Kişisel Verilerin Kaydedilmesi ve Yayılması Suçu (TCK 135-136): Unsurlar, Ceza ve Soruşturma

Bir site yönetim kurulu üyesi, aidat borcu olan dairelerin listesini sakinlerin bulunduğu mesajlaşma grubuna atar; listede ad soyadın yanında telefon numaraları ve borç tutarları da vardır. Bir şirketten ayrılan satış temsilcisi, müşteri kartlarını son iş gününde kişisel e-posta adresine gönderir. Bir başkası, açtığı davanın duruşma tutanağını karşı tarafın kimlik numarası ve adresi görünür biçimde sosyal medyada paylaşır. Üç olayın ortak sorusu aynıdır: bir bilgiyi kaydetmek, başkasına iletmek ya da yaymak hangi noktada suç olur?

Türk Ceza Kanunu bu soruyu "Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar" bölümünde, m. 135 ile m. 140 arasında yanıtlar. Kişisel verilerin hukuka aykırı kaydedilmesi (TCK m. 135), verileri hukuka aykırı olarak verme, yayma veya ele geçirme (TCK m. 136), nitelikli hâller (m. 137), verileri yok etmeme (m. 138), şikâyet (m. 139) ve tüzel kişilere güvenlik tedbiri (m. 140) aynı çerçevenin parçalarıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu ise idari yaptırımları düzenler ve suçlar bakımından açıkça bu maddelere gönderme yapar. İki yolun ayrı işlediğini bilmek, mağdur için de şüpheli için de dosyanın ilk gününde atılacak adımı belirler.

Kişisel veri, kimliği belirli ya da belirlenebilir bir kişiye ilişkin her bilgidir

6698 sayılı Kanun m. 3/1-d kişisel veriyi "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlar. Ad soyad, T.C. kimlik numarası, telefon numarası, adres, e-posta adresi, banka hesap numarası, maaş bordrosu, plaka, fotoğraf, ses kaydı ve konum bilgisi bu tanımın içindedir. Tanımın ağırlık noktası "belirlenebilir" sözcüğüdür: tek başına bir kişiyi göstermeyen bir bilgi, başka bilgilerle birleştirildiğinde kişiyi işaret ediyorsa kişisel veri sayılır.

Ayrı bir tanım Ceza Kanunu'nda yer almaz; m. 135 ile m. 136 "kişisel veri" kavramını kullanır ve uygulama bu kavramı 6698 sayılı Kanun'daki tanım ışığında okur. Aynı bağı 6698 sayılı Kanun m. 17/1 de kurar: kişisel verilere ilişkin suçlar bakımından TCK'nın 135 ila 140. madde hükümleri uygulanır. Bu iki kanunun ilişkisi bir hiyerarşi değil, iş bölümüdür. Veri sorumlularının yükümlülüklerini ve idari yaptırımları 6698 sayılı Kanun düzenler; Ceza Kanunu ise hukuka aykırı kaydetme, verme, yayma ve ele geçirme fiillerini cezalandırır.

Bir bilginin kişisel veri olup olmadığı, somut paylaşımda kişinin tanınabilir olup olmadığına göre belirlenir. Haber yapmak amacıyla maaş bordrolarının fotoğrafını sosyal medya hesabından yayımlayan sanık, çalışanların adlarını ve sicil numaralarını kapatmış, banka hesap numaralarını ise açık bırakmıştı; dosya Yargıtay 12. Ceza Dairesinin önüne geldi. Bölge adliye mahkemesi (BAM) bordroların belirli bir kişiye atfedilemeyeceğini kabul ederek beraat kararı vermişti. Daire (E. 2022/9950, K. 2025/3786, 14 Nisan 2025) banka hesap numaralarının kişisel veri niteliğinde olduğunu, bunların gizlenmeden paylaşılmasıyla suçun sübut bulduğunu belirterek kararı bozmuştur. Bozma üzerine kurulan mahkûmiyet hükmü de aynı Daire tarafından onanmıştır (E. 2025/8699, K. 2026/3417, 7 Nisan 2026).

