TCK 136 Kişisel Verileri Verme, Yayma veya Ele Geçirme Suçu

TCK 136 kişisel verileri verme, yayma veya ele geçirme suçu, bir kişiye ait verinin hukuka aykırı biçimde başkasına aktarılması, geniş bir çevreye ulaştırılması veya yetkisiz kişinin hâkimiyetine geçirilmesiyle oluşur. Temel ceza iki yıldan dört yıla kadar hapistir.

Ayırt edici unsur, kişisel verinin başlangıçta hukuka uygun kaydedilmiş olup olmadığına bakılmaksızın verme, yayma veya ele geçirme hareketinin hukuka aykırı olmasıdır. CMK 236/5-6 uyarınca kaydedilen beyan ve görüntüler suçun konusuysa verilecek ceza bir kat artırılır.

TCK 136 Güncel Madde Metni

Verileri hukuka aykırı olarak verme veya ele geçirme

Madde 136- (1) Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.

(2) Suçun konusunun, Ceza Muhakemesi Kanununun 236 ncı maddesinin beşinci ve altıncı fıkraları uyarınca kayda alınan beyan ve görüntüler olması durumunda verilecek ceza bir kat artırılır.

Metin 21 Ağustos 2026 tarihinde Adalet Bakanlığındaki yürürlükteki 5237 sayılı Türk Ceza Kanunu üzerinden doğrulanmıştır. TBMM’de kabul edilen ilk metin, 6526 ve 7188 sayılı kanunlarla yapılan değişikliklerle karşılaştırılmıştır.

Değişiklik Geçmişi ve Yürürlükteki Metin

TCK 136’nın ilk metninde alt sınır bir yıl iken 6526 sayılı Kanunun 4. maddesiyle iki yıla çıkarılmıştır. 7188 sayılı Kanunun 17. maddesiyle CMK 236/5-6 kapsamındaki kayıtlar için ikinci fıkra eklenmiştir.

TBMM’de kişisel veri suçlarının kapsamına ilişkin teklifler bulunabilse de teklif ile yürürlükteki hüküm aynı değildir. Kabul edilip yürürlüğe girmeyen düzenlemeler, güncel suç tanımını veya ceza miktarını değiştirmez.

TCK 136 Madde Gerekçesi

Madde gerekçesine göre, kişisel verinin hukuka uygun veya hukuka aykırı kaydedilmiş olmasına bakılmaksızın veriyi hukuka aykırı biçimde başkasına vermek, yaymak veya ele geçirmek bağımsız suç olarak düzenlenmiştir.

Bu yaklaşım veri güvenliğinin yalnız kayıt aşamasıyla sınırlı olmadığını gösterir. Kişisel verinin elde tutulması, aktarılması ve başka kişilerin erişimine açılması da ayrı bir hukuki denetime tabidir.

Korunan Hukuki Değer

Suçla kişisel verilerin korunması, özel hayatın gizliliği ve kişinin kendisine ilişkin bilgilerin kimler tarafından hangi amaçla kullanılacağını belirleyebilmesi korunur. Veri işleme süreçlerine duyulan güven de güvence altına alınır.

Bir bilginin daha önce sınırlı bir çevreyle paylaşılmış olması, onun yeni bir amaçla veya başka kişilere aktarılmasını kendiliğinden hukuka uygun hâle getirmez.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, adres, telefon, kimlik numarası, fotoğraf, ses, konum, sağlık, finans, biyometrik, genetik ve mesleki bilgiler somut olayda kişisel veri olabilir.

Tek bir bilgi kişiyi doğrudan göstermese bile başka verilerle birleştirildiğinde kişinin belirlenmesini sağlıyorsa koruma kapsamına girebilir. Tam ve geri döndürülemez anonimleştirilmiş veri ise belirli kişiyle bağ kurulamadığı ölçüde farklı değerlendirilir.

Suçun Konusu

Suçun konusu, gerçek kişiye ait kişisel veridir. Verinin dijital dosyada, basılı evrakta, ses kaydında, fotoğrafta, mesajda, veri tabanında veya taşınabilir ortamda bulunması sonucu değiştirmez.

