Sızdırılmış Veriyi Paylaşmak veya Satmak Suç mu? 7545 m.16/4 Cezası 2026
7545 sayılı Kanun m.16/4 neyi suç sayıyor?
7545 sayılı Siber Güvenlik Kanunu’nun 16. maddesi, Kanuna özgü suçlar ile idari yaptırımları düzenler. Maddenin dördüncü fıkrası, veri sızıntısı nedeniyle siber uzayda daha önce yer alan belirli verilerin izinsiz biçimde yeniden dolaşıma sokulmasını ayrı bir suç haline getirmiştir. Kanun, kişisel veriler ile kritik kamu hizmeti kapsamına giren kurumsal verileri açıkça koruma kapsamına alır.
Maddeye göre suçun hareketleri üç gruptur: veriyi erişime açmak, paylaşmak veya satışa çıkarmak. Kanun “ücretli veya ücretsiz” ifadesini özellikle kullanır. Bu nedenle para alınmaması, fiili hukuka uygun hale getirmez. Bir veri setinin ücretsiz indirme bağlantısıyla yayınlanması, kapalı bir grupta dağıtılması veya satış ilanına konulması şartları oluştuğunda aynı fıkra kapsamında değerlendirilebilir.
Bu hüküm, siber saldırının kendisini cezalandıran m.16/6’dan farklıdır. m.16/4’te kişinin veriyi bizzat sızdırmış olması şart olarak yazılmamıştır. Kanun, daha önce veri sızıntısı nedeniyle siber uzayda yer alan verinin sonradan izinsiz erişime açılması, paylaşılması veya satışa çıkarılmasını hedefler. Böylece sızıntının ilk failinden bağımsız olarak sızdırılmış verinin ikincil dolaşıma sokulmasına karşı özel ceza normu kurulmuştur.
Suçun konusu hangi verilerdir?
7545 m.16/4 iki veri grubunu sayar. Birincisi kişisel verilerdir. Kişisel veri kavramının genel hukuki çerçevesi 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3’teki “kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” tanımına dayanır. Ad-soyad, iletişim bilgileri, müşteri kayıtları, kimlik bilgileri, hesap verileri ve kişiyle ilişkilendirilebilir birçok kayıt bu kapsamda değerlendirilebilir.
İkinci grup, kritik kamu hizmeti kapsamına giren kurumsal verilerdir. 7545 m.3/1-e kritik kamu hizmetini; ulusal, toplumsal veya ekonomik faaliyetlerin sürdürülmesi için gerekli olan ve kesintiye uğraması ya da zarar görmesi halinde ulusal güvenlik, ülkenin sosyal veya ekonomik refahı, kamu düzeni veya sağlığı ya da diğer hizmetlerin sunumu üzerinde önemli etki oluşturabilecek, ülke genelinde tekel veya sınırlı ikame ile sunulan hizmet olarak tanımlar.
Dolayısıyla her şirket dosyası otomatik olarak m.16/4 kapsamındaki “kritik kamu hizmeti kurumsal verisi” değildir. Verinin ait olduğu hizmetin hukuki statüsü ve somut veri niteliği incelenmelidir. Buna karşılık kişisel veri yönünden kritik kamu hizmeti şartı aranmaz; veri kişisel veri niteliğindeyse fıkranın ilk veri grubuna girebilir.
Verinin daha önce bir veri sızıntısı nedeniyle siber uzayda yer alması ne demektir?
Kanun, m.16/4’te korunan verinin “siber uzayda veri sızıntısı nedeniyle daha önce yer alan” veri olmasını arar. Siber olay kavramı m.3/1-g’de bilişim sistemlerinin veya verinin gizlilik, bütünlük veya erişilebilirliğinin ihlal edilmesi olarak tanımlanmıştır. Veri sızıntısı ise uygulamada gizli veya yetkisiz erişime kapalı verinin kontrol dışına çıkması ve yetkisiz çevrelerde erişilebilir hale gelmesi durumunu ifade eder.
Fıkranın yapısı önemlidir. Suç, herhangi bir kişisel verinin internette paylaşılmasını genel olarak düzenlemez; veri sızıntısı nedeniyle siber uzayda yer almış verilerin tekrar erişime açılması, paylaşılması veya satışa çıkarılmasına özel olarak yönelir. Başka bir hukuki kaynaktan hukuka uygun biçimde açık hale gelen veri ile bir sistem ihlali sonucu sızan veri aynı hukuki olay değildir.
