Danıştay 13. Daire E.2020/545 K.2024/829

Dava konusu istem: Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin 29. maddesine aykırı olarak, firewall ve sunucularda kayıt dosyalarının (log kayıtlarının) tutulmasında mevzuata uyulmadığının tespit edildiğinden bahisle,

davacı şirket hakkında Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 19. maddesinin birinci fıkrası ve 44. maddesi uyarınca 2014 yılı net satış tutarının (4.516.119,36-TL) % 0,1 (binde bir)'i oranında idari para cezası veriilmesine ilişkin... tarih ve ... sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 7. maddesi ile söz konusu karar uyarınca düzenlenen 4.516,12-TL tutarındaki... tarih ve ... sayılı ücret tahakkuk fişinin iptali ve bu işlemler nedeniyle ödediği 3.387,09-TL'nin ödeme tarihinden itibaren işleyecek tecil faiziyle birlikte iadesine karar verilmesi istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ...

İdare Mahkemesi'nce verilen... tarih ve E:..., K:... sayılı kararda;... tarih ve 28914 sayılı Resmî Gazete'de yayımlanan Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği uyarınca söz konusu yönetmeliği ihlâl eden işletmecilerin idari para cezası verilmeden önce uyarılması gerektiği, uyarı mekanizmasının 5809 sayılı Elektronik Haberleşme Kanunu'nda sayılmayan ancak işletmecilerin daha dikkatli ve özenli çalışmasını sağlamaya yönelik, idari para cezası verilmeden önce tüketilmesi gereken bir usûli bildirim niteliğinde olduğu, böylece ihlâle konu fiille yaptırım arasında adil bir denge sağlanmaya çalışıldığı anlaşıldığından,

davacı şirketin idari para cezasıyla cezalandırılmadan önce uyuşmazlığa konu fiili nedeniyle uyarılması gerekirken doğrudan idari para cezasıyla cezalandırılmasına ilişkin dava konusu işlemde hukuka uygunluk bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle, hukuka aykırı bulunan dava konusu işlemin iptaline, 3.387,09-TL'nin ödeme tarihi olan 07/12/2017 tarihinden itibaren işleyecek yasal faiziyle birlikte davacıya iade edilmesine karar verilmiştir.

Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesi'nce; uyarı yaptırımı, para cezasına nispetle daha hafif olmakla birlikte, idarenin düzenleyici işlemi ile kanun koyucu tarafından açıkça yaptırım olarak para cezası öngörülen fiiller hakkında, yaptırım türünün değiştirilmesinin mümkün olmadığı, bu itibarla, 15/02/2014 tarih ve 28914 sayılı Resmî Gazete'de yayımlanan Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği ile kanunilik ilkesine aykırı olarak 5809 sayılı Kanun'da yer almayan "uyarı" yaptırımının getirildiği, "uyarı" yaptırımının hukukî dayanağı bulunmadığı, bu itibarla, Mahkeme tarafından belirtilen gerekçeyle dava konusu işlemin iptaline karar verilmesinde hukukî isabet bulunmadığı;

Davacı şirketin, şebeke ve bilgi güvenliğinin sağlanmasına yönelik olarak işletmecilerin uyacakları usul ve esasları düzenleyen Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin "Sistem kayıt dosyalarının tutulması" başlıklı 29. maddesine aykırı olarak sistem kayıt dosyalarının tutulmadığı anlaşıldığından dava konusu işlemde hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Açıklanan nedenlerle, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesi uyarınca istinaf başvurusunun kabulü ile İdare Mahkemesi kararının kaldırılmasına ve davanın reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, dava konusu işlemin somut gerekçesinin ortaya koyulmadığı, sebep unsuru yönünden sakat olduğu, şirketlerine ait bir yurt dışı çıkışı bulunmadığı ve tüm internet trafiğinin Superonline üzerinden geçerek yurt dışına çıktığı, ayrıca saldırıların DDOS hizmeti kapsamında büyük bir kısmının şirketlerinin şebekelerine ulaşmadan Superonline tarafından engellendiği, bu durumda şirketlerine ulaşmayan trafik bilgisine aitronline tarafından tutulduğu, ilgili dönemle ilgili her türlü log kayıtlarının söz konusu şirketten temin edilebileceği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, sistem kayıt dosyalarının tutulmasına yönelik ilgili mevzuatta öngörülen yükümlülüklerin yerine getirilmediği, davacı şirket tarafından söz konusu yükümlülüğün sadece gerçekleşen siber saldırı dönemi ve kapsamı ile sınırlı tutulmaya çalışıldığı, oysa mevzuatın, istenmeyen bilgi işleme faaliyetlerinin önlenmesi ve bilgi güvenliği ihlâl olaylarının tanımlanması amacıyla tüm kritik sistemlerin izlenmesini ve bu konuda tutulan kayıt dosyalarının en az iki yıl süreyle tutulmasını öngördüğü, kritik sistemlerde kayıt dosyalarının tutulmasının şebeke ve bilgi güvenliğinin en önemli gerekliliklerinden biri olduğu,

