TCK 138 Verileri Yok Etmeme Suçu ve Cezası

TCK 138 verileri yok etmeme suçu, kanuni saklama süresi dolduğu hâlde kişisel verileri sistem içinde yok etmekle yükümlü kişinin bu görevini yerine getirmemesiyle oluşur. Suçun temel cezası bir yıldan iki yıla kadar hapistir.

Ayırt edici unsur, verinin başlangıçta hukuka uygun biçimde kaydedilmiş olsa bile kanunun belirlediği süreden sonra tutulmaya devam edilmesidir. Suçun konusu Ceza Muhakemesi Kanunu uyarınca ortadan kaldırılması gereken bir veri ise verilecek ceza bir kat artırılır.

TCK 138 Güncel Madde Metni

Verileri yok etmeme

Madde 138- (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.

(2) Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.

Metin, 21 Ağustos 2026 tarihinde Adalet Bakanlığındaki yürürlükteki 5237 sayılı Türk Ceza Kanunu üzerinden kontrol edilmiştir. TBMM’de kabul edilen ilk metin ve 6526 sayılı Kanunla yapılan değişiklik de karşılaştırılmıştır.

 

TCK 138 Madde Gerekçesi

Madde gerekçesine göre, hukuka uygun şekilde kaydedilmiş kişisel verilerin kanunlarda belirlenen süre geçtiği hâlde yok edilmemesi bağımsız bir suç olarak düzenlenmiştir. Böylece kişisel verinin yalnız elde edilmesi ve kullanılması değil, yaşam döngüsünün sonunda güvenli biçimde ortadan kaldırılması da korunur.

Düzenleme, “bir gün gerekebilir” düşüncesiyle sınırsız saklamayı engeller. Verinin tutulmasını haklı kılan amaç sona erdiğinde ve özel bir saklama yükümlülüğü kalmadığında veri sorumluluğunun silme, yok etme veya anonimleştirme aşaması gündeme gelir.

Korunan Hukuki Değer

Suçla öncelikle kişisel verilerin korunması, özel hayatın gizliliği ve kişinin kendisi hakkındaki bilgilerin geleceğini denetleyebilmesi korunur. Ayrıca kamu kurumları ve özel kuruluşlardaki veri saklama düzeninin güvenilirliği güvence altına alınır.

Bir veriye artık ihtiyaç duyulmaması, tek başına her durumda ceza sorumluluğu doğurmaz. Ceza hükmünün uygulanabilmesi için yok etme yükümlülüğünün ve süresinin kanuni dayanağının somut biçimde gösterilmesi gerekir.

Suçun Konusu ve Kapsamı

Suçun konusu, kanuni saklama süresi sona ermiş kişisel veridir. Kimlik, iletişim, sağlık, biyometrik, genetik, finansal, personel veya müşteri verileri; ilgili kanun ve saklama rejimine göre bu kapsama girebilir.

Madde gerekçesi, başlangıçta hukuka uygun kaydedilmiş veriyi esas alır. Verinin daha baştan hukuka aykırı kaydedilmesi, başkasına verilmesi veya ele geçirilmesi hâlinde TCK 135 ve 136 kapsamındaki farklı fiiller ayrıca incelenir. Bu fiillerin kamu görevinin verdiği yetki veya mesleki kolaylık kullanılarak işlenmesi durumunda TCK 137 kişisel veri suçlarında nitelikli hâller gündeme gelebilir.

Fail ve Mağdur

Fail kim olabilir?

TCK 138 özgü suç niteliğindedir. Fail, veriyi yok etmek konusunda hukuki yükümlülüğü bulunan kişidir. Her çalışan, hizmet sağlayıcı veya sisteme erişebilen kişi sırf erişim yetkisi nedeniyle fail olmaz.

Yükümlülük; kanun, görev tanımı, kurum içi yetki dağılımı ve veri işleme organizasyonu birlikte incelenerek belirlenir. Kamu görevlisi, veri sorumlusu adına karar veren yönetici veya belirli sistemden sorumlu kişi somut koşullarda bu konumda olabilir.

Mağdur kimdir?

Mağdur, kişisel verisi süresi geçtiği hâlde sistemde tutulan gerçek kişidir. Bir veri kümesinde birden fazla kişiye ait kayıt bulunması, mağdur sayısı ve fiilin hukuki birliği bakımından ayrıca değerlendirilir.

Yok Etme Yükümlülüğünün Kaynağı

Yükümlülüğün kaynağı yalnız TCK 138 değildir. Kişisel Verilerin Korunması Kanunu’nun 7. maddesi, işlenmesini gerektiren sebepler ortadan kalktığında kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenler. Özel sektör kanunları, Ceza Muhakemesi Kanunu ve ikincil düzenlemeler de farklı saklama süreleri belirleyebilir.

