Kişisel Verileri Kaydetme, Verme ve Yayma Suçu (TCK m. 135-136): Unsurlar, Cezalar, Şikâyet ve Uzlaştırma

Kişisel verilere ilişkin suçlar: TCK ile KVKK nasıl bağlanır?

Kişisel verilere ilişkin suçlar, Türk Ceza Kanunu'nun "Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar" başlıklı bölümünde yer alır. Bu bölümde kişisel verilerin kaydedilmesi (TCK m. 135), verilerin hukuka aykırı olarak verilmesi veya ele geçirilmesi (TCK m. 136), nitelikli hâller (TCK m. 137), verileri yok etmeme (TCK m. 138), şikâyet (TCK m. 139) ve tüzel kişiler hakkında güvenlik tedbiri (TCK m. 140) düzenlenir.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu hükümlere doğrudan atıf yapar: kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'nun 135 ila 140 ıncı madde hükümleri uygulanır (KVKK m. 17/1). Aynı maddenin ikinci fıkrası, kişisel verileri silme veya anonim hâle getirme yükümlülüğüne aykırılığı da TCK m. 138'e bağlar (KVKK m. 17/2). Ceza dosyası bakımından bu yazı TCK hükümleri üzerinden ilerler; KVKK'nın idari yaptırımları bu yazının konusu değildir.

Bu konuda başvurulan dosyalar farklı yerlerden doğabilir:

1. Kimlik belgesi. Bir işlem için verilen kimlik fotokopisinin ya da kimlik fotoğrafının saklanması, başka bir işte kullanılması veya bir başkasına gönderilmesi.
2. Telefon numarası ve iletişim listeleri. Bir rehberin, müşteri ya da üye listesinin kopyalanması, satılması veya bir mesaj grubunda paylaşılması.
3. Sağlık bilgisi. Bir tahlil sonucunun, raporun veya tanının kişinin bilgisi dışında başkalarına iletilmesi.
4. Müşteri ve çalışan verileri. Bir şirketin sistemindeki kayıtların bir çalışan tarafından kendi cihazına aktarılması ya da bir veri sızıntısıyla dışarı çıkması.

Bir bilginin kişisel veri olup olmadığı, fiilin hangi maddeye girdiği ve hukuka aykırı olup olmadığı, Cumhuriyet savcısı ve mahkeme tarafından dosyadaki delillere göre değerlendirilir. Bu yazı iki okuru birlikte düşünür: verisi kaydedilen veya paylaşılan kişi ve bu fiillerle suçlanan çalışan, şirket yetkilisi ya da kamu görevlisi.

Kişisel verileri hukuka aykırı olarak kaydetme: TCK m. 135

Temel hâl. Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir (TCK m. 135/1). Fıkradaki fiil kaydetmedir; verinin bir başkasına verilmesi veya yayılması bu fıkranın değil, TCK m. 136'nın konusudur.

Özel nitelikli veriler. TCK m. 135/2'ye göre kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.

Fıkranın yazılışına dikkat etmek gerekir. Kanun veri gruplarını noktalı virgülle ikiye ayırır: ilk grupta siyasi, felsefi veya dini görüşler ve ırki köken yer alır; noktalı virgülden sonraki ikinci grup ise "hukuka aykırı olarak" ibaresiyle başlar ve sağlık durumu da bu grupta sayılır. Bir sağlık raporunun, bir tahlil sonucunun ya da bir tanı bilgisinin kaydedildiği dosyalarda bu fıkra gündeme gelebilir.

Hukuka aykırılık. Hem birinci hem ikinci fıkra, kaydetmenin hukuka aykırı olmasını arar. Bir verinin kaydedilmesinin hukuka uygun olup olmadığı, kaydın hangi amaçla, kim tarafından, hangi ilişki içinde ve hangi dayanakla yapıldığına bakılarak somut olayda değerlendirilir. Bu değerlendirme savcılığa ve mahkemeye aittir; aynı veri bir dosyada hukuka uygun, başka bir dosyada hukuka aykırı biçimde kaydedilmiş olabilir.

