Silinen Dijital Verilerin Kurtarılması ve Ceza Muhakemesindeki İspat Değeri

Bir dosyanın kullanıcı ekranından silinmesi, verinin depolama ortamından aynı anda bütünüyle yok olduğu anlamına gelmeyebilir. İşletim sistemi, uygulama ve cihazın depolama yapısı silme işlemini farklı biçimlerde yürütür. Adli bilişim incelemesi bu farklılıkları kullanarak dosyanın tamamına, bir parçasına veya yalnız geçmiş varlığına ilişkin kayda ulaşabilir. Ancak kurtarılan her parça, geçmişte kullanıcıya gösterilen eksiksiz dosyanın eşdeğeri değildir.

Ceza muhakemesinde silinmiş veri hem içeriğin anlamı hem de silme davranışının niteliği bakımından tartışılabilir. Dosyanın ne içerdiği, hangi döneme ait olduğu, kimin erişiminde bulunduğu ve ne zaman silindiği ayrı sorulardır. Birinin cevaplanması diğerlerini kendiliğinden çözmez. Teknik rapor, kurtarma işleminin ürettiği sonucu açıklarken eksik alanları tahminle doldurmamalı ve silinmiş olmayı otomatik olarak suç gizleme davranışıyla eşitlememelidir.

Silmenin farklı teknik anlamları

Klasik bir dosya sisteminde silme, dosyaya ayrılan alanın yeniden kullanılabilir olarak işaretlenmesiyle gerçekleşebilir. Bu alanın içeriği hemen değişmemişse bazı veriler kurtarılabilir. Bununla birlikte işletim sistemi ve dosya sistemi davranışları farklıdır. Bir cihaz için geçerli teknik açıklama bütün cihazlara uygulanamaz. İnceleme, kullanılan ortamın ve dosya sisteminin özelliklerini belirtmelidir. Dosyanın görünmemesiyle fiziksel alanın gerçekten temizlenmesi ayrılmalıdır.

Uygulama içindeki silme işlemi, dosyanın tümünün silinmesi yerine veritabanındaki bir kaydın durumunun değiştirilmesi olabilir. İçerik başka tabloda, işlem günlüğünde veya yedekte kalabilir. Buna karşılık uygulama daha kapsamlı temizleme yapmış olabilir. Hangi verinin neden kaldığı somut yazılım ve sürüm üzerinden araştırılır. “Silinen bütün mesajlar geri gelir” veya “silinen veri asla bulunamaz” gibi kesin ifadeler teknik gerçekliği yansıtmaz.

Çöp kutusuna taşıma da kalıcı silmeden ayrıdır. Dosya farklı bir klasörde tutulabilir ve eski konumuna ilişkin bilgi korunabilir. Böyle bir durumda incelemenin bulduğu içerik, kullanılmayan fiziksel alandan kurtarılmış veri değildir. Raporda edinim yolunun doğru adlandırılması gerekir. Kullanıcı tarafından görünür biçimde saklanan dosyayla parçalı kurtarma ürünü aynı güvenilirlik varsayımı altında değerlendirilmemelidir.

Flash depolama ve otomatik temizleme

SSD ve mobil cihazlarda kullanılan flash depolama, manyetik disklerden farklı yönetim mekanizmalarına sahiptir. Kullanılmayan alanların temizlenmesi ve verinin fiziksel konumunun yönetilmesi cihazın kendi işlemleriyle yürütülebilir. NIST'in bilimsel değerlendirmesi, TRIM gibi süreçlerin silinmiş verinin daha sonra erişilebilirliğini etkileyebildiğini açıklar. Bu nedenle cihazın inceleme öncesindeki ve sırasındaki durumu, kurtarma imkanını belirleyen etkenlerden biridir.

Cihazın enerji altında kalması veya normal biçimde kullanılmaya devam edilmesi veri durumunu değiştirebilir. Ancak her cihazı aynı şekilde kapatmak veya açmak da doğru bir yöntem değildir. Şifreleme ve erişim özellikleri farklı sonuçlar doğurabilir. Teknik uzman, koruma kararını cihazın özelliklerine göre vermeli ve yaptığı müdahaleleri kaydetmelidir. Sonradan elde edilemeyen veri, ilk andan beri mevcut değilmiş gibi değerlendirilmemelidir.