Bu nedenle önce hangi mevzuatın veriye uygulandığı, saklama süresinin ne zaman başladığı ve özel bir istisnanın bulunup bulunmadığı saptanmalıdır. Kurumun kişisel veri saklama ve imha politikası, kanuni yükümlülüğü somutlaştırabilir; ancak kanunda bulunmayan bir ceza sorumluluğunu tek başına yaratamaz.

Maddi Unsur: Süresi Dolan Veriyi Sistem İçinde Tutmak

Suç, yerine getirilmesi gereken bir yükümlülüğün ihmal edilmesiyle işlenir. Kanuni süre dolduğunda yok etme yetki ve imkânına sahip kişi görevini yerine getirmezse maddi unsur gerçekleşebilir.

Verinin aktif veri tabanında görünmemesi tek başına yeterli değildir. Yedeklerde, bulut alanında, arşiv sunucusunda, taşınabilir ortamda veya geri yüklenebilir bir kopyada saklanmaya devam edilip edilmediği teknik olarak araştırılmalıdır.

Silme, Yok Etme ve Anonimleştirme Arasındaki Fark

Silme, verinin ilgili kullanıcılar için erişilemez ve kullanılamaz hâle getirilmesidir. Yok etme, verinin hiç kimse tarafından erişilemez ve tekrar kullanılamaz biçimde ortadan kaldırılmasını ifade eder. Anonimleştirme ise verinin başka bilgilerle eşleştirilse dahi belirli bir kişiyle ilişkilendirilememesini amaçlar.

TCK 138’in metni “sistem içinde yok etme” yükümlülüğüne odaklanır. Uygulanacak yöntemin yeterliliği; özel düzenleme, veri türü, sistem mimarisi ve geri getirilebilirlik ihtimali üzerinden değerlendirilir. Yalnız dosya adını değiştirmek veya kullanıcı ekranından kaldırmak gerçek bir yok etme sayılmayabilir.

Suç Ne Zaman Tamamlanır?

Kanuni saklama süresi dolduğu ve yükümlü kişinin makul olarak gerçekleştirmesi gereken imha işlemini yapmadığı anda suç tamamlanabilir. Süre dolmadan TCK 138 oluşmaz; verinin hukuka aykırı başka biçimde kullanılması ise ayrı bir değerlendirme gerektirir.

Yükümlülük ve veri saklama durumu devam ettiği sürece ihmalin sürdüğü kabul edilebilecek olaylarda, verinin gerçekten yok edildiği veya yükümlülüğün sona erdiği tarih önem taşır. Bu tarih özellikle zamanaşımı ve yetki incelemesinde delillerle belirlenmelidir.

Manevi Unsur

Suç kasten işlenir. Failin yok etme yükümlülüğünü, kanuni sürenin dolduğunu ve verinin sistemde tutulmaya devam ettiğini bilerek görevini yerine getirmemesi gerekir.

TCK 138’de taksirli biçim ayrıca düzenlenmemiştir. Basit teknik aksaklık, fark edilmeyen otomatik yedek veya hesaplama hatası tek başına yeterli değildir; fakat olayın tüm koşulları failin bilgisi ve iradesi hakkında delil oluşturabilir.

Hukuka Uygunluk ve Hata

Başka bir kanunun verinin saklanmasını zorunlu kılması, henüz silinmemesi için hukuki dayanak oluşturabilir. Devam eden bir soruşturma, mali kayıt saklama yükümlülüğü veya açık bir mevzuat hükmü varsa hangi kuralın öncelikli olduğu belirlenmelidir.

Failin uygulanacak süre veya kendi yükümlülüğü konusunda hataya düşmesi, hatanın niteliğine göre kastı ya da kusurluluğu etkileyebilir. Kurum içi belirsizlik, hukuki yükümlülüğü otomatik olarak ortadan kaldırmaz; yetki ve bilgilendirme zinciri incelenir.

Teşebbüs

Suç ihmali hareketle ve sürenin dolmasıyla tamamlandığından teşebbüs alanı oldukça dardır. Kanuni süre henüz dolmamışsa icrasına başlanmış bir TCK 138 fiilinden söz edilemez; süre dolup yükümlülük yerine getirilmediğinde ise suç tamamlanmış olabilir.

Yok etme işleminin zamanında başlatılıp teknik sebeple tamamlanamaması, failin kastı ve kullandığı yöntemle birlikte değerlendirilir. Etkili ve doğrulanabilir bir imha süreci bulunması, bilerek yerine getirmeme iddiasından farklıdır.

İştirak

Yok etme yükümlülüğünü birlikte taşıyan kişiler ortak karar ve katkıyla hareket ederse müşterek faillik gündeme gelebilir. Bu özel yükümlülüğü taşımayan kişi ise özgü suça ancak genel iştirak kuralları çerçevesinde katılabilir.

