Bir veri ihlali yaşandığında ilk saatlerde yapılanlar, sonraki aylarda yürütülecek hukuki sürecin sınırlarını çizer. TCK 243-245 kapsamındaki bilişim suçları, 5651 sayılı Kanun uyarınca içeriğe yönelik tedbirler ve KVKK kapsamındaki idari süreç aynı olaydan doğsa da farklı mercilerde ve farklı takvimlerde yürür. Bu rehber, delil zincirini bozmadan üç yolu paralel yürütmenin planını ele alır.
İlk Saatlerde Delilin Sabitlenmesi
Dijital delilin en kırılgan yanı, düzeltme çabasıyla yok edilmesidir. Sistemi hemen temizlemek, log kayıtlarını döndürmek veya sorumlu hesabı silmek iyi niyetle yapılsa da ispat imkânını ortadan kaldırır. Bu aşamada yapılması gerekenler şunlardır:
- Sunucu ve uygulama log kayıtlarının döngüsel silinmesinin durdurulması.
- Erişim kayıtlarının, IP ve zaman damgası bilgileriyle birlikte ayrı bir ortama kopyalanması.
- İhlale konu ekran görüntülerinin tarih ve saat görünür şekilde alınması, mümkünse noter tespitiyle desteklenmesi.
- Sistem üzerinde yapılan her müdahalenin kim tarafından ve ne zaman yapıldığının kayıt altına alınması.
Üç Paralel Yol, Üç Ayrı Mercii
Aynı olay bakımından ceza soruşturması Cumhuriyet başsavcılığında, içeriğin yayından kaldırılması veya erişimin engellenmesi talebi sulh ceza hâkimliğinde, veri sorumlusunun yükümlülüklerine ilişkin inceleme ise Kişisel Verileri Koruma Kurulu nezdinde yürür. Bu üç yolun birbirini beklemesi gerekmez; aksine ceza dosyasının sonucunu beklemek, idari başvuru bakımından süre kaybına yol açabilir.
Veri Sorumlusu Tarafında Bildirim Yükümlülüğü
İhlalin veri sorumlusu tarafında öğrenilmesi hâlinde, Kurula ve etkilenen ilgili kişilere bildirim yükümlülüğü doğar. Bildirim, Kurulun belirlediği kısa süre içinde yapılmalı ve içeriğinde ihlalin kapsamı, etkilenen veri kategorileri ile alınan önlemler yer almalıdır. Bildirimin geciktirilmesi, esas ihlalden bağımsız olarak ayrı bir yükümlülük ihlali olarak değerlendirilebilir. Bu nedenle iç soruşturma tamamlanmadan da eldeki bilgiyle bildirim yapılması, sonradan tamamlayıcı bilgi sunulması tercih edilmelidir.
Uzlaşma Kapsamı ve Dava Kararı
Bilişim sistemine girme ve verileri hukuka aykırı şekilde ele geçirme fiilleri bakımından uzlaştırma kurumunun uygulanabilirliği suçun niteliğine göre değişir; bu değerlendirme yapılmadan verilen beyanlar, sonraki aşamada aleyhe kullanılabilir. Zararın tazmini konusunda karşı tarafla yürütülen görüşmeler, ceza sürecindeki şikâyet ve idari başvuru süreleriyle çakışabilir. Bu nedenle görüşme takvimi ile başvuru takvimi tek bir tabloda tutulmalı, ödeme karşılığı verilecek her beyanın kapsamı yazılı olarak sınırlandırılmalıdır.
Bu içerik genel bilgilendirme niteliğindedir; ihlalin teknik yapısı ve etkilenen veri türü izlenecek yolu değiştirir. Somut olayda hem hukuki hem teknik değerlendirmenin birlikte yapılması yerinde olur.