KÜHEYLAN HUKUK
16 Ağustos 2026
Kişisel Veri Suçları (TCK m.135-140): Kaydetme, Ele Geçirme, Yayma ve KVKK Yaptırımları Türk Ceza Kanunu m.135, 136, 137, 138 ile 6698 Sayılı Kanun Kapsamında Cezai ve İdari Sorumluluk Bu rehber, Türk Ceza Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Yargıtay içtihadı esas alınarak 2026 yılı itibarıyla güncellenmiştir.
Özet Kişisel verilerin hukuka aykırı olarak kaydedilmesi bir yıldan üç yıla, bu verilerin başkasına verilmesi, yayılması veya ele geçirilmesi ise iki yıldan dört yıla kadar hapis cezası gerektirir. Verilerin siyasi görüş, sağlık, cinsel yaşam veya sendikal bağlantı gibi özel nitelikli veriler olması, fiilin kamu görevlisi tarafından yetki kötüye kullanılarak ya da mesleğin sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde ceza yarı oranında artırılır. Bu suçlar şikâyete bağlı değildir ve re'sen soruşturulur. Cezai sorumluluğun yanında, veri sorumluları bakımından 6698 sayılı Kanun kapsamında ayrı bir idari para cezası rejimi işler; 2026 yılı itibarıyla veri güvenliği ihlallerinde üst sınır 17.092.242 Türk lirasıdır.
Bir müşteri listesinin rakip firmaya aktarılması, bir çalışanın sistemdeki kayıtları izinsiz görüntülemesi ya da özel bir yazışmanın sosyal medyada paylaşılması. Bu olayların ortak yanı, yalnızca bir idari uyum sorunu değil aynı zamanda hapis cezası gerektiren bir suç doğurabilmeleridir.
Türk hukukunda kişisel veriler iki ayrı eksende korunur. Türk Ceza Kanunu'nun 135 ilâ 140. maddeleri gerçek kişilerin cezai sorumluluğunu düzenlerken, 6698 sayılı Kişisel Verilerin Korunması Kanunu veri sorumlularına yönelik idari yaptırımları öngörür. İki rejim birbirinin alternatifi değildir; aynı olay hem savcılık soruşturmasına hem de Kişisel Verileri Koruma Kurulu incelemesine konu olabilir. Rehberde her iki rejim, suç tipleri, hukuka uygunluk sebepleri ve 2026 yılı itibarıyla güncel yaptırım tutarları birlikte ele alınmaktadır.
Kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tanımın kapsamı yalnızca kimlik numarası veya ad soyad ile sınırlı değildir; kişiyi doğrudan ya da dolaylı biçimde tanımlanabilir kılan her bilgi bu kapsamdadır. Telefon numarası, adres, e-posta, banka hesap bilgisi, araç plakası, fotoğraf, ses kaydı, konum bilgisi ve internet trafik kayıtları örnek olarak sayılabilir.
Koruma yalnızca gerçek kişilere tanınmıştır; tüzel kişilere ait bilgiler bu kapsamda değildir. Anonimleştirilmiş, yani hiçbir şekilde kişiyle ilişkilendirilemeyecek hâle getirilmiş veriler de koruma dışında kalır.
Kanun, bazı veri kategorilerini ihlal hâlinde daha ağır sonuçlara bağlamıştır. Türk Ceza Kanunu'nun 135. maddesinin ikinci fıkrası uyarınca verinin; kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması hâlinde ceza yarı oranında artırılır. Sağlık verilerinin işlendiği dosyalar, uygulamada bu fıkranın en sık gündeme geldiği alandır.
Hukuka aykırı olarak kişisel verileri kaydeden kişi, bir yıldan üç yıla kadar hapis cezası ile cezalandırılır. Suçun oluşumu için verinin herhangi bir şekilde kalıcı hâle getirilmesi yeterlidir; kâğıda yazmak, elektronik ortama aktarmak, fotoğraflamak ya da ses kaydı almak bu kapsamdadır.
