Gerçeğe Aykırı Veri Sızıntısı Haberi Paylaşmak Suç mu? 7545 m.16/5 | 2026

Veri ihlali iddiaları sosyal medyada ve mesajlaşma uygulamalarında çok hızlı yayılmaktadır. Bir şirket veya kamu kurumu hakkında “milyonlarca kayıt sızdı” şeklindeki doğrulanmamış bir paylaşım, dakikalar içinde itibar ve güvenlik krizi yaratabilir. 7545 sayılı Siber Güvenlik Kanunu, gerçek veri sızıntılarının izinsiz paylaşılmasını ayrı bir suç olarak düzenlediği gibi, gerçekte sızıntı olmadığı hâlde sızıntı varmış gibi içerik üretme ve yayma davranışını da belirli şartlarla suç hâline getirmiştir.

Bu hüküm ifade özgürlüğü, haber verme, eleştiri ve siber güvenlik araştırmasıyla doğrudan temas eder. Bu nedenle m.16/5’in uygulanmasında suçun bütün unsurlarının dar ve somut biçimde incelenmesi gerekir. Yanlış çıkan her haber veya teknik tahmin otomatik olarak suç değildir. Kanun, özel olarak halk arasında endişe, korku ve panik yaratma veya kurum ya da kişileri hedef gösterme amacıyla oluşturulan/yayılan gerçeğe aykırı veri sızıntısı içeriğini cezalandırır.

• 7545 m.16/5’in unsurları nelerdir?
• Her yanlış sızıntı haberi suç mudur?
• Özel amaç unsuru nasıl değerlendirilir?
• İçeriği oluşturmak ile yaymak arasındaki fark nedir?
• Retweet, yeniden paylaşım veya mesaj iletmek suç olabilir mi?
• Gazetecilik faaliyeti nasıl değerlendirilir?
• Siber güvenlik araştırmacısının sorumluluğu nedir?
• Şirket yanlış sızıntı iddiasına nasıl cevap vermeli?
• Dijital deliller nasıl korunmalı?
• İfade özgürlüğü ve suç tipi nasıl dengelenir?

1. 7545 m.16/5 Hangi Fiilleri Suç Sayıyor?

Kanun m.16/5’e göre siber uzayda siber güvenlikle ilgili veri sızıntısı olmadığı hâlde, halk arasında endişe, korku ve panik yaratmak ya da kurumları veya şahısları hedef göstermek amacıyla sanki veri sızıntısı yapılmış gibi gerçeğe aykırı içerik oluşturan veya bu maksatla yayan kişi cezalandırılır.

Ceza 2 yıldan 5 yıla kadar hapistir. Hüküm iki seçimlik hareket öngörür: gerçeğe aykırı içeriği oluşturmak ve bu maksatla yaymak. İçeriği ilk yazan ile daha sonra belirli maksatla dolaşıma sokan farklı kişiler olabilir.

Suçun konusu siber güvenlikle ilgili veri sızıntısı iddiasıdır. Her yanlış şirket haberi veya her hatalı teknoloji yorumu bu madde kapsamına girmez.

2. Her Yanlış Veri Sızıntısı Haberi Suç mudur?

Hayır. Ceza hukukunda suçun bütün kanuni unsurlarının gerçekleşmesi gerekir. m.16/5 yalnız içeriğin gerçeğe aykırı olmasını yeterli görmez; ayrıca hükümde belirtilen amaçlardan birinin bulunmasını arar.

Bir gazetecinin güvenilir görünen kaynağa dayanarak yaptığı fakat sonradan yanlış olduğu anlaşılan haber, sırf yanlış sonuçlandığı için otomatik olarak m.16/5 suçu oluşturmaz. Bilgi kaynağı, doğrulama çabası, kullanılan dil, failin amacı ve içeriğin yayılma biçimi somut olayda değerlendirilir.

Benzer şekilde teknik bir araştırmacının “şüpheli veri setinin bu kuruma ait olabileceği” yönündeki temkinli değerlendirmesi ile “kesin olarak veri sızdırıldı” şeklinde bilerek gerçeğe aykırı içerik üretmesi aynı değildir.

