Ankara Bilişim Sistemine Girme Suçu: TCK 243-244

Bir şifreyi bilmek, her işlem için izin sahibi olmak değildir

Hukuka aykırılık değerlendirilirken sistemin kime ait olduğu, erişim yetkisini kimin verdiği, yetkinin süresi ve kapsamı belirlenir. Bir çalışana sadece belirli müşterilere ait kayıtlara erişim izni verilmişse bu izin sistemdeki her dosyayı inceleme yetkisi olarak yorumlanamaz. Yetkili kullanıcı adıyla işlem yapılmış olması, yetki aşımını kendiliğinden ortadan kaldırmaz.

TCK m.243/1’de “veya” bağlacı kullanılır. Bu nedenle hukuka aykırı giriş ile sistemde hukuka aykırı kalmaya devam etmenin mutlaka birlikte gerçekleşmesi aranmaz. Başlangıçta izinli erişimin sonradan hukuka aykırı hâle gelmesi, iznin sona ermesi veya geri alınmasının kişi tarafından bilinmesi gibi olgularla değerlendirilir.

Herkese açık bir sayfayı olağan biçimde görüntülemekle, kişiye açık olmayan sistem bölümüne izinsiz erişmek aynı değildir. Bununla birlikte bir alanın teknik olarak ulaşılabilir olması, bütün kullanım biçimlerinin hukuken izinli olduğu anlamına gelmez. Şirket sözleşmesi, görev tanımı, erişim politikası ve verilen somut onay birlikte incelenmelidir.

Hesabın aile içinde paylaşılması, geçmişte şifrenin verilmiş olması veya taraflar arasında ticari ilişki bulunması da sınırsız ve süresiz rıza oluşturmaz. Rızanın hangi hesap ve hangi işlemler için verildiği önemlidir. Gerçek dışı bir rıza belgesi üretmek veya önceki yazışmaları değiştirmek yerine, mevcut kayıtlar bütünlüğü korunarak değerlendirilmelidir.

TCK 243–244: Fiile göre ceza aralıkları

Adli para cezası her fıkrada aynı biçimde düzenlenmemiştir. m.243/1’de hapisle alternatifken, m.244/4’te hapisle birlikte öngörülmüştür. Hükmedilecek gün sayısı ve bir gün karşılığı miktar TCK m.52’ye göre belirlenir. Kanundaki üst ceza, her dosyada doğrudan verilecek sonuç ceza değildir.

m.243/2, ücretli sisteme erişimi her durumda hukuka uygun hâle getirmez; birinci fıkradaki suçun cezasına ilişkin indirim hükmüdür. İndirim de tam yarı olarak zorunlu uygulanmaz; metin yarı oranına kadar indirim öngörür. Kamu sisteminde gerçekleşen her izinsiz giriş için m.244/3 artırımı yapılacağı varsayılamaz; önce hangi maddede tanımlanan fiilin işlendiği belirlenir.

Veri kaybı ile bilerek veri silme nasıl ayrılır?

m.243/3’te giriş veya kalma nedeniyle ortaya çıkan veri kaybı ya da değişiklik ele alınır. Kişinin doğrudan veri silmek veya sistemi bozmak amacıyla yaptığı müdahalede ise m.244’ün ilgili fıkraları değerlendirilir. Netice nedeniyle ağırlaşma bakımından TCK m.23 de göz önünde bulundurulur. Her veri kaybını aynı fıkraya bağlamak, failin kastına ilişkin incelemeyi ortadan kaldırır.

Sistemin kısa süre çalışmaması, verinin geri getirilebilir olması veya yedekte bir kopyasının bulunması, müdahalenin hiç gerçekleşmediğini otomatik olarak göstermez. Teknik rapor, neyin ne kadar süre erişilmez olduğunu ve hangi işlemin buna yol açtığını açıklamalıdır. Ticari zarar miktarıyla suçun hareket unsuru aynı soru değildir.

m.244/4 tamamlayıcı niteliktedir: çıkar sağlama fiili başka bir suç oluşturuyorsa ilgili suç hükmü ayrıca değerlendirilir. Bilişim sistemi kullanılarak hırsızlık, dolandırıcılık veya kartın kötüye kullanılması iddialarında TCK m.142/2-e, m.158 ve m.245 ayrımı yapılır. Banka hesabından para çıktığı her olayın doğrudan m.244/4 olduğu söylenemez.

Kişisel verilerin ele geçirilmesi veya paylaşılması hâlinde TCK m.135–140 ile ilişki ayrıca incelenir. Bir eylemin hem sisteme erişim hem özel veri üzerinde müdahale içermesi, suçların birleşmesine ilişkin değerlendirme gerektirir. Kişisel veri suçları ve kart suçları bu yüzden aynı başlık altında tek suç gibi anlatılmamalıdır.

Yetkili güvenlik testi ve yasak program ayrımı

TCK m.245/A, münhasıran ilgili bilişim suçları veya bilişim sistemlerinin araç olarak kullanıldığı diğer suçlar için yapılmış ya da oluşturulmuş cihaz, program, şifre ve güvenlik kodlarına ilişkin fiilleri düzenler. Yaptırım bir–üç yıl hapis ve beş bin güne kadar adli para cezasıdır. Kanundaki özel amaç ve tasarım koşulu atlanarak her güvenlik yazılımının bulundurulması suç sayılmaz.