Madde gerekçesi uyarınca verinin ilk kaydının hukuka uygun olması şart değildir. Hukuka aykırı kaydedilmiş bir veri de daha sonra verilmiş, yayılmış veya ele geçirilmişse TCK 136 bakımından ayrıca incelenebilir.

Fail ve Mağdur

Fail

Suçun temel biçimi herkes tarafından işlenebilir. Verinin sahibi, veri sorumlusu, çalışan, kamu görevlisi, hizmet sağlayıcı veya üçüncü kişi; somut fiili ve kastı bulunuyorsa fail olabilir.

Failin kamu görevlisi olması ve görevin verdiği yetkiyi kötüye kullanması ya da belli bir meslek veya sanatın sağladığı kolaylıktan yararlanması durumunda TCK 137 kişisel veri suçlarında nitelikli hâller ayrıca uygulanabilir.

Mağdur

Mağdur, kişisel verisi hukuka aykırı biçimde verilen, yayılan veya ele geçirilen gerçek kişidir. Bir veri kümesinin çok sayıda kişiye ait olması, mağdur sayısı ve fiiller arasındaki hukuki bağlantı bakımından ayrıca değerlendirilir.

Seçimlik Hareketler

TCK 136 verme, yayma ve ele geçirme olmak üzere üç seçimlik hareket düzenler. Bunlardan birinin tamamlanması suçun oluşması için yeterlidir; aynı veri üzerinde birden fazlasının gerçekleşmesi ise fiillerin zamanına ve bütünlüğüne göre değerlendirilir.

Kişisel Veriyi Başkasına Verme

Verme, kişisel verinin belirli bir başka kişinin bilgisine veya kullanımına sunulmasıdır. E-posta, mesaj, dosya aktarımı, sözlü açıklama, basılı belge veya sisteme erişim yetkisi tanıma yoluyla gerçekleştirilebilir.

Verinin alıcı tarafından daha sonra kullanılması ya da mağdurun somut zarar görmesi zorunlu değildir. Aktarımın hukuki dayanağı ve kapsamı belirleyicidir.

Kişisel Veriyi Yayma

Yayma, verinin belirli bir kişiye iletilmesinin ötesinde daha geniş veya belirsiz bir çevrenin erişimine sunulmasıdır. İnternet sitesine yükleme, sosyal ağda paylaşma veya toplu gönderim bu kapsamda incelenebilir.

Paylaşımın kısa süre sonra kaldırılması, erişim sayısı ve platformun görünürlük ayarları delil değerine sahiptir; ancak tamamlanan hareketi kendiliğinden ortadan kaldırmaz.

Kişisel Veriyi Ele Geçirme

Ele geçirme, kişisel verinin hukuka aykırı şekilde failin fiilî veya teknik hâkimiyetine alınmasıdır. Verinin kopyalanması, indirilmesi, aktarılması, kaydedilmesi veya kullanılabilir biçimde elde tutulması bu hareketi gösterebilir.

Bir veriyi yalnız görmek ile onu hâkimiyet alanına geçirmek her durumda aynı değildir. Erişim süresi, kopyalama, ekran görüntüsü, sorgu çıktısı, indirme ve sonraki kullanım gibi olgular birlikte değerlendirilmelidir.

Maddi Unsur ve Hukuka Aykırılık

Verme, yayma veya ele geçirme hareketinin hukuka aykırı olması suç tanımının temel unsurudur. Kanundan doğan görev, geçerli veri işleme şartı, yetkili makam talebi veya somut amaca bağlı hukuki yetki bulunuyorsa hareket hukuka uygun olabilir.

Bununla birlikte veriye erişim yetkisi, onu her amaçla aktarabilme yetkisi anlamına gelmez. Amaçla sınırlılık, veri minimizasyonu, alıcının yetkisi ve aktarımın kapsamı ayrı ayrı kontrol edilmelidir.

Rıza ve Veri Aktarımı

İlgili kişinin geçerli rızası bazı işlemlerde hukuki dayanak oluşturabilir. Rızanın belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması; yapılan aktarımın rıza sınırları içinde kalması gerekir.

