Yasak Cihaz veya Programlar Suçu (TCK 245/A): Hazırlık Hareketinin Cezalandırılması

Ceza hukuku kural olarak hazırlık hareketlerini cezalandırmaz. Bilişim suçlarında ise kanun koyucu istisna yapmıştır: bir suç henüz işlenmemiş olsa dahi, o suçu işlemek için yapılmış cihaz veya program bulundurmak başlı başına suçtur. Türk Ceza Kanunu’nun 245/A maddesi bu fiili bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezasıyla cezalandırır. Ancak maddenin merkezinde daraltıcı bir kelime vardır: “münhasıran”.

Kanunun Metni ve Kökeni

Madde, Türk Ceza Kanunu’na 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 30. maddesiyle eklenmiştir. Kanunun “Bilişim Alanında Suçlar” başlıklı bölümünde yer alır.

Metin şöyledir:

Bir cihazın, bilgisayar programının, şifrenin veya sair güvenlik kodunun; münhasıran bu Bölümde yer alan suçlar ile bilişim sistemlerinin araç olarak kullanılması suretiyle işlenebilen diğer suçların işlenmesi için yapılması veya oluşturulması durumunda, bunları imal eden, ithal eden, sevk eden, nakleden, depolayan, kabul eden, satan, satışa arz eden, satın alan, başkalarına veren veya bulunduran kişi, bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezası ile cezalandırılır.

Düzenlemenin kaynağı uluslararasıdır: Avrupa Konseyi Siber Suçlar Sözleşmesi, taraf devletleri bu tür araçların üretimini ve dolaşımını suç olarak düzenlemekle yükümlü kılmıştır.

Suçun Üç Katmanı: Araç, Fiil, Amaç

Öğretide bu suçun oluşumu üç katmanda incelenir:

1) Araç. Kanunda sayılan dört nesneden biri olmalıdır:

• Cihaz: bilişim sistemine eklenebilen, bağlanabilen ve çıkarılabilen fiziki parçalar. Kart kopyalama düzenekleri bu kapsamda değerlendirilmektedir.
• Bilgisayar programı: öğretide kötücül yazılım olarak da anılan, söz konusu suçların işlenmesi için yapılan veya oluşturulan yazılımlar.
• Şifre.
• Sair güvenlik kodu.

2) Fiil. Kanun on bir seçimlik hareket sayar: imal etme, ithal etme, sevk etme, nakletme, depolama, kabul etme, satma, satışa arz etme, satın alma, başkalarına verme ve bulundurma.

Bu sayım sınırlıdır. Öğretide vurgulandığı üzere, örneğin “yayma” veya “dağıtma” gibi kanunda yer almayan bir davranış tek başına madde kapsamına girmez. Bu, savunmada somut bir denetim noktasıdır.

3) Amaç. Aracın, kanunda belirtilen suçların işlenmesi için yapılmış veya oluşturulmuş olması gerekir.

Anahtar Kelime: “Münhasıran”

Bu, maddenin en önemli sınırlayıcısıdır ve savunmanın merkezindedir.

Kanun, aracın münhasıran — yani yalnızca ve sadece — bu suçların işlenmesi için yapılmış veya oluşturulmuş olmasını arar. Başka bir deyişle, aracın meşru bir kullanım alanı bulunmamalıdır.

Bu şartın pratik sonucu büyüktür. Bilişim güvenliği alanında kullanılan pek çok araç çift kullanımlıdır: aynı yazılım hem sızma testi ve güvenlik denetimi için hem de saldırı için kullanılabilir. Ağ analiz araçları, şifre denetim yazılımları, zafiyet tarayıcıları bu kapsamdadır.

Bu tür araçlar bakımından münhasırlık şartının gerçekleşip gerçekleşmediği ayrı ayrı tartışılmalıdır. Meşru kullanım alanı bulunan bir aracın bulundurulması, tek başına bu suçu oluşturmaz.

Savunmada ortaya konması gereken hususlar: aracın yaygın ve meşru kullanım alanları, failin mesleki konumu (bilişim güvenliği uzmanı, sistem yöneticisi, akademisyen, öğrenci), aracın edinilme biçimi ve varsa yetkilendirme belgeleri (sızma testi sözleşmesi, kurum izni).

Manevi Unsur: Kast Şarttır

Suç yalnızca kasten işlenebilir; taksirle işlenmesi mümkün değildir.

Öğretide vurgulandığı üzere, failin sayılan fiilleri söz konusu suçları işlemek maksadıyla gerçekleştirmiş olması gerekir. Bu amacı taşımayan fail bakımından manevi unsur oluşmaz ve suç meydana gelmez.

