Erişime açmak mı, erişime açık tutmak mı? Siber Güvenlik Kanunu 16/4 ve sorgu panelleri

Olayın çerçevesi

Tartışmanın merkezinde, 2024 yılında bir internet portalına konulan ve sızdırılmış nüfus bilgilerine dayanan bir sorgu modülü yer alıyor. Kullanıcılara verilen kullanıcı adı ve parolayla bir isim veya kimlik numarası girilerek ilgili kişiye ait kayda ulaşılabiliyor. Değerlendirme, 19 Mart 2025'te Siber Güvenlik Kanunu'nun yürürlüğe girmesinden sonra yöneticinin modülü kapatmadığını ve 2026'da yapılan bir incelemede sorgu butonunun hâlâ çalıştığının tespit edildiğini varsayıyor. Bu anlatı bir örnek olgudur; belirli bir dava, soruşturma veya kurum kararına dayanmamaktadır. Değerlendirme olayı iki ayrı fiile ayırıyor: 2024'teki yükleme ve yetkilendirme ile 2025 sonrasındaki açık bırakma. Birinci fiilin yeni kanun kapsamında cezalandırılamayacağı, ikinci fiilin ise 16/4'teki erişime açma hareketi olup olmadığının asıl soru olduğu belirtiliyor. Dolayısıyla tartışma, verinin varlığı üzerine değil, yürürlük sonrasında hangi davranışın tipik hareket sayılacağı üzerine kurulu.

Yürürlük ve geçmişe etki

Değerlendirmeye göre 7545 sayılı Kanun 12 Mart 2025'te kabul edilmiş ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete'de yayımlanarak aynı gün yürürlüğe girmiştir. Kanun'da 16/4 bakımından geçmişe etkili bir hüküm ya da geçiş hükmü bulunmadığı belirtiliyor. Bu noktada TCK m. 7'nin ilk iki fıkrası belirleyici bir çerçeve sunar: İşlendiği zaman suç sayılmayan bir fiilden kimse ceza alamaz; sonradan yürürlüğe giren kanuna göre suç sayılmayan fiil de cezalandırılamaz. Suç işlendiği zaman yürürlükte olan kanun ile sonradan yürürlüğe giren kanunun hükümleri farklıysa, failin lehine olan kanun uygulanır. Değerlendirme, 2024'teki yükleme ve yetkilendirme işlemlerinin yeni Kanun'un değil, o tarihte yürürlükte olan TCK m. 136 ve gerekiyorsa m. 243-244 hükümlerinin konusu olduğunu savunuyor. Metindeki 'daha önce' ibaresinin de geçmişte tamamlanmış yayın hareketlerinin sonradan cezalandırılmasına izin veren bir geçiş hükmü olmadığı vurgulanıyor. Yeni hükmün geçmişe yürütülememesi, önceki kanunlara göre suç oluşmadığı anlamına gelmiyor.

Lafzi ve sistematik okuma Analiz

Değerlendirmenin temel argümanı, 16/4'teki fiillerin bir durum yaratan hareketler olduğu yönünde. 'Erişime açmak' kapalı olanı açık hâle getirmeyi, 'erişime açık tutmak' ise yaratılmış durumu sürdürmeyi ifade ediyor. Maddede yalnızca erişime açma, paylaşma ve satışa çıkarma sayılıyor; 'erişime açık tutan' ya da 'yayında bulunduran' gibi bir hareket yer almıyor. Sistematik açıdan en güçlü karine ise aynı maddenin altıncı fıkrasında bulunuyor: Millî siber gücü oluşturan unsurlara yönelik saldırıdan elde edilen veriyi siber uzayda bulundurmak ayrıca cezalandırılırken, 16/4'te bu fiil sayılmamıştır. TCK'daki benzer bir örnek de bunu destekliyor: TCK 191/1, kullanmak için uyuşturucu madde bulundurmayı açıkça suç olarak düzenler. Değerlendirme, aksi kanıt yoluyla yorumun mutlak olmadığını kabul etmekle birlikte, ceza normunda belirsizliğin kişi aleyhine giderilemeyeceğini savunuyor.

