Veri ihlallerinde kaybedilen ilk saatler, hem idari yaptırım riskini hem de faile ulaşma ihtimalini doğrudan etkiler. TCK'nın bilişim suçlarına ilişkin hükümleri, 5651 sayılı Kanun ve KVKK çerçevesinde bu yazı, saat bazlı müdahale planına odaklanır.
Tespitten Bildirime: Sıkışan Zaman
Kişisel verilerin hukuka aykırı olarak ele geçirildiğinin öğrenilmesi hâlinde veri sorumlusu, ilgili kişilere ve Kişisel Verileri Koruma Kurulu'na en kısa sürede bildirim yapmakla yükümlüdür. Kurul, bu yükümlülük bakımından yetmiş iki saatlik bir bildirim penceresi belirlemiştir. Bu pencere, ihlalin öğrenildiği andan itibaren işlediği için olayın kim tarafından, ne zaman fark edildiğinin kayda geçirilmesi gerekir.
Delil Zinciri Nerede Kopar
Sistem yöneticisinin iyi niyetle yaptığı müdahaleler, çoğu zaman delili yok eder. Sunucunun yeniden başlatılması, log rotasyonunun devam etmesi ya da etkilenen makinenin formatlanması, failin izini tamamen silebilir. Bu nedenle teknik ekibin ilk refleksi onarım değil, imaj alma ve kayıtları dondurma olmalıdır. Kimin hangi saatte hangi işlemi yaptığı ayrı bir müdahale kaydında tutulmalıdır.
Adli ve İdari Sürecin Paralel Yürütülmesi
Aynı olay hem savcılığa yapılacak suç duyurusunu hem de KVKK kapsamındaki idari süreci gündeme getirir. Bu iki süreç birbirinden bağımsız işler; savcılık soruşturması sürüyor diye idari bildirim ertelenemez. Erişim sağlayıcı ve yer sağlayıcı nezdindeki trafik kayıtlarının belirli süreyle saklandığı dikkate alınarak, savcılıktan bu kayıtların temini erken aşamada talep edilmelidir.
Şikâyete Bağlı Suçlarda Altı Aylık Süre
Bilişim alanındaki bazı suçlar re'sen soruşturulurken, kişisel verilerin hukuka aykırı biçimde yayılması dışındaki bazı fiiller ve haberleşmenin gizliliğine ilişkin bazı hâller şikâyete bağlıdır. Şikâyete bağlı suçlarda fiilin ve failin öğrenilmesinden itibaren altı ay içinde şikâyet hakkının kullanılması gerekir. Bu süre kaçırıldığında ceza yolu kapanır, yalnızca tazminat yolu açık kalır.
İlk Yetmiş İki Saatte Yapılacaklar
- Etkilenen sistemler izole edilir, kapatılmaz; disk ve bellek imajları alınır.
- Log kayıtları ayrı bir ortama kopyalanır ve özet değerleriyle kaydedilir.
- İhlalin kapsamı, etkilenen veri kategorileri ve kişi sayısı belirlenir.
- Kurula ve ilgili kişilere yapılacak bildirim metinleri hazırlanır.
- Suç duyurusu dilekçesi, teknik ek raporla birlikte savcılığa sunulur.
Sonuç
Veri ihlallerinde hukuki sonuç, çoğunlukla teknik ekibin ilk gün aldığı kararlarla şekillenir. Hukuk ve bilgi işlem ekiplerinin aynı müdahale planına bakması, sonraki tüm aşamaları kolaylaştırır.
Yukarıdaki içerik genel bilgilendirme amaçlıdır. İhlalin niteliği bildirim yükümlülüğünün kapsamını değiştirebileceğinden, olay anında teknik ve hukuki desteği birlikte devreye almanız yerinde olur.