Kişisel Verilerin Hukuka Aykırı Kaydedilmesi Suçu (TCK 135): Ceza, Özel Nitelikli Veriler, KVKK ile İlişki ve Başvuru Yolları

Kişisel verileri hukuka aykırı olarak kaydetmek, Türk Ceza Kanunu m.135 uyarınca bir yıldan üç yıla kadar hapis cezası gerektiren bir suçtur. Kaydedilen veri kişinin siyasi, felsefi veya dini görüşlerine, ırki kökenine, ahlaki eğilimlerine, cinsel yaşamına, sağlık durumuna ya da sendikal bağlantılarına ilişkinse ceza yarı oranında artırılır. Kaydedilen verilerin başkasına verilmesi, yayılması veya ele geçirilmesi ise TCK m.136 uyarınca iki yıldan dört yıla kadar hapis cezası gerektiren ayrı bir suçtur. Bu suçlar şikâyete bağlı değildir; savcılık resen soruşturur ve uzlaştırma uygulanmaz. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.17, kişisel verilere ilişkin suçlarda TCK m.135-140’ın uygulanacağını belirtir. Aynı fiil, veri sorumlusu bakımından KVKK’daki idari para cezalarını ve tazminat sorumluluğunu da doğurabilir.

Kanun Metni: TCK m.135

“(1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. (2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.”

Maddenin bugünkü hâli üç değişiklikle oluşmuştur. 21/2/2014 tarihli ve 6526 sayılı Kanunla birinci fıkradaki cezanın alt sınırı altı aydan bir yıla çıkarılmıştır. 24/3/2016 tarihli ve 6698 sayılı Kanunla ikinci fıkra, ayrı bir suç tipi olmaktan çıkarılarak birinci fıkradaki cezanın yarı oranında artırılmasını öngören nitelikli bir hâle dönüştürülmüştür. Aynı Kanun, kişisel verilere ilişkin suçlar bakımından TCK m.135-140 hükümlerinin uygulanacağını açıkça belirtmiştir (KVKK m.17/1).

Suçun koruduğu değer, kişinin kendisine ait veriler üzerindeki tasarruf hakkıdır. Kişi, hangi verisinin kim tarafından, hangi amaçla ve ne kadar süreyle tutulacağına karar verme hakkına sahiptir. Bu nedenle suçun oluşması için verinin gizli veya özel nitelikte olması gerekmez; kimlik numarası, telefon numarası veya adres gibi sıradan bir bilginin hukuka aykırı olarak kayda geçirilmesi de bu suçu oluşturabilir.

Kişisel Veri ve “Kaydetme” Ne Demektir?

KVKK m.3/1-d kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Ad ve soyad, kimlik numarası, telefon, adres, fotoğraf, ses kaydı, konum, araç plakası, banka bilgileri, sağlık raporları ve IP adresi gibi bilgiler, tek başına veya başka bilgilerle birleştirildiğinde bir kişiyi tanımlanabilir kıldığı ölçüde kişisel veridir. Tüzel kişilere ait bilgiler ise bu kapsamda değildir.

KVKK, kişisel verilerin işlenmesini çok geniş tanımlar: elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, açıklanması, aktarılması ve benzeri her türlü işlem (KVKK m.3/1-e). TCK m.135 ise bu işlemlerin yalnızca birini, kaydetmeyi cezalandırır. Verinin bir kâğıda, bilgisayara, telefona, bulut hesabına veya bir tabloya geçirilerek kalıcı hâle getirilmesi kaydetmedir. Verinin başkasına aktarılması, yayılması veya hukuka aykırı olarak elde edilmesi ise TCK m.136’nın konusudur. KVKK anlamında hukuka aykırı her işlem bu nedenle TCK m.135’i oluşturmaz; bazıları yalnızca idari yaptırım konusu olabilir.

Özel Nitelikli Veriler: TCK ile KVKK Arasındaki Fark

TCK m.135/2 ile KVKK m.6/1’deki özel nitelikli kişisel veri listesi birbirine benzese de aynı değildir. KVKK m.6/1; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri özel nitelikli sayar. TCK m.135/2’deki artırım ise yalnızca maddede sayılan kategoriler için uygulanır.

