Kişisel Verilerin İhlali Suçu: TCK 135-138

Kişisel verilerin ihlali suçu, Türk Ceza Kanunu’nda (TCK) tek bir madde olarak değil, birbirini tamamlayan birkaç hüküm olarak düzenlenir. Kişisel verileri hukuka aykırı olarak kaydetmek TCK m. 135/1 uyarınca bir yıldan üç yıla kadar hapis cezasını, bu verileri hukuka aykırı olarak bir başkasına vermek, yaymak veya ele geçirmek ise m. 136/1 uyarınca iki yıldan dört yıla kadar hapis cezasını gerektirir. Kişisel Verilerin Korunması Kanunu’nun 17. maddesinin birinci fıkrası da bu suçlar bakımından TCK’nın 135 ila 140. madde hükümlerinin uygulanacağını belirtir.

Bu yazı, günlük dilde “kişisel verilerin ihlali” denilen durumun ceza hukukundaki karşılığını anlatır. Hangi fiillerin suç sayıldığını, cezaların hangi aralıkta olduğunu, cezayı artıran halleri ve soruşturma usulünün genel çerçevesini bulacaksınız. Yazı genel bilgilendirme amacı taşır. Somut bir olayda değerlendirme, olayın tüm ayrıntılarına ve güncel mevzuata bakılarak yapılmalıdır.

Kişisel verilerin ihlali suçu hangi maddelerde düzenlenir?

Kişisel verilere ilişkin suçlar, TCK’nın “Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar” başlıklı bölümünde yer alır. Güncel metni mevzuat.gov.tr üzerindeki Türk Ceza Kanunu sayfasından inceleyebilirsiniz. Bu bölümde kişisel verilerle ilgili üç ayrı suç tipi öne çıkar:

• m. 135: Kişisel verilerin kaydedilmesi.
• m. 136: Verileri hukuka aykırı olarak verme, yayma veya ele geçirme.
• m. 138: Verileri yok etmeme.

Bu hükümlerin 1 Haziran 2005’te yürürlüğe giren TCK ile ceza mevzuatımıza girdiği, Anayasa Mahkemesi’nin 2015/32 E., 2015/102 K. sayılı dosyasına ilişkin belgede da aktarılmaktadır. Bunlara ek olarak m. 137 cezayı artıran nitelikli halleri, m. 139 soruşturma usulünü düzenler.

Bir fiilin hangi maddeye girdiği önemlidir. “Hukuka aykırı kaydetme” ile “başkasına verme, yayma veya ele geçirme” farklı suçlardır ve cezaları aynı değildir. Hukuka aykırı kaydedilmiş bir verinin sonradan paylaşılması, olayın niteliğine göre her iki hükmün de gündeme gelmesine yol açabilir. Bu değerlendirme somut olayın incelenmesini gerektirir.

Kişisel verilerin hukuka aykırı kaydedilmesi (TCK m. 135)

TCK m. 135/1’e göre hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir. Maddenin merkezindeki kavramlar “kişisel veri”, “kaydetme” ve “hukuka aykırılık” kavramlarıdır.

Kişisel veri, Kişisel Verilerin Korunması Kanunu’nun temel kavramlarından biridir. Kanunun tam metnine mevzuat.gov.tr üzerindeki 6698 sayılı Kanun metninden ulaşabilirsiniz. Kanunun genel çerçevesini ayrıca Kişisel Verilerin Korunması Kanunu Nedir? yazımızda ele aldık. Ceza hukuku bakımından “kişisel veri”nin kapsamına dair Yargıtay yorumunu bu yazıda aktarmıyoruz, çünkü bu konuda doğrulanmış bir kaynağa dayanmak gerekir.

“Hukuka aykırılık” ise verinin kaydedilmesini haklı kılan bir sebebin bulunmaması anlamına gelir. KVKK’daki veri işleme şartlarının ceza yargılamasında hukuka aykırılığı nasıl etkilediği, bu yazının dayandığı kaynaklarla doğrulanamadığı için burada ayrıntılı biçimde ele alınmamıştır. Bu nedenle somut olayda verinin neden ve nasıl kaydedildiği ayrıca değerlendirilmelidir.

