Verileri Yok Etmeme Suçu ve Cezası (TCK 138): Kim Sorumlu, Saklama Süresi ve İmha

Kanunların belirlediği süre geçtiği hâlde verileri sistem içinde yok etmekle yükümlü olup bu görevi yerine getirmeyen kişi, TCK 138’deki verileri yok etmeme suçunu işler. Cezası 1–2 yıl hapistir. Veri CMK’ya göre yok edilmesi gereken bir kayıtsa ceza 2–4 yıla çıkar. KVKK 17/2 de kişisel verileri silmeyen veya anonim hâle getirmeyenleri bu hükme yönlendirir.

Bir şirketin sunucusunda beş yıl önce işe alınmayan adayların özgeçmişleri hâlâ duruyorsa, sorun yalnızca KVKK uyumu değildir. Belirli koşullarda bu tablo bir ceza soruşturmasına da dönüşebilir. Sorumluluğun kime ait olduğu ise kurum içindeki görev dağılımına bağlıdır.

Verileri Yok Etmeme Suçu Nedir, Şartları Nelerdir?

Bu suç bir şey yapmamakla, yani ihmali davranışla (kanunun beklediği bir hareketin yapılmaması) işlenir. Kanun belirli kişilere, verileri belli bir süre sonunda yok etme görevi yükler. Bu görevin kasten yerine getirilmemesi suçu oluşturur. Amaç, artık tutulmaması gereken verinin sistemde kalmasıyla doğan mahremiyet riskini önlemektir.

Suçun oluşması için üç şart birlikte aranır:

• Kanunla belirlenmiş bir saklama süresi olmalı ve bu süre geçmiş olmalıdır.
• Fail, verileri yok etmekle yükümlü bir kişi olmalıdır.
• Fail bu görevi yerine getirmemiş olmalıdır.

Maddedeki “sistem içinde” ifadesi, verilerin bir kayıt veya bilişim sisteminde tutulduğuna işaret eder.

Fail herkes olamaz. Yalnızca yok etme yükümlülüğü taşıyan kişi fail olabileceğinden suç özgü suç (yalnızca belirli niteliği taşıyan kişilerce işlenebilen suç) niteliğindedir. Kurumda bu görev bilgi işlem sorumlusuna, arşiv yöneticisine veya ilgili kamu görevlisine verilmişse sorumluluk da ona yönelir. Suçun taksirli hâli düzenlenmemiştir.

TCK 138 Cezası Ne Kadar?

Birinci fıkradaki ceza, 21 Şubat 2014 tarihli 6526 sayılı Kanunla “altı aydan bir yıla kadar hapis” yerine “bir yıldan iki yıla kadar hapis” olarak artırılmıştır. İkinci fıkra da aynı Kanunla eklenmiştir. 2024–2026 döneminde çıkan değişiklik kanunları TCK 138’e dokunmamıştır. 2014 öncesine uzanan ihmallerde lehe kanun (TCK 7/2) karşılaştırması yapılmalıdır.

TCK 137’deki nitelikli haller “yukarıdaki maddelerde” tanımlanan suçlara uygulanır. TCK 138 bu maddeden sonra geldiği için yarı oranındaki artırımın dışındadır. Kamu görevlisi olan bir failin durumu, ikinci fıkra ve genel hükümler çerçevesinde değerlendirilir. Artırımın kapsamı TCK 137’deki nitelikli haller yazımızda anlatılmıştır.

Hükmedilen ceza iki yıl veya daha azsa ertelenebilir (TCK 51); bir yıl veya daha azsa seçenek yaptırımlara çevrilebilir (TCK 50). Birinci fıkradaki ceza aralığı nedeniyle bu kurumlar uygulamada sık tartışılır.

