Sahte Lisans Anahtarı Kullanmanın Türk Hukukundaki Sonuçları

Sahte lisans anahtarı kullanımı, uygulamada çoğu zaman yalnızca “ucuz yazılım kullanma” veya “BT ekibinin teknik tercihi” gibi görülür. Oysa Türk hukukunda mesele bundan çok daha ağır sonuçlar doğurabilir. Çünkü bilgisayar programları 5846 sayılı Fikir ve Sanat Eserleri Kanunu kapsamında eser olarak korunur; ayrıca bilgisayar programının yüklenmesi, çalıştırılması ve depolanması da eser sahibinin mali hak alanına girer. Bu nedenle sahte lisans anahtarıyla yapılan aktivasyon, somut olayın niteliğine göre yalnızca sözleşmeye aykırılık değil, telif hakkı ihlali, tazminat, faaliyet durdurma, dijital inceleme, ceza şikâyeti ve şirket içi sorumluluk zinciri doğurabilir.

Sahte lisans anahtarı en genel anlamıyla, yazılım üreticisinin yetkili lisanslama sistemi dışında oluşturulmuş, kopyalanmış, manipüle edilmiş, yetkisiz paylaşılmış veya gerçekte kullanıcıya ait olmayan bir aktivasyon bilgisinin yazılımı çalıştırmak için kullanılmasıdır. Hukuken sorun yaratan nokta, anahtarın görünüşte çalışıyor olması değil; kullanımın hak sahibinin iznine dayanan meşru lisans ilişkisi dışında kurulmuş olmasıdır. Eğer bir şirket veya kişi, yazılımı geçerli lisans sözleşmesi olmadan bu tür bir anahtarla aktif hâle getiriyorsa, mesele teknik bir “aktivasyon yöntemi” olmaktan çıkıp hak sahibinin korunan alanına müdahale tartışmasına dönüşür. Bu sonuç, bilgisayar programının kanundaki tanımı ve programın kullanım fiillerinin eser sahibine tanınan çoğaltma hakkı kapsamında düzenlenmiş olmasından çıkar.

Bu yüzden “sahte lisans anahtarı kullanmanın Türk hukukundaki sonuçları” sorusunun tek cevabı yoktur. Sonuçlar, bir yandan FSEK kaynaklı özel hukuk talepleri, diğer yandan ceza hukuku riski, sözleşmesel sorumluluk, çalışan ve yönetici sorumluluğu, veri güvenliği ve delil incelemesi başlıkları altında değerlendirilmelidir. Özellikle kurumsal şirketlerde bu risk, yalnızca yazılımı kuran kişiye değil; yazılımı ticari faaliyette kullanan şirkete, buna göz yuman yönetime ve bazen müşterilere karşı üstlenilen taahhütlere de uzanabilir.

Sahte lisans anahtarı kullanmak neden sıradan bir lisans eksikliği değildir?

Türk hukukunda bilgisayar programları açık biçimde eser sayılır. FSEK m.2, her biçim altında ifade edilen bilgisayar programlarını ve belirli koşullardaki hazırlık tasarımlarını ilim ve edebiyat eseri olarak kabul eder. FSEK m.22 ise bir eserin aslını veya kopyalarını doğrudan ya da dolaylı, geçici ya da sürekli biçimde çoğaltma hakkının münhasıran eser sahibine ait olduğunu düzenler. Bu nedenle sahte anahtar kullanımı, sadece “kodu girmek” eylemi olarak görülmez; o anahtarın sonucunda yazılımın hukuka aykırı biçimde kurulması, etkinleştirilmesi, çalıştırılması ve çoğu zaman depolanması söz konusudur.

Buradaki temel mesele şudur: Yazılım üreticisi, lisans anahtarını yalnızca teknik kolaylık için vermez; o anahtar, lisans sözleşmesinin fiilî uygulama aracıdır. Dolayısıyla sahte veya yetkisiz anahtar kullanımı, çoğu olayda lisans ilişkisinin tamamen dışına çıkmak anlamına gelir. Örneğin tek kullanıcı lisansını çoğaltmak, süresi dolmuş sürümü yetkisiz anahtarla yeniden açmak, bölgesel veya kurumsal lisansı başka kullanıcıya yaymak ya da internette dolaşan “crack key” ile üretim sistemi çalıştırmak aynı sonucu doğurabilir: yazılım, hak sahibinin onaylamadığı bir zeminde kullanılmış olur. Bu da FSEK ve TBK bakımından hukuki sorumluluğun çekirdeğini oluşturur.

