Kişisel Verilerin Hukuka Aykırı Ele Geçirilmesi Suçu (TCK m.136): Unsurlar, Ceza, Nitelikli Hâller ve KVKK İlişkisi

Türk Ceza Kanunu’nun 136 ncı maddesi, kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişiyi iki yıldan dört yıla kadar hapis cezasıyla cezalandırır. Suç şikâyete bağlı değildir: savcılık fiili öğrendiği anda resen soruşturur, mağdurun şikâyetten vazgeçmesi kamu davasını düşürmez ve suç uzlaştırma kapsamında da yer almaz. Fiil, kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya bir meslek ya da sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılır (TCK m.137). Aynı olay çoğu zaman 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca idari para cezası ve genel hükümlere göre tazminat sorumluluğunu da doğurur.

Kanun Metni: TCK m.136 Ne Düzenliyor?

Suç, Türk Ceza Kanunu’nun “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı dokuzuncu bölümünde yer alır. Maddenin güncel metni şöyledir:

“(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
(2) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.”

Birinci fıkradaki ceza, 21/2/2014 tarihli ve 6526 sayılı Kanunla ağırlaştırılmış; alt sınır bir yıldan iki yıla çıkarılmıştır. İkinci fıkra ise 17/10/2019 tarihli ve 7188 sayılı Kanunla eklenmiştir. Bu fıkranın atıf yaptığı CMK m.236/5 ve 6, çocuğun nitelikli cinsel istismarı (TCK m.103/2) ile nitelikli cinsel saldırı (TCK m.102/2) mağdurlarının soruşturma evresinde uzmanlar aracılığıyla alınan ve kayda geçirilen beyan ve görüntülerini düzenler. Bu kayıtların dosyadan sızdırılması veya paylaşılması, temel cezanın bir kat artırılmasıyla karşılanır.

Suçun koruduğu değer, Anayasa’nın 20 nci maddesine 2010 yılında eklenen fıkrayla güvenceye alınan kişisel verilerin korunmasını isteme hakkıdır. Anayasa bu hakkın; kişinin kendisiyle ilgili veriler hakkında bilgilendirilme, bunlara erişme, düzeltilmesini veya silinmesini talep etme ve amacına uygun kullanılıp kullanılmadığını öğrenme yetkilerini kapsadığını ve kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceğini açıkça belirtir. TCK m.136 bu anayasal güvencenin ceza hukukundaki karşılığıdır.

Aynı bölümdeki komşu hüküm olan TCK m.135 verinin kaydedilmesini, m.136 ise verinin el değiştirmesini ve yayılmasını cezalandırır. Kaydetme suçunu ayrıntılı ele aldığımız TCK 135 rehberi ile bu sayfa birbirini tamamlar.

Kişisel Veri Nedir? Ceza Hukuku KVKK Tanımını Kullanır

Türk Ceza Kanunu “kişisel veri” kavramını kendisi tanımlamaz. KVKK m.17/1, kişisel verilere ilişkin suçlar bakımından TCK’nın 135 ila 140 ıncı madde hükümlerinin uygulanacağını belirtir; tanım için ise KVKK m.3/1-d esas alınır: kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Tanımdaki “belirlenebilir” kelimesi kapsamı çok genişletir. Tek başına bir kişiyi göstermeyen bilgi, başka verilerle birleştirildiğinde kişiyi ortaya çıkarıyorsa kişisel veri sayılır. Bir plaka, bir IP adresi, bir apartman ve daire numarası ya da “şu şirketteki muhasebe müdürü” gibi bir tarif bu niteliği taşıyabilir. Buna karşılık KVKK m.3/1-b’ye göre anonim hâle getirilmiş, yani başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmiş veri, kişisel veri değildir.

Tanım yalnızca gerçek kişileri korur. Bir şirketin ticari unvanı, vergi numarası veya ciro bilgisi kişisel veri değildir; bu tür bilgilerin sızdırılması ticari sır niteliğindeyse TCK m.239 gibi başka hükümlerle değerlendirilir. Ancak şirket çalışanlarının, müşterilerinin veya ortaklarının ad-soyad, telefon, maaş ve iletişim bilgileri kişisel veridir.

