Danıştay 13. Daire E.2025/623 K.2025/1484

Dava konusu istem: Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği'nin 19. maddesinin 1. fıkrasının (p) bendine aykırı olarak kişisel verilerin gizliliğinin korunması ve güvenliğinin sağlanması hususunda yeterli tedbirlerin alınmadığından bahisle Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 5. ve 44. maddeleri uyarınca davacı şirket hakkında 2015 yılı net satış tutarının %0,0025'i (milyonda yirmibeşi) oranında 255.789,25 TL idari para cezası uygulanmasına ilişkin Bilgi Teknolojileri ve İletişim Kurulunun (Kurul) ... tarih ve ...sayılı kararının 3. maddesi ile bu kararın uygulanmasına ilişkin

idari para cezası karar tutanağının, tahakkuk fişinin, kararın bildirimine ilişkin Bilgi Teknolojileri ve İletişim Kurumu Sektörel Denetim Dairesi Başkanlığının...arih ve...sayılı işleminin ve Kurul kararına karşı yapılan itirazın zımnen reddine ilişkin işlemin iptali istenilmiştir.

İlk Derece Mahkemesi kararının özeti:...

İdare Mahkemesince verilen ... tarih ve E:..., K:... sayılı kararda; uyuşmazlık konusu olayda, 5809 sayılı Kanun'un 51. maddesindeki yeni ve eski düzenlemelerin davalı idareye elektronik haberleşme sektörüyle ilgili kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul ve esasları belirleme konusunda yetki ve sorumluluk verdiği ve Yönetmeliğin 19. maddesinin birinci fıkrasının (p) bendindeki düzenlemenin Kanun'un aradığı anlamda bir usul ve esas olarak nitelendirilemeyeceği dikkate alındığında, herhangi bir usul ve esas belirlemeksizin davacıya,

güvenlik ihlallerini önlemek suretiyle kişisel verilerin korunmasına ilişkin olarak gerekli tedbirleri almadığı ve bu fiilin Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği'nin 19. maddesine aykırı olduğundan bahisle idari para cezası verilmesine ilişkin dava konusu Kurul kararının 3. maddesinde hukuka uygunluk bulunmadığı,

Bu doğrultuda, Kurul kararının 3. maddesi hukuka aykırı bulunduğundan dayanağı bulunmayan ... tarih ve ... sayılı bildirim işleminin, idari para cezası karar tutanağının ve tahakkuk fişinin, davacının idari para cezasına itirazının zımnen reddine dair işlemin de iptali gerektiği sonucuna varılmıştır. Belirtilen gerekçelerle hukuka aykırı bulunan dava konusu işlemlerin iptaline karar verilmiştir.

Bölge İdare Mahkemesi kararının özeti: ... Bölge İdare Mahkemesi...

İdari Dava Dairesince, Dairemizin 17/04/2024 tarih ve E:2020/983, K:2024/1695 sayılı bozma kararına uyularak verilen kararda; dava dosyasında yer alan inceleme raporu ile bilgi ve belgelerin incelenmesinden, HLR/HSS'e gönderilebilecek ATI mesajları ile bir hedefin VLR, IMEI, İMSİ, telefon açıklık bilgilerine erişimin mümkün olduğu, SRİ LCS mesajı ile ise hedefe ilişkin konum, VLR ve İMSİ bilgisine erişim sağlanabildiği, SRİ SM mesajı ile de VLR ve İMSİ bilgisine erişim sağlanabildiği,

dolayısıyla bu mesajlar sistem ve verilere erişim girişimi olup söz konusu kayıt dosyalarının tutulması gerektiği, engellendiği belirtilen ATI, SRİ LCS ve PSL mesajları için kayıt dosyalarının tutulmadığı tespitlerine yer verildiği, bu haliyle Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliğinin "Sistem kayıt dosyalarının tutulması" başlıklı 29. maddesinde belirtilen kayıtların tutulmadığı, kişisel bilgilerin korunmasına ilişkin yeterli ve kapsamlı önlemlerin alınmadığı anlaşıldığından, davacı şirket hakkında idari para cezası uygulanmasına ilişkin işlemlerde hukuka aykırılık bulunmadığı sonucuna varılmıştır.

Açıklanan nedenlerle, istinaf başvurusunun kabulü ile istinaf başvurusuna konu İdare Mahkemesi kararının kaldırılmasına ve davanın reddine karar verilmiştir.

TEMYİZ EDENİN İDDİALARI

Davacı tarafından, uygulanan idari yaptırımın suç ve cezaların kanuniliği ilkesine aykırı olduğu, isnat edilen eylemin kanuni dayanağının dava konusu işlemde gösterilmediği, bu durumun işlemi Kabahatler Kanunu'na da aykırı hale getirdiği, davalı idare tarafından her ne kadar güvenlik açıklarına ilişkin gerekli tedbirlerin alınmadığı iddia edilmiş olsa da, alınması gereken tedbirlerin net bir şekilde somutlaştırılmadığı, bu durumun hukuki güven, idari belirlilik, öngörülebilirlik ve idari istikrar ilkelerine aykırı olduğu, davalı idare düzenlemelerine uyum noktasında azami özen gösterilmesine,

kast ve taksir olarak nitelendirilecek bir eylem bulunmamasına ve somut bulgu olmamasına rağmen güvenlik zaafiyeti oluştuğu gerekçesiyle işlem tesis edilmesinde hukuka uygunluk bulunmadığı ileri sürülmektedir.

KARŞI TARAFIN SAVUNMASI

Davalı idare tarafından, dava konusu ihlalin dayanağının Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği'nin 19. maddesinin 1. fıkrasının (p) bendi olduğu, işletmeciler tarafından alınması gereken önlemlerin neler olduğunun ilgili mevzuat ve uluslararası standartlar kapsamında belli olduğu, davacı şirketin haberleşme altyapılarında kullanılan SS7 protokolündeki güvenlik açıklarından kaynaklanan ihlalini görmezden gelerek bu yolla milli güvenlik ve kamu düzenini tehdit eden açığa cevaz verdiği belirtilerek istemin reddi gerektiği savunulmuştur.

DANIŞTAY TETKİK HÂKİMİ ...'IN DÜŞÜNCESİ

Temyiz isteminin kabulü ile Bölge İdare Mahkemesi kararının bozulması gerektiği düşünülmektedir.

TÜRK MİLLETİ ADINA

Karar veren Danıştay Onüçüncü Dairesince, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

İNCELEME VE GEREKÇE

MADDİ OLAY

Davacı şirkete yönelik denetimde, çağrı ve SMS yönlendirme, interception (araya girme), engelleme, konum sorgulama ve belirleme, çağrı ve SMS hizmeti durdurma, engelleme (SS7 Dos atakları) güvenlik ihlallerinin önlenmesine yönelik olarak gerekli tedbirlerin alınmamış olduğu tespit edilerek 5809 sayılı Elektronik Haberleşme Kanunu'nun 60. ve Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği'nin 5. ve 44. maddeleri uyarınca davacı şirket hakkında 2015 yılı net satış tutarının % 0,0025'i (milyonda yirmibeşi) oranında 255.789,25 TL idari para cezası uygulanmasına karar verilmiştir.

Bunun üzerine, anılan Kurul kararının 3. maddesi ile bu kararın uygulanmasına ilişkin idari para cezası karar tutanağının, tahakkuk fişinin, bu işlemin bildirimine ilişkin işlemin ve Kurul kararına karşı yapılan itirazın zımnen reddine ilişkin işlemin iptali istemiyle bakılan dava açılmıştır.

HUKUKİ DEĞERLENDİRME

Dairemizin 17/04/2024 tarih ve E:2020/983, K:2024/1695 sayılı bozma kararı ile "Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği'nin 19. maddesinin 1. fıkrasının (p) bendine aykırı olduğu belirtilen fiillerin sübuta erip ermediği hususunda davalı idarece hazılanan inceleme raporu da temin edilmek suretiyle bir değerlendirme yapılarak karar verilmesi gerekirken, bu değerlendirme yapılmadan dava konusu işlemin iptali yolundaki İdare Mahkemesi kararına karşı yapılan istinaf başvurusunun reddine yönelik temyize konu Bölge İdare Mahkemesi kararında hukuki isabet bulunmamaktadır." şeklindeki gerekçe ile ... Bölge İdare Mahkemesi ...İdari Dava Dairesinin ... tarih ve E:..., K... sayılı kararının bozulmasına karar verilmiştir.

... Bölge İdare Mahkemesi...İdari Dava Dairesince, Dairemizin bozma kararına uyularak ara kararı ile dava konusu işleme dayanak teşkil eden inceleme raporu ve ekleri davalı idareden talep edildikten sonra, dava konusu... tarih ve ...sayılı Kurul kararının 3. maddesi hakkında karar verilmesi gerekirken, sehven aynı Kurul kararının 4. maddesinde yer alan idari para cezasına ilişkin değerlendirmeler yapılarak karar verildiği görülmüştür.

Bu durumda, dava konusu Kurul kararının 3. maddesi yönünden yeniden inceleme yapılarak karar verilmesi gerekmektedir.

Bu itibarla, dava konusu işlemin iptali yolundaki İdare Mahkemesi kararına yönelik istinaf başvurusunun kabulü ile istinaf başvurusuna konu İdare Mahkemesi kararının kaldırılmasına ve davanın reddine ilişkin temyize konu Bölge İdare Mahkemesi kararında hukuki isabet bulunmamaktadır.