CGNAT Kayıtlarının Ceza Muhakemesindeki Delil Değeri

CGNAT kaydı, çok sayıda abonenin aynı genel IP adresini paylaşabildiği bir ağ yapısında bağlantıların ayrıştırılmasına hizmet eder. Ceza muhakemesinde bu kaydın önemi, dışarıdan görülen bağlantının hangi abone oturumuna karşılık geldiğini araştırmaya imkan vermesidir. Ancak bir CGNAT satırı mesajın içeriğini, hesabı kullanan kişinin kimliğini veya suçun manevi unsurunu kendiliğinden göstermez. İnceleme, adres çevirisiyle elde edilen teknik eşleştirmeyi suç isnadının diğer unsurlarından ayırmalıdır.

Bir kayıt tablosunda genel IP, özel IP, port ve zaman alanlarının bulunması yeterli güvenilirlik ölçütü değildir. Alanların hangi sistem tarafından üretildiği, hangi adresin iç veya dış tarafta olduğu ve zamanların nasıl tutulduğu bilinmelidir. Aynı sayısal değer, farklı sütunlarda farklı teknik rol üstlenebilir. Hatalı sütun yorumu, gerçek bir kayıt üzerinden yanlış aboneye ulaşılmasına neden olabilir.

Operatör ölçeğinde adres paylaşımı

CGNAT, operatörün birden fazla müşteri bağlantısını ortak adres kaynakları üzerinden internete çıkardığı adres çevirisi düzenidir. Ev yönlendiricisindeki yerel adres çevirisine ek bir katman oluşturabilir. Uzak sunucunun gördüğü genel adresin abonenin cihazına doğrudan tahsis edilmiş olmaması, araştırmanın operatör eşleştirme kayıtlarına ihtiyaç duymasına yol açar. Dışarıdaki hizmetin kaydı ile operatörün iç taraftaki kaydı birlikte anlam kazanır.

Port numaraları, aynı genel adres üzerinden kurulan bağlantıların ayrılmasında kullanılır. Bununla birlikte operatörler farklı tahsis ve kayıt tasarımları benimseyebilir. Tekil bağlantı eşleştirmesi, belirli port bloklarının abonelere tahsisi veya başka kayıt düzenleri bulunabilir. Bir dosyada gerekli bilgilerin kapsamı, kullanılan mimariye göre belirlenmelidir. Her CGNAT sisteminin aynı sütunları tuttuğu veya aynı teknik yöntemle sorgulandığı varsayılmamalıdır.

RFC 6888, bu sistemlerin davranış ve kayıt ihtiyaçlarına ilişkin teknik çerçeve sağlar. Belgenin hükümleri doğrudan bir Türk yargılama usulü yaratmaz. Hukuki bakımdan yararı, sağlayıcı cevabındaki eşleştirmenin hangi teknik öncüllere dayandığını değerlendirmeye yardımcı olmasıdır. Operatörün kendi kayıt açıklaması alınmadan yalnız genel teknik belgeye dayanılarak somut kayıt hakkında kesin sonuç kurulamaz.

Uzak hizmet ile operatör kaydının birleşmesi

Uzak hizmet sağlayıcısı, kendisine ulaşan bağlantının genel kaynak adresini ve kaynak portunu kaydetmiş olabilir. Operatör ise bu dış bilgiyi iç ağdaki abone oturumuna bağlayan kayıt tutabilir. Eşleştirmenin sağlıklı olabilmesi için iki tarafın aynı iletişim olayını tarif etmesi gerekir. Adres, port, protokol ve zaman bilgilerinin kaynakları belirtilmeden birleştirilmesi, görünürde uyumlu fakat ilgisiz kayıtlar yaratabilir.

Hedef port ile kaynak portun karıştırılması sık rastlanabilecek bir kavramsal hatadır. Örneğin hizmetin bağlantı kabul ettiği port, birçok kullanıcı için aynıdır ve aboneyi ayırmayabilir. Buna karşılık dış kaynak portu adres çevirisi bağlamında farklı bir işlev görür. Bilirkişi raporu, sorguda kullanılan portun nereden alındığını ve operatörün hangi alanıyla eşleştirildiğini anlaşılır şekilde göstermelidir.