Suçun Üç Hareketi: Verme, Yayma, Ele Geçirme

TCK m.136 seçimlik hareketli bir suçtur. Kanun üç ayrı hareket sayar ve bunlardan birinin gerçekleşmesi suçun oluşması için yeterlidir. Aynı veri üzerinde failin önce ele geçirip sonra yayması, kural olarak tek bir suç oluşturur; hareketlerin sayısı, TCK m.61 uyarınca temel cezanın belirlenmesinde dikkate alınır.

Verme

Verme, kişisel verinin belirli bir kişiye veya belirli kişilere aktarılmasıdır. Aktarmanın bir karşılık karşılığında yapılması gerekmez; ücretsiz olarak yapılan aktarım da suçu oluşturur. Bir çalışanın şirketin müşteri listesini rakip firmaya iletmesi, bir kişinin eski eşinin yeni adresini üçüncü bir kişiye bildirmesi veya bir kurum personelinin eriştiği kayıtları tanıdığına göndermesi bu harekete örnektir.

Yayma

Yayma, verinin belirsiz sayıda kişinin ulaşabileceği hâle getirilmesidir. Sosyal medyada paylaşım, kalabalık mesajlaşma gruplarına gönderim, forum veya internet sitesinde yayımlama bu kapsamdadır. Suç, verinin erişilebilir hâle geldiği anda tamamlanır. İçeriğin sonradan silinmesi suçu ortadan kaldırmaz; ancak zararın büyümesinin önlenmesi, cezanın belirlenmesinde ve hükmün açıklanmasının geri bırakılması koşullarının değerlendirilmesinde önem taşıyabilir.

Ele geçirme

Ele geçirme, failin hukuka aykırı olarak veri üzerinde hâkimiyet kurmasıdır. Başkasının telefonundaki fotoğrafları kendi cihazına göndermek, bilgisayardaki dosyaları kopyalamak, yetkisi olmadığı bir sistemde sorgu yapıp sonucu kaydetmek bu harekete örnektir. Verinin yalnızca görülmesi ile üzerinde hâkimiyet kurulması arasındaki fark, somut olayda tartışılan temel meselelerden biridir. Veriye ulaşmak için bir bilişim sistemine hukuka aykırı olarak girilmişse TCK m.243 ayrıca gündeme gelir. Telefon üzerinden erişim senaryolarını telefondaki fotoğraf ve videolara izinsiz erişim rehberinde ayrıntılı ele aldık.

Suç ancak kastla işlenebilir. TCK m.22/1 uyarınca taksirle işlenen fiiller yalnızca kanunun açıkça belirttiği hâllerde cezalandırılır; TCK m.136’nın taksirli hâli düzenlenmemiştir. Bu nedenle yanlışlıkla gönderilen bir e-postadaki veri ifşası kural olarak bu suçu oluşturmaz; ancak veri sorumlusu kurum bakımından KVKK m.12 kapsamında idari sorumluluk ve tazminat sorumluluğu doğabilir.

Aynı suç işleme kararının icrası kapsamında değişik zamanlarda aynı kişiye karşı suçun birden fazla işlenmesi hâlinde zincirleme suç hükmü uygulanır ve tek ceza dörtte birinden dörtte üçüne kadar artırılır (TCK m.43/1). Tek bir fiille birden fazla kişinin verilerinin yayılması durumunda da aynı hüküm uygulanır (TCK m.43/2). Binlerce müşterinin verisini içeren bir listenin tek seferde paylaşılması bu açıdan önemlidir.

“Hukuka Aykırı Olarak” Unsuru: Hangi Durumlarda Suç Oluşmaz?

Madde metnindeki “hukuka aykırı olarak” ifadesi, verinin aktarılmasının, yayılmasının veya elde edilmesinin hukuk düzenince izin verilmeyen bir biçimde yapılmasını arar. Bu değerlendirmede ceza hukukunun genel hukuka uygunluk sebepleri ile KVKK’nın işleme şartları birlikte dikkate alınır. KVKK m.5/1 kişisel verilerin kural olarak açık rıza olmaksızın işlenemeyeceğini belirtir; m.5/2 ise açık rıza aranmayan hâlleri sayar. İşleme şartlarının ayrıntısı için KVKK m.5 işleme şartları ve açık rıza rehberine bakabilirsiniz.