CMK’ya Göre Yok Edilmesi Gereken Kayıtlar (TCK 138/2)

Ceza Muhakemesi Kanunu, soruşturma ve kovuşturma sırasında elde edilen bazı kayıtların belirli koşullarda yok edilmesini emreder. Bu kayıtların yok edilmemesi cezayı bir kat artırır. Başlıca örnekler şunlardır:

• CMK 81/2: Kimlik tespiti için alınan fotoğraf, parmak izi ve benzeri kayıtlar; kovuşturmaya yer olmadığı kararına itiraz süresinin dolması veya itirazın reddi, beraat ya da ceza verilmesine yer olmadığı kararının kesinleşmesi hâlinde derhâl yok edilir.
• CMK 135/3: Şüpheli veya sanığın tanıklıktan çekinebilecek kişilerle iletişiminin kayda alındığı sonradan anlaşılırsa kayıtlar derhâl yok edilir.
• CMK 137/3: Kovuşturmaya yer olmadığı kararı verilmesi veya hâkim onayının alınamaması hâlinde dinleme kayıtları savcı denetiminde en geç on gün içinde yok edilir; 7331 sayılı Kanunla eklenen cümleye göre beraat kararı verilmesi hâlinde de kayıtlar hâkim denetimi altında aynı usulle yok edilir.
• CMK 140/4: Teknik araçlarla izleme sonucu elde edilen deliller, ceza kovuşturması bakımından gerekli değilse savcının gözetiminde derhâl yok edilir.

Bu kayıtların önemli bir kısmı iletişimin denetlenmesi ve teknik izleme gibi gizli tedbirlerle elde edilir. Yok etme yükümlülüğü, bu tedbirlerin özel hayata etkisini sınırlayan bir güvencedir. Kayıtların hukuka aykırı biçimde başkasına verilmesi ise ayrıca verileri hukuka aykırı verme veya ele geçirme suçu kapsamında değerlendirilir.

KVKK’da Saklama Süresi ve Periyodik İmha

KVKK 7/1’e göre kanuna uygun işlenmiş olsa bile işlenmesini gerektiren sebepler ortadan kalkınca kişisel veriler resen veya ilgili kişinin talebiyle silinir, yok edilir ya da anonim hâle getirilir. KVKK 4/2-d de verilerin mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesini temel ilke olarak sayar. Saklama süresi bu iki hükmün kesiştiği yerde belirlenir.

Uygulama esasları, 28 Ekim 2017 tarihli ve 30224 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’te düzenlenmiştir. Veri Sorumluları Siciline kayıt yükümlüsü olan veri sorumluları, kişisel veri saklama ve imha politikası hazırlamak zorundadır (Yönetmelik m. 5/1).

Politikanın hazırlanmış olması, verilerin kurala uygun saklandığı veya yok edildiği anlamına gelmez (Yönetmelik m. 5/2).

Kurul, telafisi güç zarar ve açık hukuka aykırılık hâlinde bu süreleri kısaltabilir (m. 11/4). Periyodik imha takviminin kâğıt üzerinde kalmayıp fiilen uygulanması, hem idari hem cezai risk açısından belirleyicidir.

Silme, Yok Etme ve Anonimleştirme Arasındaki Fark

Üç kavram günlük dilde birbirinin yerine kullanılsa da Yönetmelik bunları ayırır.

Silme, verinin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir (m. 8). Yok etme, verinin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesidir (m. 9). Anonim hâle getirme ise verinin başka verilerle eşleştirilse bile bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir (KVKK 3/1-b, Yönetmelik m. 10).

Örneğin, bir dosyayı masaüstündeki çöp kutusuna taşımak çoğu zaman ne silme ne de yok etme sayılır; veri geri getirilebilir. Yedekleme sistemlerinde kalan kopyalar da ayrıca ele alınmalıdır; ana sistemden silinen bir veri, yedek sunucuda saklama süresini aşarak durmaya devam edebilir ve imha planına bu kopyaların da dahil edilmesi gerekir. Ceza soruşturmasında “verileri yok etmedim ama sildim” savunması, bu ayrım üzerinden değerlendirilir.

