Delil Zinciri (Chain of Custody) Nedir? Kopmayan Zincirin 9 Halkası

Delil zinciri, bir delilin elde edildiği andan mahkemeye sunulduğu ana kadar kimde, nerede ve nasıl saklandığını gösteren kesintisiz kayıttır. İngilizcede "chain of custody" olarak bilinen bu kavram, delilin içeriğiyle değil yolculuğuyla ilgilenir. Bir fotoğraf, bir flash bellek, kapı altından atılmış bir zarf ya da bir dizüstü bilgisayar; hangisi olursa olsun, mahkemeye ulaştığında sorulan soru aynıdır: Bu, bulunduğu gün bulunan şeyin ta kendisi mi?

Delil zinciri nedir sorusu bu yüzden teknik bir merak değil, pek çok dosyanın kırılma noktasıdır. Karşı taraf delilin içeriğine itiraz edemediğinde yolculuğuna itiraz eder: "Bu dosya aylarca senin bilgisayarında durdu", "Bu cihazı kaç kişi açtı?", "Zarfı polise vermeden önce kime gösterdin?" Bu soruların cevabı yazılı olarak hazır değilse, en güçlü görünen delilin ağırlığı bile aşınabilir.

Aşağıdaki bölümler zinciri baştan sona, dokuz halka hâlinde ele alıyor: fiziksel ve dijital delilde zincirin nasıl kurulduğu, teslim tutanağının içeriği, SHA-256 ile hash doğrulama, imaj alma, saklama koşulları, ceza yargılamasında CMK m.134 çerçevesi, hukuk davalarındaki karşılığı ve zincir koptuğunda olanlar. Fotoğraf ve videonun kendine özgü sorunları, yani üst veri, zaman damgası ve montaj itirazı, fotoğraf ve video kaydının hukuki değeri rehberinde ayrıca anlatıldı; burada delil türünden bağımsız ortak omurgaya odaklanıyoruz.

Delil zinciri nedir ve neyi ispatlar?

Delil zinciri, delilin bütünlüğünü ve sürekliliğini ispatlayan kayıttır: Delilin elde edildiği andaki hâliyle mahkemeye ulaşan hâlinin aynı olduğunu ve arada kimlerin elinden geçtiğini gösterir. İçeriğin doğru olduğunu, delilin hukuka uygun elde edildiğini ya da iddiayı ispatladığını ise tek başına göstermez.

Zincirin her kaydı dört soruya cevap verir. Kim? Delile dokunan, onu taşıyan, açan, kopyalayan her kişi. Ne zaman? Her temasın tarihi ve saati, mümkünse dakika düzeyinde. Nerede? Delilin fiziksel konumu ya da dijital delilde bulunduğu ortam. Nasıl? Hangi ambalajla, hangi araçla, hangi yöntemle. Uygulamada beşinci bir soru da eklenir: Neden? Delile erişen herkesin yazılı bir amacı olmalıdır; amacı kaydedilmemiş bir erişim, sonradan "o sırada ne yapıldı?" sorusunu cevapsız bırakır.

Zincirin neyi ispatladığını anlamanın en kolay yolu, bir delile yöneltilebilecek soruları birbirinden ayırmaktır:

Tablonun ilk satırı yaygın bir yanılgıyı düzeltir. Başkasının telefonundan izinsiz alınmış bir yazışma kusursuz bir zincirle saklanabilir; bu onu hukuka uygun hâle getirmez. Zincir meşru bir delilin değerini korur, meşru olmayan bir delile değer kazandırmaz.

Zincirin ispatladığı şey aslında bir olumsuzluktur: değişiklik olmadığı. Bu yüzden zincir delilin "iyi" olduğunu değil, "aynı" olduğunu söyler. Delilin aynı kaldığı gösterildiğinde tartışma, delilin içeriğine ve ne anlama geldiğine kayar. Bir dosyada asıl tartışılması gereken de budur; zincir, tartışmanın yanlış yerde, yani delilin kurcalanıp kurcalanmadığı sorusunda tıkanmasını önler.

Kopmayan zincirin 9 halkası

Kopmayan bir delil zinciri dokuz halkadan oluşur: tespit, yerinde belgeleme, edinme, tekil kimlik, bütünlük mührü, teslim, saklama, inceleme ve sunum ya da iade-imha. Her halka bir kayıt üretir; bir halkanın kaydı yoksa zincir o noktada sözlü beyana dayanır ve tartışmaya açılır.

Uluslararası uygulamada dijital delil için benzer bir sıralama, ISO/IEC 27037 standardında tanımlama, toplama, edinme ve koruma başlıkları altında anlatılır. Aşağıdaki dokuz halka bu mantığı fiziksel delili de kapsayacak ve mahkemeye sunuma kadar uzanacak biçimde genişletir.

1. Tespit: İlk an, ilk karar

Zincir delilin edinildiği anda değil, varlığının fark edildiği anda başlar. Bir aracın altında yabancı bir cihaz, bir çalışanın masasında unutulmuş bir bellek, bir sunucuda olağandışı bir kayıt: İlk karar ona dokunmamaktır. Tespit anında dört bilgi not edilir: kim fark etti, saat kaçta, tam olarak nerede ve fark edildiğinde nasıl bir durumdaydı. Bu not birkaç cümleden ibaret olabilir, ama sonradan yazılamaz.

