Bilgisayar, harici disk, sunucu ve diğer dijital materyaller üzerinde ceza soruşturması amacıyla arama yapılması; basit bir eşya aramasından daha sıkı koşullara tabidir. CMK m.134 uyarınca somut delillere dayanan kuvvetli şüphe bulunması ve delilin başka surette elde edilememesi gerekir. Kural olarak hâkim kararı alınır; gecikmesinde sakınca bulunan hâlde savcı kararı kanundaki süre içinde hâkim onayına sunulur.
Dijital materyalin iş yerinde bulunması veya şüpheliye ait olması bütün verinin dosyayla ilgili olduğu anlamına gelmez. Kararın hedefi, veri türü, kullanıcı, tarih aralığı ve inceleme yöntemi ölçülü biçimde belirlenmelidir.
CMK 134 incelemesi nedir?
CMK m.134; bilgisayar, bilgisayar programı ve bilgisayar kütüklerinde arama yapılmasını, kayıtların kopyalanmasını, çözülmesini ve belirli koşullarda cihaza el konulmasını düzenler. Tedbir, dijital verinin görünmeyen veya silinmiş bölümlerine teknik araçlarla erişilebilmesi nedeniyle özel hayat ve kişisel veri bakımından ağır bir müdahaledir.
Kararda yalnız “dijital materyaller incelensin” denilmesi yerine suç şüphesiyle aranan veri arasında bağlantı kurulması gerekir. Sunucuda yüzlerce çalışanın ve müşterinin verisi bulunuyorsa tüm sistemin kopyalanması yerine hedefli arama ve ayrıştırma imkânı değerlendirilmelidir.
Bilgisayarın tamamına el konulabilir mi?
Şifre nedeniyle sisteme girilememesi, gizlenmiş bilgilere ulaşılamaması veya işlemin uzun sürecek olması hâlinde bilgisayar ve araçlara el konulabilir. Parolanın çözülmesi ve gerekli kopyaların alınmasıyla cihazın gecikmeksizin iade edilmesi gerekir.
Teknik olarak mümkünse iş yerini veya kişiyi aylarca cihazdan yoksun bırakmak yerine adli kopya alınması tercih edilmelidir. Şirketin muhasebe, üretim veya sağlık sistemi gibi kritik altyapısına el konulması faaliyetleri durduruyorsa tedbirin ölçülülüğü daha sıkı değerlendirilir.
El koyma sırasında sistemdeki bütün verilerin yedeklemesi yapılır. Kanunda öngörülen koşullarda alınan yedekten bir kopya şüpheliye veya vekiline verilir ve bu işlem tutanağa bağlanır. Kopyanın teknik olarak kullanılabilir olup olmadığı da önemlidir.
İmaj ve hash değeri neden önemlidir?
Adli imaj, diskin veya seçilen veri alanının teknik kopyasıdır. Hash değeri ise kopyanın alındığı andaki dijital özetidir. İnceleme kopyası ile muhafaza edilen asıl imajın hash değerleri karşılaştırılarak verinin değişmediği kontrol edilebilir.
Hash kaydının bulunması tek başına her sorunu çözmez. Cihazın kimden ve nerede alındığı, paketleme, mühür, kopyalama aracı, saat, kullanılan yazılım, imaj türü ve verinin analiz raporuna nasıl aktarıldığı da zincirin parçalarıdır. Bir ekran görüntüsü veya çıktı, ham verinin ve meta verinin yerini tutmaz.
Dijital delilin bütünlüğü nasıl korunur?
Dijital delil kolay kopyalanabilir ve değiştirilebilir. Bu nedenle:
- Cihazın marka, model ve seri numarası kaydedilmeli,
- Açık veya kapalı bulunduğu durum belirtilmeli,
- Ağ bağlantısının kesilme yöntemi açıklanmalı,
- Paket ve mühür bilgisi tutulmalı,
- İmaj alma işlemi ve hash değerleri belgelenmeli,
- Analiz asıl materyal yerine doğrulanmış kopya üzerinde yapılmalı,
- Her teslim ve erişim kaydı zincir hâlinde gösterilmelidir.
