Kişisel Verilerin Kaydedilmesi Suçu – TCK 135

Kişisel verilerin kaydedilmesi suçu, Türk Ceza Kanunu’nun 135. maddesinde düzenlenen ve kişilere ait verilerin hukuka aykırı şekilde kayıt altına alınmasını cezalandıran bir suç tipidir. Bu suçta önemli olan nokta, kişisel verinin mutlaka üçüncü kişilerle paylaşılmış olması değildir. Bir kişiye ait verinin hukuka aykırı biçimde listeye, dosyaya, elektronik tabloya, veri tabanına, arşive veya sisteme kaydedilmesi de TCK 135 kapsamında ceza sorumluluğu doğurabilir.

Günümüzde kişisel verilerin korunması; iş hayatı, sağlık sektörü, sosyal medya, kamera kayıtları, insan kaynakları uygulamaları, müşteri veri tabanları ve dijital platformlar bakımından son derece önemli hâle gelmiştir. Özellikle kimlik bilgileri, telefon numarası, adres, sağlık verisi, sendikal bilgi, siyasi görüş, dini kanaat, konum bilgisi veya kişiyi belirlenebilir kılan başka verilerin hukuka aykırı şekilde kaydedilmesi halinde kişisel verilerin kaydedilmesi suçu gündeme gelebilir.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bu tanım oldukça geniştir. Bir verinin kişisel veri sayılması için tek başına kişinin adını içermesi zorunlu değildir. Veri, doğrudan veya dolaylı olarak bir kişiyi belirlenebilir hâle getiriyorsa kişisel veri niteliği taşıyabilir.

Kişisel veriye örnek olarak şunlar gösterilebilir:

• Ad ve soyad,
• T.C. kimlik numarası,
• Telefon numarası,
• E-posta adresi,
• Ev veya iş adresi,
• Doğum tarihi,
• Araç plakası,
• IP adresi,
• Konum bilgisi,
• Fotoğraf,
• Ses kaydı,
• Kamera görüntüsü,
• Sağlık bilgileri,
• Banka ve finans bilgileri,
• Sendikal bağlantı,
• Siyasi veya dini görüş,
• İş başvuru ve özlük bilgileri.

Ceza hukuku bakımından dikkat edilmesi gereken nokta, kişisel verinin yalnızca “gizli bilgi” ile sınırlı olmamasıdır. Herkes tarafından belli ölçüde bilinen veya görünür olan bir bilgi de kişiyi belirlenebilir kılıyorsa kişisel veri niteliği taşıyabilir. Bu nedenle “telefon numarası zaten biliniyordu” veya “fotoğraf sosyal medyada vardı” şeklindeki savunmalar her olayda otomatik olarak hukuka uygunluk sağlamaz.

TCK 135 Suçunun Unsurları Nelerdir?

Kişisel verilerin kaydedilmesi suçunun oluşabilmesi için bazı temel unsurların birlikte bulunması gerekir. Her kişisel veri işleme faaliyeti otomatik olarak suç oluşturmaz. Suçun oluşması için kayıt işleminin hukuka aykırı olması gerekir.

1. Ortada Kişisel Veri Bulunmalıdır

TCK 135’in uygulanabilmesi için kayıt altına alınan bilginin gerçek kişiye ait kişisel veri niteliğinde olması gerekir. Tüzel kişilere ait ticari bilgiler, şirket sırları veya kurumsal veriler doğrudan TCK 135 kapsamında kişisel veri sayılmaz. Ancak bir şirketin çalışanına, yöneticisine, müşterisine veya iş başvurusu yapan kişiye ait bilgiler gerçek kişiyle bağlantılı olduğu ölçüde kişisel veri sayılabilir.

2. Kişisel Veri Kaydedilmelidir

Suçun hareket unsuru, kişisel verinin kaydedilmesidir. Kaydetme fiili geniş yorumlanır. Verinin bilgisayara, telefona, harici belleğe, bulut sistemine, Excel dosyasına, fiziki klasöre veya başka bir kayıt ortamına aktarılması bu kapsamda değerlendirilebilir.

Burada önemli olan, bilginin sonradan kullanılabilecek şekilde kayıt altına alınmasıdır. Sadece öğrenme veya akılda tutma, kural olarak kaydetme fiili kapsamında değerlendirilmez. Ancak öğrenilen bilginin bir liste, dosya, tablo, arşiv veya sistemde saklanması halinde TCK 135 gündeme gelebilir.

3. Kayıt Hukuka Aykırı Olmalıdır

TCK 135 bakımından en kritik unsur hukuka aykırılıktır. Bir verinin kişisel veri olması tek başına suç için yeterli değildir. Kayıt işleminin hukuki dayanağı yoksa, rıza geçerli değilse, kanuni yetki aşılmışsa veya veri işleme amacı meşru değilse hukuka aykırılık söz konusu olabilir.

Örneğin işverenin bordro, SGK, özlük dosyası ve iş güvenliği yükümlülükleri kapsamında bazı çalışan verilerini tutması kural olarak hukuka uygun olabilir. Ancak çalışanın siyasi görüşünü, dini inancını, sendikal eğilimini veya özel hayatına ilişkin bilgileri hukuki dayanak olmadan listelemesi TCK 135 bakımından ciddi ceza sorumluluğu doğurabilir.

4. Fail Kasten Hareket Etmelidir

Kişisel verilerin kaydedilmesi suçu kasten işlenebilen bir suçtur. Failin, verinin kişisel veri niteliğinde olduğunu bilerek ve hukuka aykırı şekilde kayıt altına almayı istemesi gerekir. Taksirle işlenmesi kural olarak mümkün değildir.

Kastın tespitinde; failin görevi, veriye erişim yetkisi, kaydın amacı, kayıt sisteminin niteliği, verinin hangi ortamda tutulduğu ve kaydın olağan iş akışına uygun olup olmadığı birlikte değerlendirilir.

Kişisel Verilerin Kaydedilmesi Suçunun Cezası Nedir?

TCK 135/1’e göre, hukuka aykırı olarak kişisel verileri kaydeden kişi hakkında 1 yıldan 3 yıla kadar hapis cezası öngörülmüştür. Kaydedilen verinin kişinin siyasi, felsefi veya dini görüşüne, ırki kökenine, ahlaki eğilimine, cinsel yaşamına, sağlık durumuna veya sendikal bağlantısına ilişkin olması halinde ceza yarı oranında artırılır.

Bunun yanında suçun, kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak veya belli bir meslek ya da sanatın sağladığı kolaylıktan yararlanılarak işlenmesi halinde TCK 137 uyarınca verilecek ceza ayrıca yarı oranında artırılır. Örneğin sağlık personeli, banka çalışanı, insan kaynakları personeli, kamu görevlisi veya mesleği gereği kişisel verilere erişebilen kişilerin bu yetkiyi kötüye kullanması halinde nitelikli hal gündeme gelebilir.

Durum	Ceza
Kişisel verilerin hukuka aykırı kaydedilmesi	1 yıldan 3 yıla kadar hapis
TCK 135/2 kapsamındaki hassas verilerin kaydedilmesi	Ceza yarı oranında artırılır
Kamu görevlisi veya meslek kolaylığıyla işlenmesi	TCK 137 uyarınca ceza yarı oranında artırılır

Bu nedenle özellikle sağlık verileri, sendikal bilgiler, siyasi görüşler, dini kanaatler, cinsel yaşama ilişkin bilgiler veya etnik kökenle bağlantılı verilerin hukuka aykırı kaydedilmesi halinde ceza miktarı ağırlaşabilir.

Şikâyet Süresi, Uzlaştırma ve Görevli Mahkeme

Kişisel verilerin kaydedilmesi suçu şikâyete tabi değildir. Bu nedenle savcılık, suç işlendiğini öğrendiğinde re’sen soruşturma başlatabilir. Mağdurun şikâyetçi olmaması veya sonradan şikâyetten vazgeçmesi, kural olarak soruşturmanın ya da kovuşturmanın kendiliğinden sona ermesi sonucunu doğurmaz. Çünkü TCK 135 kapsamındaki suç, kamu adına takip edilen suçlardandır.

TCK 135 kapsamında kişisel verilerin kaydedilmesi suçu uzlaşmaya tabi suçlar arasında değildir.

Kişisel verilerin kaydedilmesi suçu bakımından görevli mahkeme kural olarak Asliye Ceza Mahkemesi‘dir.

TCK 135 ile TCK 134 ve TCK 136 Arasındaki Farklar

Uygulamada en çok karıştırılan hususlardan biri, TCK 135’in TCK 134 ve TCK 136 ile sınırlarının doğru çizilmesidir. TCK 135, kişisel verilerin hukuka aykırı olarak kaydedilmesini cezalandırır. Burada odak nokta, verinin kayıt altına alınmasıdır. Buna karşılık TCK 136, kişisel verilerin hukuka aykırı olarak bir başkasına verilmesi, yayılması veya ele geçirilmesi fiillerini düzenler. Dolayısıyla TCK 135’te verinin paylaşılması şart değildir; TCK 136’da ise paylaşım, yayma veya ele geçirme unsurunun öne çıktığı görülür. Bir veri önce hukuka aykırı şekilde kaydedilmiş, sonra da üçüncü kişilerle paylaşılmışsa, somut olayın özelliklerine göre her iki suç tipi yönünden ayrı değerlendirme gerekebilir.

TCK 134 ise kişilerin özel hayatının gizliliğini ihlal suçunu düzenler. Bu suç tipi özellikle özel hayata ilişkin görüntü ve seslerin kaydedilmesi veya ifşa edilmesi alanında önem taşır. İşte tam bu noktada, her görüntü kaydı veya her ekran görüntüsü otomatik olarak TCK 135 kapsamında değerlendirilmez. Özel hayata ilişkin mahrem görüntülerin kaydedildiği olaylarda çoğu zaman TCK 134 uygulanır. Aynı şekilde kişiler arasındaki aleni olmayan konuşmaların kayda alınması hâlinde TCK 133 de gündeme gelebilir. Bu nedenle özellikle görüntü, ses, mesaj, sosyal medya, kamera ve özel yazışma içeren olaylarda suç vasfının doğru tespiti son derece önemlidir.

Güncel Yargıtay İçtihatları Işığında Uygulama

Yargıtay uygulaması, TCK 135 bakımından iki temel noktayı açık biçimde ortaya koymaktadır: Birincisi, kişisel veri kavramı dar yorumlanmamaktadır; ikincisi ise her veri içeren olayın otomatik olarak TCK 135 sayılmadığı, somut olayın niteliğine göre TCK 134 ve TCK 136 ile ayrım yapılması gerektiğidir. Bu nedenle güncel ve yerleşen içtihat çizgisini dikkate almadan hazırlanan bir makale, okuyucuya eksik bir tablo sunar.

İlk olarak, Yargıtay Ceza Genel Kurulu’nun 17.06.2014 tarihli, 2012/1510 E., 2014/331 K. sayılı kararı, kişisel veri kavramının kapsamı bakımından son derece önemlidir. Ceza Genel Kurulu bu kararında, TCK’daki kişisel verilerin korunmasına ilişkin düzenlemelerin yalnızca “sır niteliğindeki” verileri koruduğu yönünde dar bir anlayışı benimsememiş; gerçek kişiyle ilgili her türlü bilginin kişisel veri olarak kabul edilebileceği yönünde geniş bir yaklaşımı ortaya koymuştur. Bu karar, uygulamada sıkça rastlanan “bu bilgi gizli değildi, o hâlde kişisel veri sayılmaz” şeklindeki savunmaların her zaman yeterli olmayacağını gösterir. Ceza Genel Kurulu’nun bu yaklaşımı, KVKK m. 3’teki tanımla da uyumludur.

İkinci olarak, Yargıtay 12. Ceza Dairesi’nin 20.04.2016 tarihli, 2015/7717 E., 2016/6820 K. sayılı kararı, TCK 135 ile TCK 134 ayrımını göstermesi bakımından kritik önemdedir. Kararda, katılana ait cinsel yakınlaşma görüntülerinin kaydedilmesi fiilinin “kişisel verilerin kaydedilmesi” değil, “özel hayata ilişkin görüntülerin kaydedilmesi” kapsamında değerlendirilmesi gerektiği belirtilmiştir. Bu karar, görüntü ve ses içeren her olayın otomatik olarak TCK 135’e sokulamayacağını; özel hayatın mahrem alanına ilişkin görüntüler söz konusuysa TCK 134’ün öncelikle tartışılması gerektiğini ortaya koyar. Uygulamada sosyal medya görüntüleri, gizli kamera kayıtları, özel görüntülerin kaydı ve mahrem alan içerikleri bakımından bu ayrım son derece önemlidir.

Üçüncü olarak, Yargıtay 12. Ceza Dairesi’nin 23.03.2022 tarihli, 2019/14037 E., 2022/2232 K. sayılı kararı, özel hayatın ve kişisel veri korumasının değerlendirilmesinde hangi ölçütlerin dikkate alınacağını göstermektedir. Bu kararlarda; bir bilginin veya olayın özel hayat kapsamında değerlendirilip değerlendirilmeyeceğinin belirlenmesinde kişinin toplum içindeki konumu, kamuoyunca tanınırlığı, dışa yansıyan davranışları, rızası ve öngörüleri, sosyal ilişkileri, içinde bulunduğu fiziksel çevre ve müdahalenin derecesi gibi kriterlerin birlikte ele alınması gerektiğini vurgulamıştır.

Dördüncü olarak, TCK 135 ile TCK 136 arasındaki ayrımı somutlaştırmak bakımından Yargıtay 18. Ceza Dairesi’nin 13.02.2019 tarihli, 2016/12443 E., 2019/2912 K. sayılı kararı önem taşır. Bu içtihatlarda, TCK 136 bakımından “verme, yayma veya ele geçirme” fiillerinin söz konusu olabilmesi için kişisel verilerin kaydedilmiş halde bulunması ve kaydedilmiş haliyle aktarılması ya da ele geçirilmesi gereğine dikkat çekilmiştir. Özellikle verinin bulunduğu yerden alınması veya başka bir nesne üzerine taşınarak tekrar kullanılabilir hâle getirilmesinin de “ele geçirme” kapsamında değerlendirilebileceği ifade edilmiştir.

Kişisel Verilerin Kaydedilmesi Suçunda Avukat Desteği

Kişisel verilerin kaydedilmesi suçu, ilk bakışta basit gibi görünse de uygulamada teknik değerlendirme gerektiren bir suç tipidir. Çünkü TCK 135 kapsamında yalnızca bir bilginin kaydedilip kaydedilmediğine bakılmaz. Öncelikle kayda konu bilginin kişisel veri niteliğinde olup olmadığı, kaydın hukuka aykırı şekilde yapılıp yapılmadığı, kayıt işleminin hangi amaçla gerçekleştirildiği ve failin bu veriye erişme ya da kaydetme yetkisinin bulunup bulunmadığı ayrıca değerlendirilmelidir.

Bu tür dosyalarda olayın hangi suç kapsamında ele alınacağı da büyük önem taşır. Bazı durumlarda TCK 135 kapsamında kişisel verilerin kaydedilmesi suçu gündeme gelirken, bazı olaylarda TCK 136’da düzenlenen verileri hukuka aykırı olarak verme, yayma veya ele geçirme suçu ya da TCK 134 kapsamında özel hayatın gizliliğini ihlal suçu tartışılabilir. Bu ayrım, hem uygulanacak ceza miktarı hem de soruşturma ve savunma stratejisi bakımından doğrudan sonuç doğurur.

Şüpheli veya sanık bakımından avukat desteği, suç isnadının doğru değerlendirilmesi açısından önemlidir. Bu aşamada kaydın hukuki dayanağı, açık rıza bulunup bulunmadığı, kanuni zorunluluk veya meşru amaç kapsamında hareket edilip edilmediği, delillerin hukuka uygun şekilde elde edilip edilmediği ve failde kast unsurunun bulunup bulunmadığı incelenmelidir. Özellikle işyerleri, sağlık kurumları, bankalar, kamu kurumları ve veri tabanı kullanılan kurumsal yapılarda; log kayıtları, sistem yetkileri, iş akışları ve kurum içi veri politikaları doğru değerlendirilmeden sağlıklı bir savunma kurulması zorlaşabilir.

Mağdur bakımından ise süreç farklı bir dikkat gerektirir. Kişisel verilerinin hukuka aykırı şekilde kaydedildiğini düşünen kişinin, öncelikle bu fiili mümkün olduğunca somut delillerle ortaya koyması gerekir. Suç duyurusunda yalnızca “verilerim kaydedildi” demek çoğu zaman yeterli olmaz. Hangi verinin, kim tarafından, hangi yöntemle, hangi amaçla ve hangi hukuka aykırılık içinde kaydedildiği açık biçimde anlatılmalıdır. Gerektiğinde ekran görüntüleri, yazışmalar, sistem kayıtları, tanık beyanları veya diğer dijital deliller usulüne uygun şekilde dosyaya sunulmalıdır.

