Özet

Siber Güvenlik Başkanlığı 2025 yılında Cumhurbaşkanlığı Kararnamesi ile kurulmuş, yetkileri 7545 sayılı Siber Güvenlik Kanunu ile belirlenmiş, 7590 sayılı Kanun ile de iletişimin denetlenmesi merkezini devralmıştır. Bu yazıda Başkanlığın, adının ötesinde, işlevi itibarıyla bir istihbarat kurumu olup olmadığı sorgulanmaktadır. Veri ve log toplama, saklama ve değerlendirme yetkileri, dinlemelerin teknik icrasının tek elde toplanması ve haberleşme hürriyetine yönelik tedbirleri belirleme yetkisi birlikte okunduğunda Başkanlığın istihbari bir işlev üstlendiği görülmektedir. Buna karşılık Avrupa İnsan Hakları Mahkemesinin gizli gözetim alanında aradığı güvenceler bu kuruma uygulanmamıştır. Yazı, Türk istihbarat mevzuatındaki yapısal eksikliklerin yeni kuruma aynen taşındığını ortaya koymakta ve öneriler sunmaktadır.

1. Giriş

İstihbarat faaliyetleri gizlilik esasına dayanır ve çoğu zaman hukuki denetimden kaçınmayı mümkün kılar. Buna rağmen istihbarat ile temel hak ve özgürlükler arasındaki gerilimin “güvenlik mi özgürlük mü” biçimindeki indirgemeci bir ikilemle açıklanmaması gerektiği kanaatindeyim. Zira ancak bağımsız, demokratik ve güvenlik açısından istikrarlı bir devletin çatısı altında yaşayan bir toplum gerçek anlamda özgür olabilir. Güvenliği sağlama ödevi özgürlükleri askıya almayı değil, özgürlükleri koruyarak güvenliği temin etmeyi gerektirir ve bu denge ancak açık ve etkili hukuki güvencelerle kurulabilir.

Türkiye'de bu dengenin en yeni sınama alanı Siber Güvenlik Başkanlığıdır. Başkanlık, 8 Ocak 2025 tarihli Resmî Gazete'de yayımlanan 177 sayılı Cumhurbaşkanlığı Kararnamesi ile Cumhurbaşkanlığına bağlı, kamu tüzel kişiliğini haiz ve özel bütçeli bir kurum olarak kurulmuştur.[1] Görev ve yetkileri 19 Mart 2025 tarihinde yürürlüğe giren 7545 sayılı Kanun ile belirlenmiş, 31 Temmuz 2026 tarihinde yürürlüğe giren 7590 sayılı Kanun ile de Bilgi Teknolojileri ve İletişim Kurumunun (BTK) internet alanındaki yetkileri ve bu Kurum bünyesindeki iletişimin denetlenmesi merkezi Başkanlığa devredilmiştir.[2] Devir için öngörülen üç aylık süre 31 Ekim 2026 itibarıyla dolmuştur. Bir başka deyişle Türkiye'de adli, önleme ve millî güvenlik amaçlı dinlemelerin teknik olarak icra edildiği merkez, kuruluşunun üzerinden iki yıl geçmemiş bir kurumun bünyesine girmiştir.

Kanun koyucu bu kurumu bir istihbarat kurumu olarak adlandırmamıştır. Ne var ki bir kurumun hukuki niteliği adıyla değil, sahip olduğu yetkilerle ve bu yetkilerin bireylerin hak alanına etkisiyle belirlenir. Bu yazının sorusu da budur: Siber Güvenlik Başkanlığı işlevi itibarıyla bir istihbarat kurumu mudur ve eğer öyleyse Avrupa İnsan Hakları Mahkemesinin (AİHM) gizli gözetim alanında devletlerden aradığı güvenceler bu kurum bakımından karşılanmış mıdır?

2. 7545 Sayılı Kanun'un İstihbari İçeriği

7545 sayılı Kanun'un hiçbir yerinde Başkanlık bir istihbarat kurumu olarak nitelendirilmemiştir. Aksine Kanun, m. 2/2 ile Polis Vazife ve Salâhiyet Kanunu (PVSK), Sahil Güvenlik Komutanlığı Kanunu ve 2803 sayılı Jandarma Kanunu uyarınca yürütülen istihbari faaliyetler ile 2937 sayılı Devlet İstihbarat Hizmetleri ve Millî İstihbarat Teşkilatı Kanunu ve Türk Silahlı Kuvvetleri İç Hizmet Kanunu uyarınca yürütülen faaliyetlerin tümünü kapsam dışında bırakarak istihbarat sözcüğünü klasik kurumlara saklamaktadır.[3]

Buna karşılık görev ve yetki maddeleri farklı bir tablo çizmektedir. Başkanlığa m. 5/1-(b) ile “siber tehdit istihbaratı elde etmek, oluşturmak ve paylaşmak” görevi verilmiş, m. 3/1-(ı) ile de bu kavram “siber uzaydaki varlıklara yönelik mevcut veya potansiyel siber tehdit unsurları ile siber saldırılar hakkında bir araya getirilmiş, dönüştürülmüş, analiz edilmiş, yorumlanmış veya zenginleştirilmiş bilgi” olarak tanımlanmıştır. Bu tanım, istihbaratı ham bilginin toplanıp analiz edilerek karar vericiler için işlenmiş bir ürüne dönüştürülmesi süreci olarak gören klasik tanımla ve Millî İstihbarat Teşkilatının (MİT) kendi tanımıyla örtüşmektedir.[4] Kanun koyucu kurumun adında istihbarat sözcüğünden kaçınmış, fakat faaliyeti tanımlarken istihbarat çarkını tarif etmiştir.

Asıl belirleyici hükümler m. 6'daki yetkilerdir. Başkanlık, Kanun kapsamındakilerin bilişim sistemlerine yazılım ve donanım kurdurup bunların ürettiği veri ve log kayıtlarını kendi sistemlerine aktarabilmekte (m. 6/1-(b)), elde ettiği veriler üzerinden izleri takip edip suç teşkil ettiğini değerlendirdiği bulguları “adli makamlar ve diğer ilgililer” ile paylaşmakta (m. 6/1-(c)), kapsamdaki herkesten bilgi, belge, veri ve kayıt alıp bunları en fazla iki yıl çalışmaya konu edebilmekte (m. 6/1-(ç)), log kayıtlarını bünyesinde toplayıp saklayabilmekte, değerlendirebilmekte ve bunlara ilişkin raporları “ilgili kurum ve kuruluşlar” ile paylaşabilmektedir (m. 6/1-(d)). Muhataplar, Başkanlığın “görev ve faaliyetleri kapsamında talep ettiği her türlü veri, bilgi, belge, donanım, yazılım ve diğer her türlü katkıyı öncelikle ve zamanında” iletmekle yükümlüdür (m. 7/1-(a)). Aykırılık, kamu kurumları dışındakiler için hapis cezasına ve 7590 sayılı Kanun ile de idari para cezasına bağlanmıştır (m. 16/1 ve 16/10).[5]

Bu yetkiler bir arada değerlendirildiğinde Başkanlık, kapsamındaki kamu ve özel sektör aktörlerinin bilişim sistemlerinden sürekli veri akışı alabilen, bu verileri saklayıp analiz edebilen ve bulgularını kanunda tanımlanmamış “diğer ilgililer” ile paylaşabilen bir yapıdır. Bu faaliyetlerin tamamı, kamu gücünü kullanarak haber alma, veri toplama ve bu verileri işleme biçiminde anlaşılan istihbarat faaliyeti kavramının kapsamına girmektedir. Bilişim hukuku literatüründe de Başkanlığın siber alanda bir istihbarat ve kolluk kuruluşu olarak kurulduğu tespit edilmiştir.[6] Kurumsal konum bu tespiti desteklemektedir: Başkanlık doğrudan Cumhurbaşkanlığına bağlıdır ve sekretaryasını yürüttüğü Siber Güvenlik Kurulunda MİT Başkanı ile Millî Güvenlik Kurulu Genel Sekreteri yer almaktadır (m. 9).

