Bilişim Suçları: Şikâyet, Ceza ve Tazminat Süreci

Bilişim suçları Türkiye'de esas olarak Türk Ceza Kanunu'nun (TCK 5237) 243-246. maddelerinde, kişisel verilere ilişkin ihlaller ise 135-140. maddeler ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında yargılanır. Hacklenen hesap, banka kartı dolandırıcılığı, fidye yazılımı, veri sızıntısı ya da sahte fatura/EFT (e-posta dolandırıcılığı) ile karşılaşan birey veya şirket, Cumhuriyet Başsavcılığına şikâyette bulunabilir; aynı zamanda uğradığı zararı tazminat davasıyla geri isteyebilir. Bu rehber; suçun türünü, cezasını, gözden kaçan süreleri ve mağdurun ya da işletmenin atması gereken adımları açıklar.

Bilişim Suçu Nedir, Hangi Olaylar Bu Kapsama Girer?

Bilişim suçu, kısaca bilgisayar, telefon, internet ve diğer bilişim sistemleri kullanılarak işlenen ya da doğrudan bu sistemleri hedef alan suçlardır. Uygulamada en sık karşılaşılan olaylar şunlardır:

• Oltalama (phishing) ve sosyal mühendislik — sahte banka e-postası, SMS (smishing) ve klonlanmış giriş sayfalarıyla şifre/giriş bilgilerinin çalınması.
• Hesap ele geçirme ve kart dolandırıcılığı — izinsiz para transferi, kopyalanan kart, internet bankacılığının kötüye kullanımı.
• Fidye yazılımı (ransomware) ve şantaj — şirket sistemlerinin şifrelenip karşılığında para istenmesi.
• Veri sızıntısı — müşteri, çalışan veya hasta kayıtlarının çalınması ya da ifşası.
• Sahte fatura / yönlendirilmiş EFT (BEC) — gerçek bir iş yazışmasının araya girilerek değiştirilmesi, ödemenin sahte hesaba yönlendirilmesi.
• Kimlik avı / kimlik bilgisi kötüye kullanımı — TC kimlik, vergi numarası, banka bilgisi gibi verilerin başkası adına kullanılması.

Olayın hangi kategoriye girdiği önemlidir; çünkü her biri farklı bir kanun maddesine ve farklı bir hukuki yola karşılık gelir. Örneğin yönlendirilmiş bir EFT genellikle nitelikli dolandırıcılık (TCK 158) olarak ele alınırken, bir şirketin sunucularının şifrelenmesi sistemi engelleme suçudur (TCK 244). Doğru nitelendirme, hem şikâyetin hem de tazminat talebinin temelidir; bu nedenle ilk adımdan itibaren bir ceza avukatı ile çalışmak yararlıdır.

Türk Hukuku Bilişim Suçlarını Nasıl Ayırır?

Türk hukuku bilişim suçlarını iki gruba ayırır. Bilişim sistemine yönelik (doğrudan) suçlar sistemin kendisine karşı işlenir ve TCK'nın 243-246. maddelerinde düzenlenir. Bilişim sistemi araç edilerek işlenen (dolaylı) suçlar ise dolandırıcılık, tehdit, şantaj, hakaret gibi klasik suçların teknolojiyle işlenmiş halidir.

Bilişim Sistemine Yönelik Suçlar (TCK 243-246)

• TCK 243 — Bilişim sistemine girme. Bir başkasının sistemine hukuka aykırı olarak girmek ya da orada kalmak suçtur. Sistem bir banka veya kredi kurumunun ise ceza ağırlaşır; veriler nakledilir, izlenir veya sistem içeriği bozulursa da ceza artar.
• TCK 244 — Sistemi engelleme, bozma, verileri yok etme veya değiştirme. Bir sistemin işleyişini engellemek, bozmak ya da verileri yok etmek, değiştirmek, erişilmez kılmak daha ağır cezalandırılır; hedef banka, kredi kurumu veya kamu kurumu ise ceza artırılır. Fidye yazılımı ve sabotaj genellikle bu madde kapsamındadır.
• TCK 245 — Banka veya kredi kartlarının kötüye kullanılması. Başkasının kartını ya da kart bilgilerini izinsiz kullanmak suçtur; sahte kart üretmek, satmak veya sahte kartla işlem yapmak ayrıca ve daha ağır cezalandırılır.
• TCK 245/A — Yasak cihaz veya programlar. Bu suçların işlenmesi için üretilmiş bir cihazı, programı, şifreyi veya güvenlik kodunu üretmek, satmak, devretmek ya da bulundurmak suçtur. Kötü amaçlı yazılım ve hack araçlarına yönelik en doğrudan hükümdür.
• TCK 246 — Tüzel kişiler hakkında güvenlik tedbiri. Bu suçların işlenmesiyle bir tüzel kişi (şirket) yararına haksız menfaat sağlanmışsa, tüzel kişiye özgü güvenlik tedbirleri uygulanabilir.