TCK m. 135: kişisel veriyi hukuka aykırı olarak kaydetmek bir yıldan üç yıla kadar hapis cezası gerektirir

Hukuka aykırı olarak kişisel verileri kaydeden kimseye TCK m. 135/1 uyarınca bir yıldan üç yıla kadar hapis cezası verilir. Alt sınır 2014'te 6526 sayılı Kanun'la altı aydan bir yıla çıkarılmıştır. Suçun hareketi "kaydetme"dir: verinin bir deftere, bilgisayara, telefona, bulut hesabına ya da bir listeye geçirilerek kalıcı hâle getirilmesi. Verinin sonradan kullanılması ya da başkasına verilmesi gerekmez; kaydın kendisi suçu tamamlar.

Suçun ağırlık merkezi "hukuka aykırı olarak" unsurudur. Her kayıt suç değildir; bir işverenin bordro için çalışanın kimlik bilgilerini tutması, bir doktorun hasta dosyası düzenlemesi ya da bir şirketin sözleşme için müşterinin adresini kaydetmesi hukuka uygun bir işlemdir. Açık rıza aranmaksızın veri işlemeye imkân veren hâller 6698 sayılı Kanun m. 5/2'de sayılır: kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak kişinin hayatı veya beden bütünlüğünün korunması için zorunluluk, bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin veriyi kendisinin alenileştirmesi, bir hakkın tesisi, kullanılması veya korunması için zorunluluk ve veri sorumlusunun meşru menfaati. Bu şartlardan birine dayanan kayıt, ceza hukuku bakımından da hukuka aykırılık tartışmasını büyük ölçüde sona erdirir.

Kaydın hukuka aykırı sayıldığı tipik görünümler, kişinin bilgisi dışında sistematik bir liste oluşturulmasıdır: komşuların araç plakalarını ve giriş çıkış saatlerini not eden, eski eşinin yeni iş yerine ilişkin bilgileri bir dosyada toplayan ya da bir kurumun sistemine erişim yetkisini kullanarak kendi işi dışında kalan kişilerin kayıtlarını indiren kişi bu çerçevede değerlendirilir. Kaydın amacı ve kapsamı, dosyada bu nedenle ayrıca tartışılır.

Özel nitelikli veri cezayı yarı oranında artırır

Verinin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması hâlinde, TCK m. 135/2 uyarınca birinci fıkradaki ceza yarı oranında artırılır. Bu fıkranın bugünkü yapısı 6698 sayılı Kanun'un 30. maddesiyle kurulmuştur. Bu liste, 6698 sayılı Kanun m. 6/1'deki özel nitelikli veri listesiyle birebir aynı değildir: m. 6/1 ayrıca kılık ve kıyafet, dernek veya vakıf üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri sayar. Artırım bakımından m. 135/2'nin kendi sayımı esas alınır; kanunilik ilkesi gereği bu liste kıyasla genişletilmez.

TCK m. 136: başkasına vermek, yaymak ya da ele geçirmek iki yıldan dört yıla kadar hapis cezası gerektirir

Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, TCK m. 136/1 uyarınca iki yıldan dört yıla kadar hapis cezasıyla cezalandırılır. Madde üç ayrı hareketi aynı yaptırıma bağlar. "Verme", verinin belirli bir kişiye ya da sınırlı bir gruba iletilmesidir; müşteri listesinin rakip firmaya gönderilmesi bunun örneğidir. "Yayma", verinin belirsiz sayıda kişinin ulaşabileceği bir ortama konulmasıdır; sosyal medya paylaşımı, herkese açık bir forum ya da kalabalık bir mesajlaşma grubu bu niteliktedir. "Ele geçirme" ise verinin hukuka aykırı yolla elde edilmesidir; başkasının telefonundan rehberin kopyalanması ya da yetkisiz erişimle bir veri tabanından kayıt indirilmesi bu harekete girer.

