الجرائم الإلكترونية في تركيا: القانون والعقوبات واستراتيجيات الأمن السيبراني

تُلاحَق الجرائم الإلكترونية في تركيا بصورة رئيسية بموجب قانون العقوبات التركي (TCKTCKقانون العقوبات التركي رقم 5237القانون الذي يحدد الجرائم وعقوباتها في تركيا — ومنها الاحتيال وخيانة الأمانة والتزوير وغسل الأموال والجرائم المرتكبة في إطار نشاط تنظيم.المعجم → رقم 5237، المواد من 243 إلى 246) فيما يخص الجرائم المرتكبة ضد أنظمة المعلومات، وبموجب قانون حماية البيانات الشخصية (KVKKKVKKقانون حماية البيانات الشخصية رقم 6698قانون حماية البيانات في تركيا — قواعد جمع البيانات الشخصية وحفظها ونقلها، والهيئة التي تُنفّذها.المعجم → رقم 6698) عندما تكون البيانات الشخصية معنيّة. يشرح هذا الدليل الجرائم والعقوبات والمهل التي كثيراً ما تُوقِع الشركات في الأخطاء، والخطوات العملية التي يمكن للأجانب والشركات الأجنبية اتخاذها لحماية أنفسهم أو استرداد حقوقهم بعد وقوع هجوم.

مشهد الجرائم الإلكترونية في تركيا

تُعدّ تركيا واحدة من أكثر الأسواق ارتباطاً بالإنترنت في المنطقة، وقد جعلها هذا الانكشاف هدفاً متكرراً. وكثيراً ما يُستهدَف المستثمرون الأجانب والمقيمون الوافدون والشركات الدولية على وجه الخصوص، ويعود ذلك جزئياً إلى أنهم قد يكونون أقل دراية بقنوات الإبلاغ المحلية وبتحذيرات الاحتيال الصادرة باللغة التركية.

وأكثر الحوادث شيوعاً في الممارسة العملية هي:

• التصيّد الاحتيالي والهندسة الاجتماعية — رسائل بريد إلكتروني مصرفية مزيفة، ورسائل نصية قصيرة (smishing)، وصفحات تسجيل دخول مستنسخة تُستخدَم لسرقة بيانات الاعتماد.
• الاستيلاء على الحسابات والاحتيال ببطاقات الدفع — تحويلات غير مصرّح بها، وبطاقات مستنسخة، وإساءة استخدام الخدمات المصرفية عبر الإنترنت.
• برامج الفدية والابتزاز — تشفير أنظمة الشركة يعقبه طلب دفع مبلغ مالي.
• خروقات البيانات — سرقة أو تسريب سجلات العملاء أو الموظفين أو المرضى.
• اختراق البريد الإلكتروني للأعمال (BEC) — فواتير احتيالية وتحويلات برقية مُعاد توجيهها، وهي مشكلة متكررة في التجارة العابرة للحدود.
• سرقة الهوية — إساءة استخدام بيانات جواز السفر أو الرقم الضريبي (vergi) أو تصريح الإقامة.

إن الفئة التي يندرج تحتها الحادث لها أهمية، لأن كل فئة ترتبط بحكم مختلف من أحكام القانون التركي وبوسيلة انتصاف مختلفة. فمثلاً، عادةً ما يُعامَل تحويل دفعة مورّد إلى وجهة أخرى بوصفه احتيالاً بموجب القانون التركي يُرتكب عبر الحاسوب، في حين أن تشفير خوادم الشركة يُعدّ جريمة تدخّل في النظام.

كيف يصنّف القانون التركي الجرائم الإلكترونية

يقسّم القانون التركي الجرائم الإلكترونية إلى مجموعتين. الجرائم الإلكترونية المباشرة تُرتكب ضد أنظمة المعلومات نفسها وهي منصوص عليها في قانون العقوبات التركي (Türk Ceza Kanunu، القانون رقم 5237). أما الجرائم الإلكترونية غير المباشرة فهي جرائم عادية — احتيال، تهديد، ابتزاز — لا تستخدم التكنولوجيا سوى كأداة.