Teknik ekibin talimatı uygulamaması, yöneticinin imhayı engellemesi veya hizmet sağlayıcının yedekleri saklaması gibi durumlarda her kişinin yükümlülüğü, bilgisi ve fiile katkısı ayrı belirlenmelidir.

İçtima ve Diğer Kişisel Veri Suçları

Verinin hukuka aykırı kaydedilmesi, üçüncü kişiye aktarılması ve süresi dolduktan sonra yok edilmemesi farklı zamanlarda ve farklı hareketlerle gerçekleşebilir. Bu durumda TCK 135, 136 ve 138 hükümleri arasındaki ilişki somut fiillere göre incelenir.

Her idari eksiklik otomatik olarak TCK 138 suçunu oluşturmaz. Ceza sorumluluğu için kanuni yok etme yükümlülüğü, sürenin dolması, failin özel yükümlü konumu ve kastı ayrı ayrı kanıtlanmalıdır.

Ceza Muhakemesi Verilerinde Nitelikli Hâl

Suçun konusu Ceza Muhakemesi Kanunu uyarınca ortadan kaldırılması veya yok edilmesi gereken bir veri ise temel ceza bir kat artırılır. Böylece verinin niteliği ve ceza sürecinde elde edilmiş olması daha ağır bir sonuç doğurur.

Genetik inceleme sonuçlarının ne zaman imha edileceği, dosyanın sonucu ve kesinleşme tarihi gibi özel koşullara bağlıdır. Güncel süreler ve başvuru yolları için CMK 80 kapsamında DNA verilerinin silinmesi yazısı ayrıca incelenebilir.

Yaptırım

Temel suçun yaptırımı bir yıldan iki yıla kadar hapis cezasıdır. Ceza Muhakemesi Kanununa göre yok edilmesi gereken veri söz konusuysa belirlenecek ceza bir kat artırılır.

Maddede hapis cezasına seçenek olarak doğrudan adli para cezası düzenlenmemiştir. Sonuç ceza üzerindeki kişiselleştirme kurumları, suç tarihi ve yürürlükteki genel hükümler dikkate alınarak ayrıca değerlendirilir.

Şikâyet ve Soruşturma Usulü

TCK 138 şikâyete bağlı değildir. TCK 139, verileri yok etmeme suçunu şikâyet koşulunun dışında açıkça bırakır. Yetkili makamın fiili öğrenmesi üzerine mağdur başvurusu aranmadan soruşturma yürütülebilir.

Bu ayrımın diğer özel hayat ve kişisel veri suçları bakımından görünümü için TCK 139 şikâyet süresi ve kapsamı yazısına bakılabilir.

Uzlaştırma

TCK 138, Ceza Muhakemesi Kanunu’nun uzlaştırmaya ilişkin kapsamı içinde yer alan suçlardan değildir. Mağdurun zararın giderilmesini istemesi veya verinin sonradan yok edilmesi, uzlaştırma prosedürünü kendiliğinden uygulanabilir hâle getirmez.

Görevli ve Yetkili Mahkeme

TCK 138 kapsamındaki davalarda kural olarak asliye ceza mahkemesi görevlidir. Yetki, yok etme görevinin yerine getirilmesi gereken yer, sistemin yönetildiği yer ve yükümlü kişinin görev alanı birlikte değerlendirilerek belirlenir.

Verinin farklı şehirdeki sunucuda tutulması veya yabancı bulut hizmetinde bulunması tek başına yetki sorununu çözmez. Karar, talimat, teknik işlem ve veri yönetimi sürecinin yürütüldüğü yerler incelenir.

Dava Zamanaşımı

Temel cezanın üst sınırı dikkate alındığında dava zamanaşımı kural olarak sekiz yıldır. Ceza Muhakemesi verileri nedeniyle cezanın bir kat artırılması da bu suç bakımından uygulanacak temel zamanaşımı kademesini değiştirmez.

Fiilin devam eden ihmal niteliği taşıdığı olaylarda sürenin başlangıcı, verinin yok edildiği veya yükümlülüğün sona erdiği tarihle bağlantılı olabilir. Kesilme ve durma nedenleri de somut dosya üzerinden ayrıca hesaplanmalıdır.

Deliller

• Kişisel veri işleme envanteri ve saklama-imha politikası,
• Veri tabanı, erişim, değişiklik ve silme günlükleri,
• Yedekleme planları, bulut kayıtları ve geri yükleme testleri,
• Silme talimatları, görev dağılımı ve yetki belgeleri,
• İmha tutanakları ve teknik doğrulama raporları,
• Kanuni sürenin başlangıç ve bitişini gösteren belgeler,
• Yazışmalar, destek kayıtları ve iç denetim bulguları,
• Ceza dosyasına ait kesinleşme ve imha süreci kayıtları.

