Bir sisteme yetkisiz erişim ya da veri sızıntısı yaşandığında ilk saatlerde alınan kararlar, sonraki hukuki sürecin tamamını belirler. TCK 243-245 kapsamındaki bilişim suçları, 5651 sayılı Kanun ve KVKK yükümlülükleri aynı olayda birlikte gündeme gelebilir. Aşağıda dijital delilin nasıl korunacağı ve hangi makama ne için başvurulacağı ele alınmaktadır.
İlk Saatler: Kayıtların Dondurulması
Dijital delilin en zayıf yanı, kısa sürede üzerine yazılabilmesidir. Bu nedenle olay fark edildiğinde sistemin tamamen sıfırlanması yerine kayıtların korunması önceliklidir:
- Sunucu, uygulama ve güvenlik duvarı kayıtlarının saklama süresi uzatılır.
- Etkilenen cihazın imajı alınmadan biçimlendirme yapılmaz.
- Erişim kayıtları, zaman damgası ve IP bilgisiyle birlikte dışa aktarılır.
- Olayı fark eden personelin gözlemi aynı gün yazılı hale getirilir.
- Ekran görüntüleri, kaynağı belli olacak biçimde ve tarih bilgisiyle saklanır.
Delilin nasıl elde edildiği, içeriği kadar önemlidir; hukuka aykırı yolla edinilen kayıtlar sürecin aleyhe dönmesine yol açabilir.
Savcılık, Kurul ve Hâkimlik Aynı Şey Değildir
Bu alanda yanlış merciye başvuru çok yaygındır ve her makamın işlevi ayrıdır. Suç oluşturan fiiller için Cumhuriyet başsavcılığına şikâyette bulunulur. Kişisel verilerin hukuka aykırı işlenmesine ilişkin idari denetim için ilgili kurula başvurulur; veri sorumlusu bakımından ayrıca ihlal bildirimi yükümlülüğü doğabilir. İçeriğin yayından çıkarılması veya erişimin engellenmesi talebi ise sulh ceza hâkimliğine yöneltilir. Bunlardan birine yapılan başvuru, diğerinin yerine geçmez ve doğurduğu sonuçlar farklıdır.
Şikâyet Dilekçesinde Fiilin Tanımlanması
Dilekçede yalnızca hesabımın ele geçirildiği biçiminde bir anlatım yeterli olmaz. Sisteme nasıl girildiği, hangi verinin etkilendiği, olayın hangi tarih aralığında gerçekleştiği ve varsa maddi kaybın nasıl doğduğu ayrı paragraflarda yazılmalıdır. Ayrıca hangi kurumlardan hangi kayıtların istenmesini talep ettiğiniz açıkça belirtilmelidir; erişim sağlayıcı ve içerik sağlayıcı kayıtlarının süresi sınırlıdır.
Etkilenen Kişilere Bildirim
Veri sorumlusu konumundaki işletmeler bakımından ihlalin kayıt altına alınması, etkilenen kişilere ve ilgili kurula bildirim yapılması gereği doğabilir. Bildirimin gecikmesi, olayın kendisinden bağımsız bir yaptırım riski oluşturur. Bu nedenle teknik müdahale ile hukuki bildirim süreci eş zamanlı yürütülmelidir.
Bilgilendirme
Yukarıdaki açıklamalar genel niteliktedir. Olayın teknik yapısı, etkilenen veri türü ve tarafların sıfatı, izlenecek yolu tümüyle değiştirebilir. Böyle bir durumla karşılaşıldığında teknik inceleme ile hukuki değerlendirmenin birlikte yürütülmesi önerilir.