3. Hangi Amaçların Bulunması Gerekir?

Kanun iki alternatif amaç sayar. Birincisi halk arasında endişe, korku ve panik yaratmaktır. İkincisi kurumları veya şahısları hedef göstermektir. Failin davranışı bu amaçlardan en az biriyle gerçekleştirilmelidir.

Özel amaç, doğrudan itirafla ispat edilmek zorunda değildir; paylaşımın dili, zamanlaması, tekrar sayısı, kullanılan görseller, mesajlaşmalar, hedef alınan kişi veya kurum ve olayın bağlamı birlikte değerlendirilebilir. Ancak sırf paylaşımın geniş kitleye ulaşması, özel amaç unsurunu kendiliğinden ispatlamaz.

Ceza hukukunda şüpheden sanık yararlanır ilkesi geçerlidir. Özel amaç somut delillerle ortaya konulmalıdır.

4. “Veri Sızıntısı Olmadığı Hâlde” Unsuru Ne Anlama Gelir?

m.16/5’in uygulanabilmesi için iddia edilen veri sızıntısının gerçekte bulunmaması gerekir. Gerçek bir veri sızıntısının haber verilmesi veya tartışılması bu fıkranın “sızıntı olmadığı hâlde” unsurunu karşılamaz. Gerçek sızıntıda verinin kendisinin izinsiz paylaşılması ise m.16/4 başta olmak üzere başka hükümleri gündeme getirebilir.

Gerçek sızıntı ile yanlış iddia ayrımı teknik inceleme gerektirebilir. Kurumun “bizde sızıntı yok” açıklaması tek başına her durumda teknik gerçeği ispatlamaz; sistem logları, olay müdahale bulguları ve veri setinin kaynağı araştırılmalıdır.

5. İçeriği Oluşturmak ile Yaymak Arasındaki Fark

İçerik oluşturmak, gerçeğe aykırı veri sızıntısı iddiasının hazırlanmasıdır. Metin, görsel, sahte ekran görüntüsü, sahte veri listesi veya video bu kapsama girebilir. Yaymak ise içeriğin başkalarının erişimine sunulması veya dolaşıma sokulmasıdır.

Kanun “bu maksatla yayan” ifadesini kullanır. Bu nedenle başkasının içeriğini yeniden paylaşan kişinin de hükümde aranan özel amaçla hareket edip etmediği incelenir. Otomatik veya bağlamsız her yeniden paylaşım aynı hukuki nitelendirmeye tabi tutulamaz.

6. Retweet, Repost veya Mesaj İletmek Suç Olabilir mi?

Dijital platformdaki teknik butonun adı ceza hukuku bakımından belirleyici değildir. “Yayma” fiili, içeriğin daha fazla kişiye ulaştırılması sonucunu doğurabilecek çeşitli davranışlarla gerçekleşebilir. Retweet, repost, gruba iletme veya kanal paylaşımı somut olaya göre yayma olarak değerlendirilebilir.

Ancak yine gerçeğe aykırılık ve özel amaç unsurlarının bulunması gerekir. İçeriği eleştirmek, doğruluğunu sorgulamak veya haberin yanlış olduğunu göstermek amacıyla alıntılamak ile hedef gösterme veya panik yaratma amacıyla yaymak birbirinden ayrılmalıdır.

Paylaşımın bağlamı korunmalıdır. Sadece ekran görüntüsünden hareketle değerlendirme yapılması yerine gönderinin öncesi ve sonrası, açıklama metni ve etkileşim zinciri incelenmelidir.

7. Gazeteciler ve Haber Siteleri Açısından Risk

Gazetecilik faaliyeti Anayasa ve Avrupa İnsan Hakları Sözleşmesi kapsamında ifade ve basın özgürlüğüyle korunur. Buna karşılık bilinçli biçimde gerçeğe aykırı içerik üretme ve kanundaki özel amaçlarla yayma davranışı ceza normunun konusudur.

