Verileri hukuka aykırı olarak verme veya ele geçirme suçu (TCK m. 136)

TCK m. 136/1 üç seçimlik hareket sayar: kişisel verileri hukuka aykırı olarak bir başkasına vermek, yaymak ya da ele geçirmek. Bunlardan herhangi birinin gerçekleşmesi suçun oluşması için yeterlidir; üçünün bir arada bulunması aranmaz.

Yargıtay 12. Ceza Dairesi maddenin konusunu şöyle tarif ediyor: TCK m. 136/1'de belirli veya belirlenebilir bir kişiye ait her türlü bilginin başkasına verilmesi, yayılması ya da ele geçirilmesi suç olarak tanımlanmıştır. (Yargıtay 12. CD, E. 2023/3331)¹

Maddenin uygulanabilmesi için bir ön koşul aranır. Daire, m. 136/1'in gerekçesindeki "hukuka uygun olarak kaydedilmiş olsun veya olmasın" ifadesinden hareketle, kişisel verilerin verildiğinin, yayıldığının veya ele geçirildiğinin kabul edilebilmesi için verilerin kaydedilmiş hâlde bulunması ve kaydedilmiş hâliyle başkasına verilmesi, yayılması ya da ele geçirilmesi gerektiğini belirtmektedir.¹

"Ele geçirme"nin ne olduğu da kararlarla netleşmiştir. Daireye göre kişisel verilerin, üzerinde yazılı olduğu belgenin bulunduğu yerden alınması ya da kaydedilmiş hâliyle başka bir nesne üzerine taşınarak sabitlenmesi — yazının başka bir kâğıda geçirilmesi, taşınabilir belleğe veya CD'ye aktarılması gibi — böylece istenildiğinde tekrar kullanılabilmesi olanağını sağlayan her türlü faaliyet ele geçirme kapsamındadır.¹

Bu tanımın çekirdeğinde hâkimiyet fikri vardır. Daire, Yargıtay Ceza Genel Kurulunun benimsediği ölçütü aktararak, ele geçirmenin başkasının hâkimiyeti altında bulunan kişisel veriyi hukuka aykırı yollarla kendi hâkimiyeti altına almakla gerçekleşeceğini belirtmiştir. (Yargıtay 12. CD, E. 2022/8863)² Zaten kendi hâkimiyetinde bulunan bir veriye bakmak, bu anlamda ele geçirme sayılmaz.

Maddenin ikinci fıkrası 2019'da eklenmiştir. TCK m. 136/2 uyarınca suçun konusu, Ceza Muhakemesi Kanunu'nun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler ise verilecek ceza bir kat artırılır.

Yargıtay 12. Ceza Dairesi kişisel veri kavramını geniş tutuyor. Daireye göre kişisel veriden; kişinin yetkisiz üçüncü kişilerin bilgisine sunmadığı, istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı nüfus bilgileri, adli sicil kaydı, yerleşim yeri, eğitim durumu, mesleği, banka hesap bilgileri, telefon numarası, elektronik posta adresi, kan grubu, medeni hali, parmak izi, sağlık bilgileri, etnik kökeni gibi kişinin kimliğini belirleyen veya belirlenebilir kılan, kişiyi diğer bireylerden ayıran her türlü bilgi anlaşılmalıdır.¹

Verinin gizli olması gerekmez. Daire, Yargıtay Ceza Genel Kurulunun 17.06.2014 tarihli kararına dayanarak, m. 135 ve m. 136'daki düzenlemelerde yalnızca sır niteliğindeki verilerin korunacağına ilişkin bir hüküm bulunmadığını; bu nedenle herkes tarafından bilinen ve kolaylıkla ulaşılması mümkün olan kişisel bilgilerin de yasal anlamda kişisel veri sayıldığını belirtmektedir.¹

Bunun somut sonucu şudur: kişinin kendi sosyal medya hesabında daha önce paylaştığı bir fotoğraf da kişisel veri olma niteliğini korur. Daire, katılanın kendi hesabında yayımladığı bir fotoğrafı başkasının rızası dışında üçüncü kişilerin görebileceği şekilde yayımlamayı suç saymış; yayımlayanın "kamuoyunu aydınlatma amacıyla haber yaptığı" savunmasına dayanan beraat kararını bozmuştur. (Yargıtay 12. CD, E. 2023/4940)³ Kişilerin gözlerinin siyah şeritle kapatılmış olması da sonucu değiştirmemiştir.

Telefon numarası da bu kapsamdadır. Bir olayda katılanın fotoğrafı, yorum kısmına cep telefonu numarası da yazılarak izinsiz paylaşılmış; Daire bu eylem yönünden kurulan mahkûmiyeti onamıştır. (Yargıtay 12. CD, E. 2025/76)⁴

Daire aynı zamanda bir fren koyuyor. Suçun uygulama alanının amaçlanandan fazla genişletilerek hemen her eylemin suç oluşturması gibi olumsuz sonuçların doğmaması için somut olayın özelliklerinin titizlikle değerlendirilmesi, herhangi bir hukuk dalı tarafından kabul edilebilecek bir hukuka uygunluk nedeni bulunup bulunmadığının saptanması ve failin hukuka aykırı hareket ettiğini bildiğinin ya da bilebilecek durumda olduğunun tespit edilmesi gerekir.¹ Bu üçüncü halka, yani hukuka aykırılık bilinci, beraat kararlarında sık karşılaşılan gerekçedir.

TCK m. 136/1'e göre temel ceza iki yıldan dört yıla kadar hapistir. Kanun bu suçta adli para cezasını seçenek olarak öngörmez.

Alt sınır uygulamada sıkça gözden kaçıyor. Bir dosyada ilk derece mahkemesi temel cezayı bir yıl olarak belirlemiş, bölge adliye mahkemesi TCK m. 136/1'deki alt sınırın iki yıl olduğunu belirterek hükmü kaldırmış ve cezayı yeniden kurmuştur. (Yargıtay 12. CD, E. 2024/1456)⁵

İki artırım sebebi vardır ve ikisi farklı işler. 1) TCK m. 136/2 uyarınca suçun konusu CMK m. 236'nın beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler ise ceza bir kat artırılır. 2) TCK m. 137 uyarınca fiil, kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle (m. 137/1-a) ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle (m. 137/1-b) işlenmişse ceza yarı oranında artırılır.

Bu artırımın somut sonucu bir kararda şöyle görülüyor: adliyede görevli bir personelin görevinin verdiği yetkiyi kötüye kullanarak adli sicil kaydı çıkarıp üçüncü kişiye vermesi olayında temel ceza iki yıl belirlenmiş, TCK m. 137/1-a uyarınca yarı oranında artırılarak üç yıla çıkarılmış, ardından TCK m. 62/1'deki takdiri indirimle iki yıl altı ay hapse hükmedilmiştir; bu hüküm Daire tarafından, delilin hukuka aykırılığı nedeniyle ayrıca bozulmuştur. (Yargıtay 12. CD, E. 2024/4138)⁶

Aynı suçun birden fazla işlenmesi hâlinde zincirleme suç hükümleri devreye girer. Daire, ayrıldığı kız arkadaşının fotoğrafını kullanarak farklı hesaplar açan sanık bakımından TCK m. 43/1'in uygulanması gerektiğini saptamış; ancak aleyhe temyiz bulunmadığından bu hukuka aykırılığı bozma nedeni yapmayıp eleştirmekle yetinmiştir. (Yargıtay 12. CD, E. 2021/7143)⁷ Tek hareketle birden fazla kişiye karşı işlenen fiillerde ise TCK m. 43/2 gündeme gelir; Daire, bir kararın başlığındaki birden çok katılanın kimlik ve adres bilgilerinin tek paylaşımla yayılmasını zincirleme suç olarak nitelendirmiştir.¹

Bir indirim sebebi ise bu suça uymuyor. Daire, taraflar arasındaki hakaret içeren yazışmaların bu suç yönünden sanık lehine haksız tahrik nedeni olarak kabul edilemeyeceğini belirterek TCK m. 29'un uygulandığı hükmü bozmuştur.⁵

Bu ayrım rehberin en pratik konusudur, çünkü sonucu doğrudan etkiler: TCK m. 134 şikâyete bağlıdır ve uzlaştırmaya açılabilir, TCK m. 136 ise değildir.