2. Yerinde belgeleme: Dokunmadan önce fotoğraf

Delilin bulunduğu hâliyle, bulunduğu yerde ve çevresiyle birlikte fotoğraflanması, edinme sırasında yapılacak her müdahalenin öncesini kayda geçirir. Fiziksel delilde genel, orta ve yakın plan çekimler ile boyutu gösteren bir ölçek kullanılır. Dijital delilde ekranın o anki görüntüsü, cihazın açık mı kapalı mı olduğu, bağlı kablolar ve çevre birimleri, şarj durumu not edilir. Bu adım, aylar sonra sorulacak "cihazı bulduğunuzda zaten açık mıydı?" sorusunun cevabıdır.

3. Edinme: Delili bulunduğu ortamdan ayırmak

Edinme, delilin bulunduğu ortamdan alınıp güvenli bir ambalaja ya da adli bir kopyaya aktarılmasıdır. Fiziksel delilde bu, uygun malzemeyle (kâğıt zarf, antistatik torba, sert kutu) ve iz bırakmayacak biçimde almak demektir. Dijital delilde çoğu zaman cihazın kendisi değil içeriği edinilir: diskin imajı, telefonun mantıksal kopyası, bir hesabın dışa aktarımı. Hangi yöntemin, hangi araçla ve hangi yazılım sürümüyle kullanıldığı edinme kaydına yazılır; karşı tarafın uzmanının ilk soracağı şey budur.

4. Tekil kimlik: Her delile bir numara

Bir dosyada birden fazla delil olduğunda karışıklığı önlemenin tek yolu, her birine tekil bir numara vermek ve bu numarayı bütün kayıtlarda aynı biçimde kullanmaktır. Fiziksel delilde numara ambalajın üzerindeki etikette, dijital delilde dosya adında ve hash listesinde yer alır. Örneğin "D-03" numaralı bir belleğin imaj dosyası "D-03_imaj", çalışma kopyası "D-03_calisma" diye adlandırılır. Böylece tutanakta, raporda ve bilirkişi incelemesinde herkes aynı nesneden söz eder.

5. Bütünlük mührü: Fiziksel mühür ve dijital parmak izi

Bütünlük mührü, delilin edinme anındaki hâlinden sonra değişip değişmediğini gösterecek işarettir. Fiziksel delilde bu, numaralı bir mühür ya da açıldığında iz bırakan, kurcalanma belli eden bir güvenlik poşetidir; mührün üzerine imza ve tarih atılır. Dijital delilde aynı işi hash değeri görür. İkisinin mantığı aynıdır: Mühür sağlamsa ya da hash eşleşiyorsa, aradaki sürede içeriğe dokunulmamıştır.

6. Teslim: Her el değiştirme bir tutanak

Delil bir kişiden diğerine, bir yerden başka bir yere her geçtiğinde, teslim eden ve teslim alanın imzaladığı bir kayıt düzenlenir. Teslim tutanağı zincirin en görünür halkasıdır ve aşağıda ayrı bir bölümde ele alınıyor. Dijital aktarımda imzanın yerini, alıcının hash değerini yeniden hesaplayıp eşleştiğini yazılı olarak bildirmesi alır.

7. Saklama: Beklerken değişmemek

Delil çoğu zaman aylarca, bazen yıllarca bekler. Saklama halkası bu sürede delilin hem fiziksel olarak bozulmamasını hem de yetkisiz kişilerin eline geçmemesini güvenceye alır. Kimin, ne zaman, hangi amaçla eriştiği kaydedilir; koşulların ayrıntısı saklama bölümündedir.

8. İnceleme: Orijinale değil kopyaya dokunmak

İnceleme, delilin içeriğinin analiz edildiği aşamadır ve zincirin en sık koptuğu yerdir. Kural basittir: Dijital delilde inceleme orijinal üzerinde değil, hash değeri orijinalle eşleşen bir kopyadan türetilmiş çalışma kopyası üzerinde yapılır. Fiziksel delilde ambalajın her açılışı ve kapanışı kayda geçer, inceleme sonrası yeniden mühürlenir. Kullanılan araçlar, sürümleri ve yapılan işlemler bir işlem günlüğüne yazılır; başka bir uzmanın aynı adımları tekrar ederek aynı sonuca ulaşabilmesi bu günlüğe bağlıdır.

9. Sunum, iade veya imha: Son halka da bir halkadır

Zincir delil mahkemeye sunulduğunda bitmez; sunumun kendisi de bir halkadır. Teslim edilen ortam, içindeki dosyaların listesi ve hash değerleri tutanakla birlikte verilir. Dava bittiğinde delil ya sahibine iade edilir ya da kişisel veri içeriyorsa imha edilir; imha da tarihli bir tutanakla belgelenir. Kayıtsız biçimde ortadan kalkan bir delil, ileride açılabilecek bir tazminat davasında ya da yeniden yargılama talebinde cevapsız bir soru bırakır.

