TCK 138 Verileri Yok Etmeme Suçu

Son güncelleme: 18 Ekim 2026

Kısa cevap: TCK 138, kanunların belirlediği süreler geçtiği hâlde verileri sistem içinde yok etmekle yükümlü olup bu görevini yerine getirmeyenleri 1 yıldan 2 yıla kadar hapis cezasıyla cezalandırır. Veri, Ceza Muhakemesi Kanunu’na göre yok edilmesi gereken türdense ceza bir kat artırılır (TCK 138/2). Kişisel verileri KVKK’ya aykırı olarak silmeyen veya anonim hâle getirmeyenler de bu maddeye göre cezalandırılır (KVKK m. 17/2). Suç şikâyete bağlı değildir ve uzlaştırma kapsamında değildir.

TCK 138 Nedir? Verileri Yok Etmeme Suçu

TCK 138 verileri yok etmeme suçu, kanunların belirlediği saklama süreleri sona ermesine rağmen, sistem içinde tutulmaya devam eden verilerin yok edilmemesi hâlinde gündeme gelir. Türk Ceza Kanunu kapsamında düzenlenen bu suç tipiyle korunan temel değer; kişilerin özel hayatı, kişisel verileri ve veri güvenliği üzerindeki hukuki korumadır.

Günümüzde şirketler, kamu kurumları, e-ticaret platformları, sağlık kuruluşları, özel eğitim kurumları, insan kaynakları birimleri ve dijital hizmet sağlayıcıları çok sayıda veri işlemektedir. Bu verilerin belirli sürelerle saklanması bazı hâllerde hukuken zorunlu olabilir. Ancak saklama amacı sona erdiğinde veya kanuni süre dolduğunda, verilerin sistem içinde tutulmaya devam edilmesi cezai sorumluluk doğurabilir. Bu suç özellikle şu durumlarda gündeme gelebilir:

• Şirketlerin müşteri kayıtlarını kanuni süre dolmasına rağmen sistemlerinde tutması,
• Eski çalışanlara ait insan kaynakları dosyalarının gereğinden uzun süre saklanması,
• İş başvurusu yapan kişilere ait özgeçmiş, kimlik ve iletişim bilgilerinin süresiz tutulması,
• Üyelik, abonelik veya hizmet ilişkisi sona ermesine rağmen kayıtların silinmemesi,
• Veri silme veya imha talebine rağmen gerekli teknik ve idari işlemlerin yapılmaması,
• Kanunen yok edilmesi gereken kayıtların sistemde erişilebilir şekilde bırakılması.

Ancak her veri saklama hâli suç oluşturmaz. Öncelikle verinin hangi amaçla toplandığı, hangi mevzuat kapsamında saklandığı, saklama süresinin dolup dolmadığı ve veriyi yok etmekle yükümlü kişinin kim olduğu incelenmelidir.

TCK 138 Madde Metni

(1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.

(2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.

İkinci fıkra 2014’te 6526 sayılı Kanunla eklenmiştir.

Kişisel Verileri Silmemek Suç mu? TCK 138 ve KVKK İlişkisi

Kısa cevap: Evet, koşulları varsa. İşlenmesini gerektiren sebepler ortadan kalktığı hâlde kişisel verileri silmeyen veya anonim hâle getirmeyenler, Kişisel Verilerin Korunması Kanunu’na göre TCK 138 uyarınca cezalandırılır. Veri sorumlusu bir şirketse ceza sorumluluğu bu görevi bulunan gerçek kişiye aittir; şirket hakkında ise güvenlik tedbirine hükmolunur (TCK 140). Saklama süresi devam eden veya başka bir kanunun saklanmasını zorunlu kıldığı veriler bu kapsamda değildir.

Kişisel Verilerin Korunması Kanunu’nun ilgili hükümleri şöyledir:

KVKK m. 7/1: Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir.

KVKK m. 17/2: Bu Kanunun 7 nci maddesi hükmüne aykırı olarak; kişisel verileri silmeyen veya anonim hâle getirmeyenler 5237 sayılı Kanunun 138 inci maddesine göre cezalandırılır.