Protokol bilgisi de eşleştirmenin parçası olabilir. Aynı port değeri farklı taşıma protokollerinde kullanılabileceğinden, yalnız sayısal değerin karşılaştırılması yanıltıcıdır. Operatörün sisteminde tekil eşleştirme başka alanlarla kurulabiliyorsa bu yöntem açıklanmalıdır. Eksik alan bulunduğunda bütün kayıtların değersiz olduğu veya mutlaka yeterli olduğu biçimindeki karşıt genellemeler yerine, somut kayıt tasarımının sağladığı ayrım incelenmelidir.

Zaman aralıkları ve saat sapması

CGNAT eşleştirmesinde zaman, yalnız olayın hangi gün gerçekleştiğini gösteren yardımcı bilgi değildir. Aynı genel adres ve port farklı zamanlarda farklı bağlantılara tahsis edilebilir. Bu nedenle dakika, saniye ve gerektiğinde daha hassas değerlerin nasıl tutulduğu önem taşır. Zaman kaydı yuvarlanmışsa eşleştirmenin kesinlik sınırı buna göre belirlenmelidir. Teknik kaydın hassasiyetinden daha kesin bir sonuç yazılamaz.

Sunucu UTC kullanırken operatör yerel saat kullanıyor olabilir. Zaman dilimi farkı düzeltilmeden yapılan sorgu yanlış oturuma yöneltebilir. Dönüşüm yapılmış olması da dosyada görünmelidir. Ham zaman değeri, kullanılan saat dilimi, dönüşümün dayanağı ve ortaya çıkan ortak zaman birlikte korunduğunda karşı inceleme mümkündür. Yalnız düzeltilmiş son değerin verilmesi, hatanın hangi aşamada oluştuğunu araştırmayı güçleştirir.

Saatlerin aynı zaman diliminde olması, mutlaka eşzamanlı çalıştıkları anlamını taşımaz. Sunucunun saat sapması, zaman eşitleme kesintisi veya kayıt yazma gecikmesi bulunabilir. Bu ihtimaller somut sistem bilgisiyle sınanmalıdır. Salt teorik olarak saat hatası olabileceği söylenerek kayıt dışlanamaz; aynı şekilde sistem saati otomatik olduğu için hiç hata olmayacağı da kabul edilemez. Belirsizlik, ölçülebilen verilerle sınırlandırılmalıdır.

Bağlantı başlangıcı ve bitişi farklı sistemlerde farklı olayları ifade edebilir. Bir sistem bağlantı kurma denemesini, diğeri başarılı oturumu, başka bir sistem kayıt yazma anını tutabilir. Yakın zamanlı satırlar karşılaştırılırken bu semantik fark açıklanmalıdır. Kronolojik uyum, alanların aynı olayı kaydettiği gösterildiğinde anlamlıdır. Ekranda yan yana görünen iki tarih, bu açıklamanın yerine geçmez.

Kaydın söylediği ve söylemediği

CGNAT kaydından bir hedef IP adresine bağlantı kurulduğu anlaşılabilir. Ancak hedef adres, birden fazla hizmeti barındırıyor olabilir. İçerik dağıtım ağı, ortak sunucu veya değişken adres tahsisi söz konusu olduğunda hedef adresin belirli hizmetle tarihsel ilişkisi doğrulanmalıdır. Bugünkü adres sahipliği, geçmişteki bağlantının neye yöneldiğini açıklamak için tek başına kullanılamaz.

Bağlantı, içerik kullanımının türünü her zaman göstermez. Bir uygulamanın arka planda çalışması, otomatik güncelleme veya bildirim alması ağ trafiği oluşturabilir. Mesaj gönderme, okuma, dosya indirme ve oturum yenileme birbirinden farklı eylemlerdir. İsnat belirli bir içerik veya iletişim davranışına dayanıyorsa, CGNAT kaydının bu eyleme nasıl bağlandığı ek verilerle açıklanmalıdır.

Kayıt sayısı kullanım sayısına eşitlenemez. Tek işlem çok sayıda bağlantı oluşturabilir; bir bağlantı ise uzun süre açık kalarak çok sayıda işlemi taşıyabilir. Bu sebeple binlerce satırın bulunması, binlerce mesaj veya ayrı suç eylemi olarak yorumlanmamalıdır. Trafiğin teknik niteliği belirlenmeden nicelik üzerinden hukuki yoğunluk sonucu çıkarmak ispat değerlendirmesini bozar.

Veri hacmi de aynı dikkatle ele alınmalıdır. Aktarılan bayt miktarı, içeriğin anlamını veya kullanıcının neyi bildiğini doğrudan göstermez. Şifreli iletişimde hacim ve yön bilgisi bulunurken içerik bilinmeyebilir. Büyük veri aktarımı belirli bir araştırma ihtiyacını gösterebilir, ancak dosyanın niteliği veya suç unsuru hakkında kesin kararın yerine kullanılamaz.

Abone oturumundan gerçek kişiye

Operatör eşleştirmesi abonelik veya erişim oturumuna ulaştırabilir. Aboneliğin bir kişiye kayıtlı olması, hattın yalnız o kişi tarafından kullanıldığı anlamını taşımaz. Aile kullanımı, iş telefonu tahsisi, cihaz paylaşımı veya hattın geçici devri farklı olasılıklar yaratır. Kişisel ceza sorumluluğu kurulurken olay tarihindeki fiili kullanım ayrıca değerlendirilmelidir.

Mobil bağlantıda cihaz ve hat bilgileri araştırmayı daraltabilir. Ancak cihaz kimliği, abonelik kimliği ve insan kimliği farklıdır. Hangi bilginin hangi sistemden geldiği gösterilmelidir. Aynı kişinin sürekli kullandığı telefonda ilgili uygulama kayıtlarının bulunması ile yalnız abonelik cevabının mevcut olması aynı ispat gücüne sahip değildir. Teknik katmanlar birbirini gerçekten doğruluyorsa bu ilişkinin gerekçesi açıklanabilir.

Hesap kaydı, içerik verisi ve CGNAT eşleşmesi farklı kaynaklardan geliyorsa aralarındaki zaman ve olay ilişkisi incelenir. Kolluk tarafından hazırlanan bir özetin farklı belgelerde tekrarlanması ise yeni bağımsız doğrulama oluşturmaz. Raporların sayısı artırıldığında kaynağın sayısı artmayabilir. Mahkemenin delil değerlendirmesinde belgenin adı kadar dayandığı ham veriyi de görmesi gerekir.

Elektronik veriye etkili itiraz

AİHM Büyük Dairesinin 26 Eylül 2023 tarihli Yüksel Yalçınkaya/Türkiye kararı, elektronik verinin yargılamada tartışılabilirliği bakımından önem taşır. Kararda belirli bir dosyada ByLock verisine erişim ve bu veriyi etkili biçimde sorgulayabilme sorunları değerlendirilmiştir. Bu karar, bütün CGNAT kayıtlarının geçersiz olduğu şeklinde okunamaz. Genel çıkarım, mahkumiyet bakımından etkili olan teknik veriye yönelik esaslı itirazların gerçek bir incelemeye açılması gerektiğidir.

Savunma, yanlış saat dilimi kullanıldığını veya port alanlarının karıştırıldığını ileri sürüyorsa, bu itiraz yalnız sağlayıcı cevabının resmi niteliğiyle karşılanamaz. Sorunun teknik dayanağı araştırılmalıdır. Sorgu parametreleri ve eşleştirme yöntemi açıklanmadan sonuçtaki ismin tekrarlanması, itirazı cevaplamaz. Gerekirse ek bilgi veya yeni uzman incelemesiyle teknik uyuşmazlık giderilmelidir.

