Bir kurumun sistemlerinden kişisel verilerin sızması, aynı anda iki ayrı hukuki hattı harekete geçirir: idari nitelikteki veri koruma süreci ve ceza soruşturması. Bu iki hat farklı mercilere, farklı takvimlere ve farklı delil standartlarına tabidir. Uygulamadaki en sık kayıp da buradan doğar; dosya tek bir kanala yönlendirilir, diğer kanalın süresi sessizce tükenir.
İhlal Bildirimi ile Suç Duyurusu Aynı Şey Değildir
Veri sorumlusunun 6698 sayılı KVKK kapsamındaki ihlal bildirimi, Kurul düzenlemesi uyarınca en kısa sürede ve yetmiş iki saati aşmayacak biçimde Kişisel Verileri Koruma Kurumuna yapılır; etkilenen ilgili kişilere de bildirim yükümlülüğü doğar. Bu bildirim bir şikâyet değil, idari bir yükümlülüğün yerine getirilmesidir. Sızmanın arkasında sisteme hukuka aykırı erişim, sistemi engelleme veya verileri hukuka aykırı biçimde ele geçirme varsa TCK 243-245 bakımından ayrıca suç duyurusu gerekir ve bunun muhatabı Cumhuriyet başsavcılığıdır.
Duyuru Hangi Başsavcılığa Yöneltilmeli
Bilişim suçlarında fiilin işlendiği yer çoğu zaman tartışmalıdır: sunucunun bulunduğu yer, verinin işlendiği merkez, mağdurun zarara uğradığı yer farklı olabilir. Duyuru dilekçesini mağdurun yerleşim yeri başsavcılığına vermek pratikte mümkün olsa da, dilekçede yetki iddiasının dayanağını açıkça belirtmek dosyanın aylarca yetkisizlikle dolaşmasını önler. Kurum çalışanının kasıtlı sızdırması ile dışarıdan gelen saldırı iddiası da aynı dilekçede birbirine karıştırılmamalıdır.
Delil Soğumadan Alınmalı
- Erişim ve işlem kayıtlarının saklama süresi sınırlıdır; ilk talep bu nedenle en acil adımdır
- Sızan verinin yayıldığı ortamın ekran görüntüsü tek başına zayıftır, zaman damgalı tespit tercih edilmelidir
- Kurum içi olay müdahale raporu, sonradan üretilmiş izlenimi doğurmayacak biçimde tarihlenmelidir
- 5651 sayılı Kanun kapsamında yayının kaldırılması talebi ayrı bir yol olarak paralel yürütülmelidir
Takvimi İki Sütunlu Kurun
Pratik bir çözüm, tek bir tabloda idari sütun ile ceza sütununu yan yana tutmaktır. İdari sütunda bildirim, ilgili kişi başvuruları ve Kurum yazışmaları; ceza sütununda duyuru tarihi, savcılık talepleri ve karar bekleyen aşamalar izlenir. Böylece bir sütundaki gecikme diğerini de gölgelemez. Şikâyete bağlı suç tipleri bakımından öğrenme tarihinin kayda geçirilmesi ayrıca önemlidir; çünkü bu tarih sonradan tartışma konusu olduğunda ispat yükü mağdur tarafında kalır.
Kovuşturmaya Yer Olmadığı Kararı Çıkarsa
Soruşturmanın kovuşturmaya yer olmadığı kararıyla kapanması ihtimali baştan hesaba katılmalıdır. Bu karara karşı itiraz yolu sulh ceza hakimliğine gider ve süresi kısadır; kararın tebliğ tarihini gösteren belge dosyada saklanmalıdır. İtiraz dilekçesi ilk duyurunun tekrarı olmamalı, eksik kalan teknik incelemeyi ve toplanmayan kaydı somut olarak göstermelidir.
Buradaki değerlendirmeler genel niteliktedir; sızmanın teknik yapısı, veri kategorisi ve kurumun konumu takvimi de merciyi de değiştirebilir. Dosyanızın kendi koşulları için bir hukukçuyla birlikte çalışmanız yerinde olur.