Uygulamadaki ayrıntılar Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’te düzenlenir. Buna göre Veri Sorumluları Siciline kayıt yükümlüsü olan veri sorumluları bir kişisel veri saklama ve imha politikası hazırlar (m. 5); verileri en fazla altı aylık aralıklarla periyodik olarak imha eder (m. 11); ilgili kişinin silme talebini en geç otuz gün içinde sonuçlandırır (m. 12) ve yaptığı silme, yok etme ve anonim hâle getirme işlemlerinin kayıtlarını en az üç yıl saklar (m. 7). Kişisel verilerin hukuka aykırı kaydedilmesi ve yayılması ise ayrı suçlardır; bunlar için kişisel verilerin kaydedilmesi suçu (TCK 135) ve verileri hukuka aykırı olarak verme veya ele geçirme suçu (TCK 136) yazılarımıza bakabilirsiniz.

TCK 138 Verileri Yok Etmeme Suçu Unsurları

Bu suçun oluşabilmesi için bazı şartların birlikte bulunması gerekir. Sadece bir verinin sistemde tutuluyor olması tek başına yeterli değildir. Verinin hukuken artık saklanmaması gereken bir aşamaya gelmiş olması ve buna rağmen yok etme yükümlülüğünün yerine getirilmemesi gerekir.

Suçun Konusunun Veri Olması: Suçun konusu, sistem içinde tutulan ve kanunen yok edilmesi gereken verilerdir. Uygulamada bu veriler çoğunlukla kişisel veri niteliğindedir. Ad-soyad, T.C. kimlik numarası, telefon numarası ve sağlık bilgileri bu kapsamda değerlendirilebilir.

Kanuni Saklama Süresinin Dolmuş Olması: Suçun oluşması bakımından en önemli unsurlardan biri, verinin saklanmasına izin veren veya saklanmasını zorunlu kılan kanuni sürenin sona ermiş olmasıdır. Bazı kayıtların belirli sürelerle saklanması zorunludur. Vergi hukuku, iş hukuku, sosyal güvenlik mevzuatı, ticaret hukuku, muhasebe mevzuatı veya sektörel düzenlemeler farklı saklama yükümlülükleri getirebilir.

Yok Etme Yükümlülüğünün Bulunması: Fail, verileri sistem içinde yok etmekle yükümlü olan kişidir. Bir kişinin yalnızca şirkette çalışıyor olması ceza sorumluluğu için yeterli değildir. İlgili kişinin veriyi yok etme konusunda görev ve yetkisinin bulunması gerekir.

Verilerin Yok Edilmemesi: Suçun hareket unsuru, kanuni süre dolmasına rağmen verilerin sistem içinde yok edilmemesidir. Bu durum aktif bir kararla gerçekleşebileceği gibi, gerekli işlemlerin hiç yapılmaması şeklinde ihmali davranışla da ortaya çıkabilir. Bununla birlikte her teknik gecikme veya idari aksaklık otomatik olarak suç anlamına gelmez. Ceza hukuku bakımından somut olayın özellikleri, yükümlülüğün açıklığı, verinin neden tutulmaya devam edildiği ve failin kastı birlikte değerlendirilmelidir.

Kast Unsuru: Bu suç kasten işlenebilir. Failin, verilerin yok edilmesi gerektiğini bilmesine rağmen görevini yerine getirmemesi gerekir. Özellikle savunmanın etkili olabilmesi için yalnızca soyut beyan yeterli olmayabilir. Log kayıtları, imha prosedürleri, yazışmalar, teknik raporlar, görev tanımları ve veri envanteri gibi deliller önem kazanır.

Hukuka Uygunluk Sebebinin Bulunmaması: Bazı durumlarda verinin saklanması hukuken zorunlu olabilir. Örneğin muhasebe kayıtları, işçi özlük dosyaları, vergi belgeleri, ticari defterler veya sektörel mevzuata tabi kayıtlar belirli sürelerle muhafaza edilmek zorunda olabilir. Bu gibi hâllerde, saklama yükümlülüğü devam ettiği sürece verinin sistemde tutulması suç oluşturmaz. Bu nedenle her olayda ilgili mevzuat, saklama süresi ve verinin niteliği ayrıca incelenmelidir.

TCK 138 Cezası Ne Kadardır?

Kısa cevap: TCK 138/1’in cezası 1 yıldan 2 yıla kadar hapistir. Verinin Ceza Muhakemesi Kanunu’na göre yok edilmesi gereken bir veri olması hâlinde ceza bir kat artırılarak 2 yıldan 4 yıla kadar hapse çıkar (TCK 138/2).

Cezanın miktarı; hükmün açıklanmasının geri bırakılması, erteleme veya kısa süreli hapis cezasının adli para cezasına çevrilmesi gibi ceza hukuku kurumları bakımından somut olayın özellikleriyle birlikte değerlendirilmelidir. Bu sonuçların her dosyada otomatik olarak uygulanacağı söylenemez.
TCK 137’deki yarı oranında artırım yalnızca kendisinden önceki 132–136. maddelerdeki suçlar için öngörülmüştür; TCK 138’e uygulanmaz. Buna karşılık TCK 140 uyarınca, bu bölümdeki suçlar dolayısıyla tüzel kişiler hakkında güvenlik tedbirine hükmolunur.

CMK’ya Göre Yok Edilmesi Gereken Veriler Nelerdir? (TCK 138/2)

Kısa cevap: TCK 138/2’deki artırım, Ceza Muhakemesi Kanunu’nun yok edilmesini emrettiği verilerde uygulanır. En bilinen örnekler iletişimin tespiti ve dinlenmesi kayıtları ile genetik (DNA) inceleme sonuçlarıdır.

• İletişimin dinlenmesi ve tespiti kayıtları (CMK 137/3): Şüpheli hakkında kovuşturmaya yer olmadığına dair karar verilmesi veya hâkim onayının alınamaması hâlinde kayıtlar Cumhuriyet savcısının denetimi altında en geç on gün içinde yok edilir ve durum tutanakla tespit edilir. Beraat kararı verilmesi durumunda da kayıtlar hâkim denetimi altında aynı usulle yok edilir (2021’de 7331 sayılı Kanunla eklenen cümle).
• Genetik inceleme sonuçları (CMK 80/2): 2026’da 7589 sayılı Kanunla yapılan değişikliğe göre sisteme kaydedilen ve dosyada delil olarak saklanan bilgiler; kovuşturmaya yer olmadığına dair karara itiraz süresinin geçmesi veya itirazın reddi, beraat ya da ceza verilmesine yer olmadığı kararının kesinleşmesi hallerinde derhal; diğer hâllerde mahkeme kararının kesinleşmesinden itibaren yirmi yıl geçmesiyle Cumhuriyet savcısının huzurunda yok edilir. Kişi, bu süre dolmadan amacın ortadan kalktığını veya haklı bir sebebi bulunduğunu ileri sürerek silinmesini hâkimden ya da mahkemeden isteyebilir.

Bu verileri süresinde yok etmekle görevli olup görevini yerine getirmeyen kişi hakkında ceza bir kat artırılır.

Kurumsal veri ihlallerinde yalnızca ceza yargılaması değil; KVKK kapsamında idari yaptırımlar, tazminat talepleri ve itibar kaybı da gündeme gelebilir.

TCK 138 Şikâyete Tabi mi? Uzlaştırma, Zamanaşımı ve Görevli Mahkeme

TCK 138 bakımından şikâyet, uzlaştırma ve zamanaşımı konuları uygulamada sıkça karıştırılmaktadır. Özellikle özel hayata ilişkin bazı suçların şikâyete bağlı olması, yanılgıya yol açabilmektedir.

Şikâyet: TCK 138 kapsamında düzenlenen verileri yok etmeme suçu şikâyete bağlı değildir. TCK 139, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarını şikâyet şartının dışında tutar; Anayasa Mahkemesi 2026’da bu ayrımı TCK 136 bakımından Anayasa’ya uygun bulmuştur (E.2026/34, K.2026/81). Bu nedenle mağdurun 6 aylık şikâyet süresi içinde başvuru yapması şartı aranmaz. Suçun öğrenilmesi hâlinde Cumhuriyet savcılığı tarafından resen soruşturma yapılabilir. Mağdur veya ilgili kişi ise Cumhuriyet savcılığına başvurarak suç duyurusunda bulunabilir.