Şifreleme anahtarlarının durumu da kurtarmayı etkiler. Depolama alanında bazı veri bloklarının bulunması, bunların anlamlı içerik olarak çözülebileceği anlamına gelmez. Anahtarın yok edilmesi veya erişilememesi fiziksel kalıntıyla okunabilir veri arasındaki farkı büyütebilir. Rapor, veri bulunmaması, veriye erişilememesi ve verinin çözülememesi durumlarını ayrı açıklamalıdır. Bu ayrımlar hukuki yokluk değerlendirmesini doğrudan etkiler.

Kurtarma yönteminin belirlenmesi

Dosya sistemi kayıtlarından yararlanılan kurtarma ile dosya yapısı örüntülerine göre parça arama farklı yöntemlerdir. İlk yöntemde ad, konum veya başka metaverilere ulaşılabilirken ikinci yöntemde içerik parçası bulunup özgün bağlam kaybolabilir. Kullanılan yöntemin adı ve sınırları raporda belirtilmelidir. Yalnız kurtarılan dosyanın açılabildiğinin yazılması, onun geçmişteki dosyayla ne ölçüde aynı olduğunu açıklamaz.

Veri blokları zaman içinde yeniden kullanılmış veya dosya parçalara ayrılmış olabilir. Kurtarma yazılımı bu parçaları birleştirirken eksik veya ilgisiz içeriği aynı çıktı içinde sunabilir. NIST IR 8354, silinmiş dosyaların kurtarılmasında yabancı parçaların sonuca karışması riskine dikkat çeker. Bu teknik ihtimal, her kurtarılmış dosyanın yanlış olduğu anlamına gelmez. Kritik içerik bakımından yapısal tutarlılık ve kaynak alanların kontrol edilmesini gerektirir.

Bir görüntünün açılması veya metnin okunması, dosyanın bütününün doğru kurtarıldığını kanıtlamaz. Dosyanın başlangıcı sağlamken başka kısmı eksik olabilir. Bazı yazılımlar hatalı alanları atlayarak görüntü sunabilir. İncelemede hangi kısmın güvenilir olduğu ve hangi kısmın onarım veya yorum içerdiği belirtilmelidir. Kullanıcıya gösterilen ön izleme ile kaynaktan çıkarılan ham veri ayrı nesneler olarak korunmalıdır.

Veritabanı kalıntıları ve mesajlar

Mesajlaşma veya tarayıcı veritabanında silinmiş kayıt parçaları bulunabilir. Parçanın hangi tabloya ve hangi kayıt türüne ait olduğu belirlenmeden bütün alanlar varsayımla tamamlanmamalıdır. Örneğin mesaj metni kalmış fakat gönderen veya zaman alanı kaybolmuş olabilir. Bu durumda metnin varlığıyla kimden ve ne zaman geldiği ayrı kesinlik düzeylerinde açıklanmalıdır. Eksik alanların komşu kayıtlardan otomatik alınması hatalı ilişkilendirme üretebilir.

İşlem günlükleri ve geçici dosyalar, asıl veritabanından farklı zamanlara ait bilgi içerebilir. Aynı mesajın birden fazla sürümünün bulunması mümkün olabilir. Bunların ayrı mesajlar mı yoksa aynı kaydın farklı aşamaları mı olduğu araştırılmalıdır. Sayısal çoğalma, iletişim sayısı gibi sunulmamalıdır. Özellikle mesaj yoğunluğu üzerinden hukuki sonuç çıkarılan dosyalarda tekrar kayıtların ayrıştırılması önem taşır.

