Kanunilik ve Belirlilik Açısından Yasadışı Paneller ve Siber Güvenlik Kanunu

Son yıllarda yasadışı panel, sorgu paneli ya da data paneli adıyla anılan yapılara yönelik soruşturmaların sayısı belirgin biçimde artmıştır. Milyonlarca kişinin kimlik, adres, aile, tapu, araç ve iletişim bilgilerinin birkaç tıklamayla sorgulanabildiği bu yapılar, kamuoyunda haklı ve güçlü bir tepki doğurmuştur. 19.03.2025 tarihinde yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu da bu ortamda kabul edilmiş ve sızıntı yoluyla elde edilen verilerin erişime açılmasını, paylaşılmasını ve satışa çıkarılmasını ağır hapis cezalarıyla karşılayan suç tipleri öngörmüştür.

Ne var ki ceza hukukunun işlevi yalnızca cezalandırmak değildir. Bireyin hangi davranışın suç olduğunu fiili gerçekleştirmeden önce bilebilmesi, hukuk devletinin vazgeçilmez güvencelerinden biridir. Başkasına ait kişisel verilerin yasadışı bir panel üzerinden sorgulanmasının cezasız bir davranış olmadığı açıktır. Sorun, fiilin suç olup olmadığında değil, hangi suç tipine uyduğunun tespitindedir. Uygulamada giderek yerleşen ve her panel kullanımını ayrım yapmaksızın en ağır yaptırımı öngören Siber Güvenlik Kanunu hükmüne bağlayan yaklaşım, bu güvenceyle bağdaşmamaktadır.

Bu çalışma üç soruya yanıt aramaktadır. Kanunda yasadışı panel kavramı tanımlanmış mıdır? Getirilen düzenleme kanunilik ilkesinin gerektirdiği belirlilik ve öngörülebilirlik ölçütlerini karşılamakta mıdır? Yeni suç tipleri mevcut Türk Ceza Kanunu hükümlerinin ötesinde gerçek bir koruma alanı mı oluşturmakta, yoksa aynı fiilleri farklı ifadelerle ve daha ağır yaptırımlarla yeniden mi düzenlemektedir?

II. Teknik ve Hukuki Anlamda Panel Kavramı

Teknik anlamda panel, bir sistemin, uygulamanın veya veri tabanının kullanıcı arayüzü üzerinden yönetilmesini ya da sorgulanmasını sağlayan yazılım katmanıdır. Bir e-ticaret sitesinin yönetim ekranı, bir barındırma hizmetinin kontrol paneli ya da bir hastane bilgi sisteminin personel arayüzü teknik bakımdan birer paneldir. Dolayısıyla panel kavramı kendi başına hukuken nötrdür.

Kamuoyunda yasadışı panel olarak adlandırılan yapılar ise farklı zamanlarda kamu kurumlarının veya özel kuruluşların sistemlerinden yetkisiz erişim, yetki aşımı ya da sızıntı yoluyla çıkarılmış veri kümelerinin tek bir arayüzde birleştirilerek kimlik numarası, ad soyad veya telefon numarası gibi girdilerle sorgulanabilir hâle getirilmesinden ibarettir.

Bu ayrımın hukuki sonucu açıktır. Değerlendirmenin konusu yazılımın kendisi değil, arayüzün içerdiği verinin niteliği, bu verinin elde ediliş biçimi ve failin yapıyla kurduğu ilişkidir. Paneli kuran, veriyi besleyen, erişim hakkı satan ve tek bir sorgu yapan kişiler aynı hukuki konumda bulunmaz. Kavramın bu çok katmanlı yapısı, aşağıda görüleceği üzere kanunilik tartışmasının da çıkış noktasını oluşturmaktadır.

III. Siber Güvenlik Kanunu’nun Öngördüğü Suç Tipleri

Kanunun cezai hükümleri 16. maddede toplanmıştır. 24.07.2026 tarihli ve 7590 sayılı Kanunla yapılan değişiklik yalnızca idari para cezalarına ilişkin onuncu fıkrayı etkilemiş olup panel tartışmasıyla doğrudan ilgili hükümler değişmeden yürürlüktedir.

