Bilişim Suçları ve Cezaları

Bilişim suçları, bilişim sisteminin doğrudan hedef alındığı fiiller ile sistemin yalnızca araç olarak kullanıldığı fiiller olmak üzere ikiye ayrılır. Bu ayrım teorik değildir: aynı olayda hangi maddenin uygulanacağını, görevli mahkemeyi ve verilecek cezayı belirler. İnternet bankacılığıyla para aktarımı hırsızlık, sosyal medya hesabından para istenmesi ise nitelikli dolandırıcılık sayılabilir.

Bu yazıda TCK m. 243 ve 244’te düzenlenen bilişim suçları, tali norm kuralı, hırsızlık ve dolandırıcılıkla sınır, IP ve log kayıtlarının ispat değeri, bilirkişi incelemesinin zorunluluğu, uzlaşma kapsamı ve veri sorumlusunun KVKK sorumluluğu Yargıtay kararları ışığında ele alınmaktadır. Konuyla ilgili sık karşılaşılan sorulara verilen cevaplar makalenin sonunda bulunmaktadır.

Bilişim Suçu Nedir?

Yargı içtihatlarında bilişim alanında işlenen suçlar, doğrudan bilişim suçları ve dolayısıyla bilişim suçları ayrımı çerçevesinde ele alınır. Yargıtay Ceza Genel Kurulu’nun 17.11.2009 tarihli, E. 2009/193, K. 2009/268 sayılı kararında bu tasnife dikkat çekilerek, sistemin bizatihi hedef alındığı eylemler ile sistemin araç kılındığı fiiller arasındaki ayrım vurgulanmıştır.

Ayrımın pratik önemi şudur: sistemin kendisi hedef alınmışsa TCK m. 243 ve 244 uygulanır. Sistem yalnızca bir araçsa, esas suç tipine, yani hırsızlık ya da dolandırıcılığa gidilir.

Bilişim Sistemine Girme (TCK m. 243)

Yargıtay 4. Ceza Dairesi’nin 02.06.2022 tarihli, E. 2021/26919, K. 2022/13965 sayılı kararında bilişim sistemine girme, bir bilişim sisteminde bulunan verilerin bir kısmına veya tamamına fiziken ya da uzaktan başka bir cihaz yoluyla erişilmesi olarak tanımlanmıştır.

Aynı kararda erişimin yöntemi de sayılmıştır: güvenlik açıklarından yararlanılarak gerçekleştirilebileceği gibi, ağ üzerinden virüsler, truva atı, makro virüsü ve solucanlar kullanılarak veya sistemin açık kapıları zorlanarak giriş yapılabilir.

E-posta göndermek “girme” sayılır mı?

Hayır. Aynı kararda benimsenen ilkeye göre sisteme sırf e-posta ya da dosya iletilmesi eyleminde yalnızca veri gönderildiğinden, bu durum girme kapsamında düşünülemez.

Bu ayrım savunma bakımından önemlidir. Bir kişiye dosya göndermek tek başına TCK m. 243 kapsamında değildir; sistem üzerinde erişim sağlanmış olması aranır.

Fidye yazılımları

İstanbul 18. Asliye Ticaret Mahkemesi’nin 15.02.2021 tarihli, E. 2020/107, K. 2021/116 sayılı kararında, hedef bilgisayardaki verileri şifreleyerek erişimi engelleyen zararlı yazılımların TCK m. 243 ve 244 kapsamında suç teşkil ettiği belirtilmiştir.

Kararda yöntem şöyle tarif edilmiştir: şifreleme virüsü, siber saldırı olarak ifade edilen yöntemle uzaktaki hedef bilgisayarın dosyalarının şifrelenmesi ve bu şekilde kullanıcının verilere erişiminin engellenmesine yönelik oluşturulmuş zararlı yazılımdır. Aynı kararda, uygulamada bu virüsler bilgisayarlara bulaştırılarak dosyalar şifrelendikten sonra şifrenin çözülebilmesi için belirli bir ücret talep edildiği değerlendirmesine yer verilmiştir.

Sistemi Engelleme, Verileri Bozma veya Değiştirme (TCK m. 244)

TCK m. 244, bilişim sistemlerinin işleyişini ve verilerin bütünlüğünü güvence altına alır. Yargıtay 23. Ceza Dairesi’nin 14.12.2015 tarihli, E. 2015/4528, K. 2015/8082 ve 15.02.2016 tarihli, E. 2016/1817, K. 2016/1324 sayılı kararlarında maddenin yapısı ortaya konulmuştur.

Sosyal medya hesabının ele geçirilmesi

Sosyal medya veya e-posta hesaplarının şifrelerinin kırılarak ele geçirilmesi ve üçüncü kişilerle mesajlaşılması fiilleri TCK m. 244/2 kapsamında değerlendirilmektedir. Yargıtay 8. Ceza Dairesi’nin 16.10.2023 tarihli, E. 2021/3977, K. 2023/7484; 09.10.2023 tarihli, E. 2021/3937, K. 2023/7182; 17.04.2024 tarihli, E. 2024/181, K. 2024/3234; 20.11.2023 tarihli, E. 2021/5169, K. 2023/8748 ve 24.05.2023 tarihli, E. 2020/18377, K. 2023/3643 sayılı kararlarında bu nitelendirme yapılmıştır.

