Elektronik Mühür Verisini İzinsiz Kopyalama Suçu: 5070 Ek Madde 1
Elektronik mühür oluşturmak amacıyla, mühür sahibinin rızası veya talebi dışında mühür oluşturma verisini ya da aracını elde etmek, vermek veya kopyalamak 5070 sayılı Kanun Ek m.1’de özel olarak düzenlenir. Hüküm, araçları yeniden oluşturmayı ve izinsiz elde edilen araçlarla izinsiz elektronik mühür üretmeyi de kapsar. Kanundaki ceza bir yıldan üç yıla kadar hapis ve elli günden az olmamak üzere adli para cezasıdır. Suçun unsurları ispatlanmadan yalnızca bir güvenlik açığından ceza sorumluluğu çıkarılamaz.
Uyuşmazlığın belirleyici noktası, kopyalanan şeyin ne olduğudur. Herkese açık sertifika dosyası, imzalanmış belgenin üzerinde görünen mühür simgesi, donanımın seri numarası ve mühür üretmeye yarayan gizli veri aynı değildir. Başvuruda önce teknik nesne tanımlanmalı; sonra edinim, rıza, amaç ve fiili gerçekleştiren kişi delilleriyle gösterilmelidir. Bu yazı elektronik mühür sahibinin başvurusu ile suç isnadı yöneltilen kişinin savunmasında kullanılacak ayrımları inceler.
Hangi kanun maddesi uygulanır?
5070 sayılı Elektronik İmza Kanunu Ek m.1 elektronik mührü, sahibini belirlemek ve belgenin veya verinin kaynağı ile bütünlüğünü güvence altına almak için kullanılan elektronik kayıt olarak düzenler. Mühür sahibi özel hukuk tüzel kişisi de olabilir. Dolayısıyla inceleme yalnız kamu kurumlarının mühürleriyle sınırlı değildir. Bir ticaret şirketine ait elektronik mühür oluşturma aracının izinsiz kopyalanması da bu özel düzenlemenin konusu olabilir; bunun için maddede sayılan bütün unsurlar ayrıca aranır.
Ek m.1’in beşinci fıkrası iki fiil grubunu bir arada düzenler. İlk grupta mühür oluşturma verisi veya aracının rıza ya da talep dışında edinilmesi, verilmesi, kopyalanması ve araçların yeniden oluşturulması vardır. İkinci grupta izinsiz elde edilmiş mühür oluşturma araçlarının kullanılmasıyla izinsiz elektronik mühür oluşturulması bulunur. Kanundaki sözcükler, başvurunun hangi davranışa dayandığını belirlemek için ayrı ayrı okunmalıdır.
TCK m.2 ve m.5 gereğince suç ve cezada kanunilik ile genel ceza hükümleri özel kanundaki bu suçta da geçerlidir. Teknik bakımdan sakıncalı görülen her davranış, kıyas yoluyla Ek m.1’e eklenemez. Özellikle hukuka uygun teslim edilmiş bir aracı sonradan yetki sınırını aşarak kullanma iddiasında, edinimin niteliği ve somut eylemin hangi suç tanımına uyduğu açıklanmalıdır. “Yetkisiz işlem” ifadesi tek başına yeterli hukuki nitelendirme değildir.
Sertifika kopyası ile mühür oluşturma verisi nasıl ayrılır?
Elektronik sertifika doğrulamada kullanılan kimlik ve açık anahtar bilgilerini taşır. Mühür oluşturma verisi ise mühür üretiminde kullanılan, korunması gereken veridir. Soruşturmada ele geçen dosyanın uzantısına bakılarak bu ayrım yapılamaz. Dosyanın içeriği, şifreli olup olmadığı, hangi anahtarı içerdiği ve ilgili sertifikayla teknik ilişkisi bilirkişi incelemesinde belirlenmelidir. Bir belgenin ekindeki sertifikanın kaydedilmesi, gizli anahtarın ele geçirildiğini göstermez.
