Emir
New member
Panel Yapmanın Cezası Ne? Kişisel Veri Sorgulama Panelleri Hakkında Hukuki Gerçekler
Panel Yapmanın Cezası Ne? Kişisel Veri Sorgulama Panelleri Neden Ciddi Bir Hukuki Risk Taşıyor?
Son dönemde forumlarda “panel yapmak”, “panel kullanmak”, “TC paneli”, “sorgu paneli” gibi ifadeleri daha sık görüyoruz. Özellikle birkaç bilgi girerek bir kişinin adını, adresini, telefonunu veya başka kişisel bilgilerini gösteren sistemler bazı kişiler tarafından basit bir yazılım projesi gibi değerlendirilebiliyor. Fakat burada önemli bir ayrım var: Bir yazılım geliştirmek tek başına suç değildir; asıl hukuki mesele, o yazılımın hangi verileri nereden aldığı, bu verilere nasıl eriştiği, verilerin hukuka uygun olup olmadığı ve sistemin bunları başkalarına sunup sunmadığıdır.
Kısacası “panel yaptım, kaç yıl ceza alırım?” sorusunun tek bir rakamı yok. Fiilin niteliğine göre Türk Ceza Kanunu'ndaki birden fazla suç gündeme gelebilir. Özellikle kişisel verilerin hukuka aykırı şekilde kaydedilmesi, ele geçirilmesi veya başkalarına verilmesi söz konusuysa durum basit bir internet faaliyeti olmaktan çıkar.
Üstelik mesele yalnızca hapis cezasından ibaret değil. Maddi zarar, mağdurların özel hayatına yönelik sonuçlar, cihazlara el konulması, dijital inceleme, soruşturma ve bazı durumlarda ayrıca idari yaptırımlar da gündeme gelebilir.
“Panel yapmak” hukuken tam olarak ne anlama geliyor?
Öncelikle günlük internet dilindeki “panel” ile hukukta belirli bir suçun aynı şey olmadığını belirtmek gerekiyor. Bir kişinin kendi verilerini yönettiği bir yönetim paneli hazırlaması elbette tek başına suç değildir. Bir şirketin müşteri yönetim sistemi oluşturması da aynı şekilde otomatik olarak suç oluşturmaz.
Sorun, panelin kişisel verileri hukuka aykırı şekilde toplaması veya sorgulamasıyla başlıyor.
Örneğin bir sistem üzerinden kişinin;
- T.C. kimlik numarasının,
- ad-soyad bilgilerinin,
- telefon numarasının,
- adresinin,
- aile bilgilerinin,
- doğum tarihinin,
- eğitim veya çalışma bilgilerinin
yetkisiz şekilde elde edilmesi ve kullanılması farklı ceza hükümlerini gündeme getirebilir.
Buradaki kritik nokta “Ben sadece yazılımı yaptım” savunmasının her olayda sonucu belirlememesidir. Yazılımın teknik olarak nasıl çalıştığı, verinin nereden geldiği, kişinin sisteme erişim yetkisi bulunup bulunmadığı, verilerin kaydedilip kaydedilmediği, üçüncü kişilere aktarılıp aktarılmadığı ve failin somut eylemi birlikte değerlendirilir.
Kişisel verileri kaydetmenin cezası nedir?
5237 sayılı Türk Ceza Kanunu'nun 135. maddesi, hukuka aykırı şekilde kişisel verilerin kaydedilmesini suç olarak düzenliyor. Bu suç bakımından temel ceza bir yıldan üç yıla kadar hapis.
Kanunun düzenlemesi yalnızca “veriyi internette yayınlamak” ile sınırlı değil. Verinin hukuka aykırı şekilde kaydedilmesi de başlı başına önem taşıyor. Ayrıca belirli hassas veri kategorileri söz konusu olduğunda cezanın artırılmasına ilişkin özel düzenleme bulunuyor.
Bu nedenle bir panelin arka tarafında insanların bilgilerinin bir veritabanında tutulması, sadece “arama yapıyorum” şeklinde değerlendirilmemeli. Verinin sisteme kaydedilmesi ile erişim ve paylaşım eylemleri birbirinden ayrı hukuki sorular doğurabilir.
Burada teknik dünyadaki bir ayrıntı da önemli: Bir veritabanında kayıt oluşturmak, log tutmak, sorgu sonuçlarını saklamak veya kullanıcılara geçmiş sorgularını göstermek gibi işlemler hukuki değerlendirmede önem kazanabilir. Dolayısıyla “panel sadece ekranda gösteriyor” ile “panel verileri kendi veritabanında saklıyor” aynı durum değildir.
Asıl ağır risk: Kişisel verileri ele geçirmek veya başkasına vermek
Panel olaylarında en çok dikkat edilmesi gereken hükümlerden biri TCK 136. maddede düzenlenen “verileri hukuka aykırı olarak verme veya ele geçirme” suçudur.