Yargıtay 8. Ceza Dairesi’nin 09.10.2023 tarihli kararında somut olay şöyledir: sanık, katılana ait hesap ve şifreyi ele geçirip hesaba izinsiz girmiş, katılanın arkadaş listesindeki bir kişiyle katılan olduğundan bahisle mesajlaşarak acil paraya ihtiyacı olduğunu belirtmiş ve paranın kendisine gönderilmesini sağlamıştır. Daire bu eylemi bilişim sistemine veri yerleştirme suçu saymıştır.

Yargıtay 8. Ceza Dairesi’nin 17.04.2024 tarihli kararında da şikâyetçinin arkadaşıyla para temini için mesajlaşmak suretiyle bilişim sistemine veri yerleştirme fiilinin TCK m. 244/2 kapsamında kaldığı belirtilmiştir. Bu suç tipinin ayrıntıları sosyal medya hesabına izinsiz girme suçu yazısında ayrıca ele alınmıştır.

Şifreyi değiştirip erişimi engelleme

Yargıtay 11. Ceza Dairesi’nin 15.03.2023 tarihli, E. 2021/20775, K. 2023/1622 sayılı kararında, katılanın sosyal medya şifresinin değiştirilerek hesabına erişiminin engellendiği olayda mahkemenin eylemi TCK m. 244/2 kapsamında görmesi isabetli bulunmuştur.

İşyeri bilgisayarından veri aktarma

Yargıtay 8. Ceza Dairesi’nin 18.12.2023 tarihli, E. 2021/8265, K. 2023/10161 sayılı kararında, sanığın kullanımındaki işyeri bilgisayarından katılan şirkete ait kişisel veri niteliğindeki bilgileri izinsiz ele geçirdiği gibi bilişim sistemine izinsiz girerek şirket çalışanına mail göndermek suretiyle veri naklettiği kabul edilmiş; beraat kararı bozulmuştur.

Tali Norm Kuralı: m. 244/4 Ne Zaman Uygulanmaz?

Bu, bilişim suçlarında en çok hataya yol açan konudur. TCK m. 244/4 hükmü “başka bir suçu oluşturmaması hâlinde” ibaresini içerdiğinden tali norm niteliğindedir.

Ceza Genel Kurulu’nun 17.11.2009 tarihli kararı ile Yargıtay 23. Ceza Dairesi’nin 15.02.2016 ve 14.12.2015 tarihli kararlarında bu kural açıklanmıştır: bu fıkra hükmüne istinaden cezaya hükmedilebilmesi için fiilin daha ağır cezayı gerektiren başka bir suç oluşturmaması gerekir. Fiil dolandırıcılık, hırsızlık, güveni kötüye kullanma veya zimmet suçunu oluşturuyorsa bu fıkraya göre ceza verilmez.

İnternet bankacılığı: hırsızlık

Hesap sahibinin rızası dışında internet bankacılığı yoluyla başka hesaba para aktarılması eyleminde TCK m. 244/4 değil, TCK m. 142/2-e uygulanır.

Yargıtay 2. Ceza Dairesi’nin 18.02.2016 tarihli, E. 2014/22652, K. 2016/2574 sayılı kararında, katılanın bilgisi ve rızası dışında hesabından sanık adına kayıtlı IP adresi üzerinden internet aracılığıyla başka hesaba para aktarılıp çekilmesi biçimindeki eylemin, Ceza Genel Kurulu’nun 17.11.2009 tarihli kararında da benimsendiği üzere bilişim sistemi kullanılmak suretiyle hırsızlık suçunu oluşturduğu belirtilmiş; suç vasfında yanılgı sonucu m. 244/4 uygulanması bozma sebebi sayılmıştır.

Aynı ayrım Yargıtay 8. Ceza Dairesi’nin 28.03.2024 tarihli, E. 2022/567, K. 2024/2892 sayılı kararında da yinelenmiş ve fiilin banka veya kredi kartlarının kötüye kullanılması suçundan da ayrı tutulması gerektiği belirtilmiştir.

Hileyle aldatma: nitelikli dolandırıcılık

Mağdurun hileli davranışlarla aldatılarak menfaat temin edilmesi hâlinde TCK m. 158/1-f gündeme gelir ve görevli mahkeme değişir.

Yargıtay 15. Ceza Dairesi’nin 29.03.2021 tarihli, E. 2021/1900, K. 2021/3693 sayılı kararında, sanığın katılanın sosyal medya profilini ve buna bağlı e-posta adresini ele geçirerek katılanın arkadaşıyla irtibat kurup kendi banka hesabına para göndermesini sağladığı olayda; eylemin TCK m. 244/2 ile birlikte m. 158/1-f kapsamında nitelikli dolandırıcılık suçunu oluşturup oluşturmadığına ilişkin delillerin takdirinin üst dereceli ağır ceza mahkemesine ait olduğu, görevsizlik kararı verilmesi gerektiği belirtilerek hüküm bozulmuştur.

Görev meselesi burada belirleyicidir. Nitelikli dolandırıcılık ihtimali varsa asliye ceza mahkemesi karar veremez.

Para gönderilmezse: teşebbüs

Yargıtay 11. Ceza Dairesi’nin 10.05.2023 tarihli, E. 2021/20554, K. 2023/3805 sayılı kararında, sanığın katılanın e-posta hesabını ele geçirip mesajlaşma uygulaması üzerinden katılanın damadından para istediği, mağdurun şüphelenmesi üzerine parayı göndermediği olayda suçun sübut bulduğu ancak teşebbüs aşamasında kaldığı kabul edilmiştir.

