TCK 243 Bilişim Sistemine Girme Suçu 

Bilişim sistemine girme suçu, Türk Ceza Kanunu’nun 243. maddesinde düzenlenir. Bir bilişim sisteminin tamamına veya bir bölümüne hukuka aykırı olarak girmek ya da orada kalmaya devam etmek suçun temel hâlidir. Verilerin silinmesi, ekonomik zarar doğması veya bilgilerin başkasına aktarılması, temel suçun oluşması için zorunlu değildir. E-posta, sosyal medya, kurumsal hesap ve sunuculara ilişkin iddialarda erişimin kim tarafından, hangi yetkiyle ve ne zaman gerçekleştirildiği araştırılır.

Özellikle şifreyi bilmek ile hesabı kullanmaya yetkili olmak birbirinden ayrılmalıdır. Değerlendirme; erişim izninin kapsamı, failin kastı, teknik kayıtlar ve varsa veriye müdahale üzerinden yapılır. Aşağıdaki açıklamalar genel bilgilendirme niteliğindedir; somut dosyada suç tarihi, deliller ve uygulanacak kanun birlikte incelenmelidir.

TCK 243 Madde Metni ve Cezası

5237 sayılı Türk Ceza Kanunu’nun güncel 243. maddesi şöyledir:

(1) Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adlî para cezası verilir.

(2) Yukarıdaki fıkrada tanımlanan fiillerin bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi halinde, verilecek ceza yarı oranına kadar indirilir.

(3) Bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse, altı aydan iki yıla kadar hapis cezasına hükmolunur.

(4) (Ek: 24/3/2016-6698/30 md.) Bir bilişim sisteminin kendi içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerini, sisteme girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi, bir yıldan üç yıla kadar hapis cezası ile cezalandırılır.

Birinci fıkrada hapis ve adli para cezası seçimliktir. Bu hükme göre hapis tercih edilirse, TCK 50/2 gereğince sonradan adli para cezasına çevrilemez. Bedeli karşılığında yararlanılan sistemlere ilişkin ikinci fıkra bir indirim nedenidir; veriye zarar verme hâli değildir. Sonuç ceza, uygulanabilir artırımlar ve indirimler dikkate alınarak belirlenir.

1. Maddi Unsur: Hukuka Aykırı Giriş veya Sistemde Kalma

Bilişim sistemi, verileri otomatik olarak işleyebilen yapıları ifade eder. Koruma yalnızca masaüstü bilgisayarla sınırlı düşünülmemelidir; sunucular, çevrim içi hesaplar ve otomatik veri işleyen bağlantılı cihazlar somut özelliklerine göre değerlendirilebilir. Bununla birlikte TCK 243, her donanım veya iletişim unsurunu ayrı ayrı sayan bir teknik tanım içermez.

Güncel metindeki “giren veya orada kalmaya devam eden” ifadesi önemlidir. Hukuka aykırı girişin ardından ayrıca uzun süre kalınması gerekmez. Başlangıçta hukuka uygun olan erişimin yetki sona erdikten sonra sürdürülmesi de değerlendirme konusu olabilir. Hesabın sahibinden farklı biri tarafından kullanılması tek başına yeterli değildir; kullanımın hukuka aykırılığı ortaya konulmalıdır.

Şifre denemeleri, ele geçirilmiş oturum bilgileri veya yazılım açıklıkları erişimin yöntemi olabilir. Ancak yöntemin adı suçun bütün unsurlarını kendiliğinden ispatlamaz. Bir bilgisayarın bulunduğu odaya girmek ile bilgisayarın bilişim sistemine erişmek de farklı olgulardır. Kamuya açık bir sayfayı görüntülemekle yetki gerektiren veri tabanına erişmek arasındaki sınır teknik incelemeyle belirlenmelidir.

2. Manevi Unsur, Rıza ve Yetki Sınırı

Temel suç kasten işlenebilir. TCK 21 uyarınca kast, kanuni unsurların bilerek ve istenerek gerçekleştirilmesidir. Yanlış hesaba yönlendirilme, otomatik oturum açılması veya yetki bulunduğuna ilişkin hata iddiaları peşinen reddedilemez. TCK 30 kapsamındaki hata hükümleri ve olayın teknik koşulları incelenir. Buna karşılık zarar verme amacı bulunmaması, bilerek gerçekleştirilen hukuka aykırı erişimi tek başına hukuka uygun hâle getirmez.