Araç bakımından da cihazın adı yerine işlevi önem taşır. Bir depolama aygıtı yalnızca mühürlü belge kopyalarını içerirken başka bir donanım mühür üretme işlemini gerçekleştirebilir. Cihaz envanteri, güvenli modül kayıtları, kullanıcı yetkileri ve üretici belgeleri birlikte incelenir. “Token bulundu” biçimindeki tutanak, hangi mühür sahibine ait hangi aracın bulunduğu ve o araçla hangi işlemin yapılabildiği açıklanmadığında teknik soruyu cevaplamaz.
Mühür simgesinin bir PDF üzerine resim olarak yerleştirilmesi de kriptografik elektronik mühür üretimiyle özdeş değildir. Belgenin türüne ve eyleme göre başka sahtecilik suçları araştırılır; fakat görüntü ile elektronik doğrulama kaydı birbirine karıştırılmaz. Fiziki mühürdeki ayrı kapsam için TCK m.202’de mühürde sahtecilik açıklamasına bakılabilir. O hükmün kamu mührüne ilişkin unsurları, elektronik mühür suçuna aynen taşınamaz.
Kopyalama fiili için sahte belgeyle kazanç sağlanması gerekir mi?
Ek m.1 ilk gruptaki fiiller bakımından ayrıca bir malvarlığı zararını veya kazanç elde edilmesini şart koşmaz. Elektronik mühür oluşturma amacıyla ve sahibinin rızası veya talebi dışında kopyalama gerçekleşmişse, değerlendirme bu hareket üzerinden yapılır. Sonradan ticari belge düzenlenmemiş olması tek başına bütün suç ihtimalini ortadan kaldırmaz. Buna karşılık yalnız hazırlık niteliğindeki davranışın tamamlanmış kopyalama olarak sunulması da doğru değildir.
Teşebbüs iddiasında TCK m.35 uyarınca elverişli hareketlerle doğrudan icraya başlanıp başlanmadığı ve tamamlanamamanın kişinin iradesi dışındaki nedenden kaynaklanıp kaynaklanmadığı incelenir. Erişim talebi göndermek, kopyalama işlemini başlatmak ve kullanılabilir veriyi başka ortama aktarmak birbirinden farklı aşamalardır. Başvuruda bu aşamaların zamanları ayrılmalı; tamamlanmış hareket ile yalnız şüphe uyandıran hazırlık birbirine karıştırılmamalıdır.
Elektronik mühür oluşturma amacı, fiilin ayrıca araştırılması gereken unsurudur. TCK m.21’deki kast ölçüsü yanında Ek m.1’in amaç ifadesi esas alınır. Yazışmalar, hazırlanan işlem akışı, hedef sertifika seçimi ve sonraki kullanım kayıtları bu değerlendirmede önemlidir. Salt özensiz saklama veya güvenlik prosedürünün yanlış uygulanması, bu amacı kendiliğinden ispatlamaz. Taksirli davranış ancak kanunda açıkça cezalandırıldığı ölçüde suç oluşturur; TCK m.22 bu sınırı koyar.
Şirket çalışanının erişimi rıza anlamına gelir mi?
Şirketin mühür aracını kullanma yetkisi, görev ve işlem bazında belirlenir. Teknik bakım için sisteme erişim verilmesi, gizli verinin kişisel ortama çıkarılmasına veya üçüncü kişiye verilmesine sınırsız izin değildir. Buna karşılık şirketin yetkili organından gelen açık talimatla yapılan hukuka uygun bakım işlemi, sırf veriyle temas edildiği için izinsiz kopyalama sayılamaz. Talimatın kaynağı, kapsamı ve işlem tarihindeki geçerliliği birlikte değerlendirilir.