Yetkili güvenlik testinde yazılı görevlendirme, kapsam, süre, test edilecek sistemler ve veri işleme sınırları önem taşır. Test için izin verilmiş olması, kapsam dışındaki hesaplara erişim veya verileri başka amaçla kullanma yetkisi değildir. Hukuki inceleme, araç adından çok hangi izinle hangi işlemin yapıldığına dayanır.

Bu yazı erişim engellerini aşma veya izinsiz veri elde etme yöntemi sunmaz. Bir güvenlik açığıyla karşılaşıldığında kayıtların korunması ve yetkili kişiye hukuka uygun bildirim, izinsiz müdahaleyi sürdürmekten farklıdır. Şirket veya kurumun verdiği izin ve yapılan işlem sonradan denetlenebilir olmalıdır.

IP adresi kişiyi tek başına kesin olarak belirler mi?

IP adresi, bağlantının belirli bir ağla ilişkisini gösteren veridir; bağlantıyı fiilen hangi kişinin kullandığını tek başına her olayda çözmez. Paylaşılan ağ, ortak cihaz, işletme bağlantısı veya mobil ağ yapısı söz konusuysa abonelik bilgisiyle gerçek kullanıcı ayrılmalıdır. Bununla birlikte teknik kaydın hiç delil değeri bulunmadığı da söylenemez; diğer bulgularla birlikte değerlendirilir.

Sistemler farklı saat dilimi kullanıyorsa zaman kayıtları dönüştürülmeden eşleştirme yapılmamalıdır. Aynı dakika içindeki çok sayıda bağlantı veya ortak IP kullanımında gerekli ayrıntılar raporda açıklanmalıdır. Verinin kriptografik özetinin doğrulanması, bütünlüğü destekler; işlemi kimin yaptığını tek başına ispatlamaz.

CMK m.134 kapsamında bilgisayar, program ve kütük incelemesinin karar ve uygulama koşulları kontrol edilir. Arama, el koyma, kopyalama ve bilirkişi incelemesi birbirinin yerine kullanılan kavramlar değildir. Telefon ve dijital delil incelemesi bu usul ayrımlarını ele alır. Eksik veya çelişkili raporda hangi kayıt ve yöntemin yeniden incelenmesi istendiği açıkça gösterilir.

Mağdurun ve şüphelinin delil talepleri

CMK m.158 uyarınca başvuruda sistem veya hesap bilgisi, fark edilen işlem, tarih-saat, erişim yetkisi ve eldeki kayıtlar belirtilir. Failin gerçek adının bilinmemesi ihbar veya şikâyet yapılmasını engellemez. TCK m.243–244 için genel bir şikâyet şartı öngörülmediğinden altı aylık şikâyet süresi bütün bu suçların takip şartı gibi sunulmamalıdır.

Kayıtlar silinmeden korunması için yetkili makamdan somut talepler istenir. Hesabın güvenliği sağlanırken eldeki asıl kayıtların değiştirilmemesi ve mümkün olduğunca işlemlerin zamanının belgelenmesi önemlidir. Karşı tarafın hesabına izinsiz girerek “delil toplamak”, ilk mağduriyet nedeniyle hukuka uygun hâle gelmez.

Şüpheli CMK m.147 kapsamında isnadı öğrenme, susma ve müdafi yardımından yararlanma haklarına sahiptir. CMK m.160/2 gereğince lehe kayıtların da toplanması gerekir. Örneğin olay anında cihazın başka kullanıcıda bulunduğunu gösteren görev, teslim veya kamera kayıtları araştırılabilir. Gerçek dışı alternatif kullanıcı göstermek yerine doğrulanabilir olgular sunulur.

Bilişim dosyası için kayıt ve inceleme planı

İhlal bildirimi ile teknik tespiti ayrı kaydedin

Hesap sahibinin bir uyarı e-postası alması, uygulamanın giriş geçmişini görmesi ve teknik uzmanın kayıt incelemesi aynı bilgi düzeyi değildir. İlk fark edilen tarih ile kayıtta görülen işlem tarihi ayrı yazılmalıdır. Ekranda görülen saat dilimi, hesap adı ve kayıt kaynağı belirtilsin. Bir uyarının ekran görüntüsü, sunucudaki bütün oturum kayıtlarının yerine geçmez. Bildirimin tam içeriği korunmalı; yorum ile doğrudan görülen veri birbirinden ayrılmalıdır. Yalnız başarısız giriş denemesi bulunan bir kayıttan başarılı erişim olmuş gibi sonuç çıkarılmamalıdır.

