Kişisel Verilerin Hukuka Aykırı Kaydedilmesi (TCK 135)
TCK 135. madde, kişisel verilerin rıza olmaksızın sisteme kaydedilmesini suç olarak düzenler. Bu makale suçun unsurlarını, cezayı ve Yargıtay'ın güncel içtihadını ele almaktadır.
Kişisel verilerin hukuka aykırı olarak kaydedilmesi, 5237 sayılı Türk Ceza Kanunu'nun 135. maddesiyle düzenlenen ve cezai yaptırıma bağlanan bir suçtur. Bu suç, gerçek kişilere ait kimlik, iletişim, sağlık, finansal durum gibi her türlü veriyi ilgili kişinin açık rızası ya da hukuki bir dayanak olmaksızın sisteme işleyen, depolayan veya başka bir ortama aktaran herkese uygulanabilir. Suçtan zarar gören kişi şikâyetçi olabileceği gibi savcılık da re'sen soruşturma başlatabilir; mahkûmiyet hâlinde bir yıldan üç yıla kadar hapis cezası öngörülmektedir.
Kişisel Verilerin Hukuka Aykırı Kaydedilmesi Suçu Nedir?
Türk Ceza Kanunu'nun 135. maddesi, "Kişisel verilerin kaydedilmesi" başlığı altında iki temel yasak içermektedir. Birinci fıkra, herhangi bir kişisel verinin hukuka aykırı biçimde kaydedilmesini suç olarak tanımlar ve bir yıldan üç yıla kadar hapis cezası öngörür. İkinci fıkra ise siyasi, felsefi veya dini görüş, ırk veya etnik köken, hukuki durumu, biyometrik veri, sağlık bilgisi ve cinsel hayat gibi özel nitelikli kişisel verilerin kaydedilmesini ayrıca ağırlaştırıcı neden kabul etmiş; bu hâllerde verilecek cezanın yarı oranında artırılacağını hüküm altına almıştır.
Maddenin koruduğu hukuki değer, bireyin kendi verisi üzerindeki denetim hakkı ve bilgi mahremiyetidir. Suç kastı (manevi unsur) bakımından doğrudan kast aranır; verinin sonradan kullanılıp kullanılmadığı veya yayılıp yayılmadığı suçun oluşumu açısından önem taşımaz. Eylemin suç sayılabilmesi için yalnızca kaydetme (depolama, sisteme alma, aktarma) fiilinin gerçekleşmesi yeterlidir.
Bu suç, Türkiye'nin veri koruma hukuku mimarisinde hem ceza hem de idari hukuk alanında değerlendirilen nadir düzenlemelerden biridir. Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki idari para cezaları ve TCK 135 kapsamındaki cezai yaptırımlar birbirinden bağımsız uygulanır; biri diğerini dışlamaz.
Suçun Unsurları
Maddi Unsur: Kaydetme Fiili
Maddi unsur, kişisel verinin bir ortama (bilgisayar, telefon, bulut sistemi, kâğıt dosya, özel e-posta vb.) işlenmesi veya aktarılması şeklinde gerçekleşen kaydetme eylemidir. Yargıtay içtihadına göre kaydetmenin yapıldığı ortamın türü ya da verinin dijital veya fiziksel niteliği suçun oluşumu bakımından belirleyici değildir. Nitekim 19. Ceza Dairesi, şirket müşteri bilgilerinin çalışan tarafından kişisel e-posta adresine gönderilmesini bu madde kapsamında kaydetme eylemi olarak nitelendirmiştir.
Hukuka Aykırılık
Kaydın hukuka aykırı sayılabilmesi için ilgili kişinin açık rızasının bulunmaması ya da yasal bir yetkiye dayanılmaması gerekir. Rıza verilmişse veya söz konusu kayıt yasal bir zorunluluktan kaynaklanıyorsa (örneğin vergi mevzuatı gereği muhafaza) hukuka aykırılık unsuru gerçekleşmez. Uygulamada sorun yaratan durum çoğunlukla şudur: Veri başlangıçta yasal yollarla elde edilmiş olsa bile ötesinde kullanmak ya da sisteme farklı bir amaçla yüklemek hukuka aykırı kayıt oluşturabilir.
Manevi Unsur: Kast
Suç, olası kastla da işlenebilmekle birlikte uygulamada çoğunlukla doğrudan kastın varlığı tartışılır. Failin kişisel verinin niteliğini bilmesi ve kaydın hukuka aykırı olduğunu öngörmesi ya da öngörebilir olması yeterlidir. Yanılgı savunmasının kabul görmesi son derece güçtür; zira modern ticaret ve iletişim ortamında kişisel verinin ne olduğu ve kaydetme yasağı genel kabul görmüş bir bilinç düzeyindedir.
