Siber Güvenlik Başkanlığına Bilgi Vermemenin Cezası: 7545 m.16/1 Rehberi 2026
7545 m.16/1 hangi fiili suç sayıyor?
7545 sayılı Siber Güvenlik Kanunu’nun 16. maddesi, Kanuna aykırı davranışlar için ceza ve idari yaptırım hükümlerini düzenler. Maddenin birinci fıkrası, yetkili mercilerin ve denetim görevlilerinin görevleri kapsamında talep ettiği belirli bilgi ve materyalleri vermemeyi veya bunların alınmasına engel olmayı doğrudan ceza hukuku yaptırımına bağlar. Düzenleme kamu kurum ve kuruluşlarını bu fıkranın fail grubunun dışında tutar.
Suçun konusu yalnızca klasik yazılı belge değildir. Kanun bilgi, belge, yazılım, veri ve donanımı ayrı ayrı sayar. Bu nedenle talebin dijital dosyaya, log kaydına, güvenlik yazılımı çıktısına, cihaz veya donanıma, sistem bilgisine ya da fiziki belgeye yönelmesi mümkündür. Ancak talep, yetkili merci veya denetim görevlisinin görev alanı içinde olmalıdır.
Bir talebin Siber Güvenlik Başkanlığından geldiği söylenmesi tek başına her davranışı suç haline getirmez. Talebin gerçek ve yetkili makamdan gelmesi, görevin kapsamıyla bağlantılı olması ve istenen materyalin m.16/1’de sayılan konular içinde bulunması gerekir. Ceza normları dar yorumlanır; suçun bütün unsurları somut olayda ispatlanmalıdır.
Kimler 7545 m.16/1 kapsamında sorumlu olabilir?
Kanun, kamu kurum ve kuruluşları hariç olmak üzere ifadesini kullanır. Bu nedenle özel hukuk tüzel kişileri, ticari işletmeler, siber güvenlik şirketleri, kritik altyapı işletmecileri, gerçek kişiler ve Kanun kapsamındaki diğer özel hukuk aktörleri somut fiilin şartlarına göre suçun muhatabı olabilir. Kamu kurum ve kuruluşları için aynı fıkra uygulanmaz; bu kuruluşların sorumlulukları farklı kamu hukuku ve disiplin hükümleri çerçevesinde değerlendirilir.
Bir şirkete yöneltilen talepte ceza sorumluluğu şirket tüzel kişiliğine otomatik hapis cezası şeklinde yüklenmez. Türk ceza hukukunda ceza sorumluluğu şahsidir. Talebin kim tarafından alındığı, bilgi veya materyali verme yetkisinin kimde olduğu, kimin engelleme kararı aldığı ve fiilin kasten gerçekleştirilip gerçekleştirilmediği ayrı ayrı incelenir.
Teknik personelin yetkisi olmadığı için bir veriyi tek başına paylaşmaması ile şirket yöneticisinin kanuni talebin yerine getirilmesini bilinçli şekilde durdurması aynı hukuki olay değildir. Görev dağılımı, iç yazışmalar, talep kayıtları ve erişim yetkileri sorumluluğun belirlenmesinde önem taşır.
Yetkili merciler hangi bilgi, belge, yazılım, veri ve donanımı isteyebilir?
7545 sayılı Kanun, siber güvenlik alanında Başkanlığa ve denetim görevlilerine geniş fakat görevle sınırlı yetkiler verir. m.6/1-ç, Başkanlığın görev alanıyla sınırlı olmak kaydıyla ihtiyaç duyduğu her türlü bilgi, belge, veri ve kayıtları alabilmesini düzenler. m.7/1-a ise Kanun kapsamındaki yükümlülerin Başkanlığın görev ve faaliyetleri kapsamında talep ettiği veri, bilgi, belge, donanım, yazılım ve diğer katkıları öncelikle ve zamanında iletmesini zorunlu tutar.
m.8/4 denetim görevlilerinin elektronik ortamdaki veri ve belgeleri, elektronik altyapıyı, cihazları, sistemleri, yazılım ve donanımı inceleyebilmesine; kopya, dijital suret veya örnek alabilmesine ve açıklama isteyebilmesine izin verir. Böylece m.16/1’deki ceza hükmü Kanunun maddi yükümlülükleriyle bağlantılı uygulanır.
Talebin görev alanı dışında olması halinde ceza normunun uygulanması bakımından yetki unsuru tartışılır. Kuruluşun yapması gereken talebi yok saymak değil; talebin makamını, dayanağını, kapsamını ve teslim yöntemini hukuk birimiyle doğrulamaktır. Yetki tartışması varsa kayıt altına alınmalı ve usulüne uygun hukuki başvuru yapılmalıdır.
Bilgi veya belge vermemek ne anlama gelir?