FSEK bakımından özel hukuk sonuçları

Sahte lisans anahtarı kullanımı sabit görülürse, hak sahibinin en güçlü başvuru yollarından biri FSEK m.68’dir. Bu maddeye göre eser, icra, fonogram veya yapımlar hak sahiplerinden bu Kanuna uygun yazılı izin alınmadan işlenir, çoğaltılır, yayılır, temsil edilir veya umuma iletilirse; hak sahibi sözleşme yapılmış olsaydı isteyebileceği bedelin veya rayiç bedelin en çok üç katını talep edebilir. Yazılım lisans uyuşmazlıklarında bu hüküm son derece önemlidir; çünkü zararın tam hesaplanamadığı durumlarda dahi, hukuka uygun lisanslama yapılmış olsaydı ödenecek bedel üzerinden güçlü bir talep zemini sağlar.

Bu başlık sahte lisans anahtarı dosyalarında özellikle ağır sonuç doğurur. Çünkü sahte anahtar genellikle doğrudan lisans bedelinden kaçınma amacı taşır. Hak sahibi de bu durumda “yazılım zaten kullanıldı” diyerek sadece eksik lisans bedelini değil, FSEK m.68 uyarınca bunun en çok üç katına kadar çıkan bir bedeli gündeme getirebilir. Uyuşmazlığın ticari boyutu büyüdükçe, örneğin çok sayıda kullanıcıya yayılan bir anahtar veya üretim ortamında kullanılan kurumsal bir program söz konusuysa, bu bedel ciddi rakamlara ulaşabilir. Bu nedenle sahte lisans anahtarı, küçük bir BT tasarrufu gibi görünse de özel hukukta büyük parasal dosyalara dönüşebilir.

FSEK m.70 de ayrıca önemlidir. Bu hükme göre mali hakları haleldar edilen kişi, tecavüz edenin kusuru varsa haksız fiillere ilişkin hükümler uyarınca tazminat talep edebilir; ayrıca tazminattan başka temin edilen kârın kendisine verilmesini de isteyebilir. Bu, sahte lisans anahtarı kullanan şirketin veya kişinin sadece lisans bedeli değil, kusur varsa daha geniş tazminat talepleriyle de karşılaşabileceği anlamına gelir. Özellikle ticari faaliyet, müşteri hizmeti veya üretim zinciri bu yazılım üzerinde kurulmuşsa, elde edilen ekonomik yararın devri tartışması da dosyaya girebilir.

Hak sahibi yalnızca para talep etmekle de sınırlı değildir. FSEK’in ref ve men mantığı, ihlalin durdurulması ve devam eden tecavüzün önlenmesi için dava yolunu açık tutar. Uygulamada bu; lisanssız kurulu sürümlerin kaldırılması, sahte anahtarla aktive edilmiş istemcilerin kapatılması, üretim sisteminde kullanılan programın değiştirilmesi veya geçici tedbirlerle kullanımın durdurulması şeklinde sonuç verebilir. Bu yüzden sahte lisans anahtarı kullanımı, yalnızca “ödeyelim kapansın” çizgisinde değil, iş sürekliliğini doğrudan etkileyen durdurma ve kaldırma riskleri bakımından da değerlendirilmelidir.

Ceza hukuku bakımından sonuçlar

FSEK m.71, koruma altındaki fikir ve sanat eserleriyle ilgili manevi, mali veya bağlantılı hakları ihlal eden bazı fiilleri suç olarak düzenler. Maddeye göre hak sahibi kişilerin yazılı izni olmaksızın bir eseri işleyen, temsil eden, çoğaltan, değiştiren, dağıtan, yayımlayan ya da hukuka aykırı olarak işlenen veya çoğaltılan eserleri satışa arz eden, satan, yayan, ticari amaçla satın alan, ithal veya ihraç eden, kişisel kullanım amacı dışında elinde bulunduran veya depolayan kişi hakkında bir yıldan beş yıla kadar hapis veya adlî para cezası öngörülür. Bu hüküm, sahte lisans anahtarıyla aktive edilen yazılımın ticari veya kurumsal kullanımda tutulması hâlinde ceza riskinin neden teorik olmadığını açıkça gösterir.

