Verileri Ele Geçirme, Verme ve Yayma Suçu (TCK 136): Cezası, Şartları ve Veri İhlali

TCK 136’daki verileri ele geçirme suçu, kişisel verilerin hukuka aykırı olarak başkasına verilmesi, yayılması ya da hakkı olmadan elde edilmesiyle oluşur. Cezası 2–4 yıl hapistir. Suçun konusu CMK 236/5-6 uyarınca kaydedilen mağdur beyan ve görüntüleriyse ceza 4–8 yıla çıkar. Suç resen soruşturulur ve şikayetten vazgeçme davayı düşürmez.

“Ben sadece indirdim, kimseye göndermedim” savunması, internette satılan bir kişi listesiyle yakalanan birinin dosyasında sık duyulur. Kanun bakımından ise bu davranış çoğu zaman ele geçirme hareketinin ta kendisidir. Verinin başkasına iletilmesi veya satılması da ayrıca verme ya da yayma olarak değerlendirilir.

Verileri Ele Geçirme Suçu Nedir, Hangi Hareketlerle İşlenir?

Madde üç seçimlik hareket (herhangi birinin yapılmasının suç için yeterli olduğu alternatif davranışlar) sayar: kişisel verileri hukuka aykırı olarak başkasına vermek, yaymak veya ele geçirmek. Üçünün birlikte yapılması gerekmez. Kişisel veri ise KVKK 3/1-d’ye göre kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Verme, verinin belirli bir kişiye veya sınırlı bir gruba iletilmesidir. Müşteri listesinin rakip firmaya e-postayla gönderilmesi buna örnektir. Yayma, verinin belirsiz sayıda kişinin ulaşabileceği biçimde dağıtılmasıdır; bir kişinin kimlik kartı fotoğrafının sosyal medyada paylaşılması gibi.

Ele geçirme ise failin, hakkı olmadığı hâlde veriyi kendi hâkimiyet alanına almasıdır. Sızdırılmış bir veri tabanını satın almak, başkasının hesabından bilgileri indirmek ya da iş yerindeki bir dosyayı fotoğraflayıp saklamak bu kapsamda değerlendirilebilir.

Suç kasten işlenir; taksirli hâli yoktur. Fail herkes olabilir, mağdur ise verisi verilen, yayılan veya ele geçirilen gerçek kişidir. Aynı suçun tek fiille birden fazla kişiye karşı işlenmesi, TCK 43/2 uyarınca zincirleme suç hükümlerinin uygulanmasına yol açabilir.

TCK 136 Cezası Ne Kadar?

Birinci fıkradaki alt sınır, 21 Şubat 2014 tarihli 6526 sayılı Kanunla “bir yıldan” ibaresi yerine “iki yıldan” olarak değiştirilmiştir. İkinci fıkra 17 Ekim 2019 tarihli 7188 sayılı Kanunla eklenmiştir. 2024–2026 döneminde çıkan değişiklik kanunları TCK 136’ya dokunmamıştır.

2014 öncesine uzanan fiillerde lehe kanun (TCK 7/2) karşılaştırması yapılmalıdır. Maddede seçimlik adli para cezası öngörülmemiştir; yaptırım yalnızca hapis cezasıdır ve alt sınır iki yıl olduğundan kısa süreli hapis cezasına özgü seçenek yaptırımlara çevirme ihtimali oldukça dardır.

İkinci fıkranın konusu özel bir veri grubudur. CMK 236/5, TCK 103/2’deki suçların mağduru olan çocukların soruşturma evresindeki beyanlarının uzmanlar aracılığıyla alınmasını ve beyan ile görüntülerin kayda alınmasını düzenler. CMK 236/6 aynı usulü TCK 102/2’deki suçların mağdurlarına, kayıt için rızalarını arayarak uygular.

