Danıştay 13. Daire E.2022/2323 K.2024/5739

Dava konusu istem: Dağıtıcı lisansı sahibi davacı şirketin bayisine ait akaryakıt istasyonunda, 14/11/2019 tarihinde yapılan denetimde, bayisinin otomasyon sisteminin doğru ve tutarlı veriler içermediği ve bayide tespit edilen aykırılıkların Kuruma bildirilmediğinin tespit edildiğinden bahisle 5015 sayılı Petrol Piyasası Kanunu'nun 19. maddesinin birinci fıkrasının (ç) bendinin (2) numaralı alt bendi uyarınca 6.250.000,00-TL idari para cezası verilmesine ilişkin ... tarih ve ... sayılı Enerji Piyasası Düzenleme Kurulu (Kurul) kararının iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ... İdare Mahkemesince verilen ... tarih ve E:..., K:... sayılı kararda; davacı tarafından 01/10/2019 tarihinde ... Cumhuriyet Başsavcılığına sunulan dilekçe ile şirketin bilgisayarlarına ve sunucularına siber saldırı yapıldığı yönünde şikayette bulunulduğu, bunun üzerine ... Cumhuriyet Başsavcılığının ... soruşturma numaralı dosyası ile soruşturmaya başlanıldığı, ...

Cumhuriyet Başsavcılığı tarafından 02/10/2019 tarihli müzekkere ile davalı idareye bildirimde bulunulduğu, davacı tarafından da 03/10/2019 tarihli mail ile durumun davalı idareye bildirildiği, söz konusu bildirimlerden sonra başlatılan soruşturma neticesinde tesis edilen ... tarih ve ... sayılı Kurul kararı ile bayi hakkında idari para cezası uygulanmasına yer olmadığına karar verildiği, karara dayanak teşkil eden Daire Başkanlığı görüşünün, bayinin suçun mağduru konumunda olması nedeniyle herhangi bir idari yaptırım uygulanmaması gerektiği yönünde olduğu,

ancak aynı olay nedeniyle davacı dağıtım şirketine idari para cezası verildiği davacının bayisi hakkında suçun mağduru konumunda olması nedeniyle herhangi bir idari yaptırım kararı uygulanmadığı dikkate alındığında, davacının bayisinin otomasyon sisteminin doğru ve tutarlı veriler içermediğinden ve/veya bayide tespit edilen aykırılıkların davalı idareye bildirilmediğinden söz edilemeyeceği anlaşıldığından, dava konusu işlemde hukuka uygunluk bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle hukuka aykırı bulunan dava konusu işlemin iptaline karar verilmiştir. Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi ... İdari Dava Dairesince; istinaf başvurusuna konu İdare Mahkemesi kararının usul ve hukuka uygun olduğu ve davalı tarafından ileri sürülen iddiaların söz konusu kararın kaldırılmasını sağlayacak nitelikte görülmediği belirtilerek 2577 sayılı İdari Yargılama Usulü Kanunu'nun 45. maddesinin 3. fıkrası uyarınca istinaf başvurusunun reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davalı idare tarafından, dava konusu işlemin hukuka uygun olduğu, davacının bayisine ait istasyonda 14/11/2019 tarihinde yapılan denetimde, otomasyon sisteminin doğru ve tutarlı veriler içermemesi ve bayide tespit edilen aykırılıkların Kuruma bildirilmemesi nedeniyle, dağıtıcı lisansı sahibi davacı hakkında yapılan soruşturma sonucunda, davacı şirketin bahse konu eyleminin 5015 sayılı Kanun'un 7. maddesinin altıncı fıkrasına ve 1240 sayılı Kurul kararının 4. maddesinin birinci, 5. maddesinin birinci fıkrasının (a, b ve c) bentleri ile 6. maddesinin birinci fıkrasının (a) bendine aykırılık teşkil ettiğinin tespit edildiği ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davacı tarafından savunma verilmemiştir.