Bu nedenle soruşturmada verinin kaynağı belirlenmelidir. Dosyanın bir sızıntı setinden gelip gelmediği, daha önce hangi sistemde tutulduğu, ilk kez nasıl dışarı çıktığı, paylaşımı yapan kişinin hangi veri setini kullandığı ve verinin ilgili kişi veya kurumun izni dışında dolaşıma girip girmediği teknik ve hukuki delillerle ortaya konulur.
Erişime açmak ne anlama gelir?
“Erişime açma”, verinin üçüncü kişilerin ulaşabileceği hale getirilmesidir. Kanun belirli bir platform, protokol veya iletişim aracını şart koşmaz. Bir internet sayfası, dosya paylaşım alanı, bulut bağlantısı, çevrim içi depolama alanı, mesajlaşma grubu veya başka bir dijital ortam somut olayın şartlarına göre erişime açma hareketinin aracı olabilir.
Burada kritik nokta, verinin fiilen üçüncü kişilerin erişimine sunulmasıdır. Yalnızca kişinin kendi cihazında bir veri setini bulundurması m.16/4’te sayılan hareketlerden biri değildir. Ancak verinin başkalarının ulaşabileceği konuma getirilmesi halinde “erişime açma” tartışması doğar. Siber saldırı sonucunda elde edilen verinin yalnızca siber uzayda bulundurulması ise m.16/6’da ayrıca düzenlenmiştir; maddeler somut fiile göre ayrıştırılmalıdır.
Sızdırılmış veriyi paylaşmak suç için yeterli mi?
Kanun paylaşmayı açık seçimlik hareket olarak düzenlemiştir. Paylaşmanın tek kişiye veya çok sayıda kişiye yapılması konusunda m.16/4 içinde sayısal eşik yoktur. Verinin izinsiz biçimde başka bir kişiye gönderilmesi veya belirli bir topluluk içinde dağıtılması, diğer unsurlar da varsa paylaşma hareketini oluşturabilir.
“Zaten internette vardı” savunması da tek başına hukuka uygunluk yaratmaz. Fıkranın amacı tam tersine, veri sızıntısı nedeniyle daha önce siber uzayda yer alan verilerin yeniden paylaşılmasını düzenlemektir. Kanun koyucu verinin daha önce sızmış olmasını suçun dışında bırakmamış; suçun tanımının bir unsuru olarak kabul etmiştir.
Bu nokta kullanıcıların en sık yanıldığı alandır. Bir veri setinin arama motorlarında, forumlarda veya farklı platformlarda bulunabilmesi, ilgili kişi veya kurumun onu yeniden yayınlama izni verdiği anlamına gelmez. Hukuka uygunluk ayrıca değerlendirilir.
Sızdırılmış veriyi satmak kaç yıl hapis cezası gerektirir?
7545 m.16/4’teki temel ceza üç yıldan beş yıla kadar hapistir. Kanun ayrıca satışın tamamlanmasını zorunlu hareket olarak düzenlememiştir; “satışa çıkarmak” ifadesini kullanmıştır. Bu nedenle somut olayda alıcı bulunup bulunmadığı veya ödeme gerçekleşip gerçekleşmediği kadar, verinin satış amacıyla erişime sunulup sunulmadığı da önemlidir.
Fıkrada adli para cezası ayrıca öngörülmemiştir. Ancak aynı fiilin başka suçları da oluşturması, müsadere, dijital materyal incelemesi, koruma tedbirleri ve diğer ceza muhakemesi sonuçları ayrı meselelerdir. Hangi suçların birlikte uygulanacağı fiilin bütününe göre belirlenir.
Ücretsiz paylaşım neden suç kapsamındadır?
Kanun “ücretli veya ücretsiz şekilde” ifadesiyle bu tartışmayı açık biçimde sonlandırır. Failin ekonomik kazanç elde etmesi m.16/4 için zorunlu unsur değildir. Kişisel verilerin veya kritik kamu hizmetine ilişkin kurumsal verilerin sızıntı sonrası yayılmasının kendisi korunmak istenen hukuki değer açısından zararlı kabul edilmiştir.
