Danıştay 13. Daire E.2020/2545 K.2024/2443

Dava konusu istem: Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin 29. maddesinin ikinci fıkrası ve 20. maddesinin birinci fıkrasına aykırı olarak "Kimyon sunucularında canlı sistemler üzerinde sistemsel güncellemeler veya geçici scrtiptler sonucu oluştuğu iddia edilen çok sayıdaki dosyanın 'rm' komutu ile silinmesi,

Guardium sunucusunda 'rm-rf' harfi ile başlayan komutları içeren kayıtların bulunması ve son olarak 21/07/2016 tarihli tutanak ekinde alınan fulsqllog ve session log kayıtlarının sayısal olarak günlük dağılımları ile ... tarih ve ... sayılı yazının ekinde yer alan ve aynı dönemi içeren kayıtların sayısal olarak günlük dağılımlarının örtüşmediği" hususlarının tespit edildiğinden bahisle Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 19. maddesinin birinci fıkrası ve 44. maddesi çerçevesinde,

2015 yılı net satış tutarının %0,02 oranında idari para cezası verilmesine ilişkin ... tarih ve ... sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 2. maddesinin ve bu karara istinaden düzenlenen 1.510.390,79-TL tutarlı idari para cezası karar tutanağının iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ...

İdare Mahkemesi'nce verilen ... tarih ve E:..., K:... sayılı kararda; uyuşmazlığın teknik ve özel bilgi gerektirmesi nedeniyle Mahkemelerinin 14/03/2019 tarihli ara kararıyla bilirkişi incelemesi yapılmasına karar verildiği, hazırlanan bilirkişi raporunda özetle "1-Kimyon sunucularında dosyaların silinmesi işleminde CDR dosyalarının silindiğine dair bulgu olmamasına karşın, davacı gerçek sistemlerinde operasyonel işlemler yapmamalı, bu işleri test sistemlerinde yapmalıdır.

2-Guardium sunucularındaki 'rm-rf' komutunun davacı tarafça inceleme öncesinde bilinmesi ve önlem alınması zordur. 3-Denetimde istenilen zaman aralığına ait 'fullsqlog' ve 'session log' kayıtları iki farklı tarihte farklı sayıda veri içerir durumda verilmiştir. Davacının iddia ettiği gibi hata sunucu veya üç sunucuya ait yedeklerin alınamaması nedenleri ile olsa dahi sonuç olarak ilgili tarihlerde veri tabanlarında yapılan işlemlerin kayıtlarının bir bölümü kayıptır.

Var olan kayıtlar üzerinden yapılan incelemelerde veri tabanlarına doğrudan erişim araçlarıyla işlemler yapılmış olması nedeniyle kayıp verilerde veri değişikliği yapılmış olma ihtimali vardır." şeklinde görüş bildirildiği, anılan rapordaki tespit ve görüşler kapsamında operasyonel işlemlerin gerçek sistemlerde yapılması ve veri kaybı bulunması hususlarının bilgi güvenliği ve haberleşmenin gizliliği çerçevesindeki yükümlüklerin ihlali niteliğinde olduğu, bu itibarla tesis edilen dava konusu işlemlerde hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle dava konusu işlemler hukuka uygun bulunarak davanın reddine karar verilmiştir. Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesi'nce; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davacı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, bilirkişi raporunda, canlı sistemde orjinal dosyalarda silme işleminin yapılmadığı tespit edilmekle birlikte, söz konusu operasyonel işlemlerin test sistemlerinde yapılması gerektiğinin belirtildiği, ancak işbu dava konusu Kurul kararının 1. maddesi ile zaten "kritik sistemler üzerindeki verilerin ve ortamların ayrılmadığı” iddiası ile haklarında para cezası tesis edildiği, bir eylem üzerinden iki farklı ceza uygulanamayacağı, anılan raporda Guardium sunucularında 'rm-rf' komutlarının yer almasının fark edilemeyecek bir hata olduğu hususunun vurgulandığı,

bu durumda konuyla ilgili kendilerine kusur yüklenemeyeceği, ayrıca raporda bilgilerin davalı idareye 21/07/2016 ve 14/02/2017 tarihinde olmak üzere 2 defa iletildiği belirtilmişse de verilerin 23/07/2016 tarihi de dahil olmak üzere idareye 3 defa sunulduğu, ortada kayıp veri olmadığı gibi kayıp verilerde değişiklik yapılma ihtimalinin de bulunmadığı,