bir işletmecinin başka bir işletmeciyi sorumlu tutarak kendi yükümlülüğü kapsamında yer alan bir sorumluluğu hafifletemeyeceği belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'IN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan Bölge İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesi'nce, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

Bölge idare mahkemesi kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı hâlinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.

(X) KARŞI OY

15/02/2014 tarih ve 28914 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin ''Uyarı'' başlıklı 46. maddesinde, ''(1) Bu Yönetmelik kapsamında meydana gelen ihlâller için, bu Yönetmeliğin 44'üncü maddesinde yer alan hususlar dikkate alınmak ve 23'üncü, 24'üncü, 25'inci, 31'inci ve 33'üncü maddeler saklı kalmak kaydıyla idari yaptırım uygulanmadan önce, bu Yönetmeliğin aynı maddesi kapsamında olmak üzere işletmeci Kurul tarafından bir defaya mahsus uyarılabilir. (2) Uyarı yapılırken tekerrür süresi dikkate alınır. Tekerrüre esas sürenin dolması hâlinde aynı madde kapsamında tekrar uyarıda bulunulabilir.'' kuralı yer almaktadır.

Hukuk devleti, insan haklarına saygılı ve bu hakları koruyan, adaletli bir hukuk düzeni kuran ve bunu sürdürmekle kendini yükümlü sayan, bütün işlem ve eylemleri yargı denetimine bağlı olan devlettir, şeklinde tanımlanmakta olup, bu ilkenin gereği olarak yürütme organı hukuka bağlı olmalıdır. Bu bağlılık yapılan idari işlemlerin Anayasa, kanun ve bunlara aykırı olmayacak şekilde çıkarılmış tüzük, yönetmelik ve diğer düzenlemelere uygun olarak tesis edilmesini zorunlu kılar.

Davalı idarenin de, dava konusu işlemi tesis ederken yürürlükte bulunan yönetmelik hükmünü uygulaması gerekmektedir. Yukarıda yer verilen Yönetmelik hükmü uyarınca da, idari yaptırım uygulanmadan önce ya "uyarı" yapmalı ya da "uyarı" yapılmayacağını takdir ettiği durumlarda, bu yaptırımın verilmemesinin gerekçesini Kurul kararında açıklaması gerekmektedir.

Dava konusu 25/10/2017 tarihli Kurul kararının tesisinden önce "uyarı" yapılmadığı gibi, neden "uyarı" yapılmadığının da açıklanmadığı anlaşıldığından, dava konusu işlemlerde hukuka uygunluk, dava konusu işlemlerin iptaline ve 3.387,09-TL'nin ödeme tarihi olan 07/12/2017 tarihinden itibaren işleyecek yasal faiziyle birlikte davacıya iade edilmesine ilişkin İdare Mahkemesi kararına yönelik istinaf başvurusunun kabulü ile davanın reddi yolundaki Bölge İdare Mahkemesi kararında hukukî isabet bulunmamaktadır.

Bu nedenlerle, temyiz isteminin kabul edilerek Bölge İdare Mahkemesi kararının bozulmasına karar verilmesi gerektiği oyu ile karara katılmıyorum.