Bu adımlardaki eksiklik her dosyada otomatik olarak delili hükümsüz kılmaz; fakat verinin değişmediği ve aynı cihazdan geldiği konusunda ciddi şüphe yaratabilir. Mahkeme itirazı somut teknik kayıtlar üzerinden değerlendirmelidir.
İnceleme kararının kapsamı nasıl belirlenir?
Kararda isnat edilen suçla aranan veri arasında bağ bulunmalıdır. Örneğin belirli tarihlerdeki şirket e-postalarının araştırıldığı bir dosyada yıllarca saklanan aile fotoğraflarının veya başka müvekkillere ait dosyaların incelenmesi ölçüsüz olabilir.
Anahtar kelime, kullanıcı hesabı, klasör, tarih, dosya türü ve iletişim tarafı gibi filtreler kullanılabilir. Ancak yalnız anahtar kelime eşleşmesi hukuki anlamı ispatlamaz; dosyanın bağlamı ve meta verisi incelenmelidir. Şifrelenmiş veya silinmiş alanlara erişimin karar kapsamında olup olmadığı da açık olmalıdır.
Tesadüfen başka bir suça ilişkin delil bulunduğunda CMK'nın tesadüfen elde edilen delillere ilişkin hükümleri uygulanır. İncelemeyi yapan kişinin karşılaştığı her veriyi yeni ve sınırsız bir araştırmanın başlangıcı yapması mümkün değildir.
Ticari verilere el konulması
Şirket bilgisayarında çalışan, müşteri, muhasebe, sağlık, avukat yazışması ve ticari sır niteliğinde çok sayıda üçüncü kişi verisi bulunabilir. Ceza soruşturmasının varlığı, ilgisiz verilerin yayılmasına veya rakiplerce erişilmesine izin vermez.
Kopya alma sırasında veri minimizasyonu, erişim yetkisi, gizli klasörlerin ayrıştırılması ve gerektiğinde bilirkişi incelemesinin kapalı ortamda yapılması istenebilir. Avukat-müvekkil yazışmaları, sır saklama yükümlülüğü bulunan meslekler ve kişisel verilerin özel nitelikli kategorileri ayrıca korunmalıdır.
Şirket faaliyetinin durmaması için sistemin kopyası alınarak donanımın iadesi, yalnız ilgili sanal makinenin ayrılması veya belirli hesapların dışa aktarılması gibi daha hafif yöntemler değerlendirilmelidir.
Bilirkişi raporuna nasıl itiraz edilir?
Raporun yalnız sonuç kısmına değil, yöntemine bakılmalıdır. Hangi imajın incelendiği, hash doğrulaması, kullanılan yazılımın sürümü, zaman dilimi, silinmiş veri yöntemi ve arama kriterleri açıklanmalıdır. Bulguların ekran görüntüsü yerine doğrulanabilir ham kayıtla desteklenmesi gerekir.
Bilirkişi teknik tespitte bulunur; mesajın hukuki olarak suç oluşturduğuna, kastın bulunduğuna veya sanığın fail olduğuna karar veremez. Bu değerlendirme mahkemeye aittir. Eksik inceleme varsa ek rapor veya yeni bilirkişi heyeti talep edilebilir.
Sonuç
CMK 134 incelemesi, kuvvetli şüphe ve başka yolla delil elde edememe şartlarına bağlı özel bir tedbirdir. Cihaza el koyma son çare olmalı; mümkünse adli kopya alınarak donanım iade edilmelidir. İmaj, hash, muhafaza zinciri ve kararın veri bakımından kapsamı, dijital delilin güvenilirliğinin temelidir.
İçerik kapsamı: Bu yazı genel bilgilendirme amacı taşır. Dijital inceleme kararının hukuka uygunluğu teknik tutanaklar ve bilirkişi raporuyla birlikte değerlendirilmelidir.