23/07/2016 tarihinde veriler eksiksiz şekilde teslim edildiğinden konunun kayıt dosyalarının silinmesi veya değiştirilmesi kapsamında değil, eksik bilgi ve belge verilmesi kapsamında incelenmesinin gerektiği, bu hususun da dava konusu Kurul kararının 5. maddesi ile yaptırıma bağlandığı dikkate alındığında ortada cezalandırılabilir bir fillerinin bulunmadığı, idari para cezası verilmeden önce yönetmelik doğrultusunda uyarılmaları gerektiği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, davacı fillerinin mevzuata aykırılığının sabit olduğu, işletmecilere aynı maddenin ihlali durumunda somut olayın özellikleri dikkate alınarak ölçülülük ilkesine uygun olarak ceza uygulandığı, dava konusu işlemde ihlal maddesi ve ceza oranının doğru olarak tespit edildiği belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'İN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan Bölge İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesi'nce, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

Bölge idare mahkemesi kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı hâlinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.

(X) KARŞI OY

15/02/2014 tarih ve 28914 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin ''Uyarı'' başlıklı 46. maddesinde, ''(1) Bu Yönetmelik kapsamında meydana gelen ihlâller için, bu Yönetmeliğin 44'üncü maddesinde yer alan hususlar dikkate alınmak ve 23'üncü, 24'üncü, 25'inci, 31'inci ve 33'üncü maddeler saklı kalmak kaydıyla idari yaptırım uygulanmadan önce, bu Yönetmeliğin aynı maddesi kapsamında olmak üzere işletmeci Kurul tarafından bir defaya mahsus uyarılabilir. (2) Uyarı yapılırken tekerrür süresi dikkate alınır. Tekerrüre esas sürenin dolması hâlinde aynı madde kapsamında tekrar uyarıda bulunulabilir.'' kuralı yer almaktadır.

Hukuk Devleti, "İnsan haklarına saygılı ve bu hakları koruyan, adaletli bir hukuk düzeni kuran ve bunu sürdürmekle kendini yükümlü sayan, bütün işlem ve eylemleri yargı denetimine bağlı olan Devlettir." şeklinde tanımlanmakta olup, bu ilkenin gereği olarak yürütme organı hukuka bağlı olmalıdır. Bu bağlılık, yapılan idarî işlemlerin, Anayasa, kanun ve bunlara aykırı olmayacak şekilde çıkarılmış tüzük, yönetmelik ve diğer düzenlemelere uygun olarak tesis edilmesini zorunlu kılar.

Davalı idarenin de, dava konusu işlemi tesis ederken yürürlükte bulunan yönetmelik hükmünü uygulaması gerekmektedir. Yukarıda yer verilen yönetmelik hükmü uyarınca da, idari yaptırım uygulanmadan önce ya "uyarı" yapmalı ya da "uyarı" yapılmamasının takdiri hâlinde ise, uyarı yapılmama gerekçesinin Kurul kararında açıklanması gerekmektedir.

Dava konusu Kurul kararının tesisinden önce "uyarı" yapılmadığı gibi, neden "uyarı" yapılmadığının da açıklanmadığı anlaşıldığından, dava konusu işlemde hukuka uygunluk bulunmamaktadır.

Bu nedenlerle, ... Bölge İdare Mahkemesi ... İdarî Dava Dairesi kararının yukarıda belirtilen gerekçeyle bozulmasına karar verilmesi gerektiği oyu ile karara katılmıyorum.