TCK m. 136, kişisel verilerin hukuka aykırı olarak başkasına verilmesini, yayılmasını veya ele geçirilmesini cezalandırır. Kişisel verilerin kaydedilmesi suçundan (TCK m. 135) farklı olarak bu suç, verilerin dolaşıma sokulması veya izinsiz elde edilmesi aşamasını karşılar. Kanun gerekçesine göre veriler hukuka uygun olarak kaydedilmiş olsa bile, hukuka aykırı biçimde başkasına verilmesi veya yayılması bağımsız bir suç oluşturur.
Bu yazıda kişisel veri kavramının ayrıntılarına ve kaydetme fiiline yer verilmemiş; m. 136’nın kendine özgü yönleri ele alınmıştır.
KISA CEVAP
- Kişisel verileri hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek iki yıldan dört yıla kadar hapis gerektirir (TCK m. 136).
- Kamu görevlisi tarafından yetkinin kötüye kullanılmasıyla veya meslek kolaylığından yararlanılarak işlenirse ceza yarı oranında artırılır (TCK m. 137).
- Mağdurun kendi hesabında daha önce paylaştığı fotoğrafların rızası dışında başkasınca yayılması da suç oluşturur (Yargıtay 12. CD, E. 2017/2960, K. 2018/1541).
- Sızdırılmış kişisel verileri paylaşmak veya satmak ayrıca 7545 sayılı Siber Güvenlik Kanunu m. 16 uyarınca üç yıldan beş yıla kadar hapis gerektirir.
- Suç şikâyete bağlı değildir, uzlaştırma uygulanmaz; dava ile karşı tarafın adresinin yazılması gibi kanuni aktarımlar ise hukuka uygundur.
Suçun düzenlenişi ve cezası
| Hâl | Ceza |
|---|---|
| Kişisel verileri hukuka aykırı olarak başkasına verme, yayma veya ele geçirme (m. 136/1) | 2 yıldan 4 yıla kadar hapis |
| Suçun konusunun CMK m. 236/5-6 uyarınca kayda alınan beyan ve görüntüler olması (m. 136/2) | Ceza bir kat artırılır |
| Kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi (m. 137) | Ceza yarı oranında artırılır |
İkinci fıkra 17/10/2019 tarihli 7188 sayılı Kanun’la eklenmiştir. Ceza Muhakemesi Kanunu (CMK) m. 236/5-6, mağdur çocukların ve bazı mağdurların ifadelerinin ses ve görüntü kaydına alınmasını düzenler. Bu kayıtların sızdırılması, cezanın dört yıldan sekiz yıla çıkmasına neden olur.
Seçimlik hareketler
Suç, üç seçimlik hareketten biriyle işlenir. Bunlardan birinin gerçekleşmesi suçun tamamlanması için yeterlidir.
Başkasına verme. Verilerin belirli bir kişi veya kuruma iletilmesidir. Bir çalışanın müşteri listesini rakip firmaya göndermesi veya bir kişinin başkasının kimlik ve adres bilgilerini üçüncü bir kişiye iletmesi bu kapsamdadır.
Yayma. Verilerin belirsiz sayıda kişinin erişimine açılmasıdır. Sosyal medyada paylaşım, internet sitesinde yayımlama veya çok sayıda kişinin bulunduğu mesajlaşma gruplarına gönderme yayma niteliğindedir.
Ele geçirme. Verilere hukuka aykırı olarak erişilip bunların kullanılabilir şekilde elde edilmesidir. Verilerin yazılı olduğu belgenin alınması veya başka bir ortama aktarılarak sabitlenmesi ele geçirmedir.
Verilerin kaydedilmiş hâlde bulunması
Yargıtay, m. 136’daki hareketlerin konusunun kaydedilmiş veriler olduğunu kabul etmektedir. Yargıtay 12. Ceza Dairesi, verilerin “verildiği”, “yayıldığı” veya “ele geçirildiği”nin kabulü için kişisel verilerin kaydedilmiş hâlde bulunması ve bu hâliyle başkalarına verilmesi, yayılması veya ele geçirilmesi gerektiğini belirtmiştir. Daireye göre kişisel verilerin kaydedilmeden önce öğrenilmesi, hafızada tutulan verilerin başkalarına açıklanması veya verilere salt duyu organları aracılığıyla vakıf olunması, ancak özel hayatın gizliliğini ihlal suçu (TCK m. 134/1) kapsamında değerlendirilebilir.
Aynı kararda Daire, internet üzerinden tanıştığı kişinin daha önce kendi sosyal medya hesabında paylaştığı fotoğrafları, aralarındaki tartışma sonrasında onun adına açtığı sahte hesaptan rızası dışında yayımlayan sanık hakkında beraat kararını bozmuştur. Daire, fotoğrafların daha önce mağdurun kendi hesabında paylaşılmış olmasının bunların kişisel veri olma özelliğini değiştirmeyeceğini ve üçüncü kişilere rıza dışında yayımlama hakkı vermeyeceğini belirtmiştir (Yargıtay 12. CD, E. 2017/2960, K. 2018/1541, T. 14.02.2018).