Burada önemli olan şudur: Sahte lisans anahtarı kullanmak her somut olayda otomatik ceza mahkûmiyeti doğurmaz. Ancak sahte anahtar, yazılımın hak sahibinin yazılı izni olmaksızın çoğaltılması, kullanılması veya depolanması sonucunu doğuruyorsa; özellikle bu kullanım ticari amaçla yürütülüyorsa FSEK m.71 devreye girebilir. Tek bir ev kullanıcısı ile kurumsal ağda onlarca istemciyi bu yöntemle çalıştıran şirket arasında fiilin ağırlığı bakımından önemli fark vardır. Bu nedenle ceza değerlendirmesi her zaman kullanımın kapsamı, kast, amaç ve ticari yararlanma yoğunluğu üzerinden yapılır.

Sahte lisans anahtarının en hassas boyutu, çoğu zaman koruyucu önlemlerin aşılmasıyla birlikte görülmesidir. FSEK m.72, bir bilgisayar programının hukuka aykırı olarak çoğaltılmasının önüne geçmek amacıyla oluşturulmuş ilave programları etkisiz kılmaya yönelik program veya teknik donanımları üreten, satışa arz eden, satan veya kişisel kullanım amacı dışında elinde bulunduran kişi için altı aydan iki yıla kadar hapis cezası öngörür. Bu nedenle sahte lisans anahtarı kullanımına eşlik eden crack, keygen, patch, loader veya benzeri koruma aşma araçları kullanılmışsa, dosya sadece m.71 değil, m.72 bakımından da ağırlaşabilir. Burada dikkat edilmesi gereken nokta, her sahte anahtar kullanımının kendiliğinden m.72 kapsamına girmediğidir; fakat koruyucu mekanizmayı etkisiz kılan ayrı bir araç veya yazılım varsa bu hüküm ciddi biçimde gündeme gelir.

FSEK m.75’e göre 71 ve 72. maddelerdeki suçlar şikâyete bağlıdır. Aynı madde, geçerli şikâyet için hak sahiplerinin veya üyesi oldukları meslek birliklerinin haklarını kanıtlayan belge ve sair delilleri Cumhuriyet başsavcılığına sunması gerektiğini; şikâyet üzerine savcının CMK hükümlerine göre elkoyma tedbirlerine ilişkin işlemleri yapacağını ve gerektiğinde çoğaltma faaliyetini sınırlı olarak durdurabileceğini düzenler. Bu, sahte lisans anahtarı dosyalarının çoğunda sürecin hak sahibinin şikâyetiyle başladığını ve ceza soruşturmasının belge, log, lisans kaydı ve teknik raporlar üzerinden şekillendiğini gösterir.

Şirket, çalışan ve yönetici açısından sorumluluk ayrımı

Ceza sorumluluğu bakımından temel ilke TCK m.20’dir. Bu maddeye göre ceza sorumluluğu şahsidir; kimse başkasının fiilinden dolayı sorumlu tutulamaz ve tüzel kişiler hakkında ceza yaptırımı uygulanamaz, ancak kanunda öngörülen güvenlik tedbirleri saklıdır. Bu nedenle şirket adına sahte lisans anahtarı kullanılmışsa, ceza davasında otomatik fail şirket tüzel kişiliği olmaz; fiile katılan gerçek kişiler değerlendirilir. Örneğin sahte anahtarı bulan ve kuran BT personeli, bunu bilerek talimatlandıran yönetici veya maliyetten kaçınmak için açıkça bu yöntemi emreden karar verici gerçek kişi sorumluluğu taşıyabilir.

Bununla birlikte özel hukuk ve ticari sorumluluk bakımından şirket çoğu zaman dosyanın merkezinden çıkamaz. FSEK m.68 uyarınca bedel talebi, FSEK m.70 uyarınca tazminat, TBK m.112 uyarınca gereği gibi ifa edilmeyen borçtan doğan zararlar ve TBK m.116 uyarınca yardımcı kişilerin fiillerinden sorumluluk, şirketi dış dünyaya karşı muhatap hâline getirebilir. Yani “BT’deki arkadaş yükledi” savunması, ceza dosyasında fail tayininde önem taşısa da, hak sahibi veya müşteri karşısında şirketi her zaman korumaz. Bu nedenle sahte lisans anahtarı dosyalarında şirketin dış sorumluluğu ile gerçek kişilerin ceza sorumluluğu ayrı ayrı düşünülmelidir.