Dinamik sorgu paneli ve yeni hareketler Analiz

Statik bir yayında veri bir kez yüklenir ve erişilebilir bırakılır; dinamik bir sorgu panelinde ise her sorguda uygulama veri tabanında arama yapar ve sonucu kullanıcıya iletir. Değerlendirme, bu teknik farkın karşı görüşün en güçlü dayanağı olduğunu kabul ediyor, çünkü yürürlük sonrasında her sorgu fiilen yeni bir veri aktarımı yaratır. Buna karşılık ekranda görünen bir sorgu butonu tek başına ceza isnadını taşımaz. Değerlendirmede ayrılması gereken olgular sıralanıyor: butonun görünürlüğü ve işlevselliği, hesaba giriş, belirli bir kayıt için sorgu, veri tabanından cevap üretilmesi, kişisel veri içeren cevabın bir kullanıcıya ulaşması ile sistemi kimin barındırdığı, bakımını kimin yaptığı ve hesapları kimin yönettiği. Bu ayrım yapılmadan kurulan bir isnadın eksik kalacağı belirtiliyor. Ayrıca yürürlük sonrasında panelin çalışmasının çoğu zaman salt açık tutma olmadığı, yeni icrai işlemler içerdiği vurgulanıyor. Yeni kullanıcı hesabı, yetki genişletme, abonelik yenilenmesi ve yeni sızıntı verisinin eklenmesi bağımsız erişime açma veya satışa çıkarma hareketleri olarak değerlendiriliyor.

Kesintisiz suç görüşü ve sınırları Analiz

Öğretide bazı görüşler, bir internet sitesinde sürekli yayında tutulan veriyi kesintisiz suç olarak niteliyor. Bu görüşe göre statik bir yayın, yayında tutulduğu sürece suçu sürdürür ve dinamik bir panel bakımından bu nitelendirme daha da güçlü ileri sürülebilir. Değerlendirme bu görüşü ciddiye alıyor, ancak üç noktada sınırlıyor. Birincisi, öğretideki örneklerin failin kendi hesabı veya sitesi üzerindeki yayını konu almasıdır; sunucunun, hesapların ya da yetkilerin başka kişilerin elinde olduğu durumda temadinin kime isnat edileceği ayrıca belirlenmelidir. İkincisi, bu görüşlerin 16/6'daki bulundurma fiiliyle sistematik karşılaştırma yapmamasıdır. Üçüncüsü, kesintisiz nitelendirme kabul edilse bile yürürlük öncesi kesitin yeni kanuna tabi tutulmasının meşrulaştırılamayacağıdır. Bu bağlamda değerlendirme, AİHM'in Veeber/Estonya (No. 2) kararında, yeni ve aleyhe normdan önceki fiillerin kesintisiz suç nitelendirmesiyle yeni norma bağlanmasının AİHS m. 7/1'i ihlal ettiğini aktarıyor. Rohlena/Çek Cumhuriyeti kararında ise önceki kanuna göre de suç teşkil eden davranışlar ve daha ağır ceza verilmemesi nedeniyle ihlal bulunmadığı belirtiliyor. Değerlendirme, panel örneğinde 16/4'ün alt sınırının ve 16/7 artırımlarının bu ayrımı zayıflatabileceğini ileri sürüyor.