CMK 236/7’ye göre bu kayıtlar dava dosyasında saklanır, kimseye verilmez ve gizliliği için gerekli tedbirler alınır. Bu kayıtlar üzerinden işlenen verileri ele geçirme veya yayma fiili, ağırlaştırılmış cezaya bağlanmıştır. Konunun arka planı için çocukların cinsel istismarı suçu yazımıza bakılabilir.

Verileri Ele Geçirme ile TCK 135 ve Bilişim Suçları Nasıl Ayrılır?

TCK 135 verinin kaydedilmesini, TCK 136 ise verinin başkasına geçmesini veya hukuka aykırı olarak elde edilmesini cezalandırır. Veriyi önce hukuka aykırı kaydedip sonra satan kişi bakımından her iki fiil ayrı ayrı değerlendirilebilir. Kayıt aşaması kişisel verilerin kaydedilmesi suçu (TCK 135) yazımızda anlatılmıştır.

Veriler bir bilişim sistemine izinsiz girilerek alınmışsa bilişim sistemine girme (TCK 243/1) da gündeme gelir. Sisteme girmeden veri nakillerinin teknik araçlarla hukuka aykırı izlenmesi TCK 243/4’te, sistemdeki verilerin başka bir yere gönderilmesi ise TCK 244/2’de ayrıca düzenlenmiştir. Hangi hükmün uygulanacağı fiilin biçimine göre belirlenir; ayrıntılar bilişim suçları ve cezaları yazımızdadır.

Ele geçirilen kimlik bilgileri, kişinin kendi hakkındaki soruşturmayı engellemek için kullanılırsa başkasına ait kimlik bilgilerinin kullanılması suçu (TCK 268) ayrıca değerlendirilir. Paylaşılan içerik özel yaşam görüntüsü içeriyorsa TCK 134/2’deki ifşa hükmü de devreye girebilir.

Suçun Şartı: Veri Paylaşımı Ne Zaman Hukuka Uygundur?

Suçun oluşması için verme, yayma veya ele geçirmenin hukuka aykırı olması gerekir. KVKK 8/1’e göre kişisel veriler ilgili kişinin açık rızası olmadan aktarılamaz. KVKK 8/2 ise KVKK 5/2’deki şartlardan birinin ya da yeterli önlemler alınmak kaydıyla KVKK 6/3’teki şartlardan birinin varlığında açık rıza aranmadan aktarıma izin verir.

Örneğin, işverenin çalışan bilgilerini yasal yükümlülüğü gereği sosyal güvenlik kurumuna bildirmesi, teslimat adresinin sözleşmenin ifası için kargo firmasına verilmesi veya bir belgenin mahkeme kararı üzerine yargı makamına sunulması kural olarak hukuka aykırı değildir. Bir banka ya da operatör çalışanının müşteri bilgilerini dayanaksız biçimde üçüncü kişiye aktarması ise suç oluşturabilir.

KVKK 12/4, veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri kanuna aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını söyler. Bu yükümlülük görevden ayrıldıktan sonra da sürer. Eski bir çalışanın ayrıldıktan sonra müşteri verilerini kullanması bu nedenle ayrıca değerlendirme konusu olur.

Uygulamadan Örnekler

Verileri ele geçirme dosyaları çoğunlukla iş yerlerinde, kamu kurumlarının sorgu ekranlarında ve sosyal medyada ortaya çıkar. Aşağıdaki anonim örnekler, hareketlerin nasıl ayrıştığını gösterir.

• Bir e-ticaret şirketinin çağrı merkezi çalışanı, sipariş ekranından gördüğü müşteri adreslerini bir tabloya aktarıp dışarıdaki bir tanıdığına gönderir. Tabloya aktarım TCK 135, gönderim TCK 136 kapsamında “verme” olarak tartışılır.
• Bir sosyal medya hesabı, tartıştığı kişinin açık adresini ve telefon numarasını herkese açık biçimde paylaşır. Burada “yayma” hareketi öne çıkar; paylaşım tehdit içeriyorsa ayrıca başka suçlar gündeme gelir.
• Bir kişi, bir forumda satılan ve binlerce kişinin kimlik bilgisini içeren dosyayı satın alıp bilgisayarına indirir. Bu durum “ele geçirme” olarak değerlendirilebilir.
• Bir kurum personeli, görevi gerektirmediği hâlde eski eşinin yeni adresini sistemden sorgulayıp üçüncü bir kişiye verir. Verileri ele geçirme ve verme hareketlerine TCK 137/1-a artırımı eklenir.

Şüpheli Açısından Sık Tartışılan Konular

Resen soruşturulan bir suç olduğundan savunma, dosyanın başından itibaren delil ve hukuka uygunluk üzerine kurulur. Uygulamada en çok şu sorular tartışılır.

Hukuka uygunluk dayanağı: Aktarımın KVKK 5/2 veya 8/2’deki bir şarta dayanıp dayanmadığı ilk incelenecek konudur. Sözleşmenin ifası veya hukuki yükümlülük gereği yapılan paylaşım suç oluşturmaz. İlgili kişinin kendisinin alenileştirdiği veriler de KVKK 5/2-d kapsamında ayrıca değerlendirilir; ancak alenileştirme, verinin her amaçla yayılabileceği anlamına gelmez.

Kast: Suç ancak kasten işlenebilir. Yanlış kişiye giden bir e-posta gibi taksirli bir hata, TCK 136’yı oluşturmaz; ancak veri sorumlusu açısından KVKK 12 kapsamındaki güvenlik yükümlülüğünü gündeme getirebilir.

Delil: Sistem kayıtlarının kime ait kullanıcı hesabıyla oluştuğu, hesabın başkaları tarafından kullanılıp kullanılmadığı ve dijital delillerin hukuka uygun elde edilip edilmediği (CMK 206/2-a, 217/2) dosyanın sonucunu doğrudan etkiler.

Kamu Görevlisi ve Meslek Mensupları: TCK 137 Artırımı

Suç kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artar. Kurum sisteminden sorguladığı adres bilgisini bir tanıdığına veren görevli ya da hasta bilgilerini paylaşan sağlık çalışanı bu kapsamda değerlendirilebilir. Ayrıntılar veri suçlarında nitelikli haller (TCK 137) yazımızdadır.

TCK 136/2 ile 137 birlikte uygulandığında hükmedilebilecek cezanın üst sınırı on iki yıla çıkar. Ancak mahkemenin görevi belirlenirken ağırlaştırıcı veya hafifletici nedenler gözetilmez, kanunda yer alan suçun cezasının üst sınırı esas alınır (5235 s. Kanun m. 14). Bu nedenle bu oransal artırımlar görevli mahkemeyi değiştirmez; dava kural olarak asliye ceza mahkemesinde görülür.

Görevi sebebiyle suç işlediği ileri sürülen memur ve kamu görevlileri bakımından 4483 sayılı Kanun uyarınca soruşturma izni gerekip gerekmediği de ayrıca incelenir; konu kamu görevlilerinin yargılanması ve soruşturma izni yazımızda anlatılmıştır.

Verileri Ele Geçirme Suçunda Şikayet, Uzlaşma ve Zamanaşımı

TCK 139, verileri hukuka aykırı olarak verme veya ele geçirme suçunu şikayet şartının dışında tutar. Savcılık suçu öğrendiğinde resen soruşturma başlatır; mağdurun vazgeçmesi soruşturmayı veya davayı sona erdirmez. Bölümdeki şikayet kuralları özel hayat suçlarında şikayet usulü yazımızda karşılaştırmalı olarak ele alınmıştır.

Suç CMK 253/1-b’deki uzlaştırma listesinde yoktur ve şikayete bağlı olmadığından 253/1-a kapsamına da girmez. Üst sınırı üç yılı aştığı için adli süreçteki çocuklara ilişkin CMK 253/1-c de uygulanmaz. Önödeme ise hapis cezasının üst sınırı altı ayı aştığından söz konusu değildir.

Hükmün açıklanmasının geri bırakılmasını düzenleyen CMK 231’in 5–14. fıkraları, 16.07.2026 tarihli 7589 sayılı Kanunla (RG 31.07.2026) yeniden yazıldı; Anayasa Mahkemesinin önceki metne ilişkin iptal kararı (E.2024/98, K.2025/149) ise 30.09.2026’da yürürlüğe giriyor. Bu tarihten sonra rejim değişebileceğinden HAGB ihtimali somut dosyada güncel metin üzerinden kontrol edilmelidir. Hükme karşı istinaf ve temyiz süresi, gerekçeli hükmün tebliğinden itibaren iki haftadır (CMK 273/1, 291/1).

Veri İhlali, KVKK Bildirimi ve Ceza Soruşturması

Bir şirketin sistemlerinden verilerin sızması, yani veri ihlali, iki ayrı süreci başlatabilir. KVKK 12/5’e göre işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bunu en kısa sürede ilgilisine ve Kurul’a bildirir. Veri güvenliği tedbirlerinin alınmaması ise KVKK 18/1-b uyarınca idari para cezası gerektirir.

Bu iki süreç farklı kişilere yönelir. Kurul, veri sorumlusu şirketin tedbir eksikliğini inceler; 1 Haziran 2024’ten beri Kurul cezalarına karşı idare mahkemesinde dava açılır (KVKK 18/3). Ceza soruşturması ise verileri ele geçiren, satan veya yayan gerçek kişilere yönelir. Şirkete hapis cezası verilemez (TCK 20/2); TCK 140 uyarınca yalnızca güvenlik tedbirleri uygulanabilir.

1. İlk müdahale: Sızıntı kaynağı kapatılır, erişim ve sistem kayıtları (log) korunur.
2. Bildirim: İlgili kişilere ve Kurul’a KVKK 12/5 kapsamında bildirim yapılır.
3. Suç duyurusu: Verileri ele geçiren veya yayanlar hakkında başsavcılığa başvurulur (CMK 158).
4. Soruşturma: Bilgisayar ve kütüklerde arama hâkim kararıyla, gecikmesinde sakınca bulunan hâlde savcı kararıyla yapılır (CMK 134/1; Anayasa Mahkemesinin bu maddeye ilişkin 12.02.2026 tarihli, E.2023/128, K.2026/36 sayılı iptal kararı 25.02.2027’de yürürlüğe girecektir).

Mağdurun da bu süreçte hakları vardır. Verileri ele geçirilen kişi soruşturmada delil toplanmasını isteyebilir, kovuşturmada davaya katılabilir (CMK 234, 237). Kişilik hakkı ihlal edilenlerin genel hükümlere göre tazminat hakkı da saklıdır (KVKK 14/3). Bir veri ihlali sonrası hem ceza hem tazminat yolunun birlikte düşünülmesi bu yüzden yaygındır.

Verileri Ele Geçirme Hakkında Sık Sorulan Sorular

Yazar hakkında

Av. Ahmet Gökhan Mutlu

Ankara Barosuna kayıtlı avukat (Sicil No: 19638), Çankaya Üniversitesi Hukuk Fakültesi 2006 mezunu. Ceza uzlaştırmacısıdır; Adalet Bakanlığı arabulucu siciline ve TÜRKPATENT marka vekilliği siciline kayıtlıdır. Ankara Barosu CMK Merkezi, Bilişim Kurulu ve Fikri Mülkiyet ve Rekabet Kurulu üyesidir.

Bu yazı 27 Eylül 2026 tarihinde yürürlükteki mevzuata göre gözden geçirilmiştir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki mütalaa niteliği taşımaz. Somut olayda suç tarihi, deliller ve güncel mevzuat birlikte değerlendirilmelidir.