VPN Kullanmak Suç mu? Türkiye’de VPN Kullanımının Hukuki Durumu, Erişim Engeli ve Ceza Sorumluluğu

Sanal özel ağ (Virtual Private Network, kısaca VPN), internet trafiğini şifreleyerek başka bir sunucu üzerinden yönlendiren bir teknolojidir. Kullanıcının gerçek IP adresi gizlenir, bağlantı başka bir ülkeden veya başka bir ağdan geliyormuş gibi görünür. Şirketler uzaktan çalışan personelin iç ağa güvenli bağlanması için, bireyler ise kamuya açık kablosuz ağlarda veri güvenliği sağlamak ya da erişim engeli getirilmiş sitelere ulaşmak için VPN kullanır. Özellikle sosyal medya platformlarına yönelik bant daraltma veya erişim engeli uygulandığı dönemlerde VPN kullanımı hızla artar ve “VPN kullanmak suç mu, ceza var mı?” sorusu gündeme gelir. Bu yazıda Türk hukukunda VPN kullanımının yasal durumu, erişim engelleme kararlarıyla ilişkisi, VPN aracılığıyla işlenen fiillerin ceza sorumluluğu, iş yerinde VPN kullanımı ve VPN’in delil ile ispat açısından etkisi ele alınmaktadır.

Kanuni çerçeve

Ceza hukukunun temel ilkesi olan suçta ve cezada kanunilik ilkesi, VPN tartışmasının da çıkış noktasıdır. Bir davranışın suç sayılabilmesi için bu davranışın kanunda açıkça tanımlanmış ve yaptırıma bağlanmış olması gerekir. Türk Ceza Kanunu, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun ve 5809 sayılı Elektronik Haberleşme Kanunu incelendiğinde, son kullanıcının VPN kullanmasını doğrudan suç olarak düzenleyen bir hüküm bulunmamaktadır. Aynı şekilde idari para cezası öngören bir kabahat tanımı da yoktur. Bu nedenle bireyin kendi cihazında VPN uygulaması kurması, bu uygulamayı kişisel verilerini korumak veya kamuya açık ağlarda güvenli bağlantı kurmak amacıyla kullanması hukuka aykırı bir davranış değildir.

İdari kararlarla bazı VPN hizmet sağlayıcılarının internet sitelerine erişim engellenebilir. Bu, söz konusu hizmetin Türkiye’den indirilmesini veya kullanılmasını zorlaştırır; ancak kullanıcı yönünden bir yasak veya ceza normu yaratmaz. Erişimi engellenen bir VPN hizmetini başka bir yoldan edinerek kullanan kişi hakkında, sırf bu nedenle ceza soruşturması başlatılmasını gerektiren bir suç tanımı bulunmamaktadır.

Erişim engeli ile VPN arasındaki ilişki

5651 sayılı Kanun, belirli içeriklere veya sitelere erişimin engellenmesini düzenler. Erişim engeli; hâkim kararıyla, bazı hâllerde ise idari bir merciin kararıyla verilir ve yayının yapıldığı siteye, belirli bir içeriğe veya URL adresine yönelik olarak uygulanır. Kararın muhatabı içerik sağlayıcı, yer sağlayıcı ve erişim sağlayıcılardır. Erişim sağlayıcılar, kararı uygulamakla yükümlüdür ve bu yükümlülüğe aykırılık ayrıca yaptırıma bağlanmıştır.

Kullanıcının VPN ile engellenen bir siteye ulaşması, erişim engeli kararının muhatabı olmadığı için o kararın “ihlali” olarak cezalandırılamaz. Erişim engeli, bir kişiye yöneltilmiş bir emir değil, bir yayının ulaşılabilirliğini sınırlayan teknik bir tedbirdir. Ancak burada önemli bir ayrım yapılmalıdır: Engellenen sitede yayımlanan içeriğin kendisi suç teşkil ediyorsa, örneğin çocukların cinsel istismarını içeren materyal veya yasa dışı bahis hizmeti söz konusuysa, bu içeriğe VPN ile ulaşmak değil, o içerikle ilgili kanunda tanımlanan fiili işlemek suç oluşturur. Erişim engeli hakkında ayrıntılı bilgi için “Erişim Engeli” yazımıza bakılabilir.