Geçerli rıza ve kullanım yetkisi, erişimin kapsamı bakımından belirleyicidir. Çalışanın bir uygulamaya giriş izni bulunması, tüm şirket sistemlerine sınırsız erişebileceği anlamına gelmez. Öte yandan yalnızca işyeri politikasına veya kullanım sözleşmesine aykırılık saptanmasıyla otomatik mahkûmiyet sonucuna ulaşılamaz. İhlalin niteliği, erişilen alan ve ceza normunun unsurları ayrıca değerlendirilir.

Varsayımsal örnek: Bakım için sınırlı erişim verilen kişinin yetkisi kaldırıldığı hâlde başka bir hesaba girerek erişimini sürdürmesi ile görevlendirildiği işlemi izin sınırları içinde yapması aynı değildir. Görev tanımı, yetkilendirme yazışmaları, erişim tarihleri ve hesap kayıtları bu ayrımda önem taşır.

3. Verilerin Yok Olması, Değişmesi ve TCK 244 Ayrımı

TCK 243/3, hukuka aykırı erişim fiili nedeniyle verilerin yok olması veya değişmesini düzenler. Netice bakımından TCK 23’teki en az taksir koşulu ve nedensellik bağı araştırılmalıdır. Erişimden sonra bir verinin silinmiş bulunması, silmenin mutlaka o kişi tarafından veya o erişim nedeniyle gerçekleştiğini göstermez; başka kullanıcı işlemleri ve sistem arızaları da incelenmelidir.

Failin verileri bozma, silme, değiştirme veya erişilmez kılma kastıyla hareket ettiği olaylarda TCK 244 kapsamında sistemi engelleme ve verilere müdahale gündeme gelebilir. Sisteme veri yerleştirme ve var olan verileri başka yere gönderme de bu maddede ayrıca düzenlenmiştir. Komut çalıştırılması tek başına ayrı bir ağırlaştırıcı neden olarak kabul edilemez; komutun ne yaptığı ve hangi sonucu doğurduğu belirlenmelidir.

TCK 243/4 ise sisteme girilmeksizin veri nakillerinin teknik araçlarla hukuka aykırı izlenmesini düzenler. Bu nedenle dördüncü fıkra, sisteme girişin zorunlu olduğu bir suç gibi açıklanmamalıdır. Kayıtlı verinin elde edilmesi ile aktarım hâlindeki verinin izlenmesi arasındaki teknik fark suç vasfını etkileyebilir.

4. Teşebbüs ve İştirak

TCK 35 uyarınca teşebbüs için suçun elverişli hareketlerle doğrudan icrasına başlanması ve failin elinde olmayan nedenle tamamlanamaması gerekir. Başarısız giriş kayıtları önemlidir; fakat her başarısız parola denemesi suç teşebbüsü değildir. Hesabını açmaya çalışan yetkili kullanıcıyla hukuka aykırı erişim amacı taşıyan kişinin hareketleri ayrıştırılmalıdır. Hazırlık hareketlerinin aşılması, elverişlilik ve kast somutlaştırılmalıdır.

Teşebbüs hükümleri uygulanırsa indirim, meydana gelen zarar veya tehlikenin ağırlığına göre belirlenir. Sisteme erişmeden hizmetin engellenmesi ise koşullarına göre TCK 244 bakımından ayrıca ele alınabilir; sırf sistemin yavaşlaması TCK 243/1’in tamamlandığını göstermez.

Birden fazla kişinin yer aldığı olaylarda TCK 37–40 uygulanır. Fiili birlikte gerçekleştirenler, azmettiren ve yardım eden kişiler ayrı ayrı değerlendirilir. Parola, araç veya teknik destek sağlanması ancak suçla bağlantısı ve kişinin kastı ortaya konulduğunda iştirak sorumluluğu doğurabilir. Bir yazılımı geliştirmek, satmak veya teknik bilgiye sahip olmak tek başına suça katılma kanıtı değildir. Her kişinin katkısı ve kusuru bireyselleştirilmelidir.

