Bir müşteri veritabanının sızdırılması, kurumsal e-posta hesabının ele geçirilmesi veya sistem kayıtlarının izinsiz kopyalanması tek bir olaydır; ancak hukuken üç ayrı sonuç doğurur. Uygulamada en sık görülen kayıp, mağdurun bütün taleplerini tek bir dilekçeye sıkıştırıp yanlış makama sunması ve bu sırada delillerin uçucu doğası nedeniyle ispat zemininin erimesidir.
Fiili Üç Kanala Ayırın
Bilişim sistemine hukuka aykırı girme, sistemin işleyişini engelleme ve verileri hukuka aykırı biçimde ele geçirme fiilleri TCK 243-245 kapsamında ceza soruşturmasının konusudur; muhatap Cumhuriyet başsavcılığıdır. Veri sorumlusunun gerekli teknik ve idari tedbirleri almamış olması ise KVKK (6698) çerçevesinde idari denetimin konusudur ve Kişisel Verileri Koruma Kurulu tarafından değerlendirilir. Sızan içeriğin internette yayımlanması hâlinde yayının kaldırılması talebi 5651 sayılı Kanun çerçevesinde bambaşka bir yola aittir. Bu üç kanal aynı dilekçede birleştirilemez.
İlk Gün Toplanması Gereken Kayıtlar
- Sunucu ve uygulama günlükleri ile erişim kayıtlarının değiştirilmeden alınmış kopyaları
- Sızıntının nerede yayımlandığını gösteren tam adres bilgisi ve tarih damgalı görüntüler
- Kurum içi olay müdahale notları, kimin ne zaman haberdar olduğu
- Veri kümesinin kapsamı: kaç kişiye ait, hangi veri kategorileri
Kayıtların bütünlüğünü tartışmaya açmamak için imaj alma ve özet değeri hesaplama gibi adımların, sistemi kurcalamadan önce yapılması yerinde olur. Sonradan üretilmiş görünen bir çıktı, ceza dosyasında değerini büyük ölçüde yitirir.
Suç Duyurusunda Somutlaştırma
Savcılığa verilecek dilekçede fiilin hangi eylemle gerçekleştiği, hangi sisteme hangi tarihte erişildiği ve zararın nerede doğduğu ayrı ayrı yazılmalıdır. Şüpheli belli değilse bağlantı bilgilerinin ilgili sağlayıcılardan istenmesi açıkça talep edilir; aksi hâlde trafik kayıtlarının saklama süresi dolabilir. Yetki bakımından suçun işlendiği yer ile mağdurun bulunduğu yer farklı olabileceğinden, dilekçede yer unsuru gerekçelendirilmelidir.
Yanlış Kapıya Girmenin Bedeli
Kurula yapılan bir ihbar ceza soruşturmasını başlatmaz; savcılığa verilen dilekçe de idari yaptırım sürecini yürütmez. Dosya yanlış mercide beklerken hem olayın izleri silinir hem de veri sorumlusuna karşı ileri sürülecek taleplerin dayanağı zayıflar. Bu nedenle ilk gün üç dilekçenin eş zamanlı hazırlanması, sonradan telafi çabasından çok daha güvenlidir. İlgili kişi sıfatıyla yapılacak şikâyette önce veri sorumlusuna başvurma şartının bulunduğu, buna karşılık ihlalin ihbarında böyle bir ön adım aranmadığı ayrıca gözetilmelidir.
Buradaki değerlendirmeler genel çerçeveyi anlatır; her ihlalin teknik yapısı ve zaman çizelgesi farklıdır. Kendi olayınızda hangi kanalların birlikte işletileceğini bir hukukçuyla birlikte belirlemeniz yerinde olacaktır.