Örneğin bir işlem için alınan kimlik fotokopisinin o işlem dışında bir amaçla saklandığı, bir müşteri listesinin şirket sistemi dışında ayrı bir dosyaya aktarıldığı ya da bir çalışanın iş arkadaşının sağlık bilgisini kendi notlarına geçirdiği ileri sürülen olaylar TCK m. 135 kapsamında incelenebilir. Fiilin bu maddeye mi, TCK m. 136'ya mı girdiğini olayın ayrıntıları belirler.

Verme, yayma veya ele geçirme: TCK m. 136

Temel hâl. Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır (TCK m. 136/1). Fıkra üç ayrı hareket sayar:

1. Bir başkasına vermek. Verinin belirli bir kişiye iletilmesi; örneğin bir müşteri listesinin bir rakip firmaya gönderilmesi ya da bir kimlik fotoğrafının üçüncü bir kişiye aktarılması.
2. Yaymak. Verinin belirsiz sayıda kişinin ulaşabileceği biçimde paylaşılması; örneğin bir telefon numarası listesinin bir sosyal medya hesabında ya da kalabalık bir mesaj grubunda yayımlanması.
3. Ele geçirmek. Verinin hukuka aykırı olarak elde edilmesi; örneğin bir başkasının cihazındaki ya da bir şirket sistemindeki kayıtların izinsiz kopyalanması.

Bu örnekler, fıkradaki hareketlerin hangi olaylarda tartışılabileceğini göstermek içindir. Somut bir paylaşımın verme mi, yayma mı, ele geçirme mi olduğunu ve hukuka aykırı olup olmadığını savcılık ve mahkeme olayın bütününe göre değerlendirir.

İkinci fıkra. 17/10/2019 tarihli ve 7188 sayılı Kanunla eklenen TCK m. 136/2'ye göre suçun konusunun, Ceza Muhakemesi Kanunu'nun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.

Kaydetme ile ilişkisi. TCK m. 135 kaydetmeyi, TCK m. 136 verme, yayma ve ele geçirmeyi cezalandırır. Bir olayda hem kayıt hem paylaşım ileri sürülebilir; bu durumda hangi hükümlerin uygulanacağına mahkeme karar verir. Bir hesabın ele geçirilmesi yoluyla verilere ulaşıldığı ileri sürülüyorsa, bilişim sistemine girme suçu ve hesabım hacklendi, ne yapmalıyım yazılarına da bakabilirsiniz.

Kamu görevlisi, meslek kolaylığı ve şirketler: TCK m. 137 ve m. 140

TCK m. 137/1'e göre yukarıdaki maddelerde tanımlanan suçların aşağıdaki iki hâlde işlenmesi durumunda verilecek ceza yarı oranında artırılır:

1. Kamu görevlisi (TCK m. 137/1-a). Suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle işlenmesi.
2. Meslek ve sanat (TCK m. 137/1-b). Suçun belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi.

Birinci bent için kanun iki koşulu birlikte arar: failin kamu görevlisi olması ve görevinin verdiği yetkiyi kötüye kullanması. İkinci bent ise belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmayı arar. İşi gereği müşteri, hasta ya da kullanıcı verilerine erişen bir kişinin bu erişimi kullanarak veriyi kaydettiği veya paylaştığı ileri sürülen bir dosyada bu bendin uygulanıp uygulanmayacağını mahkeme değerlendirir.

Şirketler bakımından. Ceza sorumluluğu şahsidir; kimse başkasının fiilinden dolayı sorumlu tutulamaz (TCK m. 20/1). Tüzel kişiler hakkında ceza yaptırımı uygulanamaz; ancak suç dolayısıyla kanunda öngörülen güvenlik tedbiri niteliğindeki yaptırımlar saklıdır (TCK m. 20/2). Kişisel verilere ilişkin suçlar için bu tedbir TCK m. 140/1'de öngörülmüştür: yukarıdaki maddelerde tanımlanan suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.