Maddedeki belirleyici ölçüt hukuka aykırılıktır. Kanundan kaynaklanan bir yükümlülüğe dayanan kayıtlar suç oluşturmaz. İşverenin iş mevzuatı gereği özlük dosyası tutması, hastanenin hasta kaydı oluşturması ya da ticari faaliyet kapsamında rutin müşteri kaydı yapılması bu nedenle cezalandırılmaz. Buna karşılık aynı verilerin sonradan üçüncü kişilerle paylaşılması bağımsız bir suç oluşturur.
Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Yargıtay Ceza Genel Kurulu'nun kabulüne göre suç seçimlik hareketlidir; üç hareketten yalnızca birinin gerçekleşmesi suçun oluşması için yeterlidir.
Başkasına verme: Verinin belirli bir kişiye aktarılmasıdır. Aktarılan kişi gerçek kişi olabileceği gibi tüzel kişi de olabilir; aktarım elden, posta yoluyla ya da elektronik ortamda gerçekleşebilir.
Yayma: Verinin belirsiz sayıda kişinin erişimine açılmasıdır. Sosyal medya paylaşımları, internet sitesinde yayımlama ve grup mesajlaşmalarına aktarma bu kapsamdadır.
Ele geçirme: Verinin yetkisiz biçimde elde edilmesidir. Sisteme yetkisiz erişim, başkasının telefonunu izinsiz inceleme veya belgeleri kopyalama örnek verilebilir.
Maddenin ikinci fıkrası uyarınca, suçun konusunun Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması hâlinde verilecek ceza bir kat artırılır. Bu hüküm, mağdur ve tanık ifadelerinin görüntülü kaydını özel bir korumaya tabi tutar.
Yargıtay uygulamasında yalnızca veriye erişmiş olmak suçun oluşumu için yeterli görülmez. Fiilin hukuka aykırı biçimde ele geçirme veya aktarma iradesiyle gerçekleştirildiğinin ortaya konulması aranır. Görevi gereği bir sisteme erişen ve bu sırada başka verilerle karşılaşan kişinin, aktarma ya da kullanma kastı bulunmadığı hâllerde beraatine karar verilebilmektedir.
Kanunların belirlediği sürelerin geçmiş olmasına rağmen verileri sistem içinde yok etmekle yükümlü olanlar bu görevlerini yerine getirmezse, bir yıldan iki yıla kadar hapis cezası ile cezalandırılır. Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde ceza bir kat artırılır.
Bu suç, uygulamada en az bilinen ancak kurumsal veri sorumluları bakımından en somut riski oluşturan düzenlemedir. Saklama sürelerinin dolmasına rağmen imha edilmeyen kayıtlar, hem cezai hem de idari sorumluluk doğurabilir.
Yukarıdaki suçların kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi hâlinde verilecek ceza yarı oranında artırılır. Banka çalışanının müşteri bilgilerini sızdırması, sağlık personelinin hasta kayıtlarını paylaşması veya kargo görevlisinin adres bilgilerini aktarması bu kapsamda değerlendirilir.
1 yıl 6 aydan 4 yıl 6 aya kadar Kişisel verilerin kaydedilmesi m.135/1 1 yıldan 3 yıla kadar hapis hapis
Ceza yarı oranında Özel nitelikli verilerin kaydedilmesi m.135/2 Artırımlar birlikte uygulanır artırılır
Verileri verme, yayma veya ele geçirme m.136/1 2 yıldan 4 yıla kadar hapis 3 yıldan 6 yıla kadar hapis
Suçun konusunun CMK m.236 kayıtları m.136/2 Ceza bir kat artırılır Artırımlar birlikte uygulanır olması
7. Hukuka Uygunluk Sebepleri: Hangi Hâllerde Suç Oluşmaz?
Bütün bu suç tiplerinde ortak unsur, fiilin hukuka aykırı olmasıdır. Aşağıdaki hâllerde hukuka aykırılık unsuru gerçekleşmez.