Haber merkezleri siber olay iddialarında en az iki aşamalı doğrulama yapmalı, kurumun görüşünü sormalı, teknik kaynağın güvenilirliğini değerlendirmeli ve kesinleşmemiş bilgiyi kesin olgu gibi sunmamalıdır. Ham sızdırılmış kişisel verilerin habere eklenmesi ayrıca m.16/4 ve KVKK/TCK riskleri doğurabilir.

Bir sızıntının varlığını haberleştirmek için kişilerin kimlik, sağlık, finans veya parola bilgilerinin yayımlanması çoğu durumda gerekli değildir.

8. Siber Güvenlik Araştırmacıları Nasıl Hareket Etmeli?

Araştırmacı şüpheli veri seti veya zafiyet tespit ettiğinde sorumlu açıklama yöntemi kullanmalıdır. İlgili şirket veya kurumla güvenli iletişim kurulmalı, Başkanlık bildirim yükümlülükleri dikkate alınmalı ve doğrulanmamış iddia kesin sızıntı gibi kamuya sunulmamalıdır.

Araştırmacının teknik bulguyu kanıtlamak amacıyla gereğinden fazla kişisel veri yayımlaması ayrıca hukuki risk doğurur. Örneklerin maskelenmesi ve veri minimizasyonu tercih edilmelidir.

9. Bir Şirket Hakkında Sahte Sızıntı İddiası Yayılırsa Ne Yapmalı?

Şirket ilk olarak iddianın teknik olarak doğru olup olmadığını hızla doğrulamalıdır. “Kesinlikle sızıntı yok” açıklaması yapmadan önce SOC kayıtları, erişim logları, veri tabanı hareketleri ve ilgili sistemler incelenmelidir.

İddia gerçek değilse deliller korunmalıdır. İlk paylaşım, hesap bilgileri, URL, tarih/saat, ekran görüntüsü, paylaşım zinciri ve varsa sahte veri örnekleri kayıt altına alınmalıdır. Platformlara kaldırma/şikâyet başvuruları yapılırken delil kaybına yol açılmamalıdır.

Fiilin m.16/5 veya başka suçları oluşturduğu düşünülüyorsa Cumhuriyet başsavcılığına suç duyurusu ve şartları varsa kişilik hakkı/erişim engeli yolları değerlendirilebilir.

10. İddia Gerçek Çıkarsa Ne Değişir?

Teknik inceleme gerçek veri sızıntısı bulunduğunu gösterirse m.16/5’teki “veri sızıntısı olmadığı hâlde” unsuru bakımından durum değişir. Ancak sızdırılmış verileri izinsiz paylaşan kişiler m.16/4 kapsamında; saldırıyı gerçekleştirenler ise m.16/6 ve TCK’daki bilişim suçları bakımından değerlendirilebilir.

Şirket de 7545 m.7/1-b kapsamında zafiyet veya siber olayı gecikmeksizin Başkanlığa bildirme ve kişisel veri varsa KVKK bildirim yükümlülüklerini yerine getirme durumundadır.

11. İfade Özgürlüğü ile Ceza Normu Arasındaki Sınır

Ceza normları, ifade özgürlüğünü gereksiz şekilde sınırlandırmayacak biçimde kanunilik ve ölçülülük ilkeleriyle uygulanmalıdır. Kurumlara yönelik sert eleştiri, veri güvenliği performansını sorgulama veya doğrulanmış siber olayları tartışma m.16/5 ile aynı şey değildir.

Hükmün odağı, veri sızıntısı olmadığı hâlde belirli özel amaçlarla sızıntı varmış gibi gerçeğe aykırı içerik üretme/yaymadır. Bu unsurların somut olayda açıkça gösterilmesi gerekir.

12. Deliller Nasıl Toplanmalı?

• İlk paylaşımın tam URL’si ve tarih/saat bilgisi,
• Gönderinin ekran görüntüsü ve mümkünse arşiv kaydı,
• Paylaşım hesabının kullanıcı adı ve profil bilgileri,
• İçeriğin yayılma zinciri,
• Sahte veri seti veya görsel varsa bütünlük/hash kaydı,
• Şirket sistemlerinde sızıntı olmadığını gösteren teknik inceleme raporu,
• Olay tarihindeki erişim ve güvenlik logları,
• Kurum açıklamaları ve platform başvuru kayıtları,
• Failin amacına ilişkin mesaj veya diğer deliller,
• İtibar veya operasyon etkisine ilişkin kayıtlar.

13. 7545 m.16/4 ile m.16/5 Arasındaki Fark

m.16/4 gerçek veri sızıntısından kaynaklanan kişisel veya kritik kurumsal verilerin izinsiz erişime açılması, paylaşılması veya satışa çıkarılmasını cezalandırır. Ayrıntılar için sızdırılmış veriyi paylaşma suçu rehberi incelenebilir.

m.16/5 ise veri sızıntısı olmadığı hâlde sızıntı varmış gibi gerçeğe aykırı içerik oluşturma veya belirli maksatla yaymayı cezalandırır. İki suçun maddi konusu ve fiil yapısı farklıdır.

14. Site İçindeki İlgili Rehberler

Siber olay bildirimleri için m.7/1-b rehberi, genel siber suç ve uyum içerikleri için Siber Güvenlik Hukuku ve Bilişim ve Ceza Hukuku bölümleri incelenebilir.

15. Resmî Kaynaklar

• Siber Güvenlik Başkanlığı – Mevzuat
• TBMM – 7545 Sayılı Siber Güvenlik Kanunu
• 5237 sayılı Türk Ceza Kanunu

16. Sık Sorulan Sorular

Yanlış veri sızıntısı haberi paylaşmanın cezası nedir?

m.16/5 şartları oluşursa 2 yıldan 5 yıla kadar hapis cezası öngörülür.

Her yanlış haber suç mu?

Hayır. Gerçeğe aykırılığa ek olarak halk arasında endişe, korku ve panik yaratma veya kişi/kurum hedef gösterme amacı aranır.

Retweet suç olabilir mi?

Somut olayda “yayma” fiili ve özel amaç unsuru varsa değerlendirilebilir; otomatik olarak her retweet suç değildir.

Gerçek sızıntıyı haber vermek m.16/5 midir?

Hayır. Bu fıkra “veri sızıntısı olmadığı hâlde” gerçeğe aykırı içerik için düzenlenmiştir.

Gerçek sızıntı verilerini yayımlamak serbest mi?

Hayır. m.16/4 ve başka kişisel veri/bilişim suçu hükümleri gündeme gelebilir.

Gazeteci yanlış bilgi nedeniyle otomatik cezalandırılır mı?

Hayır. Suçun tüm unsurları, bilgi kaynağı, doğrulama süreci ve özel amaç somut olayda incelenir.

Şirket ilk olarak ne yapmalı?

İddianın teknik doğruluğunu kontrol etmeli ve dijital delilleri korumalıdır.

Sızıntı yoksa teknik rapor önemli mi?

Evet. İddianın gerçeğe aykırı olduğunun gösterilmesinde teknik inceleme ve loglar önem taşır.

İçeriği sonradan silmek cezayı kaldırır mı?

Silme, daha önce tamamlanmış fiilin hukuki sonucunu otomatik olarak kaldırmaz.

Eleştiri ile suç arasındaki fark nedir?

Sert eleştiri veya doğrulanmış olayı tartışmak ayrı; kanundaki özel amaçla gerçek dışı veri sızıntısı içeriği oluşturmak/yaymak ayrıdır.

17. Uygulamada İzlenecek Net Yol

Bir veri sızıntısı iddiası ortaya çıktığında kurum önce teknik doğrulamayı tamamlamalı, fakat delilleri kaybetmemelidir. Gerçek dışı iddia söz konusuysa paylaşım zinciri ve teknik durum belgelenmeli; ceza, platform ve kişilik hakkı yolları somut olayın şartlarına göre birlikte değerlendirilmelidir.

Bakırcı & Keskin Hukuk Bürosu, gerçeğe aykırı siber olay iddiaları, veri sızıntısı, bilişim suçları ve dijital delil süreçlerini ceza hukuku ve siber güvenlik mevzuatı çerçevesinde incelemektedir. Türkiye genelindeki çalışmalar Mersin’deki tek fiziksel ofisten koordine edilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →