Bir hesabın ele geçirilmesi, şirket sisteminden kayıt sızması veya kişisel bilgilerin izinsiz yayılması hâlinde mağdurun karşısına aynı anda birden fazla başvuru kanalı çıkar. Veri ihlali dosyalarında en sık yapılan hata, hepsini tek bir dilekçeyle tek bir mercie sunmaktır. TCK'nın bilişim suçlarına ilişkin hükümleri, 5651 sayılı Kanun ve KVKK farklı sonuçlar üreten üç ayrı hattır.
Üç Hattı Baştan Ayırın
- Cezai hat: sisteme hukuka aykırı erişim, verileri hukuka aykırı ele geçirme veya yayma iddiaları Cumhuriyet başsavcılığına yapılacak suç duyurusunun konusudur.
- İdari hat: veri sorumlusunun güvenlik yükümlülüğünü ihlal ettiği iddiası, önce veri sorumlusuna başvuru sonra Kişisel Verileri Koruma Kurulu şikâyeti hattında ilerler.
- İçerik hattı: yayılan içeriğin kaldırılması veya erişimin engellenmesi talebi 5651 kapsamında ayrı bir usule tabidir ve savcılığa yapılan şikâyetle kendiliğinden sonuçlanmaz.
Bu üç hat birbirinin alternatifi değildir; paralel yürütülebilir. Ancak biri diğerinin süresini korumaz.
Suç Duyurusu Dilekçesini Kurmak
- Olay, teknik terim yığını olmadan zaman sırasıyla anlatılır: ilk anormal hareket, fark ediliş anı, alınan tedbirler.
- Etkilenen hesap, sistem ve veri türü tek tek sayılır.
- Şüpheli biliniyorsa kimlik bilgisi, bilinmiyorsa iz bırakan veriler gösterilir.
- Hangi kayıtların hangi kurumdan istenmesi gerektiği açıkça talep edilir: log kayıtları, IP eşleştirmesi, hat abone bilgisi, banka hareketleri.
- Delillerin kaybolma ihtimali nedeniyle ivedi araştırma talebi ayrıca yazılır.
Dijital Delil Kaybolmadan Toplanır
Bilişim dosyalarında en kırılgan unsur, delilin ömrüdür. Kayıtların saklama süreleri sınırlıdır; gecikme, sonradan telafi edilemez. Bu nedenle şikâyet öncesinde ekran görüntüleri tarih ve saat görünecek biçimde alınmalı, cihaz mümkünse formatlanmamalı, şüpheli bağlantı ve e postalar başlık bilgileriyle birlikte saklanmalıdır. Delilin nasıl elde edildiği de kayda geçmelidir; hukuka aykırı yolla toplanan verinin dosyaya katkısı tartışmalı hâle gelir.
Kurum İçi İhlal Bildirimi Ayrı Bir Yükümlülük
Olayın mağduru bir kurumsa, dışarıya suç duyurusu yapmak yükümlülüğün tamamını karşılamaz. KVKK kapsamında veri sorumlusunun ihlali Kurula ve ilgili kişilere bildirmesi ayrı bir görevdir ve bu bildirimin gecikmesi bağımsız bir yaptırım riski doğurur. Şirketlerde teknik müdahale ekibi ile hukuk hattının aynı anda devreye girmesi, sonradan sorumluluk tartışmasını hafifletir.
İçeriğin Yayılması Devam Ediyorsa
Sızan veri hâlen erişilebilir durumdaysa, ceza soruşturmasının sonucunu beklemek zararı büyütür. İçeriğin kaldırılması ve erişimin engellenmesi talepleri kendi usulünde ve hızlı biçimde yürütülmelidir; bu talep ile şüphelinin cezalandırılması talebi ayrı dilekçelerde ele alındığında her ikisi de daha net sonuç verir.
Bu metin genel bilgilendirme niteliğindedir. Olayın teknik yapısı ve tarafların sıfatı başvuru sırasını değiştirebileceğinden, ihlali fark ettiğiniz ilk gün hem teknik hem hukuki değerlendirmenin birlikte yapılması önerilir.