Danıştay 13. Daire E.2020/1364 K.2024/5303

Dava konusu istem: Denetim süreci içerisinde tekraren talep edilen bilgi ve belgelerin tam ve eksiksiz gönderilmediğinden bahisle Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 27. maddesi uyarınca, anılan Yönetmeliğin "Tekerrür" başlıklı 43. maddesinin birinci fıkrası ile "Yaptırım ölçütleri" başlıklı 44. maddesi çerçevesinde, 2015 yılı net satışlarının onbinde ikisi oranında idari para cezası verilmesine ilişkin ... tarih ve... sayılı yazı ile bildirilen 22/01/2018 tarih ve 2018/İK-SDD/24 sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 6. maddesinin, bu karara istinaden düzenlenen 1.510.390,79-TL tutarlı idari para cezası karar tutanağı ile tahakkuk fişinin iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ...İdare Mahkemesince verilen ...tarih ve E:... K:... sayılı kararda.

Bilgi Teknolojileri ve İletişim Kurumu Sektörel Denetim Dairesi Başkanlığının 26/01/2017 tarih ve E.5632 sayılı yazısının 13. maddesi ile davacı şirketten "01/01/2010 tarihinden itibaren Ümitköy veri merkezi şebeke alt yapısında kullanılmış (açılıp katılanlar dahil) tüm mirror sessionları, bunlara yönelik iş emirleri ile hangi verinin ne amaçla nereye doğru mirrorlandığına dair" ayrıntılı açıklamanın istenildiği, davacı şirket tarafından 14/02/2017 tarihli yazıya ekli CD-1'de yer verilen "şirketimiz açıklamaları" başlığı altında yer alan 13 numaralı açıklamalarda, açıklamaların 13 numaralı klasörde yer aldığının belirtildiği,

13 numaralı klasörde bulunan excel tablosunda ise mirror sessionlara ilişkin davalı idarece istenilen açıklamaların yer almadığı, açıklanması istenilen söz konusu hususların davacı şirket tarafından yazılı savunmasında açıklanmaya çalışıldığı, ayrıca 21/07/2016 tarihli tutanak ile alınan mirror session sayıları ile gönderilen açıklamalarda yer alan mirror session sayılarının birbiri ile örtüşmediği hususunun davacı şirketçe de kabul edildiği, bu hususa ilişkin olarak davacı şirket tarafından 26/01/2017 tarihli bilgi talebine ilişkin yazının 13. maddesinde istenilen bilgilerin 14. maddede istenen bilgilere yönelik algıyı değiştirdiğinden,

sadece sm.türktelekom.com.tr. adresi aracılığıyla açılan taleplerle gerçekleştirilen mirror sessionların istenildiği düşüncesini oluşturduğu ve sadece bu yöne ilişkin açıklamalarda bulunulduğu ileri sürülmüş ise de, anılan yazının 13. maddesinde böyle bir ayrıma gidilmeden tüm mirror sessionlara ilişkin bilgilerin istenildiği, yetkilendirmesi kapsamında açılanması istenilen hususları doğru ve eksiksiz olarak Kurumca istenen süre içerisinde açıklamakla yükümlü olan davacı şirketin, bu yükümlüğünü yerine getirmediği anlaşıldığından, dava konusu işlemlerde hukuka aykırılık bulunmadığı,

davacı şirket tarafından ileri sürülen, idari para cezası tesis edilirken "uyarı" mekanizmasının göz ardı edildiği iddiasına ve bir önceki takvim yılına ait net satışlarının yüzde üçüne kadar idari para cezası verilebilecekken, Yönetmeliğin 44. maddesinde yer alan kriterler çerçevesinde onbinde iki oranında idari para cezası uygulandığı anlaşıldığından, bu konudaki iddiaya da itibar edilemeyeceği sonucuna varılmıştır.

Belirtilen gerekçelerle dava konusu işlem hukuka uygun bulunarak davanın reddine karar verilmiştir. Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesince; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davacı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, talep edilen bilgileri karşılamak adına azami gayretin sarfedildiği, davacı şirket tarafından hangi verinin hangi amaçla mirror'landığına yönelik bilgileri içeren Excel tablosunun davalı idareye ibraz edildiği, DLP projesi kapsamında kullanılan mirror'lanmış trafiğin, DLP projesinin 2. fazında belirlenmiş network üzerindeki veri sızıntısı vakalarının tespiti için kullanıldığı, anılan konudaki bilgilendirmenin davalı idareye yapıldığı,

gerek sistem ve uygulamalara karşı gerçekleştirilebilecek siber saldırılara karşı koruma sağlamakta, gerekse de kendi ve müşterilerine ait kritik verilerin yetkisiz kişilerin eline geçmesine engel olabilmek için gerekli tedbirlerin alındığı, denetim esnasında temin edilen verilerin mevcut dönem koşulları nedeniyle kontrol edilemeden ibraz edildiği, bu süreçte çok kapsamlı bir veri teslimi olduğu için bazı ayrıntıların dikkatten kaçırıldığı, söz konusu verilerin tamamının daha sonradan davalı idareye ibraz edildiği,

26/01/2017 tarihli ek bilgi talebine ilişkin yazının 13. maddesinde istenen bilgilerin 14. maddede istenen bilgilere yönelik algıyı değiştirdiği, bu nedenle daha sınırlı açıklamada bulunulduğu, 21/07/2016 tarihinde iletilen log kayıtlarında ise bütün mirror sessionların görüntülendiği, verilen cezanın eşitlik ilkesine aykırı olduğu, dava konusu işlemde ihlal maddesinin yanlış tespit edildiği, dava konusu idari para cezasının somut kriterlere dayalı olarak tesis edilmediği, fahiş ve orantısız olduğu, davalı idarece "uyarı" mekanizmasının işletilmediği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, temyize konu kararın hukuka uygun olduğu belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'UN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan Bölge İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesince, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

Bölge idare mahkemesi kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı halinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.

(X) KARŞI OY

15/02/2014 tarih ve 28914 sayılı Resmi Gazete'de yayımlanarak yürürlüğe giren Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin ''Uyarı'' başlıklı 46. maddesinde, ''(1) Bu Yönetmelik kapsamında meydana gelen ihlaller için, bu Yönetmeliğin 44'üncü maddesinde yer alan hususlar dikkate alınmak ve 23'üncü, 24'üncü, 25'inci, 31'inci ve 33'üncü maddeler saklı kalmak kaydıyla idari yaptırım uygulanmadan önce, bu Yönetmeliğin aynı maddesi kapsamında olmak üzere işletmeci Kurul tarafından bir defaya mahsus uyarılabilir. (2) Uyarı yapılırken tekerrür süresi dikkate alınır. Tekerrüre esas sürenin dolması halinde aynı madde kapsamında tekrar uyarıda bulunulabilir.'' kuralı yer almaktadır.

Hukuk Devleti, insan haklarına saygılı ve bu hakları koruyan, adaletli bir hukuk düzeni kuran ve bunu sürdürmekle kendini yükümlü sayan, bütün işlem ve eylemleri yargı denetimine bağlı olan Devlettir, şeklinde tanımlanmakta olup, bu ilkenin gereği olarak yürütme organı hukuka bağlı olmalıdır. Bu bağlılık yapılan idari işlemlerin Anayasa, kanun ve bunlara aykırı olmayacak şekilde çıkarılmış tüzük, yönetmelik ve diğer düzenlemelere uygun olarak tesis edilmesini zorunlu kılar.

Davalı idarenin de, dava konusu işlemi tesis ederken yürürlükte bulunan yönetmelik hükmünü uygulaması gerekmektedir. Yukarıda yer verilen Yönetmelik hükmü uyarınca da, idari yaptırım uygulanmadan önce ya "uyarı" yapmalı ya da "uyarı" yapılmayacağını takdir ettiği durumlarda, bu yaptırımın verilmemesinin gerekçesini Kurul kararında açıklaması gerekmektedir.

Dava konusu 22/01/2018 tarihli Kurul kararının tesisinden önce "uyarı" yapılmadığı gibi, neden "uyarı" yapılmadığının da açıklanmadığı anlaşıldığından, dava konusu işlemlerde hukuka uygunluk, davanın reddi yolundaki İdare Mahkemesi kararına karşı yapılan istinaf başvurusunun reddine dair Bölge İdare Mahkemesi kararında hukuki isabet bulunmamaktadır.

Bu nedenlerle, temyiz isteminin kabul edilerek Bölge İdare Mahkemesi kararının bozulmasına karar verilmesi gerektiği oyu ile karara katılmıyorum.