Kişisel Verilerin Kaydedilmesi Suçu (TCK 135): Cezası, Özel Nitelikli Veri ve KVKK

Başkasına ait kişisel verileri hukuka aykırı olarak bir deftere, tabloya ya da dijital bir ortama saklamak, TCK 135’te düzenlenen kişisel verilerin kaydedilmesi suçunu oluşturur. Cezası 1–3 yıl hapistir. Veri sağlık, cinsel yaşam, din veya siyasi görüş gibi özel nitelikli bir bilgiyse ceza yarı oranında artar. Suç şikayete bağlı değildir; savcılık resen soruşturur.

İşten ayrılmadan birkaç gün önce şirketin müşteri listesini kişisel bilgisayarına kopyalayan bir çalışan, çoğu zaman yaptığının yalnızca bir iş hukuku sorunu olduğunu düşünür. Oysa bu davranış bir ceza dosyasına da dönüşebilir. Belirleyici soru, kaydın KVKK’daki bir işleme şartına dayanıp dayanmadığıdır.

Kişisel Verilerin Kaydedilmesi Suçu Nedir, Neyi Cezalandırır?

Suçun konusu kişisel veridir. 6698 sayılı KVKK’nın 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad ve soyad, T.C. kimlik numarası, telefon numarası, adres, fotoğraf, ses kaydı ve kişiyle eşleştirilebilen konum bilgisi bu kapsama girer.

Tüzel kişiye ait bilgiler, örneğin bir şirketin ciro rakamları, KVKK anlamında kişisel veri değildir. Ancak bir şirket kaydında yer alan çalışan ve müşteri bilgileri, o gerçek kişilerin kişisel verisidir. Bu yüzden şirket dosyalarının kopyalandığı olaylarda hangi bilginin kime ait olduğu ayrıca belirlenir.

Kişisel verilerin kaydedilmesi suçu kasten işlenir ve fail herkes olabilir. Mağdur, verisi kaydedilen gerçek kişidir. Tek bir kişinin verisi yeterlidir; binlerce kişilik bir veri tabanı şart değildir.

“Kaydetme” Ne Demektir?

Kaydetme, verinin sonradan erişilebilecek biçimde bir ortamda saklanmasıdır. Bir deftere yazmak, bir tabloya girmek, bir veri tabanında tutmak, bulut depolamaya yüklemek veya ekran görüntüsü alıp arşivlemek bu kapsamda değerlendirilebilir. Kaydın dijital olması gerekmez; elle tutulan bir liste de yeterli olabilir.

Veriyi yalnızca görmek veya okumak kaydetme sayılmaz. Bu tür davranışlar, içeriğe göre başka suçlar oluşturabilir. Mesaj içeriklerine bakılmışsa haberleşmenin gizliliği (TCK 132), özel yaşam anları izlenmişse özel hayatın gizliliğini ihlal suçu (TCK 134) gündeme gelir.

Kayıt bir sisteme izinsiz girilerek yapılmışsa tablo genişler. Örneğin, başkasına ait bir e-posta hesabına girilip rehberdeki kişilerin iletişim bilgileri indirilmişse TCK 135 ile birlikte bilişim sistemine girme (TCK 243) de tartışılır. Bu ilişki bilişim suçları ve bilişim sistemine girme yazımızda ele alınmıştır.

TCK 135 Cezası Ne Kadar? Temel ve Nitelikli Hâl

Birinci fıkradaki alt sınır 21 Şubat 2014 tarihli 6526 sayılı Kanunla “altı aydan” ibaresi yerine “bir yıldan” olarak değiştirilmiştir. İkinci fıkra ise 2016’da 6698 sayılı KVKK’nın 30. maddesiyle bugünkü hâlini almıştır. 2024–2026 döneminde çıkan değişiklik kanunları TCK 135’e dokunmamıştır.

TCK 135’te seçimlik adli para cezası yoktur; yaptırım hapistir. Kaydedilen verilerin daha sonra başkasına verilmesi veya yayılması hâlinde ayrıca verileri hukuka aykırı verme veya ele geçirme suçu (TCK 136) tartışılır. Suç tarihi 2014 öncesine uzanıyorsa lehe kanun (TCK 7/2) karşılaştırması yapılmalıdır.

Özel Nitelikli Kişisel Veri: TCK ile KVKK Listesi Aynı mı?

Aynı değildir ve bu fark uygulamada sık gözden kaçar. TCK 135/2, cezanın artırılmasını verinin siyasi, felsefi veya dini görüşe, ırki kökene, ahlaki eğilime, cinsel yaşama, sağlık durumuna veya sendikal bağlantıya ilişkin olmasına bağlar. KVKK 6/1 ise daha geniş bir özel nitelikli kişisel veri listesi içerir.

Parmak izi veya yüz tanıma verisinin hukuka aykırı kaydı, KVKK bakımından özel nitelikli veri ihlalidir. Ceza hukukunda ise durum farklıdır. Kıyas yasağı (TCK 2/3) nedeniyle artırım nedenleri genişletilerek yorumlanamaz; bu verilerde TCK 135/2’nin uygulanıp uygulanmayacağı tartışmalıdır. Kayıt en azından TCK 135/1’deki temel suç kapsamında değerlendirilebilir.

Suçun Şartları ve Hukuka Aykırı Kayıt

Kişisel verilerin kaydedilmesi suçu için kaydın hukuka aykırı olması gerekir; hukuka uygun bir işleme şartına dayanan kayıt suç oluşturmaz. KVKK 5/1’e göre kişisel veriler ilgili kişinin açık rızası (belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza, KVKK 3/1-a) olmadan işlenemez. KVKK 5/2 ise açık rıza aranmayan hâlleri sayar.

• Kanunlarda açıkça öngörülmesi
• Hayati menfaatin korunması için zorunluluk
• Bir sözleşmenin kurulması veya ifası
• Veri sorumlusunun hukuki yükümlülüğü
• İlgili kişinin veriyi alenileştirmesi
• Bir hakkın tesisi, kullanılması veya korunması
• Veri sorumlusunun meşru menfaati

Bir işverenin sigorta bildirimi için çalışanının kimlik bilgilerini kaydetmesi hukuki yükümlülük gereğidir ve kural olarak hukuka aykırı kayıt sayılmaz. Buna karşılık bir apartman yöneticisinin sakinlerin hastalık bilgilerini izinsiz bir listede tutması, hem işleme şartı hem de özel nitelikli veri yönünden sorun yaratır.

Ceza hukukundaki ilgilinin rızası (TCK 26/2) ise kişinin üzerinde mutlak surette tasarruf edebileceği bir hakka ilişkin olmalıdır. Genel ve belirsiz bir onay veya bir hizmetin şartı olarak dayatılan rıza, KVKK’daki açık rıza tanımını karşılamayabilir.

Kişisel Verilerin Kaydedilmesinde Şikayet, Uzlaşma ve Zamanaşımı

Bu suç resen soruşturulur. TCK 139, kişisel verilerin kaydedilmesi, verileri hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçlarını şikayet şartının dışında tutar. Savcılık suçu herhangi bir yolla öğrendiğinde soruşturma başlatır.

Mağdurun şikayetinden vazgeçmesi davayı düşürmez. Bu ayrımın ayrıntısı özel hayat suçlarında şikayet usulü (TCK 139–140) yazımızdadır.

Suç CMK 253/1-b’deki uzlaştırma listesinde yer almaz. Ancak şüpheli adli süreçteki bir çocuksa ve mağdur gerçek kişiyse, üst sınırı üç yılı geçmeyen suçlara ilişkin CMK 253/1-c hükmü TCK 135/1 bakımından değerlendirilebilir. Önödeme ise hapis cezasının üst sınırı altı ayı aştığı için uygulanmaz.

Zamanaşımı hesabında nitelikli hâller dikkate alınır (TCK 66/3). TCK 135/1 ve 135/2 tek başına sekiz yıllık süreye tabidir. İkinci fıkra ile TCK 137 birlikte uygulandığında üst sınır 6 yıl 9 aya çıktığından süre on beş yıldır. En ağır hâlde bile üst sınır on yılı aşmadığından dava asliye ceza mahkemesinde görülür.

Soruşturma ve Yargılama Nasıl İlerler?

Dosyalar genellikle üç yoldan açılır: mağdurun suç duyurusu, bir kurumun iç denetiminde ortaya çıkan veri kaybı ya da Kişisel Verileri Koruma Kurulu’nun incelemesi sırasında suç şüphesinin belirmesi. İhbar ve şikayet Cumhuriyet başsavcılığına veya kolluğa yazılı ya da sözlü olarak yapılabilir (CMK 158).

1. Delil tespiti: Kaydın bulunduğu cihaz, bulut hesabı veya dosya; oluşturulma tarihi ve erişim kayıtları belirlenir.
2. İnceleme: Bilgisayar ve kütüklerde arama gerekiyorsa hâkim kararı veya gecikmesinde sakınca bulunan hâlde savcı kararı aranır (CMK 134/1). Anayasa Mahkemesi 12.02.2026 tarihli ve E.2023/128, K.2026/36 sayılı kararıyla CMK 134’ü iptal etmiştir; iptal hükmü 25.02.2027’de yürürlüğe girecektir.
3. İddianame: Yeterli şüphe varsa kamu davası asliye ceza mahkemesinde açılır.
4. Kanun yolu: İstinaf ve temyiz süresi, gerekçeli hükmün tebliğinden itibaren iki haftadır (CMK 273/1, 291/1).

Hükmün açıklanmasının geri bırakılmasını düzenleyen CMK 231’in 5–14. fıkraları, 16.07.2026 tarihli 7589 sayılı Kanunla (RG 31.07.2026) yeniden yazıldı; Anayasa Mahkemesinin önceki metne ilişkin iptal kararı (E.2024/98, K.2025/149) ise 30.09.2026’da yürürlüğe giriyor. Bu tarihten sonra rejim değişebileceğinden HAGB ihtimali somut dosyada güncel metin üzerinden kontrol edilmelidir.

Kişisel Verilerin Kaydedilmesi ve KVKK İdari Süreci

KVKK 17/1, kişisel verilere ilişkin suçlar bakımından TCK 135 ila 140’ın uygulanacağını söyler. KVKK 18’deki idari para cezaları ise suç değil, kabahattir ve Kişisel Verileri Koruma Kurulu tarafından verilir. İki yol birbirini dışlamaz.

İlgili kişi önce veri sorumlusuna yazılı olarak başvurur; veri sorumlusu en geç otuz gün içinde yanıt verir (KVKK 13/2). Başvuru reddedilir veya yanıt verilmezse, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvurudan itibaren altmış gün içinde Kurul’a şikayet edilebilir (KVKK 14/1). 7499 sayılı Kanunla eklenen KVKK 18/3’e göre Kurul’un idari para cezalarına karşı idare mahkemesinde dava açılır.

Kurul’un bir şirkete veri güvenliği tedbirlerini almadığı için (KVKK 12) idari para cezası vermesi, verileri hukuka aykırı kaydeden çalışanın ceza sorumluluğunu kaldırmaz. Ceza soruşturmasının kovuşturmaya yer olmadığı kararıyla bitmesi de Kurul incelemesini tek başına engellemez.

