Tarihi: 11.12.2025 

Yayınlanma Tarihi: 12.12.2025

YARGI KARARLARINDA NELER VAR? 

I. Genel Olarak TCK'da Düzenlenen Kişisel Veri Suçları

5237 sayılı Türk Ceza Kanunu (TCK), kişisel verilere ilişkin suçları "Özel Hayata ve Hayatın Gizli Alanına Karşı Suçlar" bölümünde düzenlemiştir. TCK'nın 135. maddesi "Kişisel verilerin kaydedilmesi" suçunu, 136. maddesi ise "Verileri hukuka aykırı olarak verme veya ele geçirme" suçunu tanımlamaktadır. Bu iki suç, birbirinden bağımsız olarak düzenlenmiştir (Yargıtay 12. Ceza Dairesi, 2014/2517 E., 2014/7901 K., 31.03.2014).

TCK'nın 136/1. maddesi, "Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi" için hapis cezası öngörmektedir. Bu suç, seçimlik hareketli bir suç olup, "verme", "yayma" veya "ele geçirme" fiillerinden birinin işlenmesiyle tamamlanır ve soyut bir tehlike suçu niteliğindedir (Yargıtay Ceza Genel Kurulu, 2012/1514 E., 2014/312 K., 10.06.2014).

Ayrıca, bu suçların kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi, TCK'nın 137. maddesinde cezanın artırılmasını gerektiren nitelikli hal olarak düzenlenmiştir (Sakarya Bölge Adliye Mahkemesi 3. Ceza Dairesi, 2019/2492 E., 2020/634 K., 04.03.2020).

İkincil kaynak olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 17. maddesi, kişisel verilere ilişkin suçlar bakımından TCK'nın 135 ila 140. madde hükümlerinin uygulanacağını belirtmektedir (KVKK, 2018/156, 24.12.2018; Anayasa Mahkemesi, 2014/5671, 07.06.2018).

II. "Kişisel Veri" Kavramının Tanımı ve Kapsamı

Yargı kararlarında, TCK'da düzenlenen kişisel veri suçlarının maddi konusunu oluşturan "kişisel veri" kavramı geniş bir şekilde tanımlanmaktadır. Bu tanıma göre kişisel veri; "kişinin, yetkisiz üçüncü kişilerin bilgisine sunmadığı, istediğinde başka kişilere açıklayarak ancak sınırlı bir çevre ile paylaştığı nüfus bilgileri (T.C. kimlik numarası, adı, soyadı, doğum yeri ve tarihi, anne ve baba adı gibi), adli sicil kaydı, yerleşim yeri, eğitim durumu, mesleği, banka hesap bilgileri, telefon numarası, elektronik posta adresi, kan grubu, medeni hali, parmak izi, DNA'sı, saç, tükürük, tırnak gibi biyolojik örnekleri, cinsel ve ahlaki eğilimi, sağlık bilgileri, etnik kökeni, siyasi, felsefi ve dini görüşü, sendikal bağlantıları gibi kişinin kimliğini belirleyen veya belirlenebilir kılan, kişiyi toplumda yer alan diğer bireylerden ayıran ve onun niteliklerini ortaya koymaya elverişli, gerçek kişiye ait her türlü bilgi" olarak kabul edilmektedir (Yargıtay 12. Ceza Dairesi, 2012/16909 E., 2012/18226 K., 11.09.2012; Yargıtay 12. Ceza Dairesi, 2022/1745 E., 2022/5271 K., 29.06.2022). TCK'nın 135. maddesinin gerekçesinde de "Gerçek kişiyle ilgili her türlü bilgi, kişisel veri olarak kabul edilmelidir" ifadesi yer almaktadır (Yargıtay Ceza Genel Kurulu, 2012/1510 E., 2014/331 K., 17.06.2014).

Başlangıçta bazı kararlarda, "herkes tarafından bilinen ve/veya kolaylıkla ulaşılması ve bilinmesi mümkün olan kişisel bilgilerin, TCK'nın 136. maddesi kapsamında 'kişisel veri' olarak değerlendirilemeyeceği" belirtilmişse de (Yargıtay 12. Ceza Dairesi, 2013/15369 E., 2014/5121 K., 03.03.2014), Yargıtay Ceza Genel Kurulu'nun sonraki içtihatları bu görüşü değiştirmiştir. Güncel içtihada göre, "herkes tarafından bilinen ve/veya kolaylıkla ulaşılması ve bilinmesi mümkün olan kişisel bilgiler de, yasal anlamda 'kişisel veri' olarak kabul edilmektedir" (Yargıtay 12. Ceza Dairesi, 2019/3534 E., 2019/5452 K., 24.04.2019; Yargıtay 12. Ceza Dairesi, 2016/9759 E., 2017/10938 K., 26.12.2017). Kişisel verilerin mutlaka gizli olması zorunlu değildir; korunan hukuki değer "sır" olmayıp, verinin ilgilisi olan kişinin kişilik haklarıdır (Yargıtay Ceza Genel Kurulu, 2017/829 E., 2017/363 K., 04.07.2017).

III. Suçun Maddi Unsurları ve Seçimlik Hareketler

TCK'nın 136. maddesinde düzenlenen suçun oluşabilmesi için kişisel verilerin "verilmesi", "yayılması" veya "ele geçirilmesi" gerekmektedir.

• Verme: Kişisel verilerin bir başkasına eriştirilmesidir. Bu, elden, posta yoluyla veya internet üzerinden olabilir (Yargıtay Ceza Genel Kurulu, 2019/258 E., 2024/109 K., 06.03.2024).
• Yayma: Kişisel verilerin birçok kimseye duyurulmasıdır. İnternet sitesinde yayınlama, e-posta veya SMS gönderme gibi yollarla gerçekleşebilir (Yargıtay Ceza Genel Kurulu, 2017/829 E., 2017/363 K., 04.07.2017). Örneğin, bir kişinin adını ve telefon numarasını Facebook'ta "Alın size kaliteli o...su" şeklinde paylaşmak, yayma suçunu oluşturur (Yargıtay Ceza Genel Kurulu, 2018/611 E., 2022/784 K., 08.12.2022).
• Ele Geçirme: Başkasının hâkimiyeti altındaki verinin failin hâkimiyetine alınmasıdır. Bu, verilerin üzerinde yazılı olduğu belgenin alınması veya kaydedilmiş haliyle başka bir nesneye (örneğin taşınabilir bellek) aktarılması şeklinde olabilir (Yargıtay 12. Ceza Dairesi, 2017/3928 E., 2018/3190 K., 21.03.2018).

Suçun oluşumu için kişisel verilerin "kaydedilmiş halde bulunması" ve bu kaydedilmiş haliyle başkalarına verilmesi, yayılması ya da ele geçirilmesi şarttır. Kişisel verilerin kaydedilmeden önce öğrenilmesi, hafızada tutulan verilerin başkalarına açıklanması veya verilere salt duyu organları aracılığıyla vakıf olunması, TCK'nın 136. maddesi kapsamında değil, TCK'nın 134/1. maddesinde düzenlenen özel hayatın gizliliğini ihlal suçu kapsamında değerlendirilebilir (Yargıtay 12. Ceza Dairesi, 2015/10737 E., 2016/13557 K., 21.12.2016). Bu doğrultuda, hastane bilgi sisteminden mağdurun muayene bilgilerini okuyup başkalarına anlatma eylemi, veriler kaydedilmiş haliyle ele geçirilmediği için TCK 136/1 değil, TCK 134/1 suçu olarak kabul edilmiştir (Yargıtay 12. Ceza Dairesi, 2014/3107 E., 2014/20959 K., 27.10.2014).

IV. Suçun Manevi Unsuru ve Hukuka Aykırılık

Kişisel verilere ilişkin suçlar genel kastla işlenir. Failin eylemiyle hukuka aykırı hareket ettiğini bilmesi ya da bilebilecek durumda olması gerekmektedir (Yargıtay 12. Ceza Dairesi, 2012/16909 E., 2012/18226 K., 11.09.2012). Bu nedenle mahkemeler, somut olayın özelliklerini titizlikle değerlendirmeli ve olayda herhangi bir hukuk dalı tarafından kabul edilebilecek bir hukuka uygunluk nedeninin (örneğin kanun hükmünü yerine getirme, hakkın kullanılması, ilgilinin rızası) bulunup bulunmadığını saptamalıdır (Yargıtay Ceza Genel Kurulu, 2012/1514 E., 2014/312 K., 10.06.2014; Anayasa Mahkemesi, 30.04.2025).