Özel nitelikli verilerde ceza artırımı (m. 135/2)

TCK m. 135/2, bazı veri türlerini ayrıca korur. Kaydedilen veri; kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkinse, m. 135/1 uyarınca verilecek ceza yarı oranında artırılır.

Bu sayımı yorum katmadan, madde metnindeki haliyle aktarmak gerekir. Fıkrada geçen “hukuka aykırı olarak” ifadesinin kapsamı da madde metnine sadık kalınarak okunmalıdır. Uygulamada bu sayımın dışında kalan bir verinin özel nitelikli sayılıp sayılmayacağı gibi sorular mahkemenin ve hukuk danışmanının değerlendirmesine bağlıdır.

Verilerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi (TCK m. 136)

TCK m. 136/1, kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişiyi iki yıldan dört yıla kadar hapis cezası ile cezalandırır. Maddede üç ayrı fiil sayılmıştır:

• Verme: Verinin belirli bir kişiye ulaştırılması.
• Yayma: Verinin daha geniş bir kitleye açılması.
• Ele geçirme: Verinin hukuka aykırı biçimde elde edilmesi.

Okurların en sık karşılaştığı “yayılması” boyutu bu maddeyle ilgilidir. Bir kişinin kimlik, iletişim veya benzeri bilgilerinin rızası ve hukuki dayanağı olmaksızın üçüncü kişilere iletilmesi ya da internet ortamında paylaşılması, bu hükmün konusu olabilir. Bir paylaşımın somut olarak suç oluşturup oluşturmadığı, paylaşılan bilginin niteliğine, paylaşımın hukuka aykırı olup olmadığına ve olayın koşullarına bağlıdır.

İçeriğin internet ortamında yayılması hâlinde ayrıca erişim engeli gibi başka başvuru yolları da gündeme gelebilir. Bu konu ceza hükümlerinden ayrı bir düzenlemeye tabidir. Genel bilgi için İnternet Erişim Yasağı Nedir? 5651 Kapsamında Erişim Engeli yazımıza bakabilirsiniz.

Bilişim sistemleri kullanılarak işlenmesi

Kişisel veriler bugün büyük ölçüde dijital ortamlarda tutulduğu için, bu suçların bilişim sistemleri üzerinden işlenip işlenemeyeceği sık sorulur. Yargıtay Ceza Genel Kurulu’nun 2009/11-193 sayılı itirazname dosyasındaki kararı, TCK’nın 135 ve 136. maddelerindeki suçların bilişim sistemleri kullanılarak işlenmesinin mümkün olduğunu belirtir.

Bu tespit, suçun yalnızca kâğıt üzerindeki kayıtlarla sınırlı olmadığını gösterir. Elektronik ortamda tutulan, aktarılan veya paylaşılan bilgiler de aynı hükümlerin kapsamında değerlendirilebilir. Bu karar eski tarihlidir. Bu yazı, kararı yalnızca bu genel tespit bakımından kaynak göstermektedir ve güncel bir içtihat değerlendirmesi niteliği taşımaz.

Cezayı artıran haller (TCK m. 137)

TCK m. 137/1’e göre yukarıdaki maddelerde tanımlanan suçlar iki durumda işlenirse verilecek ceza yarı oranında artırılır. Adalet Bakanlığı Adli Sicil sitesindeki TCK metninde bu hüküm şöyle yer almaktadır:

• Suçun kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılarak işlenmesi.
• Suçun belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi.

Bu hükmün pratik anlamı şudur: Verilere görevi veya mesleği nedeniyle erişebilen kişiler, bu erişimi hukuka aykırı biçimde kullanırsa daha ağır bir yaptırımla karşılaşabilir. Aynı kaynak TCK m. 138’in ceza aralığını eski haliyle (altı aydan bir yıla) göstermektedir. Bu nedenle m. 138 için güncel aralığa aşağıdaki bölümde değinilen kaynaklar esas alınmalıdır.