Bu dayanaklar dar yorumlanır. Özellikle “hakkın kullanılması” savunması, verinin paylaşılmasının o hakkın kullanılması için gerçekten zorunlu olup olmadığına ve paylaşımın ölçülü kalıp kalmadığına göre değerlendirilir. KVKK m.4/2’deki genel ilkeler, yani hukuka ve dürüstlük kurallarına uygunluk, belirli ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma, bu değerlendirmede ölçüt işlevi görür. Kişisel Verileri Koruma Kurulu’nun aynı olaya ilişkin kararı ceza dosyasında önemli bir veri olabilir; ancak ceza sorumluluğunun varlığı ceza mahkemesince bağımsız olarak belirlenir.

Ceza Miktarı ve Nitelikli Hâller

TCK m.137, bölümdeki suçlar için iki nitelikli hâl öngörür: suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılarak işlenmesi (m.137/1-a) ile belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi (m.137/1-b). Her iki hâlde de verilecek ceza yarı oranında artırılır. Hastane çalışanının hasta kayıtlarını paylaşması, banka veya operatör personelinin müşteri bilgilerini aktarması, yetkisi dışında nüfus veya adres sorgusu yapıp sonucu üçüncü kişiye veren bir kamu görevlisi bu hâllere tipik örnektir.

Birden fazla nitelikli hâlin bir arada bulunduğu dosyalarda artırımlar TCK m.61’deki sıraya göre uygulanır; hâkim önce suçun işleniş biçimi, suçun konusunun önem ve değeri, meydana gelen zararın ağırlığı ve failin kusurunun ağırlığı gibi ölçütlere bakarak alt ve üst sınır arasında temel cezayı belirler. Yayılan verinin hassasiyeti, ulaştığı kişi sayısı ve mağdurda doğurduğu sonuçlar bu aşamada ağırlık kazanır.

Tüzel kişiler bakımından TCK m.20/2 açıktır: tüzel kişiler hakkında ceza yaptırımı uygulanamaz. TCK m.140 ise bu bölümdeki suçlar nedeniyle tüzel kişiler hakkında onlara özgü güvenlik tedbirlerine hükmolunacağını belirtir. TCK m.60’a göre izin iptali, bir kamu kurumunun verdiği izne dayalı olarak faaliyette bulunan özel hukuk tüzel kişisinin organ veya temsilcilerinin iştirakiyle, iznin verdiği yetkinin kötüye kullanılması suretiyle ve tüzel kişi yararına işlenen kasıtlı suçlarda söz konusu olur; hâkim, tedbirin fiile göre daha ağır sonuç doğuracağı hâllerde bu tedbire hükmetmeyebilir.

Komşu Suçlardan Farkı: Hangi Madde Uygulanır?

Kişisel veriye ilişkin olaylar çoğu zaman birden fazla suç tipine temas eder. Özel hayata ilişkin bir görüntünün paylaşılması hem TCK m.134 hem m.136 bakımından; başkasının mesajlarının okunması hem TCK m.132 hem m.136 bakımından; hesap şifresinin kırılarak verilerin alınması ise TCK m.243, m.244 ve m.136 bakımından değerlendirilir. Aşağıdaki tablodaki cezalar Kanun metninden alınmıştır.

Tek bir fiil birden fazla farklı suçu oluşturuyorsa fail, TCK m.44 uyarınca bunlardan en ağır cezayı gerektiren suçtan cezalandırılır. Ayrı ayrı fiiller söz konusuysa, örneğin önce hesaba izinsiz girilip sonra ele geçirilen veriler günler sonra yayılmışsa, her fiil kendi suç tipine göre ayrıca değerlendirilir. Haberleşme içerikleri için TCK 132 rehberi, özel görüntü ve kayıtlar için özel hayatın gizliliği rehberi, sisteme giriş için bilişim suçları rehberi bu ayrımı ayrıntılı ele alır.

Şikâyet rejimindeki fark uygulamada kritiktir. TCK m.139, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları hariç, bölümdeki suçların soruşturulmasını ve kovuşturulmasını şikâyete bağlar. Dolayısıyla aynı olayda TCK m.134 için şikâyet süresi kaçırılmış olsa bile, TCK m.136 yönünden resen soruşturma yapılması gerekir.