Yasal Saklama Yükümlülüğü Varsa Verileri Yok Etmeme Suç mu?

Kural olarak suç değildir. TCK 138, “kanunların belirlediği sürelerin geçmiş olmasına karşın” yok etmemeyi cezalandırır. Başka bir kanun verinin belirli bir süre saklanmasını zorunlu kılıyorsa, o süre dolmadan verinin tutulması hukuka uygundur. KVKK 7/2 de silme ve yok etmeye ilişkin diğer kanunlardaki hükümleri saklı tutar.

Ticari defter ve belgeler, vergi kayıtları, iş ve sosyal güvenlik kayıtları ile sağlık kayıtları gibi pek çok veri türü için özel mevzuatta saklama yükümlülükleri vardır. Veri sorumlusu her veri kategorisi için bu yükümlülükleri gözeterek ayrı bir saklama süresi belirlemelidir. Süre dolduktan sonra verinin hâlâ sistemde tutulması ise yok etme yükümlülüğünün ihlali anlamına gelebilir.

Örneğin, işe alım sürecinde toplanan ve işe alınmayan adaylara ait özgeçmişler, süreç tamamlanınca işlenme amacını kaybedebilir. Politikada belirlenen süre sonunda imha edilmemeleri önce KVKK bakımından idari bir ihlaldir. Yok etme görevinin belli bir çalışana verilmiş olması ve bu kişinin görevi bilerek yerine getirmemesi hâlinde ceza sorumluluğu da tartışılabilir.

Uygulamada Riskin Yoğunlaştığı Alanlar

Verileri yok etmeme iddiaları çoğu zaman büyük bir sızıntıyla değil, sıradan bir denetim ya da bir kişinin silme talebiyle ortaya çıkar. Aşağıdaki anonim örnekler, sorunun en sık görüldüğü alanları gösterir.

• Güvenlik kamerası kayıtları: Bir sitenin kamera sistemi, politikada belirlenen süreyi aşarak aylarca kayıt tutar. Görüntüler bir apartman sakininin özel yaşamına ilişkinse özel hayatın gizliliğini ihlal tartışması da doğabilir.
• Ayrılan çalışan dosyaları: Yasal saklama süresi dolan personel dosyaları, imha takvimine alınmadan arşivde kalır.
• Çağrı merkezi ses kayıtları: Müşteri görüşmeleri, amaç ortadan kalktıktan sonra da yedekleme sunucularında tutulur.
• Kimlik tespit kayıtları: Beraatle sonuçlanan bir dosyada CMK 81/2’ye göre derhâl yok edilmesi gereken parmak izi ve fotoğraf kayıtları sistemde kalır. Bu durum TCK 138/2’deki artırılmış cezayı gündeme getirir.

Bu örneklerin ortak noktası, yok etme görevinin kime ait olduğunun belirsiz kalmasıdır. Verileri yok etmeme suçunda ceza sorumluluğu yükümlü kişiye yöneldiğinden, kurum içi görev dağılımının yazılı olarak belirlenmesi hem kurumu hem de çalışanı korur. Görev tanımı olmayan bir çalışanın, yalnızca sisteme erişimi olduğu için bu suçun faili sayılması güçtür.

Savunmada en çok tartışılan konular da buna bağlıdır: yükümlülüğün hangi kanundan doğduğu, süre dolduğunda failin görevde olup olmadığı, imha için gerekli teknik imkân ve talimatın verilip verilmediği ve ihmalin kasten mi yoksa bir sistem hatasından mı kaynaklandığı. Taksirli hâl düzenlenmediğinden, kastın bulunmadığı durumlarda suç oluşmaz; ancak veri sorumlusunun idari sorumluluğu devam edebilir.

Verileri Yok Etmeme Suçunda Şikayet, Uzlaşma ve Zamanaşımı

TCK 139, verileri yok etmeme suçunu şikayet şartının dışında tutar. Savcılık suçu öğrendiğinde resen soruşturur; ilgili kişinin vazgeçmesi soruşturmayı sona erdirmez. Bu ayrım özel hayat suçlarında şikayet usulü yazımızda ayrıntılı olarak ele alınmıştır.