Veritabanı şemasının yanlış yorumlanması da hata kaynağıdır. Uygulamanın sürümüne uygun olmayan çözümleme aracı, sayısal alanları tarih veya kimlik olarak yanlış okuyabilir. Kritik kayıtlar için kullanılan yorumun dayanağı açıklanmalıdır. Başka bir araçla aynı sonuca ulaşılması destekleyici olabilir, fakat iki aracın aynı hatalı varsayımı kullanması ihtimali de değerlendirilir. Araçların sayısı, yöntem doğrulamasının yerine geçmez.

Kurtarılan verinin zamanı

Silinmiş dosyada görülen tarih, oluşturma, değiştirme, kopyalama veya başka bir sistem olayına ait olabilir. Kurtarma işleminin dosyaya atadığı yeni tarih de özgün tarih sanılabilir. Rapor her zaman alanının kaynağını ve anlamını belirtmelidir. Tarih bilgisi kurtarılamamışsa yalnız dosyanın içeriğine bakılarak kesin gün veya saat üretilmemelidir. İçeriğin anlattığı tarih ile dosyanın gerçekten oluşturulduğu tarih farklı olabilir.

Silme anının belirlenmesi de çoğu zaman ayrı kayıt gerektirir. Bir dosyanın silinmiş durumda bulunması, ne zaman silindiğini kesin olarak göstermez. Sistem günlüğü, çöp kutusu metaverisi veya başka olay kaydı yardımcı olabilir. Bu kaynaklar yoksa tarih aralığı başka bulgularla daraltılabilir. Kesinlik sağlanamıyorsa rapor bunu belirtmeli, inceleme tarihini silme tarihi gibi kullanmamalıdır.

Cihazın el değiştirmesi geçmiş verilerin yeni kullanıcıya yanlış bağlanmasına yol açabilir. Kullanılmış disk veya ikinci el telefondaki kalıntıların hangi döneme ait olduğu araştırılmalıdır. Yeni kullanıcının dosyaya erişebilir durumda olup olmadığı da önemlidir. Normal kullanımda görünmeyen ve yalnız özel kurtarma yöntemiyle bulunan içerik, kişinin bilerek bulundurduğu veriyle otomatik olarak eşitlenemez. Suçun unsurları bakımından bilgi ve irade ayrıca değerlendirilir.

Silme davranışının hukuki yorumu

Verinin silinmesi, gündelik dosya yönetimi, depolama temizliği veya otomatik saklama politikası nedeniyle gerçekleşmiş olabilir. Suç gizleme amacı ileri sürülüyorsa silme zamanı, kapsamı ve olayla ilişkisi araştırılmalıdır. Soruşturma bilgisinden sonra belirli kayıtların seçilerek kaldırılması başka delillerle birlikte anlam taşıyabilir. Ancak teknik silme tespiti, bu amacın varlığını kendiliğinden kanıtlamaz. Hukuki nitelendirme somut davranış ve kanuni unsurlar üzerinden yapılır.

Bir uygulamanın otomatik temizlemesi kullanıcı iradesinden bağımsız kayıt kaybı yaratabilir. Kullanıcı bu özelliği önceden etkinleştirmişse dahi her silme olayının belirli suçu gizlemeye yönelik olduğu varsayılamaz. Ayarın ne zaman yapıldığı, olağan kullanım düzeni ve araştırılan olayla ilişkisi değerlendirilmelidir. Teknik rapor mekanizmayı açıklayabilir; kast hakkındaki nihai yargı mahkemeye aittir.

Sanığın silinmiş içeriğin nasıl oluştuğunu açıklayamaması, iddia makamının ispat yükünü ortadan kaldırmaz. Özellikle cihazın ortak veya geçmişte başka kişilerce kullanıldığı dosyalarda alternatif açıklamalar somut verilerle araştırılmalıdır. Her ihtimalin kesin doğrulanması beklenmeyebilir; fakat makul ve sonuca etkili itirazların cevapsız bırakılması ispat değerlendirmesini zayıflatır. Teknik belirsizlik, kişinin aleyhine otomatik varsayıma dönüştürülmemelidir.