Özellikle işveren tarafından çalışanların fişlenmesi, sağlık verilerinin yetkisiz kişilerce tutulması, müşteri bilgilerinin hukuka aykırı veri havuzlarında saklanması, sosyal medya içeriklerinin sistematik şekilde arşivlenmesi veya kamu görevi nedeniyle erişilen bilgilerin amaç dışı kaydedilmesi gibi olaylarda, dosyanın hem ceza hukuku hem de kişisel verilerin korunması hukuku yönünden birlikte değerlendirilmesi gerekir.

Bu nedenle TCK 135 kapsamındaki soruşturma ve ceza davalarında erken aşamada hukuki destek alınması önemlidir. Doğru hazırlanan bir suç duyurusu, etkili bir savunma dilekçesi veya dosyaya uygun delil stratejisi, sürecin sonucunu doğrudan etkileyebilir. Kişisel veri suçlarında çoğu zaman belirleyici olan şey, yalnızca olayın nasıl gerçekleştiği değil; olayın hukuken nasıl nitelendirileceğidir.

Hakkınızda kişisel verilerin kaydedilmesi suçu nedeniyle soruşturma başlatıldıysa, kişisel verilerinizin hukuka aykırı şekilde kaydedildiğini düşünüyorsanız veya kurumunuzun veri işleme faaliyetleri nedeniyle ceza sorumluluğu riski doğduysa, sürecin gecikmeden bir avukat aracılığıyla değerlendirilmesi hak kayıplarının önüne geçilmesi bakımından faydalı olacaktır.

Ceza soruşturmaları ve davalarına ilişkin daha genel veya bölgesel içerikler için şu sayfalar da incelenebilir:

• İstanbul Ceza Avukatı
• Maltepe Ceza Avukatı
• Kartal Ceza Avukatı

Kişisel Verilerin Kaydedilmesi Suçu – Sık Sorulan Sorular

Kişisel verilerin kaydedilmesi suçu nedir?

Kişisel verilerin kaydedilmesi suçu, bir kişiye ait verilerin hukuka aykırı şekilde kayıt altına alınmasıdır. Verinin paylaşılması şart değildir; hukuka aykırı kayıt işlemi tek başına TCK 135 kapsamında suç oluşturabilir.

TCK 135 cezası nedir?

TCK 135’e göre kişisel verileri hukuka aykırı olarak kaydeden kişi hakkında 1 yıldan 3 yıla kadar hapis cezası öngörülür. Sağlık durumu, siyasi görüş, dini inanç veya sendikal bağlantı gibi verilerde ceza artırılabilir.

Kişisel verilerin kaydedilmesi suçu şikâyete tabi mi?

Kişisel verilerin kaydedilmesi suçu şikâyete tabi değildir. Savcılık, suç işlendiğini öğrendiğinde re’sen soruşturma başlatabilir.

Kişisel verilerin kaydedilmesi suçu uzlaşmaya tabi mi?

TCK 135 kapsamında düzenlenen kişisel verilerin kaydedilmesi suçu uzlaşmaya tabi suçlar arasında değildir.

Telefon numarası veya kimlik bilgisi kaydetmek suç mu?

Telefon numarası, T.C. kimlik numarası ve adres bilgisi kişisel veridir. Ancak bu bilgilerin kaydedilmesi her durumda suç değildir. Hukuki dayanak olmadan ve hukuka aykırı amaçla kayıt yapılması halinde TCK 135 gündeme gelebilir.

İşverenin çalışan verilerini kaydetmesi suç mudur?

İşveren, iş ilişkisi ve yasal yükümlülükler kapsamında bazı çalışan verilerini kaydedebilir. Ancak çalışanın özel hayatı, sağlık durumu, siyasi görüşü veya sendikal bilgileri hukuki dayanak olmadan kaydedilirse ceza sorumluluğu doğabilir.

TCK 135 ile TCK 136 arasındaki fark nedir?

TCK 135, kişisel verilerin hukuka aykırı şekilde kaydedilmesini düzenler. TCK 136 ise kişisel verilerin hukuka aykırı olarak başkasına verilmesi, yayılması veya ele geçirilmesi fiillerini cezalandırır.