Rıza araştırmasında imza sirküleriyle yetinmek de yeterli olmaz. Kurumsal temsil yetkisi, teknik kullanıcı ataması, iç onay süreci ve işlem sınırları farklı belgelerde yer alabilir. Personelin işten ayrıldığı tarih ile hesabının kapatıldığı tarih aynı olmayabilir; açık kalan hesabın varlığı yeni işlem izni verildiğini tek başına kanıtlamaz. Bunun karşılığında, teknik erişim mümkün kaldı diye sonraki her işlemi otomatik olarak eski çalışana yüklemek de mümkün değildir.
Ceza sorumluluğu TCK m.20 gereğince şahsidir. Yönetici, bilgi işlem sorumlusu veya ortak sıfatı, fiili kimin gerçekleştirdiği sorusunu ortadan kaldırmaz. İştirak iddiasında TCK m.37–39 çerçevesinde birlikte gerçekleştirme, azmettirme veya yardım etme davranışı somutlaştırılır. Birden fazla kişinin aynı hesabı kullanması hâlinde kişiyle eylem arasındaki bağlantı ayrıca kurulmalıdır. Kurumsal kayıtların zayıflığı, eksik kişi tespitini varsayımla tamamlama yetkisi vermez.
Hapis, adli para cezası ve çalışanlar için artırım
Kanun, bir yıldan üç yıla kadar hapis ve elli günden az olmamak üzere adli para cezası öngörür. Bunlar “hapis veya para cezası” biçiminde seçimlik yazılmamıştır. Elli gün, elli lira anlamına gelmez. TCK m.52 uyarınca adli para cezasında gün sayısı ile bir gün karşılığı tutar ayrı belirlenir. Somut cezanın tayini, TCK m.61’deki ölçütler ve uygulanacak diğer bireyselleştirme hükümleriyle yapılır.
Suç elektronik sertifika hizmet sağlayıcısının çalışanı tarafından işlenirse ceza yarısına kadar artırılır. Kanun otomatik olarak her olayda tam yarı oranı uygulanacağını söylemez. Ayrıca bu nitelik, mühür sahibi şirketin her çalışanını kapsamaz. Mühür sahibinin muhasebe personeliyle sertifika hizmet sağlayıcısının çalışanı farklı sıfatlardır. İddiada çalışma ilişkisi, hizmet sağlayıcının kimliği ve failin o kuruluştaki konumu belgelenmelidir.
Hizmet sağlayıcının sisteminde bir olay yaşanması, bütün çalışanların cezalandırılması sonucunu doğurmaz. Failin eylemi ve kastı bireysel olarak belirlenir. Aynı şekilde şirketin uğradığı zarar miktarı doğrudan hapis süresi hesabına çevrilemez. Mahkûmiyet kararı verilmesi, cezanın belirlenmesi ve cezanın infazı ayrı hukuki aşamalardır; yalnız kanuni alt ve üst sınırdan hareketle kesin bir infaz sonucu açıklanamaz.
Elektronik imza, sahte sertifika ve mühür suçu aynı mı?
Gerçek kişiye ait elektronik imza oluşturma verisine yönelik fiillerde 5070 m.16; elektronik mühürde Ek m.1; elektronik sertifikada sahtecilikte m.17 ayrı başlangıç noktalarıdır. Nesne ve hareket belirlenmeden yalnız “elektronik sahtecilik” başlığıyla ceza maddesi seçilemez. Elektronik imza özel anahtarının üçüncü kişilerce elde edilmesi hakkındaki güvenlik açıklaması, anahtarın gizliliğini anlamaya yardımcı olur; elektronik mühür dosyasındaki özel ceza normu ayrıca gösterilmelidir.
İzinsiz erişim, veri aktarımı, sahte belge hazırlanması veya haksız menfaat elde edilmesi aynı olayda ayrı fiiller olarak gündeme gelebilir. Ancak her maddeyi otomatik biçimde üst üste uygulamak doğru değildir. Hareketlerin tekliği veya çokluğu, korunan hukuki değer ve suçların birlikte uygulanmasına ilişkin hükümler dosyada incelenir. Başvurunun görevi, gerçekleşmemiş ek suçları sıralamak değil, doğrulanabilir olay akışını ve buna bağlı delilleri ortaya koymaktır.