Kişisel Verilere İlişkin Suçlar (TCK 135-140)

Kişisel verileri hukuka aykırı kaydetmek (TCK 135), hukuka aykırı ele geçirmek veya yaymak (TCK 136) ve kanunen yok edilmesi gereken verileri yok etmemek (TCK 138) ayrı suçlardır. Bu hükümler, aşağıda anlatılan idari KVKK rejimiyle aynı anda işleyebilir; bu yüzden tek bir ihlal hem cezai hem idari sonuç doğurabilir. Şirket yöneticilerinin kişisel sorumluluğunun nerede başladığı, şirketler hukuku ve yönetici sorumluluğu kapsamında değerlendirilir.

Bilişim Suçlarında Maddeler, Cezalar ve Başvurulacak Makam

Aşağıdaki tablo hızlı bir yönlendirmedir, hukuki görüş yerine geçmez; uygulanacak ceza somut olaya, nitelikli hallere ve sabıkaya göre değişir.

Kişisel Verilerin Korunması: 6698 Sayılı KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), AB Genel Veri Koruma Tüzüğü (GDPR) ile benzer ilkelere dayanır ama birebir aynı değildir. KVKK bir ceza kanunu değildir; ancak bir veri ihlali çoğu zaman üç ayrı sorumluluğu birden doğurur: Kişisel Verileri Koruma Kurumu'ndan idari para cezası, TCK 135-140 kapsamında cezai sorumluluk ve Türk Borçlar Kanunu (TBK 6098) kapsamında tazminat sorumluluğu.

Kişisel veri işleyen her işletmenin temel yükümlülükleri:

• Gerekli hallerde VERBİS'e kayıt olmak ve her işleme faaliyeti için hukuki bir dayanak belirlemek.
• Verilerin güvenliğini sağlamak için uygun teknik ve idari tedbirleri almak.
• İhlal halinde Kurula ve ilgili kişilere bildirim yapmak (süre aşağıda).
• Saklama süresi dolan verileri silmek, yok etmek veya anonimleştirmek.

İdari para cezaları yüksektir ve her yıl yeniden değerleme oranına göre güncellenir; güncel tutarlar Kurum kararlarında ve mevzuatta takip edilmelidir. KVKK tedbirlerini iyi belgelemek, cezanın alt sınırda kalmasında çoğu zaman belirleyici olur. İhlalden zarar gören kişi ise zararını tazminat davası yoluyla isteyebilir.

Yurt Dışına Veri Aktarımı: 2024 KVKK Reformu

Kişisel verilerin yurt dışına aktarımı — örneğin bir grup şirketine, bulut sağlayıcısına ya da merkezi İK sistemine aktarım — 7499 sayılı Kanunla yeniden düzenlendi ve KVKK'nın 9. maddesi 2024 ortasında değiştirildi. Önceki dönemde her aktarım için ayrı ayrı açık rıza alma uygulamasının yerini, GDPR'a benzer kademeli bir yapı aldı.

• Yeterlilik kararı. Kurulun yeterli koruma sağladığını ilan ettiği bir ülkeye (ya da sektöre/kuruluşa) ek bir güvenceye gerek olmadan aktarım yapılabilir.
• Uygun güvenceler. Yeterlilik kararı yoksa; Kurul tarafından onaylanan standart sözleşme, şirketler grubu için bağlayıcı şirket kuralları ya da diğer tanınmış güvencelerle aktarım yapılabilir.
• İstisnai haller. Sınırlı ve tanımlı durumlarda (örneğin tek seferlik bir aktarım için açık rıza ya da bir sözleşmenin ifası) aktarım istisnaya dayanabilir.

Aktarım mekanizmasını ve tedarikçi sözleşmelerini en baştan doğru kurmak, bir şikâyetten sonra düzeltmeye çalışmaktan çok daha ekonomiktir. Bu konu, sınır ötesi her veri akışının arkasındaki veri işleme ve güvenlik hükümleriyle birlikte sözleşme hukuku kapsamında ele alınır.