Bu maddede kişisel verileri hukuka aykırı şekilde bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörülüyor.
Bu madde, panel mantığını anlamak açısından özellikle önemli.
Örneğin bir kişinin verisi hukuka aykırı biçimde ele geçirilmiş ve daha sonra başka kişilerin sorgulayabileceği bir sisteme aktarılmışsa, mesele yalnızca “veritabanı oluşturmak” olmaktan çıkabilir. Paneli işleten, veriyi sisteme aktaran veya başkalarına sunan kişinin somut eylemleri ayrı ayrı incelenebilir.
Burada “para kazanmıyordum” demek de otomatik olarak hukuka uygunluk anlamına gelmez. TCK 136'nın metni suçun oluşması için mutlaka ticari kazanç elde edilmesini şart koşmuyor. Verinin hukuka aykırı şekilde ele geçirilmesi veya başkasına verilmesi ayrıca değerlendiriliyor.
Panel başka bir sisteme izinsiz giriyorsa durum daha da değişebilir
Bir panel oluşturmak için başka bir sisteme yetkisiz erişim sağlanıyorsa, bu kez yalnızca kişisel verilerle ilgili hükümler değil, bilişim suçlarına ilişkin hükümler de gündeme gelebilir.
TCK 243. maddeye göre bir bilişim sisteminin tamamına veya bir kısmına hukuka aykırı şekilde giren veya orada kalmaya devam eden kişi için bir yıla kadar hapis veya adli para cezası öngörülüyor. Eğer bu eylem nedeniyle sistemdeki veriler yok olur veya değişirse, kanunda altı aydan iki yıla kadar hapis düzenlenmiş durumda.
Veri transferlerinin teknik araçlarla, sisteme girmeksizin hukuka aykırı şekilde izlenmesi bakımından da TCK 243/4 kapsamında bir yıldan üç yıla kadar hapis düzenlemesi bulunuyor.
Dolayısıyla “panel yapmak” ile “başkasının sisteminden veri çekmek” arasında çok önemli bir hukuki fark var.
Bir yazılımcının kendi test verileriyle yaptığı demo panel ile yetkisiz bir sisteme bağlanarak gerçek insanların verilerini çeken bir sistemin aynı kategoride değerlendirilmesi doğru olmaz.
Verileri değiştirmek veya sistemi bozmak olursa ne olur?
İş yalnızca veri görüntülemeyle sınırlı kalmayıp başka bir bilişim sistemindeki verilerin değiştirilmesi, silinmesi veya sistemin çalışmasının engellenmesi noktasına gelirse TCK 244 de gündeme gelebilir.
Kanunun 244. maddesinde bilişim sisteminin işleyişini engelleme veya bozma için bir yıldan beş yıla kadar hapis öngörülüyor. Sistemdeki verileri bozmak, yok etmek, değiştirmek veya erişilemez hale getirmek gibi eylemler bakımından ise altı aydan üç yıla kadar hapis düzenleniyor. Bazı koşullarda cezanın artırılması ve ayrıca hapis ile adli para cezasının birlikte uygulanması da söz konusu olabiliyor.
Bu nedenle bir kişinin “panelden veri çekiyorum” diyerek yaptığı teknik işlemlerin gerçekten hangi sistemlere dokunduğu önemli.
Gerçek dünyadaki örnekler neden önemli?
Kişisel verilerin hukuka aykırı kullanılması sadece teorik bir hukuk tartışması değil. Kişisel Verileri Koruma Kurulu'nun yayımladığı kararlar, gerçek hayatta verilerin nasıl ciddi sonuçlara yol açabildiğini gösteriyor.
Örneğin 2021 tarihli bir Kurul kararında, bir özel hastanedeki bilgisayar ekranında bulunan yeni doğmuş bir bebeğe ait doğum belgesinin üçüncü kişi tarafından elde edildiği iddiası incelendi. Ekrandaki bilgiler arasında T.C. kimlik numarası, doğum tarihi, anne ve baba adı ve hasta numarası gibi verilerin bulunduğu aktarıldı.
Başka bir olayda bir kişinin adli siciline ilişkin özel nitelikteki kişisel verilerin hukuka aykırı biçimde elde edilip mahkeme dosyasına sunulması Kurulun incelemesine konu oldu. Karar özetinde, söz konusu verinin kişi üzerinde itibar ve manevi etkiler meydana getirdiğine ilişkin iddialar da yer aldı.
Bu örnekler panel tartışmasının önemli bir tarafını gösteriyor: Veri, ekranda yalnızca birkaç satırdan ibaret görünse bile gerçek hayatta bir insanın güvenliğini, mahremiyetini, aile ilişkilerini veya iş hayatını etkileyebilir.
