Eylül 2026’da İstanbul’da 31 avukat hakkında verilen gözaltı kararı ve 101 milyon kimlik kaydının sorgulanabildiği “Dragon Hacker” paneline yapılan operasyon, kişisel verileri ele geçirme suçu kavramını yeniden gündemin ilk sırasına taşıdı. Yasa dışı sorgu panellerini kuranlar, satanlar ve kullananlar hakkında Türk Ceza Kanunu’nun (TCK) 135 ila 138. maddeleri ile 7545 sayılı Siber Güvenlik Kanunu kapsamında soruşturmalar yürütülüyor. Bu yazıda suçun unsurlarını, cezasını, nitelikli hâllerini, güncel Yargıtay içtihatlarını ve hem şüpheli hem mağdur açısından izlenebilecek hukuki yolları ele alıyoruz.

Kişisel Verileri Ele Geçirme Suçu Nedir?

TCK m.136/1’e göre kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Madde seçimlik hareketli bir suç tanımlar. Verme, yayma veya ele geçirme fiillerinden herhangi birinin işlenmesi yeterlidir.

• Ele geçirme: Verinin yetkisiz olarak elde edilmesi, kopyalanması veya bir sistemden alınıp sabitlenmesi.
• Verme: Verinin belirli bir kişi veya kişilere aktarılması.
• Yayma: Verinin belirsiz sayıda kişinin erişimine açılması; sosyal medya paylaşımı bunun tipik örneğidir.

Kişisel veri; ad-soyad, T.C. kimlik numarası, adres, telefon numarası, fotoğraf, tapu ve araç bilgisi gibi bir gerçek kişiyi belirli veya belirlenebilir kılan her türlü bilgidir (6698 sayılı KVKK m.3). Tüzel kişilere ait bilgiler bu suçun konusu değildir.

Kişisel Verilerin Kaydedilmesi Suçundan Farkı

TCK m.135, kişisel verileri hukuka aykırı olarak kaydetmeyi bir yıldan üç yıla kadar hapisle cezalandırır. Siyasi, felsefi veya dini görüş, ırki köken, ahlaki eğilim, cinsel yaşam, sağlık durumu ve sendikal bağlantıya ilişkin bilgilerin kaydedilmesi de aynı cezaya bağlanmıştır. Kaydetme suçu verinin toplanması ve depolanması aşamasını, TCK 136 ise verinin dolaşıma sokulması veya yetkisiz elde edilmesi aşamasını karşılar. Uygulamada iki suç çoğu zaman birlikte isnat edilir.

Panel Sorgulama Soruşturmalarında Verileri Ele Geçirme İsnadı

“Panel” olarak anılan sistemler, kamu kurumlarından sızdırıldığı değerlendirilen verilerin bir arayüz üzerinden sorgulanmasına imkân tanıyan yasa dışı yazılımlardır. İstanbul soruşturmasında tespit edilen panellerde kimlik, aile, yerleşim yeri, SGK kaydı, çalışan bilgisi, GSM, tapu ve mükellef sorgulama modülleri bulunduğu kamuoyuna yansımıştır. Bu tür dosyalarda savcılıklar genellikle şu hükümleri birlikte değerlendirir:

• TCK m.136: Panel üzerinden yapılan her sorgu ve alınan her çıktı “ele geçirme” olarak nitelendirilebilir. Birden fazla mağdura ait verilerde zincirleme suç hükümleri (TCK m.43) gündeme gelir.
• TCK m.243 ve devamı: Bilişim sistemine hukuka aykırı girme ve sistemdeki verileri bozma, yok etme suçları.
• 7545 sayılı Siber Güvenlik Kanunu m.16/4: Veri sızıntısı nedeniyle daha önce siber uzayda yer almış kişisel verileri izinsiz olarak erişime açan, paylaşan veya satışa çıkaranlar için üç yıldan beş yıla kadar hapis cezası öngörülmüştür.
• TCK m.220: Panelin kurulması ve pazarlanması organize bir yapı içinde gerçekleşmişse suç örgütüne ilişkin hükümler.