Tablonun son üç satırı, bu verilerin TCK m.135/1 kapsamında korunmaya devam ettiğini ancak ceza artırımına yol açmadığını gösterir; buna karşılık KVKK bakımından özel nitelikli sayıldıkları için işlenmeleri kural olarak yasaktır. 2/3/2024 tarihli ve 7499 sayılı Kanunla değiştirilen KVKK m.6/3, özel nitelikli kişisel verilerin işlenmesinin yasak olduğunu ve ancak sayılan hâllerde mümkün olduğunu düzenler. Ayrıntılar için özel nitelikli kişisel veriler ve sağlık verilerinin korunması rehberlerine bakabilirsiniz.

Kişisel Verilere İlişkin Suçlar: TCK m.135-140

TCK m.136/2 özel bir koruma getirir: CMK m.236/5-6 uyarınca, örneğin çocuk mağdurların veya özel koruma gerektiren tanıkların ifadeleri sırasında kayda alınan beyan ve görüntülerin hukuka aykırı olarak verilmesi veya yayılması hâlinde ceza bir kat artırılır. TCK m.137, bir hastane çalışanının hasta kayıtlarını, bir bankacının müşteri bilgilerini veya bir kamu görevlisinin resmî sistemlerdeki verileri kaydedip yayması gibi durumlarda devreye girer. Veri yayma ve ele geçirme için kişisel verilerim izinsiz ele geçirildi, yayıldı rehberine bakabilirsiniz.

Kayıt Ne Zaman Hukuka Uygundur?

TCK m.135 yalnızca hukuka aykırı kaydı cezalandırır. Hukuka uygunluğun ölçütü, KVKK’daki işleme şartlarıdır. Kural olarak kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez (KVKK m.5/1). Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır (KVKK m.3/1-a). Açık rıza yoksa, KVKK m.5/2’de sayılan şartlardan birinin bulunması gerekir.

Ceza hukuku bakımından da TCK m.26 uygulanır: hakkını kullanan kimseye ceza verilmez ve kişinin üzerinde mutlak surette tasarruf edebileceği bir hakkına ilişkin olmak üzere açıkladığı rızası çerçevesinde işlenen fiilden dolayı kimseye ceza verilmez. Rızanın kapsamı belirleyicidir; bir amaç için verilen rıza, başka bir amaçla yapılan kaydı meşrulaştırmaz. Delil elde etmek amacıyla yapılan kayıtlarda ise KVKK m.5/2-e’deki “bir hakkın tesisi, kullanılması veya korunması için zorunluluk” şartı ile TCK m.26/1 birlikte değerlendirilir. Bu değerlendirmede kaydın zorunlu olup olmadığı, anlık mı yoksa sürekli ve planlı mı yapıldığı ve yalnızca yetkili makama sunulup sunulmadığı sonucu belirler. İşleme şartları için kişisel veri işleme şartları ve açık rıza rehberine bakabilirsiniz.

KVKK’nın bazı hâllerde hiç uygulanmadığı da hatırlanmalıdır. Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla, gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi KVKK kapsamı dışındadır (KVKK m.28/1-a). Kişinin kendi telefon rehberine bir numarayı kaydetmesi bu nedenle olağan hayatın parçasıdır; ancak aynı bilgilerin bir kişiyi takip etmek, fişlemek veya başkalarına aktarmak amacıyla kaydedilmesi farklı sonuç doğurur.

Günlük Hayatta Sık Karşılaşılan Durumlar

Tablodaki olayların önemli bir kısmında birden fazla suç birlikte tartışılır. Haberleşme içeriklerinin kaydedilmesi TCK m.132’nin, özel hayata ilişkin görüntü ve seslerin kaydedilmesi TCK m.134’ün alanına girer. Bu ayrımlar için başkasının WhatsApp mesajlarını okumak, özel hayatın gizliliğini ihlal ve izinsiz ses ve görüntü kaydı rehberlerine bakabilirsiniz. Apartman ve site kameraları için site güvenlik kamerası ve KVKK, işyeri uygulamaları için işyerinde kişisel verilerin korunması rehberlerine bakabilirsiniz.

Kurum ve Çalışan: Kimin Sorumluluğu?

Kişisel veri ihlallerinin önemli bir kısmı kurumların bünyesinde, çalışanlar eliyle gerçekleşir. Bu durumda iki ayrı sorumluluk düzlemi vardır. Ceza sorumluluğu şahsidir ve kimse başkasının fiilinden dolayı sorumlu tutulamaz (TCK m.20/1); verileri hukuka aykırı olarak kaydeden, veren veya ele geçiren çalışan kendi fiilinden sorumludur. Tüzel kişiler hakkında ise ceza yaptırımı uygulanamaz, ancak kişisel verilere ilişkin suçların işlenmesi dolayısıyla tüzel kişilere özgü güvenlik tedbirlerine hükmolunur (TCK m.140).

