Milyonlarca kişinin kimlik, adres ve kart bilgilerini içeren dosyaların çeşitli internet ortamlarında dolaştığı sıkça gündeme gelir. Bu dosyaları indirip saklayan kişi çoğu zaman “veriyi ben sızdırmadım, zaten herkesin erişimine açıktı” savunmasına başvurur. Yargıtay 12. Ceza Dairesinin Şubat 2026 tarihli kararı, yaklaşık 50 milyon kişiye ait kişisel verinin dijital materyallerinde bulunduğu bir sanık hakkında verilen mahkûmiyeti onayarak bu savunmanın ceza sorumluluğunu ortadan kaldırmadığını göstermektedir.
Yargıtay 12. Ceza Dairesi, 16.02.2026 tarihli ve E.2023/4393, K.2026/1443 sayılı kararıyla, dijital materyallerinde yaklaşık 50.000.000 Türk vatandaşına ait kimlik, banka kartı ve adres bilgileri tespit edilen sanık hakkında TCK m.136/1’deki verileri hukuka aykırı olarak verme veya ele geçirme suçundan kurulan 6 yıl hapis cezasına ilişkin mahkûmiyet hükmünü oy birliğiyle onamıştır.
🔍 Hırsızlık aramasından veri dosyasına
Dosyanın başlangıç noktası bir kişisel veri şikâyeti değil, bir hırsızlık soruşturmasıdır. Karar metnindeki olay akışı şöyledir:
- 07.04.2019 tarihinde dava dışı bir kişinin evinde hırsızlık olayı meydana gelmiş, olay yeri incelemesinde sanığa ait parmak izleri tespit edilmiştir.
- Bunun üzerine 26.04.2019 tarihinde, usulüne göre alınan arama kararına istinaden sanığın evinde arama yapılmış ve sanığa ait dijital materyallere el konulmuştur.
- Dijital materyal inceleme raporunda, yaklaşık 50.000.000 Türk vatandaşına ait kişisel veri niteliğinde kimlik bilgileri, banka kart bilgileri ve adres bilgileri tespit edilmiştir.
- Sanık hakkında TCK m.136/1’deki verileri hukuka aykırı olarak verme veya ele geçirme suçundan dava açılmış ve mahkûmiyet kararı verilmiştir. Suç tarihi, aramanın yapıldığı 26.04.2019’dur; Yargıtay, gerekçeli karar başlığında bu tarihin 2020 olarak yazılmasını mahallinde düzeltilebilir yazım yanlışlığı saymıştır.
Karar metninde, verilerin başka bir suç soruşturması sırasında ortaya çıkması nedeniyle ayrı bir delil tartışması yapılmamıştır. CMK m.138/1, arama veya el koyma sırasında yürütülen soruşturmayla ilgisi olmayan ancak başka bir suçun işlendiği şüphesini uyandırabilecek bir delil elde edilmesi hâlinde bu delilin muhafaza altına alınacağını ve durumun Cumhuriyet savcılığına derhâl bildirileceğini düzenler. Yargıtay, yargılama sürecindeki işlemlerin usul ve kanuna uygun yapıldığını belirtmekle yetinmiştir.
🗂️ Sanığın temyiz savunmaları
Sanığın temyiz dilekçesindeki itirazlar, kişisel veri dosyalarını indirenlerin sıkça başvurduğu argümanları bir arada içermesi bakımından dikkat çekicidir:
- Suça konu bilgileri herkese açık internet bağlantısı üzerinden indirdiği,
- Bilgileri ele geçirenin kendisi olmadığı,
- Basitçe erişilebilen bu verilerin birçok finans ve avukatlık şirketinde bulunduğu,
- Verileri indirip kullanan tek kişinin kendisi olmadığı,
- İnternette dolaşan ve herkesin erişimine açık bir dosyayı indirdiği için cezalandırılmasının orantısız olduğu,
- Cezanın fazla olduğu; suçun kabulü hâlinde ise ele geçirilen veri sayısınca ceza verilmesi gerektiği,
- Eksik inceleme ile karar verildiği.
🏛️ Yargıtay’ın değerlendirmesi
Daire, temyiz incelemesini sanık tarafından öne sürülen tüm temyiz sebepleri ve CMK m.289/1 ile sınırlı olarak yapmıştır. Gerekçede şu tespitlere yer verilmiştir:
- Yargılama sürecindeki işlemlerin usul ve kanuna uygun olarak yapıldığı,
- İddia ve savunmaların toplanan tüm delillerle birlikte gerekçeli kararda gösterilip tartışıldığı,
- Eylemin sanık tarafından gerçekleştirildiğinin saptandığı,
- Vicdani kanının dosyadaki belge ve bilgilerle uyumlu olarak kesin verilere dayandırıldığı,
- Eyleme uyan suç vasfı ile yaptırımların doğru biçimde belirlendiği.
Bu nedenlerle Antalya Bölge Adliye Mahkemesi 11. Ceza Dairesinin kararında hukuka aykırılık görülmemiş, temyiz istemi CMK m.302/1 uyarınca esastan reddedilerek hüküm tebliğnameye uygun şekilde oy birliğiyle onanmıştır. Başka bir ifadeyle, “verilere herkese açık internetten ulaştım” savunması, yaklaşık 50 milyon kişinin verisini dijital materyallerinde bulunduran sanığın TCK m.136/1 kapsamında sorumluluğunu ortadan kaldırmamıştır.
🧩 “Ele geçirme” kavramı ve kişisel veri
TCK m.136/1’e göre kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. 6698 sayılı Kişisel Verilerin Korunması Kanunu m.17/1 de kişisel verilere ilişkin suçlar bakımından TCK m.135-140 hükümlerinin uygulanacağını belirtir. Suçun seçimlik hareketlerinden biri olan “ele geçirme”, verinin kaynağından bağımsız olarak failin hâkimiyet alanına alınmasını ifade eder.