Panel Yapmanın Cezası Ne? Kişisel Veri Sorgulama Panelleri Neden Ciddi Bir Hukuki Risk Taşıyor?
Son dönemde forumlarda “panel yapmak”, “panel kullanmak”, “TC paneli”, “sorgu paneli” gibi ifadeleri daha sık görüyoruz. Özellikle birkaç bilgi girerek bir kişinin adını, adresini, telefonunu veya başka kişisel bilgilerini gösteren sistemler bazı kişiler tarafından basit bir yazılım projesi gibi değerlendirilebiliyor. Fakat burada önemli bir ayrım var: Bir yazılım geliştirmek tek başına suç değildir; asıl hukuki mesele, o yazılımın hangi verileri nereden aldığı, bu verilere nasıl eriştiği, verilerin hukuka uygun olup olmadığı ve sistemin bunları başkalarına sunup sunmadığıdır.
Kısacası “panel yaptım, kaç yıl ceza alırım?” sorusunun tek bir rakamı yok. Fiilin niteliğine göre Türk Ceza Kanunu'ndaki birden fazla suç gündeme gelebilir. Özellikle kişisel verilerin hukuka aykırı şekilde kaydedilmesi, ele geçirilmesi veya başkalarına verilmesi söz konusuysa durum basit bir internet faaliyeti olmaktan çıkar.
Üstelik mesele yalnızca hapis cezasından ibaret değil. Maddi zarar, mağdurların özel hayatına yönelik sonuçlar, cihazlara el konulması, dijital inceleme, soruşturma ve bazı durumlarda ayrıca idari yaptırımlar da gündeme gelebilir.
“Panel yapmak” hukuken tam olarak ne anlama geliyor?
Öncelikle günlük internet dilindeki “panel” ile hukukta belirli bir suçun aynı şey olmadığını belirtmek gerekiyor. Bir kişinin kendi verilerini yönettiği bir yönetim paneli hazırlaması elbette tek başına suç değildir. Bir şirketin müşteri yönetim sistemi oluşturması da aynı şekilde otomatik olarak suç oluşturmaz.
Sorun, panelin kişisel verileri hukuka aykırı şekilde toplaması veya sorgulamasıyla başlıyor.
Örneğin bir sistem üzerinden kişinin;
- T.C. kimlik numarasının,
- ad-soyad bilgilerinin,
- telefon numarasının,
- adresinin,
- aile bilgilerinin,
- doğum tarihinin,
- eğitim veya çalışma bilgilerinin
yetkisiz şekilde elde edilmesi ve kullanılması farklı ceza hükümlerini gündeme getirebilir.
Buradaki kritik nokta “Ben sadece yazılımı yaptım” savunmasının her olayda sonucu belirlememesidir. Yazılımın teknik olarak nasıl çalıştığı, verinin nereden geldiği, kişinin sisteme erişim yetkisi bulunup bulunmadığı, verilerin kaydedilip kaydedilmediği, üçüncü kişilere aktarılıp aktarılmadığı ve failin somut eylemi birlikte değerlendirilir.
Kişisel verileri kaydetmenin cezası nedir?
5237 sayılı Türk Ceza Kanunu'nun 135. maddesi, hukuka aykırı şekilde kişisel verilerin kaydedilmesini suç olarak düzenliyor. Bu suç bakımından temel ceza bir yıldan üç yıla kadar hapis.
Kanunun düzenlemesi yalnızca “veriyi internette yayınlamak” ile sınırlı değil. Verinin hukuka aykırı şekilde kaydedilmesi de başlı başına önem taşıyor. Ayrıca belirli hassas veri kategorileri söz konusu olduğunda cezanın artırılmasına ilişkin özel düzenleme bulunuyor.
Bu nedenle bir panelin arka tarafında insanların bilgilerinin bir veritabanında tutulması, sadece “arama yapıyorum” şeklinde değerlendirilmemeli. Verinin sisteme kaydedilmesi ile erişim ve paylaşım eylemleri birbirinden ayrı hukuki sorular doğurabilir.
Burada teknik dünyadaki bir ayrıntı da önemli: Bir veritabanında kayıt oluşturmak, log tutmak, sorgu sonuçlarını saklamak veya kullanıcılara geçmiş sorgularını göstermek gibi işlemler hukuki değerlendirmede önem kazanabilir. Dolayısıyla “panel sadece ekranda gösteriyor” ile “panel verileri kendi veritabanında saklıyor” aynı durum değildir.
Asıl ağır risk: Kişisel verileri ele geçirmek veya başkasına vermek
Panel olaylarında en çok dikkat edilmesi gereken hükümlerden biri TCK 136. maddede düzenlenen “verileri hukuka aykırı olarak verme veya ele geçirme” suçudur.