Genel ve belirsiz bir onay, sınırsız paylaşım yetkisi vermez. Ayrıca kanunen işlenmesi yasak veya sıkı koşullara bağlanmış verilerde yalnız rıza beyanı her durumda yeterli olmayabilir.

Hareket ve Netice

Suç, seçimlik hareketlerden birinin tamamlanmasıyla oluşabilir; ayrıca maddi zarar, haksız kazanç veya itibar kaybı doğması zorunlu değildir. Bu nedenle korunan veri alanına yönelik hukuka aykırı müdahale esas alınır.

Verinin şifreli olması, alıcının dosyayı açıp açmaması veya paylaşımın kısa sürmesi; hareketin tamamlanması, teşebbüs ve kast bakımından teknik delillerle birlikte incelenir.

Manevi Unsur

Suç kasten işlenir. Failin verinin bir gerçek kişiyle ilişkili olduğunu ve verme, yayma veya ele geçirme hareketinin hukuka aykırı niteliğini bilerek hareket etmesi gerekir.

Özel bir yarar sağlama, mağdura zarar verme veya veriyi kullanma amacı kanunda zorunlu unsur değildir. Taksirli biçim ayrıca cezalandırılmamıştır.

Hukuka Uygunluk ve Hata

Kanuni yetki, görevin gereği, geçerli veri işleme şartı ve kişinin rızası somut olayda hukuka uygunluk değerlendirmesinin parçasıdır. Yetkinin amacı dışında kullanılması veya gerekenden fazla veri aktarılması hukuka aykırılık doğurabilir.

Failin alıcının yetkili olduğu, verinin anonim olduğu veya aktarım izninin bulunduğu yönündeki hatası; dayanak belgeler, sistem uyarıları, eğitim ve talimatlarla birlikte kast bakımından incelenir.

Teşebbüs

İcra hareketleri bölünebiliyorsa teşebbüs mümkündür. Veriyi dışarı aktarmaya başlayan failin gönderimin teknik güvenlik sistemiyle tamamlanmadan engellenmesi veya yetkisiz indirme işleminin yarıda kesilmesi örnek olabilir.

Veri alıcının erişimine geçmiş, herkese açık paylaşım tamamlanmış veya dosya failin hâkimiyetine alınmışsa suç tamamlanmış olabilir. Sonradan silme, tamamlanmış fiili kendiliğinden teşebbüs aşamasına döndürmez.

İştirak

Birlikte veri çıkaran, alıcı listesini hazırlayan, erişim sağlayan veya paylaşımı yöneten kişiler yönünden müşterek faillik, azmettirme ve yardım etme hükümleri uygulanabilir. Her kişinin kastı ve fiile sağladığı katkı ayrı belirlenir.

Veriyi hukuka aykırı veren kişi ile bilerek ele geçiren alıcının hareketleri, aynı süreç içinde bulunsa bile kendi seçimlik hareketleri bakımından değerlendirilir.

İçtima ve İlgili Suçlar

Verinin önce hukuka aykırı kaydedilip sonra aktarılması hâlinde TCK 135 ile TCK 136 arasındaki ilişki; hareketlerin bağımsızlığı, zaman aralığı ve suç işleme kararı üzerinden incelenir. Bilişim sistemine yetkisiz giriş veya sistem verilerini değiştirme gibi ek hareketler varsa TCK 243 ve 244 de gündeme gelebilir.

Bilginin ticari sır, bankacılık sırrı veya müşteri sırrı niteliği taşıması durumunda TCK 239 ile kişisel veri suçunun unsurları karşılaştırılmalıdır. Aynı fiil hakkında hangi hükmün uygulanacağı somut olayın özelliklerine göre belirlenir.

CMK 236 Kayıtlarında Bir Kat Artırım

Suçun konusu, Ceza Muhakemesi Kanununun 236. maddesinin beşinci ve altıncı fıkraları uyarınca kaydedilen beyan ve görüntülerse TCK 136/2 gereğince verilecek ceza bir kat artırılır. Düzenleme, ceza sürecinde özel koruma altında oluşturulan kayıtların gizliliğini güçlendirir.