3. 7590 Sayılı Kanun: İletişimin Denetlenmesi Merkezinin Devri

Tek bir teknik merkez fikri 2005 tarihli 5397 sayılı Kanun ile hayata geçirilmiş ve bu amaçla Telekomünikasyon İletişim Başkanlığı (TİB) kurulmuştur.[7] TİB 2016'da 671 sayılı Kanun Hükmünde Kararname ile kapatılmış, merkez BTK bünyesine devredilmiştir.[8] 7590 sayılı Kanun m. 27/1 ise PVSK Ek m. 7/10'daki “Bilgi Teknolojileri ve İletişim Kurumu” ibaresini “Siber Güvenlik Başkanlığı” olarak değiştirmiştir. Hüküm artık şöyledir: “Bu maddede belirtilen telekomünikasyon yoluyla yapılan iletişime ilişkin işlemler ile 5271 sayılı Kanunun 135 inci maddesi kapsamında yapılacak dinlemeler, Siber Güvenlik Başkanlığı bünyesinde tek bir merkezden yürütülür.” 2803 sayılı Kanun Ek m. 5 ile 2937 sayılı Kanun m. 6/2 de bu merkeze atıf yaptığından adli, önleme ve millî güvenlik amaçlı tedbirlerin teknik icrası, MİT'in kendi kurduğu merkez saklı kalmak üzere, Başkanlığa geçmiştir.[9]

Devir bir ibare değişikliğinden ibaret değildir. 7590 sayılı Kanun, 7545 sayılı Kanun m. 6/1'e eklediği (i) bendiyle Başkanlığa “kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlamak ve bu konuda gerekli düzenlemeleri yapmak” yetkisini vermiştir.[10] Başkanlık böylece dinleme altyapısının yalnızca işleticisi değil, düzenleyicisi de olmuştur. Geçici m. 2 ile de devredilen görevlere ilişkin bilgi işlem altyapısı, veri merkezleri ve her türlü kayıt Başkanlığa geçmiştir.[11]

Aynı Kanun'un 21. maddesiyle 5809 sayılı Elektronik Haberleşme Kanunu'na eklenen m. 60/A ise en dikkat çekici değişikliktir. Buna göre Başkanlık, Anayasa'nın 22. maddesinde sayılan sebeplerden biri veya birkaçına bağlı olarak ve gecikmesinde sakınca bulunan hâllerde “güvenlik ve istihbarat kurumlarının talebi üzerine veya re'sen alınması gereken tedbirleri belirleyebilir”. Kararın gereği işletmeciler ve sağlayıcılar tarafından en geç iki saat içinde yerine getirilir, karar yirmi dört saat içinde sulh ceza hâkiminin onayına sunulur ve hâkim kırk sekiz saat içinde karar vermezse karar kendiliğinden kalkar. Mekanizma yeni değildir: 671 sayılı Kanun Hükmünde Kararname ile 2016'da 5809 sayılı Kanun m. 60'a eklenen ve tedbiri belirleme yetkisini Başbakanlığa, sonradan Cumhurbaşkanlığına veren fıkra kaldırılmış, mekanizma Başkanlığa taşınmıştır.[12] Yenilik, yetkinin yürütmenin en üst makamından bir idari kuruma geçmesi ve “güvenlik ve istihbarat kurumlarının talebi üzerine” kullanılabilir hâle gelmesidir. “Tedbir”in ne olduğu ise eskiden olduğu gibi tanımlanmamıştır. Kanunlaşma sürecinde sivil toplumdan yöneltilen eleştiri de bu noktaya ilişkindi: Eleştiriye göre adı konmuş ve belirli bir hükme dayanan bant daraltma yetkisinin yerini sınırları ve içeriği belirsiz bir tedbir yetkisi almıştır.[13]

Bu değişikliklerin birlikte anlamı şudur: Düzenleyici bir kuruma emanet edilen dinleme merkezi artık doğrudan Cumhurbaşkanlığına bağlı, kendi adına veri toplayıp değerlendiren, kurulunda MİT Başkanının yer aldığı ve haberleşme hürriyetini kısıtlayan tedbirleri güvenlik ve istihbarat kurumlarının talebiyle belirleyebilen bir kurumun bünyesindedir. Çok başlı dinleme rejimi karşısında tek bir teknik merkez kanaatimce yerinde bir tercihtir. Fakat bu tercih, merkezin yalnızca yetkili makamların kararlarını icra eden, her işlemi kayıt altına alınan ve bağımsız biçimde denetlenen tarafsız bir veri geçidi olması kaydına bağlıdır. Merkezi barındıran kurumun kendisinin bir veri toplama ve değerlendirme kurumu hâline gelmesi, hakemin aynı zamanda oyuncu olması demektir.

