Bir veri ihlaliyle karşılaşan kişi veya kurumun karşısında iki ayrı saat aynı anda işlemeye başlar: şikâyete bağlı suçlar için kanunun öngördüğü başvuru süresi ve dijital delilin sistemlerde kalma süresi. TCK'nin bilişim alanındaki suçlara ilişkin 243 ilâ 245. maddeleri, 5651 sayılı Kanun ve KVKK birlikte devreye girdiğinde, sürecin hangi sırayla yürütüleceği sonucu belirler.
Şikâyet Süresi Hangi Suçlarda İşler
Bilişim alanındaki fiillerin bir kısmı resen soruşturulurken, kişisel verilerle ve haberleşmenin gizliliğiyle bağlantılı bazı fiiller şikâyete bağlıdır. Şikâyete bağlı suçlarda süre, fiilin ve failin öğrenilmesinden itibaren işler. Failin kim olduğunun bilinmediği ihlallerde bu başlangıç anı tartışmalıdır; bu nedenle ihlalin fark edildiği tarih, nasıl fark edildiğiyle birlikte yazılı olarak kayda geçirilmelidir.
Delilin Ömrü Şikâyet Süresinden Kısa Olabilir
Suç duyurusu süresinde yapılsa bile, dayanak kayıtlar silinmişse soruşturma sonuç vermez. Bu nedenle ilk gün yapılması gerekenler:
- Sunucu ve uygulama kayıtlarının bütünlüğü bozulmadan yedeklenmesi ve yedekleme anının belgelenmesi.
- Erişim sağlanan hesaplara ait oturum kayıtlarının, IP bilgilerinin ve zaman damgalarının toplanması.
- Ekran görüntülerinin tarih ve saat bilgisi görünür şekilde alınması.
- Etkilenen sistemin, mümkünse imajı alınmadan yeniden kurulmaması.
5651 sayılı Kanun kapsamındaki saklama yükümlülükleri sınırlı süreler öngördüğünden, üçüncü taraf sağlayıcılardaki kayıtların temini için delil tespiti veya soruşturma makamı kanalıyla talep gecikmeden yapılmalıdır.
Suç Duyurusu Dilekçesinin Kurgusu
Dilekçede olayın teknik anlatımı ile hukuki nitelendirme ayrı başlıklar hâlinde verilmelidir. Sistemin nasıl çalıştığı, yetkisiz erişimin hangi izlerle tespit edildiği ve hangi verinin etkilendiği anlaşılır biçimde açıklanmazsa, dosya teknik inceleme aşamasına geçmeden sonuçlanabilir. Etkilenen veri kategorileri ve etkilenen kişi sayısı da ayrıca belirtilmelidir.
Paralel Yürüyen İdari Süreç
Aynı olay, veri sorumlusu bakımından KVKK kapsamında bildirim yükümlülüğü doğurur ve bu yükümlülüğün kendi kısa takvimi vardır. Ceza soruşturmasının başlatılmış olması bu idari yükümlülüğü ortadan kaldırmaz. İki sürecin belgeleri ortak bir dosyada tutulmalı, ancak dilekçelerin dili ve muhatabı ayrı kurgulanmalıdır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. İhlalin türü, etkilenen sistemin yapısı ve tarafların sıfatı süreç ve süre değerlendirmesini değiştirebileceğinden, ilk teknik müdahaleyle birlikte hukuki görüş alınması önerilir.