Sosyal medya paylaşımları, uygulamada m. 136'nın en sık gündeme geldiği alandır. Bir dosyada sanığın katılanın fotoğrafını onun bilgisi dışında Instagram hesabında paylaştığı ve fotoğrafın üzerine katılanı hedef alan küfürlü ifadeler yazdığı olayda BAM, ilk derece mahkemesinin beraat kararını kaldırmış ve eylemin "kül halinde" verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçunu oluşturduğunu kabul etmiştir. Sanık fotoğrafın katılanın rızasıyla birlikte çekildiğini savunmuş, Yargıtay 12. Ceza Dairesi mahkûmiyeti onamıştır (E. 2022/5866, K. 2025/1103, 4 Şubat 2025). Bu karar, fotoğrafın çekilmesine verilen rızanın onun yayılmasına verilmiş rıza anlamına gelmediğini gösterir.

Mahkeme belgeleri de aynı korumanın içindedir. Kanun yararına bozma yoluyla Yargıtay'a gelen bir dosyada sanık başka bir davanın duruşma tutanağını Facebook hesabından yayımlamış; tutanakta katılanın T.C. kimlik numarası, anne ve baba adı, doğum yeri ve tarihi, adresi, medeni durumu, mesleği, aylık kazancı ve telefon numarası yer almıştı. TCK m. 136/1'den verilen mahkûmiyet istinaf incelemesinden geçerek kesinleşmişti. Hükümlü, bilgilerin silik hâliyle paylaşılmak istendiğini ve aynı bilgilerin yıllar önce bir dergide yayımlandığını ileri sürerek yargılamanın yenilenmesini istemiş, mahkeme bu talebi reddetmiş, itiraz da reddedilmişti. Adalet Bakanlığı itirazın reddine ilişkin bu kararın kanun yararına bozulmasını istemiştir. Yargıtay 12. Ceza Dairesi, ileri sürülen hususların yargılamanın yenilenmesini haklı kılacak yeni delil niteliği taşımadığını belirterek kanun yararına bozma istemini reddetmiştir (E. 2023/4673, K. 2025/1733, 18 Şubat 2025).

Kişisel ve aile içi kullanım istisnası paylaşımla sona erer

Kişisel verilerin üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi, 6698 sayılı Kanun m. 28/1-a uyarınca Kanun'un uygulama alanı dışındadır. Telefon rehberine bir tanıdığın numarasını kaydetmek ya da aile fotoğraflarını kişisel bir arşivde saklamak bu nedenle veri sorumluluğu yükümlülükleri doğurmaz. İstisnanın sınırı lafzın içindedir: veriler üçüncü kişilere verildiği anda kişisel kullanım alanı sona erer.

Bu ayrım ceza dosyalarında sıkça önem kazanır. Rehberdeki bir numarayı ya da telefondaki bir fotoğrafı bir yıl boyunca saklayan kişi ile aynı numarayı yüzlerce kişilik bir gruba gönderen kişi aynı konumda değildir; ilkinde tartışma çoğu zaman kaydın hukuka aykırı olup olmadığıyla sınırlı kalırken, ikincisinde TCK m. 136'daki "verme" ya da "yayma" hareketi gündeme gelir. Bir ilişki ya da evlilik sona erdiğinde eski partnerin telefonunda kalan bilgilerin ve görüntülerin başkalarına iletilmesi, uygulamada bu sınırın en sık aşıldığı olaylardır. Ele geçirme hareketi ise verinin nasıl elde edildiğine bakar: başkasının telefonunun kilidini açarak rehberini kopyalamak, ortak kullanılan bir bilgisayarda açık kalan e-posta hesabından belge indirmek ya da bir şirketin sistemine yetkisi dışında girerek kayıt almak, sonraki bir paylaşım olmasa da m. 136 kapsamında değerlendirilebilir. Sistem erişimi söz konusuysa bilişim sistemine girme suçu (TCK m. 243) da ayrıca incelenir.

