Dijital Delillerde Kaynak, Aidiyet ve Bütünlük Kavramlarının Birbirinden Ayrılması

Bir dijital dosyanın nereden geldiği, kime bağlanabildiği ve değişmeden korunup korunmadığı ayrı sorulardır. Kaynak, aidiyet ve bütünlük kavramları bu sorulara karşılık gelir. Ceza dosyalarında aynı kayıt hakkında üçü birlikte tartışılabilir; ancak birindeki güçlü bulgu diğerindeki eksikliği kendiliğinden tamamlamaz. Sağlam bir inceleme, hangi iddianın hangi teknik veriye dayandığını göstererek bu kavramların birbirine karışmasını önler.

Örneğin hash değeri doğrulanan bir dosyanın kaynağı belirsiz olabilir. Kaynağı bilinen bir mesaj hesabın yetkisiz kullanımıyla gönderilmiş olabilir. Belirli kişinin oluşturduğu kabul edilen bir belgenin mahkemeye sunulan kopyası ise sonradan değiştirilmiş olabilir. Bu ihtimallerin her biri farklı araştırma gerektirir. Delilin genel olarak “güvenilir” veya “güvenilmez” diye etiketlenmesi, hangi sorunun çözüldüğünü ve hangisinin açık kaldığını açıklamaz.

Kaynak sorusunun farklı katmanları

Kaynak, yalnız dosyanın teslim alındığı kişi anlamına gelmez. Veriyi üreten sistem, verinin saklandığı ortam ve soruşturma makamına sunulan kopyayı hazırlayan kişi farklı olabilir. Bir şirket sunucusunun günlüğü, dış hizmet sağlayıcı tarafından dışa aktarılıp şirket çalışanı aracılığıyla teslim edilebilir. Kaynak incelemesi bu aşamaları görünür kılmalıdır. Dosyayı getiren kişinin güvenilir bulunması, sunucudaki üretim sürecinin doğrulandığı anlamına gelmez.

Bir kaydın hangi yazılım tarafından ve hangi amaçla oluşturulduğu önemlidir. Güvenlik günlüğü, kullanıcı ekranı için hazırlanan özet ve faturalandırma kaydı aynı olayı farklı kapsamda temsil edebilir. Birinde görünen alan diğerinde bulunmayabilir; kayıt koşulları da değişebilir. İncelemeci, verinin ilk kullanım amacını bilmeden alanlara hukuki anlam yüklememelidir. İşletme amacıyla oluşturulan bir etiket, doğrudan suçun unsurunu tanımlamaz.

Özgün veriyle dışa aktarılmış tablo arasında dönüşüm işlemleri bulunabilir. Tarih alanları çevrilmiş, sütunlar çıkarılmış veya tekrar eden satırlar birleştirilmiş olabilir. Bu işlemler meşru bir raporlama ihtiyacına dayanabilir; yine de açıklanmalıdır. Tabloyu hazırlayan kişinin hangi filtreleri kullandığı bilinmeden, sunulan kayıtların bütün olayları kapsadığı varsayılamaz. Kaynak değerlendirmesi yalnız doğruluğu değil, seçimin kapsamını da içerir.

Kaynağın hiç belirlenemediği bir dosyada teknik inceleme yine yapılabilir. Dosyanın yapısı, görünür değişiklikleri veya içindeki zaman alanları araştırılabilir. Fakat bu inceleme eksik geçmişi kendiliğinden yeniden oluşturmaz. Rapor, gözlenen özelliklerle dosyanın edinim öyküsünü ayrı tutmalıdır. Teknik analizin ayrıntılı olması, kaynağa ilişkin belirsizliği görünmez hale getirmemelidir. Mahkeme de bu sınırı delilin ağırlığında dikkate almalıdır.

Aidiyetin nesneden kişiye uzanan yapısı

Aidiyet sorusu, belirli veri veya işlemin kişiyle ilişkisini araştırır. Cihazın mülkiyeti, hesabın kayıtlı sahibi, fiili kullanıcı ve belirli işlemi yapan kişi aynı olmayabilir. Bir aile bilgisayarı birden fazla kişi tarafından kullanılabilir; kurumsal hesapta temsilci yetkileri bulunabilir. Dolayısıyla yalnız sahiplik bilgisiyle kişisel ceza sorumluluğu kurulamaz. İsnat edilen somut eylemle kişi arasındaki bağ ayrıca gösterilmelidir.