Kurum, veri sorumlusu sıfatıyla ayrıca KVKK’daki yükümlülüklerden sorumludur. Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek için uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır (KVKK m.12/1). Bu yükümlülüğe aykırılık, KVKK m.18/1-b uyarınca idari para cezasına yol açar. Eylemler kamu kurumlarında veya kamu kurumu niteliğindeki meslek kuruluşlarında işlenmişse, ilgili görevliler hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir (KVKK m.18/4).

Veri İhlali Bildirimi

Kurum bünyesindeki veriler bir çalışan veya dışarıdan bir saldırgan tarafından hukuka aykırı olarak elde edilmişse, veri sorumlusunun bildirim yükümlülüğü doğar: işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir (KVKK m.12/5). Bu bildirim, verisi ele geçirilen kişinin durumdan haberdar olmasını ve kendi korunma önlemlerini almasını sağlar.

Verisi sızdırılan kişi için bildirim, çoğu zaman ceza şikâyetinin de başlangıç noktasıdır. Bildirimde yer alan olay tarihi, etkilenen veri kategorileri ve alınan önlemler, şikâyet dilekçesinde ve tazminat davasında kullanılabilir. Kurumun bildirimi yapmaması veya gecikmesi ise ayrıca Kurula şikâyet konusu yapılabilir.

Kayıtlar Delil Olarak Kullanılabilir mi?

Hukuka aykırı olarak kaydedilmiş kişisel veriler, yargılamada delil olarak kullanılmak istendiğinde ayrı bir sorun doğar. Ceza yargılamasında kanuna aykırı olarak elde edilen delil reddolunur (CMK m.206/2-a) ve yüklenen suç ancak hukuka uygun bir şekilde elde edilmiş delillerle ispat edilebilir (CMK m.217/2). Hukuk yargılamasında da hukuka aykırı olarak elde edilmiş deliller bir vakıanın ispatında dikkate alınamaz (HMK m.189/2).

Bu kuralların iki yönlü sonucu vardır. Karşı tarafın kişisel verilerini izinsiz kaydederek delil elde etmeye çalışan kişi, hem bu delili kullanamayabilir hem de kendisi hakkında TCK m.135 soruşturmasının başlatılmasına yol açabilir. Buna karşılık kişinin kendisine yönelik bir hukuka aykırılığı belgelemek için, bir hakkın korunmasına zorunlu olarak ve ölçülü biçimde yaptığı kayıtlar KVKK m.5/2-e ve TCK m.26/1 çerçevesinde değerlendirilir. Bu değerlendirme her olayda ayrıca yapılmalıdır; genel bir izin olarak görülmemelidir.

Usul: Şikâyet, Uzlaştırma ve Yargılama

Suçun şikâyete bağlı olmaması, mağdurun şikâyetinden vazgeçmesinin dosyayı sona erdirmediği anlamına gelir. Taraflar arasında anlaşma sağlansa bile yargılama devam eder. Bu nedenle kamu davasının açılmasının ertelenmesi, TCK m.135/1 dosyalarında şüpheli açısından değerlendirilmesi gereken önemli bir yoldur; koşulları arasında zararın tamamen giderilmesi ve daha önce kasıtlı bir suçtan hapis cezasıyla mahkûm olmamak yer alır. Ayrıntılar için kamu davasının açılmasının ertelenmesi rehberine bakabilirsiniz.

KVKK Süreci: Veri Sorumlusuna Başvuru ve Kurula Şikâyet

Ceza soruşturmasından bağımsız olarak, verisi işlenen kişi KVKK’daki haklarını kullanabilir. Herkes, veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltilmesini veya silinmesini isteme ve kanuna aykırı işleme nedeniyle zarara uğramışsa zararın giderilmesini talep etme haklarına sahiptir (KVKK m.11).

KVKK m.18’deki idari para cezası tutarları kanun metnindeki rakamlardır; idari para cezaları her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulandığından güncel tutarlar bu rakamlardan yüksektir (Kabahatler Kanunu m.17/7). Başvuru ve şikâyet süreci için ilgili kişi başvurusu ve Kurula şikâyet ile veri sorumlusuna başvuru ve Kurula şikâyet dilekçesi örneği rehberlerine, idari para cezaları için KVKK idari para cezaları ve itiraz rehberine bakabilirsiniz.