İhmal ve kaldırma yükümlülüğü Analiz

Sorgu modülünü kapatmamak bir ihmal olarak nitelendiriliyor. Değerlendirmeye göre TCK, ihmali davranışla icrayı genel bir kural olarak düzenlememiştir; sırf hareket suçu olan 16/4 bakımından salt bir ihmalden ceza sorumluluğu kurulabilmesi için ayrı bir kanuni dayanak gerekir. Kanun koyucunun kaldırma veya yok etme yükümlülüğünü ayrıca cezalandırdığı örnek olarak TCK 138 gösteriliyor: Kanunların belirlediği süreler geçtikten sonra verileri yok etmekle yükümlü olanların bu görevi yerine getirmemesi ayrı bir suçtur. 16/4'te böyle bir kaldırmama tipi bulunmadığı için açık bırakmanın doğrudan bu hüküm kapsamına alınması güçleşiyor. Bununla birlikte değerlendirme, bu tespitin sorgu modülünü kapatmamanın hukuken önemsiz olduğu anlamına gelmediğini belirtiyor. KVKK kapsamındaki yükümlülükler, TCK 136 bakımından önceki döneme ilişkin sorumluluk ve tazminat sorumluluğu gibi başka sonuçlar doğurabilir. Önemli ayrım, veriyi kaldırmakla yükümlü olmak ile yürürlük sonrasında veriyi erişime açan kişi olmak arasındadır; bu iki durum maddi unsur, suç zamanı ve ispat bakımından farklı sonuçlara yol açar.

Olası sonuçlar ve ceza ölçüsü Analiz

16/4, üç yıldan beş yıla kadar hapis cezası öngörüyor. Değerlendirmeye göre bu alt sınır, hükmün açıklanmasının geri bırakılmasını ve erteleme imkânlarını uygulamada büyük ölçüde dışlıyor. Bu nedenle fiilin 16/4 kapsamına alınıp alınmadığı, sonucu doğrudan etkileyen bir soru hâline geliyor. Aynı maddenin 16/7. fıkrasına göre ceza, kamu görevlisi tarafından işlenmesi hâlinde üçte bir, birden fazla kişi tarafından işlenmesi hâlinde yarı, bir örgüt faaliyeti çerçevesinde işlenmesi hâlinde yarısından iki katına kadar artırılıyor. TCK 136 ise kişisel verileri hukuka aykırı olarak verme, yayma veya ele geçirme fiilini iki yıldan dört yıla kadar hapisle cezalandırıyor. Değerlendirme, 2024 dönemindeki davranışın 16/4 kapsamında değerlendirilmesinin TCK 136'ya göre daha ağır bir ceza ihtimalini güçlendirdiğini ve bu yüzden yürürlük öncesi kesit bakımından geçmişe yürütme sorununu gündeme getirdiğini ileri sürüyor. Pratikte, bir isnadın tarih, kullanıcı ve veri kategorisi bazında somutlaştırılması ceza hesabında da belirleyici olabilir.

Açık kalan sorular Açık soru

Değerlendirmenin sonucu, sorunun yalnızca hukuki yorumla çözülemeyen bir yönü olduğunu gösteriyor. Hangi kişinin, hangi tarihte, hangi veri kategorisi için yeni bir hesap, yetki veya veri eklediği ortaya konulmadıkça, açık tutmanın 16/4 kapsamına girip girmeyeceği netleşmiyor. Yürürlük öncesinde kurulan bir sistemin yürürlük sonrasında hangi yetkilerle sürdürüldüğü, sunucunun ve hesapların kimin elinde olduğu da belirlenmesi gereken olgular arasında. Değerlendirme, her sorgu cevabının yeni bir paylaşma sayılması tezinin de hareketin zamanı ve sahibi sorununa takıldığını belirtiyor; çünkü otomatik cevabı tetikleyen kullanıcı, yöneticinin 2024'teki yükleme işleminden farklı bir bedensel hareket yapıyor. Bu nedenle sonuç, olgusal ayrıntılar ortaya konulduğunda değişebilecek koşullu bir değerlendirmedir ve bugün için kesin bir cezai sonuç olarak ortaya konulamaz.

Bu yazı Saygılı Yarlıg AI tarafından kamuya açık bilgiler araştırılarak hazırlanmıştır; bilgilendirme amaçlıdır, hukuki görüş değildir.