Bu nedenle “para almadım”, “sadece arkadaş grubunda gönderdim” veya “linki ücretsiz verdim” şeklindeki olgular tek başına suçun oluşumunu ortadan kaldırmaz. Bununla birlikte her dosyada verinin niteliği, sızıntı kaynağı, izin durumu, paylaşma fiili ve kast ayrı ayrı ispatlanmalıdır.
İlgili kişinin veya kurumun izni varsa suç oluşur mu?
m.16/4, fiilin kişilerin veya kurumların izni olmaksızın gerçekleştirilmesini arar. Dolayısıyla geçerli izin suç tipinin olumsuz unsurudur. Fakat iznin kapsamı önemlidir. Bir verinin belirli amaçla işlenmesine izin verilmesi, sınırsız biçimde internette yayınlanması veya satışa çıkarılması için izin verildiği anlamına gelmez.
Kişisel veriler yönünden ayrıca KVKK’daki işleme şartları ve açık rıza rejimi değerlendirilir. Kurumsal verilerde ise verinin sahibi veya yetkili kurumun hangi işleme hangi kapsamda izin verdiği incelenir. Özellikle hizmet sağlayıcı, çalışan veya alt yüklenici ilişkilerinde sözleşmedeki veri erişim yetkisi ile üçüncü kişilere yayma yetkisi aynı değildir.
Bu suç kasten mi işlenir?
7545 m.16/4 taksirli hal düzenlemez. Ceza hukukunun genel ilkeleri uyarınca suç kasten işlenebilir. Failin paylaştığı verinin niteliğini, sızıntı bağlantısını ve izinsiz erişime açma/paylaşma/satışa çıkarma fiilini bilmesi ve istemesi değerlendirilir. Somut kastın tespitinde mesaj içerikleri, ilan metinleri, ödeme talepleri, dosya adları, erişim izinleri, hesap hareketleri ve dijital kayıtlar önem taşıyabilir.
Bir kişinin veri setinin hukuka uygun açık kaynak olduğunu düşünmesi, verinin sızıntı seti olduğunu bilip bilmediği ve hatanın kaçınılmaz olup olmadığı gibi meseleler Türk Ceza Kanunu’nun genel hükümleri çerçevesinde ayrıca incelenir. Her veri paylaşımı için otomatik suç sonucu çıkarılamaz; kanuni unsurların tamamının ispatlanması gerekir.
7545 m.16/4 ile TCK kişisel veri suçları arasındaki ilişki nedir?
Türk Ceza Kanunu’nda kişisel verilerle ilgili ayrı suçlar vardır. Özellikle TCK m.135 kişisel verilerin hukuka aykırı kaydedilmesini, m.136 ise verileri hukuka aykırı olarak verme veya ele geçirmeyi düzenler. 7545 m.16/4 ise siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamındaki kurumsal verinin izinsiz erişime açılması, paylaşılması veya satışa çıkarılmasını özel olarak düzenler.
Aynı olayda birden fazla ceza normunun görünüşte uygulanabilir olması halinde fikri içtima, özel norm-genel norm ilişkisi ve fiillerin bağımsızlığı ceza hukukunun genel esaslarına göre değerlendirilir. Bu nedenle yalnızca suç adlarını yan yana koyarak toplam ceza hesabı yapılmamalıdır. İddianamedeki fiil anlatımı ve deliller üzerinden hangi hükmün uygulanacağı belirlenir.
KVKK ise ağırlıklı olarak kişisel verilerin işlenme şartları, veri güvenliği, ilgili kişi hakları ve idari yaptırım rejimini düzenler. 7545 m.16/4’teki ceza sorumluluğu KVKK’daki idari ve özel hukuk sonuçlarından bağımsız olarak doğabilir.
7545 m.16/4 ile siber saldırı suçu arasındaki fark nedir?
m.16/6, Türkiye Cumhuriyeti’nin siber uzaydaki millî gücünü meydana getiren unsurlara yönelik siber saldırıda bulunan veya bu saldırı sonucunda elde ettiği veriyi siber uzayda bulunduranlar için, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde sekiz yıldan on iki yıla kadar hapis cezası öngörür. Saldırı sonucu elde edilen verinin yayılması, başka yere gönderilmesi veya satışa çıkarılması ise on yıldan on beş yıla kadar hapisle cezalandırılır.
m.16/4’ün temel cezası üç yıldan beş yıla kadardır ve sızdırılmış kişisel veya kritik kamu hizmeti kurumsal verilerinin izinsiz ikincil dolaşımına odaklanır. m.16/6 ise millî siber gücü oluşturan unsurlara yönelik siber saldırı ve saldırı sonucunda elde edilen veri üzerinden daha ağır bir özel suç düzenler. Somut olayda verinin nasıl elde edildiği ve failin saldırıyla bağlantısı bu nedenle kritik önemdedir.
Ceza hangi hallerde artar?
7545 m.16/7, “yukarıdaki fıkralara göre” verilecek cezalar bakımından nitelikli artırım halleri düzenler. Suç kamu görevlisi tarafından işlenirse ceza üçte bir oranında, birden fazla kişi tarafından işlenirse yarı oranında, bir örgütün faaliyeti çerçevesinde işlenirse yarısından iki katına kadar artırılır.
Bu artırımların uygulanması için ilgili nitelikli halin somut olayda ispatlanması gerekir. Örneğin birden fazla kişinin aynı veri setiyle ilgili olması tek başına müşterek faillik sonucunu otomatik doğurmaz; iştirak iradesi ve fiile katkı ceza hukukunun genel esaslarıyla belirlenir.
Soruşturmada hangi dijital deliller önemlidir?
Veri setinin kaynağı, dosyanın teknik özellikleri, zaman damgaları, hesap hareketleri, erişim kayıtları, paylaşım bağlantıları, mesajlaşma kayıtları, ödeme talepleri ve platform verileri soruşturmanın niteliğine göre önem taşıyabilir. Dijital delilin hukuka uygun elde edilmesi ve bütünlüğünün korunması zorunludur. Ekran görüntüsü tek başına her durumda olayın tüm teknik geçmişini göstermez.
Şüpheli veya mağdur taraf bakımından cihaz imajlarının, sunucu loglarının ve iletişim kayıtlarının usulüne uygun toplanıp toplanmadığı incelenmelidir. Verinin sızıntı setinden geldiğinin teknik olarak doğrulanması, yalnızca dosya adı veya üçüncü kişinin iddiasıyla yetinilmemesi gerekir. Ceza yargılamasında mahkûmiyet, her türlü şüpheden uzak kesin ve inandırıcı delile dayanmalıdır.
Şirket veri sızıntısı fark ederse ne yapmalı?
Şirketin ilk görevi olayı teknik olarak sınırlandırmak ve delil bütünlüğünü korumaktır. Yetkisiz erişimin devam edip etmediği, hangi sistemlerin etkilendiği, hangi verilerin dışarı çıktığı, erişim zamanları ve kullanıcı hesapları kayıt altına alınmalıdır. Logların gelişi güzel silinmesi veya sistemlerin delil bütünlüğünü bozacak şekilde değiştirilmesi sonradan hem teknik incelemeyi hem hukuki süreci zorlaştırabilir.
7545 m.7/1-b kapsamında hizmet alanında tespit edilen zafiyet veya siber olayın gecikmeksizin Siber Güvenlik Başkanlığına bildirilmesi yükümlülüğü bulunmaktadır. Bu yükümlülüğün ayrıntıları için siber olay bildirimi rehberine bakılabilir. Kişisel veri ihlali varsa ayrıca KVKK m.12/5 ve Kurul uygulaması yönünden veri ihlali bildirim yükümlülüğü incelenmelidir.
Veri setinin internette yeniden paylaşıldığı tespit edildiğinde ilgili URL, hesap, paylaşım zamanı ve erişilebilir içerik hukuka uygun şekilde kayıt altına alınmalı; gerekirse içerik kaldırma, erişim engelleme, suç duyurusu ve ilgili platformlara başvuru yolları birlikte değerlendirilmelidir. Siber olayın kapsamına göre ticari sırların korunması ve sözleşmesel bildirim yükümlülükleri de ayrıca ele alınır.