Aidiyet, yalnız kimlik bilgilerinin eşleşmesine dayanmaz. Olay tarihindeki erişim imkanları, oturumlar, cihaz izleri ve diğer deliller birlikte değerlendirilebilir. Ancak aynı kaynaktan türeyen birden çok kayıt bağımsız destek gibi sayılmamalıdır. Hesap profilindeki isimden üretilen üç ayrı çıktı, üç ayrı kimlik doğrulaması değildir. Delillerin sayısı kadar birbirlerinden ne ölçüde bağımsız oldukları da önemlidir.

Bir kişinin parolasını bilmesi, her işlemi yaptığı anlamına gelmez. Tersine, parolanın başkalarınca bilindiğinin ileri sürülmesi de bütün işlemler bakımından otomatik şüphe yaratmaz. Araştırma somut döneme ve eyleme yönelmelidir. Paylaşılmış erişimin kapsamı, kullanılan cihazlar ve ilgili işlem kayıtları değerlendirilir. Soyut teknik imkan ile dosyada desteklenen alternatif açıklama farklı kavramlardır. Gerekçe bu ayrımı korumalıdır.

Kullanıcı adı veya profil fotoğrafı kolayca değiştirilebilen alanlardır. Bu alanlar araştırmaya başlangıç sağlayabilir; fakat sabit hesap kimlikleriyle ve olay tarihindeki verilerle karşılaştırılmalıdır. Bugünkü profil üzerinden yıllar önceki kullanımı belirlemek yanlış kişiye yönelmeye neden olabilir. Hesap devri, numara değişikliği veya kurum içi görev değişimi iddiaları, somut kayıt varsa araştırılmalıdır. Aidiyet zamandan bağımsız bir etiket değildir.

Kurumsal raporlarda “sistem sahibi”, “veri sahibi” ve “kullanıcı” ifadeleri de farklı anlamlar taşıyabilir. Sözleşmede veri sahibi sayılan şirket, belirli kaydın insan üreticisi değildir. Sistem yöneticisinin teknik erişimi bulunması da içeriği onun yazdığını göstermez. Bilirkişi bu terimleri rapora taşırken hangi ilişkiyi anlattığını açıklamalıdır. Sözleşmesel yetki, fiili kullanım ve ceza sorumluluğu farklı değerlendirme düzeylerinde kalmalıdır.

Benzer şekilde bir cihazın kişinin evinde bulunması, cihazdaki bütün verilerin ona ait olduğunu kanıtlamaz. Bulunma yeri önemli bir çevresel olgudur; diğer verilerle birlikte değerlendirilir. Aynı mekandaki başka kullanıcılar veya eski kullanım dönemleri somut kayıtlarla araştırılabilir. Mekansal ilişkiyi kesin aidiyet gibi sunmak, araştırmanın tamamlanması gereken kısmını peşinen kabul etmek olur. Kişisel sorumluluk için isnat edilen işlemle bağ kurulmalıdır.

Delili sunan tarafın kullandığı kavramlar da mahkemeyi bağlamaz. Dilekçede “orijinal” olarak adlandırılan dosya, teknik olarak yalnız dönüştürülmüş bir çıktı olabilir. Bu adlandırma kötü niyet göstergesi sayılmadan önce edinim koşulları açıklığa kavuşturulur. Raporun görevi, günlük dildeki sıfatları denetlenebilir teknik tanımlara çevirmektir.

Bütünlüğün başlangıç ve kapsam sınırı

Bütünlük, verinin belirlenen aşamalar arasında korunup korunmadığıyla ilgilidir. Edinim sırasında alınan hash değerleri, işlem günlükleri ve kopya kayıtları bu denetimi destekleyebilir. Fakat her kontrolün başlangıç anı vardır. Dosya incelemeciye ulaşmadan önce değiştirilmişse, teslimden sonraki değişmezlik eski müdahaleyi ortadan kaldırmaz. Bütünlük raporu hangi zaman aralığını ve hangi nesneyi doğruladığını açıkça belirtmelidir.

