Bilişim Suçu Mağduru Hangi Hukuki ve Cezai Yollara Başvurabilir?

5237 sayılı Türk Ceza Kanunu'nun "Bilişim Alanında Suçlar" başlıklı bölümü, temel olarak şu fiilleri suç olarak düzenler:

• TCK m. 243 – Bilişim sistemine girme: Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak girme ve orada kalmaya devam etme.
• TCK m. 244 – Sistemi engelleme, bozma, verileri yok etme veya değiştirme: Bir bilişim sisteminin işleyişini engellemek, bozmak, sistemdeki verileri yok etmek, değiştirmek veya erişilmez kılmak, sisteme veri yerleştirmek, var olan verileri başka bir yere göndermek.
• TCK m. 245 – Banka veya kredi kartlarının kötüye kullanılması: Başkasına ait banka veya kredi kartının, sahibinin veya kart hamilinin rızası dışında kullanılması ya da kullandırılması.

Bunların yanı sıra, kişisel verilere ilişkin suçlar TCK m. 135 ve devamı maddelerde ayrıca düzenlenmiştir; bu hükümler, kişisel verilerin hukuka aykırı olarak kaydedilmesi, ele geçirilmesi, başkasına verilmesi, yayılması veya yok edilmemesi gibi fiilleri cezalandırır.

Somut bir olayda birden fazla suç tipi aynı anda gerçekleşmiş olabilir; örneğin bir sisteme hukuka aykırı erişim sağlanıp ardından ele geçirilen kişisel veriler yayılmışsa, hem TCK m. 243 hem de TCK m. 135 ve devamı hükümleri birlikte değerlendirilir.

Bilişim suçlarında mağdur, doğrudan bilişim sisteminin sahibi (bir şirket, kurum veya birey) olabileceği gibi, sisteme kaydedilen kişisel verileri hukuka aykırı biçimde ele geçirilen kişiler de mağdur sıfatına sahip olabilir. Örneğin bir e-ticaret sitesinin veri tabanına sızılması hâlinde, hem şirketin kendisi (sistemine izinsiz girildiği için) hem de müşterilerinin her biri (verileri ele geçirildiği için) ayrı ayrı mağdur konumundadır.

Bilişim suçu mağduru, CMK m. 158 uyarınca Cumhuriyet Başsavcılığına veya kolluk birimlerine yazılı ya da sözlü şikâyette bulunarak suç duyurusunda bulunabilir. Şikâyet dilekçesinde:

• olayın nasıl ve ne zaman fark edildiği,
• sistemin ne şekilde etkilendiği veya hangi verilerin ele geçirildiği,
• varsa şüpheliye ilişkin bilgiler (IP adresi, e-posta, kullanıcı adı gibi),
• delil niteliğindeki teknik kayıtlar (log kayıtları, ekran görüntüleri, e-posta yazışmaları)

mümkün olduğunca ayrıntılı biçimde belirtilmelidir. Bu suçların çoğu şikâyete tabi olmayıp resen soruşturulabilir; ancak mağdurun ayrıntılı ve teknik bilgi içeren bir şikâyet dilekçesi sunması, soruşturmanın etkinliğini önemli ölçüde artırır.

Bilişim suçlarında delillerin niteliği gereği kolay değiştirilebilir veya silinebilir olması, hızlı hareket etmeyi gerektirir. Mağdurun şikâyet öncesinde veya şikâyetle birlikte dikkat etmesi gereken hususlar:

• etkilenen sistemlerin, mümkünse müdahale edilmeden mevcut hâliyle korunması,
• sunucu ve uygulama log kayıtlarının derhâl yedeklenmesi,
• şüpheli işlemlere ilişkin ekran görüntüleri ve zaman damgalarının kaydedilmesi,
• bankacılık işlemleri söz konusuysa ilgili bankaya derhâl bildirim yapılması ve işlem dökümlerinin talep edilmesi,
• gerekiyorsa bir bilişim güvenliği uzmanından teknik rapor alınması.

Bu deliller, hem soruşturma aşamasında hem de ilerleyen bir tazminat davasında belirleyici rol oynar.

Bilişim suçuna maruz kalan taraf, aynı zamanda kişisel veri işleyen bir veri sorumlusu ise (örneğin müşteri verisi tutan bir şirket), olay aynı zamanda bir veri ihlali niteliği taşır. Bu durumda veri sorumlusu:

• ihlali öğrendiği andan itibaren gecikmeksizin ve mümkünse öngörülen süre içinde Kurul'a bildirimde bulunmak,
• etkilenen ilgili kişileri de gerektiğinde bilgilendirmek

yükümlülüğü altındadır. Ceza soruşturması ile KVKK bildirim yükümlülüğü birbirinden bağımsızdır; suç duyurusunda bulunulmuş olması, ayrı olarak KVKK'daki ihlal bildirimi yükümlülüğünü ortadan kaldırmaz.

