Verileri Hukuka Aykırı Olarak Verme Suçu (TCK 136): Veri Sızıntısında Kim Sorumlu, Mağdur Ne Yapabilir?

Gözden geçirme: 28 Eylül 2026Hazırlayan: Av. Gülşah MutluDayanak: mevzuat.gov.tr ve Resmî Gazete

Verileri hukuka aykırı olarak verme suçu, bir kişiye ait bilginin yetkisiz birine aktarılması, herkese duyurulması ya da yetkisiz biçimde elde edilmesiyle oluşur. Bir klinik çalışanının hasta listesini bir tanıdığına göndermesi, bir sitenin üyelik veri tabanının bir forumda paylaşılması veya başkasına ait kimlik bilgilerinin bir kullanıcıdan satın alınması bu suçun farklı görünümleridir. Suç, Türk Ceza Kanunu’nun 136. maddesinde düzenlenir ve şikâyet beklenmeden soruşturulur.

Yazıda önce suçun üç hareketini ve cezayı iki katına çıkaran özel durumu açıklıyoruz. Ardından bir veri sızıntısında zincirin her halkasının hangi maddeyle karşılaşabileceğini tablo hâlinde gösteriyoruz. Verisi sızan kişinin izleyebileceği adımlar ve şüphelinin savunma başlıkları da ayrı bölümlerde yer alıyor.

Verileri hukuka aykırı olarak verme suçu nasıl işlenir?

TCK 136/1 üç ayrı hareket sayar ve bunlardan birinin gerçekleşmesi yeterlidir. Verme, veriyi belirli bir kişiye ya da kuruma aktarmaktır; bir dosyayı e-postayla göndermek, bir çıktıyı teslim etmek bu kapsamdadır. Yayma, veriyi belirsiz sayıda insanın ulaşabileceği hâle getirmektir; bir sosyal medya paylaşımı ya da açık bir forumda yayımlama örnek gösterilebilir. Ele geçirme ise verinin yetkisiz olarak elde edilmesidir.

Kanunun öngördüğü yaptırım, alt sınırı iki, üst sınırı dört yıl olan hapis cezasıdır. Suçun konusu kişisel veridir; yani kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin bilgi. Anonim hâle getirilmiş, hiçbir kişiyle ilişkilendirilemeyen istatistiksel bir tablo bu maddenin konusu değildir. Tüzel kişilere ait ticari bilgiler de kural olarak başka hükümlerle korunur.

Ele geçirme hareketinde failin iradesi ayrıca önem taşır. Kendisine hiç istemediği hâlde bir mesaj grubunda gönderilen dosyayı gören kişi ile aynı listeyi bir forumdan bilerek satın alıp saklayan kişi, kast unsuru bakımından aynı konumda değildir. İlk durumda dosyayı başkalarına iletmemek ve silmek, olası bir yayma isnadının da önüne geçer.

Verileri hukuka aykırı olarak verme suçu kasten işlenebilen bir suçtur. Taksirle işlenen fiiller yalnızca kanunun açıkça öngördüğü hâllerde cezalandırıldığından (TCK 22/1), dikkatsizlik sonucu yanlış kişiye gönderilen bir dosya bu maddenin değil, kural olarak veri sorumlusunun KVKK’dan doğan idari sorumluluğunun konusudur.

Hangi durumda ceza iki katına çıkar?

7188 sayılı Kanunla 2019’da eklenen TCK 136/2, suçun konusu CMK 236’nın beşinci ve altıncı fıkralarına göre kayda alınan beyan ve görüntüler olduğunda cezanın bir kat artırılmasını öngörür. Bu kayıtlar, TCK 103/2’deki çocukların cinsel istismarı ve TCK 102/2’deki cinsel saldırı suçlarının mağdurlarından özel merkezlerde uzmanlar aracılığıyla alınan beyanlardır. Böylece bu kayıtlar söz konusu olduğunda sınırlar dört ve sekiz yıla yükselir.

CMK 236/7, bu kayıtların dava dosyasında saklanacağını ve kimseye verilmeyeceğini açıkça söyler. Taraflara ancak yazılı tutanak verilir; görüntüler de yargı makamının gözetiminde izletilebilir. Kanun bu nedenle, mağdurun en savunmasız anını içeren bu kayıtların sızdırılmasını ayrıca ağır bir yaptırıma bağlamıştır.

Bir veri sızıntısında zincirin her halkası

Bir veri sızıntısı çoğu zaman tek bir kişinin işi değildir. Veriyi dışarı çıkaran, satın alan, yeniden paylaşan ve bu arada güvenlik tedbirini ihmal eden farklı kişiler olabilir. Aşağıdaki tablo, varsayımsal bir müşteri listesi sızıntısında her aktör için gündeme gelebilecek hükümleri gösterir. Hangi maddenin uygulanacağı her dosyada somut olaya göre belirlenir.

Bir kimsenin başkasına ait kimlik bilgilerini kullanarak işlem yapması ya da bir bilişim sistemindeki verileri başka bir yere göndermesi ayrı suçlar oluşturabilir. Kimlik kullanımına ilişkin sorular için başkasına ait kimlik bilgilerinin kullanılması, sistem boyutu için bilişim suçları yazılarına bakılabilir.

Aktarım hangi durumda hukuka uygundur?