Kastın kapsamı iki bilgiyi içerir. Fail;

• Elindeki nesnenin cihaz, program, şifre veya güvenlik kodu niteliğinde olduğunu, ve
• Bunların münhasıran bilişim suçlarını veya bilişim sistemi aracılığıyla işlenebilen suçları işlemek amacıyla meydana getirildiğini

bilmelidir. Bu bilgi yoksa suç oluşmaz.

Bu nedenle savunmada sık ileri sürülen durumlar: aracın niteliğinin bilinmemesi, bir paket veya arşiv içinde farkında olmadan bulundurulması, eğitim veya araştırma amacıyla edinilmiş olması.

Suç Ne Zaman Tamamlanır?

Bu maddenin en önemli özelliği budur: suçun tamamlanması için sayılan fiillerin bilişim suçlarını işlemek amacıyla icra edilmesi yeterlidir; ayrıca temel bilişim suçunun gerçekleşmesi şart değildir.

Yani araç hiç kullanılmamış, hiçbir sisteme girilmemiş, hiçbir zarar doğmamış olsa dahi suç oluşabilir. Bu yönüyle madde, ceza hukukunun hazırlık hareketlerini cezalandırmama kuralına getirilmiş bir istisnadır.

Yaptırım bakımından da özellik vardır: kanun hem hapis hem adli para cezasının birlikte uygulanmasını öngörür. Bu, cezanın bireyselleştirilmesinde mahkemenin somut tehlikeyi ve failin rolünü ayrıca tartışmasını gerektirir.

Sık Karşılaşılan Durumlar

Kart kopyalama düzenekleri. Öğretide verilen tipik örnek, para çekme makinelerine yerleştirilen kart kopyalama cihazlarıdır. Bu tür düzeneklerin imal edilmesi, ithali veya satılması hattında dolaşıma sokulması ve hedefin kart verilerini elde etmek olması hâlinde madde tipikleşir.

Kötücül yazılım. Münhasıran zarar vermek veya veri ele geçirmek için yazılmış programların üretimi, satışı veya bulundurulması.

Şifre ve erişim kodu listeleri. Başkalarına ait erişim bilgilerinin toplanması ve dolaşıma sokulması.

Güvenlik testi araçları. Burada münhasırlık tartışması devreye girer; meşru kullanım alanı bulunan araçlar bakımından değerlendirme farklılaşır.

İçtima: araç fiilen kullanılmış ve bir bilişim suçu işlenmişse, hem 245/A hem işlenen suç bakımından ayrı ayrı değerlendirme yapılır. Bu, gerekçeli kararda tartışılması gereken bir husustur.

Savunmada Kontrol Listesi ve Usul

Dosyada incelenmesi gerekenler:

• Münhasırlık ispatlanmış mı? Aracın yalnızca suç işlemek için yapıldığı bilirkişi raporuyla ortaya konmuş mu, yoksa varsayıma mı dayanılmış?
• Meşru kullanım alanı var mı? Aracın sektörde yaygın ve hukuka uygun kullanımları dosyaya sunulmalı.
• Fiil kanundaki katalogda mı? Sayım sınırlıdır; katalogda olmayan bir davranış bu maddeye girmez.
• Kast unsuru nasıl ispatlanmış? Failin aracın niteliğini ve amacını bildiği hangi delille gösterilmiş?
• Failin mesleki konumu ve yetkilendirme belgeleri dosyaya sunulmuş mu?
• Arama ve elkoyma usulü hukuka uygun mu? Dijital materyalin imajı usulüne uygun alınmış mı?

Usul: suç şikâyete tabi değildir, resen soruşturulur. Görevli mahkeme asliye ceza mahkemesidir.

Bu yazı genel bilgilendirme amaçlıdır ve somut dosya değerlendirmesi yerine geçmez.

“Münhasıran” Şartı: Suçun En Dar Kapısı

Bu maddenin bütün ağırlığı tek bir kelimede toplanır: münhasıran. Kanun, herhangi bir teknik araç veya programın bulundurulmasını değil; yalnızca bu maddede ve bilişim alanındaki suçların işlenmesi için yapılmış veya oluşturulmuş olanları cezalandırır.

Bu şart, maddenin bir hazırlık hareketi suçu olmasından doğar. Ceza hukukunda hazırlık hareketleri kural olarak cezalandırılmaz; kanun koyucu burada istisna getirdiği için kapsamı dar tutmuştur. Genişletici yorum, suçta ve cezada kanunilik ilkesiyle bağdaşmaz.