Yargıtay örneği: görev gereği erişilen verilerin satılması

Yargıtay 12. Ceza Dairesi’nin 12-2015/184760 numaralı tebliğname örneğinde bir telekomünikasyon şirketi çalışanı sanığın, görevi gereği erişebildiği müşteri kişisel verilerini bir kişiye satması TCK m. 136/1’deki suçu oluşturan eylem olarak kabul edilmiştir. Belgeye göre yerel mahkeme olan İstanbul 35. Asliye Ceza Mahkemesi, TCK m. 136/1 ve 137/1-a uyarınca mahkûmiyet vermiştir.

Bu örnek, m. 136 ile m. 137’nin birlikte nasıl uygulanabildiğini gösterir. Ancak tek bir örnek olduğunu ve her olayın kendi koşullarıyla değerlendirileceğini belirtmek gerekir. Yargıtay’ın kişisel veri kavramına ilişkin değerlendirmesi bu yazıda aktarılmamıştır. Ayrıca bu yazının hazırlanmasında m. 135 ve 136 için yeni tarihli bir Yargıtay kararına ulaşılamadığından, “güncel içtihat” iddiasında bulunulmamaktadır.

Verileri yok etmeme suçu (TCK m. 138 ve KVKK m. 17/2)

Kişisel verilerin ihlali yalnızca kaydetme veya yayma ile sınırlı değildir. TCK m. 138/1’e göre kanunların belirlediği süreler geçmesine rağmen verileri sistem içinde yok etmekle yükümlü olanlar görevlerini yerine getirmezse bir yıldan iki yıla kadar hapis cezası verilir.

Bu ceza aralığı, Adalet Bakanlığı’nın 13/01/2021 tarihli uzlaştırma kapsamındaki suçlar listesinde ve Anayasa Mahkemesi’ne bağlı AYAM’ın yayımladığı bir makalede de aynı şekilde aktarılmaktadır.

KVKK m. 17/2 ise bu suça bir bağlantı kurar. Kanunun 7. maddesine aykırı olarak kişisel verileri silmeyen veya anonim hâle getirmeyenler, TCK m. 138’e göre cezalandırılır. Dolayısıyla veri sorumlularının silme ve anonim hâle getirme yükümlülükleri, yalnızca idari bir konu olarak kalmaz. Yükümlülüğün yerine getirilmemesi ceza hukuku sonuçları doğurabilir.

Soruşturma usulü: şikâyet ve uzlaştırma

TCK m. 139/1 genel olarak bölümdeki suçların soruşturulmasını ve kovuşturulmasını şikâyete bağlar. Ancak maddede bir istisna vardır: m. 135 (kaydetme), m. 136 (verme veya ele geçirme) ve m. 138 (yok etmeme) şikâyete bağlı değildir. Bu bilgi mevzuat.gov.tr’deki 2/3/2014 tarihli arşiv metnine dayanmaktadır. Güncel metin için resmî kaynakların yeniden kontrol edilmesi gerekir.

Adalet Bakanlığı’nın yukarıda anılan 13/01/2021 tarihli listesi de m. 135/1 ve m. 138/1 için şikâyete tabi olup olmadığı sorusuna “Hayır” yanıtını vermekte ve bu iki hükmü uzlaştırma kapsamında göstermektedir. Bu liste 2021 tarihlidir. Dolayısıyla uzlaştırmanın bugün de aynı şekilde uygulanıp uygulanmadığı güncel mevzuat üzerinden ayrıca doğrulanmalıdır. TCK m. 136’nın uzlaştırma kapsamı bu yazıda ele alınmamıştır.

Bu usul bilgisi pratik açıdan şunu ifade eder: Bu suçlar bakımından soruşturma, mağdurun şikâyetine bağlı olmaksızın yürütülebilir. Yine de zamanaşımı süreleri, görevli mahkeme ve yargılama usulüne ilişkin ayrıntılar bu yazının kapsamı dışındadır ve somut olayda bir avukatla gözden geçirilmelidir.

Belirlilik ilkesi tartışması

TCK m. 135 ve 136, hukuk doktrininde ve Anayasa Mahkemesi önündeki bir dosyada “kişisel veri” kavramının genişliği nedeniyle tartışılmıştır. Anayasa Mahkemesi’nin 2015/32 E., 2015/102 K. sayılı dosyasındaki başvuru metni, bu iki maddenin belirlilik (açıklık) ilkesine uymadığı ve Anayasa’ya aykırı olduğu iddiasını içermektedir. Metinde, kişisel veri kapsamının çok geniş olduğu savunulmakta ve herkesçe bilinen bilgilerin kaydının veya yayılmasının cezalandırılması örnek olarak gösterilmektedir.