Hangi kayıtlar korunmalı ve dilekçede ne gösterilmeli?
- Mühür sahibinin kimliği, sertifika seri numarası, geçerlilik dönemi ve olayla ilişkili aracın envanter kaydı.
- Kullanıcı yetkileri, atama ve kaldırma zamanları, bakım talimatları, onay yazışmaları ve işten ayrılış kayıtları.
- Erişim ve işlem günlükleri, doğrulanan mühürlü dosyalar, zaman bilgileri ve kayıtların hangi sistemden alındığı.
- Şüpheli edinim veya kopyalamayı gösteren bulgular ile izin verildiğini gösterebilecek lehe belgeler.
- Sertifika iptali başvurusunun zamanı, sağlayıcının cevabı ve olaydan sonra yapılan koruma işlemleri.
Listeye eklenen her kayıt, belirli bir soruyla ilişkilendirilmelidir. Bir erişim kaydı kişinin kimliğini mi, yalnız hesabı mı gösteriyor? Sistem saati hangi zaman diliminde tutuluyor? Kaydın üretildiği cihaz ile mühür aracının bulunduğu cihaz aynı mı? Otomatik görev hesabı üzerinden işlem yapılmışsa o görevi başlatma veya değiştirme yetkisi kimde? Bu sorular cevaplanmadan teknik günlükten doğrudan fail sonucu çıkarılmaz.
Dosyanın doğrulama sonucu, elektronik mührün teknik olarak belirli bir sertifikayla ilişkisini gösterebilir. Ancak bu sonuç, işlemi yapan gerçek kişinin kimliğini, şirketin o işlem için rızasını ve sözleşme kurmaya yetkili temsilciyi tek başına belirlemez. Delillerin bütünlüğü korunmalı; ilk dosya, inceleme kopyası ve yapılan işlemler kayıt altına alınmalıdır. Dilekçeye bütün gizli anahtarları kontrolsüz biçimde eklemek, delil sunmanın zorunlu yöntemi değildir.
Bilirkişiye hangi sorular yöneltilmeli?
İnceleme talebi yalnız “mühür kopyalanmış mıdır?” sorusundan ibaret bırakılmamalıdır. Hangi dosyanın mühür oluşturmaya elverişli veri içerdiği, verinin hangi ortamdan hangi ortama aktarıldığı ve aktarımın kayıtlarla doğrulanıp doğrulanmadığı ayrı sorulardır. Uzaktan bir hizmete komut gönderilmesi ile gizli anahtarın dışarı çıkarılması aynı teknik olay değildir. Rapor, yalnız işlem çağrısı gördüğü hâlde anahtar kopyalandığı sonucuna ulaşıyorsa aradaki teknik gerekçeyi açıklamalıdır.
İncelemede olay tarihindeki sistem yapılandırması esas alınmalıdır. Sonradan kapatılan bir izin veya değiştirilen yazılım sürümü geçmiş durumu tek başına göstermez. Bilirkişiden dosya bütünlüğünü, kayıtların kaynaklarını, saat farklılıklarını ve alternatif teknik açıklamaları değerlendirmesi istenir. Teknik rapor hukuki kastın veya şirket rızasının yerine geçmez; bu unsurlara ilişkin belgelerle birlikte değerlendirilir. Sonuç bölümünün hangi bulguya dayandığının açıklanması, hem mağdurun iddiasının hem savunmanın denetlenebilmesini sağlar.
Olay öğrenilince erişim ve sertifika bakımından ne yapılır?
Şüpheli kullanım sürüyorsa koruma ile delil muhafazası birlikte yürütülür. Yetkili hesaplar sınırlandırılırken hangi değişikliğin ne zaman yapıldığı kaydedilir. Sertifika hizmet sağlayıcısına olay bildirimi ve gerekiyorsa iptal talebi ayrı süreçtir. Elektronik Mühre İlişkin Usul ve Esaslar Hakkında Yönetmelik m.12 iptal işlemlerinin çerçevesini düzenler. Ceza başvurusu yapılması, sağlayıcıya iletilmesi gereken iptal talebinin yerine kendiliğinden geçmez.
