Danıştay 13. Daire E.2023/27 K.2024/1537

Dava konusu istem: Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliğinin 19. maddesinin 1. fıkrasının (p) bendine aykırı olarak bayi ve/veya çağrı merkezlerinde kişisel bilgilerin gizliliğinin korunmasına ve güvenliğin sağlanmasına ilişkin yeterli önlemlerin alınmaması nedeniyle 5809 sayılı Elektronik Haberleşme Kanunu'nun 60. ve Telekomünikasyon Kurumu Tarafından İşletmecilere Uygulanacak İdari Para Cezaları ile Diğer Müeyyide ve Tedbirler Hakkında Yönetmeliğin 32. ve 34. maddeleri uyarınca davacı şirket hakkında 2012 yılı net satışlarının %0,018'i oranında idarî para cezası uygulanmasına ilişkin Bilgi Teknolojileri ve

İletişim Kurulu'nun (Kurul) ... tarih ve ... sayılı kararının 3. maddesi ile bu kararın uygulanmasına ilişkin idari para cezası karar tutanağının iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti: ... İdare Mahkemesi'nce Dairemizin 29/11/2021 tarih ve E:2016/2271, K:2021/4051 sayılı bozma kararına uyularak verilen kararda;

Kabahatler Kanunu'nun 4. maddesinde yer alan kanunilik ilkesine uygun olarak, Anayasa'nın 20. maddesinin 3. fıkrası ve 5809 sayılı Kanun'da yer alan 4, 6 ve 12. maddeler çerçevesinde anılan Yönetmeliğin 19. maddesinin 1. fıkrasının (p) bendinde güvenlik ve müdahalelerin önlenmesine yönelik olarak idari yaptırıma konu fiillerin düzenlendiği,

her bir işletmecinin farklı hizmet sunumu, alt yapısı, bayi yapısı bulunması ve teknolojinin sürekli gelişme göstermesi gibi nedenlerle her işletmecinin kendi altyapısı ve bayi sistemi çerçevesinde en temel önlemleri almasının gerektiği, dolayısıyla anılan Yönetmelik maddesinde yer verilen fiilin işletmeciler tarafından açıkça anlaşılır nitelikte olduğu ve keyfi uygulamalara yol açmayacağının açık olduğu, ayrıca, elektronik haberleşme alanında zamanla ortaya çıkan tehlikeler dikkate alındığında, bilgi güvenliği ve haberleşmenin gizliliğinin gözetilmesi, kişisel verilere ilişkin güvenliğin sağlanması ve müdahalelerin önlenmesi gerektiği;

Davacı şirket tarafından, 5809 sayılı Kanun'un 51.maddesinin Anayasa Mahkemesi'nce iptal edilmesi nedeniyle dava konusu işlemin dayanağının kalmadığı iddia edilmiş ise de, anılan maddede, "Kurum, elektronik haberleşme sektörüyle ilgili kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul ve esasları belirlemeye yetkilidir." düzenlemesinin yer aldığı, ancak, kişisel verilerin gizliliğinin ihlâl edilmemesine ilişkin kurala Anayasa'da ve 5809 sayılı Kanun'un ilgili hükümlerinde yer verildiği ve dava konusu işlemin 51. madde ve bu maddeye dayanılarak çıkartılan bir düzenleyici işlem uyarınca tesis edilmediği dikkate alındığında davacı şirketin bu iddiasına itibar edilmediği;

Diğer taraftan, 5809 sayılı Kanun'un 60. maddesi uyarınca, Kurumun, mevzuata, kullanım hakkı ve diğer yetkilendirme şartlarına uyulmasını izleme ve denetlemeye, aykırılık hâlinde işletmecilere bir önceki takvim yılındaki net satışlarının %3'ü kadar idarî para cezası uygulamaya yetkisi olduğundan,

bu yetki kapsamında uyuşmazlık konusu fiilin işlendiği tarihte yürürlükte bulunan (mülga) 05/09/2004 tarih ve 25574 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Telekomünikasyon Kurumu Tarafından İşletmecilere Uygulanacak İdari Para Cezaları İle Diğer Müeyyide ve Tedbirler Hakkında Yönetmelik’in 32. maddesinde yer verilen ölçütler gözetilmek suretiyle, anılan Yönetmeliğin 34. maddesindeki, bu Yönetmelikte düzenlenmemiş olmakla birlikte, işletmecilerin faaliyetlerinin mevzuat ve yetki belgesi şartlarına aykırı durumlarının tespit edildiği diğer hâllerde Kurul kararına göre işlem tesis edileceği kuralına göre,

işletmecinin bir önceki takvim yılındaki net satışlarının %3'ü oranındaki üst sınıra uygun olarak idarî para cezası uygulanabileceği;

Dava dosyasında yer alan belgelerden, ICCB uygulamasına sadece telefon numarası girilerek birçok bilgiye maskeleme yapılmaksızın erişilebildiği, bayilerde ve çağrı merkezlerinde bu verilere müşteri talebi olmadan da erişilebildiği, maskesiz olarak erişilebilen kişisel verilerin farklı ortamlara aktarılabildiği,

Backoffice kullanıcılarının ICCB üzerinden görüşme detay kayıtlarını, CRM üzerinden gelen arama kayıtlarını maskeleme olmadan görebildikleri veya kayıt alabildikleri, Outbound çalışanlarının ICCB üzerinden görüşme dosyalarını ve abonelerin faturalandırılmamış görüşme detaylarını, CRM üzerinden görüşme detaylarının maskesiz olarak görebildikleri, abone talebiyle işlem yapıldığını gösteren sistemsel bir kontrol mekanizmasının bulunmadığı, Outsource ekiplerinin arama yapmaları için sisteme yüklenen dataların Inhouse ekiplerince liste hâlinde paylaşılıyor olduğu;

bu durumda, davacı şirketin haberleşme mahremiyeti ve güvenliği ile şebeke güvenliğinin sağlanması ve korunması için gerekli önlemleri almadığı anlaşıldığından, dava konusu işlemlerde hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Belirtilen gerekçelerle dava konusu işlemler hukuka uygun bulunarak davanın reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, temyize konu Mahkeme kararnda bozma kararına uyulmasına rağmen bozma kararının gerekçesine uygun olarak fiillerin sübuta erip ermediği hakkında bir inceleme yapılmadan karar verildiği, haberleşme mahremiyeti ve güvenliği ile şebeke güvenliğinin sağlanması ve korunması için gerekli önlemlerin alınıp alınmadığı teknik bir değerlendirme gerektirdiğinden hakimin hukuki bilgisi ile böyle bir sonuca ulaşmasının mümkün olmadığı, bayiler ve çağrı merkezlerinde tüm işlemlerin kim tarafından, hangi tarihte yapıldığının kayıt altında tutulduğu,

maskeleme yapılmaksızın ulaşılabildiği belirtilen veriler hakkında bir çok sistemsel tedbir bulunduğu, ihlal olarak nitelendirilen eylemlerin ne çerçeve bir Kanun ile sınırlarının belirlendiği ne de davalı idarece bu konuda somut olarak sınırları belirli bir düzenleme yapıldığı, yaptırımın kanunilik ilkesine aykırı olduğu ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, Anayasa ile garanti altına alınmış vatandaşların kişisel verilerinin korunmasını isteme hakkına ilişkin olarak 5809 sayılı Kanun'da ve anılan Yönetmelikte açıkça işletmeciye yükümlülük getirildiği, bayiler ve çağrı merkezlerinde yasal düzenlemeler çerçevesinde basiretli bir tacir olarak yeterli güvenlik tedbirlerinin alınmadığı tespit edilerek davacı şirkete uygulanan idari para cezasında hukuka aykırılık bulunmadığı belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'IN DÜŞÜNCESİ

Temyiz isteminin reddi ile usul ve yasaya uygun olan İdare Mahkemesi kararının onanması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesi'nce, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

HUKUKİ DEĞERLENDİRME

İdare ve vergi mahkemelerinin nihai kararlarının temyizen bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan sebeplerden birinin varlığı hâlinde mümkündür. Temyizen incelenen karar usul ve hukuka uygun olup, dilekçede ileri sürülen temyiz nedenleri kararın bozulmasını gerektirecek nitelikte görülmemiştir.