7545 sayılı Siber Güvenlik Kanununun 16. maddesi, metninde sayılan fiiller için hapis cezası öngörür. Bazı fiillerde hapis cezasının yanında adli para cezası da vardır. Aynı madde, başka maddelerde düzenlenen belirli görev ve yükümlülüklere aykırılık için idari para cezası da bağlar. Kamu kurum ve kuruluşları, bilgi, belge, yazılım, veri ve donanımın verilmesine ilişkin birinci fıkranın dışında bırakılmıştır.
7545 sayılı SİBER GÜVENLİK KANUNU m. 16Kaynağı aç
İstenen unsurları vermemek veya alınmasını engellemek
Birinci fıkra, kamu kurum ve kuruluşlarını kapsam dışında bırakır. Kanunla yetkilendirilmiş merciler ile denetim görevlileri, görev ve yetkileri içinde bilgi, belge, yazılım, veri ve donanım isteyebilir. Bu unsurları vermeyen kişi ile alınmasına engel olan kişi aynı yaptırıma tabidir. Hapis cezası bir yıl ile üç yıl arasındadır. Adli para cezası da beş yüz günden başlayıp bin beş yüz güne kadar çıkar. İsteme, belirtilen görev ve yetki sınırının içinde kalmalıdır.
Gerekli onay, yetki veya izin olmadan faaliyet
Bu Kanun uyarınca alınması gerekli onay, yetki veya izin alınmadan faaliyet yürüten kişiye iki yıldan dört yıla kadar hapis cezası verilir. Aynı fiil için bin günden iki bin güne kadar adli para cezası da öngörülmüştür. Fıkra, aranan işlemi onay, yetki veya izin olarak ifade eder. Hangi faaliyet için hangi belgenin gerektiği bu fıkrada ayrıca sıralanmaz.
Sır saklama yükümlülüğünü yerine getirmemek
Sır saklama yükümlülüğünü yerine getirmeyen kişiye dört yıldan sekiz yıla kadar hapis cezası verilir. Bu fıkra adli para cezası öngörmez. Yükümlülüğün hangi kişi bakımından ve hangi bilgi için doğduğu, 16. maddenin bu fıkrasında ayrıca tanımlanmaz.
Sızıntı nedeniyle yer alan verileri erişime açmak
Fıkra, siber uzayda bir veri sızıntısı nedeniyle daha önce yer almış verileri konu alır. Bu veriler, kişisel veya kritik kamu hizmeti kapsamına giren kurumsal verilerdir. Kişilerin ya da kurumların izni bulunmadan bu verileri erişime açmak, paylaşmak veya satışa çıkarmak cezalandırılır. Ücretli yapılması ile ücretsiz yapılması aynı sonucu doğurur. Hapis cezası üç yıldan beş yıla kadardır.
Çerçeveye aykırı sızıntı içeriği oluşturmak veya yaymak
Fıkra, sızıntının siber uzayda gerçekleşmediğini bilen kişiye yöneliktir. Amaç, halkta endişe, korku ve panik doğurmak veya kurumları ya da şahısları hedef haline getirmektir. Bu amaçla, siber güvenliğe ilişkin sızıntı bulunduğu yönünde çerçeveye aykırı içerik hazırlamak cezalandırılır. Aynı içerikleri bu maksatla yaymak da aynı kapsamdadır. Hapis cezası iki yıl ile beş yıl arasındadır. Hem sızıntının olmadığının bilinmesi hem de sayılan amaçlardan biriyle hareket edilmesi aranır.
Milli gücü oluşturan unsurlara saldırı ve verinin akıbeti
Türkiye Cumhuriyeti’nin siber uzaydaki milli gücünü meydana getiren unsurlara yönelik siber saldırıda bulunan kişi, fiil daha ağır cezayı gerektiren başka bir suç oluşturmuyorsa sekiz yıldan on iki yıla kadar hapis cezası ile cezalandırılır. Aynı ceza, bu saldırı sonucunda elde ettiği her türlü veriyi siber uzayda bulunduran kişi için de öngörülmüştür. Daha ağır cezayı gerektiren başka bir suçun bulunmaması, bu ceza aralığının uygulanmasına bağlanan şarttır.
Aynı saldırı sonucunda elde edilen her türlü veriyi siber uzayda yayan, başka bir yere gönderen veya satışa çıkaran kişiye on yıldan on beş yıla kadar hapis cezası verilir. Yayma, gönderme ve satışa çıkarma bu cümlede aynı ceza aralığına alınmıştır. Veriyi siber uzayda bulundurmak ise aynı fıkranın önceki cümlesinde düzenlenir ve daha düşük aralığa bağlanır.
Cezanın artırıldığı haller
Yukarıdaki fıkralara göre verilecek ceza, suçun kamu görevlisi tarafından işlenmesi halinde üçte bir oranında artırılır. Suçun birden fazla kişi tarafından işlenmesi halinde artış yarı oranındadır. Bir örgütün faaliyeti çerçevesinde işlenmesi halinde ceza, yarısından iki katına kadar artırılır. Artırım, maddenin önceki fıkralarına göre belirlenecek cezaya ilişkindir.