Kayda alınan mağdur beyanlarının yayılması cezayı iki katına çıkarır

7188 sayılı Kanun'la 2019'da eklenen TCK m. 136/2, suçun konusunun CMK m. 236'nın beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması hâlinde cezanın bir kat artırılacağını düzenler. Bu fıkralar, çocukların cinsel istismarı suçunun (TCK m. 103/2) mağduru olan çocukların ve nitelikli cinsel saldırı suçunun (TCK m. 102/2) mağdurlarının soruşturma evresinde uzmanlar aracılığıyla alınan beyan ve görüntülerinin kayda alınmasını düzenler; CMK m. 236/7 bu kayıtların dava dosyasında saklanacağını ve kimseye verilmeyeceğini öngörür. Hüküm, yargılama dosyasına giren bu kayıtların dosya dışına çıkarılmasını ağır bir ihlal olarak görür ve cezayı dört yıldan sekiz yıla kadar hapis aralığına taşır.

Özel hayata ilişkin görüntü ve seslerde TCK m. 134 öne geçer

Özel hayatın gizliliğini ihlal suçu (TCK m. 134) ile kişisel veri suçları aynı bölümde yer alır ve olaylar sıklıkla ikisine birden dokunur. Bir fotoğraf ya da ses kaydı hem kişisel veridir hem de kişinin özel hayatına ilişkin olabilir. İki suç arasındaki sınır tartışmalıdır; m. 135/2 cinsel yaşama ve sağlık durumuna ilişkin verileri kendisi saymaktadır. Uygulamada ağırlık kazanan yaklaşım, kayıt ya da paylaşımın kişinin mahrem alanını, aile içi yaşamını ya da cinsel hayatını görüntü ve sesle açığa çıkardığı olaylarda m. 134'ü öne çıkarmaktır. Kimlik, iletişim, mali ve mesleki bilgiler gibi kişinin tanınmasına ve izlenmesine yarayan verilerde ise m. 135 ve m. 136 uygulanır.

Bir başka dosyada sanığın katılanla cinsel ilişkisini onun bilgisi ve rızası dışında kaydettiği ve görüntüleri başka bir kişiye göndererek şantaj yaptığı olayda ilk derece mahkemesi şantajın yanında m. 135/1 ve m. 136/1'den mahkûmiyet kurmuştu. BAM eylemi şantaj, özel hayatın gizliliğini görüntülerin kaydedilmesi suretiyle ihlal (m. 134/1) ve ifşa suretiyle ihlal (m. 134/2) olarak nitelendirmiş; Yargıtay 12. Ceza Dairesi, eyleme uyan suç vasfının doğru belirlendiğini kabul ederek hükmü onamıştır (E. 2022/5696, K. 2025/995, 3 Şubat 2025). Mahrem görüntü içeren dosyaların ayrıntısı özel hayatın gizliliğini ihlal suçunu anlatan yazıda ele alınmıştır.

Niteleme farkı yalnız ceza aralığını değiştirmez, usulü de değiştirir. Şikâyet kuralını koyan m. 139'a göre özel hayatın gizliliğini ihlal suçunun soruşturulması şikâyete bağlıdır; kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları ise bu şartın dışında tutulmuştur. Bir dosyanın m. 134'ten mi m. 136'dan mı yürüyeceği, şikâyet süresinin kaçırıldığı bir olayda davanın açılıp açılamayacağını belirleyebilir. Görüntüler tehdit aracı olarak kullanılmışsa ayrıca şantaj suçu (TCK m. 107) gündeme gelir.

Kamu görevlisi ya da meslek kolaylığıyla işlenen suçta ceza yarı oranında artar

Kanun, m. 135 ve m. 136'da tanımlanan suçların kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılarak ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde cezanın yarı oranında artırılacağını TCK m. 137'de öngörür. Nüfus, tapu, vergi ya da sağlık kayıtlarına erişim yetkisi olan bir görevlinin bu yetkiyi bir tanıdığının adresini öğrenmek için kullanması birinci bende, bir banka çalışanının ya da operatör bayisinin müşteri bilgilerini üçüncü kişiye aktarması ikinci bende örnek oluşturur.

Meslek ve sanat kolaylığı, failin o veriye mesleği sayesinde ulaşmış olmasını gerektirir. Bir muhasebecinin müşteri şirketin çalışan listesini rakibe vermesi ile aynı listeyi tesadüfen bulan bir kişinin bunu yayması arasındaki fark, ceza aralığına doğrudan yansır. Temel hâlde iki yıldan dört yıla kadar olan m. 136 cezası, m. 137 uygulandığında üç yıldan altı yıla kadar hapis aralığına çıkar. Bu artırım, dava zamanaşımı süresini ve kamu davasının açılmasının ertelenmesi imkânını da etkiler.

Süresi dolan veriyi yok etmemek de ayrı bir suçtur

Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanların bu görevi yerine getirmemesi, TCK m. 138/1 uyarınca bir yıldan iki yıla kadar hapis cezası gerektirir. 6526 sayılı Kanun'la eklenen ikinci fıkra, suçun konusunun CMK hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde cezayı bir kat artırır. İletişimin denetlenmesi tedbiriyle elde edilip soruşturmayla ilgisi olmayan kayıtlar bu fıkranın tipik konusudur.

Veri sorumluları bakımından bu suçu 6698 sayılı Kanun m. 17/2 genişletir; aynı Kanun'un 7. maddesine aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler de m. 138'e göre cezalandırılır. 6698 sayılı Kanun m. 7, kanuna uygun işlenmiş olsa bile işlenmesini gerektiren sebepler ortadan kalkan verilerin re'sen ya da ilgili kişinin talebiyle silinmesini, yok edilmesini veya anonim hâle getirilmesini düzenler. İşten ayrılan çalışanların, sona eren sözleşmelerin ya da reddedilen başvuruların verilerini süresiz tutan işletmeler için bu hüküm idari yaptırımın ötesinde bir ceza sorumluluğu riski doğurur.

Tüzel kişi cezalandırılmaz, güvenlik tedbirine hükmolunur

Türk ceza hukukunda tüzel kişilere ceza yaptırımı uygulanmaz. TCK m. 140, bu bölümdeki suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunacağını düzenler; bu tedbirler TCK m. 60'ta izin iptali ve müsadereden ibarettir. Ceza sorumluluğu, fiili gerçekleştiren ya da talimatını veren gerçek kişiye aittir. Veri ihlalinin yaşandığı bir şirkette soruşturma bu nedenle "şirket" adına değil, veriyi kaydeden, aktaran ya da yok etmeyen yöneticiler ve çalışanlar hakkında yürütülür.

Kişisel veri suçları re'sen soruşturulur ve uzlaştırma kapsamında değildir

Kanunun 139. maddesi uyarınca m. 135, m. 136 ve m. 138'deki suçların soruşturulması ve kovuşturulması şikâyete bağlı değildir. Mağdurun başvurusu bir ihbar niteliğindedir; Cumhuriyet savcılığı suçu herhangi bir yolla öğrendiğinde soruşturma başlatır. TCK m. 73'teki altı aylık şikâyet süresi bu suçlarda uygulanmaz, mağdurun sonradan şikâyetinden vazgeçmesi de davayı düşürmez. Mağdurun barışma ya da vazgeçme beyanı, ancak cezanın bireyselleştirilmesinde ve tazminat görüşmelerinde bir olgu olarak dosyaya girer.

Uzlaştırma da bu suçlarda kural olarak uygulanmaz. CMK m. 253/1, uzlaştırmayı şikâyete bağlı suçlarla ve TCK'dan sayılan belirli suçlarla sınırlar; kişisel verilerin kaydedilmesi ve verileri hukuka aykırı olarak verme veya ele geçirme bu listede yer almaz. Ayrık bir hüküm çocuklar içindir. CMK m. 253/1-c, mağdurun gerçek veya özel hukuk tüzel kişisi olması koşuluyla, adli süreçteki çocuklar bakımından üst sınırı üç yılı geçmeyen suçlarda da uzlaştırmaya imkân verir. Seri muhakeme usulünün uygulandığı suçları sayan CMK m. 250 de bu suçları kapsamaz.

Temel hâlde zamanaşımı sekiz yıldır, erteleme yalnız hafif hâllerde tartışılır

Temel hâlleriyle m. 135 ve m. 136'nın üst sınırı beş yılı aşmadığından dava zamanaşımı TCK m. 66/1-e uyarınca sekiz yıldır. Aynı maddenin üçüncü fıkrası, sürenin belirlenmesinde dosyadaki delillere göre suçun nitelikli hâllerinin de göz önünde bulundurulmasını emreder; m. 137'nin uygulanması ya da m. 136/2'deki artırım üst sınırı beş yılın üstüne taşıdığında süre on beş yıla çıkar. Bu suçlarda görevli mahkeme asliye ceza mahkemesidir.