Kaynak kopyasının korunması

Kurtarma işlemi mümkün olduğunca korunmuş kaynak üzerinde denetlenebilir biçimde yürütülmelidir. Analiz için kullanılan kopya, edinim bilgileri ve bütünlük değerleri birlikte saklanır. Kurtarılan dosya ise ayrı bir çıktı olarak tanımlanmalıdır. Bu dosyanın hash değerinin alınması, yalnız kurtarma sonrasındaki nesnenin karşılaştırılmasına yardım eder. Kurtarmanın geçmiş dosyayı hatasız yeniden oluşturduğunu tek başına doğrulamaz.

Rapor, kullanılan araç ve sürümü, seçilen kurtarma yöntemi ve varsa onarım işlemlerini belirtmelidir. Dosyanın hangi kaynak alanlardan oluşturulduğu izlenebiliyorsa bu ilişki korunmalıdır. İkinci incelemeyi yapan uzman yalnız sonuç klasörüne değil gerekli kaynak veriye de erişebilmelidir. Eksik kaynak veya belirsiz yöntem, farklı sonuçların nedenini araştırmayı zorlaştırır. Yeniden üretilebilirlik, yalnız aynı dosya adının bulunması demek değildir.

İnceleme sırasında otomatik sınıflandırma kullanılması, dosyanın hukuki niteliğini kesinleştirmez. Görsel benzerlik veya anahtar sözcük taraması araştırmayı daraltabilir; nihai içerik ilgili bağlamıyla kontrol edilmelidir. Hatalı sınıflandırılan veya eksik kurtarılan bir dosyanın suç unsuru sayılması, teknik ön elemenin hukuki değerlendirmeye dönüşmesidir. Uzman, otomatik çıktının nasıl doğrulandığını raporda açıklamalıdır.

Hukuki yetki ve inceleme kapsamı

Silinmiş veriye ulaşılabilmesi, arama kararının kapsamını kendiliğinden genişletmez. İnceleme konusu cihaz, dönem ve olayla ilişki korunmalıdır. Çok eski ve ilgisiz kişisel verilerin kurtarılması teknik olarak mümkün olsa bile bunların kullanımı ayrıca hukuki dayanak ve ölçülülük gerektirir. Teknik derinlik, hukuk tarafından verilen yetkinin yerine geçemez. İnceleme talebi, kurtarma ihtiyacını ve araştırılan soruyu somutlaştırmalıdır.

CMK 134'e ilişkin 2026 tarihli AYM kararı, elde edilen kişisel verilerin sonraki saklanma ve kullanım güvencelerine de dikkat çekmiştir. İptal hükümlerinin yürürlüğü 25 Şubat 2027'ye ertelenmiştir. Bu tarih ayrımı korunarak, 1 Ekim 2026 itibarıyla mevcut tedbir güvenceleri uygulanır. Silinmiş verinin teknik olarak bulunması, hukuka aykırı erişimi veya amaç dışı kullanımı meşru hale getirmez.

Savunma, kurtarılan parçanın bütünlüğüne veya kişiye bağlanmasına itiraz ediyorsa gerekli teknik materyale erişebilmelidir. Yalnız raporda seçilmiş görüntülerin bulunması, parça birleştirme veya metaveri yorumunu sınamaya yetmeyebilir. Gerekli karşı inceleme imkanının nasıl sağlandığı açıklanmalıdır. Üçüncü kişilerin verileri korunurken ilgili bulgunun değerlendirilmesini mümkün kılacak kapsamda erişim düzenlenebilir.

Bulgunun hükme etkisi

Kurtarılmış veri başka kaynaklarla doğrulandığında ispat değeri güçlenebilir. Aynı dosyanın karşı taraf cihazında bulunması, sunucu kaydı veya ilişkili iletişim, eksik bağlamı tamamlayabilir. Ancak bütün kopyaların aynı kurtarma çıktısından çoğaltılmış olması bağımsız doğrulama değildir. Mahkeme, destekleyici görünen her belgenin hangi kaynağa dayandığını ve gerçekten farklı bir olguyu doğrulayıp doğrulamadığını değerlendirmelidir.