Özel Nitelikli Veriler: TCK m.135/2 ile KVKK m.6 Aynı Listeyi Kullanmaz

Uygulamada sık yapılan bir hata, KVKK m.6’daki özel nitelikli veri listesinin ceza hukukuna birebir taşınmasıdır. TCK m.135/2, 6698 sayılı Kanunun 30 uncu maddesiyle yapılan değişiklikten sonra, kişisel verinin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda kaydetme suçunun cezasının yarı oranında artırılacağını düzenler. KVKK m.6/1 ise daha geniş bir liste içerir.

İki önemli sonuç vardır. Birincisi, TCK m.135/2’deki artırım yalnızca kaydetme suçuna ilişkindir; TCK m.136’da verinin hassasiyetine bağlı ayrı bir artırım hükmü yoktur. Sağlık verisinin yayılması bu nedenle doğrudan bir artırım gerektirmez, ancak hâkim temel cezayı belirlerken suçun konusunun önem ve değerini ve zararın ağırlığını dikkate alır. İkincisi, biyometrik veya genetik veri gibi TCK m.135/2’de sayılmayan kategoriler ceza bakımından yine kişisel veridir ve m.135/1 ile m.136 kapsamında korunur. Özel nitelikli verilerin KVKK’daki işlenme şartları 2/3/2024 tarihli ve 7499 sayılı Kanunla yeniden düzenlenmiştir; ayrıntısı için özel nitelikli kişisel veriler rehberine bakabilirsiniz.

KVKK ile İlişki: Aynı Olay, Üç Ayrı Sorumluluk

Bir veri sızıntısı veya izinsiz paylaşım olayında ceza sorumluluğu, idari sorumluluk ve tazminat sorumluluğu birbirinden bağımsız yürür. Fail kişi TCK m.136 uyarınca yargılanırken, veriyi koruyamayan kurum KVKK m.12 kapsamındaki veri güvenliği yükümlülüklerini ihlal etmişse KVKK m.18/1-b uyarınca idari para cezasıyla karşılaşabilir; zarar gören kişi ise her ikisine karşı tazminat isteyebilir.

KVKK m.12/4, veri sorumluları ile veri işleyen kişilerin öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını, bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceğini düzenler. İşten ayrılan çalışanın eski işyerinin müşteri verilerini kullanması bu nedenle hem KVKK hem ceza hukuku bakımından sonuç doğurur. KVKK m.12/5 ise işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurula bildirmesini ister. Kurul’un 24/01/2019 tarihli ve 2019/10 sayılı kararıyla bu süre Kurula bildirim bakımından en geç 72 saat olarak yorumlanmıştır. Bildirim sürecini veri ihlali bildirim rehberinde ayrıca inceledik.

KVKK m.17/2, Kanunun 7 nci maddesine aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenlerin TCK m.138’e göre cezalandırılacağını belirtir. Saklama süresi dolmuş verilerin tutulmaya devam edilmesi ve bu verilerin daha sonra sızması, kurum yöneticileri bakımından ayrı bir ceza riski doğurur.

KVKK m.18/1’deki idari para cezaları Kanun metninde taban ve tavan tutarlarla gösterilir; örneğin veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler için Kanun metnindeki aralık 15.000 Türk lirasından 1.000.000 Türk lirasına kadardır. Bu tutarlar her yıl yeniden değerleme oranında güncellenerek uygulanır. 7499 sayılı Kanunla eklenen KVKK m.18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Güncel tutarlar ve itiraz usulü için KVKK idari para cezaları rehberine bakabilirsiniz. Kurulun verdiği idari para cezası Hazineye gider; mağdura ödenmez. Mağdurun zararı ancak tazminat yoluyla karşılanır.

Usul: Soruşturma ve Kovuşturma Nasıl İlerler?

TCK m.139 gereği suç şikâyete bağlı değildir. Bu durumun dört doğrudan sonucu vardır: savcılık ihbar, basın haberi veya başka bir suretle öğrendiği anda soruşturma başlatır; şikâyet süresi aranmaz; şikâyetten vazgeçme kamu davasını düşürmez; suç, şikâyete bağlı suçlar için öngörülen uzlaştırma yoluna da girmez. CMK m.253/1-b’de şikâyete bağlı olup olmadığına bakılmaksızın uzlaştırmaya tabi tutulan suçlar tek tek sayılmıştır ve TCK m.135 ile m.136 bu listede yer almaz.

