Bilişim Sistemindeki Verilere Müdahale Etmenin Ceza Hukukundaki Yeri
Teknolojinin hayatın merkezine yerleşmesiyle birlikte, ceza hukuku da dijital varlıkları ve veri bütünlüğünü korumak adına yeni normlar geliştirmiştir. Türk Ceza Kanunu’nun (TCK) 244. maddesinin ikinci fıkrası, bir bilişim sistemindeki verileri bozma, yok etme, değiştirme, erişilmez kılma, sisteme veri yerleştirme veya var olan verileri başka bir yere gönderme fiillerini müstakil bir suç olarak düzenlemektedir. Bu suç tipi, bilişim sisteminin işleyişinden ziyade sistemin içindeki verilerin bütünlüğünü ve gizliliğini korumayı amaçlar.
Uygulamada bu suç; şirket içi veri tabanlarının silinmesi, web sitelerinin arayüzlerinin değiştirilmesi (deface), e-posta hesaplarındaki yazışmaların yok edilmesi veya fidye yazılımları (ransomware) aracılığıyla verilerin şifrelenerek erişilmez kılınması gibi çok çeşitli şekillerde karşımıza çıkmaktadır. Suçun temel şekli için kanunda öngörülen ceza altı aydan üç yıla kadar hapis cezasıdır. Ancak fiilin bir banka veya kredi kurumuna ya da bir kamu kurum ve kuruluşuna ait bilişim sistemi üzerinde işlenmesi halinde ceza yarı oranında artırılmaktadır.
Uygulamada Sık Karşılaşılan Usul Hataları ve Hak Kayıpları
Bilişim ceza davalarında en sık karşılaşılan hata, dijital delillerin elde ediliş usulündeki eksikliklerdir. Dijital veriler, doğası gereği kolayca değiştirilebilen, silinebilen veya manipüle edilebilen niteliktedir. Bu nedenle, ceza muhakemesinde bir dijital delilin hükme esas alınabilmesi için Ceza Muhakemesi Kanunu (CMK) m. 134 uyarınca imaj (kopya) alma ve hash (özet) değeri belirleme işlemlerinin eksiksiz yapılmış olması gerekir.
Soruşturma aşamasında kolluk tarafından el konulan bilgisayar, telefon veya sunucuların hash değerleri zamanında alınmaz ve mühürleme işlemi usulüne uygun yapılmazsa, bu cihazlardaki verilerin sonradan değiştirilmediği garanti edilemez. Savunma makamı olarak, hash değerleri karşılaştırılmamış veya zincirleme güvenliği (chain of custody) ihlal edilmiş dijital delillerin hükme esas alınamayacağını ısrarla vurgulamak gerekir. Bir diğer yaygın hata ise sadece IP (Internet Protocol) adresi eşleşmesine dayanarak doğrudan sanığın mahkumiyetine karar verilmesidir. IP adresleri, kablosuz ağ şifrelerinin kırılması veya ortak internet kullanımı gibi durumlarda gerçek faili göstermeyebilir.
Yargıtay'ın Güncel Kriterleri ve Emsal Yaklaşımları
Yargıtay Ceza Genel Kurulu ve ilgili ceza daireleri, TCK 244/2 maddesi kapsamındaki yargılamalarda somut gerçeğe ulaşılması için çok katı kriterler uygulamaktadır. Savunma stratejisini kurgularken bu kriterlerin göz önünde bulundurulması hayati önem taşır:
- Log Kayıtlarının ve IP Trafiğinin Analizi: Yargıtay, sadece hedef sisteme erişim sağlanan IP adresinin sanığa ait olmasını mahkumiyet için yeterli görmemektedir. Mahkemenin, ilgili servis sağlayıcıdan alınan bağlantı saatleri ile hedef sistemin log (erişim) kayıtlarındaki milisaniye düzeyindeki zaman eşleşmelerini (port bilgileri dahil) bilirkişi marifetiyle karşılaştırması zorunludur.
- Zarar Unsuru ve Kastın Belirlenmesi: TCK 244/2'deki verileri değiştirme veya bozma suçunun oluşabilmesi için failin doğrudan kastla hareket etmesi gerekir. Yargıtay kararlarında, sisteme yanlışlıkla veya sistemsel bir hata sonucu verilen zararların ceza sorumluluğu doğurmayacağı, failin veriyi bozma veya yok etme yönünde net bir iradesinin ve özel kastının bulunması gerektiği vurgulanmaktadır.
- Fikri Mülkiyet ve Lisans İhtilafları: Özellikle yazılımcılar ile şirketler arasındaki uyuşmazlıklarda, yazılımcının geliştirdiği koda erişimi engellemesi sıklıkla dava konusu olmaktadır. Yargıtay, taraflar arasında hukuki bir sözleşme veya alacak-borç ilişkisi bulunması halinde, eylemin suç kastıyla mı yoksa sözleşmesel bir hakkın ifası amacıyla mı yapıldığının titizlikle ayırt edilmesi gerektiğine hükmetmektedir.