5. İçtima ve Diğer Bilişim Suçları

Bilişim suçlarında kullanılan araçlara ilişkin ayrı düzenleme için TCK 245/A yasak cihaz veya programlar suçu incelemesine bakabilirsiniz.

Aynı olayda farklı suçların gündeme gelmesi, her maddeden otomatik olarak ceza verileceği anlamına gelmez. Fiillerin sayısı, hukuki ilişkisi ve korunan değerler değerlendirilerek TCK 42’deki bileşik suç, 43’teki zincirleme suç ve 44’teki fikri içtima hükümleri tartışılır. Ayrı eylemler için ayrı sorumluluk ihtimali de gözetilir. “Her durumda yalnızca ağır olan suç uygulanır” biçiminde genel bir kural kurulamaz.

• TCK 243: Hukuka aykırı giriş, sistemde kalma ve dördüncü fıkradaki veri nakillerini izleme.
• TCK 244: Sistemin işleyişini engelleme veya bozma; verilere maddede belirtilen biçimlerde müdahale.
• TCK 245: Banka veya kredi kartlarının kötüye kullanılması. Bu madde, genel olarak veri silme suçu değildir.
• TCK 135–136: Koşulları varsa kişisel verilerin kaydedilmesi veya hukuka aykırı verilmesi, yayılması ya da ele geçirilmesi.

TCK’nın “Bilişim Alanında Suçlar” bölümündeki suçların işlenmesi suretiyle bir tüzel kişi yararına haksız menfaat sağlanmışsa TCK 246 uyarınca tüzel kişilere özgü güvenlik tedbirleri değerlendirilir. TCK 246, kişiye sistem bozma nedeniyle hapis cezası veren ayrı bir suç tanımı değildir.

6. Şikâyet ve Uzlaştırma

TCK 243’te düzenlenen suçların soruşturulması ve kovuşturulması şikâyete bağlı değildir. Bu nedenle şikâyetten vazgeçme tek başına kamu davasını düşürmez. Yetişkinler bakımından TCK 243, CMK 253/1-b’deki uzlaştırma katalogunda da yer almaz. Sadece zarar oluşmaması veya kişinin ilk kez suç işlemesi, bu suçu uzlaştırma kapsamına sokmaz.

Çocuklar yönünden özel düzenleme vardır: CMK 253/1-c, mağdurun veya suçtan zarar görenin gerçek kişi ya da özel hukuk tüzel kişisi olması koşuluyla, adli süreçteki çocuklar bakımından üst sınırı üç yılı geçmeyen hapis veya adli para cezasını gerektiren suçları ayrıca kapsar. TCK 243 yönünden bu düzenleme ve CMK 253/3’teki sınırlamalar somut dosyada incelenmelidir. Dolayısıyla bütün yaş grupları için koşulsuz biçimde “uzlaştırma uygulanmaz” denilmesi de eksik olur.

7. Görevli Mahkeme ve Zamanaşımı

5235 sayılı Kanun’un 11 ve 12. maddeleri uyarınca TCK 243 kapsamındaki suçlar yönünden genel görevli mahkeme asliye ceza mahkemesidir. Çocuk yargılaması, başka suçlarla bağlantı ve özel görev kuralları ayrıca değerlendirilir. Bir dosyada bilişim sistemi kullanılmış olması, tek başına ağır ceza mahkemesinin görevli olduğunu göstermez.

TCK 66/1-e uyarınca yetişkinler için olağan dava zamanaşımı sekiz yıldır. Sürenin başlangıcı, sistemde kalmanın sona ermesi, zincirleme suç, durma ve kesilme nedenleri ile çocuklara ilişkin hükümler hesabı değiştirebilir. Bu nedenle yalnız olay tarihine sekiz yıl eklenerek kesin sonuç çıkarılmamalıdır. Şikâyete bağlı suçlardaki altı aylık süre de TCK 243 için genel başvuru süresi değildir.

