E-Devlet şifresi; sağlık kayıtlarından tapu bilgilerine, adli sicilden banka işlemlerine kadar pek çok kritik veriye açılan bir anahtardır. Bu şifrenin bir yakınla, bir 'aracı' ile ya da sahte bir kurum çalışanıyla paylaşılması, sanılanın aksine masum bir jest değil, ağır hukuki ve cezai sonuçlar doğurabilecek bir risktir. Peki şifresini paylaşan kişi, bu şifre kötüye kullanıldığında hangi sorumlulukla karşı karşıya kalır? Yargıtay bu konuda nasıl bir çizgi izliyor? Bu yazıda, e-Devlet şifresi paylaşımının Türk Ceza Kanunu ve Kişisel Verilerin Korunması Kanunu çerçevesindeki sonuçlarını, güncel Yargıtay kararları ışığında detaylı olarak inceliyoruz.

E-Devlet Şifresine Yetkisiz Erişimin Cezai Niteliği

E-Devlet şifresi, sahibinin kimliğini doğrulayan ve devlete ait bilişim sistemlerine erişim yetkisi veren kişisel bir güvenlik aracıdır. Bu şifrenin sahibinin bilgisi veya rızası dışında elde edilerek sisteme girilmesi, yalnızca ahlaki bir ihlal değil, doğrudan Türk Ceza Kanunu çerçevesinde cezai sorumluluk doğuran bir eylemdir. Şifrenin hangi amaçla kullanıldığından bağımsız olarak, sisteme yetkisiz erişimin gerçekleşmesi suçun oluşması için yeterlidir.

Bilişim Sistemine Girme Suçu

E-Devlet Kapısı, hukuki niteliği itibarıyla bir "bilişim sistemi" olarak kabul edilir ve bu sisteme hukuka aykırı şekilde girilmesi veya sistemde kalınmaya devam edilmesi (TCK m.243) kapsamında suç teşkil eder. Madde metninde açıkça belirtildiği üzere, bir bilişim sisteminin bütününe veya bir kısmına hukuka aykırı olarak giren ya da orada kalmaya devam eden kişi cezalandırılır.

E-Devlet şifresinin başkası tarafından izinsiz kullanılması suretiyle sisteme giriş yapılması, tam olarak bu madde kapsamına girmektedir. Uygulamada, izinsiz e-Devlet erişimi tespit edildiğinde uygulanabilecek genel ceza aralığı 1 yıldan 3 yıla kadar hapis cezasıdır. Bu ceza aralığı, eylemin başka suçlarla (örneğin kişisel verilerin ele geçirilmesi veya kimlik bilgilerinin haksız kullanımı) birleşmesi halinde ağırlaşabilmektedir. Dolayısıyla failin sisteme sadece "bakmak" amacıyla girmiş olması, cezai sorumluluğu ortadan kaldırmaz; suçun oluşması için verilerin fiilen kullanılması veya bir zarar meydana gelmesi şart değildir.

Burada belirleyici unsur, sisteme girişin hukuka aykırılığıdır. Şifrenin sahibi tarafından bilinçli ve özgür iradeyle, belirli ve sınırlı bir işlem için verilmiş olması dahi, bu rızanın kapsamını aşan her türlü erişim veya işlem, hukuka aykırılık teşkil edebilir. Nitekim şifrenin belirli bir amaçla (örneğin tek bir belge sorgusu için) verilmesi, o amacın dışına çıkılarak sistemde başka bilgilerin görüntülenmesi veya işlem yapılması durumunda rızanın sınırları aşılmış olur ve TCK m.243 kapsamındaki suç oluşabilir.

KVKK Kapsamında Ek Yaptırımlar

E-Devlet Kapısı üzerinden erişilen veriler; kimlik bilgileri, adli sicil kaydı, sağlık geçmişi, tapu kayıtları ve sosyal güvenlik bilgileri gibi doğrudan kişiye özgü verilerdir. Bu nedenle şifreye yetkisiz erişim, aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında da bir ihlal olarak değerlendirilir. Sisteme izinsiz girilerek kişisel verilere ulaşılması, bu verilerin kanunda öngörülen hukuki dayanaklar (açık rıza veya kanunda sayılan istisnai şartlar) bulunmaksızın işlenmesi anlamına gelir ve bu durum KVKK'ya aykırılık teşkil eder.

Bu çift yönlü hukuki nitelik, failin karşı karşıya kalabileceği yaptırımların kapsamını genişletmektedir:

• Cezai boyut: TCK m.243 kapsamında hapis veya adli para cezası uygulanır.
• İdari/hukuki boyut: Kişisel verilere yetkisiz erişim, KVKK kapsamında ayrıca idari yaptırımlara ve hukuki sorumluluğa (tazminat davalarına) konu olabilir.

Bu iki düzenleme birbirini ortadan kaldırmaz, aksine failin eylemi her iki kanunun koruma alanına aynı anda girdiğinden, sorumluluk çok yönlü olarak değerlendirilir. Bir kişinin e-Devlet şifresini herhangi bir nedenle (kredi başvurusu, iş başvurusu, aile içi kontrol vb.) bir başkasına vermesi ve bu şifrenin sınırları aşılarak kullanılması durumunda, hem şifreyi ele geçiren/kullanan kişi hem de bazı durumlarda şifreyi paylaşan kişi hukuki sonuçlarla yüzleşebilir. Zira şifrenin paylaşılması, kişisel verilerin üçüncü bir kişinin erişimine açılması sonucunu doğurduğundan, veri güvenliği yükümlülüğünün ihlali olarak da değerlendirilebilmektedir.

Sonuç olarak, e-Devlet şifresine yönelik her türlü yetkisiz erişim, sadece bilişim sistemine girme suçu bağlamında değil, kişisel verilerin korunmasına ilişkin mevzuat bağlamında da ayrı ayrı değerlendirilmesi gereken, katmanlı bir hukuki risk alanı oluşturmaktadır.

Kişisel Verilerin Hukuka Aykırı Kaydedilmesi ve Ele Geçirilmesi

E-Devlet şifresi kullanılarak sisteme yetkisiz girişin doğurduğu sonuçlar, TCK m.243 kapsamındaki bilişim sistemine girme suçuyla sınırlı değildir. Sisteme girildikten sonra elde edilen bilgilerin niteliğine ve failin bu bilgilerle ne yaptığına bağlı olarak, Türk Ceza Kanunu'nun kişisel verilere ilişkin ayrı suç tiplerinden de sorumluluk doğabilir. Bu noktada özellikle TCK m.135 ve TCK m.136 hükümleri, fiilin hukuki niteliğinin belirlenmesinde kilit rol oynamaktadır.

Veri Kaydetme ve Verme/ele Geçirme Suçları Arasındaki Fark

TCK m.135, kişisel verileri hukuka aykırı olarak kaydetme fiilini bağımsız bir suç olarak düzenlemektedir. Bu madde kapsamında bir yıldan üç yıla kadar hapis cezası öngörülmekte; verinin kişinin ırkı, etnik kökeni, siyasi düşüncesi, dini inancı, sağlık durumu veya cinsel yaşamı gibi hassas nitelikte olması halinde ise ceza yarı oranında artırılmaktadır. E-Devlet üzerinden erişilen bilgiler arasında sağlık kayıtları, adli sicil bilgisi ve sosyal güvenlik verileri gibi hassas nitelikli veriler bulunabildiğinden, bu tür verilerin izinsiz erişim sonrasında kaydedilmesi -örneğin ekran görüntüsü alınması, çıktı olarak saklanması veya bir dosyaya kopyalanması- tek başına m.135 kapsamında bağımsız bir suç oluşturabilir.

Buna karşılık TCK m.136, kaydedilmiş kişisel verilerin bir başkasına verilmesi, yayılması veya ele geçirilmesi fiillerini düzenlemektedir. Bu madde, 6526 sayılı Kanun'la yapılan değişiklik öncesindeki halinde bir yıldan dört yıla kadar hapis cezası öngörmüştür. Buradaki temel ayrım, m.135'in verinin salt "kaydedilmesi" eylemini, m.136'nın ise kaydedilmiş verinin üçüncü kişilerle paylaşılması veya failin hakimiyet alanına geçmesini cezalandırmasıdır. Dolayısıyla bir kişi, e-Devlet şifresiyle sisteme girip bir belgeyi kaydettiğinde m.135 kapsamında; bu belgeyi başka bir kişiyle paylaştığında veya sosyal medyada yaydığında ise ayrıca m.136 kapsamında sorumlu tutulabilir. Bu iki fiil, somut olayın özelliklerine göre birlikte veya ayrı ayrı gerçekleşebilir ve her biri kendi ceza aralığı çerçevesinde değerlendirilir.

Uygulamada sıkça karşılaşılan senaryo, e-Devlet şifresini ele geçiren failin önce sistemdeki bilgiyi kaydetmesi, ardından bu bilgiyi bir üçüncü şahsa iletmesi veya kamuya açık bir platformda paylaşmasıdır. Bu durumda failin eylemi, hem verinin kaydedilmesi hem de verme/yayma unsurunu birlikte içerdiğinden, somut olayın koşullarına göre TCK m.44'teki farklı nev'iden fikri içtima hükümleri gündeme gelebilir; bu da en ağır cezayı gerektiren fiilden tek ceza uygulanması sonucunu doğurabilir.

Kamu Görevlisi Tarafından İşlenmesi Halinde Ağırlaştırıcı Sebep

E-Devlet sistemine erişim yetkisine sahip kamu görevlilerinin bu yetkiyi kötüye kullanarak kişisel verilere ulaşması, sıradan bir vatandaşın işlediği fiilden farklı ve daha ağır bir hukuki sonuç doğurur. TCK m.137/1-a, kişisel verilere ilişkin suçların kamu görevlisi tarafından görev yetkisinin kötüye kullanılması suretiyle işlenmesi halinde cezanın yarı oranında artırılacağını açıkça hükme bağlamaktadır.

Bu ağırlaştırıcı sebebin temelinde, kamu görevlisinin görevi nedeniyle sahip olduğu erişim imkanının, kendisine tanınan yetkinin amacı dışında kullanılmasının, kamu güvenine ve devletin bilişim sistemlerine olan güvene verdiği zarar yatmaktadır. Bir memurun, görevi sebebiyle edindiği e-Devlet erişim yetkisini kullanarak bir vatandaşın kişisel verilerine yetkisiz şekilde ulaşması ya da bu verileri üçüncü kişilerle paylaşması, hem TCK m.135-136 kapsamındaki temel suçu hem de m.137/1-a kapsamındaki ağırlaştırıcı nedeni birlikte oluşturur. Bu durumda uygulanacak ceza, temel suç için öngörülen ceza aralığının yarı oranında artırılması suretiyle belirlenir.

Bu düzenleme, özellikle kamu kurumlarında görev yapan ve sistemsel erişim yetkisine sahip kişilerin, bu yetkiyi kişisel merak, çıkar sağlama veya üçüncü kişilere bilgi aktarma amacıyla kullanmalarının önüne geçmeyi hedeflemektedir. Görev yetkisinin kötüye kullanılması suretiyle işlenen bu tür fiiller, hem cezai sorumluluğu ağırlaştırmakta hem de disiplin hukuku bakımından ayrı bir sürecin işletilmesine yol açabilmektedir.

Sonuç itibarıyla, e-Devlet şifresine yönelik yetkisiz erişimin hukuki sonuçları, tek bir madde ile sınırlı kalmayıp; sisteme girişten verinin kaydedilmesine, üçüncü kişilerle paylaşılmasına ve failin sıfatına (kamu görevlisi olup olmamasına) göre katmanlı bir şekilde ağırlaşabilen bir sorumluluk zinciri oluşturmaktadır. Bu nedenle e-Devlet şifresinin gerek sahibi gerekse üçüncü kişiler tarafından her türlü kullanımında, TCK'nın bilişim ve kişisel veri suçlarına ilişkin hükümlerinin birlikte ve dikkatle değerlendirilmesi gerekmektedir. Şifrenin bir başkasıyla paylaşılması ya da izinsiz ele geçirilmesi, görünürdeki basitliğinin ötesinde, hem cezai hem de idari-hukuki boyutları olan ciddi bir risk alanı oluşturmakta; bu risklerin bertaraf edilmesi için şifrenin kişisel, aktarılamaz ve gizli tutulması gereken bir güvenlik aracı olduğu bilinciyle hareket edilmesi zorunludur.