Panel kullanıcısı olduğu iddia edilen kişiler açısından kritik sorular şunlardır: Erişim kaydının gerçekten şüpheliye ait olup olmadığı, kullanıcı hesabının başkası tarafından kullanılıp kullanılmadığı, sorgulanan verinin hangi amaçla ve kaç kez alındığı ve şüphelinin verinin yasa dışı kaynaklı olduğunu bilip bilmediği. Bu noktada adli bilişim raporunun, log kayıtlarının ve IP tespitlerinin ayrıntılı biçimde incelenmesi savunmanın merkezinde yer alır.

Avukatlar, İcra Büroları ve Kamu Görevlileri İçin Nitelikli Hâl

TCK m.137 uyarınca, kişisel veri suçlarının kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde verilecek ceza yarı oranında artırılır. Bu nedenle tahsilat, icra takibi veya müvekkil işleri kapsamında panel kullandığı ileri sürülen avukatlar, büro çalışanları ve kurum içi veriye erişim yetkisi bulunan personel açısından ceza tavanı belirgin biçimde yükselir. Mesleki disiplin süreçleri de ayrıca gündeme gelebilir.

TCK 136 Kapsamında Yargıtay’ın Yaklaşımı

Yargıtay 12. Ceza Dairesi’nin son dönem kararları, “kişisel veri” kavramını geniş yorumlamaktadır:

• Herkese açık hesaptaki fotoğraflar: Daire, gizli olmayan bir sosyal medya hesabından rıza dışında alınan fotoğrafları paylaşan sanık hakkında verilen beraat kararını bozmuştur. Kararda, herkesçe bilinen veya kolaylıkla ulaşılabilen bilgilerin de kişisel veri sayıldığı vurgulanmıştır.
• Tapu sorgu ekranının paylaşılması: Başkasına ait taşınmazın ada-parsel sorgu ekran görüntüsünü sosyal medyada paylaşan sanığa bölge adliye mahkemesince verilen 2 yıl 7 ay hapis cezası, Yargıtay 12. Ceza Dairesi tarafından onanmıştır. İlk derece mahkemesinin “tapu bilgisi herkesçe ulaşılabilir” gerekçesiyle verdiği beraat kararı bu nedenle sonuç doğurmamıştır.
• Günlük fotoğraf: Yargıtay 12. Ceza Dairesi’nin 2023/2887 E., 2025/5323 K. sayılı dosyasında, katılanın üniformalı günlük fotoğrafının özel hayat alanına girmese dahi kişisel veri niteliği taşıdığı kabulüyle TCK 136/1’den kurulan hüküm temyiz incelemesine konu olmuştur.

Bu içtihatlar, “bilgi zaten açıktaydı” savunmasının tek başına yeterli olmadığını göstermektedir. Öte yandan Yargıtay kararlarında, verme ve yayma fiillerinin oluşması için verinin kaydedilmiş hâlde bulunması ve bu hâliyle aktarılması gerektiği de vurgulanmaktadır. Bu ayrım somut dosyada önemli bir savunma argümanı olabilir. Kararların tam metinlerine Yargıtay Karar Arama sistemi üzerinden ulaşılabilir.

Sosyal medyada başkasına ait verilerin paylaşılması çoğu zaman hakaret isnadıyla birlikte gündeme gelir. Bu konuyu sosyal medyada hakaret cezası yazımızda ayrıca ele almıştık.

Kişisel Veri Suçlarında Usul: Şikâyet, Uzlaştırma, Zamanaşımı

Şikâyete Bağlı mı?

Hayır. TCK m.139 uyarınca kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarının soruşturulması şikâyete bağlı değildir. Savcılık suçu öğrendiği anda re’sen soruşturma başlatır. Mağdurun şikâyetten vazgeçmesi kovuşturmayı düşürmez.

Uzlaştırma Uygulanır mı?

TCK 136 suçu, Ceza Muhakemesi Kanunu m.253’te sayılan uzlaştırma kapsamındaki suçlar arasında yer almaz. Bu nedenle uzlaşma yoluyla dosyanın kapanması mümkün değildir.

Görevli Mahkeme ve Zamanaşımı

Davaya asliye ceza mahkemesinde bakılır. Temel hâlde dava zamanaşımı TCK m.66/1-e uyarınca sekiz yıldır. TCK 137’deki artırım nedeniyle üst sınırın beş yılı aştığı nitelikli hâllerde zamanaşımı süresi uzar.

Hükmün Açıklanmasının Geri Bırakılması Mümkün mü?

Alt sınırdan belirlenen ve takdiri indirim uygulanan cezalarda sonuç ceza iki yılın altına inebilir. Bu durumda diğer koşullar da varsa hükmün açıklanmasının geri bırakılması değerlendirilebilir. Güncel koşullar için HAGB şartları yazımızı inceleyebilirsiniz. Mağdurun zararının giderilmesi bu değerlendirmede önemli bir unsurdur.

Verileri Ele Geçirilen Mağdur Ne Yapmalı?

• Delil tespiti: Paylaşımın ekran görüntüsünü, bağlantısını ve tarih-saat bilgisini derhâl kayıt altına alın. Gerekirse noter tespiti yaptırın.
• Suç duyurusu: Cumhuriyet Başsavcılığına veya kolluğa başvurun. Dolandırıcılık amaçlı aramalar alıyorsanız arama kayıtlarını da dilekçeye ekleyin.
• Kovuşturmaya katılma: Dava açıldığında katılan sıfatıyla sürece dâhil olarak delil sunabilir ve kanun yollarına başvurabilirsiniz.
• Tazminat: KVKK m.14/3 ve Türk Borçlar Kanunu m.58 çerçevesinde maddi ve manevi tazminat talep hakkınız saklıdır.
• Veri sorumlusuna başvuru: Verinin bir kurum veya şirket kaynaklı sızdığından şüpheleniyorsanız KVKK m.11 ve m.13 uyarınca veri sorumlusuna, cevap alamazsanız Kişisel Verileri Koruma Kurulu’na başvurabilirsiniz.

Sıkça Sorulan Sorular

Kişisel verileri ele geçirme suçu cezası kaç yıl?

TCK m.136/1’e göre iki yıldan dört yıla kadar hapis cezasıdır. Kamu görevlisi tarafından veya meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılır (TCK m.137).

Panelden sadece sorgu yapmak da suç mu?

Yasa dışı bir panel üzerinden başkasına ait verinin sorgulanıp görüntülenmesi veya çıktısının alınması, ele geçirme fiili olarak değerlendirilebilir. Sorgunun amacı, sayısı ve şüphelinin kastı somut dosyada belirleyicidir.

Herkese açık sosyal medya fotoğrafını paylaşmak suç mu?

Yargıtay 12. Ceza Dairesi, herkese açık hesaptan rıza dışında alınan fotoğrafların paylaşılmasını TCK 136 kapsamında değerlendirmiş ve bu yöndeki beraat kararını bozmuştur.

Şikâyetimi geri alırsam dava düşer mi?

Hayır. Suç re’sen soruşturulur. Şikâyetten vazgeçme kamu davasını düşürmez.

Kişisel verileri ele geçirme suçu uzlaşmaya tabi mi?

Hayır. Suç, CMK m.253’teki uzlaştırma kapsamındaki suçlar arasında yer almaz.

Verilerim satıldıysa kime başvurmalıyım?

Cumhuriyet Başsavcılığına suç duyurusunda bulunabilir, verinin sızdığı kurumu tespit edebiliyorsanız KVKK kapsamında veri sorumlusuna ve Kurul’a başvurabilirsiniz. Tazminat hakkınız ayrıca saklıdır.

Avukata Danışın

Panel soruşturmalarında ifade öncesi strateji, adli bilişim raporunun incelenmesi ve isnat edilen suçların doğru nitelendirilmesi dosyanın seyrini doğrudan etkiler. Mağdur tarafında ise delillerin zamanında tespiti ve kovuşturmaya katılma hakları büyük önem taşır. Kişisel veri suçlarına ilişkin soruşturma ve kovuşturma süreçlerinde ceza hukuku alanında destek almak için iletişim sayfamız üzerinden Av. Atilla Kesecek ile görüşebilirsiniz. İlgili hükümlerin güncel metnine 5237 sayılı Türk Ceza Kanunu üzerinden ulaşabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; somut durumunuz için bir avukata danışınız.