Erkeklerin “sonuç ne olur?” sorusu ile kadınların “bu veri insanı nasıl etkiler?” sorusunu aynı masada düşünmek
Bu konu tartışılırken toplumdaki bazı alışkanlıklar da dikkat çekiyor. Teknoloji ve internet suçları konuşulurken erkek kullanıcıların bir bölümünde “kaç yıl yatar?”, “para cezası gelir mi?”, “telefon alınır mı?” gibi sonuç odaklı sorular öne çıkabiliyor. Kadın kullanıcılar açısından ise kişisel verilerin açığa çıkmasının taciz, takip edilme, aile içi sorunlar, sosyal baskı veya mahremiyet kaybı gibi sonuçları daha görünür bir mesele olarak gündeme gelebiliyor.
Bunları kadınlar veya erkekler için değişmez özellikler olarak görmek doğru olmaz. Aynı kişinin hem hukuki yaptırımı hem de sosyal sonuçları aynı anda önemsemesi mümkün.
Bence panel tartışmalarında eksik kalan nokta tam da burada.
Bir T.C. kimlik numarasının internette bulunması yalnızca “bir veri sızıntısı” değildir. Adres bilgisinin paylaşılması, bir kişinin fiziksel olarak bulunabileceği yeri başkalarına gösterebilir. Telefon numarasının yayılması istenmeyen aramalar ve mesajlar doğurabilir. Aile bilgilerinin ortaya çıkması ise çok daha farklı sosyal sonuçlar yaratabilir.
Bu yüzden hukuki risk ile gerçek hayattaki mağduriyet riskini ayrı ayrı düşünmek gerekiyor.
KVKK açısından da para cezaları gündeme gelebilir mi?
Burada önemli bir ayrım var: TCK kapsamındaki hapis cezaları ile KVKK kapsamındaki idari para cezaları aynı şey değildir.
KVKK'nın 18. maddesinde belirli yükümlülüklere aykırılıklar için idari para cezaları düzenleniyor. Kişisel Verileri Koruma Kurumu'nun yayımladığı güncel tabloya göre 2026 yılında aydınlatma yükümlülüğüne aykırılık bakımından ceza aralığı 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklere aykırılık bakımından ise 256.357 TL ile 17.092.242 TL arasında bulunuyor. Kurul kararlarına aykırılık ve VERBİS yükümlülükleri bakımından da farklı ceza aralıkları uygulanıyor.
Ancak burada önemli bir nüans var: Her bireysel “panel kullanıcısına” otomatik olarak KVKK cezası kesileceği sonucu çıkarılmamalı. KVKK'daki idari yaptırımların hangi kişi veya kuruluşlara ve hangi yükümlülükler kapsamında uygulanacağı, somut olayın hukuki niteliğine göre belirlenir.
Bu ayrım özellikle forumlarda sık karıştırılıyor.
“KVKK'da 17 milyon TL ceza var” demek ile “panel kullanan herkes 17 milyon TL ceza alır” demek arasında çok büyük fark var.
Bir panelin para karşılığı satılması cezayı neden daha karmaşık hale getirebilir?
Verilerin ticari amaçla kullanılması, hukuki değerlendirmede ayrıca önem taşıyabilecek bir unsur olabilir. Örneğin kişilerin bilgilerini ücret karşılığında sorgulatan, üyelik satan veya verileri başka kişilere dağıtan bir sistem ile yalnızca kendi verilerini test eden kapalı bir yazılım arasında aynı fiil yapısı bulunmayabilir.
Fakat burada da “para kazanıyorsa kesin şu kadar ceza” şeklinde mekanik bir formül bulunmuyor.
Ceza hukukunda önemli olan somut fiildir. Veri nasıl elde edildi? Hangi veriler söz konusu? Yetki var mıydı? Veri başkasına aktarıldı mı? Sistem üzerinde yetkisiz erişim gerçekleşti mi? Veriler değiştirildi mi? Failin eylemi birden fazla suçun unsurlarını oluşturuyor mu?
Bunların tamamı dosya üzerinden değerlendirilir.
Asıl gözden kaçan konu: Dijital izler
Panel işlerinde teknik açıdan en yanlış varsayımlardan biri, internet ortamında yapılan işlemlerin “iz bırakmadığı” düşüncesidir.
Sunucu kayıtları, IP bilgileri, ödeme hareketleri, alan adı kayıtları, hosting bilgileri, kullanıcı hesapları, mesajlaşmalar, veritabanı kayıtları ve cihaz incelemeleri soruşturmalarda önem taşıyabilecek dijital unsurlardır.
Örneğin KVKK'nın 2021 tarihli bir kararında, kişisel verilerin bir forumda satışa çıkarılmasıyla ilgili ihlal incelenirken verilerin farklı veri sorumlularının sistemlerinden elde edilmiş olabileceğine ilişkin teknik bulgular, sızma testleri ve veri işleyenlerin güvenlik yükümlülükleri ayrıntılı biçimde ele alındı.
Buradan çıkarılabilecek önemli ders şu: “Paneli ben yazdım ama veriyi başkası verdi” şeklindeki bir açıklama tek başına hukuki sorumluluğu ortadan kaldırmaz. Kimin hangi eylemi gerçekleştirdiği teknik deliller üzerinden ayrıca incelenir.
Peki sadece panel kodunu yazmak suç mu?
Genel olarak sıradan bir yazılım geliştirmek ile hukuka aykırı kişisel veri işleme arasında doğrudan eşitlik kurmak doğru değildir.
Örneğin geliştirici;
- sahte test verileri kullanıyorsa,
- gerçek kişilerin verilerini toplamıyorsa,
- yetkisiz sistemlere erişmiyorsa,
- başkalarının kişisel verilerini hukuka aykırı biçimde sunmuyorsa,
salt bir arayüz veya veritabanı uygulaması geliştirmiş olması nedeniyle otomatik olarak “panel suçu” diye ayrı bir suçtan sorumlu tutulmaz.
Fakat geliştirici gerçek kişilerin verilerini hukuka aykırı biçimde toplayan, depolayan veya dağıtan sistemin teknik altyapısını bilerek kuruyor ve işletiyorsa, olayın somut özellikleri önem kazanır.
Dolayısıyla yazılım mühendisliği açısından “kod çalışıyor mu?” sorusunun yanında hukuk açısından “bu sistem hangi veriyi, hangi yetkiyle, hangi amaçla işliyor?” sorusunun da sorulması gerekiyor.
Sonuç: “Panel yapmanın cezası” tek bir rakam değil
Toparlarsak, Türkiye'de “panel yapmak” adı altında tek başına düzenlenmiş özel bir suç ve buna bağlı tek bir sabit ceza bulunmuyor. Ancak panelin çalışma biçimine göre farklı suçlar gündeme gelebiliyor.
Hukuka aykırı kişisel veri kaydı bakımından TCK 135'te 1–3 yıl hapis, kişisel verilerin hukuka aykırı şekilde verilmesi, yayılması veya ele geçirilmesi bakımından TCK 136'da 2–4 yıl hapis öngörülüyor. Yetkisiz bilişim sistemi erişimi bakımından TCK 243'te 1 yıla kadar hapis veya adli para cezası, belirli veri değişikliği hallerinde daha farklı cezalar bulunuyor. Sistemin engellenmesi, bozulması veya verilerin değiştirilmesi halinde TCK 244 de devreye girebiliyor.
Bunun yanında somut olayın özelliklerine göre KVKK kapsamındaki idari yaptırımlar da ayrıca önem taşıyabilir. 2026 yılı için bazı KVKK idari para cezalarının milyonlarca liraya ulaşması, kişisel verilerin korunmasının yalnızca “internet forumlarında konuşulan bir konu” olmadığını gösteriyor.
Bence forumda asıl tartışılması gereken soru “Panel kullanan kaç yıl ceza alır?”dan biraz daha geniş:
Bir yazılımcı, elindeki verinin hukuka aykırı olduğunu fark ettiği anda sistemi kullanmayı bırakmakla mı yetinmeli, yoksa verinin kaynağını ve olası mağduriyeti bildirmek için ayrıca harekete geçmeli mi?
Bir başka soru da şu:
Bir kişinin adresini, telefonunu veya aile bilgilerini saniyeler içinde gösterebilen bir sistem teknik açıdan ne kadar kolay kurulabiliyor ve toplum olarak bu kolaylığın hukuki ve sosyal maliyetini yeterince ciddiye alıyor muyuz?
Çünkü panel meselesinin merkezinde aslında yalnızca bilgisayar kodu yok. Ceza hukuku, bilişim güvenliği, veri koruma hukuku, etik ve hatta sosyoloji aynı noktada kesişiyor. Bir satır kodun arkasında gerçek bir insanın mahremiyeti bulunduğunda, “sadece panel” ifadesi hukuki açıdan oldukça yanıltıcı hale gelebiliyor.
Not: Ceza miktarları ve uygulanacak maddeler somut olayın tarihine, fiilin niteliğine, delillere ve mahkemenin hukuki değerlendirmesine göre değişebilir. Yukarıdaki rakamlar 3 Ekim 2026 itibarıyla yürürlükteki düzenlemeler ve 2026 KVKK idari para cezası tutarları esas alınarak verilmiştir.
Kaynakları metin içinde görünür kılTCK maddelerini daha dikkatli ayır
Kaynakları metin içinde görünür kıl
TCK maddelerini daha dikkatli ayır
Cinsiyet bölümünü klişelerden arındır
Bu konu tartışılırken toplumdaki bazı alışkanlıklar da dikkat çekiyor. Teknoloji ve internet suçları konuşulurken erkek kullanıcıların bir bölümünde “kaç yıl yatar?”, “para cezası gelir mi?”, “telefon alınır mı?” gibi sonuç odaklı sorular öne çıkabiliyor. Kadın kullanıcılar açısından ise kişisel verilerin açığa çıkmasının taciz, takip edilme, aile içi sorunlar, sosyal baskı veya mahremiyet kaybı gibi sonuçları daha görünür bir mesele olarak gündeme gelebiliyor.
Bunları kadınlar veya erkekler için değişmez özellikler olarak görmek doğru olmaz. Aynı kişinin hem hukuki yaptırımı hem de sosyal sonuçları aynı anda önemsemesi mümkün.
Bence panel tartışmalarında eksik kalan nokta tam da burada.
Bir T.C. kimlik numarasının internette bulunması yalnızca “bir veri sızıntısı” değildir. Adres bilgisinin paylaşılması, bir kişinin fiziksel olarak bulunabileceği yeri başkalarına gösterebilir. Telefon numarasının yayılması istenmeyen aramalar ve mesajlar doğurabilir. Aile bilgilerinin ortaya çıkması ise çok daha farklı sosyal sonuçlar yaratabilir.
Bu yüzden hukuki risk ile gerçek hayattaki mağduriyet riskini ayrı ayrı düşünmek gerekiyor.
KVKK açısından da para cezaları gündeme gelebilir mi?
Burada önemli bir ayrım var: TCK kapsamındaki hapis cezaları ile KVKK kapsamındaki idari para cezaları aynı şey değildir.
KVKK'nın 18. maddesinde belirli yükümlülüklere aykırılıklar için idari para cezaları düzenleniyor. Kişisel Verileri Koruma Kurumu'nun yayımladığı güncel tabloya göre 2026 yılında aydınlatma yükümlülüğüne aykırılık bakımından ceza aralığı 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklere aykırılık bakımından ise 256.357 TL ile 17.092.242 TL arasında bulunuyor. Kurul kararlarına aykırılık ve VERBİS yükümlülükleri bakımından da farklı ceza aralıkları uygulanıyor.
Ancak burada önemli bir nüans var: Her bireysel “panel kullanıcısına” otomatik olarak KVKK cezası kesileceği sonucu çıkarılmamalı. KVKK'daki idari yaptırımların hangi kişi veya kuruluşlara ve hangi yükümlülükler kapsamında uygulanacağı, somut olayın hukuki niteliğine göre belirlenir.
Bu ayrım özellikle forumlarda sık karıştırılıyor.
“KVKK'da 17 milyon TL ceza var” demek ile “panel kullanan herkes 17 milyon TL ceza alır” demek arasında çok büyük fark var.
Bir panelin para karşılığı satılması cezayı neden daha karmaşık hale getirebilir?
Verilerin ticari amaçla kullanılması, hukuki değerlendirmede ayrıca önem taşıyabilecek bir unsur olabilir. Örneğin kişilerin bilgilerini ücret karşılığında sorgulatan, üyelik satan veya verileri başka kişilere dağıtan bir sistem ile yalnızca kendi verilerini test eden kapalı bir yazılım arasında aynı fiil yapısı bulunmayabilir.
Fakat burada da “para kazanıyorsa kesin şu kadar ceza” şeklinde mekanik bir formül bulunmuyor.
Ceza hukukunda önemli olan somut fiildir. Veri nasıl elde edildi? Hangi veriler söz konusu? Yetki var mıydı? Veri başkasına aktarıldı mı? Sistem üzerinde yetkisiz erişim gerçekleşti mi? Veriler değiştirildi mi? Failin eylemi birden fazla suçun unsurlarını oluşturuyor mu?
Bunların tamamı dosya üzerinden değerlendirilir.
Asıl gözden kaçan konu: Dijital izler
Panel işlerinde teknik açıdan en yanlış varsayımlardan biri, internet ortamında yapılan işlemlerin “iz bırakmadığı” düşüncesidir.
Sunucu kayıtları, IP bilgileri, ödeme hareketleri, alan adı kayıtları, hosting bilgileri, kullanıcı hesapları, mesajlaşmalar, veritabanı kayıtları ve cihaz incelemeleri soruşturmalarda önem taşıyabilecek dijital unsurlardır.
Örneğin KVKK'nın 2021 tarihli bir kararında, kişisel verilerin bir forumda satışa çıkarılmasıyla ilgili ihlal incelenirken verilerin farklı veri sorumlularının sistemlerinden elde edilmiş olabileceğine ilişkin teknik bulgular, sızma testleri ve veri işleyenlerin güvenlik yükümlülükleri ayrıntılı biçimde ele alındı.
Buradan çıkarılabilecek önemli ders şu: “Paneli ben yazdım ama veriyi başkası verdi” şeklindeki bir açıklama tek başına hukuki sorumluluğu ortadan kaldırmaz. Kimin hangi eylemi gerçekleştirdiği teknik deliller üzerinden ayrıca incelenir.
Peki sadece panel kodunu yazmak suç mu?
Genel olarak sıradan bir yazılım geliştirmek ile hukuka aykırı kişisel veri işleme arasında doğrudan eşitlik kurmak doğru değildir.
Örneğin geliştirici;
- sahte test verileri kullanıyorsa,
- gerçek kişilerin verilerini toplamıyorsa,
- yetkisiz sistemlere erişmiyorsa,
- başkalarının kişisel verilerini hukuka aykırı biçimde sunmuyorsa,
salt bir arayüz veya veritabanı uygulaması geliştirmiş olması nedeniyle otomatik olarak “panel suçu” diye ayrı bir suçtan sorumlu tutulmaz.
Fakat geliştirici gerçek kişilerin verilerini hukuka aykırı biçimde toplayan, depolayan veya dağıtan sistemin teknik altyapısını bilerek kuruyor ve işletiyorsa, olayın somut özellikleri önem kazanır.
Dolayısıyla yazılım mühendisliği açısından “kod çalışıyor mu?” sorusunun yanında hukuk açısından “bu sistem hangi veriyi, hangi yetkiyle, hangi amaçla işliyor?” sorusunun da sorulması gerekiyor.
Sonuç: “Panel yapmanın cezası” tek bir rakam değil
Toparlarsak, Türkiye'de “panel yapmak” adı altında tek başına düzenlenmiş özel bir suç ve buna bağlı tek bir sabit ceza bulunmuyor. Ancak panelin çalışma biçimine göre farklı suçlar gündeme gelebiliyor.
Hukuka aykırı kişisel veri kaydı bakımından TCK 135'te 1–3 yıl hapis, kişisel verilerin hukuka aykırı şekilde verilmesi, yayılması veya ele geçirilmesi bakımından TCK 136'da 2–4 yıl hapis öngörülüyor. Yetkisiz bilişim sistemi erişimi bakımından TCK 243'te 1 yıla kadar hapis veya adli para cezası, belirli veri değişikliği hallerinde daha farklı cezalar bulunuyor. Sistemin engellenmesi, bozulması veya verilerin değiştirilmesi halinde TCK 244 de devreye girebiliyor.
Bunun yanında somut olayın özelliklerine göre KVKK kapsamındaki idari yaptırımlar da ayrıca önem taşıyabilir. 2026 yılı için bazı KVKK idari para cezalarının milyonlarca liraya ulaşması, kişisel verilerin korunmasının yalnızca “internet forumlarında konuşulan bir konu” olmadığını gösteriyor.
Bence forumda asıl tartışılması gereken soru “Panel kullanan kaç yıl ceza alır?”dan biraz daha geniş:
Bir yazılımcı, elindeki verinin hukuka aykırı olduğunu fark ettiği anda sistemi kullanmayı bırakmakla mı yetinmeli, yoksa verinin kaynağını ve olası mağduriyeti bildirmek için ayrıca harekete geçmeli mi?
Bir başka soru da şu:
Bir kişinin adresini, telefonunu veya aile bilgilerini saniyeler içinde gösterebilen bir sistem teknik açıdan ne kadar kolay kurulabiliyor ve toplum olarak bu kolaylığın hukuki ve sosyal maliyetini yeterince ciddiye alıyor muyuz?
Çünkü panel meselesinin merkezinde aslında yalnızca bilgisayar kodu yok. Ceza hukuku, bilişim güvenliği, veri koruma hukuku, etik ve hatta sosyoloji aynı noktada kesişiyor. Bir satır kodun arkasında gerçek bir insanın mahremiyeti bulunduğunda, “sadece panel” ifadesi hukuki açıdan oldukça yanıltıcı hale gelebiliyor.
Not: Ceza miktarları ve uygulanacak maddeler somut olayın tarihine, fiilin niteliğine, delillere ve mahkemenin hukuki değerlendirmesine göre değişebilir. Yukarıdaki rakamlar 3 Ekim 2026 itibarıyla yürürlükteki düzenlemeler ve 2026 KVKK idari para cezası tutarları esas alınarak verilmiştir.
Kaynakları metin içinde görünür kılTCK maddelerini daha dikkatli ayır
Kaynakları metin içinde görünür kıl
TCK maddelerini daha dikkatli ayır
Cinsiyet bölümünü klişelerden arındır