Manevi Unsur ve Mesleki Bağlam

Madde kasten işlenen bir suçtur; taksirle işlenmesi mümkün değildir. Failin hem aracın niteliğini hem de kullanım amacını bilmesi aranır. Bu, özellikle bilişim alanında çalışan kişiler bakımından belirleyici bir savunma alanı açar.

Mesleki bağlamın gösterilmesinde kullanılabilecek belgeler:

• Sözleşme ve yetkilendirme. Sızma testi veya güvenlik denetimi yapılıyorsa, hizmet sözleşmesi ve müşterinin yazılı yetkilendirmesi. Yetkilendirme belgesi, bu alandaki en güçlü savunma belgesidir.
• Kapsam tanımı. Testin hangi sistemler üzerinde, hangi tarih aralığında ve hangi yöntemlerle yapılacağını gösteren teknik kapsam dokümanı.
• Eğitim ve sertifika kayıtları. Araçların eğitim veya laboratuvar ortamında kullanıldığı iddia ediliyorsa, kurs kaydı ve laboratuvar ortamına ilişkin belgeler.
• Ürün ve lisans bilgisi. Aracın ticari olarak satılan, kamuya açık ve yaygın kullanılan bir ürün olduğunu gösteren kayıtlar.

Bu belgelerin fiil tarihinden önce düzenlenmiş olması önemlidir. Sonradan oluşturulan yetkilendirme yazıları, kastın bulunmadığını göstermede zayıf kalır.

Tamamlanma Anı, İçtima ve Dijital Delil Denetimi

Suç, sayılan seçimlik hareketlerden birinin gerçekleşmesiyle tamamlanır; ayrıca bir zararın doğması veya aracın fiilen kullanılması aranmaz. Bunun iki sonucu vardır:

1. Araç kullanılmasa dahi suç oluşabilir. “Hiçbir sisteme girmedim” savunması, bulundurma fiiline karşı tek başına sonuç doğurmaz — tartışma “münhasıranlık” ve kast eksenine kaymalıdır.
2. Araç kullanılmışsa ayrı suç doğar. Aracın fiilen bir sisteme karşı kullanılması hâlinde, bilişim sistemine girme veya sistemi engelleme-bozma gibi suçlar ayrıca gündeme gelir. Bu durumda hangi hükümlerin uygulanacağı ve içtima kurallarının nasıl işleyeceği ayrıca tartışılmalıdır.

Bilirkişi raporuna itiraz edilecekse, raporun yazılımın münhasıran suç amaçlı olduğunu hangi teknik ölçüte dayanarak söylediği sorgulanmalıdır. “Bu tür programlar genellikle saldırıda kullanılır” biçimindeki genel bir değerlendirme, kanunun aradığı münhasıranlık şartını karşılamaz.

Aracın fiilen kullanılması hâlinde gündeme gelecek suç tipleri ve fıkra ayrımları için sistemi engelleme ve verileri yok etme rehberimize, hesaba yetkisiz erişim hâlinde mağdurun izleyeceği yol için yetkisiz erişim rehberimize bakabilirsiniz.

Sıkça Sorulan Sorular

Yasak cihaz veya program bulundurmanın cezası nedir?

TCK 245/A uyarınca bir yıldan üç yıla kadar hapis ve beş bin güne kadar adli para cezasıdır. Hapis ve adli para cezası birlikte uygulanır.

“Münhasıran” ne anlama geliyor?

Aracın yalnızca ve sadece kanunda belirtilen suçların işlenmesi için yapılmış veya oluşturulmuş olması gerekir. Meşru bir kullanım alanı bulunan çift kullanımlı araçlar bakımından bu şart ayrıca tartışılmalıdır.

Aracı hiç kullanmasam da suç olur mu?

Suçun tamamlanması için sayılan fiillerin bilişim suçlarını işlemek amacıyla icra edilmesi yeterlidir; temel bilişim suçunun gerçekleşmesi şart değildir.

Güvenlik testi yazılımı bulundurmak suç mu?

Meşru kullanım alanı bulunan araçlar bakımından münhasırlık şartı tartışmalı hâle gelir. Failin mesleki konumu, yetkilendirme belgeleri ve aracın yaygın kullanımı savunmada ortaya konmalıdır.

Bu madde ne zaman yürürlüğe girdi?

24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 30. maddesiyle Türk Ceza Kanunu’na eklenmiştir.

Hangi fiiller suç sayılıyor?

İmal etme, ithal etme, sevk etme, nakletme, depolama, kabul etme, satma, satışa arz etme, satın alma, başkalarına verme ve bulundurma. Bu sayım sınırlıdır ve kanunda yer almayan davranışlar kapsam dışıdır.