Veritabanı Saldırısı Sonrası Hukuki Süreç

Veritabanı Saldırısı (Data Breach) Sonrası Hukuki Süreç ve Kriz Yönetimi

Dijital ekonomide veritabanları, işletmelerin en stratejik varlıkları olan müşteri datalarını, finansal kayıtları ve ticari sırları ihtiva eder. Bu sistemlere yönelik gerçekleştirilen yetkisiz erişimler (SQL Injection, kaba kuvvet saldırıları vb.), sadece teknik bir güvenlik zafiyeti değil; 6698 sayılı KVKK ve Türk Ceza Kanunu nezdinde ağır yaptırımları tetikleyen bir hukuk krizidir. Veri ihlali sonrası yürütülecek süreçte teknik müdahale kadar, yasal bildirimlerin süresinde yapılması ve dijital delillerin muhafazası, işletmenin idari para cezalarından ve tazminat yükümlülüklerinden korunması açısından hayati önem taşır.

1. İlk Müdahale ve Dijital Delil Güvenliği

Saldırı tespit edildiği anda sistemde yapılacak hatalı bir işlem, faile ulaşmayı imkansız kılabileceği gibi işletmenin yargılama aşamasındaki savunmasını da zayıflatabilir.

Sistem İzolasyonu: Saldırının derinleşmesini önlemek amacıyla internet bağlantısı kesilmeli, ancak sunucular kapatılmamalıdır (RAM üzerindeki uçucu verilerin kaybolmaması için).
Adli Bilişim (Forensics) İncelemesi: Bağımsız uzmanlarca hazırlanacak teknik rapor; saldırının yöntemi, etki alanı ve alınan güvenlik önlemlerinin yeterliliği konusunda mahkemeler nezdinde bir sübut vasıtasıdır.
Log Kayıtlarının Muhafazası: Erişim kayıtları (loglar), zaman damgası (timestamp) ile mühürlenerek değiştirilemez bir formda saklanmalıdır.

2. KVKK Bildirim Zorunluluğu: 72 Saat Kuralı

KVKK m. 12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak elde edildiğini öğrendiği andan itibaren;

Kurul Bildirimi: En geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na veri ihlal bildirimi yapmalıdır.
İlgili Kişi Bildirimi: Verisi etkilenen kişilere (müşteri, çalışan vb.) makul olan en kısa sürede doğrudan veya web sitesi üzerinden ilan yoluyla bilgi verilmelidir.
Yaptırım Riski: Bildirim yükümlülüğünün yerine getirilmemesi, veri güvenliği ihlalinden bağımsız olarak ağır idari para cezalarına yol açar.

3. Adli Süreç ve Savcılık Şikayeti

Şirketin "mağdur" sıfatının tescili ve sorumluluğun şahsiliği ilkesinin işletilmesi için Cumhuriyet Başsavcılığı Bilişim Suçları Bürosuna suç duyurusunda bulunulmalıdır.

İlgili Suç Tipleri: TCK m. 243 (Bilişim sistemine girme), TCK m. 244 (Verileri yok etme/değiştirme) ve TCK m. 136 (Kişisel verileri yayma) uyarınca faillerin tespiti talep edilmelidir.
Hukuki Korunma: Savcılık başvurusu, ileride müşterilerce ikame edilecek tazminat davalarında işletmenin "basiretli tacir" (TTK m. 18) olarak üzerine düşen denetim ve bildirim yükümlülüğünü yerine getirdiğinin kanıtıdır.

4. Tazminat Sorumluluğu ve Rücu Mekanizması

Veri sızıntısı, işletmeyi paydaşları karşısında maddi ve manevi tazminat riskiyle karşı karşıya bırakır.

Müşteri ve İş Ortağı Davaları: Verisi çalınan kişiler, mahremiyet ihlali ve olası dolandırıcılık riskleri nedeniyle manevi tazminat talebinde bulunabilirler.
Dış Hizmet Sağlayıcılara Rücu: Eğer saldırı; hizmet alınan yazılım veya sunucu yönetim firmasının (outsource) ihmalinden (güncelleme eksikliği, güvenlik açığı vb.) kaynaklanıyorsa, işletmenin ödediği tazminatlar ve idari cezalar için bu firmalara rücu davası açılabilir.

Sıkça Sorulan Sorular

Veriler şifreli (kriptolu) saklanıyorsa sorumluluk azalır mı? Evet. Verilerin saldırgan için anlamsız (readable olmayan) bir formda saklanması, KVKK nezdinde "yeterli teknik tedbir" olarak kabul edilir ve idari para cezasının alt sınırdan uygulanmasını veya hiç uygulanmamasını sağlayabilir.

Saldırıyı gizlemek işletmeyi korur mu? Hayır. Aksine, bir veri sızıntısının sonradan (şikeyet veya kamuya yansıma yoluyla) öğrenilmesi durumunda, "bildirim yükümlülüğüne aykırılık" nedeniyle cezalar katlanarak artar ve yöneticilerin şahsi sorumluluğu gündeme gelir.

Küçük işletmeler de bildirim yapmak zorunda mıdır? KVKK uyarınca veri sorumlusunun büyüklüğüne bakılmaksızın, kişisel veri içeren her türlü sızıntı Kurul'a bildirilmelidir. Kanun, veri hacminden ziyade hak ihlalinin varlığına odaklanır.

Yasal Uyarı (Disclaimer): Bu içerik, veritabanı saldırıları sonrası yürütülecek hukuki süreçler ve kriz yönetimi hakkında genel bilgilendirme amacıyla hazırlanmıştır. Bilişim Hukuku ve Veri Koruma Mevzuatı; teknik bilirkişi raporlarının analizi, log kayıtlarının yorumlanması ve kısa hak düşürücü süreleri içeren teknik detaylar içeren bir alandır. Her veri ihlali; sızıntının boyutu, veri kategorisi ve mevcut teknik tedbirler perspektifinden özel olarak değerlendirilmelidir. Yanlış kurgulanan bir kriz yönetimi veya eksik bildirim, işletmenin ticari varlığını tehlikeye atacak yaptırımlara yol açabilir. Bu nedenle, siber saldırı mağduriyetlerinde bir hukukçu rehberliğinde yürütülen süreçlerle hukuki destek alınması tavsiye edilir.

Yasal Uyarı: Bu içerik, teknolojik imkanlar desteğiyle hazırlanmış bir bilgilendirme metnidir. Sitede yer alan veriler genel bilgilendirme amaçlı olup, hukuki tavsiye veya mütalaa teşkil etmez. Mevzuat ve yargı kararları zamanla değişkenlik gösterebileceğinden, buradaki bilgilerin doğruluğu ve güncelliği noktasında kesinlik arz etmeyebilir. Olası hak kayıplarının önlenmesi adına, sürecin takibi için bir avukattan hukuki yardım alınması önem arz etmektedir. Sitedeki bilgilere dayanarak gerçekleştirilen işlemlerden doğabilecek sorumluluk kullanıcıya aittir.