Fiziksel delilde zincir: Ambalaj, mühür ve doğru el

Fiziksel delilde zincir; delile çıplak elle dokunmadan alınması, türüne uygun bir ambalaja konması, ambalajın mühürlenip etiketlenmesi ve her teslimde imzalı tutanak düzenlenmesiyle kurulur. Bir suçla ilgili fiziksel delil söz konusuysa özel kişinin görevi incelemek değil, korumak ve kolluğa ya da savcılığa teslim etmektir.

Ceza soruşturmasında ispat aracı olarak yararlı görülen eşya CMK m.123 uyarınca muhafaza altına alınır; yanında bulunduran kişi rızasıyla teslim etmezse el konulabilir. CMK m.127, el koymanın hâkim kararıyla, gecikmesinde sakınca bulunan hâllerde savcının, ona ulaşılamıyorsa kolluk amirinin yazılı emriyle yapılabileceğini ve işlemi yapan kolluk görevlisinin açık kimliğinin tutanağa geçirileceğini söyler. Bu son ayrıntı, kanunun fiziksel delil zincirinin ilk halkasını doğrudan düzenlediği yerdir: Delili kimin aldığı kayda girmeden zincir başlamaz.

Özel kişinin fiziksel delille ilişkisi: Koru, belgele, teslim et

Bir suçun izini taşıyabilecek bir nesne bulduğunuzda üç fiil yeterlidir: koru, belgele, teslim et. Parmak izi veya biyolojik iz aramak, cihazı açıp içine bakmak ya da nesneyi "güvenli bir yere" taşımak, sonradan yapılacak incelemenin konusunu değiştirebilir. Bir nesnenin üzerindeki izler, onu ilk tutan kişinin elinden itibaren karışmaya başlar.

Teslim sırasında kolluktan veya savcılıktan, teslim aldıklarına dair bir tutanak ya da en azından teslim tarihini ve teslim alan birimi gösteren bir belge istemek, zincirin sizdeki kısmını kapatır. Teslimden önce nesnenin kaç gün, kimin yanında, nerede durduğunu kısa bir notla yazmak da aynı amaca hizmet eder. Bu not zinciri sizin aleyhinize değil lehinize işler: Boşluğu açıklayan sizsiniz.

Dijital delilde zincir: Orijinal, imaj ve çalışma kopyası

Dijital delilde zincirin merkezi, orijinal veri ile onun adli kopyası arasındaki ayrımdır. Orijinal korunur ve mümkün olduğunca hiç kullanılmaz; adli kopya (imaj) yazma engelleyiciyle alınır ve hash değeriyle mühürlenir; inceleme ise bu kopyadan türetilen bir çalışma kopyası üzerinde yapılır.

Üç katmanlı yapının amacı, bir hatanın geri dönüşü olmayan sonuç doğurmasını önlemektir. Analiz sırasında bir araç çalışma kopyasında bir şeyi değiştirirse, imajdan yeni bir çalışma kopyası türetilir. İmaj zarar görürse orijinalden yeniden alınabilir. Orijinal ise ancak bütün bu katmanlar korunduğu sürece dokunulmadan kalabilir.

İmaj alma nedir, dosya kopyalamaktan farkı ne?

İmaj alma, bir depolama ortamının içeriğinin silinmiş ve kullanılmayan alanlar dahil bit bit birebir kopyasının çıkarılmasıdır. Dosyaları sürükleyip bırakarak kopyalamak ise yalnızca görünen dosyaları alır; silinmiş verileri, dosya sistemi kayıtlarını ve bazı üst verileri geride bırakır. Üstelik bazı işletim sistemleri bir diski bağladığınız anda ona küçük kayıtlar yazabilir; bu da orijinalin hash değerini değiştirebilir.

Yazma engelleyici (write blocker), kaynak ortama hiçbir verinin yazılmasına izin vermeyen donanım veya yazılım düzeneğidir ve imaj almanın ön koşuludur. İmaj, E01 gibi adli formatlarda ya da ham biçimde alınabilir; adli formatlar hash değerini ve edinme bilgilerini dosyanın içine de yazar. Hangi format seçilirse seçilsin, edinme kaydında kaynak cihazın marka, model ve seri numarası, imajın başlangıç ve bitiş saati, kullanılan yazılım ve sürümü, yazma engelleyicinin türü ve iki hash değeri, yani kaynağınki ve imajınki, yer alır.

Telefon, hesap ve web içeriği: Edinme türleri

Telefonlar ve çevrim içi hesaplar, klasik disklerden farklı edinme yöntemleri gerektirir. Hangi yöntemin kullanıldığı, raporda neyin bulunabileceğini ve neyin bulunamayacağını belirler; bu yüzden yöntem raporda açıkça yazılmalıdır.