Ham verilerin tamamına erişimin üçüncü kişilerin mahremiyetini etkilediği dosyalarda, ilgili kayıtların ayrıştırılması ve denetimli inceleme gibi yöntemler değerlendirilebilir. Mahremiyetin korunması, aleyhe kullanılan eşleştirmenin hiçbir biçimde denetlenememesi sonucunu doğurmamalıdır. Hangi kısıtlamanın neden gerekli olduğu ve savunmanın buna rağmen nasıl etkili itiraz edebileceği somutlaştırılmalıdır.

Eksik ve çelişkili kayıtlarla çalışma

Bir sağlayıcı cevabında kaynak portu bulunmuyorsa, önce bunun kaydın hiç tutulmamasından mı yoksa cevaba aktarılmamasından mı kaynaklandığı araştırılmalıdır. Eksik sunum ile teknik olarak mevcut olmayan veri farklı sorunlardır. İlki ek belgeyle giderilebilirken ikincisi eşleştirmenin sınırını oluşturabilir. Dosyadaki boş alanın nedeni öğrenilmeden kesin olumlu veya olumsuz değerlendirme yapılması isabetli olmaz.

İki sağlayıcının cevabı farklı abonelere işaret ediyorsa çelişkinin kaynağı gösterilmelidir. Yanlış tarih, farklı saat dilimi, hatalı port veya farklı sorgu kapsamı ihtimalleri incelenebilir. Cevaplardan birini gerekçesiz tercih etmek, teknik uyuşmazlığı çözmez. Yeni sorgu yapılacaksa önceki sonuçların neden değiştiği de kayda geçirilmelidir. Böylece nihai sonucun hangi düzeltmeye dayandığı anlaşılır.

Kayıtların saklama süresi dolmuşsa araştırmanın fiili sınırı oluşabilir. Sonradan üretilen bir değerlendirme tablosu, artık bulunmayan ham verinin yerini kendiliğinden almaz. Tablo hazırlanırken hangi verinin mevcut olduğu ve dönüşümün nasıl yapıldığı araştırılabilir. Ancak doğrulanamayan boşluklar, raporu tamamlamak amacıyla tahminle doldurulamaz. İspat bakımından sonuç, mevcut diğer delillerle birlikte değerlendirilir.

Raporun denetlenebilir kurulması

Sorgu sonucundaki satırların tekilleştirilmesi veya sayılması da yöntemsel açıklama gerektirir. Aynı olayın farklı sistemlerden alınmış kopyaları tekrar kayıt gibi görünebilir. Bir oturumun birden fazla teknik olayla temsil edilmesi de mümkündür. İnceleme yapan kişi bu satırları birleştiriyorsa kullandığı ölçütü belirtmelidir. Birleştirme yapılmıyorsa toplam satır sayısının bağımsız bağlantı sayısı olmadığı raporda anlaşılmalıdır. Teknik tablonun büyüklüğü, eylemlerin sayısını kendiliğinden belirleyen bir ölçü haline getirilmemelidir.

Operatörün kayıt tutma politikasıyla belirli dosyaya sunduğu veri kapsamı aynı şey değildir. Bir sistem daha ayrıntılı veri ürettiği halde talep yalnız belirli alanlara yönelik olabilir. Sağlayıcı cevabındaki eksiklik, sistemin teknik yetersizliği sanılmamalıdır. Talebin amacı, zaman aralığı ve aranan eşleştirme açık yazıldığında cevap daha iyi denetlenebilir. Gereksiz geniş veri talepleri ise üçüncü kişilerin bilgilerini dosyaya taşıyabilir ve ilgili bağlantının ayıklanmasını zorlaştırabilir.

Kayıt üzerinde teknik düzeltme yapılması gerekiyorsa önceki değer korunmalıdır. Yanlış kodlanan tarih veya karakter, çalışma kopyasında açıklanarak düzeltilebilir; fakat ham verinin sessizce değiştirilmesi denetim imkanını zedeler. Düzeltmenin hangi gerekçeyle yapıldığı, kimin yaptığı ve eşleştirme sonucunu değiştirip değiştirmediği belirtilmelidir. İncelemeye esas alınan tablo ile kaynaktan gelen dosya arasındaki farklar böylece izlenebilir olur. Bu kayıt disiplini, teknik hataların kişiye yönelik yanlış sonuçlara dönüşmesini önlemeye yardım eder.

