Bir kişinin kimlik bilgilerinin mesaj grubuna gönderilmesi, müşteri listesinin yetkisiz kişilere aktarılması veya bir dosyadaki sağlık bilgilerinin dışarı çıkarılması, yalnızca veri güvenliği sorunu değildir. Olayın koşullarına göre kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçu da gündeme gelebilir. Türk Ceza Kanunu’nun 136. maddesi bakımından değerlendirme yapılırken bilginin niteliği, elde edilme yöntemi, aktarımın hukuki dayanağı ve kişinin kastı birlikte incelenir.
TCK 136 hangi davranışları kapsar?
Düzenleme, kişisel verinin hukuka aykırı biçimde ele geçirilmesini, başka bir kişiye verilmesini veya yayılmasını konu alır. Bu davranışların üçünün birlikte gerçekleşmesi gerekmez. Veriyi elde eden kişinin ayrıca internette yayımlaması şart olmadığı gibi, bilgiyi başlangıçta görev gereği öğrenen kişinin sonradan yetkisiz birine iletmesi de ayrı bir değerlendirme gerektirir.
Örneğin bir işletmenin çalışanına iş için açtığı müşteri kayıtlarının çalışan tarafından kişisel amaçlarla dışarı aktarılması, erişim yetkisinin sınırlarını aşabilir. Buna karşılık yetkili makamın usulüne uygun talebi üzerine ve talebin sınırları içinde belge sunulması aynı şekilde değerlendirilemez. Buradaki örnekler otomatik suç veya beraat sonucu doğurmaz; somut yetki, amaç ve deliller belirleyicidir.
Hangi bilgiler kişisel veridir?
Kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilebilen bilgiler kişisel veri niteliği taşıyabilir. Telefon numarası, adres, kimlik bilgileri, kişiye bağlanabilen hesap hareketleri ve sağlık kayıtları bu kapsamda incelenir. Tek başına isim içermeyen bir kayıt da başka bilgilerle birleştirildiğinde kişiyi belirlenebilir kılabilir.
Bir bilginin internette görünür olması, her amaçla ve sınırsız biçimde yeniden kullanılabileceği anlamına gelmez. Bilginin kişi tarafından hangi amaçla açıklandığı ile sonraki kullanımın amacı ayrı ayrı değerlendirilmelidir. Öte yandan her veri koruma ihlali doğrudan TCK 136 kapsamında mahkûmiyet anlamına gelmez; ceza sorumluluğunun unsurları ayrıca araştırılır.
Hukuka aykırılık ve kast nasıl değerlendirilir?
İncelemenin merkezinde, veriye erişmek veya veriyi paylaşmak için geçerli bir hukuki dayanak bulunup bulunmadığı yer alır. Rızanın varlığı kadar kapsamı da önemlidir. Belirli bir işlem için verilen izin, farklı amaçla dağıtım yetkisi olarak yorumlanamaz. Bununla birlikte kişisel veri işlemenin tek hukuki dayanağı açık rıza değildir; kanuni yetki ve yükümlülükler de dikkate alınmalıdır.
Failin hangi işlemi bilerek gerçekleştirdiği, erişim sınırlarını bilip bilmediği ve aktarımın koşulları araştırılır. Bir kurumda veri sızıntısı yaşanması, tek başına bütün çalışanların cezai sorumluluğunu göstermez. İşlem kayıtları, görev dağılımı ve erişim yetkileri incelenerek davranışın belirli bir kişiye atfedilip atfedilemediği saptanmalıdır.
Kişisel verileri yayma suçunun cezası
TCK 136/1’de temel yaptırım iki yıldan dört yıla kadar hapis cezasıdır. Bu aralık, her dosyada doğrudan aynı sonuç cezanın verileceği anlamına gelmez. Fiilin hukuki niteliği, uygulanabilecek artırım ve indirim nedenleri ile failin bireysel durumu ayrıca değerlendirilir.
Görev veya mesleğin sağladığı kolaylığın kullanılması
TCK 137, suçun kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya belirli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde cezanın yarı oranında artırılmasını öngörür. Kamu görevlisi ya da belirli bir meslek mensubu olmak tek başına yeterli değildir; görev yetkisinin kötüye kullanılması veya mesleki kolaylıkla fiil arasındaki bağlantı ortaya konulmalıdır.
Bu yazı temel suç ve TCK 137’deki artırım nedenleriyle sınırlıdır. Özel kayıt türlerine ilişkin düzenlemeler ile sonuç cezanın infazı, erteleme ve diğer bireyselleştirme kurumları için dosyaya ve yürürlükteki hükümlere özgü ayrıca değerlendirme yapılmalıdır.
Şikâyet gerekli mi, vazgeçme dosyayı kapatır mı?
TCK 139 uyarınca kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçunun soruşturulması ve kovuşturulması şikâyete bağlı değildir. Savcılık, suç şüphesini öğrendiğinde resen işlem yapabilir. Bu nedenle mağdurun başvurusunu geri çekmesi tek başına kamu davasının sona ermesini sağlamaz.
Şikâyete bağlı olmamak, süresiz başvuru imkânı bulunduğu anlamına gelmez. Zamanaşımı; fiilin tarihi, hukuki niteliği ve süreyi etkileyen işlemler dikkate alınarak hesaplanır. Ayrıca ceza soruşturmasına ilişkin sürelerle KVKK kapsamında Kurula başvuru süreleri birbirinden farklıdır.
Deliller nasıl korunmalı?
Başvuruda hangi bilginin, ne zaman, nereden ve kimlerle paylaşıldığı mümkün olduğunca somutlaştırılmalıdır. Mesajların asılları, paylaşım bağlantısı, hesap bilgisi, tarih ve saat, bildirimler ve mevcut yazışmalar korunmalıdır. Ekran görüntüsünün tek başına her uyuşmazlığı çözeceği varsayılmamalıdır; içeriğin bütünlüğü ve ilgili kişiyle bağlantısı ayrıca incelenebilir.
İşyerindeki olaylarda yetki matrisi, erişim kayıtları, dışa aktarma işlemleri ve iç yazışmalar önemli olabilir. Bu kayıtların yetkili merciler aracılığıyla temini istenebilir. Delil toplamak amacıyla başkasının hesabına izinsiz girilmemeli, şifre ele geçirilmemeli veya ihlale konu veriler kamuya yeniden yayılmamalıdır.
Ceza soruşturması ile KVKK başvurusu farklıdır
Ceza soruşturması, belirli bir kişinin suç işleyip işlemediğine yönelir. KVKK başvurusu ise veri sorumlusunun veri işleme faaliyeti ve yükümlülükleriyle ilgilidir. Savcılığa başvurmak için önce Kişisel Verileri Koruma Kurulundan karar alınması gerekmez.
Kurula şikâyet yolunda ise kural olarak önce veri sorumlusuna başvurulur. Veri sorumlusu en geç 30 gün içinde cevap vermelidir. Ret, yetersiz cevap veya cevapsızlık durumunda; cevabın öğrenilmesinden itibaren 30 günlük ve her hâlde başvurudan itibaren 60 günlük süreler gözetilir. Cevabın verilip verilmemesine göre süre hesabı ayrıca yapılmalıdır.
Zarar doğmuşsa tazminat talebi de koşulları yönünden değerlendirilebilir. Ceza, idari inceleme ve tazminat yollarının amaçları farklıdır; birine başvurulması diğerinde otomatik olarak olumlu sonuç alınacağını göstermez.
Sık sorulan sorular
Bilgiyi yalnız bir kişiye göndermek yeterli olabilir mi?
Evet. Kanun, başkasına vermeyi de düzenlediğinden verinin geniş bir kitleye ulaşması zorunlu değildir. Ancak aktarımın hukuka aykırılığı ve diğer suç unsurları ayrıca değerlendirilir.
Veriye iş nedeniyle erişebiliyorum; paylaşabilir miyim?
Erişim yetkisi ile paylaşım yetkisi aynı değildir. Görevin gerektirdiği erişim, veriyi kişisel amaçla kullanma veya yetkisiz alıcıya gönderme yetkisi vermez.
Paylaşımı silmek cezai sorumluluğu ortadan kaldırır mı?
İçeriğin kaldırılması ihlalin etkilerini azaltabilir; ancak gerçekleşmiş bir fiili kendiliğinden yok saydırmaz. Kaldırma işleminin somut dosyadaki etkisi ayrıca değerlendirilir.
Her fotoğraf veya mesaj paylaşımı TCK 136’ya mı girer?
Hayır. İçeriğe ve elde edilme biçimine göre haberleşmenin veya özel hayatın gizliliğine ilişkin hükümler de gündeme gelebilir. Başvurunun yalnız bir madde numarasına değil, olayın bütününe ve delillere dayanması önemlidir.
Hukuki değerlendirme
Kişisel veri ihlallerinde doğru başvuru, önce verinin niteliğinin ve işlemi yapan kişinin yetkisinin belirlenmesini gerektirir. Ardından ceza soruşturması, Kurula şikâyet ve olası tazminat talepleri ayrı ayrı ele alınmalıdır. Bu metin genel bilgilendirme niteliğindedir; somut olaya ilişkin hukuki görüş veya sonuç garantisi içermez.
Resmî kaynaklar ve inceleme kapsamı
Kaynak inceleme tarihi: 19 Eylül 2026. TCK 136/1, 137 ve 139 hükümleri için Kişisel Verileri Koruma Kurumunun Mart 2025 tarihli Uygulama Rehberi, s. 146–147; idari başvuru usulü için Kurumun Şikâyet Hakkı açıklaması ve Haziran 2025 tarihli İlgili Kişinin Hak Arama Yöntemleri yayını esas alınmıştır. Bu açıklama, erişilebilen kaynakların kapsamını gösterir; bütün mevzuat değişikliklerinin eksiksiz tarandığı yönünde güvence oluşturmaz.