VPN ile işlenen suçlarda sorumluluk

VPN bir araçtır ve aracın kullanılması fiilin niteliğini değiştirmez. VPN üzerinden işlenen bir suç, VPN kullanılmadan işlenmiş gibi değerlendirilir. Uygulamada en sık karşılaşılan durumlar şunlardır:

Yasa dışı bahis ve kumar: 7258 sayılı Futbol ve Diğer Spor Müsabakalarında Bahis ve Şans Oyunları Düzenlenmesi Hakkında Kanun, Türkiye’den yurt dışı kaynaklı bahis oynatılmasını, bu oyunlara ilişkin para transferine aracılık edilmesini ve oynanmasını yaptırıma bağlar. Yasa dışı bahis sitesine VPN ile girilerek oynanan bahis, kanundaki yaptırımlardan kurtulmayı sağlamaz. Oynayan kişi yönünden öngörülen yaptırım ile oynatan veya aracılık eden kişiler yönünden öngörülen ceza farklıdır; bu ayrım için “Yasa Dışı Bahis Cezası 2026” yazısı incelenebilir.

Bilişim sistemine girme: TCK m. 243, bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren veya orada kalmaya devam eden kişiyi cezalandırır. VPN ile yetkisi olmadığı bir şirket ağına veya bir kişinin hesabına bağlanan kişi, VPN kullanmış olmasına bakılmaksızın bu suçtan sorumlu olur.

Dolandırıcılık: Bilişim sistemlerinin araç olarak kullanılması suretiyle dolandırıcılık (TCK m. 158/1-f) nitelikli hâl olarak daha ağır cezayı gerektirir. VPN, failin kimliğini gizlemeye yarasa bile fiili hafifletmez.

Hakaret ve tehdit: Sosyal medya üzerinden VPN ile bağlanılarak yapılan hakaret veya tehdit de aynı şekilde suç oluşturur. Hakaretin alenen işlenmesi ağırlaştırıcı neden olabilir.

Çocuk müstehcenliği: TCK m. 226 kapsamındaki materyalin indirilmesi, bulundurulması veya paylaşılması VPN kullanılsa da suçtur ve ağır yaptırımlara tabidir.

Kısacası, VPN’in kendisi değil, VPN aracılığıyla yapılan davranış ceza hukukunun konusudur. Kimliği gizleme amacı, cezanın belirlenmesinde failin kastının yoğunluğu bakımından hâkim tarafından TCK m. 61 çerçevesinde dikkate alınabilir.

VPN hizmeti sunmak ve satmak

Son kullanıcıdan farklı olarak, Türkiye’de elektronik haberleşme hizmeti sunan işletmeciler 5809 sayılı Kanun kapsamında yetkilendirmeye ve Bilgi Teknolojileri ve İletişim Kurumu düzenlemelerine tabidir. Kurumsal müşterilere sanal özel ağ hizmeti veren yerli işletmeciler bu çerçevede faaliyet gösterir. Yurt dışı merkezli ticari VPN uygulamalarının sitelerine ise idari kararla erişim engeli getirilebilmektedir. VPN hizmetini ticari olarak sunmak isteyen kişi veya şirketlerin, yetkilendirme rejimini ve kişisel verilerin korunmasına ilişkin yükümlülükleri önceden incelemesi gerekir. Bu konu, son kullanıcının VPN kullanmasından ayrı bir düzenleyici alandır.

İş yerinde ve kamu kurumlarında VPN kullanımı

Şirketlerin çoğu, uzaktan erişimi kendi kurumsal VPN altyapısı üzerinden sağlar. Bu kullanım hem meşrudur hem de bilgi güvenliğinin gereğidir. Sorun, çalışanın işverenin izni olmadan kurumsal ağda kişisel bir VPN uygulaması çalıştırmasıyla ortaya çıkar. Böyle bir kullanım, işverenin güvenlik duvarını ve izleme sistemlerini devre dışı bırakabilir, kurumsal veriyi risk altına sokabilir.