Suç CMK 253/1-b’deki uzlaştırma listesinde yer almaz. Adli süreçteki çocuklara ilişkin CMK 253/1-c ise üst sınırı üç yılı geçmeyen suçlar için öngörüldüğünden birinci fıkra bakımından ayrıca değerlendirilebilir. İhmali niteliği gereği zamanaşımının başlangıç anı somut olayda ayrıca tartışılabilir.

Hükme karşı istinaf ve temyiz süresi, gerekçeli hükmün tebliğinden itibaren iki haftadır (CMK 273/1, 291/1). Hükmün açıklanmasının geri bırakılmasını düzenleyen CMK 231’in 5–14. fıkraları, 16.07.2026 tarihli 7589 sayılı Kanunla (RG 31.07.2026) yeniden yazıldı; Anayasa Mahkemesinin önceki metne ilişkin iptal kararı (E.2024/98, K.2025/149) ise 30.09.2026’da yürürlüğe giriyor. Bu tarihten sonra rejim değişebileceğinden HAGB ihtimali somut dosyada güncel metin üzerinden kontrol edilmelidir.

KVKK Başvurusu ve Kurul Süreci

Verilerin silinmemesi idari ve cezai sonuç doğurabilir; iki yol farklı işler. İlgili kişi KVKK 11/1-e uyarınca verilerinin silinmesini veya yok edilmesini isteyebilir. Başvuru önce veri sorumlusuna yapılır ve en geç otuz gün içinde sonuçlandırılır (KVKK 13/2). Başvuru reddedilir veya yanıtsız kalırsa otuz gün ve her hâlde başvurudan itibaren altmış gün içinde Kurul’a şikayet edilebilir (KVKK 14/1).

Kurul, inceleme sonunda hukuka aykırılığın giderilmesine karar verebilir (KVKK 15/5); bu kararın yerine getirilmemesi KVKK 18/1-c kapsamında idari para cezası gerektirir. 7499 sayılı Kanunla 1 Haziran 2024’ten itibaren Kurul’un idari para cezalarına karşı idare mahkemesinde dava açılır. Ceza yolu ise yükümlü gerçek kişiye yönelir; tüzel kişiye hapis cezası verilemez, TCK 140 uyarınca yalnızca güvenlik tedbirleri uygulanabilir.

Verilerin hukuka aykırı olarak tutulmaya devam etmesi, ileride başkasına verilme riskini de artırır. Baştan hukuka aykırı bir kayıt varsa kişisel verilerin kaydedilmesi suçu da değerlendirilir. Sistemdeki verilerin yetkisiz biçimde silinmesi ise tersine bir sorun yaratır ve bilişim suçları arasında yer alan verileri yok etme (TCK 244/2) gündeme gelebilir. Bölümün tamamı için özel hayata karşı suçlar (TCK 132–140) rehberimize bakılabilir.

Verileri Yok Etmeme Hakkında Sık Sorulan Sorular

Yazar hakkında

Av. Ahmet Gökhan Mutlu

Ankara Barosuna kayıtlı avukat (Sicil No: 19638), Çankaya Üniversitesi Hukuk Fakültesi 2006 mezunu. Ceza uzlaştırmacısıdır; Adalet Bakanlığı arabulucu siciline ve TÜRKPATENT marka vekilliği siciline kayıtlıdır. Ankara Barosu CMK Merkezi, Bilişim Kurulu ve Fikri Mülkiyet ve Rekabet Kurulu üyesidir.

Bu yazı 27 Eylül 2026 tarihinde yürürlükteki mevzuata göre gözden geçirilmiştir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki mütalaa niteliği taşımaz. Somut olayda suç tarihi, deliller ve güncel mevzuat birlikte değerlendirilmelidir.