Başka suç yoksa m. 244/4 uygulanır

Yargıtay 8. Ceza Dairesi’nin 29.02.2024 tarihli, E. 2022/4121, K. 2024/2002 sayılı kararında, bilişim sistemine müdahale suretiyle haksız çıkar sağlama suçundan TCK m. 244/4 uyarınca verilen 1 yıl 8 ay hapis ve 80 TL adli para cezası onanmıştır.

Yargıtay 8. Ceza Dairesi’nin 22.01.2024 tarihli, E. 2021/16685, K. 2024/592 sayılı kararında ise sanığın başkasına ait kimlik bilgileriyle üyelik oluşturup ürün siparişi vermesi eylemi, bilişim sistemine hukuka aykırı müdahale suretiyle haksız çıkar sağlama ve kişisel verileri hukuka aykırı olarak ele geçirme veya yayma suçları kapsamında kabul edilmiştir.

Delil ve İspat: IP, Log ve Bilirkişi

Bilişim suçlarında maddi gerçeğe ulaşılması teknik delillerin sıhhatine bağlıdır. Yargıtay bu alanda eksik incelemeyi düzenli olarak bozma sebebi saymaktadır.

IP ve log kayıtları

Yargıtay 8. Ceza Dairesi’nin 28.03.2024 tarihli kararında, IP adreslerinin bilişim sistemlerine yetkisiz giriş ve sistemde yer alan veriyi öğrenme suçlarının faillerinin takibi için uygulayıcıların elindeki yegâne delil olduğu tespit edilmiş, bilgisayarla ilgili kayıtların tutulmasının şart olduğu vurgulanmıştır.

Yargıtay 8. Ceza Dairesi’nin 18.12.2023 tarihli kararında ise yer sağlayıcı log kayıtlarının nasıl değerlendirildiği görülür: erişim sağlanan IP numarası üzerinde barındırılan web mail ortamlarına sanık tarafından çok sayıda erişim sağlandığı, sanığın savunmasında geçen IP maskeleme işleminin izine incelenen log kayıtlarında rastlanılmadığı ve işlemlerin sanığa ait kullanıcı hesabı üzerinden gerçekleştirildiği belirlenmiştir.

Bilirkişi incelemesi zorunludur

Yargıtay 8. Ceza Dairesi’nin 28.03.2024 tarihli ve Yargıtay 2. Ceza Dairesi’nin 18.02.2016 tarihli kararlarında, sanığın bilgisayarına veya IP adresine dışarıdan müdahale edilip edilmediğinin tespiti için suça konu işlemin gerçekleştirildiği bilgisayar, telefon ve modem gibi ekipmanlarla birlikte dosyanın bütünüyle bankacılık ve bilişim sistemleri konusunda uzman bilirkişiye tevdi edilerek teknik inceleme yapılması gerektiği belirtilmiştir.

Anılan kararlarda özellikle, sanığın bilgisayarına başka şahıslar tarafından müdahalede bulunularak sanığa ait IP numarası üzerinden onun yerine bankacılık işlemlerinin yapılıp yapılamayacağı konusunda uzman incelemesi yaptırılması aranmış; eksik incelemeyle hüküm kurulması bozma sebebi sayılmıştır.

Savunma açısından bu, en güçlü argümanlardan biridir. IP eşleşmesi tek başına failliği ispatlamaz; IP’nin ele geçirilmiş, paylaşılmış ya da yönlendirilmiş olma ihtimali teknik olarak araştırılmalıdır.

Hangi kayıtlar istenmelidir?

Yargıtay 4. Ceza Dairesi’nin 02.06.2022 tarihli kararına göre IP adresi kayıt bilgilerinden hareketle, sisteme giriş yapan veya giriş denemesi başarısız olan IP numaralarının kullanıcılarına ait adres ve telefon bilgileri istenmeli; aynı şekilde sanığa ait olduğu iddia edilen e-posta adresini kullanan IP numaraları saptanarak bunların adres ve telefon bilgileri de temin edilmelidir.

Açık kaynak araştırması yeterli değildir

Yargıtay 8. Ceza Dairesi’nin 06.11.2024 tarihli, E. 2023/3077, K. 2024/8459 sayılı kararında, somut olaya ilişkin ayrıntılı araştırma içermeyip açık kaynak tespitine dayanan tutanağın yeterli görülemeyeceği belirtilmiş; tüm deliller toplandıktan sonra hukuki durumun takdiri gerekirken eksik araştırmayla karar verilmesi hukuka aykırı bulunmuştur.

IP kayıtlarının hukuki değeri ve tek başına yeterli olup olmadığı IP adresi suçlunun tespiti için yeterli midir yazısında ayrıntılı olarak tartışılmıştır.

Yaptırımlar ve İnfaz Kuralları

Adli para cezasında iki yasak

Yargıtay 11. Ceza Dairesi’nin 10.05.2023 tarihli kararında iki usul kuralı ortaya konulmuştur. Birincisi, TCK m. 58’in yalnızca hapis cezalarına uygulanabileceği gözetilmeden mükerrirlere özgü infaz rejiminin uygulanmasına karar verilmesi isabetsizdir. İkincisi, adli para cezasına hükmedilmesi sebebiyle belli hakları kullanmaktan yoksun bırakılmaya dair karar verilemez.

Hapis cezalarında ise durum farklıdır; Yargıtay 11. Ceza Dairesi’nin 15.03.2023 tarihli kararında olduğu gibi mükerrirlik ve hak yoksunluğu uygulanabilmektedir. Adli para cezasının hesaplanması ve ödenmesi adli para cezası yazısında ayrıca anlatılmıştır.

