Bilişim suçları
Bilişim Sistemine Girme Suçu
Bir hesaba, sunucuya ya da kurumsal bir sisteme izinsiz erişim, Türk Ceza Kanunu'nda ayrı bir suç olarak düzenlenmiştir. Bu yazı TCK m. 243 kapsamındaki fiilleri, verilerin kopyalanmasının nereye düştüğünü ve IP kaydının delil değerini anlatıyor. Amaç, hakkınızda başlatılan soruşturmanın hangi zemin üzerinde yürüdüğünü görmenizi sağlamaktır.
Kısa cevap
Bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren ya da orada kalmaya devam eden kişiye bir yıla kadar hapis veya adlî para cezası verilir (TCK m. 243/1). Sisteme girme nedeniyle veriler yok olur veya değişirse ceza altı aydan iki yıla kadar hapistir (m. 243/3). Suç şikâyete bağlı değildir; savcılık öğrendiği anda kendiliğinden soruşturma başlatır. Salt IP kaydı çoğu dosyada tek başına mahkûmiyet için yeterli sayılmaz, ancak soruşturmanın açılmasına ve cihazlarınıza el konulmasına fazlasıyla yeter.
Bu suç tam olarak neyi cezalandırıyor?
Kanun burada bir zararı değil, izinsiz erişimin kendisini cezalandırır. TCK m. 243/1 iki ayrı hareketten söz eder: sisteme girmek ve girdikten sonra orada kalmaya devam etmek. İkincisi çoğu kişinin gözden kaçırdığı kısımdır. Bir hesaba veya panele meşru bir şekilde girmiş olsanız bile, yetkiniz sona erdikten sonra oturumu sürdürmek başlı başına suç sayılabilir.
"Bilişim sistemi" kavramı geniştir. Bir e-posta hesabı, sosyal medya hesabı, bulut depolama alanı, şirketin muhasebe programı, bir web sitesinin yönetim paneli, kamera kayıt sistemi ya da bir kurumun sunucusu bu kapsamdadır. Bir kişinin telefonunun kilidini şifresini bilerek açıp içine bakmak da uygulamada bu maddeyle değerlendirilebilir.
Belirleyici ölçüt hukuka aykırılıktır. Sistem sahibinin rızası varsa suç oluşmaz. Ancak rıza, gerçekten var olan ve kapsamı belli bir rızadır. "Eskiden şifreyi bana kendisi vermişti" savunması, ilişkinin bittiği tarihten sonraki girişler bakımından çoğu zaman sonuç doğurmaz. Aynı şekilde bir çalışanın işten ayrıldıktan sonra şirket sistemine girmesi, şifre değiştirilmemiş olsa dahi yetkisiz erişim olarak nitelendirilir.
Cezası ne kadar?
Maddenin dört fıkrası var ve her biri farklı bir durumu karşılıyor.
TCK m. 243 — fıkra fıkra
- m. 243/1 — Hukuka aykırı erişim: Bir yıla kadar hapis veya adlî para cezası. Hâkim ikisi arasında seçim yapar.
- m. 243/2 — Bedeli karşılığı yararlanılan sistemler: Fiil, ücretli bir sistem hakkında işlenmişse verilecek ceza yarı oranına kadar indirilir.
- m. 243/3 — Veri kaybı veya değişimi: Girme nedeniyle sistemdeki veriler yok olur veya değişirse altı aydan iki yıla kadar hapis.
- m. 243/4 — Veri nakillerinin izlenmesi: Sisteme girmeksizin, teknik araçlarla veri trafiğini hukuka aykırı izleyen kişi bir yıldan üç yıla kadar hapisle cezalandırılır.
Rakamların düşük görünmesi dosyayı hafif kılmaz. Uygulamada bu madde nadiren tek başına kalır. Erişimden sonra sistemin işleyişi bozulmuşsa TCK m. 244/1 devreye girer ve ceza bir yıldan beş yıla çıkar. Veriler bozulmuş, silinmiş, değiştirilmiş, erişilmez kılınmış veya başka bir yere gönderilmişse m. 244/2 uyarınca altı aydan üç yıla kadar hapis söz konusudur. Bu fiiller bir banka veya kredi kurumuna ya da bir kamu kurumuna ait sistem üzerinde işlenmişse ceza yarı oranında artırılır (m. 244/3).
"Sadece baktım, hiçbir şeye dokunmadım" savunması işe yarar mı?
Kısmen. Hiçbir şeye dokunmamış olmak m. 243/3'ün ve m. 244'ün uygulanmasını engeller; yani dosyayı bir yıla kadar hapis veya adlî para cezası ile sınırlı tutar. Bu, ciddi bir farktır. Ama girişin kendisi zaten suçtur, dolayısıyla bu cümle tek başına beraat sonucu doğurmaz.