Eğer söz konusu veri müdahalesi bir bankacılık işlemi veya kart kullanımı zinciriyle gerçekleşmişse, mahkemeler suç vasfını tayin ederken hata yapabilmektedir. Bu gibi karmaşık durumlarda, sistemlerin güvenliği ve kartların yetkisiz kullanımı arasındaki ince sınırı anlamak için TCK 245 Banka ve Kredi Kartlarının Kötüye Kullanılması başlıklı makalemizdeki esasların da dikkate alınması, savunmanın bütünlüğü açısından faydalı olacaktır.
Bilişim Ceza Davalarında Etkin Savunma Stratejileri
TCK 244/2 kapsamında yargılanan bir sanık için en etkili savunma, teknik ve hukuki argümanların harmanlanmasıyla oluşturulur. İlk olarak, suçlamaya konu edilen dijital materyalin elde ediliş biçimi incelenmelidir. Arama ve el koyma kararlarının hakim onayından geçip geçmediği, imaj alma işleminin sanığın veya müdafiinin huzurunda yapılıp yapılmadığı kontrol edilmelidir.
İkinci olarak, uzman mütalaası (CMK m. 67/6) müessesesinden yararlanılmalıdır. Mahkemelerin atadığı bilirkişiler bazen bilişim alanında yeterli uzmanlığa sahip olmayabilir veya yüzeysel raporlar hazırlayabilir. Bağımsız bir adli bilişim uzmanından alınacak teknik raporla, hedef sisteme dışarıdan sızılıp sızılmadığı, zararlı yazılımların (trojan, malware) sanığın bilgisayarını zombi bilgisayar olarak kullanıp kullanmadığı netleştirilmelidir. Bu durum, şüpheden sanık yararlanır ilkesinin uygulanmasını sağlayacaktır.
Son olarak, eğer müdahale edilen sistem veya veriler üzerinde sanığın yasal bir erişim yetkisi varsa (örneğin eski bir sistem yöneticisi veya ortak), yetki sınırlarının aşılıp aşılmadığı hukuki açıdan tartışılmalıdır. Yetkili olunan bir sistemde verilerin silinmesi, duruma göre görevi kötüye kullanma veya iş sözleşmesine aykırılık teşkil edebilir ancak TCK 244/2 anlamında sisteme yetkisiz müdahale olarak nitelendirilemeyebilir.
Sıkça Sorulan Sorular
Verileri yok etme suçu şikayete tabi midir?
Hayır, TCK 244/2 maddesinde düzenlenen verileri bozma, yok etme veya değiştirme suçu şikayete tabi değildir. Soruşturma ve kovuşturma resen yürütülür. Mağdur şikayetten vazgeçse dahi kamu davası devam eder.
Bu suçta uzlaşma hükümleri uygulanır mı?
TCK 244. maddesinde yer alan bilişim sistemini engelleme, bozma ve verileri yok etme suçları uzlaşma kapsamında değildir. Dolayısıyla tarafların kendi aralarında anlaşması davanın düşmesini sağlamaz.
Şirket bilgisayarındaki dosyaları silen eski çalışan bu suçtan ceza alır mı?
Evet, işten ayrılan veya çıkarılan bir çalışanın, şirkete ait bilgisayardaki iş verilerini, müşteri listelerini veya yazılımları silmesi, yok etmesi TCK 244/2 kapsamında suç teşkil eder. Bu durumda iş hukuku süreçlerinin yanı sıra ceza davası da açılacaktır.
IP adresi tespiti tek başına mahkumiyet için yeterli midir?
Yargıtay'ın yerleşik içtihatlarına göre, sadece IP adresi tespiti mahkumiyet için tek başına yeterli delil kabul edilmez. IP adresinin başkaları tarafından kullanılabilirliği, açık Wi-Fi hatları ve port eşleşmeleri detaylıca araştırılmalıdır.
Dijital Delillerin Güvenliği İçin Somut Tavsiyeler
Bilişim suçlarıyla itham edilen veya sistemi zarar gören bir taraf olarak sürecin başından itibaren adli bilişim standartlarına uygun hareket etmelisiniz. Şüpheli bir siber olayla karşılaştığınızda, ilgili cihazların fişini çekmek veya kapatmak yerine, RAM (geçici bellek) üzerindeki verilerin kaybolmaması için cihazı mevcut haliyle koruma altına alın ve uzman bir hukukçudan destek isteyin. Unutmayın ki dijital dünyada atılan her usul hatası, masum bir kişinin mahkumiyetine veya gerçek bir suçlunun cezasız kalmasına yol açabilir.