Dava zamanaşımı bakımından TCK m.66/3 önemli bir kural içerir: sürenin belirlenmesinde dosyadaki mevcut deliller itibarıyla suçun daha ağır cezayı gerektiren nitelikli hâlleri de göz önünde bulundurulur. Temel şekilde üst sınır dört yıl olduğundan süre sekiz yıldır (TCK m.66/1-e). Fiil TCK m.137 kapsamında işlenmişse üst sınır yarı oranında artarak altı yıla çıkar ve beş yıldan fazla hapis cezasını gerektiren suçlar için öngörülen on beş yıllık süre uygulanır (TCK m.66/1-d).

Soruşturma evresinde en belirleyici konu dijital delillerin hukuka uygun biçimde elde edilmesi ve bütünlüğünün korunmasıdır. İçeriğin bulunduğu adres (URL), paylaşım tarihi ve saati, paylaşan hesabın bilgileri, varsa yazışmaların tamamı ve bunların değiştirilmediğini gösteren teknik kayıtlar dosyanın temelini oluşturur. İmaj alma ve hash değeri gibi kavramları dijital delil ve delil zinciri rehberinde açıkladık.

Mağdur Ne Yapmalı? Adım Adım Yol Haritası

1. Delili sabitleyin. Paylaşımın adresini, tarih ve saatini, paylaşan hesabı ve içeriğin kendisini kayıt altına alın. Ekran görüntüsünün yanında URL’yi ayrıca not edin; mümkünse içerik silinmeden önce e-tespit veya noter tespiti yaptırın. Karşı tarafın hesabına girerek delil toplamaya çalışmak sizi TCK m.243 kapsamında şüpheli konumuna düşürebilir.
2. Yayılmayı durdurun. İçeriği önce içerik sağlayıcısına, sonuç alınamazsa yer sağlayıcısına bildirin; 5651 sayılı Kanun m.2/1-r bu yolu “uyarı yöntemi” olarak tanımlar. İçerik özel hayatınızın gizliliğini ihlal ediyorsa m.9/A kapsamında doğrudan Başkanlığa başvurabilirsiniz.
3. Suç duyurusunda bulunun. Başvuru Cumhuriyet başsavcılığına veya kolluğa yapılabilir (CMK m.158). Dilekçede fiilin hangi hareketle (verme, yayma, ele geçirme) işlendiğini ve varsa TCK m.134, m.132 veya m.243 yönünden de değerlendirme yapılmasını açıkça isteyin.
4. Kaynak bir kurumsa KVKK yolunu işletin. Verinin bir şirket veya kurumdan sızdığını düşünüyorsanız önce veri sorumlusuna KVKK m.11 ve m.13 kapsamında başvurun; cevap gelmez veya yetersiz kalırsa KVKK m.14 süreleri içinde Kurula şikâyet edin.
5. Tazminat ve kişilik hakkı taleplerini planlayın. TMK m.24–25 uyarınca saldırının durdurulmasını ve hukuka aykırılığın tespitini, TBK m.49 ve m.58 uyarınca maddi ve manevi tazminatı isteyebilirsiniz. TBK m.72’deki süreleri takvime işleyin.
6. Kovuşturmada katılan olun. Kamu davası açıldığında hüküm verilinceye kadar davaya katılabilirsiniz (CMK m.237). Katılan sıfatı, kararlara karşı kanun yoluna başvurma imkânı sağlar; ayrıntılar davaya katılma rehberinde yer alıyor.

Mağdur tarafın en sık yaşadığı sorun, olayın ilk saatlerinde yanlış sırayla hareket edilmesidir. İçerik silinmeden delil sabitlenmeli, delil sabitlendikten sonra erişim engelleme ve platform bildirimi yapılmalıdır. Uygulamaya dönük kısa rehber için verilerim izinsiz ele geçirildi, ne yapmalıyım sayfasına, özel görüntülerin paylaşıldığı durumlar için özel görüntülerim izinsiz paylaşıldı sayfasına bakabilirsiniz. Dosyanızı değerlendirmemiz için Hukukçular Evi Ankara’ya 0554 648 37 15 numaralı telefondan ulaşabilirsiniz; görüşmeye ekran görüntüleri, bağlantı adresleri ve varsa platformla yazışmalarınızla gelmeniz süreci hızlandırır.