Sızdırılmış veri satın almak da aynı suç mu?
m.16/4’ün açık seçimlik hareketleri erişime açma, paylaşma ve satışa çıkarmadır. “Satın alma” kelimesi bu fıkrada ayrı hareket olarak yazılmamıştır. Ancak satın alan kişinin veriyi elde etme, bulundurma, kullanma, başkasına verme veya suçtan kaynaklanan başka fiilleri somut olaya göre TCK ve diğer özel kanun hükümleri kapsamında ayrıca değerlendirilebilir.
Bu nedenle “m.16/4 satın almayı yazmıyor, dolayısıyla sızdırılmış veri satın almak tamamen hukuka uygundur” sonucu çıkarılamaz. Ceza sorumluluğu fiilin niteliği, verinin türü, elde edilme biçimi, kullanım amacı ve uygulanabilecek diğer suç tipleriyle birlikte incelenmelidir.
Mersin’de siber veri sızıntısı dosyalarında hangi hukuk uygulanır?
7545 sayılı Kanun Türkiye genelinde uygulanır. Mersin’deki şirket, kamu kurumu veya kişiyle ilgili olaylarda da m.16/4’ün maddi unsurları aynıdır. Yetkili soruşturma makamı ve yargı yeri ise suçun işlendiği yer, netice, dijital fiilin gerçekleşme biçimi ve Ceza Muhakemesi Kanunu’nun yetki kurallarına göre belirlenir.
Şirketlerin merkezi Mersin’de olsa dahi veri sızıntısının başka sunucular, bulut altyapıları veya farklı illerdeki kullanıcılar üzerinden gerçekleşebilmesi yetki incelemesini teknik hale getirebilir. Dosyanın ilk aşamasında olay zaman çizelgesi ile teknik altyapı haritasının çıkarılması bu nedenle önemlidir.
Sık sorulan sorular
Sızdırılmış kişisel veriyi internette paylaşmanın cezası nedir?
7545 m.16/4’teki şartlar oluşursa üç yıldan beş yıla kadar hapis cezasıdır.
Ücretsiz paylaşmak da suç mu?
Evet. Kanun ücretli veya ücretsiz erişime açma ve paylaşmayı açıkça kapsar.
Veri zaten internette yayımlanmışsa tekrar paylaşılabilir mi?
Hayır. Verinin daha önce sızıntı nedeniyle siber uzayda yer alması m.16/4’te suçun unsurlarından biridir; önceki sızıntı yeniden paylaşımı kendiliğinden hukuka uygun yapmaz.
Sadece satış ilanı vermek yeterli mi?
Kanun “satışa çıkarma” hareketini düzenlediği için satışın tamamlanması şart değildir. Somut ilan ve fiil delillerle değerlendirilir.
Her şirket verisi m.16/4 kapsamına girer mi?
Hayır. Kurumsal veri yönünden kanun kritik kamu hizmeti kapsamına giren verileri sayar. Kişisel veriler ise ayrıca ilk veri grubudur.
Paylaşım için izin varsa suç oluşur mu?
m.16/4 izinsiz fiili cezalandırır. İznin geçerli olması ve paylaşımın kapsamını gerçekten karşılaması gerekir.
Bu suç KVKK’dan ayrı mı?
Evet. 7545 m.16/4 ceza normudur. Aynı olayın KVKK ve TCK bakımından ayrıca sonuçları bulunabilir.
Siber saldırıyı yapan kişi veriyi de yayarsa ceza nedir?
7545 m.16/6, millî siber gücü oluşturan unsurlara saldırı sonucu elde edilen verinin yayılması, başka yere gönderilmesi veya satışa çıkarılması için on yıldan on beş yıla kadar hapis öngörür.
Birden fazla kişi birlikte işlerse ceza artar mı?
m.16/7 uyarınca birden fazla kişi tarafından işlenmesi halinde ceza yarı oranında artırılır.
Şirket sızıntıyı fark edince Başkanlığa bildirmek zorunda mı?
7545 m.7/1-b kapsamındaki kişiler, hizmet alanında tespit ettikleri zafiyet veya siber olayı gecikmeksizin Başkanlığa bildirmekle yükümlüdür.
Dış kaynaklar
- TBMM – 7545 sayılı Siber Güvenlik Kanunu
- T.C. Siber Güvenlik Başkanlığı – Mevzuat
- Kişisel Verileri Koruma Kurumu
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