İddia makamının bağlantı eşleşmesini başka delillerle desteklemesi, teknik hatanın araştırılmasını gereksiz kılmaz. Diğer delillerin bağımsızlığı ve gücü değerlendirilirken CGNAT kaydındaki somut çelişki de cevaplanmalıdır. Aynı şekilde tek bir alanın eksikliği, dosyadaki bütün diğer delillerin yok sayılmasını gerektirmez. Mahkemenin görevi her bulgunun güvenilir kısmını ve sınırını belirleyerek bütün değerlendirmeyi hukuka uygun deliller üzerinde kurmaktır.

Kayıt üreticisi, sağlayıcı ve raporu hazırlayan uzman farklı kişiler olabilir. Bilginin bu kişiler arasında aktarılırken özetlenip özetlenmediği ve kullanılan terimlerin anlamının değişip değişmediği incelenmelidir. Sağlayıcının teknik tereddüt içeren cevabının raporda kesin tespit gibi yazılması, asıl kaynağın sınırını aşar. Nihai değerlendirme, kaynağın taşıdığı belirsizliği korumalıdır.

İyi hazırlanmış bir CGNAT raporu, kaydın kaynağını, alanların anlamını, sorgu koşullarını ve eşleşmenin sınırını açıklar. Hangi genel adres ve portun hangi zaman aralığında hangi abone oturumuna bağlandığı gösterilmelidir. Yöntemle sonuç arasındaki bağ kurulmadan yalnız bir kişi adı yazılması, teknik incelemenin nasıl tekrar edileceğini belirsiz bırakır. Raporun uzunluğu, bu eksikliği gidermez.

İnceleme araçlarının veya dönüştürme işlemlerinin kayıtları değiştirmesi ihtimali de gözetilmelidir. Tarihlerin tablo yazılımında farklı biçime dönüşmesi, baştaki sıfırların kaybolması veya sütunların yanlış ayrılması basit görünen fakat sonucu etkileyen sorunlardır. Ham kayıt korunmalı, analiz için üretilen çalışma kopyasının nasıl oluşturulduğu açıklanmalıdır. Dönüştürülmüş tablonun ayrı bir çıktı olduğu raporda belirtilmelidir.

Varsayımsal bir sorguda dış adres ve zaman eşleştiği halde port verisi birden fazla olası aboneyi ayıramıyorsa, sonuç bu belirsizlikle sunulmalıdır. Daha sonra elde edilen cihaz kaydı olasılıklardan birini destekleyebilir. Böyle bir durumda kişi bağlantısı yalnız CGNAT'a değil, birlikte değerlendirilen kayıt grubuna dayanır. Gerekçeli karar, hangi delilin hangi boşluğu tamamladığını belirtmelidir.

CMK 217 çerçevesinde teknik verinin hukuka uygun elde edilmesi ve duruşmada tartışılması gerekir. CGNAT raporunun kurumsal niteliği, mahkemenin delili değerlendirme görevini ortadan kaldırmaz. Soruşturmayı yönlendiren bağlantı ile mahkumiyeti taşıyan kişisel eylem bağlantısı ayrılmalıdır. Birinci bağlantının kesin kurulması, ikincinin de kurulmuş sayılmasını gerektirmez.

CGNAT kayıtlarının değeri, adres paylaşımının yarattığı belirsizliği ne ölçüde azalttıklarıyla ilgilidir. Doğru alanlar, güvenilir zaman bilgisi ve açıklanabilir eşleştirme yöntemiyle güçlü destek sağlayabilirler. İçerik, kullanıcı ve kast hakkında cevaplamadıkları sorular ise başka delillerle incelenmelidir. Teknik kayıtların hukuki gücü, kapsamlarının genişletilmesinden değil, gerçekten gösterdikleri olgunun doğru belirlenmesinden doğar.