Akıllı Limanlar ve Elektronik Konişmento (e-BL) Süreçlerinde Veri İhlalleri ve Sorumluluk

Özet. Limanların dijitalleşmesi ve konişmentonun elektronik ortama taşınması, taşıma hukukunun klasik kavramlarını —zilyetlik, ibraz, ciro, teslim— yeni bir teknik zemine oturtmaktadır. Bu dönüşüm verimlilik sağlarken, kâğıt belgede karşılığı bulunmayan riskler doğurur: sistem ele geçirme, kayıt değiştirme, özel anahtar hırsızlığı ve kişisel veri ihlali. Bu çalışma, akıllı liman altyapıları ile elektronik konişmento (e-BL) süreçlerinde ortaya çıkan zararların hukuki niteliğini ve sorumluluğun taşıyan, liman işletmecisi, platform sağlayıcı ve yük ilgilileri arasında nasıl dağıldığını incelemektedir.

1. Akıllı Liman: Teknik Yapı ve Hukuki Görünüm

Akıllı liman, terminal işletim sistemi (TOS), liman topluluk sistemi (PCS), otomasyonlu vinçler, IoT sensörleri, konteyner takip cihazları ve gümrük/denetim otoriteleriyle veri değişimi katmanlarından oluşur. Hukuken bu yapı, tek bir sözleşme değil; taşıma, terminal hizmeti, yazılım lisansı, veri işleme ve kamu hizmeti ilişkilerinin iç içe geçtiği bir sözleşmeler ağıdır. Bir siber olayın sonuçları bu ağın tümüne yayıldığından, sorumluluk analizinde ilk adım zararın hangi ilişki içinde doğduğunun belirlenmesidir.

2. Elektronik Konişmentonun Hukuki Niteliği

Konişmentonun üç işlevi vardır: taşıma sözleşmesinin ispatı, eşyanın teslim alındığının makbuzu ve eşyayı temsil eden kıymetli evrak. İlk iki işlev elektronik ortamda kolayca sağlanır; asıl güçlük, tekillik (uniqueness) ve hâkimiyet (control) gerektiren üçüncü işlevdedir. UNCITRAL'in MLETR yaklaşımı, elektronik kaydın “işlevsel eşdeğerlik” ölçütünü karşılaması hâlinde kâğıt belge ile aynı sonucu doğuracağını kabul eder; bunun için kaydın tek bir kişinin münhasır hâkimiyetinde tutulabilmesi, devrin izlenebilir olması ve değiştirilemezliğin teknik olarak sağlanması aranır. Türk hukukunda TTK'nın konişmentoya ilişkin hükümleri (özellikle teslim ve ibraz düzeni) kâğıt esaslı kurgulandığından, e-BL'nin bağlayıcılığı büyük ölçüde sözleşmesel çerçeve kuralları (rulebook) ve tarafların bunlara katılımı ile sağlanmaktadır.

3. Siber Olay Türleri ve Doğurdukları Zarar

• Fidye yazılımı ile terminal durması. Tahmil-tahliye duramaz; ardiye, demuraj ve gecikme zararları doğar. Zarar çoğunlukla salt malvarlığı zararı niteliğindedir.
• Kayıt manipülasyonu. e-BL üzerindeki hâkimiyetin yetkisiz devri hâlinde eşya, hak sahibi olmayan kişiye teslim edilebilir; bu, klasik anlamda yanlış kişiye teslim sorumluluğu doğurur.
• Kimlik avı ve talimat sahteciliği. Sahte teslim talimatı veya değiştirilmiş banka bilgisiyle ödeme yönlendirmesi; burada tartışma, riskin hangi tarafın hâkimiyet alanında doğduğu üzerinde yoğunlaşır.
• Veri sızıntısı. Sürücü, personel ve müşteri temsilcilerine ait kişisel veriler ile ticari sır niteliğindeki sevkiyat verilerinin ifşası.

4. Taşıyanın Sorumluluğu: Siber Olay Mücbir Sebep midir?

Taşıyan, eşyayı teslim aldığı andan teslim ettiği ana kadar özen borcu altındadır. Siber saldırı, tek başına sorumluluktan kurtarıcı bir sebep değildir; kurtuluş beyyinesi, saldırının öngörülemez ve kaçınılamaz olduğunun ve makul güvenlik tedbirlerinin alındığının ispatını gerektirir. Güncel olmayan yazılım, yedeklemesiz sistem, çok faktörlü kimlik doğrulamanın bulunmaması veya erişim yetkilerinin sınırlandırılmamış olması hâlinde olay, dışsal bir sebep değil organizasyon kusuru olarak nitelendirilir. Bu nitelendirme aynı zamanda sorumluluk sınırlarının delinmesi tartışmasını da (kasta eşdeğer kusur/pervasızca davranış ölçütü) gündeme getirir.