Canlı bir sistemde bazı veriler, örneğin bellek içeriği, açık ağ bağlantıları ve oturumlar, cihaz kapatıldığında kaybolur. Adli bilişimde "uçuculuk sırası" denen ilke, en hızlı kaybolacak verinin önce edinilmesini önerir; bu ilke internet standartları belgelerinden RFC 3227'de de yer alır. Bu yüzden "hemen fişini çekin" ya da "hemen kapatın" gibi refleksler her dosyada doğru değildir. Karar, kaybolabilecek verinin değerine göre verilir ve gerekçesiyle kaydedilir. Teknik inceleme, bilirkişi süreci ve bulut verisi gibi konuları dijital delilin mahkemede kabulü rehberinde daha ayrıntılı ele alıyoruz.

Kimin cihazı? Zincirden önce gelen yetki sorusu

Dijital zincirin teknik kuralları, kimin hangi cihaza dokunabileceği sorusunu cevaplamaz. Kendi telefonunuz, kendi hesabınız ve kendi bilgisayarınız üzerinde edinme yapabilirsiniz. Şirkete ait ve kullanım kuralları önceden çalışana bildirilmiş cihazlarda işveren, iş hukuku ve KVKK sınırları içinde inceleme yaptırabilir; kurumsal soruşturma dosyalarında cihaz incelemesinin önce yetki ve aydınlatma kontrolüyle başlamasının nedeni budur.

Başkasına ait bir cihazın veya hesabın içeriğini ise ne eş, ne işveren, ne de dedektif kendi kararıyla edinebilir. Bu, bilişim sistemine girme (TCK m.243) ve haberleşmenin gizliliğini ihlal (TCK m.132) gibi suçların alanıdır. Ceza soruşturmasında başkasının bilgisayarında arama yetkisi yalnızca devlete ve CMK m.134'teki koşullarla tanınmıştır.

Hash (SHA-256) doğrulama: Nasıl yapılır, neyi kanıtlar?

Hash doğrulama, bir dosyanın veya imajın SHA-256 gibi bir algoritmayla hesaplanan parmak izinin farklı zamanlarda yeniden hesaplanıp karşılaştırılmasıdır. Değerler aynıysa dosya iki hesaplama arasında tek bir bit bile değişmemiştir; farklıysa bir şey değişmiştir ve bunun nedeni açıklanmalıdır.

SHA-256, girdisi ne kadar büyük olursa olsun 256 bitlik, yani 64 onaltılık karakterden oluşan bir değer üretir. İki özelliği onu delil için uygun kılar. Birincisi tek yönlüdür: Değerden dosyaya geri gidilemez. İkincisi çığ etkisidir: Dosyada tek bir karakter değiştiğinde değer tanınmayacak kadar değişir. Eski algoritmalardan MD5 ve SHA-1 için iki farklı dosyanın aynı değeri üretmesi, yani çakışma, pratikte gösterilebildiğinden delil kayıtlarında SHA-256 ve daha güçlü algoritmalar tercih edilir. Bazı araçlar uyumluluk için iki değeri birlikte verir; bu bir sakınca yaratmaz, ama karşılaştırma her zaman aynı algoritmanın değerleriyle yapılır.

Kendi bilgisayarınızda hash nasıl hesaplanır?

Kendi dosyalarınız için ek bir programa gerek yoktur; işletim sistemlerinin yerleşik komutları yeterlidir. Aşağıdaki örneklerde dosya adı yerine kendi dosyanızın adını yazın:

Windows (Komut İstemi): certutil -hashfile video.mp4 SHA256 Windows (PowerShell): Get-FileHash video.mp4 -Algorithm SHA256 macOS (Terminal): shasum -a 256 video.mp4 Linux (Terminal): sha256sum video.mp4

Çıkan 64 karakterlik değeri dosya adı, dosya boyutu, hesaplama tarihi ve saati, hesaplayan kişi ve kullanılan komutla birlikte bir listeye yazın. Bu liste, ileride aynı komutla aynı değerin elde edilip edilmediğinin karşılaştırılacağı referanstır. Tek bir karakterin yanlış yazılması bile eşleşmeyi bozar; değeri elle yazmak yerine kopyalayıp yapıştırın, listenin kendisinin de hash değerini alıp ayrı bir yerde saklayın.

Hash listesi nasıl görünür?

Bir hash listesi, zincirin bütünlük halkasının yazılı hâlidir. Aşağıdaki satırlar yalnızca biçimi göstermek için hazırlanmış örneklerdir; değerler kısaltılmıştır, gerçek listede 64 karakterin tamamı yazılır.

Hash eşleşmezse ne olur?

Eşleşmeyen bir hash her zaman kötü niyet anlamına gelmez; ama her zaman bir açıklama gerektirir. Uygulamada en sık rastlanan nedenler teknik ve masumdur, bu yüzden önce onlar elenir.

Hash neyi kanıtlamaz?

Hash değeri, dosyanın hesaplandığı andan sonra değişmediğini kanıtlar; o andan önce ne olduğunu söylemez. Edinmeden bir hafta sonra hesaplanan bir değer o haftayı kapsamaz. Dosyanın kim tarafından, ne zaman ve hangi cihazda üretildiğini de göstermez; bunlar köken sorularıdır ve üst veri, tanık ve bağımsız kayıtlarla cevaplanır.

Hash'in zamanını sabitlemek gerektiğinde, hash değerinin 5070 sayılı Elektronik İmza Kanunu kapsamında elektronik sertifika hizmet sağlayıcısından alınan bir zaman damgasıyla damgalatılması değerlendirilebilir. Zaman damgası, o hash'e sahip dosyanın en geç damgalama anında var olduğunu gösterir. Bu nedenle değeri, edinmeye en yakın anda uygulandığında en yüksektir.

Teslim tutanağı: Her el değiştirmede ne yazılmalı?

Teslim tutanağı, delilin bir kişiden veya yerden diğerine geçtiği her anı; kimin verdiğini, kimin aldığını, ne zaman, nerede, hangi durumda ve hangi amaçla verildiğini gösteren imzalı kayıttır. Zincirin halkaları tutanaklarla birbirine bağlanır; tutanağı olmayan bir el değiştirme, zincirde bir boşluktur.

Tutanak sade bir belge olabilir; önemli olan alanların eksiksiz ve okunaklı doldurulmasıdır. Kurumsal dosyalarda her delil için ayrı bir zincir formu tutulur ve her teslimde aynı forma yeni bir satır eklenir. Böylece bir delilin bütün yolculuğu tek sayfada görülebilir; bilirkişi de karşı taraf da aynı satırları okur.

Dosyalar elektronik ortamda teslim ediliyorsa, imzanın yerini alıcı tarafında yapılan hash doğrulaması alır. Gönderen hash listesini ayrı bir kanaldan iletir; alıcı indirdiği dosyaların değerlerini hesaplayıp listeyle karşılaştırır ve sonucu yazılı olarak bildirir. Paylaşım bağlantılarıyla yapılan aktarımlarda bağlantının kime açık olduğu, ne kadar süre geçerli kaldığı ve şifrenin hangi kanaldan iletildiği de kayda girmelidir. Herkese açık bir bağlantıyla dolaşan bir delil hem zincir hem de kişisel verilerin güvenliği bakımından sorunludur.

Kontrol listesi: Teslim tutanağını imzalamadan önce

• [ ] Delil numarası; ambalaj etiketi, delil listesi ve tutanakta aynı.
• [ ] Mühür numarası okunuyor ve mühür sağlam; açılmışsa kimin, ne zaman, neden açtığı yazılı.
• [ ] Dijital delilde hash değerleri teslim anında yeniden hesaplandı ve listeyle eşleşti.
• [ ] Teslim eden ve teslim alan kişinin adı, unvanı ve imzası var.
• [ ] Tarih ve saat dakika düzeyinde yazıldı; önceki tutanakla arada açıklanamayan süre yok.
• [ ] Teslimin amacı ve yöntemi belirtildi.
• [ ] Elektronik aktarımda bağlantının erişim ayarları ve şifrenin iletildiği kanal not edildi.
• [ ] Tutanak en az iki nüsha düzenlendi ve her taraf bir nüsha aldı.

Saklama koşulları: Delil beklerken nasıl korunur?

Saklama koşulları, delilin hem fiziksel olarak bozulmamasını hem de yetkisiz erişimden korunmasını sağlayacak biçimde belirlenir: kilitli ve erişimi kayıtlı bir alan, delil türüne uygun sıcaklık ve nem, dijital delilde birden fazla bağımsız kopya, değişikliğe kapalı arşiv ve düzenli hash kontrolü. Saklama süresi ise dosyanın hukuki takvimine göre belirlenir ve sonunda imha da belgelenir.

Dijital delil için en sade kural, orijinallerin bulunduğu arşivin yazmaya kapalı olmasıdır. Bu; tek seferlik yazılabilen ortamlar, salt okunur paylaşımlar ya da değiştirme ve silmeye karşı kilitlenebilen depolama hizmetleriyle sağlanabilir. Çalışma kopyalarının ayrı bir yerde tutulması, yanlışlıkla orijinal üzerinde işlem yapılmasının önüne geçer. Bir hard diskin ya da bellek kartının yıllarca çekmecede beklemesi ise başlı başına bir risktir; uzun süreli saklamada ortamın ara ara kontrol edilmesi ve gerekirse yenilenmesi gerekir.

Saklamanın hukuki tarafı: KVKK ve süre

Delil çoğu zaman kişisel veri, bazen özel nitelikli kişisel veri içerir. KVKK m.12, veri sorumlusuna kişisel verilere hukuka aykırı erişimi önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin edecek teknik ve idari tedbirleri alma yükümlülüğü getirir. KVKK m.7 ise işlenmesini gerektiren sebepler ortadan kalktığında verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini öngörür.

Delil saklayan biri için bunun anlamı ikilidir. Dava ve olası kanun yolu süreçleri sürdükçe delil güvenle korunur, çünkü bilirkişi incelemesi her an gündeme gelebilir. Bu süreçler bittiğinde ise delil süresiz tutulmaz; iade edilir veya imha edilir ve imha tarihli bir tutanakla belgelenir. "Ne olur ne olmaz" diye yıllarca saklanan bir arşiv, hem veri güvenliği hem de veri minimizasyonu ilkesi bakımından ayrı bir risk taşır.

