Kişisel Verileri Hukuka Aykırı Ele Geçirme (TCK m. 136)

Kişisel verilerin hukuka aykırı olarak ele geçirilmesi, yayılması veya bir başkasına verilmesi TCK m. 136'da düzenlenmiş bağımsız bir suçtur. KVKK'nın idari yaptırım rejiminden ayrıdır ve aynı fiil bakımından her ikisi birlikte gündeme gelebilir.

Bu yazıda suçun kapsamını, "kişisel veri" kavramının ceza hukukundaki sınırını ve uygulamada öne çıkan dikkat noktalarını emsal kararlarla ele alıyoruz.

İki ayrı rejim

	TCK m. 135-140	6698 s. KVKK
Niteliği	Ceza sorumluluğu	İdari yaptırım
Muhatap	Gerçek kişi (fail)	Veri sorumlusu
Sonuç	Hapis cezası	İdari para cezası
Süreç	Savcılık soruşturması	Kurul incelemesi

Bu ayrım pratikte önemlidir: bir çalışanın müşteri listesini kopyalayıp götürmesi hem TCK kapsamında ceza soruşturmasına hem de şirket bakımından KVKK sorumluluğuna yol açabilir.

"Kişisel veri" kavramının sınırı

Ceza Genel Kurulu, kavramın belirlenmesindeki güçlüğü açıkça ifade eder:

"Doktrinde birçok tanım ve kapsam belirlemesi yapılmaktadır. Bu bilimsel görüşlerden hareketle kişisel verilerin hangileri olabileceğini belirlemek gerekir."

Aynı kararda, hükümlerin uygulanmasında dikkatli olunması gerektiği vurgulanır:

"Bununla beraber adı geçen ceza maddeleri yürürlükte olduğundan uygulanması sırasında çok dikkatli olunması gerekir."

Bu uyarının sebebi şudur: kişisel veri kavramı çok geniş yorumlandığında, gündelik ve hukuka uygun pek çok davranış suç kapsamına girebilir. Bu nedenle uygulamada verinin niteliği, elde ediliş biçimi ve failin amacı birlikte değerlendirilir.

Suçun tipik görünüm biçimleri

• İşten ayrılırken veri kopyalama. Müşteri listesi, fiyat bilgisi, iletişim kayıtlarının kişisel cihaza aktarılması.
• Yetkisiz sorgulama. Görev gereği erişim yetkisi bulunan kişinin, işiyle ilgisi olmayan bir kaydı sorgulaması.
• İfşa. Elde edilen verinin sosyal medyada veya üçüncü kişilere paylaşılması.
• Hırsızlıkla birlikte. Uygulamada bu suç, hırsızlık gibi başka suçlarla birlikte de yargılanmaktadır:

"II-Sanık ... hakkında müşteki ..."a yönelik hırsızlık suçundan kurulan ve yine birleşen dosyada müşteki ..."a yönelik hırsızlığa teşebbüs suçundan ve kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçlarından kurulan hükümler ile sanıklar ..."

Şikâyet ve delil

Mağdur bakımından toplanması gereken deliller:

1. Erişim ve işlem kayıtları. Kimin, hangi kayda, ne zaman eriştiğini gösteren sistem logları. Bu kayıtlar zamanla silinebildiğinden en erken aşamada talep edilmelidir.
2. Kopyalama izleri. Toplu indirme, harici bellek bağlama, e-posta yönlendirme kayıtları.
3. İfşanın kendisi. Paylaşımın ekran görüntüsü, URL'si ve tarihi.
4. Yetki matrisi. Failin görev tanımı gereği o veriye erişme yetkisi bulunup bulunmadığı.

Dördüncü unsur çoğu zaman belirleyicidir: erişim yetkisi bulunan kişinin sorgulaması hâlinde tartışma, erişimin görev kapsamında olup olmadığına kayar.

Veri sorumlusu bakımından

Şirket tarafında yapılması gerekenler farklıdır. Bir çalışanın veri sızdırması hâlinde şirket hem mağdur hem de — yeterli teknik ve idari tedbiri almadıysa — veri sorumlusu sıfatıyla sorumlu olabilir. Bu nedenle:

• Erişim yetkileri görev tanımıyla sınırlandırılmalı
• Log kayıtları tutulmalı ve saklanmalı
• İhlal hâlinde bildirim yükümlülüğü değerlendirilmeli
• Çalışan çıkış süreçlerinde yetki iptali kayıt altına alınmalı

Sık Sorulan Sorular

KVKK cezası varsa ayrıca ceza davası açılır mı?

İki rejim ayrıdır. KVKK idari para cezası veri sorumlusuna yönelirken, TCK m. 136 gerçek kişinin ceza sorumluluğunu düzenler. Aynı fiil bakımından her ikisi birlikte gündeme gelebilir.

Erişim yetkim vardı, yine de suç oluşur mu?

Yetkinin bulunması tek başına yeterli değildir; erişimin görev kapsamında olup olmadığı değerlendirilir. Görevle ilgisi olmayan sorgulamalar hukuka aykırı erişim olarak ele alınabilir.

Müşteri listesi kişisel veri midir?

Gerçek kişilere ait iletişim bilgileri içeren listeler kişisel veri niteliği taşıyabilir. Ceza Genel Kurulu, kavramın kapsamının belirlenmesinde dikkatli olunması gerektiğini vurgulamaktadır; değerlendirme somut veriye göre yapılır.

Hangi delilleri toplamalıyım?

Sistem erişim ve işlem kayıtları, toplu indirme ve e-posta yönlendirme kayıtları, ifşanın ekran görüntüsü ve failin yetki matrisi. Log kayıtları silinebildiğinden erken talep edilmelidir.

Şirket olarak biz de sorumlu olur muyuz?

Yeterli teknik ve idari tedbirlerin alınmamış olması hâlinde veri sorumlusu sıfatıyla sorumluluk gündeme gelebilir. Erişim yetkilerinin sınırlandırılması ve log tutulması bu değerlendirmede etkilidir.

Şikâyete bağlı bir suç mu?

TCK m. 139'da şikâyete bağlı hâller düzenlenmiştir; ancak verileri hukuka aykırı olarak verme, yayma veya ele geçirme fiilleri bakımından resen soruşturma yürütülmesi söz konusudur. Bu nedenle gecikmeden başvurulması önerilir.

Sonuç

Kişisel veri suçlarında uyuşmazlığın merkezi, verinin kişisel veri sayılıp sayılmadığından çok erişimin görev kapsamında olup olmadığıdır. Ceza Genel Kurulu'nun kavramın uygulanmasında dikkat çağrısı da bu geniş yorum riskine yöneliktir.

Dosya kurulurken en kırılgan unsur sistem kayıtlarıdır: silinmeden talep edilmedikleri takdirde iddia soyut kalır. Bu nedenle şikâyet dilekçesiyle birlikte log kayıtlarının muhafazası ve getirtilmesi talebinin ileri sürülmesi gerekir.

İlgili konular: KVKK ilke kararı ve aydınlatma yükümlülüğü, haksız rekabet ve ticari sır, elektronik verilerin delil niteliği.

Caseon AI ile

Bilişim ve veri suçlarında nitelendirme somut olguya dayanır. Yetki kapsamı ve ifşa noktaları üzerinden emsal arayın; gerekçenin ilgili paragrafını künyesiyle dilekçenize taşıyın. İçtihat aramayı inceleyin