Kopyanın eksiksizliğiyle değişmezliği de ayrı özelliklerdir. Seçilmiş on dosyanın hiç değişmediği doğrulanabilir; ancak kaynak sistemde yüz dosya varsa seçimin neden yapıldığı ayrıca açıklanmalıdır. Aynı şekilde yalnız belirli tarih aralığının dışa aktarılması, o aralık dışındaki bağlamı göstermeyebilir. Bütünlüğe ilişkin olumlu sonuç, edinimin bütün veriyi kapsadığı anlamına gelmez. Teknik raporda kapsam ve değişmezlik ayrı ifade edilmelidir.

Bir belge başka formata dönüştürüldüğünde yeni bir dijital nesne oluşur. Dönüştürülmüş dosyanın hash değeri, kaynak belgenin hash değeriyle aynı olmaz. Bu durum tek başına içeriğin çarpıtıldığına işaret etmez; dönüşümün etkisi araştırılır. Kaynak ve çıktı birlikte korunarak hangi işlemin neyi değiştirdiği gösterilebilir. Mahkemeye okunabilir belge sunma ihtiyacı, özgün kaydın korunması gereğini ortadan kaldırmaz.

Bütünlükteki sorunun boyutu da belirlenmelidir. Bir arşivin tek bölümündeki hata, bütün içeriğin aynı ölçüde etkilendiğini göstermeyebilir. Buna karşılık hangi bölümün bozulduğu saptanamıyorsa güvence daha sınırlıdır. Bilirkişi, açıklanabilen ve açıklanamayan farkları ayırmalıdır. Hukuki değerlendirme, teknik eksikliği soyut biçimde küçümsemek veya bütün veriyi otomatik reddetmek yerine somut etkisi üzerinden yürütülmelidir.

Doğruluk ve hukuka uygunluk neden ayrı kalır?

Kaynağı, aidiyeti ve bütünlüğü belirlenmiş bir kayıt yine de gerçeğe aykırı beyan içerebilir. Kişi kendi hesabından yanlış bilgi göndermiş olabilir. Teknik inceleme mesajın gerçekten gönderildiğini desteklerken, mesajda anlatılan olayın yaşandığını kanıtlamayabilir. İçerik doğruluğu ayrı bir maddi olay araştırmasıdır. Belgede yer alan iddianın doğruluğu, belgenin sahici olmasıyla aynı hukuki kabul değildir.

Hukuka uygunluk da bu üç kavramdan bağımsızdır. Yetkisiz erişimle alınan kayıt teknik olarak doğru ve değişmemiş olabilir. Bu özellikler elde etme yöntemini meşru hale getirmez. Anayasa'nın 38. maddesi ile CMK'nın delillere ilişkin hükümleri, hukuka aykırı elde etme sorununu ayrıca değerlendirmeyi gerektirir. Teknik güvenilirlik denetiminin olumlu sonucu, hukuki kabul edilebilirlik denetimini gereksiz kılmaz.

Bunun karşılığı olarak hukuka uygun biçimde edinilen her veri de isnadı ispatlamaz. Arama kararı usulüne uygun olabilir; fakat bulunan dosyanın kim tarafından oluşturulduğu bilinmeyebilir. Kanuni yetkiyle edinilmiş olması, kişiye ilişkin eksik çıkarımı tamamlamaz. Hukuka uygunluk, delilin kullanılabilirliğine ilişkin eşiklerden biridir; ispat gücü ise kaydın somut iddiaya ne kadar destek verdiğiyle belirlenir. Bu iki değerlendirme ayrı gerekçe gerektirir.