Uygulamadan Örnekler

Uygulamada kişisel verilerin kaydedilmesi en çok iş yeri, sağlık ve dijital hizmet alanlarında karşımıza çıkar. Hukuka aykırılık şartı gerçekleşirse şu durumlar TCK 135 kapsamında değerlendirilebilir:

• Bir sağlık kuruluşu çalışanının hasta bilgilerini kişisel telefonuna kaydetmesi
• Bir uygulamanın kullanıcıya bilgi vermeden konum geçmişini saklaması
• Bir mahalle grubunda kişileri siyasi görüşüne göre listeleyen bir tablo hazırlanması
• Satış temsilcisinin ayrılmadan önce müşteri rehberini kendi e-postasına göndermesi

Kaydedilen kimlik bilgileri, kişinin kendi hakkındaki soruşturmayı engellemek için kullanılırsa başkasına ait kimlik bilgilerinin kullanılması suçu (TCK 268) ayrıca gündeme gelebilir. Kamu görevlisi veya meslek kolaylığı içeren dosyalar için TCK 137’deki nitelikli haller, saklama süresi dolan verilerin silinmemesi için verileri yok etmeme suçu yazılarımıza bakılabilir. Bölümün tamamı özel hayata karşı suçlar (TCK 132–140) rehberimizde karşılaştırmalı olarak anlatılır.

Kayıtları sonradan silmek suçu ortadan kaldırır mı?

Kaldırmaz. Kişisel verilerin kaydedilmesi suçu, kayıt anında tamamlanır. TCK 135 için etkin pişmanlık hükmü de öngörülmemiştir. Kopyalanan listenin sonradan silinmesi ya da iade edilmesi ancak cezanın belirlenmesinde (TCK 61) ve seçenek yaptırımların değerlendirilmesinde dikkate alınabilir.

Silme işlemi, soruşturmada kaydın varlığını da ortadan kaldırmayabilir. Bulut yedekleri, e-posta gönderim kayıtları ve cihaz üzerindeki izler çoğu zaman teknik incelemeyle tespit edilebilir. Bu nedenle kişisel verilerin kaydedilmesi iddiasıyla karşılaşan kişinin, cihaz üzerinde işlem yapmadan önce hukuki destek alması yerinde olur.

Güvenlik kameraları ve kişisel verilerin kaydedilmesi

Kamera görüntüsü, kişiyi tanımlanabilir kıldığı ölçüde kişisel veridir; bu yüzden kamera kayıtları da kişisel verilerin kaydedilmesi tartışmasının parçasıdır. İş yeri, site veya apartman kamerasıyla yapılan kayıt, bir işleme şartına dayanıyor ve ilgili kişiler aydınlatılıyorsa kural olarak hukuka uygundur. Kameranın komşunun evinin içini veya bir soyunma alanını görecek şekilde yerleştirilmesi ise TCK 135 yanında TCK 134’ü de gündeme getirir. Aydınlatma eksikliği tek başına suç değil, KVKK 18/1-a kapsamında idari yaptırım konusudur.

Kişisel Verilerin Kaydedilmesi Hakkında Sık Sorulan Sorular

Kurumsal veri ihlali, çalışan kaynaklı veri sızıntısı veya dijital delil incelemesi gerektiren dosyalarda idari ve cezai süreçlerin birlikte yönetilmesi gerekir. Bu konudaki çalışma yöntemimiz için bilişim hukuku sayfamıza göz atabilirsiniz.

Yazar hakkında

Av. Ahmet Gökhan Mutlu

Ankara Barosuna kayıtlı avukat (Sicil No: 19638), Çankaya Üniversitesi Hukuk Fakültesi 2006 mezunu. Ceza uzlaştırmacısıdır; Adalet Bakanlığı arabulucu siciline ve TÜRKPATENT marka vekilliği siciline kayıtlıdır. Ankara Barosu CMK Merkezi, Bilişim Kurulu ve Fikri Mülkiyet ve Rekabet Kurulu üyesidir.

Bu yazı 27 Eylül 2026 tarihinde yürürlükteki mevzuata göre gözden geçirilmiştir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki mütalaa niteliği taşımaz. Somut olayda suç tarihi, deliller ve güncel mevzuat birlikte değerlendirilmelidir.