Tazminat

KVKK m.14/3, kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkının saklı olduğunu belirtir. Hukuka aykırı olarak kişilik hakkına saldırılan kimse hâkimden korunmasını isteyebilir (TMK m.24/1) ve kişilik hakkının zedelenmesinden doğan manevi zarar için manevi tazminat talep edebilir (TBK m.58/1). Verilerin kaydedilmesi veya sızdırılması nedeniyle somut bir maddi zarar doğmuşsa, örneğin dolandırıcılığa maruz kalınmışsa, bu zarar da ayrıca istenebilir. Veri ihlallerinde tazminat davasının ispat ve zamanaşımı boyutu için veri ihlalinde tazminat davası rehberine bakabilirsiniz.

Verileriniz İzinsiz Kaydedildiyse Adım Adım

1. Kaydın delilini koruyun. Verilerinizin kaydedildiğini gösteren belge, ekran görüntüsü, yazışma veya tanık bilgilerini saklayın.
2. Veri sorumlusunu belirleyin. Kayıt bir kurum bünyesinde yapıldıysa, kurum veri sorumlusudur; çalışan ise ayrıca ceza sorumluluğuyla karşılaşır.
3. Savcılığa şikâyette bulunun. Suç şikâyete bağlı olmasa da ihbar ve şikâyet, soruşturmanın başlaması için en etkili yoldur (CMK m.158).
4. Veri sorumlusuna başvurun. Verilerin silinmesini ve kimlere aktarıldığının bildirilmesini isteyin; 30 günlük cevap süresini takvime işleyin.
5. Gerekirse Kurula şikâyet edin. Cevap alamazsanız veya cevap yetersizse 30 ve 60 günlük süreler içinde Kurula başvurun.
6. Tazminatı değerlendirin. Manevi ve varsa maddi zararınız için hukuk mahkemesinde dava açabilirsiniz.

Kişisel veri dosyalarınızda Hukukçular Evi Ankara’ya 0554 648 37 15 numaralı telefondan ulaşabilirsiniz. Görüşmeye kaydın yapıldığını gösteren belgeler ve varsa veri sorumlusuyla yazışmalarınızla gelmeniz yeterlidir.

Şüpheli Konumundaysanız: Savunmada Öne Çıkan Noktalar

• Kaydın varlığı: Verinin gerçekten kalıcı olarak kaydedilip kaydedilmediği; yalnızca görülmesinin veya okunmasının kayıt olmadığı.
• Hukuka uygunluk: Açık rıza veya KVKK m.5/2’deki şartlardan birinin, özellikle kanuni yükümlülüğün, sözleşmenin ifasının veya bir hakkın korunmasının varlığı.
• Kapsam dışılık: Verinin yalnızca kişisel veya aile içi faaliyet kapsamında tutulduğu (KVKK m.28/1-a).
• Kast: Verinin iş gereği otomatik olarak cihaza kaydedildiği ve failin bunu bilmediği hâller.
• Nitelikli hâlin koşulları: Verinin gerçekten m.135/2’deki kategorilerden birine girip girmediği.
• Kamu davasının açılmasının ertelenmesi: Temel hâlde koşulları varsa bu kurumun uygulanması talep edilebilir.

Şikâyet Dilekçesi Örneği

Sık Yapılan Hatalar

• Kaydetme ile yaymayı karıştırmak: Kaydetme TCK m.135, verme ve yayma TCK m.136 kapsamındadır; iki ayrı fiil iki ayrı suç tartışması doğurur.
• Şikâyetten vazgeçince dosyanın kapanacağını sanmak: Bu suçlar resen soruşturulur.
• KVKK m.6 listesindeki her veri için ceza artırımı beklemek: Artırım yalnızca TCK m.135/2’de sayılan kategoriler içindir.
• Rızanın her kullanımı kapsadığını düşünmek: Rıza belirli bir konuya ilişkindir.
• Kurula doğrudan şikâyet etmek: Önce veri sorumlusuna başvurulmalıdır.
• Delil için karşı tarafın cihazına erişmek: Kişiyi de şüpheli konumuna getirebilir.

Sık Sorulan Sorular

Kişisel verilerin hukuka aykırı kaydedilmesinin cezası nedir?

TCK m.135/1 uyarınca bir yıldan üç yıla kadar hapis cezasıdır. Veri siyasi, felsefi veya dini görüş, ırki köken, ahlaki eğilim, cinsel yaşam, sağlık veya sendikal bağlantıya ilişkinse ceza yarı oranında artırılır.

TCK 135 şikâyete bağlı mı?