Bu savunmanın işe yarayabilmesi için teknik olarak doğrulanabilir olması gerekir. Sistem loglarında hangi kayıtların görüntülendiği, hangi dosyaların indirildiği, hangi ayarların değiştirildiği genellikle görünür. Bu nedenle ifade verirken teknik ayrıntıya girmeden önce dosyadaki bilirkişi raporunun ne dediğini bilmek gerekir. İfade ve sorgu aşamasında verilecek beyan, dosyanın geri kalanının etrafında şekilleneceği metindir.
Veri kopyalamak nereye düşer?
Burada sık bir karışıklık var. Sisteme girip verileri kendinize göndermek veya kopyalamak, m. 243/1'in ötesine geçer. Var olan verileri başka bir yere göndermek TCK m. 244/2 kapsamındadır ve altı aydan üç yıla kadar hapis gerektirir.
Kopyalanan şey kişisel veri ise ayrıca TCK m. 136/1 gündeme gelir: kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi iki yıldan dört yıla kadar hapis cezası ile cezalandırılır. Müşteri listesi, personel dosyaları, sağlık bilgileri, iletişim kayıtları bu kapsama girer. Bir şirketten ayrılırken müşteri veritabanını kopyalayan kişinin karşısına çıkan en ağır madde çoğu zaman budur.
Erişilen içerik başkalarının yazışmaları ise TCK m. 132 devreye girebilir. Haberleşmenin gizliliğini ihlal bir yıldan üç yıla kadar hapisle cezalandırılır; ihlal, içeriklerin kaydı suretiyle gerçekleşirse ceza bir kat artırılır. Yazışmaların hukuka aykırı olarak ifşa edilmesi ise iki yıldan beş yıla kadar hapis gerektirir.
IP adresi tek başına yeterli delil midir?
Hayır, ama soruşturmanın motoru genellikle odur. Bir IP adresi, o an internete çıkan aboneliği gösterir; klavyenin başındaki kişiyi göstermez. Bir evde beş kişi, bir iş yerinde otuz kişi aynı IP üzerinden çıkabilir. Ortak kablosuz ağlar, misafir ağları, şifresi paylaşılmış modemler ve operatörün birden fazla aboneye aynı adresi paylaştırdığı yapılar bu belirsizliği artırır.
Bu nedenle savunma yapılırken bakılması gereken noktalar bellidir: erişimin gerçekleştiği tarih ve saatte o adreste kimlerin bulunduğu, modemin kablosuz ağ güvenliği, log kayıtlarında yalnızca IP mi yoksa cihaz parmak izi, tarayıcı bilgisi ve oturum kimliği gibi ek veriler mi bulunduğu. Savcılık dosyasında bunların hepsi olmayabilir; olmayanı istemek de savunmanın işidir.
Tersi de doğrudur. IP kaydına cihaz incelemesi, oturum kayıtları, aynı hesaptan yapılan başka girişler ve mesaj içerikleri eklendiğinde tablo hızla ağırlaşır. "Nasılsa IP delil sayılmaz" düşüncesiyle dosyayı hafife almak, en sık yapılan hatalardan biridir.
Telefonuma ve bilgisayarıma el konulursa ne olur?
Bu dosyalarda delil, cihazın içindedir. Bu nedenle arama ve el koyma neredeyse kaçınılmazdır. Usul CMK m. 134'te düzenlenmiştir ve kanun burada ciddi güvenceler getirir.
Karar aşaması
Bilgisayar, program ve kütüklerde arama yapılması için somut delillere dayanan kuvvetli şüphe sebeplerinin varlığı ve başka surette delil elde etme imkânının bulunmaması gerekir. Kural hâkim kararıdır; gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısı karar verebilir.
Savcı kararının onaya sunulması
Savcı tarafından verilen kararlar yirmi dört saat içinde hâkim onayına sunulur. Hâkim kararını en geç yirmi dört saat içinde verir. Süre dolarsa veya hâkim aksine karar verirse çıkarılan kopyalar ve çözümü yapılan metinler derhâl imha edilir.
Yedekleme ve kopya hakkı
El koyma sırasında sistemdeki bütün verilerin yedeklemesi yapılır. Bu yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır. Kopyanızı istemek bir lütuf değil, kanuni bir haktır.
Cihazın iadesi
El koyma, şifre çözülemediği veya işlem uzun süreceği için yapılır. Şifrenin çözümü yapılıp gerekli kopyalar alındığında el konulan cihazlar gecikme olmaksızın iade edilir. Aylarca bekleyen bir cihaz için iade talebinde bulunulabilir.
Arama sırasında tutanağa neyin yazıldığı sonradan tartışmanın merkezine oturur. Bu konuda arama ve el koyma sayfasındaki ayrıntılar işinize yarayabilir.
Dosya nasıl ilerler: şikâyet, uzlaştırma, mahkeme
Bilişim sistemine girme suçu şikâyete bağlı değildir. Mağdur şikâyetinden vazgeçse bile soruşturma düşmez; savcılık kamu adına yürütmeye devam eder. Bu, "anlaşırız, geri çeker" beklentisiyle hareket edenler için önemli bir uyarıdır.
Aynı nedenle uzlaştırma da uygulanmaz. CMK m. 253 uzlaştırma kapsamındaki suçları tek tek sayar; şikâyete bağlı suçlar ile maddede sayılan belirli suçlar bu kapsamdadır. TCK m. 243 ve m. 244 bu listede yer almaz.
Cezanın üst sınırı dikkate alındığında dosya kural olarak asliye ceza mahkemesinde görülür. Yargılama sonunda hükmolunan ceza iki yıl veya daha az süreli hapis ya da adlî para cezası ise, koşulları varsa hükmün açıklanmasının geri bırakılması gündeme gelebilir (CMK m. 231/5). Bunun için sanığın daha önce kasıtlı bir suçtan mahkûm olmamış olması, mahkemede yeniden suç işlemeyeceği kanaatinin oluşması ve mağdurun veya kamunun uğradığı zararın tamamen giderilmiş olması aranır (m. 231/6). Zararın giderilmesi çoğu dosyada tek gerçek manevra alanıdır ve zamanlaması önemlidir.
Farklı zamanlarda aynı sisteme birden fazla giriş yapılmışsa TCK m. 43 uyarınca zincirleme suç hükümleri uygulanabilir ve ceza dörtte birinden dörtte üçüne kadar artırılır. Log kayıtlarında görünen giriş sayısı bu nedenle önemsiz bir ayrıntı değildir.
Sık sorulan sorular
Eşimin veya sevgilimin hesabına girmek suç mu?
Evet. Kanun akrabalık veya duygusal ilişki nedeniyle bir istisna öngörmez. Rızası olmadan eşinizin e-posta veya sosyal medya hesabına girmek TCK m. 243 kapsamındadır. Yazışmaları okumanız ayrıca haberleşmenin gizliliğini ihlal, ekran görüntüsü alıp paylaşmanız ise kişisel verilerin hukuka aykırı yayılması veya özel hayatın gizliliğinin ihlali olarak ayrı suçlar oluşturabilir. Boşanma dosyasında kullanmak amacıyla elde edilen kayıtlar, hem ceza dosyası doğurur hem de hukuka aykırı delil tartışması yaratır.
Şifreyi kendisi vermişti, yine de suç olur mu?
Rızanın verildiği an ile girişin yapıldığı an aynı değilse sorun çıkar. Rıza geri alınabilir ve kapsamı sınırlıdır. Bir dönem şifreyi paylaşmış olmak, ilişki bittikten sonraki girişler için süresiz bir izin anlamına gelmez. İşten ayrılan çalışanın şirket paneline girmesi de aynı mantıkla değerlendirilir. Savunmada rızanın hangi tarihe kadar sürdüğü ve neyi kapsadığı ayrı ayrı ortaya konulmalıdır.
Hiçbir veri almadım, yine de ceza alır mıyım?
Girişin kendisi suç olduğu için sorumluluk doğabilir. Ancak veri almamış olmanız cezayı belirleyen fıkrayı değiştirir. Veri yok olmamış veya değişmemişse TCK m. 243/1 uygulanır ve ceza bir yıla kadar hapis veya adlî para cezasıdır. Veri kaybı veya değişimi varsa altı aydan iki yıla kadar hapis, verilerin başka yere gönderilmesi varsa TCK m. 244/2 uyarınca altı aydan üç yıla kadar hapis söz konusu olur.
Sadece IP adresim tespit edildi, ne yapmalıyım?
Panik yapmadan, o tarih ve saatte o bağlantıyı kimlerin kullandığını ortaya koyacak bilgileri toplayın. Modemin kablosuz ağını kimlerin bildiği, evde veya iş yerinde kaç kişinin bulunduğu, bağlantının ortak kullanıma açık olup olmadığı önemlidir. Dosyada IP dışında cihaz bilgisi, oturum kaydı veya içerik verisi bulunup bulunmadığını görmeden ifade stratejisi kurmayın. İfade öncesi bir avukatla dosyayı incelemek en doğru adımdır.
Bu suçta uzlaşma veya şikâyetten vazgeçme mümkün mü?
Hayır. Bilişim sistemine girme suçu şikâyete bağlı değildir, bu nedenle mağdurun vazgeçmesi soruşturmayı sona erdirmez. CMK m. 253'teki uzlaştırma listesinde de yer almaz. Mağdurun zararının giderilmesi yine de önemlidir; çünkü hükmün açıklanmasının geri bırakılması için kanun zararın tamamen giderilmiş olmasını arar. Yani anlaşma dosyayı kapatmaz ama sonucu değiştirebilir.