İlgilinin açık rızası: Rıza, özgür iradeyle ve belirli bir konuya ilişkin olarak, bilgilendirmeye dayalı biçimde verilmelidir. Genel ve sınırsız bir rıza geçerli sayılmaz.
Kanun hükmünün yerine getirilmesi: Mevzuatın öngördüğü kayıt ve bildirim yükümlülükleri kapsamında yapılan işlemler suç oluşturmaz.
Hakkın kullanılması: Kişinin kendi hukukunu koruma amacıyla hareket ettiği sınırlı hâller bu kapsamda değerlendirilir.
Uygulamada en çok tartışılan konu, kişinin kendisine karşı işlenmekte olan bir suça ilişkin olarak ses veya görüntü kaydı almasıdır. Yargıtay'ın yerleşik yaklaşımına göre, bir daha elde edilme olanağı bulunmayan delilin ani gelişen bir olayda ve kaybolma ihtimaline karşı muhafaza edilmesi amacıyla alınan kayıt hukuka uygun kabul edilir. Buna karşılık önceden planlanmış biçimde, sistematik olarak ve süreklilik arz edecek şekilde kayıt alınması bu koruma kapsamında değerlendirilmez.
Kaydın hukuka uygun sayıldığı hâllerde dahi, bu kaydın yetkili makamlar dışındaki kişilerle paylaşılması ya da sosyal medyada yayımlanması bağımsız bir suç oluşturur. Delil olarak sunulması ile aleni hâle getirilmesi arasındaki ayrım, bu noktada belirleyicidir.
Türk Ceza Kanunu'nun 139. maddesi uyarınca, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları şikâyete bağlı değildir. Bu suçlar re'sen soruşturulur ve şikâyetten vazgeçme kamu davasını düşürmez. Özel hayatın gizliliğini ihlal gibi aynı bölümdeki diğer bazı suçların şikâyete bağlı olması, uygulamada sıkça karışıklığa yol açmaktadır.
Suçlar uzlaştırma kapsamında yer almaz. Görevli mahkeme asliye ceza mahkemesi, yetkili mahkeme ise suçun işlendiği yer mahkemesidir. Temel hâller bakımından dava zamanaşımı sekiz yıl olup, artırım hükümlerinin uygulandığı hâllerde bu süre uzayabilir. Türk Ceza Kanunu'nun 140. maddesi uyarınca, bu suçların işlenmesi dolayısıyla tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur.
Hükmolunan cezanın adli para cezasına çevrilmesi, ertelenmesi ya da hükmün açıklanmasının geri bırakılmasına karar verilmesi, koşulların gerçekleşmesi hâlinde mümkündür. Ancak Türk Ceza Kanunu'nun 136. maddesindeki suçun alt sınırının iki yıl olması, artırım hükümleri devreye girdiğinde bu imkânları önemli ölçüde daraltır.
Cezai sorumluluk gerçek kişilere yöneliktir. Veri sorumlusu sıfatını taşıyan şirket ve kurumlar bakımından ise 6698 sayılı Kanun'un 18. maddesinde düzenlenen idari para cezaları uygulanır. Bu tutarlar her takvim yılı başında yeniden değerleme oranında artırılır ve Kurul'un ayrıca karar almasına gerek kalmaksızın güncellenir.
Kurul, ceza miktarını belirlerken ihlalin süresini, etkilenen kişi sayısını, verinin özel nitelikli olup olmadığını, veri sorumlusunun ekonomik durumunu ve ihlal bildiriminin ne kadar hızlı yapıldığını dikkate alır. Tek bir olayda birden fazla yükümlülüğün ihlal edildiği tespit edilirse, her ihlal için ayrı ceza verilebilmektedir.