Bu nedenle bir şirketin sistemindeki verilerin kaydedildiği ya da dışarı verildiği bir dosyada, ceza soruşturması fiili gerçekleştirdiği ileri sürülen gerçek kişiler hakkında yürür; şirket bakımından ise TCK m. 140/1'deki güvenlik tedbirleri gündeme gelebilir. Çalışanın kendi inisiyatifiyle mi, bir talimata dayanarak mı hareket ettiği, kimin hangi fiili gerçekleştirdiği delillere göre ayrı ayrı incelenir.

Müşteri bilgilerine ilişkin bir başka hüküm de vardır: sıfat veya görevi, meslek veya sanatı gereği vakıf olduğu ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi veya belgeleri yetkisiz kişilere veren veya ifşa eden kişi, şikâyet üzerine cezalandırılır (TCK m. 239/1). Bir müşteri listesinin dışarı verildiği olayda hangi hükmün uygulanacağını mahkeme belirler.

Verileri yok etmeme: TCK m. 138 ve KVKK m. 17/2

Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara, görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir (TCK m. 138/1). Bu suçun faili herkes değildir; kanun, verileri yok etmekle yükümlü olanları sayar.

21/2/2014 tarihli ve 6526 sayılı Kanunla eklenen ikinci fıkraya göre suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır (TCK m. 138/2).

KVKK bu hükme ikinci bir uygulama alanı ekler: Kanunun 7 nci maddesi hükmüne aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler TCK m. 138'e göre cezalandırılır (KVKK m. 17/2). Bir şirketin ya da kurumun saklama gerekçesi ortadan kalkmış verileri sistemde tutmaya devam ettiği ileri sürülen dosyalarda bu hüküm tartışılabilir. Silme veya anonim hâle getirme yükümlülüğünün somut olayda doğup doğmadığını ve kimin bu yükümlülük altında olduğunu savcılık ve mahkeme değerlendirir.

Özel hayatın gizliliğini ihlalden farkı: TCK m. 134

Kişisel veri suçları ile özel hayatın gizliliğini ihlal suçu aynı bölümde yer alır ve bazı olaylarda birlikte tartışılır. TCK m. 134/1'e göre kişilerin özel hayatının gizliliğini ihlal eden kimse bir yıldan üç yıla kadar hapis cezası ile cezalandırılır; gizliliğin görüntü veya seslerin kayda alınması suretiyle ihlal edilmesi hâlinde verilecek ceza bir kat artırılır. TCK m. 134/2'ye göre kişilerin özel hayatına ilişkin görüntü veya sesleri hukuka aykırı olarak ifşa eden kimse iki yıldan beş yıla kadar hapis cezası ile cezalandırılır.

İki grup arasındaki önemli bir fark şikâyet şartındadır. TCK m. 139/1, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümde yer alan suçların soruşturulmasını ve kovuşturulmasını şikâyete bağlar. Buna göre TCK m. 134 şikâyete bağlıdır; TCK m. 135, TCK m. 136 ve TCK m. 138 şikâyete bağlı değildir.

Bir görüntü veya ses kaydının paylaşıldığı olaylarda hangi maddenin uygulanacağı ayrıntılı bir değerlendirme gerektirir. Bu konuyu özel hayatın gizliliğini ihlal ve görüntü paylaşma yazısında ayrıca anlattık.

Şikâyet ve uzlaştırma: TCK m. 139 ve CMK m. 253

Şikâyete bağlı değil. TCK m. 139/1 uyarınca kişisel verilerin kaydedilmesi (TCK m. 135), verileri hukuka aykırı olarak verme veya ele geçirme (TCK m. 136) ve verileri yok etmeme (TCK m. 138) suçlarının soruşturulması ve kovuşturulması şikâyete bağlı değildir. Bu suçlar için şikâyete bağlı suçlara ilişkin altı aylık şikâyet süresi (TCK m. 73/1) öngörülmemiştir.

Şikâyetten vazgeçmenin sonucu da buna göre belirlenir. Kovuşturma yapılabilmesi şikâyete bağlı suçlarda, kanunda aksi yazılı olmadıkça, suçtan zarar gören kişinin vazgeçmesi davayı düşürür (TCK m. 73/4). Bu kural şikâyete bağlı suçlara ilişkindir; TCK m. 135, TCK m. 136 ve TCK m. 138 bu nitelikte olmadığından verisi kaydedilen veya paylaşılan kişinin şikâyetinden vazgeçmesi bu kural uyarınca davayı düşürmez. Şikâyetten vazgeçmenin genel sonuçları için şikâyetten vazgeçmenin sonuçları yazısına bakabilirsiniz.

Uzlaştırma. CMK m. 253/1'e göre uzlaştırma girişiminde bulunulan suçlar şunlardır:

1. Şikâyete bağlı suçlar (CMK m. 253/1-a). TCK m. 135, TCK m. 136 ve TCK m. 138 şikâyete bağlı olmadığından bu bende girmez.
2. Sayılan suçlar (CMK m. 253/1-b). Bu bentteki listede kasten yaralama, tehdit, konut dokunulmazlığının ihlali, hırsızlık, dolandırıcılık ve müşteri sırrı niteliğindeki bilgi veya belgelerin açıklanması (TCK m. 239, dördüncü fıkra hariç) gibi suçlar sayılır; TCK m. 135, TCK m. 136 ve TCK m. 138 bu listede yer almaz.

Bu nedenle kişisel verileri kaydetme, verme veya yayma ve verileri yok etmeme suçları CMK m. 253/1'in (a) ve (b) bentlerinin kapsamına girmez.

Birlikte işlenen suçlar (CMK m. 253/3). Uzlaştırma kapsamına giren bir suçun, bu kapsama girmeyen bir başka suçla birlikte aynı mağdura karşı işlenmiş olması hâlinde de uzlaşma hükümleri uygulanmaz. 24/12/2025 tarihli ve 7571 sayılı Kanunla eklenen cümleye göre ise önödeme kapsamına giren bir suç ile uzlaştırma kapsamına giren bir suçun birlikte aynı mağdura karşı işlenmiş olması hâlinde, uzlaştırma kapsamındaki suç bakımından uzlaşma hükümleri uygulanır. Örneğin şikâyete bağlı bir özel hayat ihlali ile şikâyete bağlı olmayan bir veri yayma fiilinin aynı kişiye karşı birlikte ileri sürüldüğü bir dosyada bu fıkranın nasıl uygulanacağını savcılık ve mahkeme değerlendirir. Uzlaştırmanın işleyişi için uzlaştırma nedir yazısına bakabilirsiniz.

Verileriniz kaydedildiyse veya paylaşıldıysa

Suça ilişkin ihbar veya şikâyet Cumhuriyet Başsavcılığına veya kolluk makamlarına yapılabilir (CMK m. 158/1). İhbar veya şikâyet yazılı veya tutanağa geçirilmek üzere sözlü olarak yapılabilir (CMK m. 158/5). TCK m. 135, TCK m. 136 ve TCK m. 138 şikâyete bağlı olmasa da, olayı bildiren ve delilleri sunan kişinin başvurusu soruşturmanın başlangıcı olabilir.

Bu aşamada atılabilecek adımlar şunlardır:

1. Paylaşımı belgeleyin. Verinizin göründüğü sayfanın, mesajın veya grubun ekran görüntüsünü alın; bağlantı adresini, paylaşan hesabın adını ve gördüğünüz tarihi not edin. Mümkünse asıl mesajı veya dosyayı da saklayın.
2. Verinin kimde olabileceğini yazın. Kimlik fotokopinizi, sağlık raporunuzu ya da iletişim bilgilerinizi hangi kişiye, kuruma veya şirkete hangi tarihte ve hangi amaçla verdiğinizi kronolojik olarak not edin.
3. Veriyi siz de yaymayın. Delil toplarken ekran görüntülerini kalabalık gruplarda ya da sosyal medyada paylaşmayın; belgeleri yalnız şikâyet ve hukuki danışma amacıyla kullanın.
4. Başvuruyu yapın. Belgelerle birlikte Cumhuriyet Başsavcılığına veya kolluğa başvurun; dilekçede olayı, verinin türünü ve elinizdeki delilleri açıkça yazın. Başvurunun nasıl hazırlanacağı için suç duyurusu nasıl yapılır yazısına bakabilirsiniz.
5. Soruşturmayı takip edin. Mağdur olarak soruşturmadaki haklarınız ve davaya katılma için müşteki ve katılan olmak yazısına bakabilirsiniz.

İnternetteki içeriğin kaldırılması ceza soruşturmasından ayrı bir başvuru konusudur; bunun için içerik kaldırma ve erişim engelleme yazısına bakabilirsiniz. Mağdur vekilliği için müşteki ve mağdur vekilliği sayfası bilgi verir.

Hakkınızda soruşturma varsa: çalışan, yönetici veya şirket

Bir kişisel veri iddiası nedeniyle şüpheli sıfatıyla ifadeniz alınacaksa, kanun ifade alınırken uyulacak hususları sayar (CMK m. 147/1). Bu süreçte dikkat edilebilecek adımlar şunlardır:

1. Yüklenen fiili öğrenin. Size yüklenen suç anlatılır (CMK m. 147/1-b). Fiilin kaydetme (TCK m. 135), verme, yayma veya ele geçirme (TCK m. 136) ya da verileri yok etmeme (TCK m. 138) olarak nitelendirilmesi, cezayı ve savunmanın odağını değiştirir.
2. Müdafi hakkını kullanın. Müdafi seçme hakkınızın bulunduğu, onun hukuki yardımından yararlanabileceğiniz ve müdafiin ifadede hazır bulunabileceği size bildirilir; müdafi seçecek durumda değilseniz ve istiyorsanız baro tarafından bir müdafi görevlendirilir (CMK m. 147/1-c).
3. Açıklamada bulunmama hakkını bilin. Yüklenen suç hakkında açıklamada bulunmamanın kanuni hakkınız olduğu söylenir (CMK m. 147/1-e). Kimliğinize ilişkin soruları ise doğru cevaplamakla yükümlüsünüz (CMK m. 147/1-a).
4. Lehinize delilleri belirleyin. Şüpheden kurtulmanız için somut delillerin toplanmasını isteyebilirsiniz ve aleyhinize olan şüphe nedenlerini ortadan kaldırma, lehinize olan hususları ileri sürme olanağı tanınır (CMK m. 147/1-f). Verinin hangi amaçla, kimin talimatıyla, hangi sistemde ve hangi yetkiyle işlendiğini gösteren yazışmalar, görev tanımları ve erişim kayıtları bu bakımdan önem taşıyabilir.
5. Cihazları ve kayıtları değiştirmeyin. Soruşturma başladıktan sonra dosyaları silmek ya da cihazları sıfırlamak yeni tartışmalar doğurabilir. Delillerin nasıl toplandığı için telefona el koyma ve dijital delil yazısına bakabilirsiniz.

Şirket yetkilisi iseniz, ceza sorumluluğunun şahsi olduğunu (TCK m. 20/1), tüzel kişiler hakkında ceza yaptırımı uygulanamayacağını ve suç dolayısıyla kanunda öngörülen güvenlik tedbiri niteliğindeki yaptırımların saklı olduğunu (TCK m. 20/2, TCK m. 140/1) göz önünde tutun. Kimin hangi fiili gerçekleştirdiği, kimin hangi talimatı verdiği ve hangi yetkiyle hareket ettiği dosyada ayrı ayrı incelenir. İfade sürecinin genel işleyişi için neden ifadeye çağrıldım, susma hakkı ve şikâyet edildim, süreç nasıl işler yazılarına bakabilirsiniz.

Sık sorulan sorular