Kişisel Verileri Hukuka Aykırı Kaydetme ve Ele Geçirme Suçu (TCK 135–136): Cezası ve Yargıtay Kararları
Son güncelleme: 17.10.2026 · Yazar: Av. Coşkun Genç, İstanbul Bilişim Suçu Avukatı
Kısa cevap: Başkasına ait telefon numarası, adres, T.C. kimlik numarası veya kart bilgisi gibi kişisel verileri hukuka aykırı olarak kaydetmek TCK m.135 uyarınca 1–3 yıl hapis cezasını gerektirir. Bu verileri başkasına vermek, yaymak veya ele geçirmek ise TCK m.136 uyarınca 2–4 yıl hapis cezasını gerektirir. Suç kamu görevlisi tarafından yetkisi kötüye kullanılarak işlenirse ceza yarı oranında artar. Suçlar şikâyete bağlı değildir ve uzlaştırma kapsamında yer almaz. Kişinin özel hayatına ilişkin görüntüsünü, kamuya açık alanda bile olsa rızası dışında kaydetmek veya paylaşmak ise kural olarak TCK 134 kapsamındadır.
Kişisel Veri Nedir?
Ceza hukuku bakımından kişisel veri kavramı oldukça geniştir. 6698 sayılı Kişisel Verilerin Korunması Kanunu kişisel veriyi “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” olarak tanımlar (KVKK m.3/1-d). Aynı Kanun'un 17. maddesi, kişisel verilere ilişkin suçlarda TCK'nın 135 ila 140. maddelerinin uygulanacağını hükme bağlar. Yargıtay da kavramı madde gerekçesine dayanarak geniş yorumlamaktadır:
Suçun konusu, kişisel verilerdir. Suç tarihi itibarıyla yürürlükte olan Kanunlarda, suçun konusunu oluşturan kişisel veriden ne anlaşılması gerektiğine ilişkin bir tanım yer almayıp TCK'nın 135. maddesinin gerekçesinde; “Gerçek kişiyle ilgili her türlü bilgi, kişisel veri olarak kabul edilmelidir. Söz konusu suç tanımında kişisel verilerin bilgisayar ortamında veya kağıt üzerinde kayda alınması arasında bir ayırım gözetilmemiştir.” denilmiştir.
— Yargıtay Ceza Genel Kurulu, E.2018/611, K.2022/784, T.08.12.2022
Uygulamada en sık karşılaşılan kişisel veriler şunlardır: ad-soyad ile birlikte kullanılan cep telefonu numarası, T.C. kimlik numarası, ev veya iş adresi, kredi kartı ve banka bilgileri, araç plakası, sağlık kayıtları, fotoğraflar, e-posta adresi ve sosyal medya hesap bilgileri. Sağlık durumu, din, siyasi görüş, ırk ve cinsel yaşam gibi özel nitelikli veriler bakımından TCK 135/2 cezayı artırır.
TCK 135–138 Kanun Metni
5237 sayılı Türk Ceza Kanunu – Kişisel verilere ilişkin suçlar
Madde 135 – Kişisel verilerin kaydedilmesi (1) Hukuka aykırı olarak kişisel verileri kaydeden kimseye bir yıldan üç yıla kadar hapis cezası verilir.
(2) Kişisel verinin, kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine; hukuka aykırı olarak ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması durumunda birinci fıkra uyarınca verilecek ceza yarı oranında artırılır.
Madde 136 – Verileri hukuka aykırı olarak verme veya ele geçirme (1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
(2) (Ek:17/10/2019-7188/17 md.) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.
Madde 137 – Nitelikli haller (1) Yukarıdaki maddelerde tanımlanan suçların; a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle, b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle, İşlenmesi halinde, verilecek ceza yarı oranında artırılır.
Madde 138 – Verileri yok etmeme (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.
(2) (Ek: 21/2/2014-6526/5 md.) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.
Madde 139 – Şikayet (1) Kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme hariç, bu bölümde yer alan suçların soruşturulması ve kovuşturulması şikayete bağlıdır.
TCK 135 ve 136'yı herkes işleyebilir. TCK 137'deki artırım kamu görevlisinin yetkisini kötüye kullanmasında veya meslek kolaylığında uygulanır. TCK 138'in faili, süre dolunca veriyi yok etmekle yükümlü kişidir; KVKK m.17/2 veriyi silmeyen veya anonimleştirmeyenleri de bu maddeye bağlar.