Daire genel kuralı açıkça koymuştur: bir özel hayat görüntüsü ya da sesinin kişisel veri olduğunda kuşku bulunmamakla birlikte, bunların kaydedilmesi TCK m. 134/1'in ikinci cümlesinde, ifşa edilmesi ise TCK m. 134/2'de düzenlendiğinden, kişinin özel hayatına ilişkin görüntüsü ya da sesi yasal anlamda TCK m. 136/1 kapsamında kişisel veri olarak değerlendirilemez. (Yargıtay 12. CD, E. 2023/438)⁸

Ayrım, görüntünün özel yaşam alanına girip girmediğine bakılarak yapılır. Daire, kamuya açık alanda bulunmanın oradaki her görüntünün kaydedilmesine rıza gösterildiği anlamına gelmediğini, kamuya açık alanda dahi "kalabalığın içinde dikkat çekmezlik, tanınmazlık, bilinmezlik" prensibinin geçerli olduğunu; bir olay ya da bilginin özel hayat kapsamına girip girmediği belirlenirken kişinin toplum içindeki konumu, mesleği, dışa yansıyan davranışları, rızası, sosyal ilişkileri ve müdahalenin derecesi gibi ölçütlerin göz önüne alınması gerektiğini belirtmektedir. (Yargıtay 12. CD, E. 2023/6406)⁹

İki karar sınırın iki yakasını gösteriyor. Birincisinde sanık, ayrıldığı katılanın fotoğraflarını kullanarak sahte hesaplar açmış ve bu hesaplardan katılanın özel hayatına ilişkin görüntüler paylaşmıştı. Daire, paylaşılan görüntülerin özel hayatın gizliliğini ihlal suçunun konusu olacağını, ancak fotoğrafı kullanarak sahte hesap açma eyleminin katılanın kişisel verisi kapsamında kaldığını ve TCK m. 136/1'i oluşturduğunu belirterek, eylemi bütünüyle m. 134'e sokup şikâyetten vazgeçme nedeniyle düşme kararı veren hükmü bozmuştur. (Yargıtay 12. CD, E. 2023/5777)¹⁰

İkincisinde ise yön terstir. Sanık, park tartışması sırasında karşısındakilerin görüntüsünü rızaları dışında kaydetmiş ve bu kaydı WhatsApp gruplarında paylaşmıştı. Daire, kaydetme eyleminin TCK m. 134/1'in ikinci cümlesini, paylaşma eyleminin ise TCK m. 134/2'yi oluşturduğunu belirterek, olayı TCK m. 136/1'den cezalandıran hükmü suç vasfında yanılgı nedeniyle bozmuştur.⁹

Görüntünün mahrem olmaması ise eylemi m. 136 tarafına taşır. Bir dosyada katılanın yalnız baş ve yüz kısmını gösteren, gündelik kıyafetlerle çekilmiş fotoğrafları söz konusuydu; bunlar özel yaşam alanına ilişkin görüntü sayılmamış ve sahte hesaplarda kullanılmaları TCK m. 136/1 kapsamında değerlendirilmiştir.⁷

İki madde aynı bölümde yer alır ve aynı hukuki değeri korur; ayıran şey harekettir. TCK m. 135/1 kişisel verileri hukuka aykırı olarak kaydetmeyi cezalandırır ve cezası bir yıldan üç yıla kadar hapistir. TCK m. 136/1 ise kaydetmeyi değil, veriyi başkasına vermeyi, yaymayı ya da ele geçirmeyi cezalandırır ve cezası iki yıldan dört yıla kadar hapistir.

TCK m. 135/2 kaydetme suçuna özgü bir artırım getirir: kişisel veri, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkinse birinci fıkraya göre verilecek ceza yarı oranında artırılır. TCK m. 136 için böyle bir fıkra yoktur; oradaki artırımlar m. 136/2 ve m. 137'dedir.

İki suç arasındaki bağ, m. 136'nın ön koşulunda görünür. Verinin verilmiş, yayılmış veya ele geçirilmiş sayılabilmesi için kaydedilmiş hâlde bulunması gerektiğine göre, çoğu olayda önce bir kaydetme, sonra bir verme veya yayma bulunur.¹ Bu iki eylem aynı kişi tarafından gerçekleştirilmişse ayrı ayrı değerlendirilir; kaydeden ile yayan farklı kişilerse her biri kendi fiilinden sorumlu olur.

Şikâyet bakımından ikisi aynı yerdedir. TCK m. 139, kişisel verilerin kaydedilmesi ile verileri hukuka aykırı olarak verme veya ele geçirme suçlarını şikâyet kuralının dışında tutar; ikisi de resen soruşturulur.

TCK m. 136 metninde "hukuka aykırı olarak" ifadesi bulunur; yani her paylaşım suç değildir. Daire bu değerlendirmeyi iki basamakta yapıyor: olayda kabul edilebilir bir hukuka uygunluk nedeni bulunup bulunmadığı ve failin hukuka aykırı hareket ettiğini bilip bilmediği ya da bilebilecek durumda olup olmadığı.¹

Verinin bir yargılamada delil olarak kullanılması bu değerlendirmede belirleyici olabiliyor. Çift terapisi veren bir psikoloğun seanslara ilişkin raporu, yalnızca boşanma davasına delil olarak sunulmak üzere düzenleyip tarafın vekiline vermesi olayında Daire, raporu üçüncü kişilerle paylaştığına veya çoğaltarak dağıttığına dair delil bulunmayan sanığın hukuka aykırı hareket ettiği bilinciyle davranmadığını kabul ederek beraat kararını onamış; bozma isteyen Tebliğnamedeki görüşe katılmamıştır.⁸

Aynı ölçüt tersine de işliyor. Bir olayda sanık, kendisine zarar verileceği endişesiyle başlattığı video kaydını adli makamlara delil olarak sunmak yerine WhatsApp gruplarında paylaşmıştı. Daire, bu eylemin hukuka uygunluk sınırları kapsamında değerlendirilemeyeceğini tespit etmiştir.⁹ Belirleyici olan kaydın alınması değil, nereye götürüldüğüdür.

Haber verme savunması da tek başına yeterli görülmemiştir. Daire, kamuoyunu aydınlatma amacıyla haber yapıldığı gerekçesiyle kurulan beraat kararını, fotoğrafın katılanın rızası dışında üçüncü kişilerin görebileceği şekilde yayımlandığını belirterek bozmuştur.³

Rıza ise verinin sahibinden gelmelidir. İncelenen kararlarda eylemin hukuka aykırılığı, düzenli olarak "katılanın bilgisi ve rızası dışında" ifadesiyle kurulmaktadır.³ Kişinin veriyi bir kez paylaşmış olması, sonraki her paylaşıma rıza gösterdiği anlamına gelmez.

Bu, kamu görevlileri bakımından en çok karşılaşılan sorudur ve cevabı yapılan işin niteliğine göre değişir.

Yargıtay 12. Ceza Dairesi, Yargıtay Ceza Genel Kurulunun 21.06.2023 tarihli kararı ile kendi uyuşmazlığın giderilmesine dair kararlarına dayanarak şu sonuca varmıştır: kamu kurumlarında görev yapan ve kurumun bilişim sistemindeki kişisel verilere hizmet gereği erişme yetkisi verilen kişilerin, hizmetin yerine getirilmesiyle hiçbir ilgisi bulunmadığı hâlde merak, beğeni ve benzeri saiklerle sistemdeki kişisel verileri sorgulamaları ve bu verilere salt duyu organları aracılığıyla vakıf olmaları Türk Ceza Kanunu kapsamında suç oluşturmaz.²

Gerekçe, ele geçirme kavramının tanımına dayanır: ele geçirme başkasının hâkimiyeti altındaki veriyi hukuka aykırı yollarla kendi hâkimiyeti altına almakla gerçekleşir; kuruma ait şifreyle kendi hâkimiyeti altındaki veriye bakan görevli bu anlamda veriyi ele geçirmiş sayılmaz.² Daire, bu tür eylemlerin ilgili kurumun iç mevzuatı kapsamında disiplin soruşturmasına konu edilebileceğini belirtmektedir.

Sınır, verinin sistemden çıkarılıp bir başkasına aktarıldığı noktada geçilir. Adliyede adli sicil kaydı çıkarmaya yetkili bir personelin, görevinin verdiği yetkiyi kötüye kullanarak bir kişinin adli sicil kaydını çıkarıp üçüncü kişiye teslim ettiği olayda ilk derece ve bölge adliye mahkemeleri mahkûmiyet kurmuş, ceza TCK m. 137/1-a uyarınca yarı oranında artırılmıştır.⁶ Burada eylem "bakmak" değil, veriyi kaydedilmiş hâliyle dışarı çıkarıp vermektir.

Bu ayrım kamu görevlileri için pratik bir sonuç doğurur: aynı ekranda yapılan iki işlemden biri disiplin, diğeri hapis cezası gerektiren bir suç olabilir.

İspat bu suçta iki ayrı düzlemde yürür: eylemin gerçekten sanık tarafından yapıldığının ortaya konması ve delillerin hukuka uygun yolla elde edilmiş olması.

Failin aidiyeti en kırılgan halkadır, çünkü paylaşımlar çoğunlukla sahte hesaplardan yapılır. Yargıtay 12. Ceza Dairesinin kararlarından ve incelediği dosyalardan çıkan ölçütler şunlardır: