Siber Güvenlik Kanunu Teklifi Ne Getiriyor?

10 Ocak 2025 tarihinde TBMM Başkanlığı’na sunulan Siber Güvenlik Kanunu teklifi, çok önemli bir konuyu düzenlemesine ve kamu otoritelerine birey haklarına müdahale bakımından çok geniş yetkiler tanımasına rağmen, kamuoyunun tartışmasına imkân vermeden hemen 15 Ocak tarihinde acele bir şekilde Milli Savunma Komisyonunda görüşülerek kabul edilmiştir.  Teklif TBMM’ye sunulmadan önce de kamuoyuna duyurulmamıştır.

Oysa hem ulusal güvenlik hem de bireysel veri güvenliği bakımından hayati öneme sahip bir konuda yapılacak yasal düzenlemelerin kamuoyunda etraflı bir şekilde tartışılmış olması gerekir. Böyle bir alanda yapılacak düzenlemelerin teknolojik gelişmelere uygun, insan haklarına saygılı, ulusal güvenlik gereklerine cevap veren, yetkilerin kötüye kullanılmasına karşı yeterli güvenceler içeren bir çerçeveye sahip olması gerekir. Bunun için de siyasi partiler, sivil toplum, ilgili uzmanlar ve diğer paydaşlar tarafından kapsamlı bir şekilde tartışılmalıdır. Teklif böyle bir hazırlık sürecine tabi tutulmadığı gibi, parlamentoda da tartışılmasına olanak tanınmadan yasalaştırılmasının amaçlandığı görülmektedir.

Teklif Milli Savunma Komisyonunun yanı sıra Adalet, Plan ve Bütçe ve Sanayi, Ticaret, Enerji, Tabii Kaynaklar, Bilgi ve Teknoloji Komisyonlarına da gönderilmiş olmakla birlikte bu tali komisyonların hiçbirinde teklif görüşülmemiş ve hakkında rapor sunulmamıştır. Bu kanun yapma yönteminin demokratik ve katılımcı olmadığı açıktır.

Yasanın amacı, siber güvenlik alanında çatı mevzuatı oluşturmak ve ilgili politika ve stratejileri belirlemek üzere Siber Güvenlik Kurulunun kurulması olarak belirtilmiştir. Nitekim Kanun kapsamında bir Siber Güvenlik Kurulu oluşturuluyor ve daha önce Cumhurbaşkanlığı Kararnamesi ile kurulan Siber Güvenlik Başkanlığının (SGB) görev ve yetkileri düzenleniyor.

Özellikle teklifin 6. maddesinde Başkanlığa görev alanıyla ilgili her türlü bilgi ve veriyi talep etme ve erişim yetkisi tanınıyor. Bu veriler kişilerin sağlık ve finansal verileri gibi kişiler verilerin yanı sıra ulaştığı siteler, okuduğu izlediği içeriklerle ilgili log kayıtlarını da içerebilecektir. Başkanlığın bu kapsamda elde ettiği bilgi, belge, veri ve kayıtların, en fazla iki yıl süreyle çalışmaya konu edilebileceği ve çalışma süresi sonrasında imha edileceği düzenleniyor. Ancak bu şekilde gereksiz bilgilerin elde edilmesi, işlenmesi ve devri ile ilgili kötüye kullanımları engelleyecek hiçbir güvence teklifte yer almıyor. Ayrıca Başkanlığa bilişim sistemlerindeki log kayıtlarını bünyesinde toplama, saklama, değerlendirme ve bunlarla ilgili rapor hazırlayarak ilgili kurum ve kuruluşlarla paylaşma yetkisi de tanınıyor. Ancak kanunda bu şekilde elde edilen verilerin korunmasıyla ilgili tek güvence amaç gerçekleştikten sonra verilerin silineceğine ilişkin bir hükme yer verilmesi. Verilerin kötüye kullanılıp kullanılmadığını denetleyecek, kötüye kullanımı engelleyecek güvenceler yasada yer almadığı gibi, silme yükümlülüğüne uyulmasını güvence altına alacak bir hüküm de bulunmuyor. 

Ayrıca Teklifte, kamu kurumları ve kuruluşları ile kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş siber güvenlik uzmanları ve şirketlerden tedarik edilmesi yükümlülüğü öngörülüyor. Bu yetkilendirme ve belgelendirmenin objektif ölçülere göre ve tarafsız bir şekilde yapılması hayati bir öneme sahiptir. Ne yazık ki yasada buna yönelik bir güvence de yer almıyor.

Diğer taraftan teklifin 9. maddesinde gecikmesinde sakınca bulunan hallerde Başkanın yazılı emri ile konutta, işyerinde ve kamuya açık olmayan kapalı alanlarda arama yapılmasına ve kopya çıkarma ve elkoyma işlemi gerçekleştirilmesine yetki verilmektedir. Bu işlemlerin daha sonra hâkim onayına sunulması ve hâkim onay vermezse elde edilen verilerin imhası öngörülüyor. Genel olarak yargının özel olarak da sulh ceza hakimliklerinin durumu dikkate alındığında bu güvencenin ne derece etkili olduğu tartışılır. Kamu kurumları açısından ise arama ve el koyma için hâkim kararı dahi aranmıyor. Bu şekildeki düzenlemelerle bireylerin özel hayatına, kişisel verilerine ve konutuna müdahale yetkisi veren bir düzenlemenin Anayasal hakları ihlal ettiği ve Anayasaya aykırı olduğu açık.

Diğer taraftan teklif yeni suçlar da ihdas ediyor. Bu çerçevede Başkanlık tarafından talep edilen bilgileri vermeyenler, siber saldırıda bulunanlar, sır saklama yükümlülüğüne uymayanlar, siber sızıntı yoluyla elde edilen verileri pazarlayanlar hakkında cezaî hükümler öngörülmektedir. Ayrıca tuhaf bir şekilde “siber uzayda veri sızıntısı olmadığı halde veri sızıntısı yapılmış gibi bu yönde algı oluşturmak suretiyle kurumları veya şahısları hedef almaya yönelik faaliyet yürütenlerin” cezalandırılması öngörülüyor. Bu fıkradaki “algı oluşturmak” ibaresi Komisyonda "veri sızıntısı yapılmış gibi içerik oluşturma" şeklinde değiştirilmiş olsa da bu hükmün basın özgürlüğüne yönelik ciddî bir tehdit oluşturduğu açıktır.

Belirtilen mazurları nedeniyle teklifin geri çekilerek ancak kapsamlı bir katılım süreci sonucunda ve temel haklara yönelik müdahalelere karşı yeterli güvencelere sahip bir yasanın yapılması gerekir.