4. Türk İstihbarat Mimarisinde Çok Başlılık ve Başkanlığın Yeri

Türk hukukunda istihbarat faaliyeti tek bir kurumun tekelinde değildir. MİT 2937 sayılı Kanun m. 6 uyarınca millî güvenlik amaçlı, Emniyet Genel Müdürlüğü PVSK Ek m. 7 ve Jandarma Genel Komutanlığı 2803 sayılı Kanun Ek m. 5 uyarınca suçun önlenmesi amaçlı iletişimin denetlenmesi ve teknik araçlarla izleme yetkisine sahiptir.[14] Bu yapı iki sorun üretmektedir. Aynı teknik tedbire farklı kanuni dayanaklarla ulaşabilen birden fazla kurumun varlığı, AİHM'in Roman Zakharov / Rusya kararında aradığı yetkili makamların kanunla açıkça belirlenmesi ölçütü bakımından öngörülebilirliği zayıflatmaktadır. Aynı kişinin aynı anda hem adli hem önleme hem millî güvenlik amaçlı tedbirlerin hedefi olabilmesi ise hangi rejimin ve dolayısıyla hangi güvencelerin uygulanacağının tespitini güçleştirmektedir.[15]

Siber Güvenlik Başkanlığı bu tabloya yeni bir aktör olarak, fakat farklı bir sıfatla eklenmiştir. 7545 sayılı Kanun m. 2/2 klasik kurumların faaliyetlerini kapsam dışında bıraktığı için Başkanlık görünüşte bu rejimlerle kesişmemektedir. Oysa 5809 sayılı Kanun m. 60/A Başkanlığı güvenlik ve istihbarat kurumlarının talebi üzerine tedbir belirleyen bir makam hâline getirmekte, 7545 sayılı Kanun m. 6/1-(c) ve (d) ise bulgularını “diğer ilgililer” ile, log kayıtlarına ilişkin raporlarını “ilgili kurum ve kuruluşlar” ile paylaşmasına imkân tanımaktadır. Başkanlık böylece klasik istihbarat kurumlarının operasyonel aracı ve veri kaynağı olarak işlev görebilecektir. Kapsam dışı tutma hükmü çok başlılığı gidermemiş, yalnızca yeni aktörü PVSK Ek m. 7 ve 2937 sayılı Kanun m. 6'daki, zaten yetersiz olan hâkim kararı, süre ve imha güvencelerinin dahi dışında tutmuştur.

5. AİHM Ölçütleriyle Sınama

AİHM, Klass ve Diğerleri / Almanya kararından bu yana gizli gözetimi yalnızca keyfîliğe karşı yeterli güvencelerle çevrelendiğinde Avrupa İnsan Hakları Sözleşmesi'nin (Sözleşme) 8. maddesiyle bağdaşır saymaktadır. Weber ve Saravia / Almanya kararında altı asgari unsur hâlinde sistemleştirilen bu güvenceler, Roman Zakharov / Rusya ve Szabó ve Vissy / Macaristan kararlarında yetkilendirme usulü, denetim, bildirim ve başvuru yolları bakımından geliştirilmiş, Big Brother Watch ve Diğerleri / Birleşik Krallık kararında ise bağımsız ön yetkilendirme, denetim ve sonradan incelemeyi içeren uçtan uca güvenceler, Sözleşme'ye uygun her toplu müdahale rejiminin köşe taşı sayılmıştır.[16] Bu içtihat eleştiriye açık yönler de taşımaktadır: Rejim tercihinde devletlere tanınan marj hâlâ geniştir, yargısal ön denetim mutlak bir şart hâline getirilmemiştir ve denetim giderek usule ilişkin güvencelere indirgenmiştir.[17] Fakat Başkanlığa ilişkin düzenlemeler bu asgari eşiği dahi karşılamamaktadır.

Kanunun niteliği bakımından ilk sorun müdahalenin kapsamının belirsizliğidir. Mahkemeye göre gizli tedbirlere imkân veren kanun, tedbire yol açabilecek suçların niteliğini, hangi kişi kategorilerine uygulanabileceğini, süresini, verilerin incelenme, kullanılma ve saklanma usulünü ve imha koşullarını açıkça düzenlemelidir.[18] 7545 sayılı Kanun m. 6/1-(ç)'deki “yürüttüğü faaliyetlerle sınırlı olmak üzere” kaydı, Başkanlığın görev alanı m. 5'te son derece geniş tutulduğundan gerçek bir sınır oluşturmamaktadır. Yine m. 7/1-(a)'daki “her türlü veri” ibaresi hiçbir kategori ayrımı içermemekte, m. 6/1-(c)'deki “diğer ilgililer” ibaresi verilerin kimlerle paylaşılabileceğini açık bırakmakta, 5809 sayılı Kanun m. 60/A'daki “tedbir” ise tür olarak tanımlanmamaktadır. PVSK Ek m. 7 metnindeki “belirlenebilenler” ibaresine yöneltilebilecek eleştiri burada da geçerlidir: Kanun, uygulamadaki esnekliğe emanet edilmiş bir çerçeve sunmakta ve bu belirsizlik keyfî müdahaleyi mümkün kılmaktadır.[19]

Yetkilendirme ve denetim bakımından tablo daha da sorunludur. 7545 sayılı Kanun m. 6'daki veri ve log toplama yetkileri idari karara dayanmakta ve hiçbir ön onaya tabi bulunmamaktadır. 5809 sayılı Kanun m. 60/A'daki tedbir kararı önce uygulanmakta, hâkim onayına ancak sonradan sunulmaktadır. 7545 sayılı Kanun m. 8/5'teki arama, kopya çıkarma ve el koyma işlemlerinde ise kamu kurum ve kuruluşları bakımından hâkim kararı dahi aranmamaktadır. Oysa Szabó ve Vissy / Macaristan kararı, terörle mücadele gerekçesiyle de olsa yürütme içi bir makamın onayına dayanan gözetimi Sözleşme'ye aykırı bulmuş, Roman Zakharov / Rusya kararı yetkilendirme makamının yürütmeden bağımsız olmasını aramıştır.[20] Başkanlığı sürekli ve operasyonel düzeyde denetleyen bağımsız bir organ bulunmadığı gibi, zaten sınırlı yetkilere sahip TBMM Güvenlik ve İstihbarat Komisyonunun yıllık rapor incelemesi de 2937 sayılı Kanun Ek m. 2'de sayılan dört kurumla sınırlı olduğundan Başkanlığı kapsamamaktadır.[21]

Veri saklama ve imha bakımından m. 6/1-(ç)'deki iki yıllık süre ilk bakışta bir güvence gibi görünmektedir. Ne var ki bu süre yalnızca (ç) bendi kapsamındaki bilgi ve belgeler için öngörülmüş, (d) bendindeki log kayıtları için belirli bir üst sınır konmamış, m. 6/2'deki amaçla bağlılık ilkesi somut bir süreye bağlanmamış ve imhanın bağımsız bir makamca denetlenmesine yer verilmemiştir. İki yıllık sürenin başlangıcı da ayrı bir sorun yaratmaktadır. Başkanlığa veri sağlamakla yükümlü kamu kurumları ve özel sektör aktörleri kendi mevzuatları gereği zaten belirli azami saklama sürelerine tabidir. Örneğin 5651 sayılı Kanun, erişim ve yer sağlayıcıların trafik bilgilerini en fazla iki yıl saklamasına izin vermektedir. Oysa m. 6/1-(ç)'deki süre, verinin kaynağında ne kadar süredir tutulduğuna bakılmaksızın Başkanlıkça elde edilmesiyle işlemeye başlamakta, talepte bulunulanlar da kendi mevzuatlarındaki hükümleri gerekçe göstererek talebi reddedememektedir. Bir başka deyişle kaynağındaki saklama süresinin dolmasına günler kalmış bir veri, Başkanlıkça talep edildiğinde yeni bir iki yıllık süreye kavuşmaktadır. Kanun, kaynak kurumdaki sürenin dolmasıyla Başkanlıktaki verinin de imhasını gerektiren bir hüküm içermediğinden aynı veri, kanun koyucunun o veri için öngördüğü azami sürenin iki katına kadar kamu elinde kalabilmektedir. Saklama süresinin amaçla orantılı olmasını arayan bir güvence rejiminde devir yoluyla sürenin yeniden başlatılabilmesi, kaynak mevzuattaki üst sınırı fiilen anlamsızlaştırmaktadır.[22] Mahkeme, S. ve Marper / Birleşik Krallık kararından bu yana veri saklamanın amaçla orantılı olmasını ve amaç ortadan kalktığında verinin imha edilmesini aramakta, Pietrzak ve Diğerleri / Polonya kararında ise genel ve ayrım gözetmeyen saklama rejiminin kendisini ihlal saymıştır.[23] Kişi hakkındaki bilginin gizli bir kütükte saklanmasının, sonradan kullanılmasa dahi tek başına müdahale oluşturduğu da yerleşik içtihattır.[24]

Nihayet bildirim bakımından mevzuatta hiçbir hüküm yoktur: Hakkında veri toplanan kişinin bunu öğrenmesini sağlayacak bir mekanizma öngörülmemiştir. Yargı yolu ise yalnızca idari para cezaları ve diğer idari yaptırım kararları için özel olarak düzenlenmiş olup gizli veri toplama işlemlerinden haberdar olmayan kişi bakımından Anayasa'nın 125. maddesindeki genel yol fiilen işlemez.[25] Mahkeme, Mustafa Sezgin Tanrıkulu / Türkiye kararında dinlemeye maruz kalan veya kaldığından şüphelenen kişilerin haklarını koruyabilecekleri, uygulamada işlediği gösterilmiş bir iç hukuk yolunun bulunmamasını 13. maddenin ihlali saymıştır.[26] Aynı eksiklik Başkanlık bakımından da mevcuttur.

6. Değerlendirme ve Öneriler

Türk istihbarat mevzuatının yapısal eksiklikleri yeni kuruma aynen taşınmış, kurum istihbarat kurumu sayılmadığı için mevcut güvence kataloğunun da dışında kalmıştır. Bu tablo karşısında reform ihtiyacı yeni kurum bakımından şöyle somutlaştırılabilir.

Birincisi, Başkanlığın istihbari işlevi kanunda adıyla tanınmalı ve veri toplama, saklama, değerlendirme ve paylaşma yetkileri PVSK Ek m. 7, 2803 sayılı Kanun Ek m. 5 ve 2937 sayılı Kanun m. 6'daki önleme amaçlı gözetim yetkileriyle birlikte tek bir çerçeve kanunda düzenlenmelidir. Bu kanunda tedbirlerin türü, hedef kategorileri, süresi, veri paylaşımının muhatapları ve imha usulü açık biçimde belirlenmelidir.

İkincisi, iletişimin denetlenmesi merkezinin tek elde toplanması korunmalı, fakat merkez onu barındıran kurumun kendi veri toplama ve değerlendirme faaliyetlerinden işlevsel olarak ayrılmalıdır. Merkezin her işlemi kayıt altına alınmalı ve bu kayıtlar yargısal ya da en azından yürütmeden bağımsız bir organ tarafından denetlenmelidir. Almanya'daki G-10 Komisyonu ile Birleşik Krallık'ın 2016 tarihli Soruşturma Yetkileri Kanunu'nda bakan onayının yargısal komiser onayıyla tamamlandığı çifte kilit modeli bu bakımdan yol göstericidir.[27]

Üçüncüsü, 5809 sayılı Kanun m. 60/A'daki tedbir yetkisi ile 7545 sayılı Kanun m. 6/1-(ç) ve (d)'deki toplama yetkileri bakımından yargısal ön denetim kural hâline getirilmeli, gecikmesinde sakınca istisnası dar yorumlanmalı ve kamu kurumları bakımından hâkim kararını kaldıran m. 8/5 hükmü gözden geçirilmelidir. Dördüncüsü, log kayıtları için üst sınır konulmalı, Başkanlığın saklama süresi verinin kaynağındaki azami süreyle sınırlandırılmalı, m. 6/2'deki amaçla bağlılık ilkesi somut sürelere bağlanmalı ve imha bağımsız denetime tabi tutulmalıdır. Beşincisi, tedbir sona erdikten sonra güvenliği tehlikeye düşürmeyen hâllerde ilgiliye bildirim yapılması ve Başkanlığın veri işleme faaliyetlerine karşı etkili bir başvuru yolu öngörülmelidir. Nihayet algoritmik seçim ve profilleme araçlarının kullanımı, hedef seçim kriterlerinin ve hata payının bağımsız denetimini içerecek biçimde ayrıca düzenlenmelidir.

Sonuç

Siber Güvenlik Başkanlığı, kanun koyucunun ona verdiği adın ötesinde, işlevi itibarıyla bir istihbarat kurumudur. Siber tehdit istihbaratı üretmekte, kapsamındaki herkesten veri alıp saklamakta, bulgularını kanunda tanımlanmamış “diğer ilgililer” ile paylaşmakta, haberleşme hürriyetini kısıtlayan tedbirleri belirleyebilmekte ve ülkedeki dinlemelerin teknik merkezini bünyesinde barındırmaktadır. Hukuk düzeninin bu kuruma istihbarat kurumu adını koymaması, AİHM'in gizli gözetim için aradığı güvencelerin ona uygulanmaması sonucunu doğurmuştur. Oysa Mahkeme, devletin kullandığı adı değil müdahalenin niteliğini esas almaktadır.