CMK m. 171/2, uzlaştırma ve önödeme kapsamındaki suçlar dışında, üst sınırı üç yıl veya daha az hapis cezası gerektiren suçlarda Cumhuriyet savcısına kamu davasının açılmasını beş yıl süreyle erteleme yetkisi verir. Bu imkân m. 135/1'in temel hâli ve m. 138/1 için tartışılabilir; üst sınırı dört yıl olan m. 136/1 ile artırımlı hâller bu kapsamın dışındadır. Erteleme kararı için CMK m. 171/3'teki şartların birlikte bulunması, bu arada mağdurun ya da kamunun uğradığı zararın tamamen giderilmesi gerekir. Kovuşturma aşamasında hükmün açıklanmasının geri bırakılması ve hapis cezasının ertelenmesi ise verilen cezanın miktarına göre ayrıca değerlendirilir.

Kurula şikâyet, idari para cezası ve ceza davası birbirinin yerine geçmez

Verisi hukuka aykırı işlenen kişinin önünde birbirinden bağımsız üç yol bulunur. Birincisi 6698 sayılı Kanun'un idari yoludur: ilgili kişi önce veri sorumlusuna başvurur (m. 13); veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvurunun reddedilmesi, cevabın yetersiz bulunması ya da süresinde cevap verilmemesi hâlinde, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu'na (Kurul) şikâyette bulunulabilir (m. 14/1). Başvuru yolu tüketilmeden Kurula şikâyet yoluna gidilemez (m. 14/2).

Kurul, ihlal tespit ederse hukuka aykırılığın giderilmesine karar verir ve 6698 sayılı Kanun m. 18'deki idari para cezalarını uygular: aydınlatma yükümlülüğüne, veri güvenliğine ilişkin yükümlülüklere, Kurul kararlarına ve sicile kayıt yükümlülüğüne aykırılık için ayrı ayrı alt ve üst sınırlar öngörülmüştür. Kanunda yazılı tutarlar her yıl yeniden değerleme oranında artırıldığından, güncel sınırlar o yılın tebliğinden okunmalıdır. 7499 sayılı Kanun'la 2024'te yapılan değişiklikle Kurulun verdiği idari para cezalarına karşı idare mahkemelerinde dava açılabilir (m. 18/3). İdari para cezası veri sorumlusuna verilir; bireysel failin ceza sorumluluğunu ortadan kaldırmaz.

İkinci yol ceza soruşturmasıdır ve Kurul süreciyle bağlantılı değildir. Kurula şikâyette bulunmak suç duyurusu yerine geçmez; Kurulun bir şikâyeti reddetmesi de savcılığın soruşturma yürütmesine engel olmaz. Üçüncü yol tazminattır: 6698 sayılı Kanun m. 14/3, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkını saklı tutar. Maddi ve manevi tazminat davası hukuk mahkemesinde açılır ve ceza davasının sonucunu beklemek zorunda değildir; ceza mahkemesinin maddi olguya ilişkin kesin tespiti ise hukuk hâkimi için güçlü bir delildir. Veri sorumlusunun yükümlülükleri ve uyum süreci bakımından KVKK uyumu ve veri sorumlusu yükümlülüklerini anlatan sayfa ayrıntı verir.

Hukuka uygunluk tartışması dosyanın yönünü belirler

Şüpheli ya da sanık açısından savunmanın merkezinde çoğu zaman "hukuka aykırılık" unsuru yer alır. Ceza Kanunu'nun 26. maddesinin birinci fıkrası uyarınca hakkını kullanan kimseye ceza verilmez. Bir alacaklının borçlunun adresini icra takibi için kaydetmesi, bir işçinin işverene karşı açacağı davada kullanmak üzere bordro ve puantaj kayıtlarını saklaması ya da bir tarafın karşı tarafa ait bilgileri mahkemeye delil olarak sunması bu çerçevede değerlendirilir. Bir hakkın tesisi, kullanılması veya korunması için zorunlu veri işleme de 6698 sayılı Kanun m. 5/2-e ile açık rıza şartından ayrık tutulmuştur.