Bir mesaj kaydı üzerinden ayrımlar

Varsayımsal bir olayda işyerindeki ortak bilgisayardan tehdit içerdiği ileri sürülen mesaj gönderilmiş olsun. Sunucu kayıtları mesajın belirli hesaptan çıktığını gösterebilir. Bilgisayarın adli kopyasının doğrulanması, inceleme için kullanılan verinin korunmasını destekler. Ancak ortak bilgisayarı o saatte hangi kişinin kullandığı henüz belirlenmemiş olabilir. Kaynak ve bütünlükteki güçlü bulgular, açık kalan insan aidiyeti sorusunu otomatik cevaplamaz.

Aynı olayda oturum bilgileri belirli kişiyi desteklese bile mesajın tamamı ve konuşmanın bağlamı incelenmelidir. Alıntılanan bir söz, aktarılmış bir haber veya başka kişiye ait içeriğin iletilmesi farklı değerlendirme gerektirebilir. Teknik kayıt, eylemin meydana geldiği konusunda destek sunarken suçun hukuki unsurlarına ilişkin tartışma devam eder. Uzman, teknik bulgudan doğrudan kast veya suçluluk sonucuna atlamamalıdır.

Savunma, mesajın değiştirilmiş bir ekran görüntüsüne dayandığını ileri sürüyorsa araştırma bütünlüğe yönelir. Hesabın ortak kullanıldığını ileri sürüyorsa aidiyet araştırması gerekir. Dosyanın hangi sistemden alındığı bilinmiyorsa kaynak sorusu öncelik kazanır. Her itiraz için aynı “hash doğrudur” cevabının verilmesi yetersizdir. İtirazın konusu doğru tanımlandığında, hangi yeni kaydın veya incelemenin sorunu çözebileceği daha kolay belirlenir.

Deliller arası destek ilişkisinin kurulması

Farklı kaynaklardan gelen kayıtların aynı olayı desteklemesi ispat gücünü artırabilir. Bunun için kayıtların gerçekten aynı olaya ait olduğu ve birbirlerinden türemediği araştırılmalıdır. Aynı ekran görüntüsünün farklı raporlara eklenmesi bağımsız çoğalma değildir. Buna karşılık kaynak sunucu kaydıyla ayrı cihazdaki kullanım izi farklı yönlerden destek sağlayabilir. İlişkinin niteliği, yalnız belge sayısına bakılarak belirlenemez.

Çelişen deliller arasında teknik olarak daha ayrıntılı görünenin otomatik üstünlüğü yoktur. Ayrıntılı günlük yanlış yapılandırılmış saat kullanıyor olabilir; kısa bir kayıt ise güvenilir başka olayı gösterebilir. Her kaydın üretim koşulları ve sınırları değerlendirilir. Çelişkinin giderilememesi halinde bu durum gerekçeye yansıtılmalıdır. Seçilen delilin neden tercih edildiğini açıklamamak, değerlendirmeyi denetlenemez hale getirir.

Bir kaydın yokluğu da kaynak sistemin çalışma biçimine göre anlam kazanır. Sistem ilgili işlemi normalde kaydetmiyorsa kayıt bulunmaması eylemin gerçekleşmediğini kanıtlamaz. Saklama süresi dolmuşsa aynı sınır geçerlidir. Buna karşılık zorunlu ve kesintisiz kayıt altında gerçekleşmesi beklenen işlem için boşluk bulunması araştırmaya değer olabilir. Olumsuz bulgunun değeri, beklenen kaydın neden mevcut olması gerektiği açıklanarak belirlenir.

Bilirkişi sorularının doğru kurulması

Bilirkişiden yalnız “delil gerçek midir” şeklinde genel cevap istenmesi belirsizlik yaratır. Sorular, kaynağın belirlenmesi, değişiklik denetimi ve somut kullanıcı bağlantısı şeklinde ayrıştırılabilir. İncelemenin hangi veri ve yöntemle yapılacağı bu sayede anlaşılır. Uzman da erişemediği kaynaklar veya desteklenmeyen sistemler nedeniyle cevap veremediği soruları açıkça gösterebilir. Cevapsız alanlar kesin hüküm görünümüyle kapatılmamalıdır.