Hayır. Kişisel verilerin kaydedilmesi, verilmesi, ele geçirilmesi ve yok edilmemesi suçları şikâyete bağlı değildir (TCK m.139); savcılık resen soruşturur ve uzlaştırma uygulanmaz.

Kaydetme ile yayma arasındaki fark nedir?

Kaydetme, verinin kalıcı hâle getirilmesidir ve TCK m.135 kapsamındadır. Verinin başkasına verilmesi, yayılması veya ele geçirilmesi ise TCK m.136 uyarınca iki yıldan dört yıla kadar hapis gerektiren ayrı bir suçtur.

Kişisel veri nedir?

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir (KVKK m.3/1-d). Ad, kimlik numarası, telefon, adres, fotoğraf, ses, konum ve sağlık bilgileri bu kapsamdadır.

Kişisel veri ne zaman rıza olmadan kaydedilebilir?

Kanunda açıkça öngörülmesi, sözleşmenin ifası, veri sorumlusunun hukuki yükümlülüğü, bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat gibi KVKK m.5/2’de sayılan hâllerde açık rıza aranmaz.

Kamu görevlisi verilerimi kaydederse ceza artar mı?

Evet. Kamu görevlisi tarafından görev yetkisi kötüye kullanılarak veya meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılır (TCK m.137).

Verilerimi silmeyen kuruma ne olur?

İşleme sebebi ortadan kalkan verileri silmeyen veya anonim hâle getirmeyenler TCK m.138’e göre cezalandırılır (KVKK m.17/2); ilgili kişi silme talebiyle veri sorumlusuna da başvurabilir.

KVKK başvurusuna ne kadar sürede cevap verilir?

Veri sorumlusu başvuruyu en geç otuz gün içinde, kural olarak ücretsiz sonuçlandırır (KVKK m.13/2). Cevap alınamazsa otuz ve her hâlde altmış gün içinde Kurula şikâyet edilebilir (m.14/1).

Kurula doğrudan şikâyet edebilir miyim?

Hayır. Veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyet yapılamaz (KVKK m.14/2).

Telefonuma birinin numarasını kaydetmek suç mu?

Tamamen kişisel veya aile içi faaliyet kapsamında, üçüncü kişilere verilmeden yapılan kayıtlar KVKK kapsamı dışındadır (KVKK m.28/1-a). Ancak bilgilerin bir kişiyi takip etmek veya başkalarına aktarmak amacıyla derlenmesi farklı sonuç doğurur.

Kişisel verilerim kaydedildi, tazminat alabilir miyim?

Evet. KVKK m.14/3 tazminat hakkını saklı tutar; kişilik hakkı ihlali için TMK m.24-25 ve TBK m.58 uyarınca manevi tazminat, somut zarar varsa maddi tazminat istenebilir.

Verilerim bir şirketten sızdı, şirket bana haber vermek zorunda mı?

Evet. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgilisine ve Kurula bildirir (KVKK m.12/5).

Kişisel veri kaydı suçunda kamu davasının açılmasının ertelenmesi mümkün mü?

Temel hâlde (TCK m.135/1) üst sınır üç yıl olduğundan CMK m.171/2 kapsamındadır; zararın giderilmesi dahil koşulları varsa kamu davasının açılmasının beş yıl süreyle ertelenmesine karar verilebilir. Özel nitelikli verilerde yarı oranında artırım nedeniyle üst sınır üç yılı aştığından bu yol kapanır.

İşverenim verilerimi sızdırdı, kimi şikâyet etmeliyim?

Verileri kaydeden veya sızdıran çalışan hakkında savcılığa şikâyette bulunabilir, işverene veri sorumlusu sıfatıyla KVKK m.11 ve m.13 uyarınca başvurabilir ve sonuç alamazsanız Kurula şikâyet edebilirsiniz. Tazminat hakkınız saklıdır.

Özel nitelikli kişisel veriler hangileridir?

KVKK m.6/1 ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri sayar.

Bu yazı genel bilgilendirme amaçlıdır; her dosyanın kendine özgü koşulları bulunduğundan, ayrıntılı değerlendirme için güncel mevzuat ve uzman hukuki görüş esas alınmalıdır.

Mevzuat kontrolü: Bu yazıdaki TCK, CMK, 6698 sayılı KVKK, Kabahatler Kanunu, TMK ve TBK hükümleri 24 Eylül 2026 itibarıyla mevzuat.gov.tr’deki güncel metinler üzerinden kontrol edilmiştir.