جرائم أنظمة المعلومات (المواد 243-246 من TCK)

• المادة 243 — الدخول غير المصرّح به. يُعاقَب على الدخول إلى نظام شخص آخر دون تصريح، أو البقاء فيه، بالحبس مدة تصل إلى سنة واحدة أو بغرامة قضائية. وتزداد العقوبة عندما يكون الهدف نظاماً مصرفياً أو مالياً.
• المادة 244 — التدخّل في النظام وتعديل البيانات. يُعاقَب على تعطيل تشغيل نظام، أو إتلاف البيانات أو تعديلها أو جعلها غير قابلة للوصول، بعقوبة أشد، وتزداد العقوبة عندما يكون الهدف عائداً إلى مصرف أو مؤسسة ائتمان أو جهة عامة. وتندرج برامج الفدية والتخريب عادةً هنا.
• المادة 245 — إساءة استخدام البطاقات المصرفية أو الائتمانية. يُعاقَب على استخدام بطاقة شخص آخر أو بيانات بطاقته بالحبس من ثلاث إلى ست سنوات مع غرامة قضائية؛ ويُعاقَب على إنتاج أو بيع بطاقات مزوّرة بالحبس من ثلاث إلى سبع سنوات، وعلى استخدام بطاقة مزوّرة من أربع إلى ثماني سنوات.
• المادة 245/A — الأجهزة والبرامج المحظورة. يُعاقَب على إنتاج أو استيراد أو بيع جهاز أو برنامج أو كلمة مرور أو رمز أمان مصمَّم لارتكاب هذه الجرائم، أو مجرّد حيازته، بالحبس من سنة إلى ثلاث سنوات مع غرامة قضائية تصل إلى خمسة آلاف يوم. وهذا هو الحكم الأكثر توجّهاً مباشرةً نحو البرمجيات الخبيثة وحزم أدوات الاختراق.
• المادة 246 — التدابير الأمنية للأشخاص الاعتباريين. عندما تعود هذه الجرائم بالنفع على شركة، يمكن فرض تدابير أمنية محددة (güvenlik tedbirleri) على الشخص الاعتباري نفسه، بشكل منفصل عن أي مسؤولية فردية.

جرائم البيانات الشخصية (المواد 135-140 من TCK)

يُعدّ تسجيل البيانات الشخصية بصورة غير مشروعة (المادة 135)، والحصول عليها أو إفشاؤها بصورة غير مشروعة (المادة 136)، والتقاعس عن إتلاف البيانات عندما يوجب القانون ذلك (المادة 138، الحبس من سنة إلى سنتين) جرائم متمايزة. وتسير هذه الأحكام جنباً إلى جنب مع نظام حماية البيانات الموصوف أدناه، ولهذا يمكن أن ينتج عن خرق واحد عواقب جنائية وتنظيمية في آنٍ معاً.

وبالنسبة لمديري الشركات، تُبحَث المادة 246 والمسألة الأوسع المتعلقة بمتى يكون المدير مسؤولاً شخصياً في مقالنا عن المسؤولية الجنائية للمديرين في القانون التركي.

الجرائم الإلكترونية في لمحة: المادة والعقوبة والجهة التي يجب إخطارها

هذا الجدول للتوجيه السريع، وليس مشورة قانونية؛ فالعقوبة الواجبة التطبيق تعتمد على وقائع القضية وأي ظروف مشدِّدة والسوابق الجنائية.

حماية البيانات: قانون KVKK رقم 6698

إن قانون حماية البيانات الشخصية التركي (Kişisel Verilerin Korunması Kanunu، القانون رقم 6698، "KVKK") متوائم مع اللائحة الأوروبية العامة لحماية البيانات (GDPR) وإن لم يكن مطابقاً لها — إذ تتباين في بعض المواضع الأسس المشروعة، والتشديد الكبير على الموافقة الصريحة، وقواعد النقل الجديدة. وهو ليس قانوناً جنائياً، لكن الخرق يُفعّل عادةً انكشافاً موازياً: غرامات إدارية من هيئة حماية البيانات (Kişisel Verileri Koruma Kurumu)، ومسؤولية جنائية بموجب المواد 135-140 من TCK، ودعاوى تعويض مدنية.

تشمل الالتزامات الأساسية على أي شركة تعالج بيانات شخصية في تركيا ما يلي:

• التسجيل في VERBİS حيثما يُشترَط ذلك وتحديد أساس مشروع لكل نشاط معالجة.
• تطبيق تدابير أمنية تقنية وتنظيمية ملائمة.
• إخطار الهيئة والأفراد المتضررين بالخرق (انظر المهلة أدناه).
• محو البيانات أو إتلافها أو إخفاء هويتها بمجرّد انتهاء مدة الاحتفاظ المشروعة.

والغرامات كبيرة. ففيما يخص التقصير في اتخاذ تدابير كافية لأمن البيانات، تتراوح العقوبة بموجب المادة 18 من KVKK من حدّ أدنى إلى حدّ أعلى يُعاد تقييمهما سنوياً وفق معدل إعادة التقييم الرسمي (وبالنسبة لعام 2026 كانت في حدود مئات الآلاف من الليرات التركية عند الحد الأدنى وتصل إلى عشرات الملايين عند الحد الأعلى؛ تحقّق من الأرقام الحالية التي تُحدَّث سنوياً). وكثيراً ما يكون التوثيق القوي لتدابير KVKK لديك حاسماً في إبقاء الغرامة عند الحد الأدنى. ويُغطّى التفاعل بين غرامات حماية البيانات وعقوبات القطاع المالي في دليلنا عن المسؤولية الإدارية والجنائية في التكنولوجيا المالية.