Şirket içi düzlemde yöneticilerin sorumluluğu da ayrıca önemlidir. TTK m.369, yönetim kurulu üyeleri ve yönetimle görevli üçüncü kişilerin görevlerini tedbirli bir yöneticinin özeniyle yerine getirmesini ve şirket menfaatlerini dürüstlük kurallarına uygun gözetmesini düzenler. TTK m.553 ise kanundan ve esas sözleşmeden doğan yükümlülükleri kusurla ihlal eden yöneticilerin, kusursuz olduklarını ispatlamadıkça şirkete, pay sahiplerine ve alacaklılara karşı sorumlu olabileceğini belirtir. Eğer sahte lisans anahtarı kullanımı şirket politikası hâline gelmiş, açık uyarılara rağmen sürdürülmüş veya lisans yönetimi bilerek denetimsiz bırakılmışsa, iç sorumluluk tartışması yönetim düzeyine kadar çıkabilir.

Sözleşmesel ve ticari sonuçlar

Sahte lisans anahtarı kullanımı, yalnızca hak sahibiyle yaşanan bir telif sorunu değildir. Eğer şirket müşteriye hizmet sunarken, proje üretirken, tasarım teslim ederken, ERP danışmanlığı verirken veya teknik destek sağlarken bu tür bir yazılım kullanmışsa, müşteri karşısında da borcun gereği gibi ifa edilmediği ileri sürülebilir. TBK m.112, borç hiç veya gereği gibi ifa edilmezse borçlunun, kusursuzluğunu ispat edemediği sürece zararı gidermekle yükümlü olduğunu söyler. Bu nedenle “iş teslim edildi” savunması, hizmetin lisanssız altyapı üzerinde üretilmiş olması hâlinde tek başına yeterli olmaz.

Özellikle dış kaynak ekip veya freelance çalışan kullanılıyorsa TBK m.116 ayrıca önem kazanır. Borçlu, borcun ifasını yardımcı kişilere bırakmış olsa bile onların işi yürüttükleri sırada diğer tarafa verdikleri zarardan sorumludur. Bu yüzden ajans, dış yazılımcı veya taşeron ekip sahte lisans anahtarı kullanmışsa; müşteri nezdinde asıl sözleşme tarafı olan şirketin sorumluluğu devam edebilir. Şirketin sonradan ajansa veya çalışana dönmesi ise ayrı bir rücu meselesidir.

Dijital inceleme, arama ve elkoyma riski

Sahte lisans anahtarı dosyalarında ceza soruşturması açılırsa, dijital delil rejimi büyük önem kazanır. CMK m.134’e göre bir suç dolayısıyla yapılan soruşturmada, somut delillere dayanan kuvvetli şüphe sebepleri varsa ve başka surette delil elde etme imkânı bulunmuyorsa, hâkim veya gecikmesinde sakınca bulunan hâllerde savcı; şüphelinin kullandığı bilgisayar ve bilgisayar programlarında arama, kayıtların kopyalanması ve çözümü hakkında karar verebilir. Şifre çözülemiyorsa veya gizli bilgilere ulaşılamıyorsa cihazlara elkoyulabilir; gerekli kopyalar alındıktan sonra cihazlar gecikmeksizin iade edilir ve sistemdeki verilerin yedeklenmesi gerekir.

Bu, pratikte şu anlama gelir: Şirket bilgisayarlarında sahte lisans anahtarıyla aktive edilmiş yazılımlar bulunduğu iddiası, yalnızca e-posta uyarısı veya ihtarnameyle sınırlı kalmayabilir. Savcılık sürecinde sunucular, istemciler, aktivasyon logları, e-posta zincirleri, crack araçları ve lisans kayıtları adli bilişim incelemesine konu olabilir. Bu nedenle en büyük hata, şikâyet ihtimali ortaya çıktığında log silmek, cihazları formatlamak veya sahte anahtarı gizlice kaldırarak izleri yok etmeye çalışmaktır. Çünkü CMK 134’ün mantığı, verinin bütünlüğünü koruyarak inceleme yapmaktır; delil karartma şüphesi savunmayı daha da zayıflatabilir.

KVKK ve veri güvenliği riski

Sahte lisans anahtarı çoğu zaman sadece telif ihlali yaratmaz; veri güvenliği açısından da ek risk doğurur. Lisanssız veya sahte anahtarla çalışan yazılımlar, güncelleme ve destek zinciri dışında kalabilir, zararlı kod içerebilir veya yetkisiz erişim kapıları açabilir. KVKK m.10 veri sorumlusuna aydınlatma yükümlülüğü getirirken, m.12 kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri alma zorunluluğu yükler. Bu yüzden şirket sahte anahtarlı yazılımla müşteri, çalışan veya tedarikçi verisi işliyorsa, telif riskine ek olarak KVKK bakımından da savunmasız bir pozisyona düşebilir.

