Confronting economic and industrial cyberespionage under international law

Bu çalışma, sosyal bilimlerde giderek daha fazla ilgi gören ve pek çok çalışmaya konu olan siber güvenlik alanındaki siber espiyonaj ve bu siber espiyonaj operasyonlarına maruz kalan Devletlerin başvurabileceği hukuki mekanizmalara dair tartışmalara katkı sunmaktadır. Bu çalışmanın öncelikli amacı, ekonomik ve endüstriyel siber espiyonajı tanımlamak ve araştırmak, öte yandan bu tehdite karşı başvurulabilecek etkili, ulusal ve uluslararası hukuki çareleri analiz ederek çözüm önermektir. İlk olarak belirtmek gerekir ki, bu çalışmanın çıkış noktası, dünya çapında geleneksel sosyal, ekonomik, siyasal ve hukuki sistemleri derinden etkileyen ve değişmeye zorlayan dijital bir devrime tanıklık edişimizdir. Bu devrim bizim toplumla ve çevremizle olan etkileşimizi kökten etkiledi. Her yeni gelişme doğası gereği, var olan zorlukları ve engelleri aşabilmek adına bir fırsat sunmaktadır. Ancak yeni başlangıçlar her zaman sanıldığı kadar kolay ve kabul edilebilir olmaz. Bireyler, bilgi teknolojilerinin onlara sunduğu sınırsız fırsatları bu teknolojilerin güvenli olduklarına inandıkları zaman kabul etme eğilimindedirler. Bireylerin inançları bir yana, bu dijtial devrimin güvenlik-özgürlük ya da kişisel mahremiyet ikileminde dengelenmesi hukuki araçlarla mümkündür. Bu çerçevede, düşünürler, akademisyenler ve kanun koyucular, siber uzay olarak adlandırılan bu yeni dünyayı düzenlemek için etkili hukuki mekanizma ve prensipleri tartışmaktadır. Bu konuda temel olarak iki ana akım görüş olduğunu söyleyebiliriz: 1) bu alan Devletlerin kontrol ve düzenlemesinden bağımsızdır ve geleneksel hukuki yapılar bu alanı düzenlemekte yetersiz kalmaktadır, 2) bu alan uzay, hava, denizden farklı değildir; bu alanın fiziksel bir yanı ve onu oluşturan somut bileşenleri vardır. Bu açıdan mevcut hukuki yapılar ve prensipler bu alanı düzenlemek için yeterlidir. Bu çalışmada, yukarıdaki iki görüş dışında mevcut hukuki yapı ve prensiplerin yeterli olduğunu ama bazı noktalarda yenilenmeye ve yeni yaklaşımlara ihtiyaç duyulduğunu savunan hibrit bir bakış açısı benimsenecektir. Bu tez, iki ana bölümden oluşmaktadır; 1) siber uzay, espiyonaj, siber espiyonaj 2) Ekonomik ve endüstriyel siber espiyonaj ile mücadele. İlk bölümde, siber uzay ve espiyonaj faaliyetlerinin tanımlanması ve düzenlenmesine ilişkin sorunlar ele alınmıştır. Siber uzayın düzenlenmesine dair fikir ayrılığı, espiyonaj faaliyetlerinin düzenlenmesi konusunda karşımıza çıkmaktadır. Uluslararası hukukçular, barış zamanı ya da savaş zamanı gerçekleştirilen espiyonaj faaliyetlerinin uluslararası hukuk altında izin verilmesi ya da yasaklanması konusunda fikir ayrılığı yaşamaktadır. Bu noktada, tezimiz, savaş ya da barış zamanı espiyonaj aktivitelerinin hukukiliği kuşatıcı bir şekilde tartışmaktadır. Barış zamanı espiyonaj aktiviteleri bağlamında, uluslararası hukuk prensipleri ve teamül hukuku, bu faaliyetlere onay verme ya da sınırlama bakımından incelenmiştir. Her ne kadar uluslararası hukuk barış zamanı espiyonaj faaliyetleri konusunda sessiz kalsa da, bu alanı düzelenlemek için bazı girişimler ve Devletleri bu alanı düzenlemeye zorlayacak bazı vakıalarda yaşanmıştır. Örneğin, U-2 istihbari keşif uçuşlarının yol açtığı uluslararası kriz, sonraki yıllarda güven ve güvenlikk artırıcı önlemlerin geliştirimesi ve Açık Gökyüzü Anlaşması'nın akdedilmesini sağlayacaktır. Aynı sürecin, siber espiyonaj açısından da yaşanacağı, gerçekleşen saldırıların böylesi bir uluslararası uzlaşmayı ya da uluslararası normların kabulünü zorunlu kılacağını düşünüyoruz. Tallinn Manual-1 ve hâlihazırda devam eden Tallinn Manual-2 çalışmaları bu alanda uluslararası bir konsensüs oluşması noktasında kayda değer gelişmelerdir. Ancak şu aşamada Devletler ve şirketler, uluslararası norm oluşturmak ve bu saldırıları azaltmak yerine, stratejik çıkarlarını koruyabilecek mevcut hukuki mekanizmaları kullanma eğilimdedirler. Tezimiz ulusal ve uluslararası düzeyde yer alan bu mekanizmaları kapsayıcı bir şekilde değerlendirmektedir. Tezimiz, yükselen bir trend olan siber espiyonajı ve geleneksel espiyonaj faaliyetlerinin değişen özelliklerini ele almaktadır. Espiyonajın tarihsel olarak amaç ve hedefleri, metot ve araçları, aktörleri ve vakıalara değişime uğramıştır. Temel olarak, bu araştırma, modern çağlarda gerçekleştirilen espiyonaj faaliyetlerinin, James Bond ya da Hollywood filmlerinde görmeye alıştığımız espiyonaj faaliyetlerinden oldukça farklı olduğunu göstermektedir. Her ne kadar espiyonaj ve gözetleme faaliyetlerinde kullanılan araçların, taraflarca savaş zamanında uyguladığı kabul edilse de, gerçekte, teknolojik araçların doğası gereği çift kullanıma sahip olduğu anlaşlmıştır. Bir yandan sivil diğer yandan askeri amaçlarla kullanıma açık olan bu araçların çoğalması siber silah, siber saldırı, siber suçlar ve siber espiyonajın ortaya çıkmasına yol açmıştır. Bu açıdan teknolojik gelişmelerin espiyonaj faaliyetlerini nasıl değiştirdiği ve geliştirdiği açıklanmıştır. Örneğin, APT, Advanced Persistent Threat olarak adlandırılan bilgi toplama amacı ile yapılan hedef odaklı saldırılardır. Belirli bir hedefe veya kuruma yönelik olması, geleneksel güvenlik mekanizmalarını atlatabilmesi ve hedef kurumlarda uzun süreli olarak faaliyet göstermesi bu saldırıların tespitini zorlaştırmaktadır. Bu tip saldırılar hedef alınan sektör veya bilgisayar sistemine özel olarak tasarlanmış siber silahlarla gerçekleştirilmekte ve tespit edilmeden bilgi sızdırmaya devam etmektedir. Birinci bölümün son kısmında, siber espiyonaj faaliyetleri uluslararası hukuk teorileri bağlamında ele alınmıştır. Rasyonal seçim ve oyun teorisinin siber espiyonaj ya da siber saldırıların arkasında yatan motivasyonu açıklamada yeterli olduğu düşünülmektedir. Bir başka değişle, siber espiyonaj aktörleri hedeflerini stratejik ve rasyonal bir seçimle belirlemektedir. İkinci bölüm, ekonomik ve endüstriyel siber espiyonaj faaliyetlerine maruz kalan mağdur Devletlerin ve şirketlerin uygulayabileceği ulusal ve