Bir veri ihlali fark edildiğinde kaybedilen en değerli şey çoğu zaman veri değil, zamandır. Dijital iz kısa sürede değişebilir, silinebilir veya saklama süresi dolduğu için erişilemez hâle gelebilir. TCK'nın 243-245. maddeleri bilişim sistemine girme, sistemi engelleme ve verileri hukuka aykırı biçimde ele geçirme fiillerini yaptırıma bağlarken, 5651 sayılı Kanun içerik ve erişim tarafındaki tedbirleri, KVKK ise kişisel veri güvenliğine ilişkin yükümlülükleri düzenler. Suç duyurusu bu üç eksenin kesiştiği noktada hazırlanır.
İlk Yirmi Dört Saatte Yapılması Gerekenler
- Etkilenen sistemin durumu bozulmadan kayıt altına alınır; mümkünse imaj alınır.
- Sunucu, uygulama ve güvenlik duvarı günlük kayıtları ayrı bir ortama kopyalanır.
- İhlalin fark edildiği an, kim tarafından fark edildiği ve ilk müdahalenin ne olduğu tutanağa bağlanır.
- Etkilenen veri kategorileri ve yaklaşık kayıt sayısı belirlenir.
- Erişim yetkileri gözden geçirilir ve değişiklikler tarihiyle kaydedilir.
Suç Duyurusu Dilekçesini Zayıflatan Alışkanlıklar
Dilekçelerde en sık görülen sorun, teknik anlatımın hukuki nitelendirmeden kopmasıdır. Ekran görüntülerinden oluşan kalın bir ek dosyası, hangi fiilin hangi hükümle ilişkilendirildiği açıklanmadığı sürece soruşturmayı hızlandırmaz. Bunun yerine olay akışının kısa bir kronolojiyle anlatılması, ardından her adıma karşılık gelen kaydın gösterilmesi tercih edilmelidir. Failin kim olduğuna dair kesin bir isim verilemiyorsa, isim yerine iz üzerinden tespit talebinde bulunulması daha sağlıklıdır.
Şikâyete Tabi Olma Sorusunu Baştan Sormak
Bilişim alanındaki fiillerin bir kısmı doğrudan soruşturulurken, bazıları bakımından şikâyet aranabilir. Fiilin niteliği belirlenmeden hareket edilmesi, süreye tabi bir hakkın farkında olmadan tüketilmesine yol açabilir. Aynı olayın hem ceza hem kişisel veri boyutu bulunduğunda, iki sürecin paralel yürütülmesi ve birinde verilen beyanların diğeriyle çelişmemesi gözetilmelidir.
İçerik Yayıldıysa Erişim Tarafındaki Tedbirler
Ele geçirilen veriler internet ortamında yayımlanmışsa, ceza soruşturmasının sonucunu beklemeden içeriğin çıkarılması veya erişimin engellenmesine yönelik talepler gündeme gelir. Bu talepler sulh ceza hâkimliğine yöneltilir ve zararın büyümesini durdurma işlevi görür. Talep dilekçesinde içeriğin bulunduğu adreslerin tek tek ve doğrulanabilir biçimde gösterilmesi beklenir.
Veri Sorumlusu Sıfatı Varsa Ek Yükümlülük
İhlale uğrayan taraf aynı zamanda veri sorumlusu ise, ilgili kişilere ve denetim otoritesine bildirim yükümlülüğü ayrıca değerlendirilir. Ceza sürecine odaklanıp bu yükümlülüğün gözden kaçırılması, mağdur konumundaki kuruluşun ayrıca idari yaptırımla karşılaşmasına neden olabilir.
Yukarıdaki açıklamalar genel çerçeve niteliğindedir; her ihlalin teknik yapısı ve etkilediği veri türü farklıdır. Delillerin bozulmadan korunması bakımından, müdahale kararlarının erken aşamada hukuki ve teknik destekle birlikte alınması önerilir.