T.C.
D A N I Ş T A Y
ONÜÇÜNCÜ DAİRE
Esas No : 2019/2412
Karar No : 2023/2555
DAVACI : … Derneği (…)
VEKİLİ : Av. …
MÜDAHİL DAVACI YANINDA : … A.Ş.
VEKİLİ : Av. …
DAVALI : … Kurumu
VEKİLİ : Av. …
DAVANIN KONUSU :
Bilgi Teknolojileri İletişim Kurulu'nun (Kurul) "Abone desen yapısı" konulu ... tarih ve ... sayılı kararı ile, bu kararda değişiklikler yapılmasına ilişkin ... tarih ve ..., ... tarih ve ... ve ... tarih ve ... sayılı Kurul kararlarının iptali istenilmektedir.
DAVACININ İDDİALARI :
Dava konusu Kurul kararlarının gizli tutulduğu, Kurum'un internet sayfasında yayınlanmadığı, hukuk devleti, özel hayatın gizliliği ve kişisel verilerin korunması gibi Anayasal ilkelerin ihlâl edildiği, abonelere ait kişisel verilerin tamamının, kendilerinin bilgisi olmadan ve hiçbir sınırlamaya tâbi tutulmaksızın davalı idareye aktarılmasının söz konusu olduğu, abone profillerinin çıkarılmasının amaçlandığı, davalı idarenin tüm kullanıcılara ait bütün kişisel verilerden oluşan büyük veriyi (big data) yasal düzenlemelerdeki özel amaçlara ulaşmak için değil, çok daha fazla analiz yeteneği elde etmek için kullanma niyetinde olduğu, davalı idareye bu yönde yetki veren bir yasal düzenlemenin bulunmadığı, 5809 sayılı Elektronik Haberleşme Kanunu'nun 51. maddesinde abonelere ilişkin kişisel verilerin hiçbir özel amaç ve sınırlama olmaksızın süresiz bir şekilde işleme yetkisinin verilmediği, 5809 sayılı Kanun'un 51. maddesinin uygulanmasına dair yönetmeliğinin bulunmadığı, abonelere ait kişisel verileri koruma yükümlülüğünün veri sorumlusu olarak işletmecilerde olduğu, düzenlemelerin işletmecileri malî ve cezai sorumluluk riski altında bıraktığı, Kişisel Verileri Koruma Kurumu'ndan görüş alınmadığı, dava konusu düzenlemeler ile elde edilen verilerin malî ve siyasi analizlerde kullanılmaya son derece müsait olduğu, konuya ilişkin Anayasa Mahkemesi kararlarının etkisiz hâle getirildiği, abonelere ait kişisel verilerin hiçbir sınırlama ve ölçüt olmaksızın talep edildiği ileri sürülmüştür.
DAVACI YANINDA MÜDAHİLİN İDDİALARI :
Anayasa ile güvence altına alınmış haberleşme hürriyetinin ihlâl edildiği, abonelere ait kişisel verilerin tamamının, kendilerinin bilgisi olmadan ve hiçbir sınırlamaya tâbi tutulmaksızın davalı idareye aktarılmasının söz konusu olduğu, abonelere ait internet trafik bilgilerinin talep edildiği, internet kullanan bütün abonelerin profillerinin çıkarılmasının amaçlandığı, konuya ilişkin Anayasa Mahkemesi kararlarının etkisiz hâle getirildiği, abonelere ait kişisel verilerin hiçbir sınırlama ve ölçüt olmaksızın talep edildiği ileri sürülmüştür.
DAVALININ SAVUNMASI :
Öncelikle usule ilişkin olarak, dava süresinde açılmadığından davanın süre aşımı yönünden reddi gerektiği; davacı derneğin tüketici menfaatlerini koruma gibi bir yetkisi bulunmadığından dava açma ehliyetinin bulunmadığı ileri sürülmüştür.
Esasa ilişkin olarak ise, abonelere ait bilgilerin doğru, güncel ve güvenilir olmasının kamu otoritesinin ve tüketicilerin menfaatine olduğu, savcılıklar ve kamu kurumlarından gelen şikâyetlerde, işletmeciler tarafından elde edilen abone bilgilerinin hâlen güncel olmadığı, milli güvenliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda bilgileri güncel olmayan hatların kullanıldığı, gerçek suçlulara ulaşılamadığı ifade edilerek, caydırıcı önlemler alınmasının talep edildiği, planlı denetimler kapsamında yapılan teknik incelemelerde abonelere ait bilgilerin eksik, hatalı veya yanlış olduğunun tespit edildiği, söz konusu başvurular ve tespitler üzerine, daha önce alınan Kurul kararları gözden geçirilerek dava konusu işlemlerin tesis edildiği, dava konusu düzenlemelerin yeni olmadığı, milli güvenlik ve kamu düzeni açısından görülen lüzum üzerine daha önce yürürlükte olan düzenlemeler uyarınca işletmeciler tarafından Kuruma iletilen abone bilgilerinin daha sağlıklı ve düzgün olması amacıyla bazı ek tedbirlerin getirildiği, işletmeciler tarafından Kuruma iletilmesi gereken verilerin belirli bir standarda bağlandığı, işletmecilerin Kuruma veri aktarmasının 5809 sayılı Kanun'un 51. maddesi ile çelişmediği, söz konusu Kurul kararları ile istenilen bilgilerin birçoğunun, abonelik sözleşmesi kapsamında elde edilen bilgiler olduğu, abonelerin bilgisi dışında açılan hatların kullanılması suretiyle işlenen suçlarla mücadele edilmesinin sağlanması ve yaşanan mağduriyetlerin önüne geçilmesinin amaçlandığı, dava konusu düzenlemelerin milli güvenlik, kamu düzeni ve tüketici menfaatlerini korumayı amaçladığı, Kurumun ilgili kanunlar uyarınca istihbari veya adli amaçlı dinleme ve iletişim tespitine yönelik talepleri, süresinde, eksiksiz ve aksama olmaksızın yerine getirme yükümlülüğünün bulunduğu, dava konusu Kurul kararları ile elde edilen verilerin istihbari ve adli amaçlı yükümlülüklerin yerine getirilmesi amacıyla kullanılacağı, abonelere ilişkin talep edilen bilgiler arasında sağlık, sosyal, finans, siyasi vb. alanlara ilişkin bilgilerin yer almadığı, elde edilen verilerin malî ve siyasi analizlerde kullanılmasının söz konusu olmadığı savunulmaktadır.
DANIŞTAY TETKİK HÂKİMİ …'İN DÜŞÜNCESİ :
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre dava konusu Kurul kararları ile Kurum'a aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır.
Anayasa’nın 20. maddesinin üçüncü fıkrasında, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, bu hakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı, ayrıca, kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceği ve kişisel verilerin korunmasına ilişkin esas ve usûllerin kanunla düzenleneceği ifade edilerek kişisel verilerin korunmasını isteme hakkı güvence altına alınmıştır. Öte yandan, kişisel verilerin korunması hakkı sınırsız olmayıp bu hakkın Anayasa’da güvence altına alınan diğer temel hak ve özgürlüklerin korunması veya Anayasa’nın devlete bir görev olarak yüklediği millî güvenliğin, kamu düzeninin ve kamu güvenliğinin korunması gibi nedenlerle sınırlandırılması mümkündür. Ancak, bu konuda sınırlama yapılırken temel hak ve özgürlüklerin sınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesinde yer alan kurallara uygun davranılması gerekmektedir. Anayasa’nın anılan maddesi uyarınca kişisel verilerin korunması hakkı, yalnızca kanunla ve demokratik bir toplumda gerekli olduğu ölçüde sınırlanabilir. Ayrıca, getirilen bu sınırlamalar hakkın özüne dokunamayacağı gibi, Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olamaz.
Uyuşmazlığın çözüme kavuşturulması açısından öncelikle, Kurum tarafından, kişisel veri olduğunda kuşku bulunmayan, abonelere ait bilgileri işletmecilerden istemesi ve bu bilgileri alması konusunda kanunen yetkisi bulunup bulunmadığının belirlenmesi gerekmektedir.
Karar metninde aktarılan mevzuatın değerlendirilmesinden, elektronik haberleşme sektörünün düzenleyici ve denetleyici kurumu olan davalı idarenin, abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmak, bu kapsamda işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak konusunda görev ve yetkisinin bulunduğu, kanunlar ile kendisine verilen görev ve yetkileri yerine getirebilmek amacıyla gerekli düzenlemeleri yapabileceği, işletmecilere bir takım yükümlülükler getirebileceği, düzenleme yaparken dikkate alınması gereken en temel ilkelerin "tüketici hak ve menfaatinin gözetilmesi" ile "Millî güvenlik ile kamu düzeni gereklerine öncelik verilmesi" olduğu, elektronik haberleşme sektöründe faaliyet gösteren işletmecilerin ise, söz konusu görev ve yetkilerin yerine getirilebilmesi amacıyla talep edilen her türlü bilgi ve belgeyi davalı idareye vermekle yükümlü olduğu anlaşılmaktadır.
Öte yandan, 5397 sayılı Kanun kapsamındaki önleyici-istihbari amaçlı ve 5271 sayılı Kanun'un 135'inci maddesi kapsamındaki adli amaçlı iletişim tespiti, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmek ve söz konusu iş ve işlemleri tek bir merkezden yürütmekle yükümlü olarak kurulan Telekomünikasyon İletişim Başkanlığı'nın 15/08/2016 tarih ve 671 sayılı Kanun Hükmünde Kararnamenin 22. maddesi gereğince kapatılması ile söz konusu görev ve yetkilerin davalı idareye devredildiği anlaşılmaktadır.
Bu itibarla, 5809 sayılı Kanun, 5397 sayılı Kanun (2559 sayılı, 2803 sayılı ve 2937 sayılı Kanunlar), 5271 sayılı Kanun, 671 sayılı Kanun Hükmünde Kararname ve 5651 sayılı Kanun'un ilgili maddeleri uyarınca davalı idareye verilen görev ve yükümlülüklerin süresinde, eksiksiz ve aksama olmaksızın yerine getirilebilmesi amacıyla, Kurum'un işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, işletmecilere bir takım yükümlülükler getirmek konusunda kanunî yetkisinin bulunduğu dikkate alındığında, dava konusu Kurul kararlarının yasal dayanağının bulunduğu anlaşılmaktadır.
Ancak, dava konusu Kurul kararlarının amacının, önleyici, istihbari ve adli amaçlı iletişimin tespit edilmesine, dinlenmesine ve kayda alınmasına yönelik işlemler kapsamında Kurum'a verilen görevlerin süresinde ve eksiksiz şekilde yerine getirmesini sağlamak olduğu, bu kapsamda işletmecilerden, abonelerine ilişkin (Dava konusu Kurul kararları ile belirlenen) bilgilerin belirli standartlar çerçevesinde Kurum'a aktarılmasının istenildiği anlaşılmaktadır. Davalı idare tarafından, "işletmecilerin abonelerden elde ettikleri verilerin doğru, güvenilir ve güncel tutulmasının gerektiği, bu hususun tüketicilerin ve kamu otoritelerinin menfaatleri açısından önemli olduğu, Kurum'a, gerek Cumhuriyet Başsavcılıkları tarafından, gerekse diğer kamu kurum ve kuruluşları tarafından iletilen şikâyetler kapsamında işletmeciler tarafından elde edilen bilgilerin hâlen güncel olmadığı, özellikle milli güvenliliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda abone bilgileri güncel olmayan telefon hatlarının kullanıldığı, gerçek suçlulara ulaşılmakta zorluk çekildiğinden bahisle, Kurum'dan caydırıcı önlemler alınmasının talep edildiği" belirtilmekte ise de; "Anne Kızlık Soyadı", "Mesleği", "Cinsiyeti", "Uyruğu", "POP Bilgisi", "Adres", "Mail Adresi" ve "Doğum Yeri" bilgilerinin Kurum'a aktarılmasının söz konusu amacı ne şekilde sağladığı anlaşılamamıştır.
Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük İlkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır.
28/07/2010 tarih ve 27655 sayılı Resmî Gazete'de yayımlanarak işlem tarihinde yürürlükte bulunan Elektronik Haberleşme Sektöründe Tüketici Hakları Yönetmeliği'nin (Mülga) “Abonelik sözleşmelerinin uygulanması” başlıklı 15. maddesinin 7. fıkrasında yer alan, "Abonenin hattının, kullanıma açılabilmesi için, bu maddede yer alan belgelerin eksiksizliği ve söz konusu belgelerdeki bilgilerin doğruluğu işletmeci tarafından kontrol edilerek gerekli teyit işlemi İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü Merkezi Nüfus İdaresi Sisteminden yapılır. Söz konusu bilgilerin doğruluğu onaylanmadan açılan hat ile ilgili olarak her türlü sorumluluk işletmeciye aittir." kuralı uyarınca, İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü Merkezi Nüfus İdaresi Sisteminden teyidi yapılan "T.C. Kimlik Numarası" bilgisinin söz konusu amacın gerçekleşmesi açısından tek başına yeterli olduğu anlaşıldığından; "Anne Kızlık Soyadı", "Mesleği", "Cinsiyeti", "Uyruğu", "POP Bilgisi", "Adres", "Mail Adresi" ve "Doğum Yeri" gibi kişisel verilerin Kurum'a aktarılmasının hukuken gerekli ve ölçülü olduğunu kabul etmek mümkün değildir.
Açıklanan nedenlerle, dava konusu Kurul kararlarının "T.C. Kimlik Numarası" bilgisi dışındaki kişisel verilerin Kuruma aktırılmasına ilişkin kısımlarında hukuka uygunluk bulunmadığından, dava konusu Kurul kararlarının bu kısımlarının iptaline; diğer kısımlar yönünden davanın reddine karar verilmesi gerektiği düşünülmektedir.
DANIŞTAY SAVCISI …'NIN DÜŞÜNCESİ : Dava, Bilgi Teknolojileri İletişim Kurulu'nun "Abone desen yapısı" konulu ... tarih ve ... sayılı kararı ile, bu kararda değişiklikler yapan ... tarih ve ... sayılı, ... tarih ve ... sayılı ve ... tarih ve ... sayılı Kurul Kararlarının iptali istemi ile açılmıştır.
5809 sayılı Elektronik Haberleşme Kanunu'nun 1. maddesinde; "Bu Kanunun amacı; elektronik haberleşme sektöründe düzenleme ve denetleme yoluyla etkin rekabetin tesisi, tüketici haklarının gözetilmesi, ülke genelinde hizmetlerin yaygınlaştırılması, kaynakların etkin ve verimli kullanılması, haberleşme alt yapı, şebeke ve hizmet alanında teknolojik gelişimin ve yeni yatırımların teşvik edilmesi ve bunlara ilişkin usul ve esasların belirlenmesidir." düzenlemesine yer verilmiş, "Kurumun görev ve yetkileri başlıklı 6. maddesinin (c) bendinde; Abone, kullanıcı, tüketici ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, (ı) bendinde; Elektronik haberleşmeyle ilgili olarak, işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, Bakanlık tarafından elektronik haberleşme sektörüne yönelik strateji ve politikaların belirlenmesinde ihtiyaç duyulanları, talebi üzerine Bakanlığa iletmek, (y) bendinde; Bu Kanunla verilen görevlere ilişkin yönetmelik, tebliğ ve diğer ikincil düzenlemeleri çıkarmak" Kurumun görev ve yetkileri arasında sayılmıştır.
