Kişisel verilerin hukuka aykırı ele geçirilmesi suçu, bir gerçek kişiyi belirleyen ya da belirlenebilir kılan verilerin hukuka aykırı biçimde başkasına verilmesi, yayılması veya ele geçirilmesi hâlinde gündeme gelir. 5237 sayılı Türk Ceza Kanunu’nun 136. maddesi bu fiilleri ayrı bir suç tipi şeklinde düzenler. Telefon numarası, adres, banka hesabı, kimlik bilgisi, sağlık kaydı, fotoğraf, e-posta adresi ve benzeri veriler somut dosyanın şartlarına göre ceza hukuku korumasından yararlanabilir. 6698 sayılı Kanun da kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi şeklinde tanımlar.
Kişisel Verilerin Hukuka Aykırı Ele Geçirilmesi Suçu Nedir?
TCK 136, kişisel veriye yönelik üç ayrı hareketi cezalandırır. Bunlar verme, yayma ve ele geçirme fiilleridir. Verinin bir kişiden diğerine aktarılması “verme”, daha geniş bir çevrenin erişimine açılması “yayma”, hak sahibinin iradesi dışında kişinin fiilî hâkimiyetine alınması ise “ele geçirme” başlığı altında tartışılır.
Suçun gündeme gelmesi için verinin mutlaka gizli ya da sır niteliğinde bulunması aranmaz. Yargıtay kararlarında kimlik bilgileri, telefon numarası, banka hesabı, e-posta adresi, sağlık bilgileri, biyolojik veriler ve benzeri kayıtlar kişisel veri çerçevesinde ele alınmıştır. Somut dosyada verinin niteliği, erişim biçimi, paylaşım amacı ve hukuka uygunluk sebebi ayrı ayrı incelenir.
Kişisel veri kavramı hangi bilgileri kapsar?
KVKK madde 3 uyarınca kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad ve soyad tek başına bu alana girebilir. T.C. kimlik numarası, cep telefonu numarası, ikamet adresi, e-posta adresi, araç plakası, banka hesabı, görüntü, ses kaydı ve sağlık kaydı da şartlara göre kişisel veri niteliği taşır.
Bir verinin internette daha önce yer alması, sonraki her paylaşımı kendiliğinden hukuka uygun hâle getirmez. Yargıtay, sosyal medya hesabından alınan bir fotoğrafın rıza dışı biçimde başka bir profilde yayımlanmasını TCK 136 çerçevesinde kabul eden kararlar vermiştir. Her dosyada paylaşımın amacı, verinin erişilebilirlik düzeyi ve hukuka uygunluk sebebi ayrı önem taşır.
Tck 136 Kanun Maddesi Nedir?
5237 sayılı Türk Ceza Kanunu’nun 136. maddesinin güncel metni şöyledir:
“Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.”
Maddenin ikinci fıkrasında, Ceza Muhakemesi Kanunu’nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntülerin suçun konusu hâline gelmesi durumunda cezanın bir kat artırılacağı düzenlenir.
Tck 136 Cezası Kaç Yıldır?
Kişisel veri suçu cezası, TCK 136’nın birinci fıkrası bakımından iki yıldan dört yıla kadar hapistir. Mahkeme, cezanın miktarını somut dosyadaki fiilin işleniş biçimi, kastın yoğunluğu, meydana gelen zarar veya tehlike ile ceza hukukundaki bireyselleştirme ölçütleri üzerinden tayin eder.
CMK 236 çerçevesinde kayda alınan bazı beyan ve görüntüler suçun konusuysa ceza bir kat artırılır. TCK 137 çerçevesindeki nitelikli hâller de ayrı bir artırım sebebidir. Ceza hesabı, tek bir matematik işlemiyle her dosyaya aynı biçimde uygulanamaz. Zincirleme suç, iştirak, teşebbüs, yaş küçüklüğü, takdiri indirim ve diğer hükümler dosyaya göre ayrı sonuç doğurabilir.
Nitelikli hâller nelerdir?
TCK 137’ye göre kişisel verilere karşı suçun kamu görevlisi tarafından görev yetkisinin kötüye geçirilmesi suretiyle işlenmesi hâlinde ceza yarı oranında artar. Belli bir meslek veya sanatın kişiye verdiği kolaylıktan yararlanılması da aynı artırım rejimine tabidir.
Mesleki ilişki tek başına artırım için yeterli sayılmayabilir. Yargıtay 12. Ceza Dairesinin 9 Mart 2026 tarihli bir kararında, fotoğrafçılık hizmeti sırasında çekilen fotoğrafın sonradan paylaşılması dosyasında TCK 137/1-b bakımından mesleki kolaylığın somut fiille bağlantısı tartışılmış ve artırım yönünden bozma kararı verilmiştir. Bu yaklaşım, nitelikli hâlin otomatik biçimde uygulanamayacağını ortaya koyar.
Kişisel Verilerin Paylaşılması Suçu Hangi Hareketlerle Gündeme Gelir?
Kişisel verilerin paylaşılması suçu yalnızca sosyal medya paylaşımından ibaret değildir. Bir telefon numarasının rıza dışı biçimde üçüncü kişiye iletilmesi, müşteri kayıtlarının başka bir kişiye satılması, banka bilgilerinin yetkisiz kişilere aktarılması, sağlık raporunun yetkisiz üçüncü kişiye gönderilmesi veya kişiye ait kayıtlı bir görselin hukuki dayanak bulunmadan yayılması ceza soruşturmasına konu edilebilir.
Yargıtay, telekomünikasyon şirketinde çalışan bir kişinin müşteri verilerini üçüncü kişiye satmasını TCK 136 çerçevesinde kabul etmiştir. Kararda mesleki konumdan doğan kolaylık sebebiyle TCK 137 de gündeme gelmiştir.
Salt görüntüleme ele geçirme sayılır mı?
Her yetkisiz erişim otomatik biçimde TCK 136 anlamında ele geçirme sayılmaz. Yargıtay 12. Ceza Dairesinin 12 Mart 2026 tarihli kararında, görev sistemi içindeki verilere erişim yetkisi bulunan bir polis memurunun merak amacıyla sorgu yapması dosyasında, verilerin salt görüntülenmesi “ele geçirme” fiili için yeterli kabul edilmemiştir. Ceza sorumluluğu bakımından verinin kişinin hâkimiyet alanına geçirilip geçirilmediği ve kanuni fiillerden birinin gerçekleşip gerçekleşmediği belirleyici nitelik taşır.
Kişisel Verilerin Hukuka Aykırı Ele Geçirilmesi Şikâyete Tabi Mi?
Kişisel verilerin hukuka aykırı ele geçirilmesi şikâyete tabi mi sorusunun cevabı hayırdır. TCK 139, kişisel verilerin kaydedilmesi, hukuka aykırı biçimde verilmesi veya ele geçirilmesi ile verileri yok etmeme suçlarını şikâyete bağlı suçlar dışında bırakır. Savcılık, suç şüphesini öğrenmesi hâlinde resen soruşturma yürütebilir. Mağdurun şikâyetten vazgeçmesi de kamu davasını kendiliğinden düşürmez.
Bu düzenleme, başvuru süresinin sınırsız bulunduğu anlamına gelmez. Ceza zamanaşımı hükümleri, fiilin tarihi ve uygulanacak ceza üst sınırı dikkate alınarak ayrı biçimde incelenir. Tarih hesabı dosyaya göre değişebileceği için gecikmeden hukuki yardım alınması hak kaybı riskini azaltır.
Sosyal Medyada Kişisel Veri Paylaşımı Suç Mudur?
Sosyal medyada bir kişiye ait fotoğraf, telefon numarası, adres, kimlik kaydı veya başka bir kişisel verinin paylaşılması, her durumda suç sayılmaz. Rıza, kanundan doğan yetki, hakkın icrası veya başka bir hukuka uygunluk sebebi varsa ceza sorumluluğu doğmayabilir. Buna karşılık rıza dışı paylaşım, verinin niteliği ve paylaşım amacıyla birlikte TCK 136 çerçevesine girebilir.
Yargıtay kararları fotoğraf ve telefon numarası gibi veriler bakımından paylaşımın bağlamına dikkat eder. Kişisel verinin daha önce sınırlı bir çevrede bilinmesi, üçüncü kişilere sınırsız aktarım izni anlamına gelmez.
Mağdur Hangi Hukuki Yollara Başvurabilir?
Bir kişisel veri ihlali ceza soruşturmasını, KVKK çerçevesindeki idari başvuru yollarını ve şartları varsa tazminat talebini aynı dosya çevresinde gündeme taşıyabilir. Ceza hukuku yönünden Cumhuriyet başsavcılığına başvuru yapılabilir. Ekran görüntüsü, bağlantı kaydı, mesaj dökümü, e-posta başlığı, erişim tarihi ve benzeri dijital izler delil tartışmasında rol taşır. Delilin sonradan değiştirilmemesi ve kaynağın doğrulanabilir biçimde korunması ispat gücünü artırabilir.
KVKK yönünden veri sorumlusuna başvuru yolu ayrı kurallara tabidir. Kişisel Verileri Koruma Kurumu, Kurula şikâyetten önce veri sorumlusuna başvuru yolunun tüketilmesini arar. Veri sorumlusundan süresinde cevap alınırsa cevabın öğrenilmesinden itibaren 30 gün içinde Kurula şikâyet yolu açılır. Cevap hiç verilmezse ilk başvuru tarihinden itibaren 60 günlük süre dikkate alınır.
Ceza davası ile kVKK başvurusu aynı yol mudur?
Hayır. TCK 136 bir ceza normudur ve failin cezai sorumluluğuna yönelir. KVKK’daki başvuru ve şikâyet mekanizması ise kişisel verilerin işlenmesine ilişkin yükümlülükler ile Kurulun görev alanı çerçevesinde ilerler. Tek bir veri ihlali hem ceza hukuku hem kişisel verilerin korunması hukuku bakımından birden fazla hukuki sonuç doğurabilir.
Somut dosyada hangi yolun seçileceği, verinin niteliği, veriyi alan ya da yayan kişi, veri sorumlusunun kimliği, paylaşımın yapıldığı ortam ve eldeki deliller dikkate alınarak saptanmalıdır.