Kurtarma yapılamaması da her olayda verinin hiç bulunmadığı anlamına gelmez. Üzerine yazılma, şifreleme veya teknik sınır nedeniyle içerik erişilemez hale gelmiş olabilir. Bu ihtimaller suçun varlığını kanıtlamaz; yalnız yokluk sonucunun kapsamını sınırlar. Raporda erişilemeyen verilerle gerçekten bulunmadığı saptanan veriler ayrılmalıdır. Lehe ve aleyhe değerlendirmelerde aynı yöntemsel özen korunmalıdır.

Silinmiş verinin ceza muhakemesindeki değeri, kurtarma işlemine duyulan genel güvenle belirlenemez. Hangi parçanın ne ölçüde geri getirildiği, anlamının nasıl kurulduğu ve kişiye hangi delillerle bağlandığı açıklanmalıdır. Eksikliği belirtilmiş bir bulgu yine yararlı olabilir; eksikliği gizlenmiş bir çıktı ise olduğundan güçlü görünebilir. Gerekçeli karar teknik sonucun sınırını koruyarak suçun unsurlarının hangi hukuka uygun delillerle ispatlandığını göstermelidir.

Kurtarılan parçaların kişiye yüklenmesi

İkinci el bir bilgisayarda eski kullanıcıdan kalan dosya parçaları bulunabilir. İşletim sisteminin yeniden kurulması, diskin tüm fiziksel alanlarının aynı tarihte temizlendiğini göstermez. İnceleme yalnız mevcut hesap adını esas alırsa önceki kullanım dönemine ait içerik yeni kullanıcıya yüklenebilir. Satın alma tarihi, önceki kurulum izleri ve parçanın başka kayıtlarla ilişkisi bu nedenle araştırılmalıdır. Dosyanın bulunduğu adres ile onu oluşturan kişinin kimliği aynı çıkarım değildir.

Kurtarılan metnin bir tarayıcı önbelleğine, mesaj bildirimine veya kullanıcı belgesine ait olması da önemlidir. Bir haber sayfasının otomatik olarak indirdiği küçük resim ile kullanıcının bilerek oluşturduğu klasördeki dosya farklı kullanım senaryoları sunar. Salt dosya türü üzerinden bilinçli indirme, açma veya paylaşma sonucu kurulamaz. Araştırma, verinin hangi yazılım davranışıyla cihaza gelmiş olabileceğini incelemeli ve mevcut izlerin bu ihtimaller arasında ayrım yapıp yapamadığını belirtmelidir.

Şifreli diskin anahtarı erişilebilir değilse okunamayan alan için “içerik yok” denilmesi yanıltıcıdır. Teknik sonuç, erişim sağlanamadığı ve bu nedenle içerik hakkında inceleme yapılamadığıdır. Aynı ayrım hasarlı sektörler, desteklenmeyen dosya sistemleri ve eksik alınmış kopyalar için de geçerlidir. İncelemenin kapsamadığı alanlar raporda görünmez bırakılırsa olumsuz bulgunun anlamı olduğundan geniş algılanır.

İkinci inceleme için gerekli kayıtlar

Kurtarma işleminin yeniden denenebilmesi için araç adı, sürümü, kullanılan seçenekler ve incelenen kopyanın kimliği korunmalıdır. Yalnız dışa aktarılmış dosyaların verilmesi, bunların hangi alanlardan çıkarıldığını anlamaya yetmeyebilir. Adres bilgileri, günlükler ve varsa hata mesajları da uyuşmazlığın çözümüne katkı sağlar. Savunmanın belirli bir dosyanın yanlış birleştirildiğini ileri sürmesi halinde, kaynak parçalara dönülerek bu iddia sınanabilir.

Yeni bir yazılımın daha fazla dosya üretmesi önceki incelemeyi kendiliğinden hatalı kılmaz. Araçlar farklı imzalar arayabilir veya aynı parçaları farklı biçimde sınıflandırabilir. Yeni bulguların bağımsız doğrulanması gerekir. Mahkeme bakımından önemli olan toplam kurtarılan dosya sayısı değil, isnada dayanak yapılan her bulgunun kaynağı, anlamı ve güvenilirliğidir.