Vermemek, usulüne uygun ve görev kapsamında talep edilen bilgi veya materyalin ilgili makama sunulmamasıdır. Hiç cevap verilmemesi, istenen dosyanın bilinçli şekilde saklanması, mevcut olduğu bilinen bir kaydın yokmuş gibi gösterilmesi veya teslimi mümkün olduğu halde reddedilmesi bu kapsamda değerlendirilebilir.
Gerçekten mevcut olmayan bir belgenin sunulamaması ile mevcut belgenin bilinçli biçimde verilmemesi aynı değildir. Ceza sorumluluğu için failin iradesi, belgenin varlığı, talebin kapsamı ve teslim imkanları incelenir. Teknik arıza veya mücbir sebep iddiası varsa bunun kayıt ve delillerle ortaya konulması gerekir.
Talepte verilen süre de önemlidir. m.7/1-a öncelikle ve zamanında iletim yükümlülüğü getirir. Hazırlanması teknik işlem gerektiren büyük veri setiyle hazır bir kayıt aynı değildir; fakat yükümlü kuruluş gecikmeyi kendi takdiriyle sınırsız uzatamaz.
Alınmasına engel olmak hangi davranışları kapsar?
m.16/1 yalnızca vermeme fiilini değil, istenen bilgi, belge, yazılım, veri veya donanımın alınmasına engel olmayı da suç olarak düzenler. Denetim sırasında sistemin kasıtlı kapatılması, erişim yetkisinin bilinçli biçimde kaldırılması, cihazın saklanması veya verinin alınmasını önlemek amacıyla teknik engel oluşturulması somut olaya göre bu kapsamda değerlendirilebilir.
Her teknik kesinti otomatik engelleme değildir. Sistem arızası, elektrik kesintisi, servis sağlayıcı problemi veya güvenlik nedeniyle uygulanan zorunlu tedbir ile kasıtlı engelleme birbirinden ayrılmalıdır. Olay logları, bakım kayıtları ve kurum içi yazışmalar bu ayrımda önem taşır.
Engelleme fiilinde yetkili makamın hangi işlemi yapmaya çalıştığı, yükümlünün hangi davranışı gerçekleştirdiği ve davranışın veri veya materyalin alınmasını gerçekten önleyip önlemediği somut deliller üzerinden değerlendirilir.
Denetim görevlisinin istediği veriyi vermemek de m.16/1 kapsamında mı?
Evet. m.16/1 açık biçimde yetkili mercilerin ve denetim görevlilerinin görevleri kapsamında istedikleri materyalleri düzenler. Bununla birlikte denetim görevlisinin yetkisi sınırsız değildir. 7545 m.8/4, yetkinin yürütülen denetim faaliyetiyle sınırlı olduğunu belirtir.
Denetim görevlisi veri veya belgenin incelenmesini, kopyasını, dijital suretini veya örneğini isteyebilir; yazılı veya sözlü açıklama talep edebilir. Denetime tabi kuruluş ilgili cihaz, sistem, yazılım ve donanımı verilen süre içinde denetime açık tutmak ve gerekli altyapıyı çalışır halde bulundurmak zorundadır.
Denetim yükümlülüklerinin ayrıca m.16/11’de idari para cezası vardır. Aynı olayda m.16/1’deki ceza normu ile m.16/11’deki idari yaptırımın uygulanabilirliği fiilin niteliği üzerinden değerlendirilir.
m.7/1-a ile m.16/1 arasındaki bağlantı nedir?
m.7/1-a, yükümlünün Başkanlığın görev ve faaliyetleri kapsamında talep ettiği veri, bilgi, belge, donanım, yazılım ve diğer katkıları öncelikle ve zamanında iletmesini emreder. m.16/1 ise yetkili merci ve denetim görevlisinin istediği bilgi, belge, yazılım, veri ve donanımı vermemeyi veya alınmasına engel olmayı suç olarak düzenler.
Bu iki hüküm aynı konunun farklı hukuki katmanlarını oluşturur. m.7 yükümlülüğü tanımlar; m.16 yaptırımı belirler. Bunun yanında güncel m.16/10, 31 Temmuz 2026 tarihinde yürürlüğe giren değişiklik sonrasında m.7/1-a’yı da açık şekilde idari para cezası kapsamına almıştır.
Başkanlığın veri ve belge talebine ilişkin ayrıntılar için 7545 m.7/1-a veri ve belge talebi rehberimize; log kayıtları ve veri koruma sınırları için 7545 m.6 log kayıtları rehberimize bakılabilir.
7545 m.16/1’in hapis ve adli para cezası nedir?
Kanun m.16/1, suçun cezasını bir yıldan üç yıla kadar hapis ve beş yüz günden bin beş yüz güne kadar adli para cezası olarak belirlemiştir. Hükümde ve bağlacı kullanıldığı için hapis ile adli para cezası birlikte öngörülmüştür.
Adli para cezasının günlük miktarı Türk Ceza Kanunu’nun genel hükümlerine göre belirlenir. Mahkeme önce gün sayısını kanuni aralıkta belirler, ardından bir gün karşılığı miktarı sanığın ekonomik ve şahsi durumunu dikkate alarak TCK’daki güncel sınırlar içinde takdir eder. Bu nedenle yalnızca 500 gün denilerek sabit TL tutarı çıkarılamaz.
Hapis cezasının kişiselleştirilmesi, erteleme, seçenek yaptırım veya diğer ceza hukuku sonuçları hükmedilen ceza ve failin durumuna göre ayrıca değerlendirilir. 7545 m.16/1 tek başına mahkemenin sonucunu peşinen belirlemez.
m.16/10’daki 1–10 milyon TL idari para cezası ne zaman gündeme gelir?
7545 m.16/10’un 31 Temmuz 2026 itibarıyla yürürlükteki halinde, m.7/1’in (a), (b) ve (c) bentlerindeki görev ve sorumluluklarını yerine getirmeyenlere bir milyon Türk lirasından on milyon Türk lirasına kadar idari para cezası verilir. Bu düzenleme 7590 sayılı Kanunla güncellenmiştir.
m.7/1-a kapsamındaki bilgi, belge, veri, donanım veya yazılımı öncelikle ve zamanında iletmeme bu nedenle idari yaptırım bakımından da önemlidir. m.16/1 ceza hukuku suçudur; m.16/10 ise idari yaptırımdır. Somut eylemin hangi unsurları oluşturduğu ayrıca belirlenir.
İdari para cezası verilmeden önce m.17 uyarınca ilgilinin savunması alınır. Savunma istem yazısının tebliğinden itibaren otuz gün içinde savunma yapılmazsa savunma hakkından feragat edilmiş sayılır. İdari para cezasına karşı idari yargı yolu açıktır.
Şirket yöneticisi veya bilgi işlem sorumlusu otomatik olarak suçlu olur mu?
Hayır. Ceza sorumluluğu şahsidir. Şirketin kanuni yükümlülüğü bulunması, tüm yönetici ve çalışanların otomatik olarak aynı suçtan sorumlu tutulacağı anlamına gelmez. Talebin kime ulaştığı, yerine getirme yetki ve imkanının kimde bulunduğu, engelleme kararını kimin verdiği ve kişinin kastı ayrı ayrı belirlenir.
Şirket içinde görev ve yetkilerin yazılı olması bu nedenle önemlidir. Bilgi işlem personeli yalnızca teknik hazırlık yapıyor, hukuki teslim kararını yönetim veriyorsa sorumluluk değerlendirmesi buna göre yapılır. Tersinden, yönetimin teslim talimatına rağmen teknik personelin veriyi kasıtlı biçimde silmesi farklı bir fiildir.
Tüzel kişilere özgü idari yaptırımların uygulanması, suçun faili olan gerçek kişinin ceza sorumluluğundan ayrı değerlendirilir. Şirket politikaları, erişim logları ve iç yazışmalar somut sorumluluğun belirlenmesinde delil niteliği taşıyabilir.
Talep edilen veride kişisel veri veya ticari sır varsa ne yapılır?
Kanuni talebe konu kaydın kişisel veri veya ticari sır içermesi talebi kendiliğinden geçersiz kılmaz. 7545 m.6/2, Başkanlığın kişisel verileri hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli-açık-meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlemesini emreder. Erişimi gerektiren sebep sona erdiğinde kişisel veriler ve ticari sırlar resen silinir, yok edilir veya anonim hale getirilir.
Şirket KVKK var, hiçbir veri veremeyiz şeklinde genel ret veremez. Talebin kanuni dayanağı doğrulanmalı, istenen kapsamla sınırlı veri seti hazırlanmalı ve aktarım güvenli yöntemle yapılmalıdır. Talep dışındaki gereksiz kişisel verilerin aktarılması ayrı bir veri koruma sorunu yaratabilir.
Hangi verinin ne zaman, hangi talep numarasıyla ve kim tarafından teslim edildiğinin kayıt altına alınması hem kanuni yükümlülüğün ispatı hem veri güvenliği bakımından gereklidir.
Ceza soruşturmasında hangi deliller önemlidir?
Talep yazısı, elektronik tebligat, resmi yazışma, teslim süresi, şirket içi yönlendirme kayıtları, e-posta yazışmaları, erişim logları, veri dışa aktarma kayıtları ve denetim tutanakları temel deliller arasındadır. Talebin gerçekten ilgili kişiye ulaşıp ulaşmadığı ve istenen verinin mevcut olup olmadığı somut delillerle belirlenmelidir.