Maddenin dördüncü fıkrası uyarınca, siber uzayda veri sızıntısı nedeniyle daha önce yer alan kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verileri, kişilerin veya kurumların izni olmaksızın ücretli veya ücretsiz şekilde erişime açan, paylaşan veya satışa çıkaranlara üç yıldan beş yıla kadar hapis cezası verilir. Fıkrada erişime açma, paylaşma ve satışa çıkarma olmak üzere üç seçimlik hareket öngörülmüştür. Bu hareketlerin ortak özelliği, verinin failin hâkimiyet alanından çıkarak üçüncü kişilerin bilgisine veya tasarrufuna sunulmasıdır.

Maddenin altıncı fıkrası ise Türkiye Cumhuriyeti’nin siber uzaydaki milli gücünü meydana getiren unsurlarına yönelik siber saldırıda bulunan veya bu saldırı neticesinde elde ettiği veriyi siber uzayda bulunduran kişiyi, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde sekiz yıldan on iki yıla kadar hapis cezasıyla cezalandırmaktadır. Aynı verinin yayılması, başka bir yere gönderilmesi veya satışa çıkarılması hâlinde ceza on yıldan on beş yıla kadar hapistir. Yedinci fıkra da suçun kamu görevlisi tarafından, birden fazla kişi tarafından veya bir örgütün faaliyeti çerçevesinde işlenmesini cezayı artıran nitelikli hâller olarak düzenlemiştir.

Hükümlerin kapsamı kadar kapsam dışında bıraktıkları da önemlidir. Dördüncü fıkrada kullanma, sorgulama, görüntüleme, satın alma, temin etme veya bulundurma fiillerinden hiçbiri yer almamaktadır. Bulundurma fiili yalnızca altıncı fıkrada ve siber saldırıyla bağlantılı olarak düzenlenmiştir. Kanun koyucunun aynı madde içinde pasif tasarruf biçimlerini düzenlemeyi bildiği hâlde dördüncü fıkrada bu yolu tercih etmemesi, fıkranın yalnızca dışa yönelik yayma hareketlerini cezalandırdığını göstermektedir.

IV. Kanunilik İlkesinin Anlamı ve Kapsamı

Anayasa’nın 38. maddesi, kimsenin işlendiği zaman yürürlükte bulunan kanunun suç saymadığı bir fiilden dolayı cezalandırılamayacağını hükme bağlamaktadır. Türk Ceza Kanunu’nun 2. maddesi bu güvenceyi somutlaştırmakta, üçüncü fıkrasında da suç ve ceza içeren hükümlerin kıyas yoluyla uygulanamayacağını ve kıyasa yol açacak biçimde geniş yorumlanamayacağını açıkça belirtmektedir.

İlkenin ilk boyutu belirliliktir. Suç tipi, yasaklanan davranışı makul açıklıkta tanımlamalıdır. Anayasa Mahkemesi, ceza yaptırımı öngören kuralın hangi fiile hangi sonucu bağladığının erişilebilir ve öngörülebilir olması gerektiğini vurgulamaktadır (AYM, E.2023/132, K.2023/183, 26.10.2023). Mahkeme ayrıca hukuki belirliliğin, kanuna dayanmak ve erişilebilir olmak koşuluyla yargısal içtihatlarla tamamlanabileceğini kabul eder (AYM, E.2019/96, K.2022/17, 24.02.2022, § 47). Ancak yorum, kanundaki seçimlik hareketlere yeni bir hareket ekleyemez. İkinci boyut öngörülebilirliktir. Ortalama bir birey, gerektiğinde hukuki yardım alarak, davranışının cezai sonucunu makul ölçüde kestirebilmelidir.

Üçüncü boyut kıyas yasağıdır. Satışa çıkarma ile satın alma ya da erişime açma ile erişme fiilleri toplumsal açıdan benzer ölçüde kınanabilir görünse de ceza normunda biri diğerinin yerine konulamaz. Dördüncü boyut ise aleyhe genişletici yorum yasağıdır. Amaçsal yorum meşru bir yorum yöntemi olmakla birlikte lafzın çizdiği olası anlam sınırının içinde kalmak zorundadır.

Bu ilkelerin önemi teknik alanlarda daha da artmaktadır. Teknik kavramlar hızla değişmekte ve gündelik dilde birbirinin yerine kullanılmaktadır. Kanun koyucu bu kavramları tanımlamadığında, suç tipinin sınırlarını fiilen kolluk tutanakları, iddianameler ve teknik raporlar çizmeye başlamaktadır.

V. Panel Kullanımının Tek Başına Suç Oluşturup Oluşturmadığı

Çalışmanın merkezindeki soru budur ve yanıtı, farklı davranış biçimlerinin ayrı ayrı ele alınmasını gerektirmektedir.

Bir bağlantıya tıklayarak panelin giriş ekranını görmekten ibaret bir davranış, hiçbir suç tipinin seçimlik hareketine girmemektedir. Bu aşamada ne bir veriye erişim ne de verinin üçüncü kişilere sunulması söz konusudur.

Panel üzerinden başkasına ait bir kişisel veriyi sorgulayarak öğrenen kişi bakımından TCK m. 136’da düzenlenen kişisel verileri hukuka aykırı olarak ele geçirme suçu gündeme gelir. Ele geçirme, verinin hukuka aykırı biçimde failin bilgi ve tasarruf alanına alınmasını ifade eder. Bir kimlik veya adres bilgisinin sorgu sonucunda gerçekten görüntülenmesi, özellikle sonucun kaydedilmesi ya da kullanılabilir biçimde elde tutulması bu değerlendirmeyi güçlendirir. Bununla birlikte yalnızca bir ekranın açılması ile verinin gerçekten öğrenilmesi aynı şey değildir; somut olayda sorgu çıktısı ve erişilen verinin niteliği ispatlanmalıdır. Kaydetme hâlinde TCK m. 135’teki suçun unsurları da ayrıca tartışılabilir. Buna karşılık yalnızca sorgu yapan kişi veriyi başkasının erişimine açmamış, paylaşmamış veya satışa çıkarmamıştır. Bu fiili sırf panel kullanımı diye Siber Güvenlik Kanunu m. 16/4’e sokmak, seçimlik hareketleri kıyas yoluyla genişletmek anlamına gelir.

Verinin indirilmesi veya kaydedilmesi, TCK m. 136 anlamında ele geçirme ve TCK m. 135 anlamında kaydetme tartışmasını güçlendirir. Elde edilen verinin üçüncü kişilere iletilmesi ise hem TCK m. 136’daki başkasına verme hareketini hem de Siber Güvenlik Kanunu m. 16/4’teki paylaşma hareketini gündeme getirir.

Kişinin yalnızca kendi verisini sorgulaması hâlinde hukuka aykırılık ve izin yokluğu unsurları gerçekleşmez. Verilerinin sızdırılıp sızdırılmadığını kontrol etmek isteyen bir mağdurun cezalandırılması, normun koruma amacıyla açıkça çelişir. Başkasına ait verinin sorgulanmasında ise ele geçirme hareketi gerçekleşmiş olup değerlendirme ağırlıklı olarak manevi unsur ve verinin sonrasında ne yapıldığı üzerinden yürür.

Panel kullanıcısının çoğu zaman kamu kurumlarının sistemlerine hiç girmediği ve hiçbir veriyi değiştirmediği de göz ardı edilmemelidir. Bu kullanıcı ile veriyi kaynağından çeken kişi, TCK m. 243 ve m. 244 bakımından birbirinden keskin biçimde ayrılır.

Görüldüğü üzere panel kullanmak tek bir fiil değil, hukuki nitelikleri birbirinden farklı davranışların ortak adıdır. Başkasına ait verinin sorgulanması çoğu hâlde bir suç oluşturur, ancak bu suç her zaman aynı suç değildir. Bu davranışların tamamının Siber Güvenlik Kanunu’ndaki en ağır suç tipi altında değerlendirilmesi kanunilik ilkesiyle bağdaşmamaktadır.

VI. Maddi Unsura İlişkin Sorunlar

Siber Güvenlik Kanunu’nda kullanma adında bir seçimlik hareket bulunmadığından, iddianamelerde sıkça rastlanan panel kullanmak suretiyle ifadesi, hangi seçimlik hareketin gerçekleştiği somut olarak gösterilmedikçe yeterli bir suç isnadı niteliği taşımaz. Normda yer almayan bir hareketin içeriğini belirlemeye çalışmak, aslında kanunda bulunmayan bir suç tipi yaratmak anlamına gelir.

Panele giriş yapılması da kural olarak bir kamu kurumunun bilişim sistemine giriş anlamına gelmez. Panelin kendisi hukuka aykırı bir yapı olsa dahi, TCK m. 243 bakımından korunan sistemin hangisi olduğu ve failin bu sisteme girip girmediği somut olarak belirlenmelidir.

Suçun konusuna ilişkin nitelemede de ciddi ispat sorunları bulunmaktadır. Fıkra, verinin veri sızıntısı nedeniyle siber uzayda daha önce yer almış olmasını aramaktadır. Oysa panellerdeki verilerin önemli bir kısmı belirli bir sızıntı olayından değil, yetkili hesapların kötüye kullanılmasıyla gerçek zamanlı olarak çekilmiş olabilir. Üstelik veri sızıntısı kavramı Kanunun 3. maddesinde tanımlanmamış olup tanımlar arasında yalnızca siber olay ve siber saldırı kavramlarına yer verilmiştir. Verinin önceki bir tarihte siber uzayda bulunduğunun hangi yöntemle ispat edileceği de belirsizdir.

Açık kaynak kodlu sorgu yazılımları ile güvenlik araştırması veya eğitim amacıyla yapay verilerle kurulan test ortamları, gerçek kişisel veri içermedikleri sürece suçun konusunu oluşturmaz. Aksi yönde bir yorum, meşru güvenlik araştırmalarını da cezalandırma riskini beraberinde getirecektir.

VII. Manevi Unsur

Siber Güvenlik Kanunu m. 16’da taksirli hâl öngörülmediğinden, TCK m. 21 uyarınca suç ancak kastla işlenebilir. Kast yalnızca hareketi değil, suç tipinin bütün objektif unsurlarını kapsamalıdır. Failin verinin kişisel veri veya kritik kamu hizmeti kapsamında kurumsal veri olduğunu, bu verinin bir sızıntı sonucunda siber uzayda yer aldığını ve ilgililerin izninin bulunmadığını bilmesi gerekir.

Uygulamadaki temel sorun, bu bilginin çoğu zaman panelin niteliği gereği bilinmesi gerektiği gerekçesiyle varsayılmasıdır. Oysa ceza hukukunda kast karineyle kurulamaz. Meşru bir adres doğrulama ya da iletişim bilgisi bulma hizmeti görünümündeki bir arayüzü kullanan veya verinin kaynağından habersiz biçimde bir aracı yazılımdan yararlanan kişi bakımından TCK m. 30’daki hata hükümleri değerlendirilmelidir. Olası kast ise ancak failin sonucu öngörüp kabullendiğinin somut delillerle ortaya konulduğu hâllerde gündeme gelebilir.

VIII. Kanunilik Açısından Tartışmalı Noktalar

Kanunun hiçbir hükmünde panel sözcüğü geçmemektedir. Kamuoyunda panel düzenlemesi olarak anılan hükümler bu kavramı hiç kullanmamaktadır. Bu durum kendi başına bir kusur değildir, zira kanun koyucu belirli bir teknolojiyi değil fiili tanımlamayı tercih etmiş olabilir. Asıl sorun, uygulamanın kanunda bulunmayan bu kavramı suç tipinin yerine koymasıdır.

Tanımlanmamış teknik kavramlar ikinci önemli sorun alanını oluşturmaktadır. Veri sızıntısı, siber uzayda bulundurma ve kritik kamu hizmeti kapsamına giren kurumsal veri ifadeleri tanım maddesinde yer almamaktadır. Altıncı fıkradaki milli gücü meydana getiren unsurlar ifadesi ise sekiz ila on beş yıllık hapis cezasının dayanağı olmasına rağmen neredeyse sınırsız bir yoruma açıktır. Hangi bilişim sisteminin bu unsurlar arasında sayılacağı kanun metninden anlaşılamamaktadır.

Aynı fıkradaki bulundurma hareketinin öznesi de tartışmalıdır. Cümle yapısı itibarıyla hüküm, saldırıyı gerçekleştiren ve bu saldırı neticesinde elde ettiği veriyi bulunduran aynı faili hedeflemektedir. Bununla birlikte hükmün, saldırıyla bağlantısı bulunmayan ve veriyi yalnızca elinde tutan kişileri de kapsayacak biçimde yorumlanması riski mevcuttur. Böyle bir yorum lafzın olası anlam sınırını zorlayacaktır.

Siber Güvenlik Kanunu m. 16/4 ile TCK m. 136 arasındaki ilişki, yalnızca kanunların adlarına veya ceza miktarlarına bakılarak çözülemez. İki normun unsurları, aynı hareket ve aynı veri bakımından karşılaştırılmalıdır. Bu karşılaştırmanın içtima bakımından sonuçları aşağıda ayrıca ele alınmaktadır.

Bu belirsizliklerin ortak sonucu, suç tipinin sınırlarının kanunla değil yargısal yorumla belirlenmesi riskidir. Belirlilik ilkesinin önlemeye çalıştığı durum da tam olarak budur.

IX. Genel Norm ve Özel Norm İlişkisi ile İçtima Kuralları

İçtima incelemesinin ilk adımı suç sayısını değil fiil sayısını belirlemektir. Tek bir sorgu, sistemden veri çekme, dosyayı saklama, üçüncü kişilere açma ve daha sonra satış ilanı verme hareketleri aynı süreçte yer alsa bile her zaman tek fiil değildir. Zaman, irade, hareketin konusu ve korunan hukuki değerler somut olayda ayrı ayrı değerlendirilir. Farklı fiiller varsa kural olarak gerçek içtima, yani her suç için ayrı sorumluluk gündeme gelir. Aynı fiil birden fazla normun unsurlarını karşılıyorsa önce görünüşte içtima, ardından gerekirse fikrî içtima tartışılır.

Genel norm ve özel norm ilişkisinin dayanağı, özel hükmün genel hükümdeki unsurların tamamını içerip bunlara daraltıcı bir unsur eklemesi hâlinde aynı haksızlığın iki kez cezalandırılmasını önleyen görünüşte içtima ilkesidir. Bu, TCK m. 44’teki en ağır cezayı seçme kuralıyla özdeş değildir. TCK m. 44, bir fiille birden fazla farklı suç oluştuğunda uygulanır; özel norm ilişkisi ise iki hükümden yalnız birinin somut olaya uygulanabilir norm olarak görünmesine dayanır. Kanunda her özel ceza normunun TCK’ya otomatik üstün geleceğini söyleyen genel bir cümle de yoktur. TCK m. 5, TCK’nın genel hükümlerinin özel ceza kanunlarına uygulanmasını sağlar; özel normun önceliğini tek başına kurmaz. Önceliğin gerekçesi normların unsurlarının karşılaştırılması ve aynı fiilin aynı haksızlık bakımından iki kez cezalandırılmamasıdır. Yeni tarihli olma veya daha ağır ceza öngörme de kendi başına özel norm olmayı sağlamaz.

Bu ölçüyle bakıldığında, sızmış kişisel verinin izin olmaksızın aynı hareketle üçüncü kişilerin erişimine açılması veya paylaşılması, somut biçimine göre hem TCK m. 136’daki verme ya da yayma hareketine hem Siber Güvenlik Kanunu m. 16/4’e uyabilir. İkinci hüküm, verinin önceki sızıntıyla siber uzayda yer alması gibi ek koşullar taşıdığı ölçüde özel norm sayılabilir. Bu koşullar ispatlanırsa aynı açma veya paylaşma hareketi için iki ayrı mahkûmiyet kurulması yerine özel hükmün uygulanması savunulabilir. Ancak koşullar ispatlanamadığında m. 16/4’e sırf cezası yüksek diye gidilemez; TCK m. 136’nın unsurları ayrıca oluşmuşsa bu hüküm değerlendirilir. Yalnızca kurumsal veri söz konusuysa TCK m. 136’nın kişisel veri unsuru bulunmayabilir. Henüz kimseye sunulmamış bir satış ilanında da TCK m. 136’daki verme veya yayma hareketinin gerçekleştiği ayrıca gösterilmelidir. Alt sınırı iki yıl yerine üç yıl yapan olgunun belirsizliği ve ispat güçlüğü bu nedenle doğrudan kanunilik sorunudur.