Kişisel Veri Suçlarında Ceza Ne Kadar?
| Suç | Ceza |
|---|---|
| Kişisel verileri hukuka aykırı kaydetme (TCK 135/1) | 1 – 3 yıl hapis |
| Özel nitelikli verilerin kaydedilmesi (TCK 135/2) | 1 yıl 6 ay – 4 yıl 6 ay hapis |
| Verileri başkasına verme, yayma, ele geçirme (TCK 136/1) | 2 – 4 yıl hapis |
| CMK 236/5-6 uyarınca kayda alınan beyan ve görüntüler (TCK 136/2) | 4 – 8 yıl hapis |
| Kamu görevlisi veya meslek kolaylığıyla işlenmesi (TCK 137) | Ceza yarı oranında artar (136'da 3 – 6 yıl) |
| Süresi geçen verileri yok etmeme (TCK 138/1) | 1 – 2 yıl hapis |
| CMK'ya göre yok edilmesi gereken veriyi yok etmeme (TCK 138/2) | 2 – 4 yıl hapis |
TCK 136'daki Üç Seçimlik Hareket
TCK 136 seçimlik hareketli bir suçtur. Üç hareketten birinin gerçekleşmesi yeterlidir:
- Başkasına verme: Verinin bir gerçek veya tüzel kişiye elden, e-postayla ya da mesajla iletilmesidir. Verinin hukuka uygun yolla elde edilmiş olması, hukuka aykırı biçimde verilmesini suç olmaktan çıkarmaz.
- Yayma: Verinin sosyal medyada, bir web sitesinde, WhatsApp veya Telegram gruplarında ya da toplu mesajla çok sayıda kişinin bilgisine sunulmasıdır.
- Ele geçirme: Başkasının hâkimiyetindeki verinin hukuka aykırı yolla failin hâkimiyetine geçmesidir; yetkisiz biçimde başkasının telefonuna veya hesabına girip veriyi almak bu kapsamda değerlendirilebilir. Erişim yetkisi olan kişinin veriye yalnızca bakması ise kural olarak ele geçirme sayılmaz.
Yargıtay Ceza Genel Kurulu, kurumunun verdiği şifreyle merakla kimlik sorgusu yapan memurun eylemini suç saymamıştır:
"…sanığın merak saiki ile bu bilgileri sadece okumuş olup başkalarıyla paylaşmaması, ayrıca hukuka aykırı bir amaç gütmemesi (…) birlikte değerlendirildiğinde; incelemeye konu olay görevin gereklerine uygun olmayan disiplin soruşturması gerektiren eylemin suç teşkil etmediği kabul edilmelidir."
Yargıtay Ceza Genel Kurulu, E. 2021/384, K. 2023/367, T. 21.06.2023 (çoğunluk görüşü)
Sorgunun suç olduğu görüşü kararda yalnızca karşı oyda kalmıştır. Yargıtay 12. Ceza Dairesi, uyuşmazlığı gideren kesin kararında bu çizgiyi ilkeye dönüştürmüştür:
"…ele geçirme başkasının hakimiyeti altında bulunan kişisel veriyi hukuka aykırı yollarla kendi hakimiyeti altına almakla gerçekleşir. (…) Sanığın kendi hakimiyeti altındaki bir veriye bakmaktan ibaret olan eyleminin ele geçirmek olarak kabul edilemeyeceği (…) TCK anlamında suç teşkil etmeyen eylem niteliğinde olduğu değerlendirilmiştir."
Yargıtay 12. Ceza Dairesi, E. 2023/219, K. 2024/1951, T. 25.04.2024 (POLNET sorgusunda aynı yönde: E. 2025/6769, K. 2026/3078, T. 30.03.2026)
Önemli bilgi: MERNİS, UYAP, POL-NET veya e-Nabız gibi sistemlere erişen kamu görevlileri için ayrım kritiktir. Yargıtay'ın güncel uygulamasına göre, erişim yetkisi bulunan kamu görevlisinin verileri merakla yalnızca sorgulayıp görüntülemesi kural olarak “ele geçirme” sayılmamakta, disiplin sorumluluğu doğurmaktadır. Verinin kaydedilmesi, kopyalanması, başkasına verilmesi veya yayılması hâlinde ise TCK 135/136 ve TCK 137/1-a'daki artırım gündeme gelir.