Kurul kararlarına karşı başvurulacak yargı yolu değişmiştir. 1 Haziran 2024 tarihinde yürürlüğe giren düzenleme uyarınca idari para cezalarına karşı, kararın tebliğinden itibaren altmış gün içinde yetkili idare mahkemesinde dava açılır. Bu tarihten önce verilen kararlar bakımından ise sulh ceza hâkimliğine itiraz yolu geçerliydi. Süre ve merci bakımından yapılacak bir hata, esasa girilmeksizin ret sonucu doğurur.
10. Veri İhlaline Uğrayan Kişi Ne Yapmalıdır?
Verilerinin hukuka aykırı biçimde işlendiğini öğrenen kişinin izleyebileceği yollar birbirinden bağımsızdır ve aynı anda kullanılabilir.
İçeriğin bulunduğu ekran görüntüleri, bağlantı adresleri ile tarih ve saat bilgileri kaybolmadan tespit edilmeli; mümkünse noter aracılığıyla tespit yaptırılmalıdır.
Cumhuriyet başsavcılığına suç duyurusunda bulunulabilir. Suç re'sen soruşturulduğundan ihbar da soruşturmayı başlatmaya elverişlidir.
Veri sorumlusuna başvurulmalı, yanıt alınamaması ya da yanıtın yetersiz olması hâlinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunulmalıdır.
İnternet ortamındaki içerikler bakımından erişimin engellenmesi ve içeriğin çıkarılması talebiyle sulh ceza hâkimliğine başvurulabilir.
Maddi ve manevi zararların giderilmesi için hukuk mahkemesinde ayrıca tazminat davası açılabilir.
Bir şirketin satış biriminde çalışan personel, işten ayrılmadan önce müşteri veri tabanındaki ad, telefon ve adres bilgilerini kendi elektronik posta adresine göndermiş, ardından bu listeyi yeni çalışmaya başladığı rakip şirkete aktarmıştır. Müşterilerden biri, hiç iletişim kurmadığı bu şirketten tanıtım mesajı alınca durumu fark etmiş ve şikâyette bulunmuştur.
Verilerin kendi elektronik posta adresine aktarılması Türk Ceza Kanunu'nun 135. maddesi kapsamında kaydetme, rakip şirkete iletilmesi ise 136. maddesi kapsamında başkasına verme fiilini oluşturur. Fiilin görevin sağladığı erişim imkânından yararlanılarak işlenmiş olması, 137. maddedeki nitelikli hâl bakımından ayrıca değerlendirilir. Suçlar şikâyete bağlı olmadığından, müşterinin sonradan şikâyetten vazgeçmesi kamu davasını düşürmez. Aynı olay, veri sorumlusu sıfatını taşıyan şirket bakımından veri güvenliği yükümlülüğünün ihlali gerekçesiyle Kurul incelemesine de konu olabilir; iki süreç birbirinden bağımsız yürür.
Karşımdaki kişinin bilgisi olmadan konuşmayı kaydetmek suç mudur?
Kural olarak evet. Ancak kendisine karşı işlenmekte olan bir suça ilişkin olarak, ani gelişen ve delilin bir daha elde edilemeyeceği bir durumda alınan kayıt hukuka uygun kabul edilebilir. Planlı ve sistematik biçimde kayıt alınması bu kapsamda değerlendirilmez.
Elimdeki hukuka uygun kaydı sosyal medyada paylaşabilir miyim?
Hayır. Kaydın delil olarak elde edilmesinin hukuka uygun sayılması, aleni hâle getirilmesini meşru kılmaz. Yayma fiili bağımsız bir suç oluşturur. Kayıt yalnızca yetkili makamlara sunulmalıdır.
Şikâyetimden vazgeçersem dava düşer mi? Hayır. Türk Ceza Kanunu'nun 139. maddesi uyarınca bu suçlar şikâyete bağlı değildir ve re'sen soruşturulur. Vazgeçme kamu davasını düşürmez.