Bir fiilin iki suçu oluşturduğu fakat normlardan biri diğerinin bütün unsurlarını içermediği durumda TCK m. 44’teki farklı neviden fikrî içtima tartışılır. Burada korunan hukuki değerlerin farklılığı tek başına iki cezaya izin vermez; tek fiil şartı ve kanundaki özel düzenlemeler incelenir. TCK m. 42’deki bileşik suç ise suçlardan birinin diğerinin unsuru veya ağırlaştırıcı nedeni hâline getirildiği durumlar içindir. Her veri paylaşımından önce veri elde edilmiş olması, kendiliğinden bir bileşik suç yaratmaz. Elde etme ayrı zamanda ve ayrı kararla gerçekleşmişse ayrı suç olarak kalabilir; tek hareketin zorunlu parçasıysa mükerrer cezalandırma önlenmelidir.

TCK m. 43’teki zincirleme suç da otomatik uygulanmaz. Aynı suç işleme kararıyla değişik zamanlarda aynı mağdura karşı birden fazla sorgu veya paylaşım yapılması ile tek hareketle birden fazla kişinin verisinin yayılması, maddenin iki ayrı düzenlemesi bakımından incelenir. Mağdur sayısı, veri kümelerinin ayrılabilirliği, fiillerin zamanı ve karar birliği belirlenmeden her kayıt için ayrı suç veya bütün kayıtlar için tek suç sonucuna varılamaz. Veri tabanı sahibi kurumun zarar görmesi ile kişisel verisi yayılan bireylerin mağduriyeti de birbirine karıştırılmamalıdır.

Kanunun 16/6. fıkrası ayrıca açık bir tali norm kaydı taşır. İlk cümledeki sekiz ila on iki yıllık yaptırım, fiil daha ağır cezayı gerektiren başka bir suç oluşturmadığı takdirde uygulanır. Bu kayıt, kanun koyucunun başka normlarla ilişkiyi burada özel olarak düzenlediğini gösterir; dördüncü fıkraya aynı kaydı yorum yoluyla eklemeye izin vermez. Saldırı, saldırı sonucu veriyi bulundurma ve veriyi sonradan yayma hareketlerinin aynı olayda ne şekilde birleştiği de lafız, fiil birliği ve ceza aralıkları gözetilerek ayrı gerekçelendirilmelidir. Özellikle veriyi yalnızca elinde tutan kişinin saldırıyı yapan faille aynı kişi olup olmadığı açıklığa kavuşturulmadan fıkranın ağır yaptırımı uygulanmamalıdır.

X. Mevcut Türk Ceza Kanunu Hükümleriyle Karşılaştırma

Yeni düzenlemenin gerçek bir boşluğu doldurup doldurmadığının anlaşılabilmesi için mevcut hükümlere bakmak gerekir. TCK m. 136, kişisel verileri hukuka aykırı olarak başkasına veren, yayan veya ele geçiren kişiyi iki yıldan dört yıla kadar hapis cezasıyla cezalandırmaktadır. Paneli işleten ve erişim satan kişi başkasına verme ve yayma hareketlerini, veriyi indiren kullanıcı ise ele geçirme hareketini bu hüküm kapsamında zaten gerçekleştirmektedir.

TCK m. 243, bilişim sistemine hukuka aykırı olarak giren veya orada kalmaya devam eden kişiyi cezalandırmakta, dördüncü fıkrasında da veri nakillerinin teknik araçlarla hukuka aykırı olarak izlenmesini ayrıca düzenlemektedir. Verileri kamu sistemlerinden çeken kişi bu hükmün kapsamındadır. TCK m. 244 ise verilerin başka bir yere gönderilmesini cezalandırmakta, fiilin kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesini cezayı artıran bir hâl olarak öngörmekte ve haksız çıkar sağlanmasını ayrıca yaptırıma bağlamaktadır.

TCK m. 245/A ise bir cihazın, bilgisayar programının, şifrenin veya sair güvenlik kodunun münhasıran bilişim suçları ile bilişim sistemlerinin araç olarak kullanılması suretiyle işlenebilen diğer suçların işlenmesi için yapılması veya oluşturulması hâlinde, bunları imal eden, satan, satışa arz eden, satın alan, başkalarına veren veya bulunduran kişiyi bir yıldan üç yıla kadar hapis ve adli para cezasıyla cezalandırmaktadır. Kişisel verilerin hukuka aykırı olarak ele geçirilmesi amacıyla oluşturulmuş bir sorgu yazılımı bu tanıma girebileceğinden, hüküm panel yazılımının kendisi bakımından doğrudan ilgilidir. Burada da belirleyici olan münhasıran ölçütüdür. Meşru kullanıma da elverişli genel amaçlı yazılımlar bu hükmün kapsamı dışında kalır. TCK m. 138’deki verileri yok etmeme suçu panel kullanıcısına uygulanmamakla birlikte, saklama süresi dolmuş verileri sistemlerinde tutarak sızıntıya zemin hazırlayan yükümlüler bakımından tamamlayıcı bir işlev görebilir. Yetkisini kötüye kullanarak veri çeken veya erişim hesabını paylaşan kamu görevlileri bakımından ise özel hükümlerin uygulanmadığı hâllerde TCK m. 257 gündeme gelebilir.

Bu tablo karşısında Siber Güvenlik Kanunu m. 16/4’ün getirdiği yenilik sınırlıdır. Yeni olan, verinin sızıntı sonucunda siber uzayda bulunmuş olmasına bağlanan ayrı bir suç tipi, daha yüksek bir ceza aralığı ve satışa çıkarma hareketinin açıkça düzenlenmesidir. Satışa çıkarma hareketi, satışın gerçekleşmesini beklemeksizin ticari faaliyetin tamamlanmış suç olarak cezalandırılmasını sağlamaktadır ve bu tercih savunulabilir niteliktedir. Buna karşılık panel kullanıcısı bakımından yeni bir koruma alanı yaratılmamış olup kullanıcıya uygulanacak norm büyük ölçüde yine TCK m. 136’dır. Düzenleme, mevcut fiilleri kısmen yeniden adlandırarak yaptırımlarını ağırlaştırmakta, buna karşılık tanımsız kavramlar aracılığıyla yeni belirsizlikler üretmektedir.

XI. Sonuç

Siber Güvenlik Kanunu’nda yasadışı panel kavramı tanımlanmamış, hatta panel sözcüğüne hiç yer verilmemiştir. Kanunun 16. maddesinin dördüncü fıkrası erişime açma, paylaşma ve satışa çıkarma hareketlerini cezalandırmakta olup paneli kullanarak başkasına ait veriyi sorgulayan kişi bu hükmün lafzı dışında kalmaktadır. Bu kişi bakımından, gerçekten hukuka aykırı biçimde kişisel veri elde edildiği ispatlanırsa TCK m. 136 kapsamında ele geçirme suçu gündeme gelir. Ancak aynı kişinin Siber Güvenlik Kanunu m. 16/4 kapsamında cezalandırılması, Anayasa’nın 38. maddesi ile TCK m. 2/3’teki kıyas yasağının ihlali anlamına gelecektir. Veri sızıntısı ve milli gücü meydana getiren unsurlar gibi tanımsız kavramlar, özellikle TCK m. 136 ile özel norm ilişkisinde daha ağır cezayı belirleyen unsurun belirsiz kalması, düzenlemenin belirlilik ölçütünü tam olarak karşılamadığını göstermektedir.

Yeni suç tipleri, esasen TCK m. 136, 243, 244 ve 245/A ile karşılanan fiillere daha ağır bir yaptırım çerçevesi getirmekte, özellikle satışa çıkarma hareketiyle panel ekonomisinin ticari boyutuna müdahale etmektedir; diğer hareketlerde ise mevcut suç tipleriyle önemli ölçüde örtüşmektedir.

Siber güvenliğin sağlanması meşru ve gerekli bir kamu yararıdır. Ancak bu amaç doğrultusunda oluşturulan ceza normlarının da kanunilik ilkesinin gerektirdiği açıklık, belirlilik ve öngörülebilirlik ölçütlerini karşılaması gerekir. Özellikle teknik kavramların ceza hukukuna aktarılması sırasında, suçun kapsamının yargısal yorumla genişletilmesine yol açabilecek belirsizliklerden kaçınılması hem birey haklarının korunması hem de hukuki güvenliğin sağlanması bakımından önem taşımaktadır. Panel davalarında sorulması gereken soru, failin bir panel kullanıp kullanmadığı değil, kanunda yazılı hangi seçimlik hareketi, hangi veri üzerinde ve hangi bilgiyle gerçekleştirdiğidir.