Bu maddede kişisel verileri hukuka aykırı şekilde bir başkasına veren, yayan veya ele geçiren kişi için iki yıldan dört yıla kadar hapis cezası öngörülüyor.
Bu madde, panel mantığını anlamak açısından özellikle önemli.
Örneğin bir kişinin verisi hukuka aykırı biçimde ele geçirilmiş ve daha sonra başka kişilerin sorgulayabileceği bir sisteme aktarılmışsa, mesele yalnızca “veritabanı oluşturmak” olmaktan çıkabilir. Paneli işleten, veriyi sisteme aktaran veya başkalarına sunan kişinin somut eylemleri ayrı ayrı incelenebilir.
Burada “para kazanmıyordum” demek de otomatik olarak hukuka uygunluk anlamına gelmez. TCK 136'nın metni suçun oluşması için mutlaka ticari kazanç elde edilmesini şart koşmuyor. Verinin hukuka aykırı şekilde ele geçirilmesi veya başkasına verilmesi ayrıca değerlendiriliyor.
Panel başka bir sisteme izinsiz giriyorsa durum daha da değişebilir
Bir panel oluşturmak için başka bir sisteme yetkisiz erişim sağlanıyorsa, bu kez yalnızca kişisel verilerle ilgili hükümler değil, bilişim suçlarına ilişkin hükümler de gündeme gelebilir.
TCK 243. maddeye göre bir bilişim sisteminin tamamına veya bir kısmına hukuka aykırı şekilde giren veya orada kalmaya devam eden kişi için bir yıla kadar hapis veya adli para cezası öngörülüyor. Eğer bu eylem nedeniyle sistemdeki veriler yok olur veya değişirse, kanunda altı aydan iki yıla kadar hapis düzenlenmiş durumda.
Veri transferlerinin teknik araçlarla, sisteme girmeksizin hukuka aykırı şekilde izlenmesi bakımından da TCK 243/4 kapsamında bir yıldan üç yıla kadar hapis düzenlemesi bulunuyor.
Dolayısıyla “panel yapmak” ile “başkasının sisteminden veri çekmek” arasında çok önemli bir hukuki fark var.
Bir yazılımcının kendi test verileriyle yaptığı demo panel ile yetkisiz bir sisteme bağlanarak gerçek insanların verilerini çeken bir sistemin aynı kategoride değerlendirilmesi doğru olmaz.
Verileri değiştirmek veya sistemi bozmak olursa ne olur?
İş yalnızca veri görüntülemeyle sınırlı kalmayıp başka bir bilişim sistemindeki verilerin değiştirilmesi, silinmesi veya sistemin çalışmasının engellenmesi noktasına gelirse TCK 244 de gündeme gelebilir.
Kanunun 244. maddesinde bilişim sisteminin işleyişini engelleme veya bozma için bir yıldan beş yıla kadar hapis öngörülüyor. Sistemdeki verileri bozmak, yok etmek, değiştirmek veya erişilemez hale getirmek gibi eylemler bakımından ise altı aydan üç yıla kadar hapis düzenleniyor. Bazı koşullarda cezanın artırılması ve ayrıca hapis ile adli para cezasının birlikte uygulanması da söz konusu olabiliyor.
Bu nedenle bir kişinin “panelden veri çekiyorum” diyerek yaptığı teknik işlemlerin gerçekten hangi sistemlere dokunduğu önemli.
Gerçek dünyadaki örnekler neden önemli?
Kişisel verilerin hukuka aykırı kullanılması sadece teorik bir hukuk tartışması değil. Kişisel Verileri Koruma Kurulu'nun yayımladığı kararlar, gerçek hayatta verilerin nasıl ciddi sonuçlara yol açabildiğini gösteriyor.
Örneğin 2021 tarihli bir Kurul kararında, bir özel hastanedeki bilgisayar ekranında bulunan yeni doğmuş bir bebeğe ait doğum belgesinin üçüncü kişi tarafından elde edildiği iddiası incelendi. Ekrandaki bilgiler arasında T.C. kimlik numarası, doğum tarihi, anne ve baba adı ve hasta numarası gibi verilerin bulunduğu aktarıldı.
Başka bir olayda bir kişinin adli siciline ilişkin özel nitelikteki kişisel verilerin hukuka aykırı biçimde elde edilip mahkeme dosyasına sunulması Kurulun incelemesine konu oldu. Karar özetinde, söz konusu verinin kişi üzerinde itibar ve manevi etkiler meydana getirdiğine ilişkin iddialar da yer aldı.
Bu örnekler panel tartışmasının önemli bir tarafını gösteriyor: Veri, ekranda yalnızca birkaç satırdan ibaret görünse bile gerçek hayatta bir insanın güvenliğini, mahremiyetini, aile ilişkilerini veya iş hayatını etkileyebilir.