İşveren, iş sözleşmesi, personel yönetmeliği veya bilgi güvenliği politikası ile çalışanların kişisel VPN kullanmasını yasaklayabilir. Bu yasağa aykırılık suç oluşturmaz; ancak iş hukuku bakımından disiplin işlemine, ihtara ve aykırılığın ağırlığına göre geçerli veya haklı nedenle feshe gerekçe olabilir. Feshin ölçülü olup olmadığı, yasağın çalışana yazılı olarak bildirilip bildirilmediği ve aykırılığın işyerine verdiği zarar somut olayda değerlendirilir. Kamu kurumlarında da benzer kurallar bilgi güvenliği yönergeleriyle düzenlenir ve aykırılık disiplin sorumluluğu doğurabilir.

İşverenin, çalışanın kurumsal cihaz ve ağ üzerindeki trafiğini izlemesi ise ayrı bir sorundur. İzlemenin önceden bildirilmesi, amaçla sınırlı ve ölçülü olması 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Anayasa’nın özel hayatın gizliliğine ilişkin hükümleri çerçevesinde aranır.

VPN ve kişisel verilerin korunması

VPN kullanımının yaygın meşru amaçlarından biri, kişisel verilerin korunmasıdır. Kafe, havalimanı veya otel gibi ortak kablosuz ağlarda şifrelenmemiş trafik üçüncü kişilerce izlenebilir. VPN bu riski azaltır. Ancak VPN sağlayıcısı da kullanıcının trafiğine teknik olarak erişebilecek konumdadır. Ücretsiz VPN uygulamalarının bir kısmı kullanıcı verilerini reklam amaçlı işlemekte veya üçüncü kişilere aktarmaktadır. Bu nedenle VPN seçerken kayıt tutmama politikası, şirketin bulunduğu ülke ve gizlilik sözleşmesi incelenmelidir. Yurt dışındaki bir sağlayıcının verileri işlemesi, uyuşmazlık hâlinde hak arama imkânını zorlaştırabilir.

VPN kullanımının delil ve ispat açısından etkisi

Bir bilişim suçunun soruşturmasında IP adresi, failin tespitinde başlangıç noktasıdır. VPN kullanılması, görünen IP adresinin VPN sunucusuna ait olmasına yol açar. Bu durum soruşturmayı zorlaştırır, ancak imkânsız kılmaz. Savcılık; sosyal medya şirketlerinden hesap bilgisi, giriş kayıtları, telefon numarası ve e-posta eşleşmesi, ödeme kayıtları, cihaz kimlikleri ve banka hareketleri gibi verileri isteyerek kimlik tespitine gidebilir. Bilgisayar, bilgisayar programları ve kütüklerinde arama, kopyalama ve el koyma CMK m. 134 kapsamında hâkim kararıyla, gecikmesinde sakınca bulunan hâllerde ise Cumhuriyet savcısının kararıyla yapılır; savcının kararı yirmi dört saat içinde hâkim onayına sunulur.

Savunma açısından ise VPN, iki yönlü bir etkiye sahiptir. Bir yandan, şüpheliye ait olduğu iddia edilen IP adresinin başka kişilerce de kullanılabilen bir VPN sunucusuna ait olduğunun ortaya konması, salt IP eşleşmesine dayanan isnatları zayıflatabilir. Öte yandan, failin VPN kullandığına dair cihaz incelemesi bulguları kimliğini gizleme çabası olarak yorumlanabilir. Yargıtay, bilişim suçlarında mahkûmiyetin yalnızca IP kaydına dayandırılmamasını, IP’nin hangi aboneliğe ait olduğunun, o tarihte kim tarafından kullanıldığının ve diğer delillerle desteklenip desteklenmediğinin araştırılmasını aramaktadır. Bu nedenle VPN kullanımı ileri sürülen dosyalarda bilirkişi incelemesinin kapsamı savunma için belirleyicidir.