Bu karar, “veri zaten internette vardı” savunmasının tek başına yeterli olmadığını göstermektedir. Bir kişinin bilgisini belirli bir çevreyle paylaşmış olması, başkalarına o bilgiyi farklı bir amaçla ve rızası dışında yayma yetkisi vermez.
Yetkisiz sorgulama ile verilere erişim
Kamu görevlilerinin görev gereği kullandıkları sistemlerde, görevle ilgisi olmayan kişiler hakkında sorgulama yapması uygulamada sık karşılaşılan bir sorundur.
Yargıtay 12. Ceza Dairesi, kurumunun verdiği kullanıcı şifresiyle Kimlik Paylaşım Sistemi’ne giren ve merakı nedeniyle tanınmış bir kişinin nüfus ve yerleşim yeri bilgilerini sorgulayan memur hakkında verilen beraat kararını bozmuştur. Daire, keyfi ve usulsüz sorgulamayla kişisel veri niteliğindeki bilgilere erişilip okunmasının m. 136’daki suçun unsurlarını oluşturduğunu kabul etmiştir. Yargıtay Cumhuriyet Başsavcılığı, eylemin özel hayatın gizliliğini ihlal kapsamında kaldığı görüşüyle bu karara itiraz etmiş; Daire itirazı oyçokluğuyla yerinde görmeyerek dosyayı Ceza Genel Kuruluna göndermiştir (Yargıtay 12. CD, E. 2021/33, K. 2021/6889, T. 13.10.2021).
Bu uyuşmazlık, yetkisiz sorgulamanın hangi suçu oluşturduğu konusunda Yargıtay içinde farklı görüşler bulunduğunu göstermektedir. Görevin verdiği yetkinin kötüye kullanılması hâlinde ise hangi suç uygulanırsa uygulansın kamu görevlisi bakımından nitelikli hâl gündeme gelir; m. 136 uygulandığında ceza üç yıldan altı yıla kadar hapse çıkar.
Sızdırılmış verilerin paylaşılması ve satılması
Kişisel verilerin toplu olarak satıldığı veya paylaşıldığı “veri ticareti” fiilleri, m. 136’nın yanında 19/3/2025 tarihinde Resmî Gazete’de yayımlanan 7545 sayılı Siber Güvenlik Kanunu bakımından da önem taşır. Bu Kanun’un 16. maddesi, daha önce sızdırılmış kişisel verilerin veya kritik kamu hizmetlerine ilişkin verilerin rıza olmaksızın erişime sunulmasını, paylaşılmasını veya satılmasını üç yıldan beş yıla kadar hapis cezasıyla yaptırıma bağlamıştır. Aynı madde, gerçekte bir veri sızıntısı olmadığını bildiği hâlde panik yaratmak veya kurum ve kişileri hedef göstermek amacıyla sızıntı olduğu yönünde içerik oluşturmayı veya yaymayı da ayrıca cezalandırır.
Aynı kişiye ait verilerin farklı zamanlarda birden fazla kez paylaşılması hâlinde, bir suç işleme kararının icrası kapsamında hareket edilmişse zincirleme suç hükümleri uygulanır ve ceza dörtte birden dörtte üçe kadar artırılır (TCK m. 43/1). Tek bir paylaşımla birden fazla kişinin verilerinin yayılması hâlinde de, aynı suçun birden fazla kişiye karşı tek bir fiille işlenmesi söz konusu olduğundan aynı artırım uygulanır (TCK m. 43/2). Bu nedenle çok sayıda kişiye ait bir listenin tek seferde paylaşılması, tek bir suçtan ancak artırılmış cezayla sonuçlanır; listedeki kişi sayısı ise artırım oranının belirlenmesinde dikkate alınır.
Haber verme ve basın faaliyeti
Kamuoyunu ilgilendiren bir olayın haberleştirilmesi sırasında kişisel verilere yer verilmesi, ifade ve basın özgürlüğü kapsamında değerlendirilebilir. KVKK m. 28/1-c, kişisel verilerin özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla ifade özgürlüğü kapsamında işlenmesini Kanun’un kapsamı dışında tutmuştur. Ancak haberin konusu için gerekli olmayan T.C. kimlik numarası, açık adres veya telefon numarası gibi verilerin yayımlanması, haber verme hakkının sınırlarını aşar.