Örneğin, bir sanığın katılana ait adli sicil kaydını yayımlarken haber verme hakkı sınırlarını aşarak ölçülülük ilkesine aykırı davranması, hukuka uygunluk nedeninin bulunmadığı ve suçun oluştuğu şeklinde değerlendirilmiştir (Yargıtay 12. Ceza Dairesi, 2013/30385 E., 2014/14157 K., 09.06.2014). Buna karşılık, delil yetersizliği nedeniyle sanığın e-devlet şifresini ele geçirdiğinin ispatlanamadığı bir olayda beraat kararı onanmıştır (Yargıtay 12. Ceza Dairesi, 2013/4552 E., 2013/23860 K., 30.10.2013).

TCK'nın 30/4. maddesi uyarınca "işlediği fiilin haksızlık oluşturduğu hususunda kaçınılmaz bir hataya düşen kişi cezalandırılmaz" hükmü de bu suçlar bağlamında değerlendirilebilir. Ancak bir memurun, doğum belgesini rıza dışı alması durumunda hatanın kaçınılmaz olmadığına ve kastın varlığına hükmedilmiştir (Yargıtay Ceza Genel Kurulu, 2012/1514 E., 2014/312 K., 10.06.2014).

V. Diğer Suçlarla İlişkisi ve İçtima Kuralları

• Özel Hayatın Gizliliğini İhlal (TCK m. 134): Kişinin özel hayatına ilişkin görüntüsü ya da sesi, TCK'nın 135 ve 136. maddeleri kapsamında "kişisel veri" olarak değerlendirilmez. Bu tür verilerin rıza dışı kaydedilmesi veya ifşa edilmesi, TCK'nın 134. maddesindeki özel hayatın gizliliğini ihlal suçunu oluşturur (Yargıtay 12. Ceza Dairesi, 2019/973 E., 2020/218 K., 08.01.2020).
• Bilişim Sistemine Girme (TCK m. 243): Sanığın bilişim sistemine girip bir süre kalmaktan ibaret eylemi, kişisel verileri ele geçirme veya yayma suçunu değil, TCK'nın 243/1. maddesindeki bilişim sistemine girme suçunu oluşturabilir (Yargıtay 12. Ceza Dairesi, 2013/15369 E., 2014/5121 K., 03.03.2014).
• Bilişim Sistemleri Yoluyla Hırsızlık (TCK m. 142/2-e): Kişisel verilerin kullanılması suretiyle bilişim sisteminden hırsızlık yapılması durumunda, eylem sadece TCK m. 142/2-e kapsamında değerlendirilmeli, ayrıca TCK m. 136'dan ceza verilmemelidir. Zira kanunda kişisel verileri "hukuka aykırı olarak kullanma" eylemi ayrı bir suç olarak tanımlanmamıştır (İstanbul Bölge Adliye Mahkemesi 9. Ceza Dairesi, 2017/718 E., 2017/924 K., 27.04.2017).
• Fikri İçtima (TCK m. 44): Tek bir fiil ile hem kişisel verileri yayma hem de hakaret suçu işlenmesi durumunda, TCK'nın 44. maddesi uyarınca farklı neviden fikri içtima hükümleri uygulanır ve en ağır cezayı gerektiren suçtan (genellikle TCK m. 136) ceza verilir (Yargıtay Ceza Genel Kurulu, 2018/611 E., 2022/784 K., 08.12.2022; Yargıtay Ceza Genel Kurulu, 2012/1510 E., 2014/331 K., 17.06.2014).
• Zincirleme Suç (TCK m. 43): Sanığın, katılanların görüntüsünü içeren bir fotoğrafı sosyal medya hesabından rızasız paylaşması, birden fazla mağdura yönelik tek bir fiil olduğundan zincirleme suç hükümlerinin uygulanmasını gerektirebilir (Yargıtay 12. Ceza Dairesi, 2023/3439 E., 2025/6519 K., 16.09.2025). Ancak, farklı zamanlarda farklı mağdurların kimlik bilgilerini kullanarak BİMER'e şikayet dilekçeleri göndermek gibi eylemler, "tek bir fiil" şartını sağlamadığı için ayrı ayrı suçlar olarak değerlendirilmiştir (Yargıtay Ceza Genel Kurulu, 2019/258 E., 2024/109 K., 06.03.2024).