Yargıtay kararlarında IP adresi ve kimlik tespiti

VPN tartışması ceza yargılamasında çoğu zaman “IP adresi kime ait?” sorusu üzerinden karşımıza çıkar. Yargıtay’ın bilişim suçlarına bakan 8. ve 12. Ceza Daireleri, IP kaydını tek başına yeterli bir mahkûmiyet delili saymamakta, IP’nin gerçekten sanık tarafından kullanıldığının teknik verilerle desteklenmesini aramaktadır. VPN, proxy veya başkasına ait bir sunucu üzerinden bağlantı kurulduğu iddiası da bu çerçevede incelenir.

Başkasının sunucusundan gelen bağlantı

Bir kamu kurumunun bilişim sistemine uzaktan girilerek verilerin silindiği bir dosyada, saldırının geldiği IP adresinin sanığın şirketine ait olduğu ve bir firmanın sunucusunda barındırıldığı tespit edilmiştir. Sanık, sitenin dışarıdan saldırıya uğramış ve IP adresinin üçüncü kişilerce kullanılmış olabileceğini savunmuştur. Yerel mahkeme şüpheden sanık yararlanır ilkesine göre beraat kararı vermiş, Yargıtay da bu kararı hukuka uygun bulmuştur.

Bu yaklaşım, VPN sunucuları için de önemlidir. VPN sağlayıcısının sunucusuna ait bir IP adresi, aynı anda çok sayıda kullanıcı tarafından paylaşılır. Böyle bir IP adresinin tek başına belirli bir kişiyi göstermesi teknik olarak mümkün değildir.

Dinamik IP ve kablosuz modem

Bir hastanenin doküman sistemine izinsiz girildiği iddiasıyla yargılanan sanık, modeminin kablosuz olduğunu ve başkalarınca da kullanılabileceğini savunmuştur. Bilirkişi raporu, sanığın dinamik IP kullandığını ve modemin şifresinin dışarıdan kırılabileceğini ortaya koymuştur. Yargıtay, bu durumda verilen beraat kararını onamıştır (Yargıtay 8. Ceza Dairesi, E. 2020/14866, K. 2023/2847, T. 04.05.2023).

Eksik araştırma bozma sebebidir

Yargıtay, IP tespitinin yetersiz kaldığı dosyalarda yalnızca beraat kararlarını onamakla kalmamış, eksik araştırmayla verilen kararları da bozmuştur. Sahte sosyal medya hesabı açıldığı iddiasına ilişkin bir dosyada 12. Ceza Dairesi, IP numarasının statik mi dinamik mi olduğunun, modemin şifreli olup olmadığının ve üçüncü kişilerin bağlantıyı kullanma ihtimalinin araştırılmasını, sanığın bilgisayarındaki log kayıtlarının bilirkişiye incelettirilmesini istemiştir.

Benzer şekilde 8. Ceza Dairesi, sanığın olay tarihinde başka bir ilde çalıştığını savunduğu bir dosyada, internet sağlayıcısından modem bilgisi istenmesini, bilgisayardaki log kayıtlarının incelenmesini ve telefonun HTS kayıtlarının getirtilmesini gerekli görmüştür (Yargıtay 8. Ceza Dairesi, E. 2019/19020, K. 2020/10577, T. 27.02.2020).

IP maskeleme savunması teknik verilerle çürütülebilir

Kararlar, VPN savunmasının her zaman sonuç vereceği anlamına gelmez. Bir şirketin e-posta sistemine izinsiz girildiği dosyada sanık, IP adresinin maskelendiğini ileri sürmüştür. Bilirkişi, işverene ait log kayıtlarını incelemiş ve olay saatinde ilgili IP adresinin sanık tarafından kullanıldığını, işlemlerin sanığa ait kullanıcı hesabı üzerinden yapıldığını tespit etmiştir.

Buradan çıkan sonuç açıktır: VPN veya IP maskeleme iddiası soyut kaldığında savunmayı güçlendirmez. Cihaz incelemesi, hesap giriş kayıtları ve kurum içi log verileri, IP adresinden bağımsız olarak faili gösterebilir.