uluslararası hukuki mekanizmalar ele alınmıştır. Siber espiyonaj faaliyetlerinin bir siber saldırı olduğu kabul edilmiştir. Dolayısıyla, hedefleri değerli ticari sırları, fikri mülkiyet ürünlerini ele geçirmek olan bu saldırılara karşı başvurulabilecek cezai ve hukuki fikri mülkiyet ve ticari sır düzenlemeleri açıklanmıştır. Öte yandan siber saldırılar bilgisayar sistemlerinin gizliliğini (confidentiality), bütünlüğünü (integrity) ve kullanılabilirliğini (availability) ihlal etmektedir. Bu ihlal ise pek ulusal hukuk sisteminde siber suçlar olarak ceza hukukunda düzenlenmiştir. Amerika Birleşik Devletleri ve Birleşik Krallık dışında pek çok Devlet özellikle siber espiyonaj faaliyetlerini yasaklamak için çıkarılmış bir düzenlemeye sahip değildir. Geleneksel hukuki yaklaşım bu faaliyetleri, fkri mülkiyet suçları ya da ticari sırların korunması ile siber suçlar kapsamında değerlendirmektedir. Yeni hukuki yaklaşım ekonomik ve endüstriyel siber espiyonaj faaliyetlerinin artırılmış para ve hapis cezalarıyla düzenlenmesini önermektedir. Bu noktada, Amerika Birleşik Devletlerinde var olan özel düzenleme ele alınacaktır. Türk hukuk sistemi altında ise ticari sırların korunması ile siber suçlar mevzuatı, siber espiyonaj bağlamında değerlendirilecektir. Uluslararası düzeyde başvurulabilecek hukuki mekanizmalar savaş ve barış zamanı olarak ikili bir ayrım altında ele alınmıştır. Ancak barış zamanı siber espiyonaj faaliyetleri, sıklıkla uygulandığı için, çalışmamızın odak noktasını oluşturmaktır. Öncelikle, barış zamanı siber espiyonaj faaliyetlerinin, yıkıcı sonuçlar doğurma potansiyeli dolayısıyla bir çeşit kuvvet kullanımı olduğu kabul edilmiştir. Birleşmiş Milletler Şartı'nın 2/4 maddesinde ifadesin bulan kuvvet kullanımı, siber saldırılar bağlamında pozitif ve negatif hukuki argümanlarla ayrıntılı olarak tartışılmıştır. Bunun yanı sıra, siber saldırıların kuvvet kullanımı seviyesine ulaşmadığı düşünülse de, yine de bu saldırılar doğaları gereği uluslararası hukukun, ekonomik egemenliği de kapsayan Devletlerin egemenliği ve içişlerine müdahale yasağı gibi temel prensiplerini ihlal etmektedir. Uluslararası yükümlülükleri ihlal eden ve kendisine atfedilen bir siber saldırı dolayısıyla Devletlerin sorumluluğu gündeme gelmektedir. Saldırının özel ya da kamusal bir altyapı ya da sistemi hedef almış olması saldıran Devletin sorumluluğunu etkilemeyecektir. Siber espiyonaj faaliyetlerinin devletlerin uluslararası sorumluluğunu ileri sürmek için yeterli hukuki gerekçeyi sağladığı açıklanmıştır. Bu faaliyetlere karşı ise uluslararası hukuka aykırı davranışla orantılı karşı önlem ve misillemelere başvurulması mümkün olmaktadır. Bu açıdan mağdur devletlerin ilk olarak benimseyebileceği hukuki mekanizma, siber espiyonaj faaliyetlerinin uluslararası hukuka aykırılığının açıklanması ve sonrasında saldıran devlete karşı orantılı önlemlere başvurulmasıdır. Bununla birlikte, siber espiyonaj faaliyetlerine iki ya da çok taraflı anlaşmaların müzakere aşamasında başvurulduğunu görülmektedir. Dolayısıyla bu tez, Uluslararası Anlaşmalar Viyana Sözleşmesinin mağdur Devlete bu faaliyetleri önleyecek, uygulayan devletleri caydırabilecek birtakım hukuki korunma yolları önerdiğini ileri sürmektedir. Öyle ki, siber espiyonaj faaliyetleri, tarafların özgür ve dürüstçe müzakere etme kabiliyetini ve müzakerelerde iyiniyet prensibini açıkça ihlal etmektedir. Bu ihlal, Uluslararası Anlaşmalar Viyana Sözleşmesi'nin 49. maddesinde karşılığını bulan hile yoluyla anlaşmanın geçersizliğine yol açmaktadır. Hile yoluyla anlaşmanın geçersizliğine örnek olarak, güncel Timor-Leste vs. Australia davası incelenmiştir. Bu davada, uluslararası anlaşma hukukuna ilişkin yükümlülüklerin ihlali ile uluslararası temel ilkelerin ihlali (diplomatik konutların dokunulmazlığı, müzakerelerde iyi niyet prensibi, devlet egemenliği ve müdahale yasağı) siber espiyonaj faaliyetlerinin hukuksuzluğunu ileri sürmek için yeterli ve gerekli hukuki gerekçeleri sağlamaktadır. Yine de bu faaliyet ile hileli davranış arasında hukuki ve fiili illiyet bağını kurmak, geçmiş bir örnek bulunmadığı için tartışmalı olmaktadır. Son olarak, bu tez, ekonomik ve endüstriyel siber espiyonaj faaliyetleri fikri mülkiyete konu ürünleri hedef aldığı için, Ticaretle Bağlantılı Fikri Mülkiyet Hakları Anlaşması'nı (TRIPS) ihlal ettiğini ve Dünya Ticaret Örgütü (WTO) altında birtakım mekanizmaların harekete geçirilebileceğini tartışmaktadır. TRIPS Anlaşmasının 39 maddesinde yer alan "dürüst ticari uygulamalara aykırı" ifadesi "sözleşmenin ihlali, güvenin ihlali ve ihlale teşvik gibi uygulamalar anlamında olacak ve açıklanmamış bilgilerin elde edilmesinde bu uygulamaların katkısı olduğunu bilen veya bilmemesinde ağır ihmalin sözkonusu olduğu üçüncü taraflarca açıklanmamış bu bilgilerin elde edilmesini" kapsamaktadır. Bu açıdan siber espiyonaj faaliyetleri dürüst ticari uygulamaları açıkça ihlal etmektedir. Bu ihlale karşı WTO uyuşmazlık çözüm mekanizması harekete geçirilebilmektedir. WTO uyuşmazlık çözüm mekanizmasının siber espiyonaj faaliyetlerine karşı siyaseten etkili olduğunu ancak hukuken WTO'ya taraf devletlerin öncelikle bu faaliyetleri yasaklayan ya da sınırlayan hükümler üzerinde uzlaşması gerektiği açıklanmıştır. Bu bağlamda, mağdur Devletler ve şirketlerin siber espiyonaj faaliyetlerine karşı, birtakım ulusal ve uluslararası hukuk mekanizmalarını harekete geçirebileceği tartışılmıştır. Ulusal düzeyde, ticari sırların korunması, cezai ve hukuki fikri mülkiyet haklarının korunması ile siber suçlar; uluslararası düzeyde ise uluslararası hukuka aykırılığın ilanı ve orantılı karşı önlemlere başvurulması, anlaşmalar hukuku bağlamında anlaşmanın geçersizliğini ileri sürülmesi, WTO uyuşmazlık çözüm mekanizmasının harekete geçirilmesi siber espiyonaj faaliyetlerine karşı başvurulabilecek yollar olarak incelenmiştir. Bu tez, ekonomik ve endüstriyel espiyonaj mağduru Devletlere ve şirketlere başvurabilecekleri etkili hukuki çözüm yolları araştırmakta ve siber güvenlik alanındaki hukuki literature ufak bir katkı sunmayı amaçlamaktadır.