Danıştay 13. Daire E.2021/145 K.2024/5105

Dava konusu istem: Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin 20 ve 21. maddesinin birinci fıkrasına aykırı olarak CRM uygulaması ve softwitch yönetim arayüzlerine erişimde yeterli güvenlik önlemlerinin alınmadığından bahisle Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 19. maddesinin birinci fıkrası ve "Yaptırım ölçütleri" başlıklı 44. maddesi uyarınca, davacı şirkete 2016 yılı net satışlarının %0,03'ü (onbinde üç) oranında idari para cezası verilmesine ilişkin ... tarih v... sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 28. maddesi ile idari para cezası karar tutanağının iptali ve ödenen 14.488,71-TL'nin ödeme tarihinden itibaren hesaplanacak yasal faiziyle birlikte iadesi istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ...İdare Mahkemesince verilen... tarih ve E:..., K:... sayılı kararda; davalı idarece 28/09/2017 tarihinde davacı şirket nezdinde gerçekleştirilen yerinde denetimde, CRM uygulaması yönetim arayüzüne ve softswitch yönetim paneline yönetici seviyesinde yapılan erişimlerin dış dünyaya açık internet üzerinden sadece kullanıcı adı ve şifre kullanılmak suretiyle yapılabildiğinin tespit edildiği, bu hususa ilişkin başlatılan inceleme sorgusu kapsamında davalı idarece davacı işletmecinin savunmasının istenildiği,

davacının savunmasında, CRM Database'ine (veri tabanı) sadece TTM Merkez ofis üzerinden erişilebildiği, admin (tam yetkili) kullanıcılarının web üzerinden sisteme erişerek yapabildiği bir değişiklik bulunmadığı sadece view (görüntüleme) yetkisi bulunduğu, ilgili bilgilendirmeye istinaden gerekli sürecin başlatıldığı ve admin kullanıcılarının Private IP dışından erişiminin yasaklandığı, kullanıcı TTM'e ait tanımlı olan IP'ler dışında erişim sağladığında sadece kısıtlı ekran görüntüsüne ulaşabildiği,

admin (tam yetkili) kullanıcılarına bağlantıların açık internet üzerinden sadece yetki verilen Internet IP'leri üzerinden gelebilmesinin sağlandığının belirtildiği, ancak şirketin tespit edilen güvenlik açığına ilişkin olarak denetim sonrası yaptığı düzeltmelerin ihlalin varlığını ortadan kaldırmayacağı;

Bu durumda, davacı şirket tarafından kurulan sistemler üzerinde tam yetkiye sahip kullanıcıların sadece kurum/şirket içinden söz konusu yetki ile cihazlara erişim sağlayabileceği asıl olmakla birlikte sadece çok gerekli durumlarda tam yetkili kullanıcıların, kullanıcı adı ve şifresine ek özel birtakım güvenlik kuralları ile dışarıdan sistem ve cihazlara erişebileceği, bu durumun dışında dış dünyaya açık internet üzerinden tam yetkili kullanıcı yetkisine sahip kullanıcıların sadece kullanıcı adı ve şifresi ile cihazlara erişmelerinin güvenlik açısından uygun olmadığı hususu dikkate alındığında dava konusu işlemde hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle dava konusu işlem hukuka uygun bulunarak davanın reddine karar verilmiştir.

Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesince; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davacı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, katılımcı yönetim ile düzenleyici idari otorite kavramlarına aykırı bir kabulle karar verildiği, dava konusu işlemin tesisinden önce uyarı yaptırımının uygulanması gerektiği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, iyi yönetim ilkelerine ve hukuka uygun olarak işlem tesis edildiği, uyarının idari para cezası verilmeden önce tüketilmesi gereken bir yol olmadığı belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'İN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan Bölge İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesince, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

Bölge idare mahkemesi kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı halinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.

(X) KARŞI OY

15/02/2014 tarih ve 28914 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin ''Uyarı'' başlıklı 46. maddesinde, ''(1) Bu Yönetmelik kapsamında meydana gelen ihlâller için, bu Yönetmeliğin 44'üncü maddesinde yer alan hususlar dikkate alınmak ve 23'üncü, 24'üncü, 25'inci, 31'inci ve 33'üncü maddeler saklı kalmak kaydıyla idari yaptırım uygulanmadan önce, bu Yönetmeliğin aynı maddesi kapsamında olmak üzere işletmeci Kurul tarafından bir defaya mahsus uyarılabilir. (2) Uyarı yapılırken tekerrür süresi dikkate alınır. Tekerrüre esas sürenin dolması hâlinde aynı madde kapsamında tekrar uyarıda bulunulabilir.'' kuralı yer almaktadır.

Hukuk Devleti, "İnsan haklarına saygılı ve bu hakları koruyan, adaletli bir hukuk düzeni kuran ve bunu sürdürmekle kendini yükümlü sayan, bütün işlem ve eylemleri yargı denetimine bağlı olan Devlettir." şeklinde tanımlanmakta olup, bu ilkenin gereği olarak yürütme organı hukuka bağlı olmalıdır. Bu bağlılık, yapılan idarî işlemlerin, Anayasa, kanun ve bunlara aykırı olmayacak şekilde çıkarılmış tüzük, yönetmelik ve diğer düzenlemelere uygun olarak tesis edilmesini zorunlu kılar.

Davalı idarenin de, dava konusu işlemi tesis ederken yürürlükte bulunan yönetmelik hükmünü uygulaması gerekmektedir. Yukarıda yer verilen yönetmelik hükmü uyarınca da, idari yaptırım uygulanmadan önce ya "uyarı" yapmalı ya da "uyarı" yapılmamasının takdiri hâlinde ise, uyarı yapılmama gerekçesinin Kurul kararında açıklanması gerekmektedir.

Dava konusu Kurul kararının tesisinden önce "uyarı" yapılmadığı gibi, neden "uyarı" yapılmadığının da açıklanmadığı anlaşıldığından, dava konusu işlemde hukuka uygunluk bulunmamaktadır.

Bu nedenlerle, temyize konu ... Bölge İdare Mahkemesi ... İdari Dava Dairesi kararının yukarıda belirtilen gerekçeyle bozulmasına karar verilmesi gerektiği oyu ile karara katılmıyorum.