Şüpheli veya Sanıksanız: Savunmanın Dayanabileceği Eksenler

TCK m.136 suçlaması ağır bir suçlamadır; alt sınırı iki yıl olduğundan kısa süreli hapis cezası kapsamında kalmaz. Bu nedenle savunmanın ilk günden sistemli kurulması gerekir. Dosyanın özelliğine göre öne çıkan eksenler şunlardır:

• Verinin kişisel veri niteliği: Paylaşılan bilgi gerçekten belirli veya belirlenebilir bir gerçek kişiye mi ilişkindir, yoksa tüzel kişiye ait ya da anonim bir bilgi midir (KVKK m.3/1-b ve d)?
• Hukuka aykırılık: İlgili kişinin rızası, kanunun hükmü, hakkın kullanılması veya alenileştirme gibi bir dayanak var mıdır ve paylaşım bu dayanağın sınırları içinde kalmış mıdır (TCK m.24, m.26; KVKK m.5)?
• Hareketin gerçekleşip gerçekleşmediği: Veri yalnızca görülmüş müdür, yoksa üzerinde hâkimiyet kurulmuş mudur? Veri başkasına verilmiş midir, yoksa failin kendi kullanımında mı kalmıştır?
• Kast: Suç kasten işlenebilir (TCK m.21); dikkatsizlik sonucu gerçekleşen bir ifşa bu suçu oluşturmaz.
• Delillerin hukuka uygunluğu: Kanuna aykırı olarak elde edilen delil reddolunur ve hükme esas alınamaz (CMK m.206/2-a, m.217/2).
• Nitelikli hâlin koşulları: TCK m.137 artırımı için fiilin görev yetkisinin kötüye kullanılmasıyla veya meslek kolaylığından yararlanılarak işlenmiş olması gerekir; failin yalnızca kamu görevlisi olması yetmez.

Sonuç ceza iki yıl veya daha az hapis olarak belirlenirse hâkim, koşulları varsa cezayı erteleyebilir (TCK m.51/1) ya da hükmün açıklanmasının geri bırakılmasına karar verebilir. Hükmün açıklanmasının geri bırakılması kurumu 16/7/2026 tarihli ve 7589 sayılı Kanunla yeniden düzenlenmiştir. Güncel CMK m.231 uyarınca bu karar için sanığın daha önce kasıtlı bir suçtan mahkûm olmamış olması, yeniden suç işlemeyeceği yönünde kanaate varılması ve suçun işlenmesiyle mağdurun veya kamunun uğradığı zararın aynen iade, eski hâle getirme veya tazmin suretiyle tamamen giderilmesi gerekir; zarar derhâl giderilemiyorsa denetim süresi içinde aylık taksitlerle giderilmesi koşuluyla da karar verilebilir. Denetim süresi beş yıldır ve karara karşı istinaf yoluna başvurulabilir. Veri ifşası dosyalarında zararın giderilmesi koşulu, uygulamada en çok tartışılan konudur ve savunma stratejisinin baştan buna göre kurulması gerekir.

Boşanma ve Aile Uyuşmazlıklarında Sık Görülen Durum

Uygulamada TCK m.136 dosyalarının önemli bir kısmı aile uyuşmazlıklarından doğar: eşin telefonundaki yazışmaların veya fotoğrafların kopyalanması, bunların boşanma dosyasına delil olarak sunulması ya da tanıdıklara gönderilmesi. Bu olaylarda üç ayrı soru birbirinden ayrılmalıdır.

İlk soru verinin nasıl elde edildiğidir. Şifre kırılarak veya şifrenin izinsiz kullanılmasıyla telefona ya da hesaba girilmişse TCK m.243, yazışmaların içeriğine erişilmişse TCK m.132, verinin kopyalanması hâlinde TCK m.136 gündeme gelir. İkinci soru verinin ne amaçla ve kime aktarıldığıdır. Mahkemeye delil olarak sunma ile tanıdıklara veya sosyal medyada paylaşma aynı değerlendirmeye tabi değildir; birincisinde TCK m.26/1’deki hakkın kullanılması tartışması yapılırken, ikincisinde böyle bir dayanak bulunmaz. Üçüncü soru ise delilin hukuk mahkemesindeki değeridir: HMK m.189/2 uyarınca hukuka aykırı olarak elde edilmiş deliller bir vakıanın ispatında dikkate alınamaz.