İptal, geçmişteki bütün belgelerin otomatik olarak sahte sayılması anlamına gelmez. Her belgenin oluşturulma zamanı, doğrulama verileri ve olayla ilişkisi ayrı incelenir. Benzer operasyonel ayrım elektronik imza token kaybı ve sertifika iptali açıklamasında da görülür. Elektronik mühürde ise ilgili yönetmelik ve mühür sahibi tüzel kişinin yetkili başvurusu esas alınmalıdır. Silinen günlükler veya yeniden kurulan cihazlar sonradan yapılacak incelemeyi güçleştirir.
Suç duyurusu ve dijital incelemenin güncel usulü
CMK m.158 uyarınca ihbar veya şikâyet Cumhuriyet başsavcılığına ya da kolluğa yazılı veya tutanağa geçirilmek üzere sözlü yapılabilir. Başvuruda suç adının yanına olay tarihi, öğrenme tarihi, ilgili araç, rızanın neden bulunmadığı ve korunması istenen kayıtlar yazılır. CMK m.160 gereğince savcı hem lehe hem aleyhe delilleri toplar. Fail konusunda kesin bilgi yoksa bilinmeyen kişi yerine belirli bir kişiyi kesin fail olarak göstermek gerekmez.
Ekim 2026 itibarıyla CMK m.134, şüphelinin kullandığı bilgisayar ve kayıtlarda arama ve kopyalama için somut delillere dayanan kuvvetli şüpheyi ve başka yolla delil elde edilememesini arar. Kararı hâkim, gecikmesinde sakınca bulunan durumda savcı verir; savcı kararı yirmi dört saatte hâkim onayına sunulur, hâkim de en geç yirmi dört saatte karar verir. Şirketin kendi iç incelemesi, ceza soruşturmasındaki bu tedbir kararının yerine geçmez.
Güncel yürürlük ayrımı önemlidir: resmî CMK metnindeki dipnota göre Anayasa Mahkemesinin 12.02.2026 tarihli, E.2023/128, K.2026/36 sayılı kararıyla m.134 iptal edilmiş; iptalin yürürlüğü 25.02.2027’ye bırakılmıştır. Bu nedenle Ekim 2026’da maddeyi yürürlükten kalkmış gibi göstermek yanlıştır. Daha sonraki inceleme işleminde o tarihteki yürürlük düzeni ayrıca kontrol edilmelidir. CMK m.217 ise hükmün hukuka uygun elde edilmiş ve duruşmada tartışılmış delillere dayanmasını gerektirir.
Şikâyet ve zamanaşımı bakımından hangi süre izlenir?
Ek m.1’de bu suçun takibi şikâyete bağlı kılınmamıştır. Dolayısıyla şikâyete bağlı suçlar için kullanılan altı aylık süre, bu suçun genel başvuru süresi olarak açıklanamaz. Buna karşılık süre bulunmadığı veya sınırsız beklenebileceği sonucu da çıkmaz. TCK m.66/1-e çerçevesinde yetişkin fail bakımından temel dava zamanaşımı sekiz yıldır; m.67’deki durma ve kesilme sebepleri ile kişinin yaşı ayrıca hesaba katılır.
Zamanaşımı hesabında öğrenme günü ile suçun işlendiği gün birbirine karıştırılmamalıdır. Elde etme, kopyalama ve sonraki kullanım iddialarının tarihleri ayrı kaydedilir. Fiilin hukuki niteliği ve tamamlanma zamanı, başlangıç hesabını etkiler. Şirketin iç denetimi bitirmesini beklemek teknik günlüklerin saklama süresini uzatmaz. Hukuki süre hesabı ile silinebilecek delilin korunması için gereken hız iki ayrı meseledir.