Nitelikli dolandırıcılıkta adli para cezasının tabanı

Yargıtay 11. Ceza Dairesi’nin 22.02.2024 tarihli, E. 2021/31721, K. 2024/2084 sayılı kararında, TCK m. 158/1’in (e), (f), (j), (k) ve (l) bentlerinde sayılan hâllerde adli para cezasının tayininde tespit olunacak temel günün, suçtan elde olunan haksız menfaatin iki katından az olmayacak şekilde belirlenmesi gerektiği vurgulanmıştır.

Mevzuat bakımından güncel bir not: TCK m. 158’e 31.07.2026 tarihli ve 7589 sayılı Kanun ile eklenen dördüncü fıkra, ödeme araçlarının veya hesap bilgilerinin başkasına verilmesi fiiliyle sınırlı iştirak hâlleri için indirim düzenlemesi getirmiştir. Uygulamada “hesabını kiralayan” kişiler bakımından bu düzenlemenin ayrıca değerlendirilmesi gerekir.

Suç vasfı ve uzlaşma

Yargıtay 5. Ceza Dairesi’nin 21.09.2022 tarihli, E. 2018/12733, K. 2022/10786 sayılı kararında, bilişim sistemindeki verilerin başka yere aktarılması fiilinde korunan hukuki yarar, suçun konusu ve sanığın kastı gözetildiğinde ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi ve belgelerin açıklanması suçundan cezalandırma gerektiği tespit edilmiştir.

Aynı kararda kritik bir sonuç yer alır: bu suç CMK m. 253/1-(a-8) uyarınca uzlaşma kapsamındadır ve suç vasfındaki yanılgı nedeniyle ayrı ayrı cezalandırma yoluna gidilmesi fazla ceza tayini sayılarak bozma sebebi yapılmıştır.

Yargıtay 8. Ceza Dairesi’nin 07.10.2015 tarihli, E. 2015/1647, K. 2015/22235 sayılı kararında ise mesaj içeriklerinin şantaj suçunu oluşturup oluşturmayacağı yönünden de tartışılması gerektiği belirtilmiştir.

Veri Sorumlusunun İdari Sorumluluğu

Bilişim saldırısında yalnızca fail cezalandırılmaz; sistemin güvenliğini sağlamayan kurum da idari yaptırımla karşılaşabilir.

Kişisel Verileri Koruma Kurulu’nun 16.06.2020 tarihli, 2020/465 sayılı kararında, parola püskürtme yöntemiyle gerçekleştirilen saldırı sonucunda sistem güvenliğini sağlamayan veri sorumlusu hakkında 6698 sayılı Kanun m. 12/1 ve 18/1-b uyarınca 75.000 TL; etkilenen kişilere 55 gün sonra bildirimde bulunarak en kısa sürede bildirim şartına uymaması nedeniyle de 50.000 TL idari para cezası uygulanmasına karar verilmiştir.

Bu karar iki yükümlülüğün ayrı ayrı yaptırıma bağlandığını göstermesi bakımından önemlidir: güvenlik tedbiri alma yükümlülüğü ile ihlal bildirimi yükümlülüğü. İdari para cezasının uygulanma usulü ve itiraz yolu idari para cezası yazısında ayrıntılı olarak açıklanmıştır.

Yasak Cihaz ve Programlar (TCK m. 245/A)

Bilişim suçlarında çoğu zaman gözden kaçan bağımsız bir suç tipi daha vardır. TCK m. 245/A, bir cihazın, bilgisayar programının, şifrenin veya sair güvenlik kodunun münhasıran bu bölümde yer alan suçlar ile bilişim sistemlerinin araç olarak kullanılması suretiyle işlenebilen diğer suçların işlenmesi için yapılmasını veya oluşturulmasını cezalandırır.

Suç yalnızca üretmekle sınırlı değildir. Bu amaçla yapılan cihaz veya programın başkasına verilmesi, nakledilmesi veya bulundurulması da cezalandırılır.

Belirleyici unsur “münhasıran” ifadesidir. Bir aracın hem meşru hem hukuka aykırı kullanımı mümkünse, bu suçun oluşup oluşmadığı tartışmalı hâle gelir. Savunmada ilk sorgulanması gereken nokta budur: söz konusu program ya da cihaz yalnızca suç işlemeye mi elverişlidir?

TCK m. 244/2’nin Altı Ayrı Fiili

İkinci fıkra tek bir davranışı değil, altı ayrı seçimlik hareketi kapsar. Bunların ayrı ayrı tanımlanması, iddianamedeki nitelendirmenin doğruluğunu denetlemeyi sağlar.

• Bozma: Verinin bütünlüğünün ya da anlamının değiştirilerek kullanılamaz duruma getirilmesi.
• Yok etme: Verinin tamamen silinmesi.
• Değiştirme: Verinin içeriğinin farklılaştırılması.
• Erişilmez kılma: Veri yerinde durduğu hâlde hak sahibinin ulaşmasının engellenmesi; şifre değiştirme bu kapsamdadır.
• Sisteme veri yerleştirme: Sisteme yeni veri eklenmesi; hesap üzerinden mesaj yazılması bu fiile girer.
• Var olan verileri başka yere gönderme: Verinin sistem dışına aktarılması.

Aynı olayda birden çok fiil gerçekleşmiş olabilir. Bu durumda hangi fiilin esas alındığı kararda gösterilmelidir.

Banka ve Kredi Kartı Suçları (TCK m. 245)

TCK m. 245 üç ayrı görünüm içerir: başkasına ait kartın izinsiz kullanılması, sahte kart üretilmesi ve sahte kartla yarar sağlanması.

Birinci fıkrada, başkasına ait banka veya kredi kartını her ne suretle olursa olsun ele geçiren ya da elinde bulunduran kişinin, kart sahibinin veya kartın kendisine verilmesi gereken kişinin rızası olmaksızın bunu kullanarak kendisine veya başkasına yarar sağlaması cezalandırılır.

İkinci fıkra sahte kart üretme, satma, devretme, satın alma veya kabul etme fiillerini kapsar. Uygulamada aranan teknik şart, kartın gerçek bir hesapla ilişkilendirilmiş olmasıdır; hiçbir hesapla bağlantısı bulunmayan bir kart sahte kart sayılmayabilir.

Akrabalar arasında cezasızlık

TCK m. 245’in son fıkrasında, birinci fıkrada yer alan fiillerin belirli yakınlar arasında işlenmesi hâlinde ilgili akrabaya ceza verilmeyeceği düzenlenmiştir. Bu şahsi cezasızlık hâli, eş ve belirli derecedeki hısımlar bakımından uygulanır ve uygulamada sıklıkla gözden kaçar.

Şikâyet, Uzlaştırma ve Tutuklama

Şikâyete tabi değildir

TCK m. 243, 244 ve 245’te düzenlenen suçlar şikâyete bağlı değildir. Savcılık öğrendiği anda resen soruşturma yürütür; mağdurun şikâyetten vazgeçmesi davayı düşürmez. Bu, bilişim suçlarını hakaret gibi şikâyete bağlı suçlardan ayıran temel usul farkıdır.

Uzlaştırma kapsamı

Bilişim suçları kural olarak uzlaştırma kapsamında değildir. Ancak fiilin nitelendirilmesi değişirse durum farklılaşabilir. Yargıtay 5. Ceza Dairesi’nin 21.09.2022 tarihli kararında görüldüğü üzere, verilerin dışarı aktarılması ticari sır niteliğindeki bilgilerin açıklanması suçunu oluşturuyorsa bu suç uzlaştırmaya tabidir.

Tutuklama

CMK m. 100/4 uyarınca yalnızca adli para cezasını gerektiren veya hapis cezasının üst sınırı iki yıldan fazla olmayan suçlarda tutuklama kararı verilemez. TCK m. 243’ün temel hâlinde ceza üst sınırı bu eşiğin altında kaldığından tutuklama gündeme gelmez. Buna karşılık TCK m. 244 ve 245 bakımından tutuklama mümkündür.

Zamanaşımı Süreleri

Süreler TCK m. 66’daki cezanın üst sınırına göre belirlenir; kesen sebeplerin varlığında m. 67/4 uyarınca sürenin yarısı kadar uzama söz konusu olur.

Görevli ve Yetkili Mahkeme

Bilişim suçlarında görevli mahkeme kural olarak asliye ceza mahkemesidir. Ancak fiil nitelikli dolandırıcılık kapsamına giriyorsa görev ağır ceza mahkemesine geçer; bu ayrım yukarıda ele alınmıştır.

Yetki bakımından suçun işlendiği yer mahkemesi yetkilidir. Bilişim suçlarında suçun işlendiği yerin tespiti güç olduğundan, fiilin gerçekleştiği ya da sonucun meydana geldiği yer birlikte değerlendirilir. Bilişim sisteminin araç olarak kullanıldığı suçlarda mağdurun yerleşim yeri mahkemesinin de yetkili sayıldığı hâller bulunmaktadır.

Tüzel Kişiler Hakkında Güvenlik Tedbirleri

TCK m. 246 uyarınca bu bölümde yer alan suçların işlenmesi suretiyle yararına haksız menfaat sağlanan tüzel kişiler hakkında bunlara özgü güvenlik tedbirlerine hükmolunur. Bu tedbirler faaliyet izninin iptali ve müsadere olarak uygulanabilir.

Tüzel kişi hakkında ceza verilmez; ancak güvenlik tedbiri uygulanması şirketin faaliyetini doğrudan etkiler.

Kanun Yolları

Bilişim suçlarından kurulan hükümlere karşı istinaf süresi hükmün tefhiminden veya tebliğinden itibaren yedi gün, temyiz süresi on beş gündür. Tutuklamaya ve adli kontrole ilişkin kararlara karşı itiraz süresi ise yedi gündür.

Adli para cezasına hükmedilen hâllerde kesinlik sınırı gözetilmelidir; belirli tutarın altındaki mahkûmiyetlerde istinaf yolu kapalıdır. Bu husus adli para cezası yazısında ayrıntılı olarak açıklanmıştır.

Bilişim Sisteminin Araç Olduğu Diğer Suçlar

Bilişim sistemi, kendisi hedef alınmadan yalnızca araç olarak da kullanılabilir. Bu hâlde uygulanacak hüküm ilgili suç tipidir.

• Kişisel veriler: TCK m. 135-138 kapsamında kaydetme, hukuka aykırı verme veya ele geçirme ve verileri yok etmeme.
• Özel hayat ve haberleşme: TCK m. 132-134 kapsamındaki ihlaller. Ayrıntısı özel hayatın gizliliğini ihlal suçu yazısındadır.
• Hakaret ve tehdit: TCK m. 125 ve 106. Sosyal medya boyutu internet ve sosyal medya üzerinden hakaret yazısında ele alınmıştır.
• Şantaj: TCK m. 107 kapsamında içerik ifşasıyla tehdit.
• Müstehcenlik ve çocukların korunması: TCK m. 226.
• Özel kanunlar: 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu, 5549 sayılı Kanun kapsamındaki suçlar ile 5651 sayılı Kanun’daki yükümlülükler.

Şikâyet ve Delil Toplama Süreci

Bilişim suçunda ilk yapılması gereken, delilin kaybolmadan kayıt altına alınmasıdır. Ekran görüntüleri, hesap giriş bildirimleri, e-posta uyarıları, banka dekontları ve varsa yazışma çıktıları saklanmalıdır.

Şikâyet Cumhuriyet Başsavcılığına ya da kolluk birimlerine yapılır. Büyük illerde siber suçlarla mücadele şube müdürlükleri bu tür başvuruları ayrıca değerlendirir. Soruşturma makamı, yer sağlayıcıdan ve erişim sağlayıcıdan trafik ve log kayıtlarını ister.

Yurt dışı merkezli platformlardan bilgi temini istinabe yoluyla yürütüldüğünden zaman alır ve her talep karşılanmaz. Bu nedenle mağdurun kendi elindeki delilleri eksiksiz sunması, soruşturmanın seyrini doğrudan etkiler. Delillerin sınırlarına ilişkin ayrıntılar IP adresi suçlunun tespiti için yeterli midir yazısında ele alınmıştır.

50 Soruda Bilişim Suçları

Bilişim suçları konusunda uygulamada en sık karşılaşılan sorular ve bunlara ilişkin cevaplar aşağıda yer almaktadır.

Kavram ve ayrım

1. Bilişim suçu nedir?
Bilişim sisteminin doğrudan hedef alındığı ya da suçun işlenmesinde araç olarak kullanıldığı fiillerdir.

2. Bu ayrım neden önemli?
Hangi maddenin uygulanacağını, cezayı ve görevli mahkemeyi belirler.

3. Doğrudan bilişim suçları hangileridir?
TCK m. 243’teki sisteme girme ile m. 244’teki sistemi engelleme ve verileri bozma suçları.

4. Dolayısıyla bilişim suçları hangileridir?
Bilişim sisteminin araç olarak kullanıldığı hırsızlık, dolandırıcılık ve benzeri suçlar.

5. Bu ayrımı hangi karar ortaya koydu?
Yargıtay Ceza Genel Kurulu 17.11.2009 tarihli kararı.

Sisteme girme

6. Bilişim sistemine girme ne demektir?
Sistemdeki verilerin bir kısmına veya tamamına fiziken ya da uzaktan erişilmesidir.

7. Hangi yöntemler girme sayılır?
Güvenlik açıklarından yararlanma, virüs, truva atı, makro virüsü ve solucan kullanma ya da açık kapıların zorlanması.

8. Birine e-posta göndermek suç mu?
Yargıtay 4. Ceza Dairesi 02.06.2022 tarihli kararına göre sadece veri gönderilmesi girme kapsamında değildir.

9. Sistemde kalmak ayrı suç mu?
TCK m. 243 hukuka aykırı olarak girme ve orada kalmayı birlikte düzenler.

10. Fidye yazılımı hangi maddeye girer?
Verileri şifreleyip erişimi engelleyen yazılımlar TCK m. 243 ve 244 kapsamında değerlendirilmiştir.

11. Şifre çözmek için para istenmesi ne olur?
Fiilin niteliğine göre ayrıca şantaj veya dolandırıcılık gündeme gelebilir.

Verilere müdahale

12. TCK m. 244/1 neyi cezalandırır?
Bilişim sisteminin işleyişinin engellenmesi veya bozulmasını.

13. TCK m. 244/2 neyi kapsar?
Verilerin bozulması, yok edilmesi, değiştirilmesi, erişilmez kılınması, sisteme veri yerleştirilmesi ve verilerin başka yere gönderilmesi.

14. Banka sistemine yapılırsa ne olur?
TCK m. 244/3 uyarınca ceza artırılır.

15. Sosyal medya hesabımı ele geçiren kişi hangi suçu işler?
Yargıtay kararlarına göre TCK m. 244/2 kapsamında değerlendirilir.

16. Hesabımdan mesaj atıp para istenirse?
Bu, bilişim sistemine veri yerleştirme sayılmıştır; ayrıca dolandırıcılık gündeme gelir.

17. Şifremi değiştirip beni kilitlerse?
Yargıtay 11. Ceza Dairesi 15.03.2023 tarihli kararında bu, verileri erişilmez kılma sayılmıştır.

18. İşyeri bilgisayarından veri kopyalamak suç mu?
Yargıtay 8. Ceza Dairesi 18.12.2023 tarihli kararında bu eylem TCK m. 244/2 kapsamında görülmüştür.

19. Kendi hesabımdan veri göndermek suç olur mu?
Yetkisi olmayan veriyi başka yere nakletmek suç oluşturabilir; yetkinin sınırı belirleyicidir.

Tali norm ve suç vasfı

20. TCK m. 244/4 nedir?
Bilişim sistemine müdahaleyle haksız çıkar sağlanmasını cezalandıran fıkradır.

21. Neden tali norm sayılır?
“Başka bir suçu oluşturmaması hâlinde” ibaresini içerdiği için.

22. Hangi suçlar varsa uygulanmaz?
Dolandırıcılık, hırsızlık, güveni kötüye kullanma ve zimmet.

23. İnternet bankacılığıyla para çekilirse hangi suç oluşur?
TCK m. 142/2-e uyarınca bilişim sistemi kullanılmak suretiyle hırsızlık.

24. Bu hangi kararlarda belirtildi?
Ceza Genel Kurulu 17.11.2009 ile Yargıtay 2. Ceza Dairesi 18.02.2016 tarihli kararlarında.

25. Yanlış madde uygulanırsa ne olur?
Suç vasfında yanılgı bozma sebebidir.

26. Hileyle aldatma varsa hangi madde uygulanır?
TCK m. 158/1-f uyarınca nitelikli dolandırıcılık.

27. Görevli mahkeme değişir mi?
Evet. Nitelikli dolandırıcılıkta ağır ceza mahkemesi görevlidir.

28. Asliye ceza karar verirse ne olur?
Yargıtay 15. Ceza Dairesi 29.03.2021 tarihli kararında görevsizlik verilmesi gerektiği belirtilerek hüküm bozulmuştur.

29. Mağdur para göndermezse suç oluşmaz mı?
Oluşur ama teşebbüs aşamasında kalır.

30. Banka kartının kötüye kullanılması ayrı suç mu?
Evet. Yargıtay 8. Ceza Dairesi 28.03.2024 tarihli kararında bu ayrım vurgulanmıştır.

31. Şirket verisi sızdırılırsa hangi suç oluşur?
Ticari sır, bankacılık sırrı veya müşteri sırrının açıklanması suçu gündeme gelebilir.

32. Bu suç uzlaşmaya tabi mi?
Evet. Yargıtay 5. Ceza Dairesi 21.09.2022 tarihli kararında CMK m. 253 kapsamında olduğu belirtilmiştir.

Delil ve ispat

33. IP kaydı tek başına yeterli mi?
Hayır. Dışarıdan müdahale ihtimalinin bilirkişiyle araştırılması gerekir.

34. Bilirkişi incelemesi zorunlu mu?
Yargıtay kararlarına göre eksik inceleme bozma sebebidir.

35. Bilirkişi neyi inceler?
İşlemin yapıldığı bilgisayar, telefon ve modem ile birlikte dosyanın tamamını.

36. Hangi kayıtlar istenmeli?
Sisteme giriş yapan ve başarısız giriş denemesi yapan IP kullanıcılarının adres ve telefon bilgileri.

37. Log kaydı ne işe yarar?
Erişimin kim tarafından ve hangi hesapla yapıldığını gösterir.

38. IP maskeleme savunması işe yarar mı?
Log kayıtlarında izine rastlanmazsa bu savunma kabul görmeyebilir.

39. Açık kaynak araştırması yeterli mi?
Hayır. Yargıtay 8. Ceza Dairesi 06.11.2024 tarihli kararında bu yetersiz bulunmuştur.

40. İnterneti başkası kullanıyorsa ne olur?
Bu husus tanık beyanları ve teknik incelemeyle birlikte değerlendirilir.

Ceza ve infaz

41. Adli para cezasında mükerrirlik uygulanır mı?
Hayır. TCK m. 58 yalnızca hapis cezalarına uygulanır.

42. Adli para cezasında hak yoksunluğuna karar verilebilir mi?
Hayır. Yargıtay 11. Ceza Dairesi 10.05.2023 tarihli kararında bu belirtilmiştir.

43. Hapis cezasında durum farklı mı?
Evet. Hapis cezalarında mükerrirlik ve hak yoksunluğu uygulanabilir.

44. Nitelikli dolandırıcılıkta para cezası nasıl hesaplanır?
Temel gün, elde edilen haksız menfaatin iki katından az olmayacak şekilde belirlenir.

45. Hesabını başkasına kiralayan kişi ne olur?
TCK m. 158’e 7589 sayılı Kanun ile 31.07.2026’da eklenen dördüncü fıkra bu iştirak hâlleri için indirim öngörmüştür.

46. Etkin pişmanlık uygulanır mı?
Malvarlığına karşı suçlarda ve yollama yapılan hâllerde uygulanır.

Kurum sorumluluğu

47. Verim sızdırıldı, kuruma ceza verilir mi?
Güvenlik tedbirlerini almayan veri sorumlusuna KVKK uyarınca idari para cezası verilebilir.

48. Kurul hangi cezayı verdi?
16.06.2020 tarihli kararında güvenlik ihlali için 75.000 TL, geç bildirim için 50.000 TL.

49. Bildirim ne kadar sürede yapılmalı?
En kısa sürede; 55 gün sonra yapılan bildirim geç bulunmuştur.

50. İki yükümlülük ayrı ayrı mı cezalandırılır?
Evet. Güvenlik tedbiri alma ve ihlal bildirimi ayrı yükümlülüklerdir.

Sonuç

Bilişim suçlarında ilk yapılması gereken, fiilin sistemi mi hedef aldığını yoksa sistemi araç olarak mı kullandığını belirlemektir. Bu tespit hem uygulanacak maddeyi hem görevli mahkemeyi değiştirir.

TCK m. 244/4 tali normdur. İnternet bankacılığıyla para aktarımında hırsızlık, hileyle aldatmada nitelikli dolandırıcılık hükümleri öncelikle uygulanır. Suç vasfındaki yanılgı, bu alanda en sık rastlanan bozma sebebidir.

Delil bakımından IP eşleşmesi tek başına yeterli görülmemektedir. Sanığın cihazına dışarıdan müdahale edilip edilmediğinin uzman bilirkişi incelemesiyle araştırılması, Yargıtay tarafından düzenli olarak aranan bir usul şartıdır.

Adli para cezasına hükmedildiğinde mükerrirlik rejimi ve hak yoksunluğu uygulanamaz. Bu iki kural, hükmün denetlenmesinde somut ve kolay ileri sürülebilir dayanaklardır.