Bir bilişim suçu aynı zamanda KVKK ihlali de oluşturuyorsa, mağdur veya etkilenen ilgili kişiler:

• ceza soruşturması için suç duyurusunda bulunabilir,
• ayrıca kişisel verilerinin hukuka aykırı işlendiği gerekçesiyle Kurul'a şikâyette bulunabilir,
• uğradıkları zarar için genel hükümlere göre tazminat davası açabilir.

Bu üç yol birbirini dışlamaz; aynı olay farklı hukuki sonuçlar doğurabilir. Ceza yargılamasındaki mahkûmiyet kararı, ilerleyen bir tazminat davasında hukuka aykırılığın ispatını kolaylaştıran güçlü bir delil işlevi görebilir.

Bir şirketin sistemine yönelik saldırı, çoğu zaman yetersiz veri güvenliği tedbirlerinin bir sonucudur. KVKK m. 12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı erişime karşı korunması için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Bir saldırı sonrasında bu tedbirlerin yetersiz kaldığının tespit edilmesi, hem Kurul denetiminde hem de etkilenen kişilerin açacağı tazminat davalarında şirketin aleyhine değerlendirilebilir.

Ceza yargılamasında zamanaşımı süreleri, ilgili suçun kanunda öngörülen ceza miktarına göre TCK'daki genel hükümler çerçevesinde belirlenir. Tazminat talepleri bakımından ise haksız fiile ilişkin genel zamanaşımı kuralları uygulanır; zararın ve failin öğrenildiği tarih bu sürenin başlangıcı için önemlidir.

Bir şirketin bilişim sistemine yönelik saldırıya uğraması hâlinde, önceden hazırlanmış bir olay müdahale planının bulunması, hem hukuki hem de teknik açıdan büyük fark yaratır. Bu plan genel olarak; olayın ilk tespiti ve sınıflandırılması, etkilenen sistemlerin izole edilmesi, delillerin korunması, hukuk ve teknik ekiplerin koordinasyonu, gerekli bildirimlerin (Kurul, etkilenen kişiler, gerekiyorsa kolluk) yapılması ve olay sonrası iyileştirme adımlarını kapsar. Planı önceden hazırlamamış işletmeler, olay anında hem zaman kaybeder hem de delil kaybı riskiyle karşılaşır.

Bazı işletmeler, bilişim suçları ve veri ihlalleri nedeniyle doğabilecek zararlara karşı siber sigorta poliçesi yaptırmaktadır. Böyle bir poliçenin bulunması hâlinde, olay anında sigorta şirketine zamanında bildirim yapılması, hem hasar tespiti hem de hukuki danışmanlık masraflarının karşılanması açısından önemlidir. Poliçe kapsamının, ihlal bildirim masraflarını, hukuki savunma giderlerini ve üçüncü kişi taleplerini ne ölçüde karşıladığı önceden incelenmelidir.

• Olayı fark ettikten sonra log kayıtlarının ve delillerin zamanında yedeklenmemesi,
• suç duyurusunun teknik ayrıntı içermeyen, genel ifadelerle sınırlı bir dilekçeyle yapılması,
• KVKK bildirim yükümlülüğünün, suç duyurusunda bulunulduğu gerekçesiyle ihmal edilmesi,
• bankacılık işlemlerinde bankaya derhâl bildirim yapılmaması nedeniyle geri alınabilecek işlemlerin kaçırılması,
• şirketlerin saldırı sonrası güvenlik açığını gidermeden aynı sistemle faaliyete devam etmesi.

Bilişim suçu mağduriyeti, yalnız bir ceza soruşturması meselesi değil, aynı zamanda veri güvenliği, kişisel verilerin korunması ve tazminat hukukunun kesiştiği çok boyutlu bir süreçtir. Olayın hemen ardından delillerin korunması, doğru mercilere zamanında bildirim yapılması ve farklı hukuki yolların birlikte planlanması, mağdurun haklarını etkin biçimde korumasını sağlar.

Bilişim suçu mağduriyetiniz nedeniyle suç duyurusu, Kurul şikâyeti veya tazminat sürecinin birlikte yürütülmesi için Günser + Partners ile iletişime geçebilirsiniz.