Özet

7545 sayılı Siber Güvenlik Kanunu m. 16/4, sızıntı sonucu siber uzayda bulunan kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verileri izinsiz olarak “erişime açan, paylaşan veya satışa çıkaran” kişileri cezalandırır. Kanun 19 Mart 2025’te yürürlüğe girmiştir. Bu tarihten önce kurulmuş ve sonrasında da çalışmaya devam eden bir sorgu paneli bakımından şu soru doğar: Kanun, verinin erişime açılmasını mı, yoksa erişime açık tutulmasını mı cezalandırmaktadır? Çalışma, bu soruyu lafzi ve sistematik yorum, öğretideki kesintisiz suç görüşü, AİHM’in kesintisiz suçlara ilişkin içtihadı ve şahsi sorumluluk ilkesi çerçevesinde ele alır. Varılan sonuç üç katmanlıdır. Birincisi, 16/4 lafzen ve sistematik olarak bir durumu yaratmayı (erişime açmayı) tanımlar; aynı maddenin altıncı fıkrasında verinin siber uzayda “bulundurulmasının” ayrıca suç olarak sayılmış olması, salt açık tutmanın 16/4’e okunmasına karşı güçlü bir sistematik argümandır. İkincisi, yürürlük sonrasında yeni kullanıcı hesabı tanımlanması, yetki genişletilmesi, abonelik yenilenmesi veya veri tabanına yeni sızıntı verisi eklenmesi gibi işlemler, açık tutmanın ötesine geçen yeni ve bağımsız erişime açma hareketleridir. Üçüncüsü, öğretideki kesintisiz suç görüşü benimsense bile 16/4 yalnızca yürürlük sonrası kesite uygulanabilir ve yürürlük öncesi fiiller cezanın belirlenmesinde hesaba katılamaz.

Giriş

Bir internet portalına 2024 yılında sorgu modülü konulduğunu düşünelim. Daha önce sızdırılmış nüfus bilgileri bir sunucuya yüklenmiş, kuruluşa bağlı az sayıda kullanıcıya kullanıcı adı ve parola verilmiştir. Kullanıcılar bir isim veya kimlik numarası girerek ilgili kişiye ait kayda ulaşabilmektedir. 19 Mart 2025’te Siber Güvenlik Kanunu yürürlüğe girer. Yönetici modülü kapatmaz; portal varlığını sürdürür. 2026’da yapılan bir incelemede sorgu butonunun hâlâ çalıştığı tespit edilir.

Bu olayda iki farklı fiilden söz edilebilir. 2024’te veri yüklenmiş ve kullanıcılara erişim yetkisi verilmiştir; bu, verinin erişime açılmasıdır. 2025 sonrasında ise sistem kapatılmamıştır; bu, verinin erişime açık tutulmasıdır. Kanun’un yürürlüğünden önce gerçekleşen birinci fiil, 16/4 bakımından cezalandırılamaz. O hâlde sorunun özü, ikinci fiilin 16/4’teki “erişime açma” hareketi kapsamında sayılıp sayılamayacağıdır.

Soru, 16/4’ün ağır yaptırım rejimi nedeniyle pratik bir önem taşır: Alt sınırın üç yıl hapis olması, hükmün açıklanmasının geri bırakılması ve erteleme imkânlarını uygulamada büyük ölçüde dışlar. İnternette devam eden bir görünümden hareketle devam eden bir suç çıkarmak kolaydır. Oysa bilişim sistemlerinde görünürlük, erişilebilirlik, sorgulanabilirlik ve fiilî veri aktarımı aynı şey değildir. Verilerin niteliği ağır bir mahremiyet ihlaline işaret etse de ceza hukuku, bu ağırlığı tipikliğin ve suç zamanının ispatı yerine koyamaz.

I. Kanuni çerçeve

7545 sayılı Kanun 12 Mart 2025’te kabul edilmiş, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete’de yayımlanarak aynı gün yürürlüğe girmiştir (m. 20) [1]. Kanun’da 16/4 bakımından geçmişe etkili bir hüküm veya geçiş hükmü bulunmamaktadır. Madde 16/4, siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verileri, kişilerin veya kurumların izni olmaksızın ücretli veya ücretsiz şekilde erişime açan, paylaşan veya satışa çıkaranlar için üç yıldan beş yıla kadar hapis cezası öngörür [1]. Madde 16/7’ye göre ceza, kamu görevlisi tarafından işlenmesi hâlinde üçte bir, birden fazla kişi tarafından işlenmesi hâlinde yarı, bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde yarısından iki katına kadar artırılır [1], [10].

Öğretide suç, seçimlik ve serbest hareketli, sırf hareket ve soyut tehlike suçu olarak nitelendirilmektedir. Erişime açma, verinin kendisine erişim imkânı bulunmayan kişiler için ulaşılabilir kılınmasıdır; şifre veya bağlantı paylaşılması, güvenlik tedbirlerinin devre dışı bırakılması ve verinin bir internet sayfasında yayımlanması buna örnek gösterilir. Paylaşma, verinin herhangi bir iletişim aracıyla başkasına iletilmesidir. Satışa çıkarma ise verinin ücret karşılığı verilmesine yönelik iradenin dışa vurulmasıdır [8], [9].

“Daha önce” ibaresi suçun konusuna ilişkindir: Veri, failin hareketinden önce bir sızıntı sonucu siber uzayda bulunmuş olmalıdır [8]. Bu ibare, geçmişte tamamlanmış yayın hareketlerinin sonradan cezalandırılmasına izin veren bir geçiş hükmü değildir. 16/4, TCK m. 136’ya (kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme; iki yıldan dört yıla kadar hapis) göre özel hükümdür; veri sızıntı sonucu siber uzayda bulunuyorsa 16/4, aksi hâlde TCK m. 136 uygulanır [8]. Bu nedenle 2024’teki yükleme ve yetkilendirme işlemleri, yeni Kanun’un değil, o tarihte yürürlükte olan TCK m. 136 ve gerekiyorsa m. 243-244’ün konusudur. Yeni hükmün geçmişe yürütülememesi, önceki kanunlara göre suç oluşmadığı anlamına gelmez.

II. Olgusal ayrımlar: Statik yayın ve dinamik sorgu sistemi

Statik yayında veri dosyası bir kez yüklenir ve erişilir bırakılır. Dinamik bir panelde ise her sorguda uygulama veri tabanında arama yapar, sonuç üretir ve sonucu kullanıcıya iletir. Bu teknik fark, karşı görüşün en güçlü dayanağıdır: Dinamik panelde yürürlük sonrası her sorgu fiilen yeni bir veri aktarımı yaratır.

Delil bakımından ise şu olgular birbirinden ayrılmalıdır: (i) sorgu butonunun görsel olarak bulunması; (ii) butonun işlevsel olması; (iii) hesaba giriş yapılması; (iv) belirli bir kayıt için sorgu gönderilmesi; (v) sorgunun veri tabanından cevap üretmesi; (vi) kişisel veri içeren cevabın bir kullanıcıya ulaşması; (vii) sistemin yürürlük sonrasında kim tarafından barındırıldığı, kim tarafından bakımının yapıldığı ve hesapların kim tarafından yönetildiği. Ekran görüntüsünde görülen buton, (iv) ile (vii) arasındaki olguları tek başına kanıtlamaz. “Erişime açık tutma” iddiası çoğu zaman yalnızca (i) ve (ii) ile desteklenir; oysa bir ceza isnadı için asıl önemli olan (vi) ve (vii)’dir.

III. Lafzi ve sistematik yorum: “Açmak” ile “açık tutmak” arasındaki fark

A. Fiilin anlamı

“Erişime açmak”, kapalı olan bir şeyi açık hâle getirmeyi, yani bir durum değişikliği yaratmayı ifade eder. Veri, hareketten önce belirli kişiler için ulaşılamazken hareketle ulaşılabilir hâle gelir. “Erişime açık tutmak” ise yaratılmış bir durumu sürdürmeyi, ona son vermemeyi ifade eder. Türkçede iki fiil arasındaki bu fark, ceza hukuku bakımından tamamlanma anı ile sona erme anı arasındaki farka karşılık gelir. 16/4’te kullanılan fiil birincisidir; Kanun’da “erişime açık tutan”, “yayında bulunduran” veya “yayından kaldırmayan” şeklinde bir hareket sayılmamıştır.

Sözcük farkı tek başına çözüm değildir; kimi suç tiplerinin kesintisiz niteliği kanunun yapısından çıkarılabilir. Ancak bu çıkarımın, TCK m. 2/3’teki kıyas yasağı ve kişi aleyhine genişletici yorum yasağıyla çatışmaması gerekir. AİHM de ceza kanununun sanık aleyhine kıyas yoluyla geniş yorumlanmamasını, Kokkinakis/Yunanistan kararından (25.05.1993) bu yana m. 7’nin bir gereği olarak kabul etmektedir [11].

B. Aynı maddedeki “bulundurma” fiili

Sistematik yorum bakımından en güçlü argüman, aynı maddenin altıncı fıkrasıdır. Madde 16/6, Türkiye’nin millî siber gücünü oluşturan unsurlara yönelik siber saldırıyı ve bu saldırı neticesinde elde edilen veriyi siber uzayda bulundurmayı sekiz yıldan on iki yıla kadar, bu veriyi yaymayı, göndermeyi veya satışa çıkarmayı ise on yıldan on beş yıla kadar hapis cezasıyla yaptırıma bağlamaktadır [1], [13]. Kanun koyucu, aynı maddede ve aynı yasama işleminde, verinin siber uzayda bulundurulmasını, yani bir durumun sürdürülmesini, cezalandırmak istediği yerde bunu açıkça yazmıştır. Dördüncü fıkrada ise yalnızca erişime açma, paylaşma ve satışa çıkarma hareketleri sayılmıştır.

Bu fark, aksi kanıt (e contrario) yoluyla yorum bakımından anlamlıdır. Kanun koyucunun 16/6’da “bulundurma” ile “yayma” arasında ayrım yapıp 16/4’te yalnızca yayma türünden hareketleri sayması, verinin erişilebilir hâlde tutulmasının 16/4 bakımından ayrıca cezalandırılmak istenmediği yönünde ciddi bir karinedir. Aynı yaklaşım TCK’da da görülür: Kanun koyucu, kesintisiz nitelikte bir durumu cezalandırmak istediğinde “bulundurma” fiilini açıkça kullanır (örneğin TCK m. 191/1’de kullanmak için uyuşturucu madde bulundurma, m. 226/3’te çocukların kullanıldığı müstehcen ürünleri bulundurma). Aksi kanıt yoluyla yorumun mutlak olmadığı kabul edilmelidir; ancak ceza normu söz konusu olduğunda, belirsizliğin kişi aleyhine giderilmesi kanunilik ilkesiyle bağdaşmaz.

C. İhmal sorunu

“Sorgu modülünü kapatmamak” bir ihmaldir. TCK, ihmali davranışla icrayı genel bir kural olarak değil, m. 83’te kasten öldürme bakımından düzenlemiştir. Sırf hareket suçu olarak nitelendirilen 16/4 bakımından salt bir ihmalden ceza sorumluluğu kurulması ayrıca kanuni dayanak gerektirir. Kanun koyucu bir kaldırma veya yok etme yükümlülüğünün ihlalini cezalandırmak istediğinde bunu açıkça yapmaktadır: TCK m. 138, kanunların belirlediği sürelerin geçmesine rağmen verileri sistem içinde yok etmekle yükümlü olanların bu görevi yerine getirmemesini ayrı bir suç olarak tanımlar. 16/4’te benzer bir “kaldırmama” tipi bulunmamaktadır.

Bu tespit, sorgu modülünü kapatmamanın hukuken önemsiz olduğu anlamına gelmez. Bu davranış, KVKK kapsamındaki yükümlülükler, TCK m. 136 bakımından önceki dönemin sorumluluğu ve tazminat sorumluluğu gibi başka hukuki sonuçlar doğurabilir. Ancak veriyi kaldırmakla yükümlü olmak ile Kanun yürürlüğe girdikten sonra veriyi “erişime açan” kişi olmak arasında maddi unsur, suç zamanı ve ispat bakımından fark vardır.

IV. Karşı görüş: Kesintisiz suç ve “her sorgu yeni bir paylaşmadır” tezi

A. Öğretideki kesintisiz suç nitelendirmesi

16/4’e ilişkin ilk akademik çalışmalar, karşı görüş için önemli bir dayanak sunmaktadır. Turgut, verinin tek seferde mesajla paylaşılmasını ani suç, bir internet sitesinde sürekli yayında tutulmasını ise kesintisiz suç olarak nitelendirmektedir [8]. Şenol de mesajla göndermeyi ani, sosyal medya hesabından paylaşmayı kesintisiz kabul etmektedir [9]. Bu görüşe göre statik bir yayın dahi, yayında tutulduğu sürece suçu sürdürür. Dinamik bir sorgu paneli bakımından bu nitelendirmenin a fortiori ileri sürülmesi mümkündür. TCK da kesintisiz suç kategorisini tanımaktadır: Dava zamanaşımı kesintisiz suçlarda kesintinin gerçekleştiği günden itibaren işler (m. 66/6).

Bu görüş ciddiye alınmalıdır; ancak üç noktada sınırlıdır. Birincisi, öğretideki örnekler failin kendi hesabı veya kendi sitesi üzerindeki yayını konu alır. Kesintisiz suç, failin hukuka aykırı durumu ortadan kaldırma imkânı ve iradesi bulunduğu hâlde onu sürdürmesine bağlıdır. Sunucunun barındırılması, hesapların yönetimi veya yetkilerin devamı başka kişilerin elindeyse, temadinin kime isnat edileceği ayrıca belirlenmelidir. İkincisi, söz konusu çalışmalar 16/6’daki “bulundurma” fiiliyle sistematik bir karşılaştırma yapmamaktadır; yukarıda açıklanan aksi kanıt argümanı, kesintisiz nitelendirmenin lafız ve sistematikle uyumunu sorgulatır. Üçüncüsü, kesintisiz nitelendirme kabul edilse bile bu, yürürlük öncesindeki kesitin yeni kanuna tabi tutulmasını meşrulaştırmaz (bkz. V).

B. “Her sorgu yeni bir paylaşmadır” tezi

Karşı görüşün ikinci biçimine göre aktif tutulan sorgu altyapısı her talepte veriyi yeniden kullanıcı ekranına taşır; dolayısıyla yürürlük sonrası her cevap yeni bir “paylaşma” hareketidir. Bu tez, sırf dosyanın internette bulunmasından daha güçlüdür; ancak hareketin zamanı ve sahibi sorununa takılır. TCK suçun işlendiği zamanı ayrıca tanımlamaz; öğretide ağırlıklı olarak hareket zamanı esas alınır. Otomatik cevapta yöneticinin bedensel hareketi kural olarak 2024’teki programlama ve yükleme işlemidir; cevabı tetikleyen ise kullanıcıdır. Bu nedenle “her cevap yöneticinin yeni hareketidir” görüşü, sonuçta sistemin iradi olarak işletilmeye devam edilmesine, yani kesintisiz suç nitelendirmesine geri döner.

Bu tezin bir de içtima sorunu vardır. Öğretide aynı kişiye ait verilerin farklı zamanlarda paylaşılmasının zincirleme suç (TCK m. 43/1), birden fazla kişiye ait verilerin tek fiille paylaşılmasının ise aynı neviden fikri içtima (TCK m. 43/2) oluşturacağı belirtilmektedir [8]. Her sorgu cevabının ayrı hareket sayılması, farklı mağdurlara ilişkin cevaplar bakımından gerçek içtima sonucunu doğurabilir ve 16/7’deki artırımlarla birlikte ölçülülük ilkesini (Anayasa m. 13) zorlayan ceza miktarlarına yol açar.

C. Ara çözüm: Açık tutmanın ardındaki yeni erişime açma hareketleri

Bu tartışmada gözden kaçırılmaması gereken bir nokta vardır: Bir panelin yürürlük sonrasında çalışmaya devam etmesi çoğu zaman salt bir “açık tutma” değildir. Paneller kendiliğinden yaşamaz; sunucu kirasının ödenmesi, yazılımın güncellenmesi, kullanıcı hesaplarının açılması ve kapatılması, şifrelerin yenilenmesi, abonelik ücretlerinin tahsili ve yeni sızıntı verilerinin veri tabanına eklenmesi gibi sürekli icrai işlemler gerektirir.

Bu işlemlerden bir kısmı, öğretideki tanımlar ışığında doğrudan yeni bir “erişime açma” hareketidir. Yürürlük sonrasında yeni bir kullanıcıya hesap tanımlanması veya şifre verilmesi, verinin o kişi için ilk kez ulaşılabilir kılınmasıdır; bu, şifre paylaşılmasının erişime açma örneği olarak gösterilmesiyle birebir örtüşür [9]. Mevcut bir kullanıcının yetkilerinin yeni veri kategorilerini kapsayacak şekilde genişletilmesi veya veri tabanına yeni sızıntı verilerinin eklenmesi de bu yeni veri bakımından erişime açmadır. Ücret karşılığı abonelik teklif edilmesi veya yenilenmesi ise satışa çıkarma hareketini oluşturabilir. Bu hareketler, 2024’teki fiilin devamı değil, yürürlük sonrasında gerçekleşen bağımsız tipik hareketlerdir ve geçmişe yürüme sorunu doğurmaz.

Böylece başlıktaki sorunun cevabı netleşir: 16/4 erişime açık tutmayı değil, erişime açmayı cezalandırır; ancak erişime açık tutmanın arkasında çoğu zaman yeni erişime açma hareketleri bulunur. İddia makamının görevi, bu yeni hareketleri tarih, kullanıcı ve veri kategorisi bazında ortaya koymaktır. Bu yapılamıyorsa ve yalnızca 2024’te kurulmuş, aynı yetkilerle bırakılmış bir sistemin kapatılmadığı tespit edilebiliyorsa, 16/4’ün uygulanması ancak kesintisiz suç görüşüne dayanabilir ve bu görüşün aşağıdaki sınırlarına tabidir.

V. Kesintisiz suç kabul edilse bile: AİHM içtihadı ve zaman bakımından sınırlar

Kesintisiz suçta temadi yeni kanun döneminde de sürüyorsa, temadinin sona erdiği zamanda yürürlükte olan kanunun uygulanacağı öğretide genel kabul görür. Bu sonuç kendiliğinden bir geçmişe yürütme değildir. Ancak AİHM, kesintisiz suç kavramının geçmişe yürüme yasağını aşmanın aracı olamayacağını birden çok kararında vurgulamıştır.

Veeber/Estonya (No. 2) kararında (21.01.2003, 45771/99), kısmen yeni ve aleyhe ceza normundan önce gerçekleştirilen fiillerin kesintisiz suç nitelendirmesiyle yeni norma bağlanması AİHS m. 7/1’in ihlali sayılmıştır [3]. Puhk/Estonya kararında (10.02.2004, 55103/00), kesintisiz suç kavramının uygulanmasının ceza kanunlarının geriye yürütülmesi yasağını bertaraf edemeyeceği açıkça belirtilmiştir [4]. Ecer ve Zeyrek/Türkiye kararında (27.02.2001, 29295/95 ve 29363/95) ise hukuki güvenlik ilkesinin, kesintisiz suçu oluşturan fiillerin iddianamede açıkça gösterilmesini gerektirdiği vurgulanmıştır [5].

Rohlena/Çek Cumhuriyeti kararında (Büyük Daire, 27.01.2015, 59552/08) ise yeni suç tipinden önceki davranışların önceki kanuna göre de suç teşkil ettiği, kesintisiz suç uygulamasının öngörülebilir olduğu ve daha ağır ceza verilmediği gerekçesiyle ihlal bulunmamıştır [6]. Panel örneğinde 2024 dönemindeki davranış TCK m. 136 bakımından zaten suç teşkil edebileceğinden iddia makamı bu karara dayanabilir. Ne var ki 16/4’ün alt sınırının TCK m. 136’dan yüksek olması ve 16/7 artırımları, önceki dönemin 16/4 kapsamında değerlendirilmesinin daha ağır cezaya yol açma ihtimalini güçlendirir; bu da Rohlena’daki ihlal yokluğu gerekçesini zayıflatır. Times Newspapers Ltd/Birleşik Krallık kararında (10.03.2009, 3002/03 ve 23676/03) internet arşivine her erişimin yeni bir yayın sayılması kuralı AİHS m. 10 bakımından incelenmiştir [7]; medeni sorumluluk alanındaki bu yaklaşımın, m. 7’nin sıkı kanunilik güvenceleri altındaki ceza sorumluluğuna otomatik olarak aktarılması mümkün değildir.

Bu çerçevede kesintisiz suç görüşü benimsendiğinde dahi şu sınırlar gözetilmelidir: (1) Yalnızca 19 Mart 2025 sonrasındaki kesit 16/4 kapsamında cezalandırılabilir; önceki kesit ancak suç tarihinde yürürlükte olan hükümler bakımından ve onların zamanaşımı ile usul koşulları içinde değerlendirilebilir. (2) TCK m. 61 uyarınca temel ceza belirlenirken suçun süresi, mağdur sayısı ve zararın ağırlığı yalnızca yürürlük sonrası kesit esas alınarak hesaplanmalıdır; 2024’teki yükleme ve yetkilendirme 16/4 cezasını ağırlaştıran bir unsur olamaz. (3) Yürürlük sonrasında failin hukuka aykırı durumu bildiği, onu ortadan kaldırma imkânına sahip olduğu ve icrai katkılarla iradi olarak sürdürdüğü ayrıca ispatlanmalıdır; ispatlanamazsa temadi yürürlük öncesinde kesilmiş sayılmalıdır. (4) TCK m. 7/2 uyarınca lehe kanun karşılaştırması, kesitler ayrıldıktan sonra kül hâlinde yapılmalıdır. (5) İddianamede suç tarihi olarak yürürlük sonrası bir kesit gösterilmeli ve bu kesite ait fiiller açıkça anlatılmalıdır.

VI. Şahsi ceza sorumluluğu ve otomatik işlemlerin isnadı

Portalı kuran yazılımcı, veri tabanını temin eden kişi, sunucu yöneticisi, kuruluş yöneticisi, kullanıcı hesabını açan personel ve nihai sorguyu yapan kişi aynı fiilin faili kabul edilemez. TCK m. 20 uyarınca ceza sorumluluğu şahsidir; iştirak bakımından (TCK m. 37-40) her kişinin kastı, katkısı ve somut hareketle bağlantısı ayrı ayrı belirlenmelidir. Kuruluşla organik bağ, yöneticilik sıfatı veya modülü kapatma imkânı, tek başına 16/4 suçunun işlendiğini ispatlamaz. Kesintisiz suç kabul edilen hâllerde temadi süresince suça sonradan katılmak mümkündür; bu durumda yürürlük sonrasında sisteme katılan kişinin sorumluluğu da yalnızca katılımından sonraki kesitle sınırlıdır.

Sistemin otomatik cevap üretmesi kastı kendiliğinden ortadan kaldırmadığı gibi, kendiliğinden de ispatlamaz. Kişinin yürürlük sonrasında veri sunumunun devam ettiğini bildiği, bunu iradi olarak sürdürdüğü ve kanuni tipteki hangi harekete katıldığı somut delillerle ortaya konulmalıdır. Nihai kullanıcı bakımından ise sorgu yapmak, kural olarak 16/4’teki seçimlik hareketlerden birine değil, ele geçirme yönüyle TCK m. 136’ya girer; kullanıcının elde ettiği veriyi üçüncü kişilere iletmesi hâlinde 16/4 bağımsız olarak gündeme gelebilir. “Birden fazla kişi” nitelikli hâlinin (16/7) uygulanması için de faillerin yürürlük sonrası kesitte aynı suçun işlenişine birlikte katıldığı ayrıca ispatlanmalıdır.

VII. İspat sorunu

Yukarıdaki ayrımlar, ancak teknik delillerle somutlaştırılabilir. Bu nedenle “sistem hâlâ çalışıyor” tespiti, bir ceza isnadının başlangıç noktası olabilir ama varış noktası olamaz.

Somut olayda teknik inceleme yalnızca sistemin çalıştığını değil; verinin ilk yükleme tarihini, sorgu modülünün açıldığı günü, yetki verme ve hesap açma kayıtlarını, 19 Mart 2025 sonrası sorgu ve cevap kayıtlarını, veri tabanı güncellemelerini, barındırma ve ödeme kayıtlarını, yönetici oturumlarını ve her işlemde kişisel veri iletilip iletilmediğini ortaya koymalıdır. Bu kayıtlar, özellikle IV/C’de belirtilen yeni erişime açma hareketlerinin (hesap tanımlama, yetki genişletme, veri ekleme, abonelik) tarih ve fail bazında tespitine imkân verir. Log eksikliği otomatik olarak sanık lehine bütün olguları ispatlamaz; fakat şüpheden sanık yararlanır ilkesi gereği mevcut delillerin sınırı göz ardı edilerek fail aleyhine varsayım kurulamaz.

VIII. Anayasal boyut ve kanun koyucuya öneriler

Anayasa m. 38, fiil tarihinde suç sayılmayan davranışın daha sonra cezalandırılmasını ve fiil tarihinde öngörülenden ağır ceza verilmesini yasaklar; TCK m. 2 kanunilik ve kıyas yasağını, m. 7 zaman bakımından uygulamayı düzenler [2]. Anayasa m. 20’deki kişisel verilerin korunması güvencesi 16/4’ün meşru amacını destekler. Panel örneğindeki asıl anayasal sorun, normun kendisinden çok, yürürlük öncesi kesitin yorum yoluyla 16/4’e dahil edilmesi ihtimalidir; bu sorun öncelikle yorumla, yani kesitlerin ayrılması ve ispat yükünün doğru dağıtılmasıyla çözülmelidir.

Kanun’un çeşitli hükümleri hakkında 15 Mayıs 2025’te Anayasa Mahkemesi’ne iptal ve yürürlüğü durdurma talebiyle başvurulduğu basına yansımıştır [12]. Bu metnin hazırlandığı tarihte, başvurunun 16. madde bakımından sonuçlandığına dair kamuya açık bir bilgiye ulaşılamamıştır. Somut norm denetimi (Anayasa m. 152) yoluna gidilecekse, Anayasa Mahkemesi’nin işin esasına girerek verdiği ret kararının Resmî Gazete’de yayımlanmasından sonra on yıl geçmedikçe aynı hükmün Anayasa’ya aykırılığı iddiasıyla yeniden başvuru yapılamayacağı (m. 152/4) hesaba katılmalıdır.

Kanun koyucu, sızdırılmış verilerin erişilebilir hâlde tutulmasını da cezalandırmak istiyorsa bunu belirsizliğe bırakmamalıdır. Bunun için 16/6’daki gibi açık bir “bulundurma” veya “erişime açık tutma” hareketi tipe eklenmeli, yürürlük öncesinde kurulmuş sistemler için makul bir kapatma süresi öngören bir geçiş hükmü düzenlenmeli ve “veri sızıntısı” kavramı Kanun m. 3’te tanımlanmalıdır. Böyle bir düzenleme hem kanunilik ilkesine uygun olur hem de uygulamadaki tereddütleri giderir.

Sonuç

Başlıktaki soruya verilecek cevap şudur: 7545 sayılı Kanun m. 16/4 erişime açmayı cezalandırır, erişime açık tutmayı değil. Fiilin lafzı bir durum değişikliğine işaret eder; aynı maddenin altıncı fıkrasında verinin siber uzayda bulundurulmasının ayrıca suç olarak sayılmış olması ve TCK’nın kaldırmama ihmallerini (m. 138) ayrı tiplerle düzenlemesi, salt açık tutmanın 16/4’e okunmasına karşı güçlü sistematik argümanlardır. Bu nedenle 2024’te kurulmuş ve aynı yetkilerle bırakılmış bir portalda sorgu butonunun yalnızca kaldırılmamış olması, 16/4 uyarınca mahkûmiyete tek başına yeterli dayanak oluşturmamalıdır.

Bununla birlikte erişime açık tutmanın arkasında çoğu zaman yeni erişime açma hareketleri bulunur. Yürürlük sonrasında yeni kullanıcı tanımlanması, yetki genişletilmesi, yeni sızıntı verisi eklenmesi veya ücretli abonelik verilmesi, geçmişe yürüme sorunu doğurmayan bağımsız tipik hareketlerdir ve tarih, kullanıcı ve veri kategorisi bazında ispatlandıkları ölçüde 16/4 kapsamında cezalandırılabilir. Öğretideki kesintisiz suç görüşü benimsense bile 16/4 yalnızca yürürlük sonrası kesite uygulanabilir; bu kesitte failin hukuka aykırı durumu bildiği, sistem üzerindeki fiilî hâkimiyetini koruduğu ve icrai katkılarla durumu sürdürdüğü somut delillerle ispatlanmalı ve iddianamede açıkça gösterilmelidir. Yürürlük öncesi fiillerin 16/4 cezasının belirlenmesine dahil edilmesi ise Anayasa m. 38, TCK m. 2 ve 7 ile AİHS m. 7 bakımından ciddi itiraz doğurur.

Kaynaklar ve kararlar

[1] 7545 sayılı Siber Güvenlik Kanunu, kabul 12.03.2025, RG 19.03.2025, sayı 32846, m. 3, 16/4, 16/6, 16/7, 20; TBMM Kanun Bilgileri: https://www.tbmm.gov.tr/Yasama/Kanun/af1dfbdb-e3e3-4820-a493-0194504c63b4 ;

[2] 1982 Anayasası m. 13, 20, 38, 152; 5237 sayılı TCK m. 2, 7, 20, 37-40, 43, 61, 66/6, 83, 136, 138, 191, 226, 243-244, 327; AİHS m. 7; AİHM, Guide on Article 7 of the Convention: https://ks.echr.coe.int/documents/d/echr-ks/guide_art_7_eng

[3] AİHM, Veeber/Estonya (No. 2), 21.01.2003, No. 45771/99, ECHR 2003-I (m. 7/1 ihlali).

[4] AİHM, Puhk/Estonya, 10.02.2004, No. 55103/00, HUDOC: https://hudoc.echr.coe.int/eng?i=001-61628 (m. 7/1 ihlali).

[5] AİHM, Ecer ve Zeyrek/Türkiye, 27.02.2001, No. 29295/95 ve 29363/95, ECHR 2001-II, HUDOC: https://hudoc.echr.coe.int/eng?i=001-59221 (m. 7/1 ihlali).

[6] AİHM (BD), Rohlena/Çek Cumhuriyeti, 27.01.2015, No. 59552/08, ECHR 2015, HUDOC: https://hudoc.echr.coe.int/eng?i=001-151051 (ihlal yok).

[7] AİHM, Times Newspapers Ltd (No. 1 ve 2)/Birleşik Krallık, 10.03.2009, No. 3002/03 ve 23676/03, HUDOC: https://hudoc.echr.coe.int/eng?i=001-91706

[8] Turgut, Bahar, “Siber Uzayda Yer Alan Kişisel veya Kritik Kamu Hizmeti Kapsamına Giren Kurumsal Verileri Erişime Açma, Paylaşma ve Satışa Çıkarma Suçu”, İnönü Üniversitesi Hukuk Fakültesi Dergisi, 16/1 (2025), 207–220, DOI: 10.21492/inuhfd.1681526.

[9] Şenol, Cem, “7545 Sayılı Siber Güvenlik Kanunu’nda Düzenlenen Suçlar”, Türkiye Adalet Akademisi Dergisi, S. 63 (2025), 169–206, DOI: 10.54049/taad.1751122.

[10] Bloomberg HT, “Siber Güvenlik Kanunu Teklifi TBMM’de kabul edilerek yasalaştı”, Mart 2025: https://www.bloomberght.com/siber-guvenlik-kanunu-teklifi-tbmm-de-kabul-edilerek-yasalasti-3743873

[11] AİHM, Kokkinakis/Yunanistan, 25.05.1993, No. 14307/88, Seri A no. 260-A, § 52.

[12] Karar, “CHP, 2 yeni yasayı AYM’ye taşıdı”, Mayıs 2025: https://www.karar.com/guncel-haberler/chp-2-yeni-yasayi-aymye-tasidi-1959616 ; Cumhuriyet, 15.05.2025: https://www.cumhuriyet.com.tr/siyaset/chp-den-aym-ye-yururlugu-durdurma-ve-iptal-basvurulari-2401059

[13] “Siber Güvenlik Kanunu m.16/6’da Düzenlenen Siber Saldırı Suçu, Siber Saldırı Sonucunda Elde Edilen Veriyi Bulundurma ve Yayma Suçları”, Jurix: https://jurix.com.tr/article/44833