Kaynakça

Mevzuat

• 5237 sayılı Türk Ceza Kanunu, m. 243 (Bilişim sistemine girme)
• 5237 sayılı Türk Ceza Kanunu, m. 244 (Sistemi engelleme, bozma, verileri yok etme veya değiştirme)
• 5237 sayılı Türk Ceza Kanunu, m. 245 (Banka veya kredi kartlarının kötüye kullanılması)
• 5237 sayılı Türk Ceza Kanunu, m. 142/2-e (Bilişim sistemlerinin kullanılması suretiyle hırsızlık)
• 5237 sayılı Türk Ceza Kanunu, m. 158/1-f (Bilişim sistemlerinin araç olarak kullanılması suretiyle dolandırıcılık) ve 7589 sayılı Kanun ile 31.07.2026’da eklenen dördüncü fıkra
• 5237 sayılı Türk Ceza Kanunu, m. 239 (Ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi veya belgelerin açıklanması)
• 5237 sayılı Türk Ceza Kanunu, m. 58 (Mükerrirlere özgü infaz rejimi), m. 53 (Belli hakları kullanmaktan yoksun bırakılma)
• 5271 sayılı Ceza Muhakemesi Kanunu, m. 253 (Uzlaşma)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 12 (Veri güvenliğine ilişkin yükümlülükler), m. 18 (Kabahatler)
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun

Yargı kararları

• Yargıtay Ceza Genel Kurulu, E. 2009/193, K. 2009/268, T. 17.11.2009
• Yargıtay 2. Ceza Dairesi, E. 2014/22652, K. 2016/2574, T. 18.02.2016
• Yargıtay 4. Ceza Dairesi, E. 2021/26919, K. 2022/13965, T. 02.06.2022
• Yargıtay 5. Ceza Dairesi, E. 2018/12733, K. 2022/10786, T. 21.09.2022
• Yargıtay 8. Ceza Dairesi, E. 2023/3077, K. 2024/8459, T. 06.11.2024
• Yargıtay 8. Ceza Dairesi, E. 2024/181, K. 2024/3234, T. 17.04.2024
• Yargıtay 8. Ceza Dairesi, E. 2022/567, K. 2024/2892, T. 28.03.2024
• Yargıtay 8. Ceza Dairesi, E. 2022/4121, K. 2024/2002, T. 29.02.2024
• Yargıtay 8. Ceza Dairesi, E. 2021/16685, K. 2024/592, T. 22.01.2024
• Yargıtay 8. Ceza Dairesi, E. 2021/8265, K. 2023/10161, T. 18.12.2023
• Yargıtay 8. Ceza Dairesi, E. 2021/5169, K. 2023/8748, T. 20.11.2023
• Yargıtay 8. Ceza Dairesi, E. 2021/3977, K. 2023/7484, T. 16.10.2023
• Yargıtay 8. Ceza Dairesi, E. 2021/3937, K. 2023/7182, T. 09.10.2023
• Yargıtay 8. Ceza Dairesi, E. 2020/19881, K. 2023/6541, T. 25.09.2023
• Yargıtay 8. Ceza Dairesi, E. 2020/18377, K. 2023/3643, T. 24.05.2023
• Yargıtay 8. Ceza Dairesi, E. 2015/1647, K. 2015/22235, T. 07.10.2015
• Yargıtay 11. Ceza Dairesi, E. 2021/33512, K. 2024/2276, T. 27.02.2024
• Yargıtay 11. Ceza Dairesi, E. 2021/31721, K. 2024/2084, T. 22.02.2024
• Yargıtay 11. Ceza Dairesi, E. 2021/20554, K. 2023/3805, T. 10.05.2023
• Yargıtay 11. Ceza Dairesi, E. 2021/20775, K. 2023/1622, T. 15.03.2023
• Yargıtay 15. Ceza Dairesi, E. 2021/1900, K. 2021/3693, T. 29.03.2021
• Yargıtay 23. Ceza Dairesi, E. 2016/1817, K. 2016/1324, T. 15.02.2016
• Yargıtay 23. Ceza Dairesi, E. 2015/4528, K. 2015/8082, T. 14.12.2015
• Kişisel Verileri Koruma Kurulu, K. 2020/465, T. 16.06.2020
• İstanbul 18. Asliye Ticaret Mahkemesi, E. 2020/107, K. 2021/116, T. 15.02.2021
• İstanbul 15. Asliye Ticaret Mahkemesi, E. 2021/630, K. 2022/149, T. 22.02.2022
• İstanbul 4. Asliye Ticaret Mahkemesi, E. 2022/641, K. 2023/494, T. 07.06.2023
• Bakırköy 5. Asliye Ticaret Mahkemesi, E. 2021/464, K. 2022/241, T. 28.02.2022
• Ankara 11. Asliye Ticaret Mahkemesi, E. 2020/333, K. 2021/928, T. 07.12.2021

Doktrin ve akademik kaynaklar

• Ketizmen, Muammer: Türk Ceza Hukukunda Bilişim Suçları, Ankara
• Dülger, Murat Volkan: Bilişim Suçları ve İnternet İletişim Hukuku, İstanbul
• Değirmenci, Olgun: Bilişim Suçları, Ankara
• Özbek, Veli Özer / Doğan, Koray / Bacaksız, Pınar: Türk Ceza Hukuku Özel Hükümler, Ankara
• Akbulut, Berrin: Bilişim Suçları, Ankara

---

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır, hukuki tavsiye niteliği taşımaz. Ceza miktarları ve mevzuat hükümleri değişebilir; somut olayda suç tarihinde yürürlükte olan hükümler esas alınmalıdır.