Data-Related Offences

Also known as: Turkish Criminal Code Article 135, Article 136, Unlawful Disclosure of Personal Data, Kişisel Verilere İlişkin Suçlar

Author Ali Gül

In short

The offences in Articles 135 to 140 of the Turkish Criminal Code: unlawful recording, disclosure, dissemination or acquisition of personal data and failure to destroy data whose retention period has expired.

Kişisel verilerin hukuka aykırı işlenmesi, KVKK’daki idari yaptırımlardan ayrı olarak Türk Ceza Kanunu’nda (TCK) suç olarak da düzenlenmiştir. KVKK’nın 17. maddesi bu suçlar bakımından TCK’nın 135 ilâ 140. maddelerine atıf yapar.

Suçlar

Kişisel verilerin kaydedilmesi (TCK m. 135): Hukuka aykırı olarak kişisel verileri kaydeden kişi bir yıldan üç yıla kadar hapis cezası ile cezalandırılır. Verinin kişilerin siyasi, felsefi veya dini görüşlerine, ırki kökenlerine, ahlaki eğilimlerine, cinsel yaşamlarına, sağlık durumlarına veya sendikal bağlantılarına ilişkin olması hâlinde ceza yarı oranında artırılır.
Verileri hukuka aykırı olarak verme veya ele geçirme (TCK m. 136): Kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır.
Verileri yok etmeme (TCK m. 138): Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.

Bu suçların kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılarak veya belli bir meslek ya da sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde cezalar yarı oranında artırılır (TCK m. 137).

Şikâyet Şartı ve Tüzel Kişiler

Kişisel verileri kaydetme, hukuka aykırı olarak verme veya ele geçirme ve verileri yok etmeme suçları şikâyete bağlı değildir; soruşturma resen yürütülür. Suçun bir tüzel kişi yararına işlenmesi hâlinde, tüzel kişi hakkında TCK’daki güvenlik tedbirlerine hükmedilebilir (TCK m. 140).

Şirketlerde Sık Karşılaşılan Durumlar

Ayrılan bir çalışanın müşteri veya çalışan listelerini yanına alması,
Yetkisiz kişilerin müşteri kayıtlarına erişip bunları üçüncü kişilere vermesi,
Güvenlik kamerası kayıtlarının hukuki dayanak olmadan paylaşılması veya sosyal medyada yayılması,
Saklama süresi dolan verilerin imha edilmemesi.

Bu olaylar aynı zamanda bir kişisel veri ihlali olabilir. Bu durumda ceza süreci ile KVKK kapsamındaki bildirim ve Kurul süreci birbirinden bağımsız ama birbiriyle tutarlı yürütülmelidir.

Frequently Asked Questions

Are these offences subject to a complaint?

No. Unlawful recording, disclosure or acquisition of personal data and failure to destroy data are not subject to a complaint; the prosecutor may open an investigation ex officio.

Can a company be punished for these offences?

Legal entities cannot be sentenced to imprisonment under Turkish law; criminal liability lies with the natural persons who commit the act. However, if these offences are committed for the benefit of a legal entity, security measures under the Turkish Criminal Code may be imposed on the company.

← Glossary A–Z