Başka maddeye yollayan hapis cezaları
12. maddeye aykırı davrananlara üç yıldan beş yıla kadar hapis cezası verilir. 12. maddede hangi davranışların yasaklandığı, 16. maddenin bu fıkrasında açıklanmaz. Bu nedenle aykırılığın somut içeriği yalnız 16. madde metninden tamamlanamaz.
Bu Kanundan kaynaklanan görev ve yetkilerini kötüye kullanan kişiye bir yıldan üç yıla kadar hapis cezası verilir. Aynı ceza, kritik altyapıların siber saldırılara karşı korunması kapsamında görevinin gereklerine aykırı hareket ederek veri ihlali yaşanmasına sebebiyet veren kişi için de öngörülmüştür. Fıkra bu iki hali aynı ceza aralığında düzenler.
İdari para cezası öngören hükümler
Yedinci maddenin birinci fıkrasında (b) ve (c) bentlerinde yazılı görev ve sorumluluklar yerine getirilmezse idari para cezası uygulanır. Alt sınır bir milyon, üst sınır on milyon Türk lirasıdır. On sekizinci maddedeki görev ve sorumlulukların yerine getirilmemesinde ise alt sınır on milyon, üst sınır yüz milyon Türk lirasıdır. Yollama yapılan görevlerin içeriği on altıncı madde metninde yer almaz.
8. maddenin dördüncü fıkrasındaki yükümlülüklerini yerine getirmeyenlere yüz bin Türk lirasından bir milyon Türk lirasına kadar idari para cezası verilir. Bu yükümlülüklerin ticari şirketlerce yerine getirilmemesi halinde alt sınır yüz bin Türk lirasıdır. Üst sınır ise bağımsız denetimden geçmiş yıllık finansal tablolarda yer alan brüt satış hasılatının yüzde 5’ine kadardır. Yüzde 5’e kadar olan ölçü ticari şirketler bakımından düzenlenmiştir. Yükümlülüğün içeriği 16. maddede açıklanmaz.
Sık sorulan sorular
Kamu kurumları bilgi vermeme fıkrasının kapsamında mıdır?
Hayır. Birinci fıkra kamu kurum ve kuruluşlarını hariç tutar. Fıkranın dışında kalan kişiler bakımından, yetkili merciler ile denetim görevlilerinin görev ve yetkileri kapsamında istenen bilgi, belge, yazılım, veri ve donanımı vermemek veya alınmasına engel olmak bir yıldan üç yıla kadar hapis ve beş yüz günden bin beş yüz güne kadar adli para cezası gerektirir.
İzinsiz faaliyette yalnız hapis cezası mı vardır?
Hayır. Kanun uyarınca alınması gerekli onay, yetki veya izin olmadan faaliyet yürüten kişiye iki yıldan dört yıla kadar hapis cezası verilir. Ayrıca bin günden iki bin güne kadar adli para cezası uygulanır.
Sır saklama ihlalinde adli para cezası var mıdır?
İlgili fıkra, sır saklama yükümlülüğünü yerine getirmeyenler için dört yıldan sekiz yıla kadar hapis cezası öngörür. Bu fıkrada adli para cezası yer almaz.
Veriyi ücretsiz paylaşmak cezayı kaldırır mı?
Hayır. Kişilerin veya kurumların izni olmaksızın, sızıntı nedeniyle daha önce yer alan kişisel veriyi veya kritik kamu hizmeti kapsamındaki kurumsal veriyi ücretli ya da ücretsiz erişime açmak, paylaşmak veya satışa çıkarmak üç yıldan beş yıla kadar hapis cezası gerektirir.
Asılsız sızıntı içeriğinde hangi şartlar aranır?
Kişinin siber uzayda veri sızıntısı olmadığını bilmesi gerekir. Ayrıca halk arasında endişe, korku ve panik yaratmak ya da kurumları veya şahısları hedef göstermek amacıyla hareket etmelidir. Bu şartlarla çerçeveye aykırı içerik oluşturmak veya bu maksatla yaymak iki yıldan beş yıla kadar hapis cezası gerektirir.
Siber saldırı cezası her durumda sekiz yıldan mı başlar?
Hayır. Sekiz yıldan on iki yıla kadar hapis cezası, fiilin daha ağır cezayı gerektiren başka bir suç oluşturmaması şartına bağlanmıştır. Bu aralık, milli gücü meydana getiren unsurlara yönelik siber saldırı veya saldırı sonucu elde edilen verinin siber uzayda bulundurulması için öngörülmüştür.
Saldırıdan elde edilen veriyi yaymak aynı cezayı mı gerektirir?
Hayır. Bu veriyi siber uzayda yayan, başka bir yere gönderen veya satışa çıkaran kişiye on yıldan on beş yıla kadar hapis cezası verilir. Veriyi siber uzayda bulundurmak aynı fıkranın önceki cümlesinde ve daha düşük aralıkta düzenlenmiştir.
Artırım hangi cezalara uygulanır?
Artırım, 16. maddenin yukarıdaki fıkralarına göre verilecek cezaya ilişkindir. Kamu görevlisinde üçte bir, birden fazla kişide yarı oran, örgütün faaliyeti çerçevesinde ise yarısından iki katına kadar artış öngörülür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy