Verileriniz sızdırıldığında veya sosyal medya ve kripto hesabınıza yetkisiz girildiğinde önce hesabın güvenliğini sağlayın, olay kayıtlarını değiştirmeden saklayın ve platforma ya da veri sorumlusuna yazılı bildirim yapın; şifre değiştirmek tek başına yeterli değildir. Veri sorumlusu, verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde bunu en kısa sürede ilgilisine ve Kurula bildirmek zorundadır (KVKK m. 12/5). Bilişim sistemine hukuka aykırı giriş ve sistemin işleyişini bozma ayrıca suçtur (TCK m. 243 ve 244).
Bu yazı, veri sızıntısında ilk adımları, şirketin veri güvenliği ve ihlal bildirimi yükümlülüklerini, kişisel verilere ilişkin suçları, sosyal medya ve kripto hesabı ele geçirilmesinde yapılacakları ve ekran görüntüsü gibi dijital delilin nasıl saklanacağını anlatır.
Bu yazıda
- Veri sızıntısında yalnızca şifre değiştirmek neden yetmez?
- Şirketin veri güvenliği yükümlülükleri
- İhlal bildirimi: kim kime bildirir?
- Sosyal medya hesabı ele geçirildiğinde ilk adımlar
- Kripto hesabından izinsiz transfer
- Ekran görüntüsü ve dijital delil
- Kişisel verilere ilişkin suçlar ve cezalar
- Şikâyet, tazminat ve başvuru yolları
- Kaynaklar
Veri sızıntısında yalnızca şifremi değiştirmem yeterli mi?
Hayır. Önce sızan verinin türüne bakın. Yalnızca e-posta ve şifre sızdıysa aynı şifreyi kullandığınız tüm hesaplarda değişiklik, iki aşamalı doğrulama ve oturumları kapatma gerekir. Kimlik bilgileri, telefon, adres veya ödeme bilgileri sızdıysa bu bilgilerin başka işlemlerde (hat açma, kredi başvurusu, dolandırıcılık) kullanılma riski vardır; bu durumda bankanıza, ilgili kuruma ve operatörünüze gecikmeden bildirim yapmanız gerekir. Kuruluşun size gönderdiği ihlal bildirimini saklayın.
Veri sorumlusuna başvuru ve zarar iddiası ayrıca değerlendirilebilir. Kişisel verileriniz kanuni olmayan yollarla elde edildiğini öğrendiyseniz veri sorumlusuna yazılı başvuru yapabilir, cevap alamazsanız Kurula şikâyet edebilirsiniz (KVKK m. 12, 13 ve 14). Bildirim yükümlülüğü veri sorumlusuna aittir; Kurula bildirimi sizin yapmanız gerekmez.
Şirketin veri güvenliği yükümlülükleri
Veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini önlemek, hukuka aykırı erişimi engellemek ve muhafazayı sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır (KVKK m. 12/1). Kanun bu genel yükümlülüğü şu somut sonuçlarla tamamlar:
- Dış hizmet sağlayıcı: Veriler kendi adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, veri sorumlusu güvenlik tedbirlerinin alınması konusunda bu kişilerle birlikte müştereken sorumludur (m. 12/2). Verileri dış firmaya vermek sorumluluktan kurtarmaz.
- İç denetim: Veri sorumlusu kendi kurumunda kanun hükümlerinin uygulanmasını sağlamak için gerekli denetimleri yapmak veya yaptırmak zorundadır (m. 12/3). Denetim kayıtlarını tutmak olası bir incelemede yararlı olur.
- Gizlilik yükümü: Veri sorumluları ve veri işleyen kişiler, öğrendikleri verileri kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da sürer (m. 12/4). Yani çalışanın işten ayrılması sonrasında müşteri verilerini paylaşması serbest değildir.
- Yetkisiz erişim: Ofiste yetkisiz kişilerin müşteri kayıtlarına erişebilmesi, hukuka aykırı erişimi önleme yükümlülüğüne aykırılık anlamına gelebilir.
Kurulun görevleri arasında veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlem yapmak da vardır; şirketlerin genel yükümlülüğün yanında Kurulun yayımladığı düzenlemeleri de izlemesi gerekir (KVKK m. 22). Yükümlülüğe aykırılık hâlinde Kurul idari para cezası verir; güncel tutarlar her yıl değiştiğinden Kurumun resmî duyurularından kontrol edilmelidir (KVKK m. 17 ve 18).
İhlal bildirimi
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede hem ilgilisine hem Kurula bildirir. Kurul gerekirse durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir (KVKK m. 12/5). Şirketten böyle bir bildirim almadıysanız, ama verilerinizin sızdığını başka bir yerden öğrendiyseniz şirkete somut sorular yazın: Hangi verilerim etkilendi? Ne zaman fark edildi? Kurula bildirim yapıldı mı? Hangi tedbirler alındı?
Sosyal medya hesabım ele geçirildi; ilk ne yapmalıyım?
- Platformun resmî kurtarma yolunu kullanın. Hesap kurtarma formunu, bağlı e-posta ve telefon doğrulamalarını kullanın. Üçüncü kişilerin “hesabınızı geri getiririz” vaatlerine inanmayın.
- Bağlı kanalları güvene alın. Hesaba bağlı e-posta hesabınızın şifresini değiştirin, erişebildiğiniz diğer oturumları kapatın, iki aşamalı doğrulamayı açın.
- Kayıtları saklayın. Yetkisiz giriş bildirimlerinin, yapılan paylaşımların ve işlemlerin ekran görüntülerini ve e-postalarını tarihleriyle birlikte kaydedin.
- Hesabın size ait olduğunu gösterecek belgeleri hazırlayın. Kayıt e-postası, telefon numarası, kimlik doğrulama ve olay zamanına ilişkin belgeler platforma ve savcılığa başvuruda işe yarar.
Hesabı geri alma, suç duyurusu ve maddi zarar talepleri ayrı değerlendirilebilir. Bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adli para cezası verilir (TCK m. 243/1). Sistemin işleyişini engelleyen veya bozan kişi bir yıldan beş yıla kadar, sistemdeki verileri bozan, yok eden, değiştiren veya erişilmez kılan kişi ise altı aydan üç yıla kadar hapis cezası ile cezalandırılır (TCK m. 244/1-2). Fiillerin bir bankaya veya kamu kurumuna ait sistemde işlenmesi hâlinde ceza yarı oranında artırılır (TCK m. 244/3).
Kripto hesabımdan izinsiz transfer yapıldı; nasıl ilerlerim?
Platforma hemen güvenlik bildirimi yapın; işlem kimlikleri, cüzdan adresleri, giriş uyarıları ve e-posta bildirimlerini koruyun. Ceza başvurusu ile hizmet sağlayıcının sorumluluğu ayrı değerlendirilir: suç duyurusu failin tespitine, platform başvurusu ise hesabın korunmasına ve kayıtların temin edilmesine hizmet eder. Bu aşamada en önemli tehlike “kurtarma” vaadiyle gelen kişilerdir; şifre, kurtarma ifadesi veya ek ödeme isteyen kişilere bilgi vermeyin. Bu tür dolandırıcılık denemeleri için dolandırıldım, ne yapmalıyım? yazımıza da bakabilirsiniz.
Ekran görüntüsü tek başına dijital delil için yeterli mi?
Ekran görüntüsü yararlı olabilir; ancak bağlantı, tarih, hesap ve konuşmanın bütünü bağlamı destekler. Özgün kayıtları değiştirmeden saklayın. Hukuk Muhakemeleri Kanununa göre elektronik ortamdaki veriler ve ses ve görüntü kayıtları belge sayılır (HMK m. 199); ancak hukuka aykırı olarak elde edilmiş deliller mahkeme tarafından bir vakıanın ispatında dikkate alınamaz (HMK m. 189/2). Bu nedenle delilin hukuka uygun elde edilmesi ve doğrulanabilirliği önemlidir; başkasının özel hesabına izinsiz girerek delil toplamayın.
Kişisel verilere ilişkin suçlar
- Hukuka aykırı kaydetme (m. 135): Bir yıldan üç yıla kadar hapis. Verinin siyasi, felsefi veya dini görüşlere, ırki kökene, cinsel yaşama, sağlık durumuna veya sendikal bağlantıya ilişkin olması hâlinde ceza yarı oranında artırılır.
- Hukuka aykırı verme, yayma veya ele geçirme (m. 136): İki yıldan dört yıla kadar hapis.
- Nitelikli hâl (m. 137): Suçun kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde ceza yarı oranında artırılır.
- Verileri yok etmeme (m. 138): Kanunların belirlediği süreler geçmesine rağmen verileri sistem içinde yok etmekle yükümlü olanlara bir yıldan iki yıla kadar hapis. Suçun konusu, Ceza Muhakemesi Kanununa göre ortadan kaldırılması veya yok edilmesi gereken veri ise ceza bir kat artırılır.
- Şikâyet (m. 139): Verilerin kaydedilmesi, hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümdeki suçların soruşturulması ve kovuşturulması şikâyete bağlıdır. Şikâyet süresi için ceza kanunundaki genel kurala bakılır.
- Tüzel kişiler (m. 140): Bu suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.
Sık yapılan hatalar
- Yalnızca şifreyi değiştirip kayıtları ve bildirimi saklamamak.
- Kurtarma vaadiyle gelen kişilere kimlik, şifre veya ek ödeme vermek.
- Ekran görüntüsünü tek başına yeterli sanıp bağlantı ve tarih bilgisini kaydetmemek.
- Başkasının hesabına girerek delil toplamaya çalışmak.
- Şikâyet ve zarar taleplerini aynı yol sanmak.