sebebi olabilir.
Aramanın Hukuka Uygunluğu
Ceza muhakemesi mevzuatı, bilgisayar kütüklerinde arama, kopyalama ve el koyma işlemleri için hâkim kararı arar. Bu usule uyulmadan elde edilen kayıtların delil değeri tartışmalı hâle gelir. Şirket içi inceleme yaparken de çalışanların kişisel alanlarına ilişkin sınırların gözetilmesi, sonradan aleyhe dönebilecek bir hukuka aykırılık iddiasını önler.
Veri ihlali dosyalarında teknik doğruluk ile hukuki usul birlikte yürür. Sisteminizin mimarisi ve olay kayıtları incelenmeden yapılacak yönlendirme eksik kalacağından, ilk müdahale planını hukukçu ve teknik ekiple birlikte kurmanız önerilir.