Genel tablo bu kurumla da değişmemiştir: Türk hukuku önleme ve millî güvenlik amaçlı gözetim alanında AİHM'in, kendisi de eleştiriye açık olan asgari ölçütlerini dahi karşılamamaktadır ve 2025-2026 düzenlemeleri bu açığı kapatmak yerine yeni bir kuruma taşımıştır. Ulusal güvenlik, bireysel özgürlüklerin varlığını tehdit eden bir araç değil, bu özgürlükler içinde ve onlarla birlikte korunması gereken bir kamu değeridir. Siber uzayın güvenliğini sağlamak devletin ödevidir. Bu ödevi yerine getiren kurumun hukuk devletinin güvenceleriyle çevrelenmesi ise o ödevin istisnası değil, bileşenidir.

Av. Fatih Kasım KATAR

Dipnotlar

[1] 177 sayılı Siber Güvenlik Başkanlığı Hakkında Cumhurbaşkanlığı Kararnamesi, RG: 8.1.2025/32776, m. 3.

[2] 7545 sayılı Siber Güvenlik Kanunu, RG: 19.3.2025/32846. 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun, RG: 31.7.2026/33326, m. 21, 26 ve 27.

[3] 7545 sayılı Kanun m. 2/2. Hükümde “istihbari faaliyetler” ibaresi yalnızca PVSK, 2692 ve 2803 sayılı Kanunlar için kullanılmış, 2937 ve 211 sayılı Kanunlar uyarınca yürütülen faaliyetlerin tümü kapsam dışında bırakılmıştır.

[4] Millî İstihbarat Teşkilatı Başkanlığı, (Çevrimiçi) https://www.mit.gov.tr, Erişim tarihi: 2.11.2026. Klasik tanım için bkz. Sherman Kent, Strategic Intelligence for American World Policy, Princeton, Princeton University Press, 1949, s. 3-10.

[5] 7590 sayılı Kanun m. 27/4-(b) ile 7545 sayılı Kanun m. 16/10'a “(a),” ibaresi eklenmiş, böylece bir milyon liradan on milyon liraya kadar idari para cezası bu yükümlülüğü de kapsamıştır.

[6] Mehmet Bedii Kaya, “Siber Güvenlik Başkanlığına BTK Yetkilerinin Devri”, 3.7.2026, (Çevrimiçi) https://mbkaya.com/siber-guvenlik-baskanligi-sgb-btk-yetkileri/, Erişim tarihi: 2.11.2026. Ayrıca bkz. Melikşah Çırakoğlu, “İdare Hukuku Ekseninde Siber Güvenlik Başkanlığı Hakkında Bir Değerlendirme”, Sakarya Üniversitesi Hukuk Fakültesi Dergisi, C. 14, S. 1, 2026, s. 47-60.

[7] 5397 sayılı Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun, RG: 23.7.2005/25884.

[8] 671 sayılı Kanun Hükmünde Kararname, RG: 17.8.2016/29804, m. 22 ve 24.

[9] 2803 sayılı Jandarma Teşkilat, Görev ve Yetkileri Kanunu Ek m. 5 ve 2937 sayılı Kanun m. 6/2. İkinci hüküm MİT'e “MİT tarafından kurulan merkez” seçeneğini de tanımaktadır.

[10] 7590 sayılı Kanun m. 27/4-(a).

[11] 7545 sayılı Kanun geçici m. 2/1-2 (7590 sayılı Kanun m. 26 ile eklenen).

[12] 5809 sayılı Elektronik Haberleşme Kanunu m. 60/A-(2) (7590 sayılı Kanun m. 21 ile eklenen). Öncülü olan m. 60/10 hükmü 671 sayılı Kanun Hükmünde Kararname m. 25 ile eklenmiş, 7590 sayılı Kanun m. 27/3 ile yürürlükten kaldırılmıştır.

[13] “Siber Güvenlik Başkanlığı'nın yetkileri genişliyor: İnternet artık nasıl kontrol edilecek?”, Euronews Türkçe, 27.7.2026, (Çevrimiçi) https://tr.euronews.com/2026/07/27/siber-guvenlik-baskanliginin-yetkileri-genisliyor-internet-artik-nasil-kontrol-edilecek, Erişim tarihi: 2.11.2026.

[14] Bu paralel yetkilerin koordinasyonu için 2937 sayılı Kanun m. 5'te Cumhurbaşkanı başkanlığında toplanan Millî İstihbarat Koordinasyon Kurulu öngörülmüştür.

[15] AİHM, Roman Zakharov / Rusya [BD], Başvuru No: 47143/06, 4 Aralık 2015, §§229-234. Yazıda anılan AİHM kararlarına HUDOC üzerinden erişilmiş, paragraf numaraları karar metinlerine göre verilmiştir.

[16] AİHM, Klass ve Diğerleri / Almanya, Başvuru No: 5029/71, 6 Eylül 1978, §§48-50 ve §§55-56; Weber ve Saravia / Almanya, Başvuru No: 54934/00, 29 Haziran 2006, §95; Roman Zakharov / Rusya [BD], §§227-234; Szabó ve Vissy / Macaristan, Başvuru No: 37138/14, 12 Ocak 2016, §§73 ve 77; Big Brother Watch ve Diğerleri / Birleşik Krallık [BD], Başvuru No: 58170/13, 62322/14 ve 24960/15, 25 Mayıs 2021, §§350, 355 ve 361.

[17] Geniş marj için bkz. Weber ve Saravia / Almanya, §106 ve Big Brother Watch ve Diğerleri / Birleşik Krallık [BD], §338. Yargısal denetimin yalnızca “ilke olarak arzu edilir” sayılması için bkz. Klass ve Diğerleri / Almanya, §56. Eleştiri için bkz. Marko Milanovic, “The Grand Normalization of Mass Surveillance: ECtHR Grand Chamber Judgments in Big Brother Watch and Centrum för Rättvisa”, EJIL: Talk!, 26 Mayıs 2021.

[18] Weber ve Saravia / Almanya, §95; Roman Zakharov / Rusya [BD], §231.

[19] PVSK Ek m. 7 uyarınca kararda ve yazılı emirde, kişinin kimliği, iletişim aracının türü, telefon numaraları ve bağlantı kodu gibi unsurlardan yalnızca “belirlenebilenler” ile tedbirin türü, kapsamı, süresi ve tedbire başvurulmasını gerektiren nedenler belirtilir. Aynı yönde 2937 sayılı Kanun m. 6 ve 2803 sayılı Kanun Ek m. 5.

[20] Szabó ve Vissy / Macaristan, §§75-77; Roman Zakharov / Rusya [BD], §258.

[21] 2937 sayılı Kanun Ek m. 2. Komisyon, MİT, Emniyet Genel Müdürlüğü, Jandarma Genel Komutanlığı ve MASAK'ın faaliyetlerine ilişkin yıllık raporu inceler. Raporlarda devlet sırrı niteliğindeki bilgi ve belgelere yer verilmez.

[22] 7545 sayılı Kanun m. 6/1-(ç) ve m. 6/2. Karş. 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun m. 5/3 ve m. 6/1-(b).

[23] S. ve Marper / Birleşik Krallık [BD], Başvuru No: 30562/04 ve 30566/04, 4 Aralık 2008, §§103-125; Pietrzak ve Bychawska-Siniarska ve Diğerleri / Polonya, Başvuru No: 72038/17 ve 25237/18, 28 Mayıs 2024, §258 ve §§261-264.

[24] Leander / İsveç, Başvuru No: 9248/81, 26 Mart 1987, §48; Rotaru / Romanya [BD], Başvuru No: 28341/95, 4 Mayıs 2000, §§43-46.

[25] 7545 sayılı Kanun m. 17/5 ve 5809 sayılı Kanun m. 60/A-(5).

[26] AİHM, Mustafa Sezgin Tanrıkulu / Türkiye, Başvuru No: 27473/06, 18 Temmuz 2017, §§69-72.

[27] Almanya için G 10 Kanunu (Gesetz zur Beschränkung des Brief-, Post- und Fernmeldegeheimnisses) § 15; Birleşik Krallık için Investigatory Powers Act 2016, s. 23. Karşılaştırmalı değerlendirme için bkz. Hans Born / Ian Leigh, Making Intelligence Accountable: Legal Standards and Best Practice for Oversight of Intelligence Agencies, Oslo, 2005, s. 20-30.