Vermedi iddiasında verinin mevcut olduğu ve failin bunu sunabilecek durumda bulunduğu; engelledi iddiasında hangi hareketin veri veya donanımın alınmasını önlediği ortaya konulmalıdır. Teknik arıza savunması varsa olay kayıtları, servis kesinti raporları ve yedek sistem durumu incelenir.
Dijital delillerin hukuka uygun elde edilmesi ve bütünlüğünün korunması zorunludur. Ceza mahkûmiyeti varsayıma değil, her türlü şüpheden uzak kesin ve inandırıcı delile dayanmalıdır.
Şirketler bilgi talebi geldiğinde hangi sırayla hareket etmeli?
İlk adım talebin gerçekliğini doğrulamaktır. Gönderen makam, yazının sayısı, tarih, imza veya elektronik doğrulama bilgileri ve iletişim kanalı kontrol edilmelidir. İkinci adım kanuni dayanak ve talep kapsamının belirlenmesidir. Üçüncü adım şirket içinde hukuk ve teknik sorumlu atanarak istenen veri setinin envanterinin çıkarılmasıdır.
Dördüncü adım verinin bütünlüğü korunarak güvenli kopyasının hazırlanmasıdır. Beşinci adım kişisel veri ve ticari sır içeren alanların talep kapsamında olup olmadığının kontrol edilmesidir. Altıncı adım teslimin verilen süre içinde ve ispatlanabilir yöntemle yapılmasıdır. Yedinci adım teslim tutanağı, dosya listesi ve erişim kayıtlarının kurum içinde saklanmasıdır.
Talep teknik olarak verilen sürede karşılanamayacaksa kurum sessiz kalmamalıdır. Gecikmenin nedeni ve gerekli teknik açıklama yetkili makama zamanında bildirilmelidir. Bu bildirim otomatik ek süre anlamına gelmez; yetkili makamın cevabı esas alınır.
Mersin’deki şirketler için farklı bir ceza var mı?
Hayır. 7545 sayılı Siber Güvenlik Kanunu Türkiye genelinde uygulanır. Mersin’de faaliyet gösteren şirket, kritik altyapı veya siber güvenlik hizmet sağlayıcısı bakımından m.16/1’in cezası ve m.16/10’un idari yaptırım aralığı ülkenin diğer illeriyle aynıdır.
Mersin’de liman, lojistik, enerji, sanayi ve sağlık sektörlerinde yüksek hacimli teknik veri ve kritik sistem bulunması, kurumların bilgi talebi ve denetim prosedürünü önceden yazılı hale getirmesini önemli kılar. Yerel faaliyet yeri kanuni yükümlülüğü değiştirmez.
Sık sorulan sorular
Siber Güvenlik Başkanlığına bilgi vermemenin cezası nedir?
7545 m.16/1 şartları oluşursa bir yıldan üç yıla kadar hapis ve beş yüz günden bin beş yüz güne kadar adli para cezası uygulanır.
Şirket de hapis cezası alır mı?
Hapis cezası gerçek kişiye uygulanır. Şirket bakımından idari yaptırım ve diğer hukuki sonuçlar ayrıca değerlendirilir.
Hangi kayıtları vermemek suç kapsamına girebilir?
Kanun bilgi, belge, yazılım, veri ve donanımı açıkça sayar. Talebin yetkili makamdan ve görev kapsamında gelmesi gerekir.
Log kaydını vermemek m.16/1 kapsamında olabilir mi?
Log kaydı istenen veri kapsamında bulunabilir. Somut talep, yetki ve fiil değerlendirilerek m.16/1 uygulanabilir.
Kişisel veri var diye talep reddedilebilir mi?
Genel ve otomatik ret doğru değildir. Kanuni talep kapsamla sınırlı ve veri koruma ilkelerine uygun biçimde yerine getirilir.
Talep edilen belge gerçekten yoksa suç oluşur mu?
Mevcut olmayan belgenin sunulamaması tek başına vermemek fiili değildir. Belgenin varlığı, failin bilgisi ve davranışı delillerle değerlendirilir.
Denetimde sistemleri kapatmak suç olabilir mi?
Veri veya donanımın alınmasını kasıtlı olarak engelleyen davranış m.16/1 kapsamında değerlendirilebilir; ayrıca m.8/4 ve m.16/11 hükümleri gündeme gelebilir.
m.7/1-a ihlalinin idari cezası nedir?
Güncel m.16/10 uyarınca bir milyon TL ile on milyon TL arasında idari para cezası uygulanır.
İdari para cezasından önce savunma süresi kaç gündür?
m.17’ye göre savunma istem yazısının tebliğinden itibaren otuz gündür.
Mersin’de farklı ceza uygulanır mı?
Hayır. 7545 sayılı Kanun ülke genelinde aynı şekilde uygulanır.
Dış Kaynaklar
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