Bu alanda sonuç, somut olayın koşullarına sıkı sıkıya bağlıdır: verinin elde edildiği cihazın ortak kullanımda olup olmadığı, erişimin nasıl gerçekleştiği, sunulan belgenin kapsamının ispat edilmek istenen vakıayla sınırlı kalıp kalmadığı gibi hususlar belirleyicidir. Aile hukuku yönünü boşanmada hukuka aykırı deliller ve gizli ses kaydı ve mesajlar rehberlerinde ayrıca ele aldık.

Şirketler ve Kurumlar İçin: Çalışan Kaynaklı Sızıntı

Bir çalışanın müşteri, hasta veya personel verilerini dışarı aktarması, kurum açısından iki cepheli bir risktir. Çalışan bakımından TCK m.136 ve fiil meslek kolaylığıyla işlenmişse m.137/1-b artırımı; kurum bakımından ise KVKK m.12/1 kapsamında gerekli teknik ve idari tedbirlerin alınıp alınmadığı sorgulanır. KVKK m.12/3, veri sorumlusunun kendi kurumunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorunda olduğunu da düzenler.

Kurumsal yükümlülüklerin bütününü işyerinde kişisel verilerin korunması rehberinde, veri ihlali sonrası tazminat sorumluluğunu ise veri ihlalinde tazminat davası rehberinde bulabilirsiniz.

Suç Duyurusu Dilekçesi Örneği

Aşağıdaki örnek, kişisel verilerin sosyal medyada yayılması üzerine hazırlanmış genel bir şablondur. Olayın özelliğine göre açıklamalar kısmı mutlaka yeniden yazılmalı, dilekçeye yalnızca gerekli bilgiler konulmalı ve mağdurun ek kişisel verileri gereksiz yere dosyaya taşınmamalıdır.

Hesap ele geçirme ile birlikte yürüyen olaylar için hazırlanmış ayrıntılı dilekçe sosyal medya hesabının ele geçirilmesi suç duyurusu sayfasında yer alıyor.

Sık Yapılan Hatalar

• “Şikâyetimi geri alırsam dosya kapanır” düşüncesi: TCK m.136 şikâyete bağlı değildir; vazgeçme kamu davasını düşürmez.
• Karşı tarafın hesabına girerek delil toplamak: Bu davranış TCK m.243 ve m.136 kapsamında mağduru şüpheli konumuna getirebilir.
• Delili yalnızca telefonda tutmak: İçerik silindiğinde veya cihaz değiştiğinde delil kaybolur; URL, tarih ve tespit tutanağı birlikte saklanmalıdır.
• İptal edilmiş 5651 m.9’a dayanmak: Kişilik hakkı ihlaline dayalı erişim engelleme başvurularının dayanağı olan bu madde iptal edilmiştir; özel hayat için m.9/A, diğer durumlarda platform bildirimi ve TMK m.24–25 yolu değerlendirilmelidir.
• KVKK şikâyetini tazminat yolu sanmak: Kurul idari para cezası verir, ceza Hazineye gider; zararın giderimi için ayrıca dava açılması gerekir.
• Tazminat sürelerini gözden kaçırmak: TBK m.72’deki iki yıllık süre zararın ve failin öğrenilmesinden itibaren işler.
• Dilekçede yeni veri ifşa etmek: Suç duyurusuna gereksiz kişisel veri eklemek, mağdurun verilerini bir kez daha dolaşıma sokar.

Güncel uygulama örneği: KVK Kurulu 2026/1095 sayılı ilke kararında, kaza mağdurlarının verilerinin hasar danışmanlık şirketlerine ve bazı avukatlara ulaştırılmasının TCK m.136’daki suçun m.137’deki nitelikli hâline vücut verebileceğini belirtmiştir. Kaza mağdurları için pratik adımlar kazadan sonra arayan hasar danışmanı yazımızda yer alır.

Sık Sorulan Sorular

Kişisel verilerin hukuka aykırı ele geçirilmesi suçunun cezası nedir?

TCK m.136/1 uyarınca kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Suç kamu görevlisi tarafından görev yetkisi kötüye kullanılarak veya meslek kolaylığından yararlanılarak işlenirse ceza yarı oranında artırılır (TCK m.137).

TCK 136 şikâyete bağlı mı?

Hayır. TCK m.139, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarını şikâyet şartının dışında tutar. Savcılık resen soruşturur ve şikâyetten vazgeçme kamu davasını düşürmez.

TCK 136 uzlaştırmaya tabi mi?

Hayır. Suç şikâyete bağlı olmadığı gibi CMK m.253/1-b’de uzlaştırma kapsamına alınan suçlar arasında da sayılmamıştır.

Kişisel veri nedir?

KVKK m.3/1-d’ye göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad-soyad, telefon, adres, fotoğraf, IP adresi, plaka ve sağlık bilgisi bu kapsama girebilir. Anonim hâle getirilmiş veri kişisel veri sayılmaz.

Başkasının telefonundan fotoğraf almak suç mu?

Fotoğrafların hukuka aykırı olarak kendi cihazına aktarılması ele geçirme hareketi olarak TCK m.136 kapsamında değerlendirilebilir. Telefona şifre kırılarak veya izinsiz girilmişse TCK m.243, görüntüler özel hayata ilişkinse TCK m.134 de ayrıca gündeme gelir.

Kişisel verilerimi sosyal medyada paylaşan kişiye ne yapabilirim?

Delili sabitledikten sonra savcılığa suç duyurusunda bulunabilir, içerik özel hayatınızı ihlal ediyorsa 5651 m.9/A kapsamında erişimin engellenmesini isteyebilir, TMK m.24–25 ve TBK m.58 uyarınca saldırının durdurulmasını ve manevi tazminat talep edebilirsiniz.

TCK 136 hangi mahkemede görülür?

Suçun cezasının üst sınırı ağır ceza mahkemesinin görev alanına girmediği için dava asliye ceza mahkemesinde görülür (5235 sayılı Kanun m.11).

TCK 136’da zamanaşımı kaç yıldır?

Temel şekilde cezanın üst sınırı dört yıl olduğundan dava zamanaşımı sekiz yıldır (TCK m.66/1-e). Nitelikli hâl nedeniyle üst sınır beş yılı aşarsa süre on beş yıl olur (TCK m.66/1-d, m.66/3).

Sağlık verilerinin paylaşılması daha ağır ceza gerektirir mi?

TCK m.135/2, sağlık durumuna ilişkin verilerin kaydedilmesinde cezayı yarı oranında artırır. TCK m.136’da verinin hassasiyetine bağlı ayrı bir artırım yoktur; ancak hâkim temel cezayı belirlerken suçun konusunun önem ve değerini ve zararın ağırlığını dikkate alır.

Veriyi sızdıran şirkete de ceza verilir mi?

Tüzel kişilere ceza yaptırımı uygulanamaz (TCK m.20/2); kanundaki koşullar varsa güvenlik tedbirlerine hükmolunur (TCK m.60, m.140). Veri sorumlusu şirket, veri güvenliği yükümlülüklerini yerine getirmemişse KVKK m.18/1-b uyarınca idari para cezasıyla karşılaşabilir.

Boşanma davasına delil olarak eşin mesajlarını sunmak suç mu?

Sonuç somut olaya bağlıdır. Verinin nasıl elde edildiği, kime ve ne kapsamda sunulduğu belirleyicidir. Mahkemeye sunma ile üçüncü kişilere yayma aynı değerlendirmeye tabi değildir. Hukuk davasında hukuka aykırı elde edilmiş deliller dikkate alınamaz (HMK m.189/2).

TCK 136’da hükmün açıklanmasının geri bırakılması mümkün mü?

Sonuç ceza iki yıl veya daha az hapis olarak belirlenirse, 7589 sayılı Kanunla yeniden düzenlenen CMK m.231’deki koşullar varsa mümkündür. Bu koşullardan biri, mağdurun veya kamunun uğradığı zararın tamamen giderilmesidir.

KVKK’ya şikâyet edersem tazminat alır mıyım?

Hayır. Kurul, veri sorumlusuna idari para cezası verebilir ve bu ceza Hazineye gider. KVKK m.14/3 uyarınca kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır; tazminat için dava açılması gerekir.

Bu yazı genel bilgilendirme amaçlıdır; her dosyanın kendine özgü koşulları bulunduğundan, ayrıntılı değerlendirme için güncel mevzuat ve uzman hukuki görüş esas alınmalıdır.

Mevzuat kontrolü: Bu yazıdaki TCK, CMK, KVKK, 5651, TMK, TBK, HMK ve 5235 sayılı Kanun hükümleri 23 Eylül 2026 itibarıyla mevzuat.gov.tr’deki güncel metinler üzerinden kontrol edilmiştir.