Bu kararda Daire kavramı ayrıca tanımlamamış olsa da sonuç, şu tespitlere dayanmaktadır:
- Verinin niteliği: Kimlik, banka kartı ve adres bilgileri, belirli veya belirlenebilir gerçek kişilere ait kişisel veridir. İlk derece mahkemesi de bu bilgileri “kişisel veri niteliğinde” kabul etmiştir.
- Kaynağın açıklığı: Sanık, verilerin internette herkesin erişimine açık olduğunu ileri sürmüştür. Onama kararı, verinin başka ortamlarda da bulunmasının onu hukuka uygun biçimde elde edilebilir hâle getirmediği sonucuyla uyumludur.
- Saklamanın boyutu: Verilerin sanığın dijital materyallerinde tespit edilmesi, “ele geçirme” hareketinin somut karşılığı olarak değerlendirilmiştir.
Kişisel veri suçunun farklı görünümleri için serideki görev şifresiyle tapu sorgusuna ilişkin karar ve fotoğrafla sahte hesap açılmasına ilişkin karar incelenebilir. Bu iki kararda sorgulama yetkisi ve rıza tartışılırken, burada tartışmanın merkezinde verinin kaynağının “açık” olduğu iddiası bulunmaktadır.
📊 Cezanın yapısı: zincirleme suç ve tekerrür
Hükümde uygulanan maddeler TCK m.136/1, 43/2-1, 53/1-2-3 ve 58/6-7-8’dir. Sonuç ceza olan 6 yıl hapis, suçun temel cezasının dört yıllık üst sınırını aşmaktadır. Bu durum, uygulanan diğer hükümlerle birlikte okunmalıdır:
- TCK m.43/2 (zincirleme suç): Aynı suçun birden fazla kişiye karşı tek bir fiille işlenmesi durumunda birinci fıkra uygulanır; tek ceza verilir ve bu ceza dörtte birinden dörtte üçüne kadar artırılır. Sanığın “veri sayısınca ceza verilmesi” yönündeki itirazı, bu hükmün varlığı karşısında karşılık bulmamıştır.
- TCK m.58/6-7-8 (tekerrür): Hükümde tekerrür hükümleri uygulanmış; buna göre ceza mükerrirlere özgü infaz rejimine göre çektirilecek ve infazdan sonra denetimli serbestlik tedbiri uygulanacaktır.
- TCK m.53: Kasıtlı suçtan hapis cezasına mahkûmiyetin kanuni sonucu olarak belirli hakları kullanmaktan yoksunluk öngörülmüştür.
Karar metninde, banka kartı bilgilerine ilişkin olarak ayrıca başka bir suç tipi yönünden değerlendirme yapılmamış; uyuşmazlık TCK m.136/1 çerçevesinde sonuçlandırılmıştır. Nitelikli hâlleri düzenleyen TCK m.137 de hükümde uygulanmamıştır.
🙋 Sık sorulan sorular
Verinin internette herkese açık olması suçu ortadan kaldırır mı?
Bu dosyada sanık tam olarak bu savunmayı ileri sürmüş, ancak Yargıtay suç vasfının doğru belirlendiğini kabul ederek mahkûmiyeti onamıştır. Verinin başka ortamlarda da bulunması, onu ele geçirmenin hukuka uygun olduğu anlamına gelmemiştir.
Milyonlarca kişinin verisi için ayrı ayrı ceza verildi mi?
Hayır. Hükümde TCK m.43/2 uygulanmıştır. Bu hükme göre aynı suçun birden fazla kişiye karşı tek bir fiille işlenmesi hâlinde tek ceza verilir ve bu ceza dörtte birinden dörtte üçüne kadar artırılır. Sanığa verilen sonuç ceza 6 yıl hapistir.
Veriler neden bir hırsızlık dosyasında ortaya çıktı?
Olay yerinde sanığın parmak izlerinin bulunması üzerine evinde arama kararıyla arama yapılmış ve dijital materyallere el konulmuştur. İnceleme raporunda kişisel veriler tespit edilmiş, bunun üzerine sanık hakkında TCK m.136/1 kapsamında yargılama yapılmıştır. Yargıtay, aramanın usulüne göre alınan karara dayandığını ve işlemlerin usul ve kanuna uygun olduğunu belirtmiştir.
Kararın kişisel veri güvenliği açısından önemi nedir?
Karar, sızıntı ya da açık kaynak iddiasıyla dolaşan veri setlerinin indirilip saklanmasının ceza hukuku bakımından sonuçsuz kalmadığını göstermektedir. Verinin kaynağı değil, kişisel verinin hukuka aykırı biçimde failin hâkimiyetine girmesi değerlendirmenin merkezinde yer almıştır.
Detaylı bilgi ve hukuki destek için Savun Hukuk & Danışmanlık ile iletişime geçebilirsiniz. İletişim bilgileri iletişim sayfasında, benzer kararlar ise Emsal Kararlar bölümünde yer almaktadır.
Bu yazı genel bilgilendirme amacı taşır; özet, Yargıtay Karar Arama sisteminde yayımlanan 12. Ceza Dairesi onama kararından derlenmiştir. Onama kararları derece mahkemesinin kabulünü denetler ve her temyiz sebebine ayrı gerekçe içermeyebilir. Kişisel veri suçlarında sorumluluk; verinin niteliğine, elde edilme biçimine ve hukuka uygunluk nedenlerinin bulunup bulunmadığına göre her dosyada ayrıca değerlendirilir. Yazı kullanılarak yapılan başvuru, dava ve savunmalardan Savun Hukuk sorumlu tutulamaz.