Dijital inceleme, yalnız aktif veri tabanıyla sınırlanmamalıdır. Arşiv, test ortamı, log dosyası, e-posta eki, taşınabilir kopya ve yedekler de geri getirilebilirlik bakımından değerlendirilmelidir.

Uygulamada Sık Yapılan Hatalar

• Sisteme erişebilen her çalışanı otomatik olarak fail kabul etmek.
• Kanuni saklama süresinin hangi tarihte dolduğunu belirlememek.
• Hukuka aykırı kayıt ile süresi dolan veriyi yok etmemeyi karıştırmak.
• Ekrandan kaldırmayı geri döndürülemez yok etme sanmak.
• Yedek, arşiv ve bulut kopyalarını inceleme dışında bırakmak.
• İdari bir eksikliği suçun bütün unsurları oluşmuş gibi değerlendirmek.
• Ceza Muhakemesi verilerine özgü artırımı gözden kaçırmak.
• Suç için mağdur şikâyetini zorunlu kabul etmek.

Somut Olay Kontrol Listesi

• İşlenen bilgi gerçek kişiye ilişkin kişisel veri mi?
• Veri başlangıçta hangi hukuki sebeple kaydedildi?
• Uygulanacak saklama süresi hangi düzenlemede yer alıyor?
• Süre hangi olayla başladı ve hangi tarihte sona erdi?
• Yok etme yükümlülüğü kime aitti?
• Yükümlünün silme yetkisi ve teknik imkânı var mıydı?
• Veri aktif sistemde, arşivde veya yedekte tutuluyor mu?
• İmha yöntemi veriyi geri getirilemez hâle getirdi mi?
• Yükümlü sürenin dolduğunu biliyor muydu?
• Başka bir kanuni saklama zorunluluğu devam ediyor muydu?
• Veri Ceza Muhakemesi Kanununa göre yok edilmesi gereken veri mi?
• İşlem kayıtları ve imha tutanakları korunmuş mu?

Sık Sorulan Sorular

TCK 138 verileri yok etmeme suçunun cezası nedir?

Temel ceza bir yıldan iki yıla kadar hapistir. Ceza Muhakemesi Kanununa göre yok edilmesi gereken veri söz konusuysa belirlenen ceza bir kat artırılır.

Her süresi dolan veri TCK 138’e girer mi?

Hayır. Kişisel veri niteliği, kanuni saklama süresi, yok etme yükümlülüğü, failin özel konumu ve kastı birlikte bulunmalıdır.

Dosyayı silmek veriyi yok etmek için yeterli midir?

Her zaman yeterli değildir. Verinin yedeklerden, arşivlerden ve geri yüklenebilir diğer ortamlardan erişilebilir olup olmadığı teknik olarak kontrol edilmelidir.

Suçun oluşması için şikâyet gerekir mi?

Hayır. TCK 138 şikâyete bağlı değildir ve yetkili makamlarca kendiliğinden soruşturulabilir.

Veri sonradan yok edilirse suç ortadan kalkar mı?

Sonradan imha, devam eden ihmalin sona erdiği tarih ve failin tutumu bakımından önemlidir; ancak daha önce tamamlanmış olabilecek ceza sorumluluğunu kendiliğinden ortadan kaldırmaz.

Anonimleştirme TCK 138 bakımından yeterli olabilir mi?

Veri hiçbir yöntemle belirli veya belirlenebilir kişiyle ilişkilendirilemiyorsa ilgili veri koruma düzenlemesine göre yeterli olabilir. Kullanılan yöntemin geri döndürülemezliği teknik olarak doğrulanmalıdır.

Sonuç

TCK 138, kişisel verinin hukuka uygun bir amaçla kaydedilmiş olmasının onu süresiz saklama yetkisi vermediğini gösterir. Sorumluluk için kanuni sürenin dolması, veriyi yok etme görevi, sistemde tutmanın sürmesi ve kast unsurları somut delillerle belirlenmelidir.

Ceza Muhakemesi verilerinde artırım hükmü ile TCK 140 tüzel kişilere özgü güvenlik tedbirleri, olayın veri türü ve kurum yapısına göre ayrıca incelenebilir.

Kaynakça

• Adalet Bakanlığı, 5237 sayılı Türk Ceza Kanunu güncel metni
• TBMM, 5237 sayılı Kanunun kabul edilen metni
• TBMM Adalet Komisyonu, Türk Ceza Kanunu Tasarısı raporu ve madde gerekçesi
• TBMM, 6526 sayılı Kanun yasama bilgileri
• TBMM, 6526 sayılı Kanunun kabul edilen metni
• 6698 sayılı Kişisel Verilerin Korunması Kanunu

Av. iltan Ekmekçioğlu