Şirket hesabında yetki değişikliğinin zamanını belirleyin

Çalışanın görevden ayrıldığı gün, erişim izninin geri alındığı bildirim ve hesabın teknik olarak kapatıldığı an farklı olabilir. Bu üç kayıt aynı zaman çizelgesinde, kaynağıyla gösterilmelidir. İş sözleşmesinin bitmesi ile sistemde yapılan sonraki işlemin bağlantısı somutlaştırılır. Başka çalışanların kullandığı ortak hesap varsa kullanıcı adı tek bir kişiye aitmiş gibi sunulmaz. Yetki listesinin bugünkü sürümü yerine olay tarihinde geçerli sürüm ve değişiklik kaydı aranır; eksik tarih sonradan oluşturulmuş belgeyle tamamlanmaz.

İnceleme talebini cevaplanabilir sorulara ayırın

“Bütün telefonlar incelensin” şeklindeki sınırsız talep yerine hangi olayın hangi kayıtla aydınlatılacağı açıklanır. İlgili hesap, işlem türü ve tarih aralığı gösterilir; kaydın hangi kurum veya sistemde bulunduğu biliniyorsa belirtilir. CMK m.134 kapsamındaki karar ve uygulama koşulları ayrıca değerlendirilir. Bir cihazda kayıt bulunması, o kaydın her yöntemle elde edilebileceği anlamına gelmez. Özel teknik inceleme ile yetkili makamın arama, kopyalama ve el koyma işlemleri birbirinin yerine yazılmamalıdır.

Raporda kişi, işlem ve sonucu birbirine bağlayın

Raporun önce hangi veri üzerinde çalıştığını, sonra hangi işlemi tespit ettiğini ve bu işlemin kişiyle bağlantısını açıklaması gerekir. Bir dosyanın silinmesi ile hesabın kapanması farklı olaylardır. Yedekten geri getirilen veri için de ilk müdahalenin zamanı ve yöntemi araştırılır. İnceleme eksikse itirazda raporun ilgili sayfası, cevaplanmayan soru ve istenen ek kayıt birlikte gösterilir. Teknik terimlerin çokluğu, bu bağlantının kurulmuş olduğu anlamına gelmez; belirsiz kalan husus açıkça belirsiz olarak kaydedilir.

Asıl kayıt ile çalışma kopyasını karıştırmayın

Belgenin kimden, ne zaman ve hangi yolla alındığını dosya listesinde gösterin. İncelemek için kullanılan kopyaya açıklama eklenmesi gerekiyorsa bu, asıl kaydı değiştirmeden ayrı yapılmalıdır. Şüpheli lehindeki izin, teslim ve görev kayıtları da saklanır; CMK m.160/2 lehe ve aleyhe delillerin toplanmasını gerektirir. CMK m.217/2 uyarınca hukuka uygun elde edilme koşulu korunur. Bu hazırlık, suçun işlendiğini veya belirli kişinin fail olduğunu önceden kabul eden bir liste değil, iddianın denetlenebilmesini sağlayan belge düzenidir.

İşten ayrılan çalışanın eski parolayla erişmesi

Öğretici bir örnekte iş sözleşmesi sona eren kişinin hesabı teknik olarak kapatılmamış, fakat erişim yetkisi açıkça kaldırılmıştır. Eski parolanın çalışması, kişinin sisteme yeniden girmesine hukuki izin verildiğini göstermez. Bildirim tarihi, görev sözleşmesi ve işlem kayıtları birlikte incelenir.

Aynı kişinin erişimden sonra şirket kayıtlarını bilerek sildiği ileri sürülüyorsa bu ikinci davranış ayrıca değerlendirilir. Yalnız “girişten sonra veri kaybı oldu” cümlesiyle bütün olay m.243/3’e yerleştirilemez. Silme işlemini hangi hesabın yaptığı, hesabın gerçek kullanıcısı ve kastın dayanakları araştırılır. Örnek, verilmiş bir yargı kararı olarak değil hukuki ayrımı açıklamak için kurulmuştur.

Ankara’da mahkeme, yetki ve kanun yolu

Yalnız m.243–244 kapsamındaki olağan kovuşturmada görevli mahkeme, 5235 sayılı Kanun m.11-14 çerçevesinde asliye ceza mahkemesidir. Başka suçlarla bağlantı ayrıca değerlendirilir. Yer bakımından CMK m.12 ve devamı uygulanır. CMK m.12/6, bilişim sistemlerinin araç olarak kullanılması suretiyle işlenen suçlarda mağdurun yerleşim yeri mahkemesini de yetkili kılar. Bu ek yetki hükmünün koşulları ile bilişim sisteminin doğrudan suçun konusu olduğu fiiller ayrılmalıdır; her bilgisayar bağlantılı olay için aynı yetki sonucu varsayılmaz. Fiilin niteliği, işlendiği yer ve özel yetki kuralları dosyada gösterilir.

İstinafa açık hükme karşı CMK m.273 gereğince gerekçeli kararın tebliğinden itibaren iki hafta içinde başvurulur. Kararın kanun yoluna açıklığı, cezanın niteliği ve CMK m.272’deki istisnalar ayrıca denetlenir. İstinaf dilekçesinde teknik delil, yetki kapsamı, kast ve suç maddesi yönünden somut itirazlar ayrılmalıdır.

Sık sorulan sorular