Artırım için verinin yalnız soruşturma veya kovuşturmayla ilgili olması yeterli değildir. Beyan veya görüntünün açıkça CMK 236/5-6 uyarınca kaydedilmiş olması ve TCK 136’daki seçimlik hareketlerden birine konu edilmesi gerekir.

TCK 137 Nitelikli Hâlleri

Suç kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya belirli meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenirse ceza yarı oranında artırılır. Sıfatın bulunması tek başına yeterli değildir; sıfat veya mesleki kolaylık ile fiil arasında bağ kurulmalıdır.

TCK 136/2 ile TCK 137 koşullarının aynı olayda bulunması hâlinde her artırımın dayanağı ayrı gösterilmeli ve ceza kanundaki hesaplama sırasına göre belirlenmelidir.

Yaptırım

Temel suçun cezası iki yıldan dört yıla kadar hapistir. TCK 136/2 kapsamındaki kayıtlar söz konusuysa belirlenen ceza bir kat, TCK 137’deki koşullardan biri varsa yarı oranında artırılır.

Maddede hapis cezasına seçenek olarak doğrudan adli para cezası öngörülmemiştir. Sonuç ceza üzerindeki kişiselleştirme kurumları, suç tarihi ve yürürlükteki genel hükümler dikkate alınarak ayrıca değerlendirilir.

Şikâyet

TCK 136 şikâyete bağlı değildir. Mağdurun başvurusu bulunmasa da yetkili makamın fiili öğrenmesi üzerine soruşturma yürütülebilir.

Bu ayrımın özel hayata karşı diğer suçlarla karşılaştırılması için TCK 139 şikâyet süresi ve kapsamı yazısına bakılabilir.

Uzlaştırma

TCK 136 uzlaştırma kapsamında değildir. Mağdurun verinin kaldırılmasını istemesi, paylaşımın durdurulması veya tarafların anlaşması uzlaştırma prosedürünü kendiliğinden uygulanabilir hâle getirmez.

Görevli ve Yetkili Mahkeme

Temel TCK 136 suçunda kural olarak asliye ceza mahkemesi görevlidir. TCK 136/2 veya TCK 137 artırımları bulunan dosyalarda görev, suç tarihindeki mevzuat ve uygulanabilecek cezanın üst sınırı üzerinden ayrıca kontrol edilmelidir.

Yetki bakımından verme, yayma veya ele geçirme hareketinin gerçekleştirildiği yer esas alınır. Failin, sunucunun, alıcının ve mağdurun farklı yerlerde bulunması hâlinde dijital fiile ilişkin yetki kuralları birlikte değerlendirilir.

Dava Zamanaşımı

Temel suçta cezanın üst sınırı dört yıl olduğundan dava zamanaşımı kural olarak sekiz yıldır. TCK 137 artırımıyla üst sınır altı yıla veya TCK 136/2 artırımıyla sekiz yıla çıktığında kural olarak on beş yıllık süre gündeme gelir.

Suçun tamamlanma tarihi, zincirleme fiil iddiası, durma ve kesilme nedenleri zamanaşımı hesabını etkiler. Suç tarihi ile son paylaşım veya ele geçirme tarihi delillerle belirlenmelidir.

Deliller

• E-posta, mesaj ve dosya aktarım kayıtları,
• Sosyal medya bağlantıları, paylaşım ve erişim zamanları,
• Sunucu, uygulama, sorgulama ve indirme günlükleri,
• Cihaz, disk, bulut alanı ve taşınabilir bellek incelemeleri,
• Kullanıcı hesabı, IP, oturum ve yetki kayıtları,
• Rıza, aydınlatma ve veri aktarım belgeleri,
• Görev tanımları, talimatlar ve kurum içi politikalar,
• CMK 236 kapsamında kaydın oluşturulduğunu gösteren dosya belgeleri.

Ekran görüntüsü tek başına her zaman yeterli olmayabilir. İçeriğin kaynağı, bütünlüğü, ilk yayın zamanı, hesabın kullanıcıyla bağlantısı ve veriye kimlerin eriştiği teknik kayıtlarla desteklenmelidir.

