Bir hesabın ele geçirilmesi, sistem verilerinin sızdırılması veya kurum içi bilgilerin izinsiz kopyalanması hâlinde iki ayrı yol aynı anda işletilebilir: ceza soruşturması ve idari şikâyet. İkisinin usulü ve süresi farklıdır. Bu rehber, veri ihlalinde suç duyurusu sürecini, dijital delilin nasıl korunacağını ve şikâyet süresinin nasıl işlediğini ele alır.
Fiilin Doğru Nitelendirilmesi
Türk Ceza Kanunu, bilişim alanındaki suçları 243-245. maddelerde düzenler: sisteme hukuka aykırı erişim, verilerin bozulması veya yok edilmesi ve banka ya da kredi kartlarının kötüye kullanılması. Kişisel verilerin hukuka aykırı ele geçirilmesi, yayılması veya silinmemesi ise ayrı hükümlerde düzenlenmiştir. Aynı olay birden fazla suç tipini karşılayabilir. Şikâyet dilekçesinde fiili hukuken nitelendirmek zorunlu değildir; ancak olayın teknik akışını tarih ve saat sırasıyla anlatmak, soruşturmanın yönünü belirler.
Şikâyete Bağlı Suçlarda Altı Aylık Pencere
Bilişim alanındaki suçların bir kısmı resen soruşturulurken, bir kısmı şikâyete bağlıdır. Şikâyete bağlı suçlarda, fiili ve failin kim olduğunu öğrenmekten itibaren işleyen altı aylık süre içinde şikâyet edilmezse soruşturma imkânı ortadan kalkar. Uygulamada mağdurun "failin kim olduğunu" öğrendiği an tartışmalıdır; log kayıtları incelenmeden fail belirlenemiyorsa öğrenme anı da sonraya kayabilir. Bu nedenle şikâyeti fail belirlenene kadar ertelemek yerine, meçhul faile karşı derhâl başvurmak daha güvenlidir.
Dijital Delil Kaybının Önlenmesi
Bilişim dosyalarında en büyük risk, delilin doğası gereği hızla silinmesidir. 5651 sayılı Kanun kapsamında tutulan trafik kayıtlarının saklama süresi sınırlıdır; bu süre dolduğunda IP eşleştirmesi yapılamaz hâle gelir. Başvuru öncesinde şu adımlar atılmalıdır:
- Ekran görüntüleri yerine, mümkünse ham log ve e-posta başlıkları alınır.
- Cihazlar kapatılmadan ve biçimlendirilmeden uzman incelemesine sunulur.
- Erişim kayıtları, VPN ve oturum bilgileri kurum sisteminden dışa aktarılır.
- Şüpheli yazışmalar tarih ve saat damgasıyla birlikte saklanır.
- Dilekçede ilgili servis sağlayıcıdan kayıt talebi açıkça istenir.
Ceza Yolu ile İdari Yol Birlikte Yürür
Aynı olay, kişisel veri güvenliğinin sağlanamaması yönüyle KVKK kapsamında Kişisel Verileri Koruma Kurulu'na şikâyet konusu da olabilir. Veri sorumlusunun ihlali kurula bildirme yükümlülüğü ile mağdurun şikâyet hakkı ayrıdır. Ceza soruşturmasının açılmış olması idari şikâyeti engellemez; her iki dosyada elde edilen bilgi diğerini destekleyebilir. Bu nedenle iki başvurunun içeriği çelişmeyecek biçimde kurgulanmalıdır.
Kapanış
Veri ihlallerinde kaybedilen dosyaların çoğu, delil silindikten sonra başvurulmuş olanlardır. Buradaki anlatım genel bilgi vermeye yöneliktir; olayın kurumsal mı bireysel mi olduğu, verinin niteliği ve failin konumu izlenecek yolu değiştirir. İhlali fark ettiğiniz gün kayıtları dondurup hukuki destek almanız, sonraki tüm adımların temelini oluşturur.