Bir sistemin izinsiz ele geçirilmesi ya da kayıtların dışarı sızması hâlinde zaman, mağdurun aleyhine işler. Log kayıtları döner, sunucular yeniden kurulur, ekran görüntüleri bağlamından kopar. Bu rehber, veri ihlali olaylarında suç duyurusunu delil kaybı yaşanmadan hazırlamaya odaklanır.
Aynı Olayın Üç Ayrı Hukuki Yüzü
Veri ihlali tek bir başvuruyla tüketilmez. Olay, TCK 243 ile 245 arasında düzenlenen bilişim sistemine girme, sistemi engelleme ve verileri hukuka aykırı olarak ele geçirme suçları bakımından ceza soruşturmasını; KVKK bakımından idari denetim ve bildirim yükümlülüğünü; zarar doğmuşsa ayrıca tazminat talebini gündeme getirir. Bu üç hattın birbirini beslediği nokta delil dosyasıdır; aynı kayıtlar her üç süreçte de kullanılır.
Delili Bozmadan Toplamak
- Etkilenen cihaz ve sunucunun mümkün olduğunca değiştirilmeden korunması
- Sistem kayıtlarının zaman damgasıyla birlikte dışa aktarılması
- Ekran görüntülerinde tarih, saat ve adres çubuğunun görünür bırakılması
- Yazışmaların özgün dosya formatıyla saklanması
- Kimin hangi kaydı ne zaman aldığının ayrı bir tutanakla not edilmesi
Suç Duyurusu Dilekçesinde Somutlaştırma
Savcılığa sunulacak dilekçede olayın anlatımı kadar, hangi işlemin talep edildiği de önemlidir. Erişim sağlayıcı nezdindeki bağlantı kayıtlarının istenmesi, ödeme yapılmışsa banka hareketlerinin celbi, kullanılan hesap ve numaralara ilişkin abone bilgilerinin sorulması gibi talepler açıkça yazılmalıdır. 5651 sayılı Kanun kapsamında tutulan kayıtların belirli bir süre sonunda silinebileceği dikkate alınarak, bu taleplerin gecikmeden dosyaya girmesi gerekir.
Kurumsal Tarafta Eşzamanlı Yükümlülük
- İhlalin kapsamı ve etkilenen veri kategorileri tespit edilir.
- KVKK kapsamındaki bildirim yükümlülüğü değerlendirilir ve gecikmeden yerine getirilir.
- İlgili kişilere yapılacak bilgilendirmenin içeriği hazırlanır.
- Alınan teknik ve idari tedbirler tarihleriyle kayda geçirilir.
- Tedarikçi ya da hizmet sağlayıcı kaynaklı ihlallerde sözleşmesel sorumluluk incelenir.
Tebligat ve Süreç Takibi
Soruşturma sonunda verilecek karar tebliğ edildiğinde itiraz süresi işlemeye başlar. Şikâyetçinin adresi güncel değilse ya da bildirim vekile yapılmıyorsa, karar öğrenilmeden süre tükenebilir. Dosya numarası alındığı anda takip sorumluluğunun kimde olduğunun belirlenmesi, bu riski önler.
Bu açıklamalar genel niteliktedir; sistemin yapısı ve verinin türü izlenecek yolu değiştirebilir. İhlal fark edildiği anda teknik ekip ile hukuki değerlendirmenin birlikte yürütülmesi, delillerin kullanılabilir kalmasını sağlar.