نقل البيانات عبر الحدود: إصلاح 2024 الذي يجب على الشركات الأجنبية معرفته

بالنسبة للشركة الأجنبية، فإن أكثر مواضيع KVKK أهميةً هو نقل البيانات الشخصية التركية إلى الخارج — إلى شركة أم، أو مزوّد خدمات سحابية، أو نظام موارد بشرية على مستوى المجموعة. وقد أُعيد بناء هذا الجانب بموجب القانون رقم 7499، الذي أدخل تعديلاً جوهرياً على المادة 9 من KVKK ودخل حيّز التنفيذ في منتصف 2024. وقد استبدل الاعتماد القديم على الموافقة الصريحة في كل حالة على حدة بتسلسل هرمي منظَّم على غرار GDPR.

• قرار الكفاية. يمكن أن تتم عمليات النقل إلى دولة (أو قطاع/منظمة) أعلن المجلس أنها ذات مستوى حماية كافٍ، دون ضمانات إضافية.
• الضمانات الملائمة. في غياب قرار كفاية، يمكنك النقل باستخدام عقد نموذجي معتمد من المجلس، أو قواعد شركات ملزِمة لمجموعة شركات، أو ضمانة أخرى معترف بها.
• الاستثناءات. في حالات محدودة ومحددة (مثل الموافقة الصريحة على نقل لمرة واحدة أو تنفيذ عقد)، يمكن أن يستند النقل إلى استثناء.

ولـ KVKK أيضاً نطاق تطبيق خارج الإقليم: إذ يمكن أن تندرج تحت القانون أي جهة مسؤولة عن المعالجة تقع خارج تركيا وتعالج البيانات الشخصية لأشخاص موجودين في تركيا. وضبط آلية النقل وعقود الموردين ضبطاً صحيحاً منذ البداية أرخص بكثير من إصلاحها بعد ورود شكوى — ويتولّى فريقنا هذا الأمر جنباً إلى جنب مع بنود معالجة البيانات وأمن الموردين التي تقف خلف كل تدفّق للبيانات عبر الحدود.

قوانين الإنترنت والأدلة والأمن السيبراني التي ينبغي أن تعرفها

ثمة قوانين إضافية عدة تُشكّل كيفية التعامل مع الجرائم الإلكترونية والأذى الإلكتروني في تركيا:

• القانون رقم 5651 بشأن المنشورات على الإنترنت ينظّم إزالة المحتوى وحجبه، ومسؤولية مزوّدي الاستضافة والوصول — وهو ذو صلة بالتشهير والمحتوى المسرَّب وطلبات الإزالة.
• قانون الإجراءات الجنائية (Ceza Muhakemesi Kanunu، القانون رقم 5271) يبيّن كيفية ضبط الأدلة الرقمية وفحصها وحفظها، وكيفية تقديم المجني عليه لشكوى جنائية (şikâyet).
• قانون الأمن السيبراني رقم 7545، النافذ منذ 19 مارس/آذار 2025، أنشأ إطاراً وطنياً يتضمّن واجبات على المشغّلين في القطاعات الحيوية — المال، والرعاية الصحية، والطاقة، والاتصالات — تحت إشراف مديرية الأمن السيبراني (Siber Güvenlik Başkanlığı) التي تملك صلاحيات التدقيق والإنفاذ. ويتوقف مدى انطباقه وكيفيته على قطاعك وأنشطتك.
• قانون الالتزامات (القانون رقم 6098) يُرسي الأساس لدعاوى التعويض الناشئة عن الإهمال في التعامل مع البيانات أو الإخلال بالالتزامات الأمنية التعاقدية.

ولأن هذه الأنظمة متداخلة، فإن الاستراتيجية الصحيحة تعتمد على ما إذا كنت المجني عليه الساعي إلى الانتصاف، أو شركة تدير مسؤوليتها الخاصة بعد وقوع حادث.

ماذا تفعل إذا كنت ضحية جريمة إلكترونية

إن التصرّف بسرعة يحفظ الأدلة وخياراتك القانونية معاً. وفيما يلي خطوات عملية أولى:

1. أمِّن حساباتك. غيّر كلمات المرور، وفعّل المصادقة الثنائية، وأبلغ مصرفك فوراً — إذ يمكن للمصارف أحياناً استرجاع تحويل احتيالي أو تجميده إذا تصرّفت خلال ساعات، خصوصاً في حالات اختراق البريد للأعمال والاحتيال بالبطاقات.
2. احفظ الأدلة. التقط صوراً للشاشة، واحفظ رسائل البريد الإلكتروني بترويساتها الكاملة، وسجّل أرقام مراجع المعاملات وأوقاتها. ولا تحذف أي شيء.
3. قدّم شكوى جنائية. يمكن تقديم الشكوى (şikâyet) إلى النيابة العامة (Cumhuriyet Başsavcılığı) أو إلى وحدة الجرائم الإلكترونية في الشرطة. ويمكن للمدّعي العام أن يأمر المصارف والمنصات والمزوّدين بتسليم البيانات. ولاحظ أن بعض الجرائم تُلاحَق تلقائياً (بحكم الوظيفة) بينما يعتمد بعضها الآخر على شكوى في الوقت المناسب، فلا تتأخر.
4. أخطر هيئة حماية البيانات إذا انكشفت بيانات شخصية.
5. اسعَ إلى الاسترداد المدني. إلى جانب المسار الجنائي، يمكنك مقاضاة الطرف المسؤول للحصول على تعويض بموجب القانون رقم 6098، وتنفيذ أي حكم عبر إجراءات التنفيذ التركية.

يمكن للأجانب متابعة كل وسائل الانتصاف هذه في تركيا، ولهم الحق في مترجم. ويمكن لمحامٍ تقديم الشكوى ومتابعتها بموجب وكالة، بحيث لا تكون ملزَماً بالبقاء في البلاد. وحيثما كانت الخسارة دفعة مُعاد توجيهها أو ديناً غير مسدَّد، يمكن لـ فريقنا المختص باسترداد الأموال وتنفيذ الأحكام ملاحقة الأموال إلى جانب الشكوى الجنائية.

استراتيجيات الأمن السيبراني للشركات العاملة في تركيا

الوقاية أرخص بكثير من التقاضي. وينبغي للشركات التي لها عمليات أو عملاء في تركيا أن تبني وضعاً دفاعياً في مجالي الامتثال والأمن:

• رسم خريطة البيانات وتقليلها. اعرف ما لديك من بيانات شخصية ومالية، وأين توجد، وكم من الوقت تحتفظ بها.
• تحصين الوصول. افرض مصادقة قوية، ومبدأ أقل الامتيازات، وفصل الأنظمة الحيوية.
• تدريب الموظفين. تبدأ معظم الخروقات بنقرة؛ والتدريب المنتظم على التوعية بالتصيّد واختراق البريد للأعمال يقلّل المخاطر بشكل ملموس.
• إعداد خطة للاستجابة للحوادث. قرّر مسبقاً من يُعلن عن الحادث، ومن يُخطر الهيئة خلال 72 ساعة، ومن يتصل بالمستشار القانوني — قبل وقوع الحادث لا أثناءه.
• التعاقد بعناية. وزّع بوضوح واجبات الأمن والإخطار بالخروقات مع الموردين والمعالِجين، وتأكّد من توثيق آلية نقل بياناتك عبر الحدود.
• توثيق الامتثال. احتفظ بسجلات تدابير KVKK لديك؛ فكثيراً ما يكون التوثيق حاسماً في تخفيض الغرامات الإدارية.

وحيثما كان من الممكن أن تعود هذه الجرائم بالنفع على الشركة، فإن التدابير الأمنية للمادة 246 وانكشاف المديرين يجعلان هذا الأمر مسألة على مستوى مجلس الإدارة — ونتولّاه ضمن امتثال الشركات وواجبات المديرين. وبالنسبة للقطاعات المشمولة بقانون الأمن السيبراني رقم 7545، تنطبق التزامات إضافية ينبغي تقييمها على أساس كل حالة على حدة.

كيف يمكن لـ Lexin Legal أن تساعد

نقدّم المشورة للأفراد والشركات الأجانب على جانبَي الحوادث الإلكترونية: الدفاع عن الأشخاص المتهمين بجرائم أنظمة المعلومات، ومساعدة الضحايا على استرداد خسائرهم وملاحقة الجناة. ويشمل عملنا الشكاوى الجنائية، والأدلة الرقمية، وامتثال KVKK والاستجابة للخروقات، وهيكلة النقل عبر الحدود، والدعاوى المدنية ذات الصلة، وكلّها تُدار بالإنجليزية. وحيثما اتُّهم شخص بجريمة اختراق أو إساءة استخدام بطاقة، يتولّى محامو الدفاع الجنائي الأتراك لدينا المرافعة.

تخضع كل قضية للمراجعة من محامٍ تركي مؤهّل. وهذه المقالة معلومات عامة وليست مشورة قانونية، وتعتمد النتائج على الوقائع المحددة لكل قضية. ولمناقشة وضعك، تواصل مع فريقنا.

الأسئلة الشائعة