Danıştay 13. Daire E.2020/2416 K.2024/2442

Dava konusu istem: Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin 30. maddesine aykırı olarak Kimyon sunucularında "root" kullanıcı adı ile işlem yapıldığından bahisle Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 19. maddesinin birinci fıkrası ve 44. maddesi çerçevesinde, 2015 yılı net satış tutarının %0,003 oranında idari para cezası verilmesine ilişkin ... tarih ve ... sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 3. maddesinin, bu karara istinaden düzenlenen 226.558,62-TL tutarlı idari para cezası karar tutanağının ve tahakkuk fişinin iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ... İdare Mahkemesi'nce verilen ... tarih ve E:..., K:... sayılı kararda; davacı şirket nezdinde yapılan denetimde, Kimyon sunucularında "root" kullanıcısı ile işlem yürütüldüğünün görüldüğü, davacı tarafından bunun teknik gereklilikten kaynaklandığının ifade edildiği,

sunucular üzerinde bazı işlemlerin "root" veya "admin" yetkisiyle yapılma zorunluluğunun teknik olarak anlaşılabilir bir durum olduğu ancak kullanıcılara söz konusu yetki tanımlamalarının kendi kullanıcı adlarına yapılacak yetki tanımı ile sağlanabileceği, diğer taraftan bir başka doğrulama sisteminden geçilerek yapılacak işlemlerin oluşabilecek problemi ortadan kaldırmayacağı, aynı anda birden fazla kullanıcının bağlandığı sistemlerde "root" kullanıcısı ile yapılan işlemlerin hangi kullanıcı tarafından gerçekleştirildiğinin ayırt edilemeyeceği, bu durumda,

kritik sistemlerde kullanıcıların yaptıkları işlemlerden sorumlu olmalarını sağlayacak nitelikte ayırt edilebilir ve eşsiz kullanıcı adı kullanmalarının sağlanılması gerekmekteyken anılan sistemlerde "root" kullanıcı adıyla işlem yaptığı hususu sabit olan davacı şirket hakkında tesis edilen Kurul kararında hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle dava konusu işlem hukuka uygun bulunarak davanın reddine karar verilmiştir. Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesi'nce; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davacı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, teknik bilgi gerektiren "root" kullanıcılarının ayırt edilebilirliğinin her daim mümkün olup olmadığı konusunda bilirkişi incelemesi yapılmasının gerektiği, Kimyon sunucularında kullanıcı yetkilendirmelerinin Centrify yazılımı üzerinden yapıldığı, gerçek kullanıcıların kendi eşsiz kullanıcı adları ile sunuculara bağlandığı, normal kullanıcı yetkileri dışında ek yetkiye ihtiyaç duyulduğu takdirde, kullanıcılara onay süreci sonrasında belirli sürelerle ek yetki verildiği,

sunucular üzerinde root kullanıcısı ile işlem yapma yetkisine sahip kullanıcıların kendi eşsiz kullanıcıları ile sisteme erişim yaptıktan sonra root kullanıcısına geçiş yaptığı, erişim sonrası root kullanıcısına geçiş işleminin yetkili kullanıcıların ayırt edilebilirlik ve eşsizlik niteliklerini ortadan kaldırmadığı, bir başka anlatımla, root kullanıcısıyla hangi işlemin hangi yetkili kullanıcı tarafından yapıldığı bilgisinin temin edilebildiği,

Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin 30. maddesinin kritik sistemlerde işlem yapan kullanıcıların kimliğinin tespit edilmesi amacıyla düzenlendiği dikkate alındığında anılan kurala aykırı hareket edildiğinden söz edilemeyeceği, dava konusu işlemin tesisinden önce uyarılmaları gerektiği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, güvenlik açısından kullanıcılara söz konusu yetki tanımlamalarının kendi kullanıcı adlarına yapılacak yetki tanımı ile sağlanabileceği, bir başka doğrulama sisteminden geçilerek yapılacak işlemlerin güvenlik sorunlarını ortadan kaldırmayacağı, nitekim aynı anda birden fazla kullanıcının bağlandığı sistemlerde “root” kullanıcı adı ile yapılan işlemlerin hangi kullanıcı tarafından gerçekleştirildiğinin ayırt edilemeyebileceği, uyarı mekanizmasının idari yaptırım uygulanmadan önce tüketilmesi gereken bir yol olmadığı belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'İN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan Bölge İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesi'nce, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

Bölge idare mahkemesi kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı hâlinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.

(X) KARŞI OY

15/02/2014 tarih ve 28914 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin ''Uyarı'' başlıklı 46. maddesinde, ''(1) Bu Yönetmelik kapsamında meydana gelen ihlâller için, bu Yönetmeliğin 44'üncü maddesinde yer alan hususlar dikkate alınmak ve 23'üncü, 24'üncü, 25'inci, 31'inci ve 33'üncü maddeler saklı kalmak kaydıyla idari yaptırım uygulanmadan önce, bu Yönetmeliğin aynı maddesi kapsamında olmak üzere işletmeci Kurul tarafından bir defaya mahsus uyarılabilir. (2) Uyarı yapılırken tekerrür süresi dikkate alınır. Tekerrüre esas sürenin dolması hâlinde aynı madde kapsamında tekrar uyarıda bulunulabilir.'' kuralı yer almaktadır.

Hukuk Devleti, "İnsan haklarına saygılı ve bu hakları koruyan, adaletli bir hukuk düzeni kuran ve bunu sürdürmekle kendini yükümlü sayan, bütün işlem ve eylemleri yargı denetimine bağlı olan Devlettir." şeklinde tanımlanmakta olup, bu ilkenin gereği olarak yürütme organı hukuka bağlı olmalıdır. Bu bağlılık, yapılan idarî işlemlerin, Anayasa, kanun ve bunlara aykırı olmayacak şekilde çıkarılmış tüzük, yönetmelik ve diğer düzenlemelere uygun olarak tesis edilmesini zorunlu kılar.

Davalı idarenin de, dava konusu işlemi tesis ederken yürürlükte bulunan yönetmelik hükmünü uygulaması gerekmektedir. Yukarıda yer verilen yönetmelik hükmü uyarınca da, idari yaptırım uygulanmadan önce ya "uyarı" yapmalı ya da "uyarı" yapılmamasının takdiri hâlinde ise, uyarı yapılmama gerekçesinin Kurul kararında açıklanması gerekmektedir.

Dava konusu Kurul kararının tesisinden önce "uyarı" yapılmadığı gibi, neden "uyarı" yapılmadığının da açıklanmadığı anlaşıldığından, dava konusu işlemde hukuka uygunluk bulunmamaktadır.

Bu nedenlerle, ... Bölge İdare Mahkemesi ... İdarî Dava Dairesi kararının yukarıda belirtilen gerekçeyle bozulmasına karar verilmesi gerektiği oyu ile karara katılmıyorum.