Hakkın kullanılması, ölçülülükle sınırlıdır. Aynı bilgilerin mahkemeye sunulması ile sosyal medyada paylaşılması arasındaki fark, yukarıdaki duruşma tutanağı kararında açık biçimde görülür: tutanak bir yargılamanın parçasıdır, ama onu herkese açık bir hesapta yayımlamak bir hakkın kullanılması değildir. Uygulamada sık karşılaştığımız savunma, verinin "zaten herkesin bildiği" bir bilgi olduğudur. 6698 sayılı Kanun m. 5/2-d'deki alenileştirme şartı ilgili kişinin veriyi kendisinin kamuya açmasını arar; ayrıca alenileştirilmiş verinin işlenmesi, alenileştirme amacıyla sınırlı kalmalıdır. Bir kişinin ticari sicildeki şirket adresi ile ev adresi, telefon numarası ve aylık kazancının bir arada yayılması aynı şey değildir.

Kast tartışması ikinci savunma alanıdır. Suçlar kasten işlenebilir; taksirli hâlleri düzenlenmemiştir. Bir belgenin "yanlışlıkla" maskesiz paylaşıldığı iddiası, paylaşımın biçimi, süresi, kaldırılıp kaldırılmadığı ve paylaşan kişinin önceki davranışlarıyla birlikte değerlendirilir. Bu nedenle paylaşımın ne zaman ve hangi tepki üzerine kaldırıldığı, savunma bakımından en baştan belgelenmelidir.

Ekran görüntüsünden suç duyurusuna: ihlalin ilk günlerinde dosyaya girmesi gerekenler

Bu suçlarda delil hızla kaybolur. Paylaşım silinir, hesap kapatılır, mesajlaşma grubundaki ileti "herkesten silinir". Mağdur açısından ilk iş, ihlalin içeriği kadar bağlamını da tespit etmektir: paylaşımın tam adresi (URL), paylaşan hesabın adı ve profil bağlantısı, tarih ve saat, varsa paylaşımın gördüğü etkileşim ve yorumlar. Ekran görüntüsü tek başına itiraza açık bir delil olduğundan, önemli dosyalarda noter aracılığıyla ya da elektronik tespit hizmetleriyle içerik tespiti yaptırılması, sonradan ileri sürülecek "görüntü değiştirilmiş" savunmasını zayıflatır.

Suç duyurusu Cumhuriyet başsavcılığına yazılı olarak yapılır. Dilekçede verinin ne olduğu, nasıl elde edildiğine ilişkin bilinenler, kime ve hangi ortamda iletildiği ya da yayıldığı ve failin kimliğine ilişkin bilgiler somut olarak yazılmalıdır. Fail bilinmiyorsa, hesabın ve paylaşımın kaydına ilişkin bilgilerin ilgili platformlardan istenmesi savcılığın takdirindedir; bu talebin dilekçede gerekçesiyle yer alması soruşturmayı hızlandırır. Bilişim sistemlerine girme ya da sistemdeki verileri bozma gibi suçlarla birlikte işlenen olaylarda siber suçlar ve bilişim suçlarının genel çerçevesi de dosyaya girer.

Paylaşım aynı zamanda aşağılayıcı ifadeler içeriyorsa, kişisel veri suçunun yanında hakaret suçu da oluşabilir; Instagram kararında olduğu gibi fotoğrafın üzerine yazılan sözler ayrı bir değerlendirme gerektirir. Hakaret suçu kural olarak şikâyete bağlı olduğundan, bu suç bakımından altı aylık şikâyet süresi ayrıca izlenmelidir. Bu suçun unsurları ve şikâyet usulü hakaret suçu ve cezasını anlatan sayfada yer alır. Şirket içi veri sızıntılarında ise olayın tespit edildiği gün iç yazışmaların, erişim kayıtlarının ve cihazların korunması, delillerin karartılmasını önler.