Raporda ham gözlem ile yorum farklı dille yazılmalıdır. Belirli hesabın günlükte görünmesi gözlemdir; o hesabı belli kişinin kullandığı sonucu ise ek gerekçeye ihtiyaç duyan yorum olabilir. Yorumun hangi olgularla desteklendiği belirtilir. Teknik olasılık dereceleri sayısallaştırılmışsa bunların yöntemsel dayanağı açıklanmalıdır. Bilimsel temeli gösterilmeyen yüzde ifadeleri, rapora görünürde kesinlik ekler fakat ispat sorununu çözmez.

Uzmanın alternatif açıklamaları değerlendirmesi, her teorik ihtimali aynı ağırlıkta sıralamasını gerektirmez. Somut bulgularla ilişkili seçenekler öncelik taşır. Örneğin dosyanın otomatik indirilmesi ilgili yazılımın normal davranışıyla uyumluysa araştırılır. Hiçbir kayıtla bağlantısı olmayan uzak ihtimal ise desteklenmiş senaryoyla eşit gösterilmemelidir. Rapor, seçeneklerin neden değerlendirildiğini ve hangi ölçüde elendiğini anlatmalıdır.

Savunmanın erişimi ve mahkemenin gerekçesi

Aleyhe kullanılan kaydın yalnız sonuç tablosunun sunulması, kaynak ve bütünlük itirazlarının incelenmesini güçleştirebilir. Savunmanın gerekli ham veriye, edinim bilgilerine veya teknik açıklamalara erişmesi önemlidir. Üçüncü kişilerin verileri bakımından koruyucu yöntemler kullanılabilir. Ancak sınırlama, isnadın dayanağını fiilen tartışılamaz hale getirmemelidir. CMK 217'deki duruşmada tartışma ilkesi, dijital delilin teknik yönüne de anlamlı biçimde yansımalıdır.

Mahkemenin gerekçesi üç soruya ayrı cevap verebilir: Kayıt hangi kaynaktan edinilmiştir, ilgili kişiyle hangi olgular üzerinden ilişkilendirilmiştir ve incelemede kullanılan sürüm nasıl korunmuştur? Bu soruların cevabı tek paragrafta da verilebilir; önemli olan çıkarımların görünür olmasıdır. Bir alandaki eksiklik başka alandaki teknik başarıyla örtülmemelidir. Giderilemeyen belirsizliğin isnadın ispatına etkisi ayrıca gösterilmelidir.

Dosya düzeninin kavramsal ayrımı desteklemesi

İyi dosya düzeni, kaynak nesneyle çalışma kopyasını ve rapor ekini ayrı adlandırır. Her kopyanın hangi işlem sonucu oluştuğu kayıt altına alınır. Böylece bilirkişinin incelediği dosya ile duruşmada gösterilen dosyanın ilişkisi kurulabilir. Aynı isimde çok sayıda farklı dosyanın dolaşması, aslında çözülebilecek bir bütünlük sorununu büyütebilir. Adlandırma ve sürüm kaydı teknik analizin yerine geçmez, fakat onu denetlenebilir kılar.

Kaynak doğrulamasının sonradan güçlenmesi, aidiyet değerlendirmesinin de değişebileceği anlamına gelebilir. Örneğin önce yalnız bir çıktı varken sonradan sunucu kaydı edinilebilir. Yeni kayıt eski iddiayı destekleyebilir veya zayıflatabilir. Raporda önceki sonucun hangi bilgiye dayandığı ve yeni verinin neyi değiştirdiği açıklanmalıdır. İnceleme, ilk varsayımı koruma çabasıyla değil, elde edilen kanıtlara göre güncellenmelidir.

Dijital delilin gücü, bütün teknik kavramların olumlu sıfatlarla anılmasına bağlı değildir. Kaynağı belirli, bütünlüğü denetlenmiş fakat kişiye bağı henüz kurulmamış bir kayıt doğru tanımlandığında araştırmayı ilerletir. Bu sınırın gizlenmesi ise yanlış sorumluluk yüklenmesine yol açabilir. Hukuki değerlendirme, verinin gösterdiği olguyu kabul ederken göstermediği hususları da gerekçede korumalıdır. Böylece teknik bulgu ile kişisel ceza sorumluluğu arasındaki ispat adımları denetlenebilir kalır.