5. Liman İşletmecisi ve Platform Sağlayıcının Konumu

Liman işletmecisi, terminal hizmeti sözleşmesi çerçevesinde eşyanın muhafazasından sorumludur; sistem kesintisinden doğan gecikmelerde sözleşmedeki sorumsuzluk kayıtlarının geçerliliği, ağır kusur hâlinde tartışmalıdır. Platform sağlayıcı ise çoğu kez “yalnızca teknik altyapı sunduğunu” ileri sürerek sorumluluğunu abonelik bedeliyle sınırlar. Ancak platform, devir kaydının bütünlüğünü güvence altına almayı taahhüt ediyorsa, bu taahhüdün ihlali asli edim yükümlülüğünün ihlalidir ve genel işlem koşulu niteliğindeki sınırlamaların denetimini gerektirir. Yükümlülüğün ağır kusur hâlini de kapsayacak biçimde kaldırılması, Türk hukukunda geçersizlik yaptırımıyla karşılaşır.

6. Kişisel Verilerin Korunması Boyutu

Liman ve taşıma ekosisteminde işlenen sürücü kimlik bilgileri, plaka, konum, kamera görüntüleri ve personel verileri kişisel veridir. Bir siber olayda:

• Veri sorumlusu sıfatı, veri işleme amaç ve vasıtalarını belirleyen tarafa aittir; platform ve terminal çoğu kez veri işleyen konumundadır ve aralarında yazılı veri işleme sözleşmesi bulunmalıdır.
• İhlalin öğrenilmesinden itibaren en kısa sürede ve 72 saat içinde Kurula bildirim yapılmalı, ilgili kişilere makul en kısa sürede haber verilmelidir.
• Yurt dışında konumlanan bulut altyapılarının kullanılması hâlinde yurt dışına aktarım rejimine uygunluk (standart sözleşme veya diğer güvence mekanizmaları) ayrıca denetlenmelidir.
• Kamera ve konum verilerinde saklama süresi ve erişim yetkisi matrisi, olay sonrası incelemenin en sık eleştirilen noktalarıdır.

7. Sorumluluğun Dağıtımı ve Sigorta

Klasik nakliyat sigortaları ve P&I teminatları, siber kaynaklı zararları çoğu kez siber istisna klozları ile kapsam dışında bırakır. Bu nedenle salt malvarlığı zararlarını, iş durması kaybını ve bildirim/adli bilişim masraflarını karşılayan ayrı bir siber sorumluluk poliçesi gerekir. Sözleşmelerde taraflar arasında rücu düzeni, güvenlik olayı bildirim süreleri ve denetim hakkı açıkça kararlaştırılmalıdır.

8. Uygulamaya Yönelik Öneriler

• e-BL kullanımından önce platformun çerçeve kurallarına katılım, uygulanacak hukuk ve yetki kaydı ile hâkimiyet devri usulü yazılı olarak kabul edilmelidir.
• Teslim talimatlarında çok faktörlü doğrulama ve ikinci kanaldan teyit (call-back) zorunlu hâle getirilmelidir.
• Anahtar yönetimi, yetki matrisi, log tutma ve değişmezlik (immutability) güvenceleri sözleşmesel taahhüt hâline getirilmelidir.
• Olay müdahale planı; adli bilişim, KVKK bildirimi ve müşteri iletişimini aynı takvimde yürütecek biçimde önceden kurgulanmalıdır.
• Sistem kesintisi hâlinde işleyecek manuel yedek prosedür (fallback) ve bu süredeki sorumluluk paylaşımı sözleşmede yer almalıdır.

9. Sonuç

Akıllı liman ve e-BL uygulamaları, taşıma hukukunun temel kavramlarını ortadan kaldırmaz; onları teknik güvence katmanlarına bağımlı hâle getirir. Bir siber olayda sorumluluğun kimde kalacağını belirleyen şey, saldırının varlığı değil, tarafların kendi hâkimiyet alanlarında makul güvenlik tedbirlerini alıp almadığı ve bunu belgeleyebilmesidir. Bu nedenle dijitalleşme kararı, aynı anda bir sözleşme tekniği, veri yönetişimi ve sigorta kararıdır.