VI. İkincil Kaynaklardan Elde Edilen Ek Bilgiler

• Kişisel Verileri Koruma Kurulu (KVKK) Kararları: KVKK, idari yaptırımlar uygulama yetkisine sahip olmakla birlikte, kararlarında TCK hükümlerine atıf yapmaktadır. Örneğin, bir işletmenin hizmet binasına giriş için "el geometrisi" verisini rızasız işlemesi, Kurul tarafından "biyometrik veri" ve dolayısıyla "özel nitelikli kişisel veri" olarak kabul edilmiştir. Bu hukuka aykırı veri işleme nedeniyle idari para cezası uygulanmış ve veri işleme faaliyeti durdurulmuştur. Bu tür KVKK ihlalleri, niteliğine göre TCK m. 135-140 kapsamına girebilecek potansiyel cezai sorumlulukları da gündeme getirebilir (KVKK, 2022/662, 07.07.2022).
• Anayasa Mahkemesi (AYM) Kararları: AYM, kişisel verilerin işlenmesini düzenleyen kanunları Anayasa'ya uygunluk açısından denetlemektedir. Örneğin, Güvenlik Soruşturması ve Arşiv Araştırması Kanunu'na ilişkin bir kararında, bu kanun kapsamında işlenen kişisel verilerle ilgili suç işlenmesi halinde KVKK'nın 17. maddesine atıf yapıldığı, bu maddenin de TCK'nın 135-140. maddelerindeki cezai yaptırımları işaret ettiği belirtilmiştir. Bu durum, idari süreçlerdeki veri işleme faaliyetlerinin dahi TCK kapsamında cezai sonuçlar doğurabileceğini göstermektedir (AYM, 2021/43 E., 2021/74 K., 13.10.2021; AYM, 2021/60 E., 2024/200 K., 04.12.2024).
• Somut Olaylara İlişkin Yargıtay Kararları:
  • Bir psikoloğun, çift terapisi seanslarından elde ettiği gözlemleri içeren raporu, boşanma davasında delil olarak kullanılması amacıyla katılanın eşinin vekiline vermesi eyleminde, sanığın hukuka aykırı hareket etme bilinciyle davranmadığı ve verileri üçüncü kişilerle paylaşmadığı gerekçesiyle TCK m. 136'daki suçun unsurlarının oluşmadığına karar verilmiştir (Yargıtay 12. Ceza Dairesi, 2023/438 E., 2025/2522 K., 10.03.2025).
  • Katılanın herkesin erişimine açık olan WhatsApp profilindeki çocuğunun fotoğrafını kaydeden sanık hakkında, fotoğrafın "katılanın telefonunu kaydeden herkes tarafından ulaşılabilir" olması ve sanığın kastının bulunmaması nedeniyle beraat kararı onanmıştır (Yargıtay 12. Ceza Dairesi, 2015/3247 E., 2015/16760 K., 04.11.2015).
  • Boşanma davası sürecinde, sanığın katılanın kişisel sağlık verisi niteliğindeki depresyon teşhisli istirahat raporlarını rızası olmaksızın hastaneden temin edip başka bir davada delil olarak sunması, TCK m. 136/1'deki suçu oluşturduğu gerekçesiyle yerel mahkemenin beraat kararı bozulmuştur (Yargıtay 12. Ceza Dairesi, 2019/12823 E., 2022/4595 K., 08.06.2022).
  • Bir eczacı teknikerinin, katılanın T.C. kimlik numarasını bir kağıda yazması eyleminin, teşebbüs aşamasında kalmayıp tamamlanmış bir suç olduğu ve TCK m. 136/1'den cezalandırılması gerektiği belirtilmiştir (Yargıtay 12. Ceza Dairesi, 2019/10349 E., 2022/8679 K., 16.11.2022).