TCK 136 mı, TCK 134 mü? Fotoğraf ve Görüntü Paylaşımında Ayrım
“Fotoğrafımı izinsiz paylaştı” şikâyetlerinde doğru suç tipini belirlemek sonucu doğrudan etkiler. Yargıtay'ın yerleşik uygulamasına göre kişinin özel hayatına ilişkin görüntü ve sesleri kişisel veri suçlarının değil, özel hayatın gizliliğini ihlal (TCK 134) suçunun konusudur. Kamuya açık bir yerde bulunmak, kişinin gizlice veya rızası dışında fotoğraflanmasına rıza gösterdiği anlamına gelmez; Yargıtay bu tür görüntüleri de çoğu kez TCK 134 kapsamında değerlendirmektedir. Buna karşılık kişinin kendi paylaştığı veya rızasıyla çektirdiği, özel hayat niteliği taşımayan bir fotoğrafın telefon numarası ve adla birlikte yayılması TCK 136'yı oluşturur.
TCK 134/1'de özel hayatın gizliliğini ihlalin cezası 1–3 yıldır, görüntü veya ses kaydıyla işlenirse bir kat artar; ifşada (134/2) ceza 2–5 yıldır. Bu suç şikâyete bağlıdır, kural olarak uzlaştırma kapsamındadır ve vazgeçme davayı düşürür.
Güncelleme notu (17.10.2026): Yukarıdaki görselde yer alan "kamuya açık yerde çekilen fotoğraf" ve "kamu görevlisinin sisteme bakıp okuması" satırları, bu yazıda aktarılan güncel Yargıtay içtihadıyla birlikte değerlendirilmelidir: rıza dışı çekilen fotoğrafın yayılması kural olarak TCK 134 kapsamında, yalnızca merakla okuma ise disiplin konusu olarak ele alınmaktadır. Güncel ayrım aşağıdaki tabloda gösterilmiştir.
Ayrıca, bir özel hayat görüntüsünün ya da sesinin, “kişisel veri” olduğunda kuşku bulunmamakta ise de, kişinin özel hayatına ilişkin görüntüsünün ya da sesinin, bilgisi dışında, resim çekme veya kaydetme özelliğine sahip aletle belli bir elektronik, dijital, manyetik yere sabitlenmesi TCK'nın 134/1. madde ve fıkrasının 2. cümlesinde; rızası dışında ifşa edilmesi, yani; yayılması, açığa vurulması, afişe edilmesi, ilan edilmesi, kamuoyuna duyurulması, aleniyet kazandırılması, özetle; içeriğini öğrenme yetkisi bulunmayan kişi veya kişilerin bilgisine sunulması TCK'nın 134/2. madde ve fıkrasında özel hayatın gizliliğini ihlal suçu kapsamında düzenlendiğinden, kişinin özel hayatına ilişkin görüntüsü ya da sesi, yasal anlamda, TCK'nın 135/1 ve aynı Kanun’un 136/1. madde ve fıkraları kapsamında kişisel veri olarak değerlendirilemez.
— Yargıtay 12. Ceza Dairesi, E.2019/973, K.2020/218, T.08.01.2020
Daire, hastane çıkışında rıza dışında çekilip Instagram'da paylaşılan fotoğrafı da TCK 134/2 kapsamında görmüş, şikâyetten vazgeçildiği için davanın düşmesi gerektiğini belirtmiştir:
"…kamuya açık alanda bulunulduğunda dahi, kalabalığın içinde dikkat çekmezlik, tanınmazlık, bilinmezlik prensibinin geçerli olduğu…"
Yargıtay 12. Ceza Dairesi, E. 2023/2826, K. 2024/7417, T. 11.12.2024
Buna karşılık mağdurun poz vererek çektirdiği günlük fotoğrafının telefon numarasıyla birlikte Facebook'ta yayımlanması TCK 136/1 sayılmıştır (Yargıtay 12. Ceza Dairesi, E. 2020/7428, K. 2021/3090, T. 24.03.2021).
Sosyal medyada başkası adına sahte hesap açılması ve hesap ele geçirme gibi bağlantılı eylemler için Sosyal Medya Hesabının Ele Geçirilmesi ve Bilişim Sistemine Girme Suçu (TCK 243) sayfalarımıza da bakabilirsiniz.
Şikâyet, Uzlaşma, Zamanaşımı ve Görevli Mahkeme
| Konu | Durum |
|---|---|
| Şikâyet | TCK 139 uyarınca 135, 136 ve 138 şikâyete bağlı değildir; savcılık re'sen soruşturur. Şikâyetten vazgeçme kovuşturmayı düşürmez. |
| Uzlaştırma | CMK m.253'te sayılmadığından uzlaştırma kapsamında değildir. |
| Dava zamanaşımı | Temel hâllerde 8 yıl (TCK m.66/1-e). Cezanın üst sınırı 5 yılı aşan nitelikli hâllerde (ör. TCK 137 ile birlikte 136) 15 yıl (TCK m.66/1-d). |
| Görevli mahkeme | Asliye ceza mahkemesi. İstanbul Anadolu yakasındaki dosyalar Kartal'daki Anadolu Adliyesi'nde görülür. |
| Tüzel kişiler | Suç bir şirket yararına işlenmişse tüzel kişiye özgü güvenlik tedbirlerine hükmolunur (TCK m.140). |
| HAGB / erteleme | TCK 136 alt sınırdan uygulanıp TCK 62 indirimi yapılırsa ceza 1 yıl 8 aya iner; koşulları varsa HAGB veya erteleme tartışılabilir. Zarar giderimi denetim süresinde taksitle de yapılabilir (CMK m.231/9). |
Kişisel Veri Suçu ile KVKK İhlali Arasındaki Fark Nedir?
TCK 135–138 cezai sorumluluğu, KVKK ise idari sorumluluğu düzenler; ikisi aynı olayda birlikte işletilebilir. Aydınlatma, veri güvenliği, Kurul kararı ve sicil yükümlülüklerine aykırılıkta Kişisel Verileri Koruma Kurulu veri sorumlusuna idari para cezası verir (KVKK m.18); kamu kurumlarında disiplin hükümleri uygulanır (m.18/4). Bu yaptırım ceza soruşturmasının yerine geçmez.
Kişisel Verileriniz Paylaşıldıysa veya Suçlanıyorsanız Ne Yapmalısınız?
Mağdursanız paylaşımın ekran görüntüsünü tarih, saat, hesap adı ve bağlantı adresiyle birlikte kayda alın. Platforma bildirimde bulunun; paylaşım özel hayatınıza ilişkinse 5651 m.9/A uyarınca Siber Güvenlik Başkanlığından erişim engeli isteyin, diğer hâllerde hukuk mahkemesinden ihtiyati tedbir ve kaldırma talep edin. Ardından Cumhuriyet başsavcılığına suç duyurusunda bulunun. Veriler bir şirketten veya kurumdan sızdıysa veri sorumlusuna ve Kişisel Verileri Koruma Kurulu'na başvurmayı da değerlendirin.
Şüpheliyseniz öncelikle paylaşılan bilginin gerçekten “kişisel veri” olup olmadığı, rıza veya kanuni yetki gibi bir hukuka uygunluk nedeninin bulunup bulunmadığı ve paylaşımın yapıldığı hesabın size ait olduğunun teknik olarak ispatlanıp ispatlanmadığı incelenmelidir. Hesap ve IP tespitine ilişkin savunma noktaları için IP Adresi ve CGNAT Kayıtları Delil midir? yazımıza bakabilirsiniz.
Mağdur için adımlar
- Delili sabitleyin: URL, tarih-saat ve hesap adı görünen ekran görüntüsü.
- Erişim engeli isteyin: Özel hayat ihlalinde 5651 m.9/A uyarınca Siber Güvenlik Başkanlığına başvurun; talebi 24 saat içinde sulh ceza hâkiminin kararına sunun.
- Suç duyurusunda bulunun: 135, 136 ve 138 şikâyete bağlı değildir; TCK 134'te altı aylık şikâyet süresi vardır (TCK 73/1).
- KVKK başvurusu yapın: Önce veri sorumlusuna (30 gün), sonra 30/60 gün içinde Kurula.
