Kişisel Verileri Ele Geçirme, Yayma veya Verme Suçu ve Cezası (2025)

Bu yazımızda, Kişisel Verileri Ele Geçirme, Yayma veya Verme Suçu ve Cezası konusunu değerlendireceğiz. Dijitalleşen dünyada, attığımız her adım, yaptığımız her alışveriş, girdiğimiz her internet sitesi arkasında bir iz bırakır: kişisel verilerimiz. Adımız, T.C. kimlik numaramız, telefon numaramız, adresimiz, sağlık bilgilerimiz, finansal durumumuz, siyasi görüşlerimiz ve hatta fotoğraflarımız… Tüm bu bilgiler, bizim dijital kimliğimizi oluşturur. Bu veriler, günümüz ekonomisinde “yeni petrol” olarak adlandırılacak kadar değerli hale gelmiştir. Ancak bu değer, aynı zamanda kötü niyetli kişiler için de bir hedef teşkil etmektedir.

Bir kişinin kişisel verilerinin hukuka aykırı bir şekilde ele geçirilmesi veya yayılması, sadece bir veri sızıntısı değil, aynı zamanda o kişinin mahremiyetine, güvenliğine ve itibarına yönelik ağır bir saldırıdır. Bu veriler, kimlik hırsızlığı, dolandırıcılık, şantaj, taciz gibi pek çok başka suçun işlenmesi için bir anahtar görevi görebilir. Kanun koyucu, bireyin dijital dünyadaki bu en temel hakkını, yani kendi verileri üzerindeki kontrol hakkını korumak amacıyla, Türk Ceza Kanunu’nun (TCK) 136. maddesinde

“Verileri hukuka aykırı olarak verme veya ele geçirme” suçunu özel olarak düzenlemiştir. Bu madde, kişisel veri ticaretini, sızıntıları ve hırsızlığını ağır cezai yaptırımlara bağlayarak bireyin dijital kalesini korumayı amaçlar.

TCK Madde 136

(1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.

(2) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.

Kişisel Verileri Ele Geçirme, Yayma veya Verme Suçu ve Cezası

Bu suç, TCK’nın “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” bölümünde yer almaktadır. Bu konumlandırma, suçla korunmak istenen temel hukuki değerin, genel anlamda özel hayatın gizliliği ve daha spesifik olarak da bireyin “kişisel verilerinin korunması hakkı” olduğunu gösterir. Bu hak, kişinin kendisiyle ilgili bilgilerin kim tarafından, ne amaçla ve ne şekilde kullanılacağına karar verme özgürlüğünü içerir ve modern bir temel insan hakkı olarak kabul edilir.

Suçun Unsurları

Suçun oluşması için gerekli olan unsurlar şunlardır:

Suçun Konusu: “Kişisel Veri” Nedir? Kanunun merkezinde “kişisel veri” kavramı yer alır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) göre kişisel veri, “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.” Bu tanım son derece geniştir ve şunları kapsar:

• Kimlik Bilgileri: Ad, soyad, T.C. kimlik numarası, anne-baba adı, doğum yeri/tarihi.
• İletişim Bilgileri: Adres, telefon numarası, e-posta adresi.
• Finansal Bilgiler: Banka hesap numarası, IBAN, kredi kartı bilgileri.
• Özel Nitelikli Kişisel Veriler: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf üyeliği, sağlık bilgileri, cinsel hayata ilişkin bilgiler, ceza mahkumiyeti ve biyometrik veriler (parmak izi, retina taraması vb.).
• Diğer Veriler: Fotoğraflar, video kayıtları, IP adresi, konum bilgileri, araç plakası vb.

Suçun Hareketleri (Seçimlik Fiiller) TCK 136, suçu üç farklı seçimlik hareketle tanımlamıştır. Bunlardan herhangi birinin yapılması suçun oluşması için yeterlidir:

Verileri Hukuka Aykırı Olarak Bir Başkasına Verme: Hukuka uygun bir şekilde kişisel veriye sahip olan bir kişinin (örneğin bir şirket çalışanı, bir kamu görevlisi), bu verileri yetkisi olmayan üçüncü bir kişiye vermesidir. Örneğin, bir GSM operatörü çalışanının, müşterilerin iletişim bilgilerini bir reklam firmasına satması bu suçu oluşturur.

1. Verileri Yayma: Kişisel verileri, belirsiz sayıda kişinin bilgisine sunmak, alenileştirmektir. Örneğin, bir şirketten sızdırılan müşteri listesini bir internet forumunda veya sosyal medyada yayınlamak “yayma” fiilini oluşturur.
2. Verileri Ele Geçirme: Kişisel verilere, sahibinin rızası ve hukuki bir dayanak olmaksızın erişim sağlamaktır. Bu, suçun en sık karşılaşılan halidir ve genellikle “hackleme”, “oltalama” (phishing), sosyal mühendislik gibi yöntemlerle gerçekleştirilir.

Manevi Unsur (Kast) Bu suç, ancak kasten işlenebilir. Failin, eyleminin kişisel verilere yönelik olduğunu ve bu eylemin hukuka aykırı olduğunu bilmesi ve istemesi gerekir. Failin özel bir amaç (kin gütme, para kazanma vb.) gütmesi suçun oluşması için şart değildir.

Cezası ve Nitelikli Haller

• Temel Ceza (TCK md. 136): Kişisel verileri hukuka aykırı olarak veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
• Nitelikli Haller (Cezayı Artıran Durumlar – TCK md. 137): Eğer bu suç;
  • Bir kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılmak suretiyle (örneğin bir nüfus memurunun bilgi sızdırması) veya,
  • Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle (örneğin bir bankacının, avukatın veya doktorun müşteri/müvekkil/hasta bilgilerini sızdırması) işlenirse, verilecek ceza yarı oranında artırılır.

Failin Tespiti ve Dijital Deliller

Bu suçlar, doğası gereği dijital izler bırakır. Faillerin tespiti, adli bilişim incelemeleriyle mümkün olmaktadır.

• Soruşturma makamları, hakim kararıyla, internet servis sağlayıcılardan (İSS) şüpheli işlemin yapıldığı IP adresinin kime ait olduğu bilgisini talep edebilir.

• Failin kullandığı cihaza özgü olan ve farklı platformlardaki hareketlerini birleştirmeye yarayan “cihaz parmak izi” (device fingerprinting) gibi teknik veriler, kimliğin saptanmasında kritik rol oynar.

• E-posta veya mesajlaşma kayıtlarındaki başlık bilgileri (header) ve meta-veriler, gönderinin kaynağını ve izlediği yolu ortaya çıkarabilir.

Yargılama Süreci

• Şikâyet: TCK’nın 139. maddesi uyarınca, kişisel verilerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi suçu (TCK 136) şikâyete tabidir. Mağdurun, fiili ve faili öğrendiği tarihten itibaren 6 ay içinde şikâyette bulunması gerekir.
• Uzlaşma: Bu suç, şikâyete tabi olması nedeniyle uzlaşma kapsamındadır. Soruşturma aşamasında dosya, tarafların anlaşması için bir uzlaştırmacıya gönderilir.
• Görevli Mahkeme: Bu suçla ilgili davalara Asliye Ceza Mahkemeleri bakar.

Sıkça Sorulan Sorular

Ayrıldığım sevgilim, telefon numaramı ve sosyal medya profilimi, rızam olmadan tanımadığım kişilere vermiş. Bu suç mudur? Evet, bu kesinlikle bir suçtur. Telefon numaranız ve sosyal medya profiliniz sizin kişisel verinizdir. Eski sevgilinizin bu verileri sizin rızanız olmadan üçüncü kişilere vermesi, TCK 136’daki “verileri hukuka aykırı olarak verme” suçunu oluşturur. Derhal şikayetçi olmalısınız.

Bir alışveriş sitesi hacklendi ve benim de adım, adresim ve e-posta bilgilerim internete sızdırıldı. Ne yapabilirim? Bu durumda iki yönlü hareket etmelisiniz. Öncelikle, verilerinizi “ele geçiren” ve “yayan” hackerlar TCK 136’dan suç işlemiştir; bu konuda savcılığa suç duyurusunda bulunabilirsiniz. İkinci olarak, verilerinizi korumakla yükümlü olan alışveriş sitesi, gerekli güvenlik önlemlerini almadığı için KVKK kapsamında idari sorumluluğu altındadır. Site hakkında Kişisel Verileri Koruma Kurumu’na şikayette bulunabilirsiniz.

TCK 136 (Veri Yayma) ile TCK 134 (Özel Hayatın Gizliliği – Görüntü Yayma) arasındaki fark nedir? TCK 134, özel hayat kapsamındaki faaliyetlere ilişkin görüntü ve ses kayıtlarının yayılmasını özel olarak cezalandırır. TCK 136 ise çok daha geniştir; görüntü ve ses dışındaki her türlü kişisel veriyi (isim, kimlik no, telefon, adres vb.) kapsar. Örneğin, birinin gizlice çekilmiş fotoğrafını yaymak TCK 134’ü, o kişinin telefon numarasını yaymak ise TCK 136’yı oluşturur.

Hastanede çalışan bir görevli, bir hastanın hastalığına ilişkin bilgileri dışarı sızdırırsa ne olur? Bu durum, suçun nitelikli halini oluşturur. Sağlık verileri, özel nitelikli kişisel veridir ve daha hassas korunur. Görevli, hem TCK 136’dan “veri verme” suçunu işlemiş olur, hem de bu suçu “belli bir mesleğin sağladığı kolaylıktan yararlanarak” işlediği için TCK 137 uyarınca cezası yarı oranında artırılır.

Sadece bir kişinin telefon numarasını ele geçirmek bile bu suçu oluşturur mu? Evet. Suçun oluşması için büyük bir veritabanının veya çok sayıda verinin ele geçirilmesi şart değildir. Tek bir kişiye ait, o kişiyi belirlenebilir kılan tek bir veri (telefon numarası, e-posta adresi gibi) dahi “kişisel veri”dir ve hukuka aykırı olarak ele geçirilmesi, verilmesi veya yayılması TCK 136’daki suçu oluşturur.

Av. Efehan Mihai ERGİNER