Ceza yargılamasında delil zinciri: CMK m.134 çerçevesi

Ceza yargılamasında dijital delilin zinciri büyük ölçüde CMK m.134'ün çizdiği usulle kurulur: Bilgisayar, program ve kütüklerde arama, kopyalama ve el koyma hâkim kararıyla, gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının kararıyla yapılır; el koyma sırasında sistemdeki bütün verilerin yedeği alınır ve bu yedekten bir kopya şüpheliye veya vekiline verilerek tutanağa bağlanır. Hüküm kamu makamlarına yetki veren bir usul normudur; özel kişilere başkasının cihazını inceleme yetkisi vermez.

Hükmün öğeleri, delil zincirinin halkalarıyla neredeyse birebir örtüşür:

Kanun metni "hash" kelimesini kullanmaz; ama yedeğin ve şüpheliye verilen kopyanın aynı olduğunu göstermenin uygulamadaki yolu hash değerleridir. Yedekleme işleminin ve buna ait hash değerlerinin tutanakla belgelenip belgelenmediği, ceza dosyalarındaki dijital delil tartışmalarının merkezinde yer alır. Savunmanın elindeki kopyanın hash değeri, el koyma tutanağındaki değerle eşleşiyorsa iki taraf aynı veriye bakıyor demektir.

Hukuka aykırı elde edilen delil, CMK m.206/2-a uyarınca reddedilir ve CMK m.217/2 uyarınca hükme esas alınamaz. Zincir kopukluğu ise hukuka aykırılıkla aynı şey değildir: Delili kendiliğinden dışlatmaz. Ama şüpheden sanığın yararlanacağı bir ceza yargılamasında, bütünlüğü gösterilemeyen bir delilin mahkûmiyet için yeterli görülmemesi ihtimalini artırır.

İhtiyatla okunması gereken iki nokta

CMK m.134 okunurken iki noktada ihtiyatlı olmak gerekir. Birincisi, hüküm kural olarak şüphelinin kullandığı bilgisayar ve kütüklere ilişkindir. Mağdurun veya bir tanığın kendi rızasıyla teslim ettiği cihaz ya da veriler, el koymaya ilişkin genel hükümler ve rıza çerçevesinde farklı biçimde ele alınabilir; hangi usulün izleneceği somut dosyaya, savcılığın talimatına ve verinin türüne bağlıdır. Bu ayrımı avukatınızla birlikte değerlendirin.

İkincisi, hüküm bir yetki normudur. Delil zincirinin teknik ilkeleri herkes için geçerlidir, ama başkasının bilgisayarında arama yapma ve el koyma yetkisi yalnızca kanunda sayılan makamlara aittir. Özel bir kişinin "savcılığın yapacağını ben önceden yapayım" düşüncesi, CMK m.134'ün bütün güvencelerini atlamak anlamına gelir.

Mağdur veya tanık olarak delil teslim ederken

Elinizdeki bir delili savcılığa veya kolluğa teslim ederken zincirin sizdeki kısmını kapatmak için birkaç adım yeterlidir. Teslim edeceğiniz şeyin listesini ve dijital dosyaların hash değerlerini önceden hazırlayın. Teslim aldıklarına dair bir tutanak veya alındı isteyin. Kendi cihazınızı teslim etmeniz istenirse cihazın o anki durumunu, yani açık veya kapalı olduğunu, şarj düzeyini ve ekran kilidi bulunup bulunmadığını, teslim saatiyle birlikte not edin.

Teslim ettiğiniz dosyaların bir kopyasını ve hash listesini kendinizde saklayın; dosyanın ilerleyen aşamasında "hangi dosyayı verdiniz?" sorusu sorulabilir. Hangi verinin cihazla, hangisinin kopya olarak verileceğine ise savcılığın talimatı ve avukatınızın değerlendirmesiyle karar verin.

Hukuk davalarında delil zinciri: HMK açısından ne değişir?

Hukuk davalarında delil zincirini kuran çoğu zaman devlet değil, delile dayanan taraftır. HMK, elektronik belgelerin talep edildiğinde incelemeye elverişli biçimde mahkemeye verilmesini ister ve delillerin kural olarak hâkimce serbestçe değerlendirileceğini öngörür; zincirin kalitesi bu değerlendirmede delilin ağırlığını doğrudan etkiler.

HMK m.199 fotoğraf, film, görüntü, ses kaydı ve elektronik ortamdaki verileri belge sayar. HMK m.219, tarafların dayandıkları ve ellerinde bulunan belgeleri mahkemeye ibraz etmesini, elektronik belgelerin ise çıktısı alınarak ve talep edildiğinde incelemeye elverişli şekilde elektronik ortama kaydedilerek verilmesini öngörür. "İncelemeye elverişli" ifadesi pratikte zincire işaret eder: Bilirkişinin inceleyebileceği şey sıkıştırılmış bir ekran görüntüsü değil, orijinal dosya ve onun hash geçmişidir.

Hukuk davalarında taraflar delillerini dilekçeleriyle bildirir ve delilin hazırlanmasında asıl zaman dava açılmadan öncesidir. Dava öncesinde zayıf korunmuş bir delilin eksiğini duruşmada telafi etmek zordur. Avukatla çalışırken hangi delilin hangi vakıa için gösterileceği ve teslimin hangi biçimde yapılacağı birlikte planlanır.

Kaybolma riski taşıyan delillerde, örneğin belirli süre sonra üzerine yazılan sunucu kayıtlarında ya da her an silinebilecek bir web içeriğinde, HMK m.400 vd. kapsamında delil tespiti istenebilir. Kanuna göre delilin hemen tespit edilmemesi hâlinde kaybolacağı veya ileri sürülmesinin önemli ölçüde zorlaşacağı ihtimali varsa hukuki yarar var sayılır. Mahkemenin görevlendirdiği bilirkişinin yaptığı tespit, zincirin ilk halkasını tarafın kendi kaydından daha güçlü bir zemine taşır.

Hukuk dosyalarında karşı tarafın "bu montaj" itirazı çoğu zaman bilirkişi incelemesiyle çözülür. Bilirkişinin işini kolaylaştıran şey, delilin elde edildiği andan bu yana nasıl korunduğunu gösteren düzenli bir kayıttır: orijinal dosya, edinme notu, hash listesi ve teslim tutanakları. Bu kayıtlar olmadan bilirkişi çoğu zaman yalnızca "eldeki materyal üzerinde kesin tespit yapılamadı" diyebilir; bu da çoğunlukla delili sunan tarafın aleyhine işler.

Delil zinciri koptuğunda ne olur?

Zincirdeki bir kopukluk delili kendiliğinden hukuka aykırı ya da geçersiz yapmaz; hukuka aykırılık elde etme yöntemine ilişkindir. Ama kopukluk karşı tarafa delilin değiştirilmiş olabileceği itirazını verir ve hâkimin delile vereceği ağırlığı düşürür. Ceza yargılamasında şüpheden sanığın yararlanması ilkesi nedeniyle bu etki daha belirgin olabilir.

Zincir onarılabilir mi?

Bazen ve kısmen. Kopuk bir halka bağımsız bir kaynakla köprülenebilir: aynı verinin sunucu veya platform tarafındaki kaydı, aynı olayın başka bir cihazdaki kopyası, delili elinde tutan kişinin tanıklığı, kargo ve e-posta izleri. Onarım hiçbir zaman başlangıçtaki kadar güçlü değildir; ama açıklanmış bir boşluk, açıklanmamış bir boşluktan her zaman daha az zarar verir.

Kopukluğu gizlemek en kötü seçenektir. Sonradan, karşı tarafın uzmanı tarafından ortaya çıkarılan bir boşluk, delilin değil onu sunan tarafın güvenilirliğini sorgulatır. Bir dosyada "bu dosyayı bir süre kendi bilgisayarımda tuttum, sonra hash'ini aldım" demek, aynı bilginin karşı taraftan gelmesinden çok daha az hasar bırakır.

Karşı görüş: Her dosyada laboratuvar standardı gerekir mi?

Hayır, ve bu itiraz haklı bir noktaya işaret eder. Bir nafaka dosyasındaki birkaç ekran görüntüsü için adli bilişim laboratuvarı kurmak orantısızdır. Zincirin derinliği, uyuşmazlığın ağırlığına ve delilin tartışılma ihtimaline göre ölçeklenir. Kurumsal bir soruşturmada yazma engelleyici ve imaj vazgeçilmezken, bireysel bir dosyada aynı titizlik çoğu zaman gereksizdir.

Ancak her dosyada vazgeçilmeyecek bir asgari çekirdek vardır: orijinalin korunması, edinme anında tarih ve hash kaydı ve delilin kimlerin elinden geçtiğine dair yazılı not. Bu üç öğe bireysel bir dosyada birkaç dakikalık bir alışkanlıktır ve sonradan yeniden üretilemez. Orantılılık, zincirin kaç halkasının ne kadar ayrıntılı tutulacağını belirler; zincirin var olup olmayacağını değil.

Sık yapılan hatalar

Delil zincirindeki hataların çoğu kötü niyetten değil, delile duyulan meraktan ve aceleden kaynaklanır. Aşağıdaki hatalar, sağlam bir delilin değerini en sık aşındıran davranışlardır.

1. Orijinal üzerinde çalışmak. "Sadece bir bakayım" diye açılan dosya veya cihaz, erişim tarihlerini ve bazen içeriği değiştirir.
2. Hash'i geç hesaplamak. Edinmeden günler sonra hesaplanan değer, aradaki süreyi korumaz.
3. Merak erişimleri. Delili aileye, iş arkadaşlarına ya da yöneticilere göstermek için açmak, zincire kayıtsız halkalar ekler.
4. Delili mesajlaşma uygulamasıyla göndermek. Normal fotoğraf veya video gönderimi dosyayı sıkıştırır ve hash değerini değiştirir.
5. Teslimleri sözlü yapmak. "Bilgisayarı ona bıraktım" cümlesi, aylar sonra kimsenin hatırlamadığı bir boşluğa dönüşür.
6. Birden fazla nesneyi aynı ambalaja koymak. Hangi izin hangi nesneye ait olduğu tartışmalı hâle gelir.
7. Mührü açıp kaydetmemek. Açılma nedeni yazılmamış bir mühür, kurcalanma şüphesinin kendisidir.
8. Tek kopyaya güvenmek. Tek bir diskte, tek bir bulut hesabında duran delil, tek bir arızayla kaybolabilir.
9. Kâğıt çıktıyı delilin kendisi sanmak. Çıktı okuma kolaylığı sağlar; delil orijinal dijital dosyadır.
10. Kopukluğu gizlemek. Karşı taraf tarafından bulunan boşluk, sunanın güvenilirliğini zedeler.
11. Hukuka aykırı delili zincirle "temize çıkarmaya" çalışmak. Özenli saklama, hukuka aykırı elde etmeyi ortadan kaldırmaz.
12. Delili ya erken imha etmek ya da süresiz saklamak. İlki inceleme imkânını yok eder; ikincisi kişisel veri güvenliği riskini büyütür.

Kanıt Dedektiflik bu süreçte ne yapar?

Delil zinciri, Kanıt Dedektiflik'in çalışma yöntemi olan Kanıt Yöntemi'nin beşinci adımıdır ve diğer adımların ürettiği her kaydı birbirine bağlar. Sahada elde edilen her orijinal dosyanın SHA-256 değeri, arşive aktarıldığı gün hesaplanır ve listeye işlenir. Orijinaller değişikliğe kapalı bir arşivde tutulur; rapor için yapılan kırpma, maskeleme veya parlaklık ayarı yalnızca çalışma kopyasında yapılır ve raporda öyle işaretlenir. Arşive kimin, ne zaman ve hangi amaçla eriştiği ile her aktarım kayda geçer.

Açık kaynak araştırmalarında da aynı disiplin geçerlidir: dijital iz ve açık kaynak araştırması bulguları URL, erişim zamanı, arşiv kopyası ve hash değeriyle saklanır. Cihaz imajı gerektiren kurumsal dosyalarda çalışma, yazma engelleyici kullanan bir adli bilişim uzmanıyla ve tutanakla yürütülür; başkasına ait cihaz veya hesaba erişim gerektiren talepler ise kabul edilmez.

Teslimde Delil Dosyası, hash listesi ve delil zinciri formuyla birlikte, tek seferde ve tutanakla müvekkile veya yetkilendirdiği avukata verilir. Elinizde zaten bir delil varsa, onu yeniden üretmeye çalışmak yerine zincirini doğru biçimde başlatmanıza yardımcı olmak da bu çalışmanın parçasıdır.

Elinizdeki delil için zinciri bugün başlatmak

Zincirin en değerli halkaları ilk saatlerde ve ilk günlerde kurulur; sonradan eklenen kayıtlar ancak o güne kadar olanı açıklayabilir. Elinizde bir dosya, bir cihaz ya da bir nesne varsa, aşağıdaki sıra davanın türünden bağımsız olarak uygulanabilir.

1. Durun ve dokunmayın. Delili açmadan, kopyalamadan, kimseye göstermeden önce bulunduğu hâliyle fotoğraflayın.
2. İlk notu yazın. Kim buldu, ne zaman, nerede, hangi durumda; o ana kadar kimlerin dokunduğunu da ekleyin.
3. Tekil bir numara verin. Her delile ayrı bir numara verin ve bu numarayı bütün kayıtlarda kullanın.
4. Dijital dosyalarda orijinali iki ayrı ortama kablo ile kopyalayın ve SHA-256 değerlerini hesaplayıp listeleyin.
5. Fiziksel nesneyi türüne uygun ayrı bir ambalaja koyun, ambalajı kapatıp üzerine tarih ve imza atın.
6. Her el değiştirmeyi yazın. Avukatınıza, bir uzmana veya kolluğa teslimde kısa da olsa imzalı bir tutanak düzenleyin.
7. Saklama ve süre planı yapın. Delilin nerede, kimin erişimiyle duracağını ve dava bittiğinde ne olacağını avukatınızla belirleyin.

Kontrol listesi: Zincirinizin asgari çekirdeği yerinde mi?

• [ ] Orijinal dosya veya nesne, hiç değiştirilmeden ayrı bir yerde duruyor.
• [ ] Edinme anının tarihi, saati ve yeri yazılı.
• [ ] Dijital dosyaların SHA-256 değerleri edinmeye en yakın anda hesaplanıp listelendi.
• [ ] Delilin kimlerin elinden geçtiği tarih sırasıyla not edildi.
• [ ] Her teslim için imzalı bir tutanak veya yazılı bir iz var.
• [ ] Çalışma kopyası ile orijinal birbirinden ayrı ve adlandırması net.
• [ ] Delilin hukuka uygun yolla elde edildiği avukatla birlikte değerlendirildi.

Delil zinciri, bir delilin mahkemeye kendi hikâyesini anlatabilmesini sağlar: nereden geldiğini, kimin elinden geçtiğini ve neden hâlâ aynı olduğunu. Elinizdeki delilin zincirini birlikte kurmak ya da var olan kaydı gözden geçirmek isterseniz, ücretsiz bir ön görüşme için iletişim sayfasından bize yazabilirsiniz.