Şüpheli ifadeye müdafiyle gitmeli (CMK m.147), suç vasfını ve hesap-cihaz bağını sorgulatmalı, HAGB için zarar giderimini (CMK m.231/6-c) planlamalıdır.
Hazırlanacak belgeler
- ✓Tarih-saatli ekran görüntüleri ve URL
- ✓Paylaşan hesabın bağlantısı, tanıklar
- ✓Platform bildirimi, erişim engeli ve veri sorumlusu başvurularının örnekleri
- ✓Şüpheli için: görev tanımı ve sistem erişim yetkisini gösteren belge
Sık Yapılan Hatalar ve İstisnalar Nelerdir?
- Her izinsiz fotoğrafı TCK 136 sanmak: Özel hayat görüntüsü TCK 134'tür; şikâyet süresi kaçarsa veya vazgeçilirse dava yürümez. 135, 136 ve 138'de vazgeçme davayı düşürmez.
- Yetkili görüntülemeyi her erişime genellemek: Veriyi kopyalayan veya paylaşan yetkili kullanıcı ile başkasının telefonunu izinsiz karıştıran kişi bu içtihattan yararlanamaz; olaya göre TCK 134, 135, 136 veya 243 gündeme gelir.
- Eski erişim engeli yoluna gitmek: 5651 m.9, Anayasa Mahkemesi iptaliyle 10.10.2024'ten beri yoktur; özel hayatta m.9/A, diğer ihlallerde hukuk mahkemesi yolu kullanılır.
İstanbul Kişisel Verilerin Korunması Avukatı ile TCK 135–136 Dosyaları
Bu dosyalarda sonucu çoğu zaman bilginin niteliği, failin erişim yetkisi ve paylaşımın şüpheliye ait hesap ya da cihazla teknik bağı belirler. Av. Coşkun Genç Hukuk Bürosu, İstanbul'da kişisel veri soruşturmalarında suç duyurusu, erişim engeli ve KVKK başvuruları ile ifade ve kovuşturma aşamalarında mağdur vekili veya şüpheli müdafii olarak hukuki destek sunar. İstanbul kişisel verilerin korunması avukatı olarak yürütülen çalışmada suç vasfı, süreler ve idari-cezai yollar birlikte planlanır.
İstanbul KVKK avukatı desteği almak isteyenler, paylaşımın bağlantısı, ekran görüntüleri ve varsa ifade davetiyesiyle iletişim sayfamızdan ön değerlendirme talep edebilir. Ayrıca bilişim suçları sayfamıza ve Unutulma Hakkı ve Cezası yazımıza bakabilirsiniz.
Kaynaklar
- 5237 sayılı Türk Ceza Kanunu, m. 134–140 – mevzuat.gov.tr · sitede
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 3, 13, 14, 17, 18 – mevzuat.gov.tr
- 5651 sayılı Kanun, m. 2/1-v ve m. 9/A (m. 9: Anayasa Mahkemesi, E. 2020/76, K. 2023/172 ile iptal) – mevzuat.gov.tr
- 5271 sayılı Ceza Muhakemesi Kanunu, m. 147, 231, 253 – mevzuat.gov.tr
- Kişisel Verileri Koruma Kurumu – kvkk.gov.tr
- Yargıtay Ceza Genel Kurulu, E. 2021/384, K. 2023/367, T. 21.06.2023
- Yargıtay Ceza Genel Kurulu, E. 2018/611, K. 2022/784, T. 08.12.2022
- Yargıtay 12. Ceza Dairesi, E. 2023/219, K. 2024/1951, T. 25.04.2024
- Yargıtay 12. Ceza Dairesi, E. 2025/6769, K. 2026/3078, T. 30.03.2026
- Yargıtay 12. Ceza Dairesi, E. 2019/973, K. 2020/218, T. 08.01.2020
- Yargıtay 12. Ceza Dairesi, E. 2023/2826, K. 2024/7417, T. 11.12.2024
- Yargıtay 12. Ceza Dairesi, E. 2020/7428, K. 2021/3090, T. 24.03.2021
- Yargıtay 12. Ceza Dairesi, E. 2018/8258, K. 2019/6513, T. 22.05.2019
Önemli: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Somut dosyanız için bir avukattan destek alınız.