Uygulamada dikkat edilecek noktalar

• VPN kullanımı ileri sürülecekse, kullanılan hizmetin adı, bağlantı saatleri ve cihaz üzerindeki kayıtlar bilirkişi incelemesine sunulmalıdır. Soyut bir iddia, log kayıtları karşısında sonuç doğurmaz.
• İddianamede yalnızca abonelik kaydına dayanan bir IP eşleşmesi varsa; IP’nin statik veya dinamik olduğu, modemin kablosuz ve şifreli olup olmadığı, olay saatinde hattın kim tarafından kullanıldığı araştırılmadan verilen karar bozulabilir.
• Paylaşımlı bir VPN sunucusunun IP adresi, tek başına belirli bir kişiyi göstermez. Savunmada bu teknik özellik bilirkişi raporuyla ortaya konmalıdır.
• Mağdur veya şikâyetçi açısından ise yalnızca IP adresine dayanan şikâyet yeterli değildir. Hesap bilgileri, ödeme kayıtları, telefon numarası eşleşmesi ve cihaz verileri gibi destekleyici delillerin de soruşturmada istenmesi gerekir.
• VPN ile işlenen bir suçta bilgisayar ve telefona el konulması ve inceleme yapılması CMK m. 134’e göre hâkim kararıyla, gecikmesinde sakınca bulunan hâllerde savcı kararıyla olur; savcı kararı yirmi dört saat içinde hâkim onayına sunulmazsa veya hâkim onaylamazsa alınan kopyalar imha edilir ve delil olarak kullanılamaz.

Örnek olaylar

Birinci örnek: Bir üniversite öğrencisi, yurt dışında yaşayan akrabalarıyla görüntülü görüşme yapmak için kullandığı uygulamanın erişim sorunu yaşaması üzerine ücretli bir VPN hizmeti satın alır. Öğrencinin bu kullanımı, kanunda tanımlanmış bir suç veya kabahat oluşturmaz.

İkinci örnek: Bir kişi, VPN ile bağlandığı yurt dışı merkezli bir bahis sitesinde düzenli olarak bahis oynar ve arkadaşlarının hesaplarına para transferi yapar. Burada VPN kullanımı değil, yasa dışı bahis oynama ve para transferine aracılık fiilleri 7258 sayılı Kanun kapsamında değerlendirilir.

Üçüncü örnek: Bir çalışan, işyerinin yasaklamasına rağmen kurumsal bilgisayara kişisel VPN kurar ve şirket verilerini kişisel bulut hesabına aktarır. Kişisel VPN kurulması tek başına suç değildir; ancak veri aktarımı ticari sır, kişisel veri veya bilişim suçları yönünden incelenebilir ve iş sözleşmesinin feshine yol açabilir.

Sıkça sorulan sorular

Değerlendirme

Türkiye’de VPN kullanmak, kanunda tanımlanmış bir suç veya kabahat değildir. Ceza sorumluluğu, VPN ile işlenen fiile göre belirlenir. Erişim engeli kararları kullanıcıya yöneltilmiş bir yasak içermez; ancak engellenen içerikle ilgili fiiller ayrıca suç oluşturabilir. İş yerinde VPN kullanımı ise iş sözleşmesi ve kurum politikaları bakımından sonuç doğurabilir. Bilişim suçu isnadıyla karşılaşan kişinin, dosyadaki IP ve dijital delillerin teknik olarak doğru değerlendirilip değerlendirilmediğini bilirkişi raporu üzerinden incelemesi önem taşır.

İlgili yazılar: Erişim Engeli, Bilişim Sistemine Girme Suçu, Yasa Dışı Bahis Cezası 2026, Bilişim Suçları Nereye Şikâyet Edilir?

Mevzuat: 5651 sayılı Kanun, 5237 sayılı Türk Ceza Kanunu

Bu yazı, 12 Kasım 2026 tarihi itibarıyla yürürlükteki mevzuata göre hazırlanmıştır. Genel bilgilendirme amaçlıdır; somut olay için hukuki destek alınmalıdır.