İnternet, Dijital Delil ve Siber Güvenlik Mevzuatı

Bilişim suçlarının ve çevrimiçi zararların ele alınışını şekillendiren başka kanunlar da vardır:

• 5651 sayılı İnternet Kanunu, içerik çıkarma, erişim engelleme ve yer/erişim sağlayıcıların sorumluluğunu düzenler — hakaret, sızdırılan içerik ve içerik kaldırma (takedown) talepleri için önemlidir.
• Ceza Muhakemesi Kanunu (CMK 5271), dijital delilin nasıl el konulup incelendiğini ve korunduğunu, mağdurun nasıl şikâyette (şikâyet/suç duyurusu) bulunacağını düzenler.
• 7545 sayılı Siber Güvenlik Kanunu ile ulusal bir çerçeve oluşturulmuş; finans, sağlık, enerji, telekomünikasyon gibi kritik sektörlerdeki kuruluşlara yükümlülükler getirilmiş ve Siber Güvenlik Başkanlığına denetim ve yaptırım yetkisi tanınmıştır. Kanunun size uygulanıp uygulanmadığı sektörünüze ve faaliyetinize göre değerlendirilir.
• Türk Borçlar Kanunu (TBK 6098), ihmalkâr veri işleme ya da sözleşmesel güvenlik taahhütlerinin ihlali nedeniyle doğan tazminat taleplerine temel oluşturur.

Bu rejimler iç içe geçtiği için doğru strateji, mağdur olarak hak arayan biri mi yoksa olay sonrası kendi sorumluluğunu yöneten bir işletme mi olduğunuza göre değişir.

Bilişim Suçu Mağduruysanız Ne Yapmalısınız?

Hızlı hareket etmek hem delili hem de hukuki seçeneklerinizi korur. İlk pratik adımlar:

1. Hesaplarınızı güvene alın. Şifreleri değiştirin, iki adımlı doğrulamayı açın ve derhal bankanızı arayın. Özellikle sahte EFT ve kart dolandırıcılığında, saatler içinde hareket ederseniz banka transferi geri çağırabilir veya bloke edebilir.
2. Delilleri koruyun. Ekran görüntüsü alın, e-postaları tüm başlık (header) bilgisiyle kaydedin, işlem referanslarını ve tarih-saatleri not edin. Hiçbir şeyi silmeyin.
3. Şikâyette bulunun. Cumhuriyet Başsavcılığına ya da kolluğun (polis/jandarma) siber suçlar birimine şikâyet/suç duyurusunda bulunabilirsiniz. Savcılık; bankalardan, platformlardan ve sağlayıcılardan veri talep edebilir. Bazı suçlar resen (şikâyete bağlı olmadan) takip edilir, bazıları ise süresinde yapılacak şikâyete bağlıdır; bu yüzden geciktirmeyin.
4. Kişisel veriniz ifşa olduysa KVKK Kurumuna bildirin.
5. Zararınızı dava yoluyla geri isteyin. Ceza yolunun yanında, sorumlu kişiye karşı TBK 6098 kapsamında tazminat davası açabilir; lehinize çıkacak kararı icra takibi yoluyla tahsil edebilirsiniz.

Şikâyeti ve davayı vekâletname ile bir avukat takip edebilir; böylece her aşamada bizzat hazır bulunmanız gerekmez. Zarar, yönlendirilmiş bir ödeme ya da ödenmemiş bir alacaksa, paranın geri alınması süreci şikâyetle birlikte yürütülebilir.

İşletmeler İçin Siber Güvenlik ve Uyum Stratejisi

Önlem, dava maliyetinden çok daha ucuzdur. Türkiye'de faaliyet gösteren ya da Türkiye'de müşterisi olan şirketler savunulabilir bir uyum ve güvenlik duruşu kurmalıdır:

• Veriyi haritalandırın ve azaltın. Hangi kişisel ve finansal veriye sahip olduğunuzu, nerede tutulduğunu ve ne kadar saklandığını bilin.
• Erişimi sıkılaştırın. Güçlü kimlik doğrulama, en az yetki ilkesi ve kritik sistemlerin ayrıştırılmasını uygulayın.
• Personeli eğitin. İhlallerin çoğu bir tıklamayla başlar; düzenli oltalama ve sahte-EFT farkındalık eğitimi riski belirgin biçimde azaltır.
• Olay müdahale planı hazırlayın. Olayı kimin ilan edeceğine, Kuruma 72 saat içinde kimin bildirim yapacağına ve avukatı kimin arayacağına olay anında değil, önceden karar verin.
• Sözleşmeleri özenle yapın. Tedarikçiler ve veri işleyenlerle güvenlik ve ihlal-bildirim yükümlülüklerini açıkça paylaştırın; yurt dışı aktarım mekanizmanızın belgeli olduğundan emin olun.
• Uyumu belgeleyin. KVKK tedbirlerinize ilişkin kayıtları saklayın; belgeleme, idari para cezasını düşürmede çoğu zaman belirleyicidir.

Bu suçlardan şirket yararlanabilecekse, TCK 246 güvenlik tedbirleri ve yönetici sorumluluğu bunu yönetim kurulu düzeyinde bir mesele haline getirir; konu, kurumsal uyum ve yönetici görevleri kapsamında ticaret hukuku ile birlikte ele alınır. 7545 sayılı Siber Güvenlik Kanunu kapsamındaki sektörler için ek yükümlülükler vardır ve ayrıca değerlendirilmelidir.

Zamanaşımı, Şikâyet Süresi ve Hangi Mahkeme?

Bilişim suçlarında en çok sorulan sorular süre ve görevli makamla ilgilidir. Genel çerçeve şudur:

• Şikâyet süresi. Şikâyete bağlı suçlarda (örneğin bazı veri suçları) mağdur, fiili ve failini öğrendiği tarihten itibaren 6 ay içinde şikâyette bulunmalıdır (TCK 73). Resen takip edilen suçlarda ise bu süre değil, dava zamanaşımı geçerlidir.
• Dava zamanaşımı. Suçun cezasının üst sınırına göre belirlenir (TCK 66). Çoğu bilişim suçunda bu süre yıllarla ölçülür; yine de delil kaybolmadan erken hareket etmek esastır.
• Görevli makam. Soruşturmayı Cumhuriyet Başsavcılığı yürütür; iddianame sonrası dava, suçun cezasına göre Asliye Ceza ya da Ağır Ceza Mahkemesinde görülür.
• Tazminat davası. Haksız fiilden doğan tazminat istemi, zararı ve sorumluyu öğrenmeden itibaren 2 yıl ve her hâlde fiilden itibaren 10 yıl içinde açılmalıdır (TBK 72). Fiil aynı zamanda suç oluşturuyorsa, daha uzun olan ceza zamanaşımı süresi tazminat için de uygulanabilir.

Gerekli Belgeler ve Şikâyet Dilekçesinde Olması Gerekenler

Bilişim suçu şikâyetinin sağlam ilerlemesi büyük ölçüde delilin kalitesine bağlıdır. Başvuruda genellikle şunlar gerekir:

• Olayı anlatan tarih sıralı bir şikâyet/suç duyurusu dilekçesi (kim, ne zaman, nasıl).
• Ekran görüntüleri, sahte e-postaların tam başlık bilgisi, SMS dökümleri.
• Banka işlem dekontları, EFT/havale referans numaraları, hesap özetleri.
• Varsa IBAN, telefon numarası, e-posta adresi gibi faile ait izler.
• Veri ihlali söz konusuysa ihlalin kapsamını gösteren kayıtlar ve KVKK bildirim belgeleri.

Dilekçenin doğru maddeye dayandırılması ve delillerin eksiksiz sunulması, soruşturmanın hızı açısından belirleyicidir. Bu aşamada bir avukattan destek almak, hak kaybını önlemeye yardımcı olur.

Bilişim Suçlarında Hukuki Destek

Bilişim suçlarında olayın iki tarafına da destek verilir: bir bilişim suçuyla suçlanan kişinin savunması ve mağdurun zararını geri alıp faili takip etmesi. Çalışma alanı; şikâyet ve suç duyurusu, dijital delilin korunması, KVKK uyumu ve ihlal müdahalesi, yurt dışı aktarım yapılandırması ve bunlara bağlı tazminat davalarını kapsar. Bir hackleme ya da kart suçuyla suçlanan kişinin savunması, ceza hukuku kapsamında yürütülür.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez; sonuçlar her dosyanın somut koşullarına göre değişir. Durumunuzu görüşmek için ekibimizle iletişime geçebilirsiniz.

Sıkça sorulan sorular