Bir sistemin yetkisiz erişime uğradığı fark edildiğinde ilk saatler, hem teknik hem hukuki açıdan belirleyicidir. Veri ihlali vakalarında suç duyurusunun başarısı, çoğunlukla iddianın gücünden çok, dijital izlerin bozulmadan kayda alınıp alınmadığına bağlıdır. Bu rehber, olayın tespitinden savcılık aşamasına uzanan zaman çizelgesini ve paralel yürüyen idari yükümlülükleri ele alır.
İlk 72 Saatte İki Ayrı Yükümlülük
Olay hem TCK'nın bilişim suçlarına ilişkin 243-245. maddeleri kapsamında bir ceza soruşturmasının, hem de KVKK bakımından idari bir bildirim yükümlülüğünün konusu olabilir. Veri sorumlusu sıfatı taşıyan işletmeler yönünden Kurul düzenlemesi uyarınca ihlalin öğrenilmesinden itibaren makul bir sürede -uygulamada 72 saat olarak belirlenmiş bildirim penceresi içinde- Kurula bildirim yapılması beklenir. Ceza şikâyeti bu bildirimin yerini tutmaz; iki süreç ayrı ayrı yürütülür.
Delilin Bütünlüğünü Koruyan Adımlar
- Etkilenen sistem kapatılmadan önce bellek ve log durumu değerlendirilir.
- Sunucu, güvenlik duvarı ve uygulama logları değiştirilmeden kopyalanır; kopyaların özet değeri alınır.
- Erişim kayıtlarında zaman dilimi bilgisi netleştirilir; farklı kaynaklar aynı saat dilimine göre hizalanır.
- Şüpheli bağlantı adresleri, hesap hareketleri ve yönetici oturumları tabloya işlenir.
- Sistem üzerinde inceleme yapan personelin işlemleri de ayrıca tutanağa bağlanır.
Şikâyet Dilekçesinin Kurgusu
Dilekçede teknik anlatının hukuki nitelendirmeden ayrı tutulması, dosyanın anlaşılabilirliğini artırır. Sisteme girme, verinin ele geçirilmesi, yayılması veya değiştirilmesi farklı fiillerdir ve delil ihtiyaçları da farklıdır. Ayrıca 5651 sayılı Kanun kapsamında yer sağlayıcı ve içerik sağlayıcıdan trafik bilgisi istenmesi talebinin dilekçede açıkça yer alması, kayıtların saklama süresi dolmadan temin edilmesini kolaylaştırır.
Zamanaşımı ve Gecikmenin Bedeli
Bilişim suçlarında gecikmenin en somut sonucu, teknik kayıtların yasal saklama süresi dolduğunda erişilemez hale gelmesidir. Failin tespiti çoğu zaman bu kayıtlara bağlı olduğundan, şikâyetin ertelenmesi fiilen delilsiz kalma riski doğurur. İhlalin çalışan kaynaklı olduğu hallerde iş hukuku boyutu da eş zamanlı değerlendirilmelidir.
Uzlaşma Görüşmeleri ve Ceza Süreci
- Zarar gören şirketle şüpheli arasındaki tazminat görüşmesi, ceza sürecini kendiliğinden sona erdirmez.
- Tazminat karşılığı şikâyetten vazgeçme, suçun niteliğine göre sonuç doğurmayabilir.
- Görüşmelerde paylaşılan teknik bilgi, karşı tarafa savunma hazırlığı imkânı verebilir.
- Anlaşma metni, kişisel verisi ihlal edilen üçüncü kişilerin taleplerini kapatmaz.
Bu içerik yol gösterici genel bilgi niteliğindedir. Vakanın kapsamı, etkilenen veri kategorileri ve kurumsal yapı sonucu doğrudan etkilediğinden, teknik inceleme ve hukuki değerlendirmenin birlikte yürütülmesi tavsiye edilir.