Bir veri ihlali fark edildiğinde ilk saatlerde verilen kararlar, sonraki bütün hukuki süreçlerin kaderini belirler. Sistemin aceleyle kapatılması, kayıtların temizlenmesi veya cihazın üçüncü kişiye teslim edilmesi, ihlali kanıtlayacak izlerin geri dönülemez biçimde kaybolmasına yol açar. Bu rehber, veri ihlalinde delil zincirinin nasıl korunacağını ve hangi başvurunun hangi sırayla yapılacağını ele alır.
İlk Saatler: Tespit ve Bildirim
6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusuna işlenen verilerin hukuka aykırı olarak ele geçirilmesi hâlinde ilgili kişiye ve Kurula bildirim yükümlülüğü getirir. Kurulun ilke kararı doğrultusunda bu bildirimin ihlalin öğrenilmesinden itibaren yetmiş iki saat içinde yapılması beklenir. Bildirim metninde ihlalin başlangıç zamanı, etkilenen veri kategorileri ve alınan tedbirler yer almalıdır; bu metin sonradan delil olarak da değerlendirilir.
Delilin Bozulmadan Alınması
- Sistem ve uygulama günlük kayıtlarının saklama süresi dolmadan yedeklenmesi
- Disk imajının alınması ve özet değerinin kayıt altına tutulması
- Erişim kayıtlarının kullanıcı, IP ve zaman damgasıyla birlikte listelenmesi
- İncelemeyi kimin, ne zaman, hangi yöntemle yaptığının tutanağa bağlanması
- Cihazın el değiştirme aşamalarının kesintisiz biçimde belgelenmesi
Delil zincirinin kopması, teknik olarak doğru bir tespitin bile hukuki değerini zayıflatır. Bu nedenle inceleme, mümkün olduğunca orijinal veri üzerinde değil kopya üzerinde yürütülmelidir.
Ceza Süreci: Hangi Kapı
Bilişim sistemine hukuka aykırı erişim, sistemi engelleme, verileri bozma veya yok etme fiilleri Türk Ceza Kanununun bilişim suçlarına ilişkin hükümlerinde; kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi ve ele geçirilmesi ise özel hayata ve hayatın gizli alanına ilişkin hükümlerde düzenlenmiştir. Şikâyet Cumhuriyet başsavcılığına yapılır. Dijital materyalde arama, kopyalama ve elkoyma işlemleri usul kanununda hâkim kararı koşuluna bağlandığından, mağdurun kendi imkânlarıyla topladığı verilerin nasıl elde edildiği ayrıca açıklanmalıdır.
İçerik Kaldırma ve Erişim Engelleme
Sızdırılan veriler internette yayımlanmışsa, 5651 sayılı Kanun kapsamında içeriğin çıkarılması veya erişimin engellenmesi talebi ayrı bir yol olarak işletilir. Bu talep, kişilik hakkı ihlali iddiasına dayandığında sulh ceza hâkimliğinin görev alanındadır ve hızlı sonuç verecek biçimde kısa süreli işletilir. Ceza şikâyetiyle karıştırılması, en zaman kritik adımın gecikmesine neden olur.
Üç Sürecin Eşzamanlı Yürütülmesi
İdari süreç Kurul nezdinde, ceza süreci savcılık nezdinde, tazminat talebi ise hukuk mahkemesinde yürür ve biri diğerinin yerine geçmez. Üçünün de dayandığı delil kümesi aynı olduğundan, tek bir delil dosyası kurulup her başvuruya aynı kaynaktan referans verilmesi tutarlılığı korur. Başvuru tarihleri ve verilen cevaplar da bu dosyada tarih sırasıyla tutulmalıdır.
Yukarıdaki çerçeve genel bilgilendirme amacı taşır; ihlalin türü, etkilenen kişi sayısı ve sistem mimarisi farklı adımlar gerektirebilir. İlk tespit anında teknik ve hukuki desteği birlikte almanız, delil kaybını önlemek bakımından belirleyici olacaktır.