Sızdırılan bir veri kümesi internette yayıldığında iki saat sonraki tablo ile iki gün sonraki tablo aynı olmaz. Bu nedenle içerik kaldırma sürecinde belirleyici olan hukuki argüman kadar, delilin ne kadar erken sabitlendiğidir. TCK'nın bilişim suçlarına ilişkin 243-245. maddeleri, 5651 sayılı Kanun ve KVKK, aynı olayın farklı yüzlerine dokunduğundan her birinin gerektirdiği delil de farklıdır.
İlk 48 Saatte Yapılması Gerekenler
Kaldırma kararı alındıktan sonra içerik silindiğinde, ihlalin varlığını gösteren kanıt da birlikte kaybolabilir. Bu yüzden sabitleme, kaldırma talebinden önce gelir:
- İçeriğin tam URL'si, ekran görüntüsü ve sayfa kaynağının tarih bilgisiyle kaydedilmesi
- Aynı içeriğin ayna sitelerde ve arama motoru önbelleğinde bulunan kopyalarının listelenmesi
- Erişim kayıtlarının, sistem günlüklerinin ve varsa sızıntı bildirimi e-postalarının değiştirilmeden saklanması
- İnceleme yapılacaksa imaj alınması ve özet değeri üretilerek bütünlüğün gösterilmesi
- Noter aracılığıyla tespit yaptırılması veya sulh ceza hakimliğinden delil tespiti istenmesi
Hangi Yol Hangi Sonucu Verir
Talep tek bir mercie yöneltilmez. 5651 çerçevesinde erişimin engellenmesi veya içeriğin çıkarılması yolu hızlı sonuç üretmeye elverişlidir; kişisel verinin hukuka aykırı işlenmesi yönü Kurul'a şikayet konusudur; failin cezai sorumluluğu ise savcılığa yapılacak suç duyurusunu gerektirir. Bu üç kanalın aynı olgu anlatımını taşıması, ancak farklı talep sonucu içermesi beklenir. Aynı dilekçenin üç yere gönderilmesi çoğu zaman eksik değerlendirme doğurur.
Veri Sorumlusu Tarafında Savunma Delili
Sızıntının hedefi olan şirket açısından ispat yükü tersine döner: alınan teknik ve idari tedbirlerin ihlal anından önce mevcut olduğunun gösterilmesi gerekir. Envanter kayıtları, yetkilendirme matrisi, sızma testi raporları, log tutma politikası ve olay müdahale tutanakları bu bakımdan sonradan üretilemeyecek belgelerdir. İhlal bildiriminin yapıldığı tarihin ve ilgili kişilere yapılan duyurunun kaydı da savunmanın ayrılmaz parçasıdır.
Bildirim ve Tebligat Gecikmesinin Bedeli
Bu alanda süre kaybı iki noktada ortaya çıkar. Birincisi, veri sorumlusuna yapılan başvuruya cevap verilmemesi halinde Kurul'a şikayet için beklenen sürenin yanlış hesaplanmasıdır. İkincisi, kurum yazışmalarının kayıtlı elektronik posta veya tebligat adresine ulaşmasına rağmen ilgili birime iletilmemesi ve cevap süresinin sessizce dolmasıdır. KEP kutusunun düzenli izlenmesi, başvuru tarihlerinin tek bir takvimde tutulması ve cevap yazılarının tebliğ tarihinin kaydedilmesi bu riski belirgin biçimde azaltır.
Olayın teknik yapısı ve verinin niteliği izlenecek yolu değiştirir. Bu yazı genel bilgilendirme amacı taşır; somut sızıntı dosyanızda hem hukuki hem teknik değerlendirmenin birlikte yürütülmesi uygun olacaktır.