Bir yazılım ürünü neden tek bir kanuna tabi değil

Yazılım geliştiren bir ekip olarak bu soruyla en çok proje başında karşılaşıyoruz. Kurum, yazılımın hangi kurala uyması gerektiğini soruyor ve cevap tek bir kanunda değil. Bu dağınıklığı tasarım aşamasında hesaba katmak, sonradan yama yapmaktan çok daha ucuz.

"Bilişim hukuku ne diyor bu konuda" sorusunun cevabı yoktur, çünkü bilişim hukuku diye tek bir metin yoktur. Bu alanda çalışan herkesin ilk öğrendiği ve müvekkile anlatması en zor olan şey budur.

Türkiye'de bilişim faaliyetleri en az altı ayrı kanunun kesişiminde düzenlenir. Bunların hiçbiri diğerini kapsamaz. Hepsi kendi mantığıyla, kendi yaptırım rejimiyle ve kendi denetim merciiyle çalışır. Sonuç şudur. Tek bir metne bakarak yükümlülük listesi çıkarmak mümkün değildir ve aynı olay aynı anda birden fazla rejim altında sonuç doğurabilir.

Bir veri ihlali üç ayrı yerde karşınıza çıkar

Bunu somut bir örnekle görmek gerekiyor. Diyelim ki bir e-ticaret şirketinin müşteri veritabanına yetkisiz erişim sağlandı ve veriler dışarı çıkarıldı.

Birinci hat idaridir. 6698 sayılı Kanun'un 12. maddesi veri güvenliğine ilişkin yükümlülükleri düzenler ve aynı maddenin beşinci fıkrası ihlalin Kurul'a bildirilmesini öngörür. Kurul, alınan teknik ve idari tedbirlerin yeterliliğini değerlendirir ve yeterli bulmazsa idari para cezası uygular.

İkinci hat cezaidir. Erişimi sağlayan kişinin fiili 5237 sayılı Kanun'un 243. maddesi kapsamında bilişim sistemine girme suçunu, verileri dışarı çıkarması ise 136. madde kapsamında verileri hukuka aykırı olarak verme veya ele geçirme suçunu oluşturabilir. Bu soruşturma, şirketin idari sorumluluğundan bağımsız yürür.

Üçüncü hat özel hukuktur. Verisi sızan kişi, uğradığı zararın giderilmesini talep edebilir. Kanun'un 11. maddesinin son bendi bu hakkı açıkça saklı tutar.

Üç hat birbirinin alternatifi değildir, aynı anda işler. Kurul'un cezasını ödemiş olmak ceza soruşturmasını sona erdirmez, ceza davasının sonucu tazminat talebini kendiliğinden karara bağlamaz.

Kanunlar hangi soruya cevap veriyor

Alanın dağınıklığını anlamanın en pratik yolu, her metnin hangi soruyu cevapladığını görmektir.

6698 sayılı Kanun "bu veriyi işleyebilir misin" sorusuna cevap verir. İşleme şartları, aydınlatma, güvenlik tedbirleri ve ilgili kişinin hakları buradadır.

5651 sayılı Kanun "bu içerikten kim sorumlu" sorusuna cevap verir. İçerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcı ayrımı ile içeriğin çıkarılması ve erişimin engellenmesi usulleri bu kanunda düzenlenir. Sorumluluk rejimi, kişinin bu dört sıfattan hangisine girdiğine göre tamamen değişir.

5237 sayılı Kanun "bu fiil suç mu" sorusuna cevap verir.

6563 sayılı Kanun "bu ticari iletiyi gönderebilir misin ve hizmet sağlayıcı olarak neyi bildirmek zorundasın" sorusuna cevap verir.

5070 sayılı Kanun "bu elektronik imza ıslak imza yerine geçer mi" sorusuna cevap verir.

Bir projede genellikle bu soruların hepsi aynı anda gündeme gelir. Yalnızca birine bakarak verilen karar, diğer dördü bakımından körlük yaratır.

Dağınık yetki dağınık denetim demek

Bu tabloyu daha da karmaşık hâle getiren şey, farklı kanunların farklı kurumlara emanet edilmiş olmasıdır.

Kişisel Verileri Koruma Kurumu veri işleme faaliyetlerini denetler. Bilgi Teknolojileri ve İletişim Kurumu elektronik haberleşme alanında yetkilidir ve erişim engelleme kararlarının uygulanmasında görev alır. Ticaret Bakanlığı elektronik ticaret mevzuatının uygulanmasından sorumludur.

Bunun pratik sonucu şudur. Tek bir üründe birden fazla denetim merciine karşı sorumlu olabilirsiniz ve bu merciler birbirinin kararıyla bağlı değildir. Birinden gelen olumlu bir görüş, diğerinin farklı sonuca varmasını engellemez.

Uygulamada nerede hata yapılıyor

Bu alanda gördüğüm hataların büyük çoğunluğu bir ortak özelliği paylaşır. Hukuki değerlendirme, teknik kararlar verildikten sonra yapılır.

Veri modeli kurulmuş, tablolar açılmış, entegrasyonlar yazılmıştır. Ürün canlıya çıkmak üzereyken hukukçuya "bir bakar mısınız" denir. O aşamada söylenebilecek şeyler sınırlıdır, çünkü söylenen her şey artık geriye dönük düzeltme anlamına gelir ve geriye dönük düzeltme, o güne kadar toplanmış veri bakımından ayrı bir sorun doğurur.

Oysa aşağıdaki soruların tamamı veri modeli kurulurken cevaplanabilecek sorulardır. Hangi kişisel veri kategorileri işlenecek. Her kategori hangi hukuki sebebe dayanacak. Saklama süresi ne olacak ve süreyi hangi bileşen uygulayacak. Silme talebi geldiğinde hangi tablolara dokunulacak. Yurt dışına aktarım olacak mı.

Beş soru. Hepsi bir toplantıda cevaplanabilir. Cevaplanmadığında ortaya çıkan maliyet, o toplantının maliyetinin kat kat üzerindedir.

Alanın gerçek zorluğu

Bilişim hukukunun zorluğu kuralların karmaşık olması değildir. Kurallar tek tek okunduğunda anlaşılırdır.

Zorluk, kuralların hangi anda devreye gireceğini bilmektir. Bir mühendisin verdiği "bu alanı da kaydedelim, lazım olur" kararı, üç ayrı kanun bakımından sonuç doğurur ve o kararı veren kişi çoğu zaman bunu bilmez. Bu bilgi boşluğunu kapatmanın yolu daha kalın bir uyum dosyası hazırlamak değil, kararın verildiği masada hukukçunun bulunmasıdır.