Burada önemli nokta şudur: KVKK, “sahte lisans anahtarı kullanmak” fiilini doğrudan ayrı bir ihlal türü olarak düzenlemez. Ancak sahte anahtarlı yazılımın veri güvenliği zaafı yaratması, yetkisiz erişime yol açması veya veri işleme sürecini hukuka aykırı hâle getirmesi durumunda veri sorumlusu olan şirket ayrıca sorumlu tutulabilir. Özellikle dış kaynak ekiplerin veya BT biriminin bu tür yazılımları veri işlenen sistemlerde kullanması, şirket açısından hem telif hem veri koruma hukukunu aynı dosyada gündeme getirebilir.

Şirketler ne yapmalı?

İlk yapılması gereken, lisans yönetimini “BT’nin bildiği bir ayrıntı” olmaktan çıkarmaktır. Şirketin yazılım envanteri, lisans belgeleri, kullanıcı sayıları, kurulum yetkileri, deneme sürümleri, eğitim lisansları ve abonelik kayıtları merkezi olarak tutulmalıdır. Üst yönetim, TTK’daki özen yükümlülüğü gereği bu alanı rastgele değil, denetlenebilir prosedürle yönetmelidir. Sahte anahtar kullanımının en önemli nedeni çoğu zaman sadece kötü niyet değil, zayıf iç kontrol ve belgesiz IT kültürüdür.

İkinci olarak, şüphe doğduğunda derhal iç inceleme yapılmalıdır. Hangi cihazlarda hangi yazılım aktif, hangi anahtar kullanılmış, lisans faturası var mı, kullanıcı sayısı ne, crack veya keygen aracı sisteme girmiş mi, bunlar delil bütünlüğü korunarak tespit edilmelidir. Amaç sorunu gizlemek değil, hukuki riskin kapsamını doğru belirlemektir. Şirket bu incelemeyi yaparken çalışanların ve müşterilerin kişisel verilerine gereksiz ve ölçüsüz müdahaleden de kaçınmalıdır; çünkü KVKK boyutu ayrıca korunmalıdır.

Üçüncü olarak, sahte anahtar kullanımı tespit edilmişse kullanım sürdürülmemelidir. Bilinen ihlalin devam ettirilmesi, hem FSEK bakımından zararı büyütür hem de kusur tartışmasını ağırlaştırır. Gerekirse lisanslı sürüme geçiş planı yapılmalı, üretim ortamındaki uygunsuz sürümler izole edilmeli ve teknik geçiş hukukî danışmanlıkla birlikte yürütülmelidir. Çünkü bu dosyalarda en büyük zarar çoğu zaman ilk sahte anahtardan değil, tespit sonrası “şimdilik böyle devam edelim” yaklaşımından doğar.

Sonuç

Sahte lisans anahtarı kullanmanın Türk hukukundaki sonuçları, sanıldığından çok daha ağır ve çok katmanlıdır. Bilgisayar programları eser olarak korunduğu için, sahte anahtarla aktivasyon çoğu durumda FSEK bakımından hak ihlali tartışması doğurur. Hak sahibi, FSEK m.68 uyarınca lisans bedelinin veya rayiç bedelin en çok üç katını isteyebilir; kusur varsa tazminat ve elde edilen kârın devri de gündeme gelebilir. Fiil ticari kullanım ve depolama boyutuna ulaşıyorsa, FSEK m.71; koruyucu önlemleri aşan yazılım veya donanımlar varsa m.72 devreye girebilir. Şikâyet üzerine CMK m.134 kapsamında dijital arama, kopyalama ve elkoyma süreçleri de başlatılabilir.

Kurumsal şirketler açısından risk yalnızca ceza tehdidi değildir. Sözleşmesel sorumluluk, müşteri tazminatları, dış kaynak ekiplerden kaynaklanan yardımcı kişi sorumluluğu, yönetici özeni ve veri güvenliği yükümlülükleri de dosyanın parçası olabilir. Bu nedenle sahte lisans anahtarı kullanımı, kısa vadeli maliyet tasarrufu gibi görünse de, orta ve uzun vadede çok daha pahalı bir hukukî krize dönüşebilir. En güvenli yol, yazılım lisans yönetimini belgesiz bir BT pratiği olarak değil, hukuk, uyum ve yönetişim meselesi olarak ele almaktır.