Uygulamada Sık Yapılan Hatalar

• Her bilginin kişisel veri olduğunu varsaymak.
• Verme, yayma ve ele geçirme hareketlerini birbirinden ayırmamak.
• Veriye erişim yetkisini aktarım yetkisiyle aynı kabul etmek.
• Hukuka aykırılık unsurunu somut dayanaklarla incelememek.
• Salt görmeyi her durumda ele geçirme saymak.
• Verinin ilk kaydının hukuka uygunluğuna odaklanıp sonraki aktarımı gözden kaçırmak.
• CMK 236 kapsamındaki kayıtlar için bir kat artırımı uygulamamak.
• Suçun şikâyete veya uzlaştırmaya bağlı olduğunu sanmak.

Somut Olay Kontrol Listesi

• Bilgi belirli veya belirlenebilir gerçek kişiye mi ilişkin?
• Veri hangi ortamda bulunuyor?
• Fiil verme, yayma veya ele geçirmeden hangisi?
• Veriye kim, hangi hesap ve cihazla erişti?
• Aktarımın alıcısı ve kapsamı belirli mi?
• Hukuki dayanak veya geçerli rıza var mı?
• İşleme amacı ve aktarım sınırı aşıldı mı?
• Veri failin teknik hâkimiyetine geçti mi?
• Paylaşımın tarihi ve erişim çevresi belirlenebiliyor mu?
• Fail kamu görevi veya mesleki kolaylıktan yararlandı mı?
• Veri CMK 236/5-6 kapsamında kaydedilmiş beyan veya görüntü mü?
• Dijital delillerin bütünlüğü korunmuş mu?

Sık Sorulan Sorular

TCK 136 suçunun cezası nedir?

Temel ceza iki yıldan dört yıla kadar hapistir. CMK 236/5-6 kapsamındaki kayıtlar söz konusuysa ceza bir kat artırılır.

Kişisel veriyi tek kişiye göndermek suç olabilir mi?

Evet. Verinin hukuka aykırı biçimde belirli bir kişiye aktarılması “verme” hareketini oluşturabilir; herkese açık paylaşım şart değildir.

Sosyal medyada paylaşmak hangi harekettir?

Verinin geniş veya belirsiz bir çevrenin erişimine açılması kural olarak yayma hareketi kapsamında incelenir.

Kişisel veriyi yalnız görmek ele geçirme sayılır mı?

Her durumda değil. Verinin failin hâkimiyetine alınıp alınmadığı; kopyalama, indirme, kayıt ve sonraki kullanım gibi olgularla birlikte değerlendirilir.

TCK 136 için mağdur şikâyeti gerekir mi?

Hayır. TCK 136 şikâyete bağlı değildir ve yetkili makamlarca kendiliğinden soruşturulabilir.

Kamu görevlisi veriyi aktarırsa ceza artar mı?

Görevin verdiği yetki kötüye kullanılarak TCK 136 işlenmişse TCK 137 uyarınca ceza yarı oranında artırılabilir.

Sonuç

TCK 136, kişisel verinin hukuka aykırı biçimde belirli kişiye verilmesini, geniş çevreye yayılmasını veya yetkisiz kişinin hâkimiyetine geçirilmesini ayrı seçimlik hareketler olarak düzenler. Fiilin doğru nitelendirilmesi; veri, hukuki dayanak, erişim yöntemi ve dijital izlerin birlikte değerlendirilmesini gerektirir.

Verinin hukuka aykırı kaydedilmesi TCK 135 kişisel verilerin kaydedilmesi suçu; saklama süresi geçtiği hâlde yok edilmemesi ise TCK 138 verileri yok etmeme suçu kapsamında ayrıca incelenmelidir.

Kaynakça

• Adalet Bakanlığı, 5237 sayılı Türk Ceza Kanunu güncel metni
• TBMM, 5237 sayılı Kanunun kabul edilen metni
• TBMM Adalet Komisyonu, Türk Ceza Kanunu Tasarısı raporu ve madde gerekçesi
• TBMM, 6526 sayılı Kanun yasama bilgileri
• TBMM, 7188 sayılı Kanun yasama bilgileri

Av. iltan Ekmekçioğlu