Sık Sorulan Sorular

Birinin telefon numarasını bir mesajlaşma grubunda paylaşmak suç mudur?

Telefon numarası kişisel veridir ve hukuka aykırı olarak başkasına verilmesi ya da yayılması TCK m. 136/1 kapsamında değerlendirilir. Belirleyici olan, paylaşımın bir hukuki dayanağa sahip olup olmadığıdır; kişinin rızası, bir sözleşmenin ifası ya da bir hakkın kullanılması gibi bir gerekçe yoksa paylaşım suç tartışmasına açılır. Grubun büyüklüğü ve amacı, eylemin "verme" mi "yayma" mı sayılacağını ve cezanın bireyselleştirilmesini etkiler.

Şikâyetten vazgeçmek kişisel veri suçunda davayı düşürür mü?

TCK m. 135, m. 136 ve m. 138'deki suçlar şikâyete bağlı olmadığından şikâyetten vazgeçme kamu davasını düşürmez. Soruşturma re'sen yürür ve uzlaştırma kural olarak uygulanmaz. Mağdurun zararının giderilmiş olması ise cezanın belirlenmesinde ve m. 135/1'in temel hâlinde kamu davasının açılmasının ertelenmesi değerlendirmesinde dikkate alınır.

Kurul idari para cezası verdiyse ayrıca ceza davası açılabilir mi?

İdari para cezası ile ceza davası ayrı yaptırım sistemleridir ve biri diğerinin yerine geçmez. Kurulun cezası veri sorumlusu olan gerçek ya da tüzel kişiye verilir; ceza davası ise fiili işleyen gerçek kişi hakkında yürütülür. Aynı olay hem Kurul incelemesine hem savcılık soruşturmasına konu olabilir; tüzel kişi hakkında ayrıca TCK m. 140 uyarınca güvenlik tedbiri gündeme gelir.

Karşı tarafın bilgilerini davada delil olarak sunmak suç oluşturur mu?

Bir hakkın tesisi, kullanılması veya korunması için zorunlu veri işleme 6698 sayılı Kanun m. 5/2-e ile hukuka uygun sayılır ve TCK m. 26/1 hakkını kullanan kimseye ceza verilmeyeceğini öngörür. Delilin dava konusuyla ilgili ve ölçülü olması gerekir; uyuşmazlıkla ilgisi olmayan bilgilerin dosyaya konulması ya da aynı belgelerin mahkeme dışında yayılması bu korumanın dışına çıkar. Verinin nasıl elde edildiği de ayrıca sorgulanır; hukuka aykırı yolla ele geçirilmiş veri m. 136 kapsamında ayrı bir sorun doğurur.

Eski işyerinden müşteri listesini almak hangi suça girer?

Müşterilere ait ad, telefon ve adres bilgilerinin işverenin sisteminden yetkisiz olarak kopyalanması TCK m. 136/1'deki ele geçirme, bu listenin yeni işverene ya da rakibe iletilmesi ise verme hareketi olarak değerlendirilebilir. Fail bu verilere mesleğinin sağladığı kolaylıkla ulaşmışsa m. 137/1-b uyarınca artırım gündeme gelebilir; iş ilişkisi içinde veriye ulaşmanın meslek ve sanat kolaylığı sayılıp sayılmayacağı somut olayda tartışılır. Liste aynı zamanda ticari sır niteliği taşıyorsa, olay TCK m. 239 yönünden de ayrıca incelenir.

Dava zamanaşımı kişisel veri suçlarında ne kadardır?

TCK m. 135 ve m. 136'nın temel hâllerinde dava zamanaşımı TCK m. 66/1-e uyarınca sekiz yıldır. Nitelikli hâller ya da m. 136/2'deki artırım üst sınırı beş yılın üzerine çıkardığında, TCK m. 66/3 gereği bu hâller dikkate alınarak süre on beş yıl olarak belirlenir. Zamanaşımı suçun işlendiği günden itibaren işler ve kanundaki kesme sebepleriyle uzayabilir.

Bu yazı bilgilendirme amaçlıdır; her dosya kendi olgularıyla değerlendirilir.