Danıştay 13. Daire E.2022/220 K.2023/1416

Dava konusu istem: 5809 sayılı Elektronik Haberleşme Kanunu uyarınca yetkilendirilmiş işletmeci olan davacı şirket tarafından, Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin (Yönetmelik) "Görevlerin ve ortamların ayrılması" başlıklı 24. maddesinin birinci fıkrasının (a) ve (e) bentlerine aykırı olarak yazılım geliştirme sürecinde görevlerin ayrımı ilkesine uyulmadığından bahisle 11.998.601,96-TL'nin binde biri oranında idari para cezası uygulanmasına ilişkin ... tarih ve ... sayılı Bilgi Teknolojileri ve İletişim Kurulu (Kurul) kararının 4. maddesinin iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ... İdare Mahkemesi'nce verilen ... tarih ve E:..., K:... sayılı kararda; dava dosyasında yer alan bilgi ve belgeler ile dava konusu işleme dayanak olarak yapılan denetim raporunun bir bütün olarak incelenmesinden, Yönetmeliğin ilgili kuralına aykırı olarak, davacı şirketin yazılım geliştiren ekibinin yazılımların gerçek sistemlerde canlıya alınmasını da gerçekleştirdiği, dolayısıyla davacı şirket tarafından, geliştirme ekibine gerçek sisteme erişim sağlamama yükümlülüğünün yerine getirilmediği hususunun sabit olması sebebiyle, davacı şirkete idari para cezası verilmesine ilişkin dava konusu işlemde hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle dava konusu işlem hukuka uygun bulunarak davanın reddine karar verilmiştir.

Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesi'nce; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davacı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, yazılım geliştirme süreçlerini yürütme esasları ve buna yönelik uygulaması incelendiğinde, Yönetmeliğe aykırı davranılmasının teknik olarak söz konusu olmadığı, ISO 27001 gereksinimlerinden de olan geliştirme-canlıya alma-test süreçlerinin ayrı kişilerce yapılması yani “görev ayrılığı prensibinin” amacının, kurumsal varlıkların amacı dışında kullanılmasının, yetkisiz veya kasıtsız değişiklik yapılmasının olanaklarını azaltmak olduğu, Total Control yazılımının geliştirilmesi, canlıya alınması ve test edilmesinin bu amaca uygun olarak gerçekleştirildiği,

bu tip bir yazılımın şirketin iç bünyesinde gerçekleştirilmek zorunda olduğu, üzerinde kritik bilgiler içeren veri tabanının (database) yetkileri yazılım ekibi tarafında "Read Only" şeklinde olduğundan personelin bilgileri değiştirme, silme gibi yetkileri bulunmadığı, veri tabanı yönetimi ve erişim yönetiminin “Sistem Departmanı” tarafından yapıldığı,

yazılımı genel müdür talebiyle yazılım ekibinin yaptığı, testi "İş Geliştirme Departmanı"nın yaptığı, canlıya alma süreci öncesi geliştirmeye ve teste ilişkin video logunun genel müdür tarafından izlendiği ve canlıya alma kararının bu denetim sonrasında verilerek genel müdürün bizzat onayı ve kontrolü ile yazılım ekibi tarafından canlıya alındığı, Kurul kararında açıkça mahkeme kararının ifası kapsamında idari para cezası verildiğinin yazıldığı, dayanak mahkeme kararının kendisi hukuka aykırı olduğu için, işbu idari işlemin kendisinin de sebep unsuru açısından sakat hâle geldiği,

mahkemenin yalnızca "uyarı cezası" şeklindeki idari işlemi denetlemesi ve buna ilişkin görüş vermesi gerekirken yetki ve sınırını aşarak adeta "idari para cezası" şeklinde yeni bir idari işlem tesis ettiği, yürürlükte olan yönetmelikle idari para cezası uygulanmadan önce bir defaya mahsus olarak lehe getirilen uyarı cezasının kanunilik ilkesi gereğince uygulanmayacağının kabul edilemeyeceği, davalı idarenin Anayasa ile kendisine verilen yetkiyi kullanarak 5809 sayılı Kanun'a paralel ve ek şekilde, kendi görev alanını ilgilendiren bir konuda idari yaptırım uygulanmadan önce bir kereye mahsus "uyarı" müessesesini düzenlediği,