Sık sorulan sorular
Elektronik mühür verisini kopyalamanın cezası nedir?
5070 Ek m.1’deki amaç, rıza dışılık ve fiil unsurları oluştuğunda ceza bir yıldan üç yıla kadar hapis ve elli günden az olmamak üzere adli para cezasıdır. Somut ceza ayrıca belirlenir.
Herkese açık sertifikayı indirmek aynı suçu oluşturur mu?
Sertifika ile gizli mühür oluşturma verisi farklıdır. Açık sertifikanın indirilmesi, gizli verinin veya mühür oluşturma aracının ele geçirilmesini tek başına göstermez. Ele geçen nesnenin teknik niteliği belirlenmelidir.
İzinsiz kopyalamadan sonra mühürlü belge hazırlanması şart mı?
İlk gruptaki edinme, verme veya kopyalama fiillerinde ayrıca belge hazırlanması zorunlu unsur olarak yazılmamıştır. Elektronik mühür oluşturma amacı, rıza dışılık ve ilgili hareketin gerçekleşmesi yine ispatlanmalıdır.
Şirket çalışanının hesabının açık kalması izin sayılır mı?
Teknik erişim imkânı sınırsız hukuki yetki değildir. Görev, talimat, yetkinin kapsamı ve olay tarihindeki geçerliliği incelenir. Açık hesap da tek başına işlemi belirli çalışanın yaptığını kanıtlamaz.
Her çalışan için ceza yarı oranında artırılır mı?
Hayır. Artırım elektronik sertifika hizmet sağlayıcısı çalışanının işlediği suç içindir. Kanun yarısına kadar artırım der; mühür sahibi şirketin her çalışanını kapsayan otomatik yarı artırım düzenlemez.
Mühür resmi bir PDF üzerine yapıştırılırsa Ek m.1 uygulanır mı?
Görüntünün yapıştırılmasıyla kriptografik elektronik mühür oluşturulması aynı değildir. Nesne ve eylem araştırılır; belgenin niteliğine göre başka sahtecilik hükümleri ayrıca değerlendirilir. Yalnız görünümden elektronik mühür suçu sonucu çıkarılmaz.
Sertifika iptal edilince geçmiş bütün belgeler geçersiz olur mu?
İptal tek başına geçmiş belgelerin tamamını sahte veya geçersiz kılmaz. Her belgenin oluşturulma zamanı, doğrulama bilgileri, yetki durumu ve inceleme konusu fiille ilişkisi ayrıca ele alınır.
Suç duyurusu için altı ay içinde başvurmak zorunlu mu?
Ek m.1’de şikâyet şartı bulunmaz. Altı aylık şikâyet süresi bu suçun genel süresi değildir. Dava zamanaşımı TCK m.66–67 ile; delil korumasının aciliyeti ise kayıtların durumu üzerinden değerlendirilir.
Elektronik mühür geçerli görünüyorsa fail kesin belli midir?
Hayır. Teknik doğrulama belirli sertifikayla ilişkiyi gösterir; işlemi yapan gerçek kişiyi, şirketin rızasını ve kişinin temsil yetkisini tek başına ispatlamaz. Kullanıcı, cihaz ve işlem kayıtları birlikte incelenir.
CMK 134 Ekim 2026’da yürürlükte mi?
Evet. Resmî metindeki AYM iptal notuna göre iptalin yürürlük tarihi 25 Şubat 2027’dir. Ekim 2026’daki işlemde mevcut hüküm uygulanır; sonraki işlemlerde güncel yürürlük düzeni yeniden kontrol edilir.
İstanbul ve Mersin ofisleri
İstanbul · Polaris Plaza
Maslak Ahi Evran Caddesi, Polaris Plaza No:21, Kat:9, 34475 Sarıyer/İstanbulMersin · Profit İş Merkezi
İhsaniye Mahallesi, 4903. Sokak, Profit İş Merkezi No:23, Kat:3, Daire:14, 33070 Akdeniz/MersinHukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