Maddenin “hukuka aykırı olarak” ifadesi, her veri aktarımının suç olmadığını gösterir. KVKK 8’e göre kişisel veriler kural olarak ilgili kişinin açık rızası olmadan aktarılamaz. Ancak kanunda açıkça öngörülen hâller, sözleşmenin ifası, hukuki yükümlülük veya bir hakkın korunması gibi KVKK 5 ve 6’daki şartlardan biri varsa aktarım rıza olmadan da yapılabilir.

Örneğin bir işverenin maaş ödemesi için çalışanın banka bilgisini bankaya iletmesi, bir hastanenin kanuni bildirim yükümlülüğünü yerine getirmesi ya da bir kişinin mahkemedeki iddiasını ispat için ilgili belgeyi dosyaya sunması, amacı ve kapsamı aşılmadıkça hukuka uygun aktarım örnekleridir. Yurt dışına aktarım ise KVKK 9’da ayrı şartlara bağlanmış ve 7499 sayılı Kanunla 2024’te yeniden düzenlenmiştir.

Verisi sızan kişi hangi adımları atabilir?

Toplu bir veri sızıntısında mağdurların çoğu durumu haberlerden ya da şüpheli mesajlardan öğrenir. Soruşturma savcılık tarafından kendiliğinden yürütüldüğü için şikâyet süresi kaygısı yoktur. Yine de kişinin kendi haklarını takip etmesi ve olası kötüye kullanımlara karşı hazırlıklı olması yararlıdır.

1. Bilgi isteyin. Veri sorumlusuna başvurarak hangi verilerinizin etkilendiğini ve kimlere aktarıldığını sorun (KVKK 11/1-ç).
2. Bildirim yükümlülüğünü hatırlatın. Kanuni olmayan yollarla elde edilen veriler için veri sorumlusu durumu en kısa sürede ilgilisine ve Kurul’a bildirmek zorundadır (KVKK 12/5).
3. Olası kötüye kullanımı izleyin. Sızan veriler dolandırıcılık amaçlı aramalarda kullanılabilir; tanımadığınız kişilerle kimlik veya doğrulama kodu paylaşmayın.
4. Suç duyurusu ve katılma. Başsavcılığa bilgi verin; kamu davası açılırsa katılan sıfatıyla davaya katılabilirsiniz (CMK 237).
5. Tazminatı ayrıca değerlendirin. Kişilik hakkı ihlali nedeniyle tazminat talebi genel hükümlere göre saklıdır (KVKK 14/3).

Verileri hukuka aykırı olarak verme suçunda uzlaşma ve zararın giderilmesi

TCK 139 bu suçu şikâyete bağlı suçların dışında bırakır. TCK 136, CMK 253/1-b’de uzlaştırmaya açık olarak sayılan suçlar arasında da bulunmaz. Bu yüzden kural olarak uzlaştırma yapılmaz; mağdurun şikâyetten vazgeçmesi de soruşturmayı durdurmaz. Önödeme ise cezanın üst sınırı altı ayı aştığı için hiç uygulanmaz (TCK 75).

Zararın giderilmesi yine de sanık açısından anlam taşır. Hükmolunan ceza iki yıl veya daha azsa, 7589 sayılı Kanunla yeniden düzenlenen CMK 231’e göre hükmün açıklanmasının geri bırakılması değerlendirilebilir. Bunun şartlarından biri mağdurun uğradığı zararın tamamen giderilmesidir. Derhâl ödeme yapılamıyorsa denetim süresi boyunca aylık taksit imkânı tanınabilir. Ertelemenin şartları ise TCK 51’de düzenlenir.

Şüphelinin savunmasında öne çıkan konular

İlk başlık, aktarılan bilginin gerçekten kişisel veri olup olmadığıdır. İkinci başlık hukuka aykırılıktır: aktarımın bir kanuni dayanağı, sözleşmesel gerekliliği ya da ilgili kişinin rızası varsa unsur tartışmalı hâle gelir. Üçüncü başlık kasttır; failin aktardığı dosyanın içeriğini bilmemesi ya da gönderimin bir sistem hatasından kaynaklanması bu yönden incelenir.

Suç tarihi de göz ardı edilmemelidir. TCK 136/1’in alt sınırı 2014’te 6526 sayılı Kanunla bir yıldan iki yıla çıkarılmıştır; ikinci fıkra 2019’dan sonraki fiillere uygulanır. Eski tarihli olaylarda failin lehine olan kanun uygulanır (TCK 7/2). Dava zamanaşımı temel hâlde sekiz, ikinci fıkra hâlinde ise on beş yıldır (TCK 66). Genel çerçeve için hayatın gizli alanına karşı suçlar rehberine, ceza yargılamasına ilişkin başlıklar için ceza hukuku ve ceza muhakemesi hukuku sayfasına bakılabilir.

Verileri Hukuka Aykırı Olarak Verme Suçu Hakkında Merak Edilenler

Yazıyı hazırlayan

Av. Gülşah Mutlu

Ankara Barosuna kayıtlı avukat (sicil 16495), Çankaya Üniversitesi Hukuk Fakültesi 2002 mezunu. Ceza hukuku, uzlaştırma ve arabuluculuk süreçlerinde çalışmaktadır.

Bu yazı genel bilgi vermek amacıyla hazırlanmıştır; somut bir dosya için suç tarihi, deliller ve yürürlükteki mevzuat birlikte incelenmelidir.