Telefon rehberimdeki numaraları toplu mesaj için kullanabilir miyim?
Kişinin numarasını size vermiş olması, o numaranın ticari iletişim amacıyla kullanılmasına rıza gösterdiği anlamına gelmez. Bu kullanım, kapsamına göre hem 6698 sayılı Kanun hem de ticari elektronik ileti mevzuatı bakımından sorumluluk doğurabilir.
Hem savcılığa hem Kurul'a başvurmak mümkün mü? Evet. Cezai süreç gerçek kişilerin sorumluluğuna, idari süreç ise veri sorumlusunun yükümlülüklerine ilişkindir. İki yol birbirinin alternatifi değildir ve aynı anda işletilebilir.
Kurul'un verdiği idari para cezasına nasıl itiraz edilir?
Kararın tebliğinden itibaren altmış gün içinde yetkili idare mahkemesinde iptal davası açılır. 1 Haziran 2024 öncesinde geçerli olan sulh ceza hâkimliğine itiraz yolu artık uygulanmamaktadır.
Delilin usulünce tespit edilmemesi: Paylaşımların silinme ihtimali yüksektir. Ekran görüntüsüyle yetinilmesi, içeriğin kaynağının tartışmaya açılmasına yol açar.
Kaydın yayımlanması: Hukuka uygun elde edilmiş bir kaydın sosyal medyada paylaşılması, mağdur konumundaki kişiyi şüpheli hâline getirebilir.
İtiraz süresi ve merciinin karıştırılması: Kurul kararlarına karşı altmış günlük süre içinde idare mahkemesine başvurulmaması, esasa girilmeksizin ret sonucu doğurur.
Rızanın belgelendirilmemesi: Veri sorumluları bakımından açık rızanın varlığı kadar ispatlanabilir olması da gerekir; belgelenmemiş rıza savunmada işlev görmez.
Saklama sürelerinin takip edilmemesi: Süresi dolan verilerin imha edilmemesi, Türk Ceza Kanunu'nun 138. maddesi kapsamında ayrı bir suç oluşturur.
Kişisel veri ihlalleri, aynı fiilin hem hapis cezası gerektiren bir suç hem de milyonlarca liralık idari yaptırım doğurabilen bir yükümlülük ihlali sayılabildiği ender alanlardan biridir. Hukuka aykırılık unsurunun doğru değerlendirilmesi, rıza ve hakkın kullanılması savunmalarının somut olguya oturtulması, dijital delillerin kaybolmadan tespit edilmesi ve idari süreçte altmış günlük dava süresinin kaçırılmaması, sonucu belirleyen teknik başlıklardır. Küheylan Hukuk Bürosu, kişisel veri suçlarına ilişkin dosyalarda suç duyurusu ve savunma süreçlerinin yürütülmesi, içeriğin çıkarılması ve erişimin engellenmesi başvuruları, Kurul kararlarına karşı iptal davaları ile veri sorumlularının uyum süreçlerinde hukuki destek sunmaktadır.
Önemli Yasal Uyarı: Bu rehberde yer alan hukuki açıklamalar ve örnek senaryo Küheylan Hukuk Bürosu tarafından genel bilgilendirme amacıyla hazırlanmıştır ve hukuki danışmanlık niteliği taşımaz. Her dosyanın kendine özgü koşulları sonucu değiştirebileceğinden, sürecin ilk aşamasından itibaren bir avukattan hukuki destek alınması tavsiye olunur. © 2026 Küheylan Hukuk Bürosu. Tüm Hakları Saklıdır.
Küheylan Hukuk Bürosu — Burhaniye Mh. Neşetbey Sk. No:12/5 Kat:5 Daire:3 Üsküdar/İstanbul — info@kuheylanhukuk.com — kuheylanhukuk.com
KÜHEYLAN HUKUK