8. Dijital Deliller Nasıl Değerlendirilir?

IP adresi, oturum kaydı veya ekran görüntüsü tek başına bütün soruları yanıtlamaz. Kayıtların zamanı, ilgili hesabın kim tarafından kullanıldığı, erişilen bölüm ve varsa veri işlemleri birlikte incelenmelidir. Ortak cihazlar ve birden fazla kullanıcının bulunması, kişiye isnat bakımından açıklığa kavuşturulması gereken olgulardır.

• Oturum açma ve kapatma kayıtları, başarısız denemeler ve olay zaman çizelgesi korunmalıdır.
• Yetkilendirme belgeleri, iş tanımları ve erişim izninin kaldırıldığına ilişkin kayıtlar toplanmalıdır.
• Veri değişikliği iddiasında önceki ve sonraki kayıtlar, yedekler ve işlem izleri karşılaştırılmalıdır.
• Bilirkişi raporu erişimin yöntemini, bulguların sınırlarını ve alternatif açıklamaları somutlaştırmalıdır.

Bilgisayarda arama, kopyalama ve elkoyma ise suçun maddi unsurundan farklı bir usul konusudur. CMK 134 dijital arama ve elkoyma hükümlerindeki karar koşulları, savcı kararının hâkim onayına sunulması, yedekleme, kopya verilmesi ve cihazın iadesi yükümlülükleri ayrıca gözetilir. Delil toplama işleminin hukuka uygunluğu ile bulgunun güvenilirliği ayrı ayrı denetlenmelidir.

9. Doğrulanmış Yargıtay Kararları

Yargıtay 8. Ceza Dairesi, 2022/526 E., 2024/2623 K.

20 Mart 2024 tarihli kararda, bir internet sitesinin ilan veri tabanına erişildiği ve verilerin başka siteye taşındığı iddiası ele alınmıştır. Bilirkişi raporları erişimin hukuka aykırılığı konusunda çelişmiştir. Daire; giriş yapılan alanın herkese açık bölüm mü, gizli veri tabanı mı olduğunun ve veri aktarımının gerçekleşip gerçekleşmediğinin mevcut log kayıtları üzerinden açıklığa kavuşturulmasını istemiş, eksik incelemeyle verilen mahkûmiyeti bozmuştur.

Kararın önemi, erişimin niteliğinin teknik delillerle belirlenmesidir. Karardan her türlü veri toplama işleminin hukuka uygun olduğu veya bir IP kaydının her durumda mahkûmiyet için yeterli olduğu sonucu çıkarılamaz.

Yargıtay Ceza Genel Kurulu, 2019/239 E., 2021/325 K.

1 Temmuz 2021 tarihli kararda, verilerin sanık tarafından değiştirildiğine ilişkin kesin delil bulunmaması ve bağlantı süresinin araştırılması tartışılmıştır. Karar, 2009 tarihli fiile ve TCK 243/1’in o tarihteki “giren ve orada kalmaya devam eden” metnine ilişkindir. 2016 değişikliğiyle bağlaç “veya” olmuştur. Eski karardaki birlikte gerçekleşme değerlendirmesi güncel maddeye aynen taşınmamalıdır.

İzinsiz erişim bir sosyal medya hesabında gerçekleşmişse sosyal medya hesabının çalınmasında savcılık şikâyeti ve hukuki yollar rehberi, hesap ve erişim kayıtları üzerinden başvuru hazırlığını ele alır.

Sonuç

TCK 243 bakımından doğru değerlendirme; yetkisiz erişimin, kastın ve kişinin fiille bağlantısının ispatına dayanır. Veriye müdahale, başka suçlar ve çocuklara özgü usul kuralları ayrıca ele alınmalıdır. Hesap ihlaliyle birlikte kişisel veriler de açığa çıkmışsa kişisel verileri sızdırılan kişinin hakları; kurumsal sistemlerde ise siber saldırıda şirket ve yönetici sorumluluğu yönünden ek değerlendirme gerekebilir.

Mevzuat kontrolü: 2 Ekim 2026. Kaynaklar: Adalet Bakanlığı UYAP Mevzuat ve İçtihat Programı üzerinden TCK, CMK ve yukarıda bağlantısı verilen kararlar.

AV. İLTAN EKMEKÇİOĞLU