Burada önemli bir ayrım yapmak gerekir. Anılan metin bir iddia ve gerekçe olarak aktarılmaktadır. Dosyanın sonucunun (ret veya iptal) bu yazının dayandığı kaynaklardan doğrulanamadığı için, bu tartışma bir Anayasa Mahkemesi hükmü olarak sunulmamaktadır. Okur açısından çıkarılabilecek sonuç şudur: “Kişisel veri” kavramının sınırları, ceza hukuku bakımından özenle yorumlanması gereken bir konudur.

Ceza yolu ile idari başvuru yollarının farkı

Kişisel verilerinizin hukuka aykırı işlendiğini düşünüyorsanız, ceza hukuku tek yol değildir. KVKK kapsamında veri sorumlusuna başvuru ve Kişisel Verileri Koruma Kurulu’na şikâyet gibi idari yollar da bulunur. Bu yolların işleyişini KVKK Kapsamında Kişisel Veri İhlali: Başvuru ve Şikâyet Yolları yazımızda anlattık.

İki alanın amacı farklıdır. Ceza hükümleri, fiili işleyen kişinin cezalandırılmasını hedefler. İdari yollar ise veri işleme faaliyetinin KVKK’ya uygunluğunu denetler. KVKK Kurulu’nun idari para cezalarının tutarlarına ve istatistiklere ilişkin doğrulanabilir bir veriye bu yazıda dayanılamadığı için, sayısal bir bilgi verilmemiştir.

Güncel mevzuat değişiklikleri hakkında not

Kişisel verilerin korunması mevzuatı zaman zaman değişmektedir. 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun, 12/03/2024 tarihli Resmî Gazete’de yayımlanmış ve KVKK’nın bazı maddelerini değiştirmiştir. Kanun metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.

Anayasa Mahkemesi’nin 2025/149 sayılı norm denetimi kararı da 7499 sayılı Kanun’un çeşitli maddelerini konu almaktadır. Bunlar arasında KVKK m. 9’u (yurt dışına aktarım) değiştiren 34. madde de bulunur. Kararın sonucu ve KVKK m. 9 bakımından etkisi bu yazının dayandığı kaynaklardan anlaşılamamaktadır, bu nedenle yorum yapılmamıştır.

TCK m. 135, 136 ve 138’in 7499 sayılı Kanunla değiştirildiğine dair bir bilgiye ulaşılamamıştır. Bu maddelerdeki ceza aralıklarının hangi kanunla ve hangi tarihte değiştirildiği de doğrulanamamıştır. Bu nedenle yazıdaki ceza aralıkları, güncel TCK metni esas alınarak verilmiştir ve karar verirken resmî metnin yeniden kontrol edilmesi önerilir.

Özet: hangi fiil hangi maddeye giriyor?

• Hukuka aykırı kaydetme: TCK m. 135/1, bir yıldan üç yıla kadar hapis.
• Özel nitelikli veriler: TCK m. 135/2, ceza yarı oranında artırılır.
• Hukuka aykırı verme, yayma veya ele geçirme: TCK m. 136/1, iki yıldan dört yıla kadar hapis.
• Kamu görevlisi veya meslek kolaylığı: TCK m. 137/1, ceza yarı oranında artırılır.
• Verileri yok etmeme: TCK m. 138/1, bir yıldan iki yıla kadar hapis. KVKK m. 17/2 bu suça atıf yapar.
• Soruşturma usulü: TCK m. 139/1 genel olarak şikâyeti arar, ancak m. 135, 136 ve 138 bu kuralın istisnasıdır.

Kişisel verilerin ihlali suçu ile karşı karşıya olduğunuzu düşünüyorsanız ya da hakkınızda böyle bir iddia varsa, olayın somut ayrıntıları sonucu belirleyecektir. Bu nedenle genel bilgilendirme niteliğindeki bu yazı yerine, dosyanızı tüm belgeleriyle birlikte inceleyecek bir avukattan hukuki destek alınması yerinde olur.