Hukuka uygunluk
Kişisel verilerin başkasına verilmesi her durumda suç değildir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 8, kişisel verilerin aktarılmasını kural olarak açık rızaya bağlamış; ancak kanunlarda açıkça öngörülme, hukuki yükümlülük veya bir hakkın tesisi, kullanılması ya da korunması gibi hâllerde rıza aranmaksızın aktarıma izin vermiştir. Bu nedenle:
- Mahkemenin veya savcılığın talebi üzerine verilerin yetkili makama gönderilmesi,
- Bir dava dilekçesinde karşı tarafın adres ve kimlik bilgilerinin yazılması,
- Bir suçun ihbarı amacıyla kolluğa bilgi verilmesi
hukuka uygundur. Buna karşılık bir şikâyeti veya tartışmayı kamuoyuna taşımak amacıyla karşı tarafın telefon numarası, adresi veya kimlik bilgilerinin sosyal medyada paylaşılması, amaçla orantılı olmadığından hukuka aykırı kabul edilebilir.
Soruşturma ve yargılama
Şikâyet. Suç şikâyete bağlı değildir (TCK m. 139). Cumhuriyet başsavcılığı kendiliğinden soruşturma başlatır; mağdurun vazgeçmesi davayı düşürmez. Uzlaştırma da uygulanmaz.
Başvuru ve deliller. Mağdur, Cumhuriyet başsavcılığına veya kolluğa başvurabilir; başvuru harca tabi değildir. Paylaşımın ekran görüntüsü, bağlantı adresi (URL), paylaşım tarihi ve paylaşımı yapan hesabın bilgileri başvuruya eklenmelidir. İçerik silinmeden önce delil olarak tespit edilmesi önemlidir.
İçeriğin kaldırılması. İnternette yayımlanan kişisel veriler bakımından ceza soruşturmasının yanında, içeriğin kaldırılması için KVKK kapsamında veri sorumlusuna başvurulabilir. İnternet ortamındaki içerikler bakımından erişimin engellenmesine ilişkin yollar da ayrıca değerlendirilmelidir.
Görevli mahkeme ve sonuç ceza. Temel şekil asliye ceza mahkemesinde görülür. Sonuç ceza iki yıl veya daha az olduğunda şartları varsa hükmün açıklanmasının geri bırakılmasına veya cezanın ertelenmesine karar verilebilir.
Dava zamanaşımı. Temel şekilde dava zamanaşımı sekiz yıldır. Ceza m. 136/2 veya m. 137 uyarınca artırıldığında üst sınır beş yılı aştığından süre on beş yıla çıkar (TCK m. 66/1-d, e).
Tüzel kişiler. Suç bir şirketin faaliyeti çerçevesinde işlenmişse şirket hakkında güvenlik tedbirlerine hükmolunur (TCK m. 140).
Sıkça Sorulan Sorular
Bir kişinin telefon numarasını başkasına vermek suç mudur?
Rıza veya hukuka uygunluk nedeni olmadan, kaydedilmiş bir telefon numarasının başkasına iletilmesi m. 136 kapsamında değerlendirilebilir. Numaranın verildiği amaç ve bağlam, hukuka aykırılığın belirlenmesinde önem taşır.
Ekran görüntüsü paylaşmak bu suçu oluşturur mu?
Ekran görüntüsünde başka bir kişinin adı, numarası, fotoğrafı veya diğer kişisel verileri bulunuyorsa ve bu görüntü rızası dışında yayılıyorsa suç oluşabilir. Mesajlaşmanın içeriği özel hayata ilişkinse, haberleşmenin gizliliğini ihlal veya özel hayatın gizliliğini ihlal suçları da gündeme gelebilir.
Veri sızıntısına uğrayan şirketin çalışanı sorumlu tutulur mu?
Çalışanın verileri kasten başkasına verdiği veya yaydığı ispatlanırsa m. 136’dan sorumlu olur. Yalnızca güvenlik önlemlerindeki eksiklikten kaynaklanan sızıntılar ise kural olarak KVKK kapsamında veri sorumlusu şirket hakkında idari yaptırım konusudur.
Sonuç
TCK m. 136, kişisel verilerin hukuka aykırı olarak başkasına verilmesini, yayılmasını ve ele geçirilmesini iki yıldan dört yıla kadar hapisle cezalandırır; kamu görevlisi veya meslek kolaylığıyla işlenmesi ve korunan ifade kayıtlarının sızdırılması hâllerinde ceza artırılır. Verinin daha önce mağdur tarafından paylaşılmış olması, rızası dışında yayılmasını hukuka uygun hâle getirmez. Somut dosyaya ilişkin değerlendirme için büromuzla iletişime geçilebilir.
İlgili yazılar: Kişisel Verilerin Kaydedilmesi Suçu ve Cezası (TCK 135)
Mevzuat: 5237 sayılı Türk Ceza Kanunu, 5271 sayılı Ceza Muhakemesi Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 7545 sayılı Siber Güvenlik Kanunu.
Bu yazı, 16 Ekim 2026 tarihi itibarıyla yürürlükte bulunan mevzuata göre hazırlanmıştır. Genel bilgilendirme amaçlıdır; somut durumunuz için hukuki destek alınız.