mahkeme kararının açıkça "aleyhe hüküm verme yasağı" kuralının ihlâli niteliğinde olduğu, nitekim azlık oyu çerçevesinde aynı konuya değinildiği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, davacı tarafından geliştirilen Total Control yazılımına ilişkin geliştirme, canlıya alma ve veritabanı yönetiminin farklı kişiler tarafından yapılması gerekirken aynı kişiler tarafından yapıldığının yerinde denetimde tespit edildiği, yerinde denetim kapsamında alınan işletmeci açıklamalarında "Yazılım geliştirme, canlıya alma ve veritabanı yönetimi yazılım departmanı tarafından yapılmaktadır." ifadesine yer verildiği, davacının denetim sorgusuna ilişkin yazılı açıklamasında ve dava dilekçesinde de aynı yönde beyan olduğu, davacının bu işlemlerin farklı kişilerce yapıldığını kanıtlayamadığı,

bunun yerine başka işletmecilerin uygulamalarına, denetim sürecinden bağımsız farklı konulara değinerek mahkemeyi başka mecralara çekmeye çalıştığı, mahkemenin iptal kararının gerekçesine uygun olarak işlem tesis edildiği, iptal kararı sonrası ortaya çıkan hukuki boşluğun doldurulduğu, aleyhe hüküm yasağı ile ilgili yasada açık bir düzenleme bulunmadığı, idari para cezaları açısından böyle bir içtihat olmadığı, ilk derece mahkemesinin uyarı işleminin iptali kararı üzerine sürecin ihlâl tespitine uygulanacak idari yaptırım kararı aşamasına geri döndüğü,

idarece ilk yapılan değerlendirmede de fiilin karşılığının idari para cezası olduğu ancak takdir yetkisi kullanılarak uyarma kararı verildiği, istinaf mahkemesinin ilk derece mahkemesi kararını "aleyhe hüküm verme yasağı" olarak değerlendirmesinin, hukuka aykırılığı kesin olan bir fiil karşısında ne uyarı ne de idari para cezası verilebileceği sonucuna çıktığı, bu durumun ise hukuk devleti ilkesi ile bağdaşmayacağı, kamu hizmetlerine olan güveni sarsacağı ve kamu düzenine aykırılık teşkil edeceği, yönetmelikte "uyarı" mekanizmasının zorunlu tutulmadığı, idari para cezası uygulanmadan önce tüketilmesi gereken bir yol olarak düzenlenmediği,

"uyarı"nın özellikle ihlâlin niteliğinin sektörde yarattığı etkiler göz önünde bulundurularak takdir yetkisi kapsamında uygulanması gereken bir yöntem olarak bulunması gerektiği belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ... 'UN DÜŞÜNCESİ : Temyiz isteminin kabulü ile Bölge İdare Mahkemesi kararının bozulması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesi'nce, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

İNCELEME VE GEREKÇE

ESAS YÖNÜNDEN

MADDİ OLAY

5809 Sayılı Elektronik Haberleşme Kanunu uyarınca yetkilendirilmiş işletmeci davacı şirket hakkında, Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği'nin ''Görevlerin ve ortamların ayrılması'' başlıklı 24. maddesinin (a) ve (e) bentlerine aykırı olarak yazılım geliştirme sürecinde görevlerin ayrımı ilkesine uymadığından bahisle denetim yapılmıştır.

Yapılan denetim sonucunda hazırlanan ... tarih ve ... sayılı Denetim Raporu'nda, "davacı şirket tarafından yapılan yazılı açıklamalarda da yönetmeliğin ilgili hükmüne aykırı olarak, yazılım geliştiren ekibin yazılımların gerçek sistemlerde canlıya alınmasını da gerçekleştirdiği dolayısıyla gerçek sisteme erişim sağlayabildiği değerlendirildiği, ... idari yaptırım uygulanmasının uygun olacağı'' tavsiye edilmiştir.

Bunun üzerine öncelikle Kurul'un ... tarih ve ... sayılı kararının 11. maddesi ile, Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 24, 44 ve 46. maddeleri kapsamında davacının uyarılmasına karar verilmiştir. Bu kararın iptali istemiyle açılan davada ... İdare Mahkemesi'nin ... tarih ve E:..., K:... sayılı kararı ile dava konusu işlemin iptaline karar verilmiştir.

Mezkûr Mahkeme kararının ifası kapsamında söz konusu ihlâl nedeniyle bu sefer idari para cezası uygulanmış, anılan işlemin iptali istemiyle bakılan dava açılmıştır.

HUKUKİ DEĞERLENDİRME

Dava konusu işleme dayanak alınan ... İdare Mahkemesi'nin ... tarih ve E:..., K:... sayılı kararının kaldırılması istemiyle davacı tarafından yapılan istinaf başvurusu üzerine, ... Bölge İdare Mahkemesi ... İdari Dava Dairesi'nin ... tarih ve E:..., K:... sayılı kararı ile, "...

Taleple Bağlılık İlkesi' gereği Mahkemenin, denetim alanını davacının talebinden bağımsız olarak genişletemeyeceği gibi, söz konusu işlemin dava konusu edilmemesi hâlinde ortaya çıkacak hukuki duruma nazaran davacı aleyhine bir sonuç doğuracak şekilde hüküm de kuramayacağı, 'aleyhe hüküm verme yasağı' olarak ifade edilen bu ilkenin, Anayasanın 36. maddesinde yer alan hak arama hürriyetini temin etmeye, diğer bir ifade ile ilgililerin, ihlâl edildiğini düşündükleri haklarını korumak amacıyla herhangi bir endişe taşımaksızın dava açabilmelerini sağlamaya yönelik bir araç niteliği taşıdığı,

davacının durumunu dava açılmasından öncekine kıyasla daha olumsuza götürecek şekilde karar verilmesinin 'aleyhe hüküm verme yasağı' kapsamında kaldığı, İdare Mahkemesi'nce mevzuata aykırılığı saptanan düzenleme hakkında karar verilirken, işlemin davacı tarafından dava konusu edilmesindeki amacın dikkate alınarak inceleme yapılması (davacının talepleri konusunda kuşkuya düşülüyorsa açıklatılması) ve davacı tarafından dava açılmasından önceki durumu davacı aleyhine dönüştürecek şekilde karar verilmesinden kaçınılması gerektiği,

başvuru konusu kararın gerekçesi davacının durumunu davadan öncekine kıyasla daha olumsuza götüreceğinden 'aleyhe hüküm verme yasağı' kapsamında kalmakla birlikte, Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği ile kanuna aykırı olarak getirilen 'uyarı' müessesesinin hukukî dayanağı bulunmadığından dava konusu işlemin iptali yolunda verilen karar sonucu itibarıyla hukuka uygun bulunduğundan ve kaldırılmasını gerektiren bir neden bulunmadığından" istinaf başvurusunun gerekçe değişikliğiyle reddine karar verilmiştir.

Bölge İdare Mahkemesi'nin bu kararı Dairemizin 27/03/2023 tarih ve E:2021/671, K:2023/1414 sayılı kararı ile onanarak kesinleşmiştir.

Bu itibarla, dava konusu işlemin ... İdare Mahkemesi'nin ... tarih ve E:..., K:... sayılı kararının gereğinin yerine getirilmesini sağlamak üzere tesis edildiği, bu hususun dava konusu Kurul kararında açıkça belirtildiği, ancak anılan kararın gerekçesini değiştiren Bölge İdare Mahkemesi kararının Dairemiz mezkûr kararı ile onanarak kesinleştiği, dolayısıyla idari işlemin hukuki sebebini oluşturan yargı kararının gerekçesinin ortadan kalktığı, bu nedenle mahkeme kararının ifası kapsamında tesis edilen dava konusu Kurul kararında hukuka uygunluk bulunmadığı anlaşıldığından, davanın reddi yönündeki İdare Mahkemesi kararına yönelik istinaf başvurusunun reddine ilişkin temyize konu Bölge İdare Mahkemesi kararında hukukî isabet bulunmamaktadır.