Uzlaştırma: Bu suç uzlaştırma kapsamında değildir. Ceza muhakemesinde uzlaştırma, kural olarak soruşturulması ve kovuşturulması şikâyete bağlı suçlar ile kanunda ayrıca sayılan bazı suçlar bakımından uygulanır. TCK 138 şikâyete bağlı olmadığı gibi, CMK 253/1’de uzlaştırmaya tabi suçlar arasında ayrıca sayılmamıştır.

Zamanaşımı: TCK 138 verileri yok etmeme suçunda dava zamanaşımı süresi 8 yıldır (TCK 66/1-e). Ceza TCK 138/2 uyarınca artırıldığında da üst sınır 4 yıl olduğundan süre değişmez. Zamanaşımı süresi kural olarak suçun işlendiği tarihten itibaren değerlendirilir. Ancak bu suç bakımından suç tarihinin tespiti her zaman basit olmayabilir. Verinin hangi tarihte yok edilmesi gerektiği, kanuni saklama süresinin ne zaman dolduğu ve buna rağmen sistemde ne kadar süre tutulduğu ayrıca incelenmelidir. Zamanaşımının kesilmesi veya durması gibi durumlar da somut olayın özelliklerine göre değerlendirilir.

Görevli Mahkeme: Verileri yok etmeme suçunda görevli mahkeme Asliye Ceza Mahkemesidir.

TCK 138 Verileri Yok Etmeme Suçunda Avukat Desteği

Kısa cevap: Verilerinizin silinmediğini düşünüyorsanız önce veri sorumlusundan silinmesini isteyin, sonuç alamazsanız Kişisel Verileri Koruma Kurulu’na şikâyette bulunun; suç şikâyete bağlı olmadığından Cumhuriyet başsavcılığına her zaman suç duyurusunda bulunabilirsiniz. Şirketler ise saklama ve imha politikası, periyodik imha ve imha kayıtlarıyla bu riski önemli ölçüde azaltabilir.

Bu suç tipi, uygulamada teknik yönü ağır basan bir alandır. Yalnızca veri silinmedi demek yeterli değildir. Verinin niteliği, saklama amacı, kanuni saklama süresi, yok etme yükümlülüğü, failin sorumluluğu ve kast unsuru birlikte değerlendirilmelidir.

Verilerim Silinmediyse Ne Yapabilirim?

1. Veri sorumlusundan silinmesini isteyin. Kişisel verilerinizin silinmesini veya yok edilmesini isteme hakkınız vardır (KVKK m. 11/1-e). Başvuru yazılı olarak veya Kurulun belirlediği diğer yöntemlerle yapılır; veri sorumlusu en geç otuz gün içinde sonuçlandırır (KVKK m. 13).
2. Sonuç alamazsanız Kurul’a şikâyet edin. Başvurunuz reddedilir, cevap yetersiz kalır veya süresinde cevap verilmezse, cevabı öğrendiğiniz tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz (KVKK m. 14).
3. Suç duyurusunda bulunun. TCK 138 şikâyete bağlı olmadığından altı aylık şikâyet süresi yoktur; savcılığa veya kolluğa her zaman başvurabilirsiniz. Silme talebinizi, verilen cevabı ve verinin hâlâ kullanıldığını gösteren kayıtları dilekçenize ekleyin.

Şirketler TCK 138 Riskini Nasıl Azaltır?

Veri Sorumluları Siciline kayıt yükümlüsü olan şirketlerin yazılı bir kişisel veri saklama ve imha politikası bulunmalı; her veri türü için saklama süresi ve dayanağı belirlenmelidir. Süresi dolan veriler en fazla altı aylık aralıklarla imha edilmeli, imha işlemleri tutanak ve log kayıtlarıyla belgelenip en az üç yıl saklanmalıdır. Verileri yok etme görevinin kimde olduğu görev tanımlarında açıkça yazılmalıdır; ceza sorumluluğu, bu görevi bulunan kişiye göre belirlenir. Veri ihlali ve bilişim boyutu olan dosyalarda İstanbul bilişim suçları avukatı sayfamızdan, soruşturma süreci için ceza davaları rehberimizden de bilgi alabilirsiniz.

Bir ceza avukatı desteğiyle:

• Suç duyurusu doğru hukuki zeminde hazırlanabilir,
• Verinin saklama süresinin dolup dolmadığı incelenebilir,
• KVKK hükümleri ile ceza hukuku arasındaki ilişki kurulabilir,
• Teknik delillerin toplanması sağlanabilir,
• Soruşturma aşamasında yanlış suç nitelendirmesi önlenebilir,
• Şirketler açısından savunma oluşturulabilir,
• Veri saklama ve imha politikaları hukuki riski azaltacak şekilde düzenlenebilir.

Özellikle veri saklama süreleri, teknik kayıtlar, log kayıtları, KVKK başvuruları ve şirket içi imha süreçlerinin birlikte değerlendirilmesi gereken dosyalarda erken aşamada hukuki destek alınması önemlidir. Ceza soruşturmaları ve davalarına ilişkin daha genel veya bölgesel içerikler için şu sayfalar da incelenebilir:

• İstanbul Ceza Avukatı
• Maltepe Ceza Avukatı
• Kartal Ceza Avukatı

TCK 138 Verileri Yok Etmeme Suçu – Sık Sorulan Sorular

TCK 138 verileri yok etmeme suçu nedir?

TCK 138 verileri yok etmeme suçu, kanunların belirlediği saklama süreleri sona ermesine rağmen, sistem içinde tutulmaya devam eden verilerin yok edilmemesi hâlinde gündeme gelen bir suçtur. Suçun oluşması için veriyi yok etmekle yükümlü kişinin bu görevini yerine getirmemesi gerekir.

Her silinmeyen veri TCK 138 suçunu oluşturur mu?

Hayır. Öncelikle verinin hukuken saklanmasını gerektiren bir süre veya zorunluluk bulunup bulunmadığı incelenmelidir. Saklama süresi devam ediyorsa, verinin sistemde tutulması tek başına suç oluşturmaz.

TCK 138 suçunun cezası nedir?

Suçun temel hâlinde ceza 1 yıldan 2 yıla kadar hapis cezasıdır. Suçun konusu Ceza Muhakemesi Kanunu hükümlerine göre yok edilmesi gereken verilerden oluşuyorsa, verilecek ceza bir kat artırılır.

TCK 138 suçu şikâyete bağlı mı?

Hayır. Bu suç şikâyete bağlı değildir. Cumhuriyet savcılığı tarafından resen soruşturulabilir. Mağdurun yaptığı başvuru ise teknik olarak şikâyet şartı değil, suç duyurusu niteliğindedir.

TCK 138 suçu uzlaştırmaya tabi mi?

Hayır. Bu suç genel olarak uzlaştırma kapsamında değildir. Çünkü şikâyete bağlı değildir ve uzlaştırmaya tabi suçlar arasında ayrıca sayılmamıştır.

Şirketlerde verilerin yok edilmemesinden kim sorumlu olur?

Sorumluluk, somut olayda veriyi yok etme görev ve yetkisi bulunan kişiye göre belirlenir. Şirket yöneticileri, insan kaynakları yetkilileri, bilgi işlem sorumluları veya veri imha sürecinde görevli kişiler olayın niteliğine göre sorumluluk riski taşıyabilir.

TCK 138/2 nedir?

TCK 138/2, yok edilmeyen verinin Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken bir veri olması hâlinde cezanın bir kat artırılacağını düzenler. İletişimin dinlenmesi kayıtları ve genetik inceleme sonuçları bu verilerin başlıca örnekleridir. Bu hâlde ceza 2 yıldan 4 yıla kadar hapistir.

Kişisel verileri silmemek suç mu?

İşlenmesini gerektiren sebepler ortadan kalktığı hâlde kişisel verileri silmeyen veya anonim hâle getirmeyenler, KVKK m. 17/2 uyarınca TCK 138’e göre cezalandırılır. Saklama süresi devam eden veya kanunen saklanması zorunlu olan veriler için bu sonuç doğmaz.

Silme talebime cevap verilmezse ne yapabilirim?

Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmak zorundadır. Cevap verilmezse veya talep reddedilirse, başvuru tarihinden itibaren en geç altmış gün içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilirsiniz. Ayrıca savcılığa suç duyurusunda da bulunabilirsiniz.

Hazırlayan: Av. Ebubekir Kozan