"Kişisel Veri" Kavramının Kapsamı
Yargıtay 12. Ceza Dairesi, "kişisel veri" kavramını geniş yorumlamaktadır. Ad-soyad, telefon numarası, e-posta adresi, TC kimlik numarası, müşteri numarası, adres bilgisi, araç plakası, banka hesap bilgileri ve IP adresi bu kapsamda değerlendirilen verilerden başlıcalarıdır. Bunların yanı sıra sağlık kayıtları, cinsel yönelime ilişkin bilgiler ve biyometrik veriler özel nitelikli veri olup ikinci fıkranın ağırlaştırıcı hükmü doğrudan uygulanır.
Görevli ve Yetkili Mahkeme
TCK 135/1 kapsamındaki temel suç için öngörülen ceza üst sınırı üç yıl hapis olduğundan görevli mahkeme kural olarak Asliye Ceza Mahkemesi'dir. Özel nitelikli kişisel verilerin kaydedilmesi hâlinde (TCK 135/2) yarı oranındaki artırım uygulandıktan sonra üst sınır dört buçuk yıla çıkabileceğinden ve suç çoğunlukla başka suçlarla (şantaj, cinsel saldırı, dolandırıcılık vb.) birlikte işlenebildiğinden, karma davalarda Ağır Ceza Mahkemesi görevli olabilir.
Yetkili mahkeme genel kural gereğince suçun işlendiği yer mahkemesidir. Suçun birden fazla il sınırında işlenmesi hâlinde (örneğin İstanbul'daki sunucuya Ankara'dan bağlanarak veri yüklemek) bağlantı kuralları çerçevesinde yetkili mahkeme belirlenir. Bu suçta zorunlu arabuluculuk şartı bulunmamaktadır; kamu davası niteliğinde olduğundan cezai yargılama doğrudan başlar.
Suçun Oluşumu: Yargılama Süreci ve Gerekli Belgeler
Mağdur ya da ilgili kişi, suçun öğrenildiği tarihten itibaren savcılığa veya polis/jandarma birimlerine şikâyet başvurusunda bulunabilir. Suç şikâyete tabi olmadığından savcılık resen de harekete geçebilir; KVKK soruşturmaları sırasında ortaya çıkan bulgular da ceza soruşturmasına zemin hazırlayabilir.
Soruşturma sürecinde tipik olarak şu belgeler ve işlemler devreye girer:
- Şikâyet dilekçesi veya ifade tutanağı
- Kaydedilen verinin somut tespiti (ekran görüntüsü, log kaydı, e-posta çıktısı, dijital delil raporu)
- Bilişim sistemlerine erişim logları ve sunucu kayıtları (adli bilişim incelemesi)
- Tanık ifadeleri (özellikle şirket içi ihlallerde iş arkadaşları)
- Kişisel verinin hangi tarihte, hangi ortamda kaydedildiğine dair belge
- Rızanın bulunmadığına ilişkin kanıtlar ya da mevcut sözleşme ve aydınlatma metinleri
İddianamenin kabulünün ardından yargılama Asliye (veya Ağır) Ceza Mahkemesi'nde görülür. Adli bilişim uzman raporu çoğu zaman belirleyici delil niteliği taşıdığından mahkemeler bu alanda bilirkişi atanmasına önem vermektedir.
Süreler: Zamanaşımı ve Şikâyet
| Konu | Süre / Kural |
|---|---|
| Dava zamanaşımı (TCK 135/1) | 8 yıl (öngörülen üst ceza 3 yıl → olağan dava zamanaşımı 8 yıl) |
| Dava zamanaşımı (TCK 135/2 — özel nitelikli veri) | 8 yıl (artırımlı ceza üst sınırı 4,5 yıl → aynı kategori) |
| Şikâyet süresi | Suç re'sen kovuşturulan niteliktedir; yasal şikâyet süresi aranmaz ancak zamanaşımı içinde başvuru yapılmalıdır |
| KVKK idari başvuru | Veri ihlalinin öğrenilmesinden itibaren 30 gün (KVKK md. 13) — ceza davasından bağımsız |
| Uzlaştırma | Bu suç uzlaştırma kapsamında değildir |
Uygulamada dikkat edilmesi gereken nokta şudur: Veri ihlalinin tespiti çoğunlukla geç gerçekleşir. Kurumsal veri sızıntılarında şirketin kendi iç denetim raporları, KVKK bildirimleri veya üçüncü kişi şikâyetleri suçun öğrenilmesine aracılık eder. Her durumda delillerin zamanaşımı işlemeye başlamadan güvence altına alınması kritiktir.
Suçun Unsurları: Maddi ve Manevi Boyut
Ceza hukukunda her suçun maddi (objectif) ve manevi (sübjektif) unsurlarının birlikte gerçekleşmesi zorunludur. TCK 135 bakımından bu ayrım şöyle somutlaşır:
Maddi Unsur — Fiil, Fail, Konu
Fail, kural olarak herhangi bir kimse olabilir; suç özgü suç (mahsus suç) değildir. Veriyi kaydetme eylemi; yazma, kopyalama, tarama, fotoğraflama veya dijital aktarım gibi biçimler alabilir. Suçun konusu ise gerçek bir kişiyle özdeşleştirilebilen her türlü veridir. Tüzel kişilere ait sırlar ya da sırf ticari nitelikte bilgiler bu kapsamda değildir; ancak tüzel kişi bünyesindeki çalışanlara ait kişisel bilgiler her hâlükârda koruma altındadır.
Manevi Unsur — Kast
Failin, kaydedilen şeyin kişisel veri olduğunu ve kaydın hukuka aykırı nitelik taşıdığını bilmesi ya da öngörebilmesi gerekir. Bilinçli taksir bu suç için yeterli değildir; ancak olası kast — yani failin "olursa olsun" diyerek hareket etmesi — suçun oluşması için yeterlidir. Uygulamada sanıkların sıkça öne sürdüğü "şirket sistemini kullandım, özel veri olduğunu bilmiyordum" savunması Yargıtay tarafından genellikle kabul görmemektedir.
Cezanın Belirlenmesi: İndirim ve Artırım Nedenleri
Temel ceza TCK 135/1 için bir yıldan üç yıla kadar hapistir. Hâkim bu aralıkta somut olayın özelliklerine göre takdir hakkını kullanır. Cezayı etkileyen başlıca faktörler şunlardır:
- Ağırlaştırıcı neden (TCK 135/2): Özel nitelikli kişisel verilerin kaydedilmesinde ceza yarı oranında artırılır.
- Zincirleme suç (TCK 43): Aynı mağdura ait birden fazla veri veya farklı mağdurlara ait veriler aynı kastla kaydedilmişse zincirleme suç hükümleri uygulanarak ceza dörtte birinden dörtte üçüne kadar artırılır.
- Etkin pişmanlık ve iyi hâl: Kaydedilen verinin derhal imha edilmesi, mağdurla uzlaşılması (uzlaştırma kapsamı dışında olmakla birlikte hâkimin takdirine yansıyabilir) temel ceza belirlenmesinde lehte değerlendirilebilir.
- HAGB (Hükmün açıklanmasının geri bırakılması): Kamuoyunu yakından ilgilendiren bir gelişme olarak belirtmek gerekir ki Anayasa Mahkemesi, HAGB kurumunu Anayasa'ya aykırı bulmuş ve bu karar 30 Eylül 2026 tarihi itibarıyla yürürlüğe girecektir. Bu tarihten itibaren HAGB seçeneği uygulamadan kalkacak; dolayısıyla bugün açılan ya da süren davalarda HAGB talepleri dikkatle değerlendirilmelidir.
- Erteleme ve adli para cezasına çevirme: Cezanın iki yıl veya altında kaldığı hâllerde erteleme ya da seçenek yaptırıma dönüştürme mümkündür.
Emsal Kararlar Işığında Kişisel Verilerin Kaydedilmesi Suçu
Yargıtay'ın bu alandaki içtihadı son yıllarda belirginleşmiştir. Aşağıdaki kararlar suçun unsurları, yorumu ve sınır hâlleri bakımından önemli referans noktaları oluşturmaktadır. Benzer emsal kararları İçtihat Pro'nun Anlamsal arama modu ile kavramsal düzeyde tarayabilirsiniz.
12. Ceza Dairesi, E. 2019/973, K. 2020/218, T. 08.01.2020
Bu kararda Yargıtay, TCK 135/1 ile 136/1 arasındaki sınırı açıkça çizmiştir: Kişisel verilerin sisteme alınması (kaydetme) 135. madde kapsamında ayrı bir suç teşkil eder; verilerin sonradan başkasına verilmesi veya yayılması ise 136. madde kapsamında ikinci ve bağımsız bir suçtur. Her iki eylemin bir arada işlenmesi hâlinde fikri içtima değil, ayrı ayrı suç oluşur.
12. Ceza Dairesi, E. 2019/14037, K. 2022/2232, T. 23.03.2022
2022 tarihli bu güncel içtihatta Daire, kişisel veri kavramının geniş yorumlanması gerektiğini yineleyerek iddianamede "müşteri bilgisi" veya "sır" şeklinde nitelendirilen verilerin kişisel veri olarak değerlendirilmesi gerektiğini vurgulamıştır. Savcılığın hukuki nitelendirmesindeki hata, sanığın 135. maddeden cezalandırılmasına engel oluşturmaz; mahkeme re'sen doğru nitelendirmeyi yapmalıdır.
19. Ceza Dairesi, E. 2017/6532, K. 2018/11149, T. 31.10.2018
Bu davada bir çalışanın şirket müşterilerine ait verileri kendi özel e-posta adresine aktarması eylemi incelenmiştir. Daire, verilerin kişisel elektronik posta adresine gönderilmesinin TCK 135/1 anlamında "kaydedilme (depolama)" fiilini oluşturduğuna hükmetmiştir. Söz konusu çalışanın amacının ne olduğu değil, eylemin kendisi belirleyicidir.
19. Ceza Dairesi, E. 2017/6127, K. 2018/11148, T. 31.10.2018
Aynı günde verilen paralel bu kararda Daire, iddianamede "sır" veya "bilgi" olarak geçen kavramların kişisel veri olarak nitelendirilmesi gerektiğini bir kez daha tescil etmiştir. Kurum içi belgelerde farklı terimler kullanılmış olması kovuşturma engeli yaratmaz; hakimin maddi olguları değerlendirerek doğru hukuki nitelendirmeyi yapması zorunludur.
14. Ceza Dairesi, E. 2013/5239, K. 2014/13911, T. 08.12.2014
Bu davada kişisel verilerin hukuka aykırı kaydedilmesi suçu, nitelikli cinsel saldırı ile birlikte işlenmiş; yerel mahkemenin her iki suç için verdiği karar Yargıtay tarafından temyizen incelenmiştir. Daire, kişisel verilerin kaydedilmesi suçunun diğer suçlarla fikrî içtima oluşturmayabileceğini, her suçun bağımsız değerlendirilmesi gerektiğini vurgulayarak içtihat geliştirmiştir.
4. Ceza Dairesi, E. 2014/15883, K. 2016/13258, T. 10.10.2016
Şantaj ve yaralama suçlarıyla birlikte ele alınan bu davada kişisel verilerin hukuka aykırı kaydedilmesi suçundan da mahkûmiyet kararı verilmiştir. Yargıtay, birden fazla suçun bir arada işlendiği durumlarda kişisel veri suçuna ilişkin hükmü bağımsız biçimde inceleyerek yerel mahkemenin değerlendirmesini denetlemiştir. Karar, bu suçun ağır suç ortamlarında da ayrı bir değerlendirme gerektirdiğini ortaya koyması bakımından önemlidir.
Sık Yapılan Hatalar
- Veriyi "zaten bildiklerini" sanmak: Failin söz konusu kişiyle daha önce iş ilişkisi kurmuş olması ya da veriyi başka bir kaynaktan öğrenmiş olması, yeniden sisteme kaydetme eylemini hukuka uygun kılmaz. Her kayıt kendi başına değerlendirilir.
- Şirket bilgisayarı ile kişisel bilgisayar arasındaki farkı göz ardı etmek: Şirket sistemine erişim yetkisine sahip çalışanın bu yetkiyi aşarak farklı amaçla veri kopyalaması veya kişisel cihazına aktarması hukuka aykırı kayıt teşkil eder.
- "İddianamede kişisel veri yazılmamış, beraat ederim" yanılgısı: Yargıtay 12. Ceza Dairesi, iddianamede kullanılan terimin mahkemenin hukuki nitelendirmesini bağlamadığını açıkça hükme bağlamıştır. Mahkeme "müşteri bilgisi" veya "sır" olarak yazılmış veriyi kişisel veri olarak yeniden nitelendirebilir.
- KVKK işlemleriyle ceza kovuşturmasını karıştırmak: KVKK kapsamında idari para cezasına çarptırılmak ya da Kişisel Verileri Koruma Kurulu'na başvuruda bulunmak, TCK 135 kapsamındaki ceza davasını durdurmaz veya sona erdirmez.
- Delilleri zamanında toplamak: Log kayıtları, e-posta sunucu kayıtları ve erişim geçmişleri belli bir süre sonra otomatik olarak silinebilir. Şikâyetçi taraf derhal adli bilişim tespiti ve ihtiyati tedbir talebinde bulunmalıdır.
- Özel nitelikli veri ayrımını atlayarak savunma kurmak: Sanık tarafında sağlık ya da biyometrik veri içerip içermediği hususu baştan netleştirilmelidir; ikinci fıkranın yarı oranındaki artırımı sonucu kökten değiştirebilir.
- HAGB seçeneğine bel bağlamak: Anayasa Mahkemesi'nin iptal kararı doğrultusunda bu kurumun 30 Eylül 2026 itibarıyla yürürlükten kalkacağı göz önünde bulundurulmalı; savunma stratejisi yalnızca HAGB üzerine kurulmamalıdır.
Emsal Arama ve Etkin Savunma için İçtihat Pro
Kişisel verilerin hukuka aykırı kaydedilmesi davaları, suçun unsurlarının somut olaya uyarlanması, "kişisel veri" kavramının tespiti ve iddianame nitelendirmesinin doğruluğu gibi teknik hukuki sorular etrafında şekillenir. Bu sorulara güçlü yanıtlar üretmenin en etkili yolu, Yargıtay'ın güncel ve yerleşik içtihadını eksiksiz taramaktan geçer.
İçtihat Pro, 10,8 milyonu aşkın kararı barındıran arşivi ile Yargıtay'ın TCK 135 ve ilgili maddelere ilişkin tüm daire kararlarına erişim imkânı sunar. Klasik anahtar kelime aramasının ötesinde Yapay Zekalı Arama modu karmaşık hukuki soruları doğal dille yanıtlar, Anlamsal mod ise kavramsal yakınlık üzerinden ilgili emsal kararları bulur. Pro Yıllık plan aylık 199 TL'ye gelir; haziran 2026 itibarıyla yerleşik içtihat platformlarının (yıllık 34.200–48.000 TL) ve yapay zeka odaklı platformların (60.000–80.000 TL) çok altında kalır.
TCK 135 kapsamında dilekçenize güçlü içtihat desteği katmak veya karşı tarafın öne sürdüğü nitelendirmeyi çürütecek emsal bulmak için hemen ücretsiz kayıt yaptırabilirsiniz: İçtihat Pro'ya Ücretsiz Kaydolun →
Bu makale yalnızca bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için alanında uzman bir avukattan destek almanız önerilir.
Sık Sorulan Sorular
TCK 135 kapsamında kişisel verilerin kaydedilmesi suçunda şikayet süresi ne kadardır?
TCK 135 kapsamındaki suç şikayete tabi değildir; savcılık re'sen soruşturma başlatabilir. Ancak zamanaşımı süresi içinde şikayet yoluna başvurulabilir. Dava zamanaşımı süresi, öngörülen cezanın ağırlığına göre sekiz yıldır.
Çalıştığım şirketin müşteri verilerini kişisel e-posta adresime göndersem suç oluşur mu?
Evet, Yargıtay 19. Ceza Dairesi bu konuda açık içtihat kurmuştur. Şirket müşterilerine ait isimleri, telefon ve e-posta bilgilerini kendi kişisel hesabına aktaran çalışan, TCK 135/1 anlamında kişisel verileri kaydetmiş sayılır. Hukuki nitelendirmede verinin "müşteri bilgisi" ya da "sır" olarak adlandırılmış olması sonucu değiştirmez.
Özel nitelikli kişisel verilerin kaydedilmesinde ceza daha ağır mı olur?
Evet, TCK 135/2 uyarınca siyasi, felsefi veya dini görüş, ırk, sağlık, cinsel hayat gibi özel nitelikli kişisel verilerin hukuka aykırı kaydedilmesi hâlinde verilecek ceza yarı oranında artırılır. Bu nedenle özel nitelikli veriler söz konusu olduğunda temel ceza ile artırılmış ceza arasındaki fark önemli boyutlara ulaşabilir.
Kişisel verilerin kaydedilmesi ile yayılması arasındaki fark nedir?
TCK 135, kaydetme (sisteme alma, depolama) eylemini düzenler; TCK 136 ise bu verilerin başkasına verilmesi, yayılması veya ele geçirilmesini ayrı suç olarak tanımlar. Kaydetme, yayma fiilinden bağımsız bir suçtur; bir kişi veriyi yaymasalar bile yalnızca kaydetmeleri nedeniyle cezalandırılabilir.
Bu suçun yargılaması hangi mahkemede görülür?
Temel ceza bir yıldan üç yıla kadar hapis öngördüğünden kural olarak görevli mahkeme Asliye Ceza Mahkemesi'dir. Suçun özel nitelikli veri içermesi nedeniyle artırılmış ceza uygulandığında veya başka ağır suçlarla birleştiğinde dosya Ağır Ceza Mahkemesi'nde görülebilir.