DANIŞTAY TETKİK HÂKİMİ ...'NİN DÜŞÜNCESİ

Temyiz isteminin kabulü ile Bölge İdare Mahkemesi kararının bozulması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesince, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

İNCELEME VE GEREKÇE

ESAS YÖNÜNDEN

MADDİ OLAY

Alparslan Mahallesi, ... Caddesi, No:...

Çiftlik/NİĞDE adresinde faaliyet gösteren ... sayılı bayilik lisansı sahibi ...'a ait akaryakıt istasyonunda 14/11/2019 tarihinde gerçekleştirilen denetimde, istasyonda bulunan otomasyon sisteminin incelendiği, yapılan inceleme sonucunda 24/08/2019-14/09/2019 döneminde yapılan satışların otomasyon sistemine yansımadığının ve bu dönemde istasyonda bulunan bir adet ödeme kaydedici cihaz mali hafıza raporuna göre 108.470,72-TL değerinde 14.988,55 litre motorin ile 1.821,55 litre kurşunsuz benzin satışı yapıldığının tespit edildiği bunun üzerine dağıtıcı lisansı sahibi davacı şirketin,

bayisinin otomasyon sisteminin doğru ve sağlıklı veriler içermemesi ve bayide tespit edilen aykırılıkların Kuruma bildirilmemesi fiilini işlediğinden bahisle davacı şirket hakkında 6.250.000,00-TL tutarında idari para cezası uygulanması üzerine bakılmakta olan davanın açıldığı anlaşılmaktadır.

İLGİLİ MEVZUAT

5015 sayılı Petrol Piyasası Kanunu'nun 7. maddesinin altıncı fıkrasında "Dağıtıcı lisansı sahipleri, Kurum tarafından belirlenen esaslara uygun olarak bayilerinde kaçak akaryakıt satışının yapılmasını önleyen teknolojik yöntemleri de içeren bir denetim sistemi kurmak ve uygulamakla yükümlüdür. Dağıtıcı lisansı sahibi kurumun bu sisteme erişimini sağlar. Kurum.

Bilim Sanayi ve Teknoloji Bakanlığı, Gümrük ve Ticaret Bakanlığı, İçişleri Bakanlığı, Maliye Bakanlığı, Ulaştırma Denizcilik ve Haberleşme Bakanlığı ve ilgili diğer kamu kurum ve kuruluşlarının görevlerinin gerektirdiği ölçüde bu sisteme doğrudan erişimini sağlar. Kurum, yukarıda sayılan kamu kurum ve kuruluşlarının ihtiyaç duyacağı bilgi ve belgeleri yine görevlerinin gerektirdiği ölçüde verir.

Söz konusu sistemi kurmadığı ya da Kurumca belirlenen usul ve esaslara uygun denetimi sağlayamadığı tespit edilen dağıtıcılara 19. maddede öngörülen miktarda idari para cezası uygulanır. Dağıtıcı lisansı sahipleri, bayi denetim sisteminin kurulmadığı veya kurulan sistemin Kurumca yapılan düzenlemelere uygun bulunmadığı tespit edilen bayilere akaryakıt ikmali yapamaz." kuralına yer verilmiştir.

21/02/2015 tarihli ve 29274 sayılı Resmi Gazete'de yayımlanan ... tarih ve ... sayılı Kurul Kararı ile değişik 1240 sayılı Kurul Kararının 4. maddesinin birinci fıkrasında "Dağıtıcı lisansı sahipleri, tescilli markası altında bayilerinde kaçak akaryakıt satışının yapılmasını önleyen teknolojik yöntemleri de içeren bir bayi denetim sistemi kurar ve uygular"; aynı maddenin (a) bendinde "Dağıtıcı lisansı sahibi... a) Akaryakıt istasyonlarında akaryakıt hareketlerini elektronik ortamda izlenebilmesine yönelik istasyon otomasyon sistemi kurar.

Bayi denetim sistemi ile bayilerindeki akaryakıt hareketlerini izler ve raporlar.".

5. maddesinin birinci fıkrasının (a), (b) ve (c) bentlerinde "Dağıtıcı lisansı sahipleri, akaryakıt istasyonlarında tadilat dışında kalan her yerde (tank, geçici tank, pompa vs.) istasyon otomasyon sisteminin çevrimiçi olmasını ve bayi denetim sistemi kapsamında veri kaybı oluşmamasını sağlar; bayilerindeki istasyon otomasyon sistemi usul ve esaslara uygun olacak şekilde çevrimiçi olana kadar ilgili bayiye akaryakıt ikmali yapamaz; bayi denetim sisteminde ve/veya istasyon otomasyon sisteminde oluşan arızaları, ilk arızanın meydana geliş tarihinden itibaren en geç 10 gün içerisinde giderir.".

6. maddesinin birinci fıkrasının (a) bendinde "Dağıtıcı lisansı sahipleri akaryakıt istasyonunda aykırılık tespit etmesi halinde; konuya ilişkin bilgi belgeler ile istasyon otomasyon sistemi verilerini bildirim sistemi aracılığıyla 24 saat içinde Kuruma bildirir." kuralları yer almaktadır.

HUKUKİ DEĞERLENDİRME

Uyuşmazlıkta, davacı tarafından ... Cumhuriyet Başsavcılığına sunulan dilekçe ile şirketin bilgisayarlarına ve sunucularına siber saldırı yapıldığı yönünde şikayette bulunulduğu, bunun üzerine ... Cumhuriyet Başsavcılığının ... numaralı dosyası ile soruşturmaya başlanıldığı, temyiz incelemesi aşamasında UYAP üzerinden yapılan incelemede henüz soruşturmanın tamamlanmadığı ve iddianame düzenlenerek bir ceza davası açılmadığı, dolayısıyla işlendiği ileri sürülen suça ilişkin neticelenmiş bir yargılamanın bulunmadığı anlaşılmıştır.

21. yüzyıl ile birlikte ivme kazanan dijital dönüşüm, fırsatlarla birlikte bazı zorlukları da beraberinde getirmiştir. Bireysel ya da kurumsal bir aktör olarak dijital dönüşüm sürecinin getirdiği imkanlardan faydalanırken, buna yönelik ortaya çıkabilecek risk ve tehditlere karşı hazırlıklı olmak gerekmektedir. Dijital dönüşümün temel bileşenlerinden biri kuşkusuz siber güvenliktir.

Siber güvenlik, “Siber ortamı oluşturan bilişim sistemlerinin saldırılardan korunması, bu ortamda işlenen bilginin gizlilik, bütünlük ve erişilebilirliğinin güvence altına alınması, saldırıların ve siber güvenlik olaylarının tespit edilmesi, bu tespitlere karşı tepki mekanizmalarının devreye alınması ve sonrasında ise sistemlerin yaşanan siber güvenlik olayı öncesi durumlarına geri döndürülmesi” olarak tanımlanmaktadır. (Ulusal Siber Olaylara Müdahale Merkezi: “Siber Güvenliğe İlişkin Temel Bilgiler”, Erişim: https://dsy.usom.gov. tr.)

Bu durumda, dağıtıcı lisansı sahibinin ilgili mevzuat geregi, akaryakıt istasyonlarında akaryakıt hareketlerinin elektronik ortamda izlenebilmesine yönelik istasyon otomasyon sistemi kurması gerektiği, ayrıca istasyon otomasyon sisteminin çevrimiçi olmasını ve bayi denetim sistemi kapsamında veri kaybı oluşmamasını sağlamakla da yükümlü olduğu hususların göz önüne alındığında bilişim sisteminin saldırılardan korunması, bu ortamda işlenen bilginin gizlilik, bütünlük ve erişilebilirliğinin güvence altına alınması amacıyla siber güvenlik önlemlerinin alınmasının, otomasyon sisteminin sağlıklı işlemesi açısından dağıtıcı lisansı sahibinin sorumluluğunda bulunduğu sonucuna ulaşıldığından, dava konusu işlemde hukuka aykırılık görülmemiştir.

Bu itibarla, dava konusu işlemin iptali yönündeki İdare Mahkemesi kararına yönelik istinaf başvurusunun reddine ilişkin temyize konu Bölge İdare Mahkemesi kararında hukuki isabet bulunmamaktadır.