Bir şirketin müşteri veritabanının sızdırılması, çalışan kayıtlarının kopyalanması veya bir e-posta hesabının ele geçirilmesi hâlinde ilk saatlerde alınan kararlar, sonraki ceza soruşturmasının kaderini belirler. Veri ihlali olaylarında suç duyurusu, teknik müdahaleden bağımsız yürüyen ayrı bir hattır ve kendi süre baskısını taşır.
İhlalin Fark Edildiği İlk Gün: Delil Dondurma
Bilişim suçlarında delil, doğası gereği kırılgandır. Sunucu logları rotasyona girer, bulut hizmet sağlayıcısı kayıtları belirli süre sonra siler, ele geçirilen cihaz yeniden kurulur. Bu nedenle şikâyet dilekçesinden önce yapılması gereken iş, mevcut kaydın olduğu gibi muhafazasıdır:
- Sunucu ve uygulama loglarının yazma kapatılarak imajının alınması
- Erişim kayıtlarında IP, oturum ve zaman damgası alanlarının bütün hâlde saklanması
- Sızdırılan verinin yayıldığı platformlardaki görüntülerin tarih görünecek biçimde tespiti
- Kimin, hangi yetkiyle, hangi cihazdan eriştiğine dair yetki matrisinin dondurulması
Hangi Fiil, Hangi Suç Tipine Oturuyor
Dilekçede fiilin hukuki nitelendirmesi tek bir kalıba sıkıştırılmamalıdır. TCK’nın bilişim alanındaki suçları düzenleyen 243-245. maddeleri sisteme hukuka aykırı giriş, sistemi engelleme veya verileri bozma ile banka ve kredi kartlarının kötüye kullanılması gibi ayrı fiilleri kapsar; kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi veya yayılması ise TCK’nın özel hayata ilişkin bölümünde ayrıca yaptırıma bağlanmıştır. Aynı olayda birden fazla suçun oluşması mümkündür; bu ihtimallerin dilekçede birlikte ileri sürülmesi, savcılığın kapsamı daraltmasını önler.
Süre Riskinin Doğduğu Nokta
Şikâyete bağlı suçlarda kanunda öngörülen şikâyet süresi, failin ve fiilin öğrenilmesinden itibaren işlemeye başlar. Veri ihlallerinde tehlike şuradadır: kurum ihlali fark eder, aylarca iç inceleme ve teknik danışmanlık aşamasında bekler, failin kimliğine dair bulguya ulaştığında sürenin önemli kısmı tükenmiş olur. Öğrenme anını kayıt altına almak, ihlal tespit tutanağının tarihli tutulması ve iç yazışmaların saklanması, sonradan sürenin başlangıcını tartışabilmenin tek yoludur. 5651 sayılı Kanun kapsamında tutulan trafik kayıtlarının saklama süresi de bağımsız bir sayaç olarak işler; geç yapılan başvuruda kayıtlar artık talep edilemez hâle gelebilir.
Paralel Yürüyen İdari Hat
Ceza şikâyeti, 6698 sayılı KVKK kapsamındaki ihlal bildirimi yükümlülüğünün yerini almaz. Veri sorumlusu sıfatı taşıyan kurum bakımından Kurula bildirim ve ilgili kişilere bilgilendirme ayrı bir sorumluluk alanıdır. Suç duyurusu yapılmış olması bu yükümlülüğü ertelemez; tersine, iki dosyanın çelişkili anlatım içermemesi için olay kronolojisinin tek bir metinden üretilmesi önerilir.
Dosya Kapanmadan Önce Kontrol Edilecekler
- Şikâyet dilekçesinde failin belirlenmesine yarayacak somut talepler yazıldı mı (log temini, IP sorgusu, erişim kayıtlarının celbi)
- Zarar gören gerçek kişilerin katılma iradesi soruldu mu
- Takipsizlik ihtimaline karşı itiraz için hazır bir gerekçe taslağı var mı
- Aynı fiilden doğan tazminat talebi için zamanaşımı ayrıca takvime işlendi mi
Buradaki değerlendirmeler genel nitelikte olup her ihlalin teknik yapısı ve zaman çizelgesi farklıdır. Kendi olayınızda hangi sürenin ne zaman başladığını belirlemek için dosyanın bir hukukçu tarafından incelenmesinde yarar vardır.