Aynı Kanunun "işletmelerin hak ve yükümlülükleri başlıklı 12. maddesinin 1. fıkrasında; İşletmecinin, Kurum düzenlemeleri ve yetkilendirmesinde öngörülen şartlara uygun olarak yetkilendirildiği kapsamdaki elektronik haberleşme hizmetini sunma hakkına sahip olduğu, 2. fıkrasında, Kurumun, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek mevzuat doğrultusunda yükümlülükler getirebileceği belirtildikten sonra, (d) bendinde, kişisel veri ve gizliliğin korunması, (e) bendinde; tüketicinin korunması, (f) bendinde, Kuruma bilgi ve belge verilmesi, (l) bendinde; ilgili mevzuat uyarınca Kurum tarafından istenilen hizmetleri yerine getirmek, bu yükümlülükler arasında sayılmış, aynı maddenin 4. fıkrasında; işletmecilerin hak ve yükümlülükleri ile ilgili usul ve esasların Kurumca belirleneceği, 5. fıkrasında da; işletmecilerin elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili taleplerin karşılanmasına yönelik teknik alt yapıyı, elektronik haberleşme sistemini hizmete sunmadan önce kurmakla yükümlü olduğu, halen elektronik haberleşme hizmeti sunan işletmecilerin de; söz konusu teknik alt yapıyı, Kurum tarafından belirlenecek süre içerisinde aynı şartlarla ve tüm harcamaları kendilerine ait olmak üzere kurmakla yükümlü oldukları düzenlenmiştir.
Bazı Kanunlarda Değişiklik Yapılmasına Dair 5397 sayılı Kanun ile, 2559 sayılı Polis Vazife ve Selahiyet Kanununda, 2803 sayılı Jandarma Teşkilat Görev ve Yetkileri Kanununda ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanununda değişiklik ve eklemeler yapılarak, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması vb... gerekçelerle, hakim kararı veya gecikmesinde sakınca bulunan hallerde, Emniyet Müdürü veya İstihbarat Daire Başkanı, Jandarma Genel Komutanı veya İstihbarat Başkanı, Mit Müsteşarı veya Yardımcısının yazılı emri ile, telekomünikasyon yoluyla yapılan iletişimin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla işlenen suçlarla Mücadele Edilmesi Hakkında Kanun'un "Amaç ve Kapsam" başlıklı 1. maddesinde; "Bu Kanunun amaç ve kapsamı; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usûlleri düzenlemektir" kuralına yer verilmiş, Kanun'un "Bilgilendirme yükümlülüğü " başlıklı 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi halinde ilgili mercilere verilir" düzenlemesi, Anayasa Mahkemesinin 02.10.2014 günlü ve E:2014/149, K:2014/151 sayılı kararı ile iptal edilmiştir.
5271 sayılı Ceza Muhakemesi Kanununun 135 ve devamı maddelerinde, Telekomünikasyon yoluyla yapılan iletişiminin denetlenmesine ilişkin düzenlemelere yer verilmiş, iletişiminin telekomünikasyon yoluyla hakim; gecikmesinde sakınca bulunan hallerde de Cumhuriyet Savcısı kararı ile dinlenebileceği, kayda alınabileceği, sinyal kayıtlarının değerlendirilebileceği düzenlenmiştir.
Nihayet 5809 sayılı Kanuna dayanılarak hazırlanan Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliğinin "İşletmecilerin hak ve yükümlülükleri" başlıklı 19. maddesinin 1. fıkrasının (a) bendinde; İşletmecinin, Kurum tarafından yetkilendirmesi kapsamında istenen veya düzenli olarak gönderilmesi talep edilen bilgi, belge ve veriyi doğru ve eksiksiz olarak Kurumca istenen süre içerisinde vermekle yükümlü olduğu, (f) bendinde; Erişim sağlayıcı olan veya telefon hizmeti sunan işletmecinin, taraflara ilişkin IP adresi, port aralığı, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı, kullanıcı sayısı ve abone kimlik bilgileri ile altyapısı üzerinden gerçekleşen görüşmelere ait trafik bilgilerini iki yıl süreyle; kullanıcı bilgilerini ise ilgili mevzuatta belirtilen zamanaşımı süresi boyunca muhafaza etmekle yükümlü olduğu, aynı maddenin 2. fıkrasında; İşletmelerin ayrıca,... ç) Kişisel verilerin gizliliğinin korunmasına ilişkin düzenlemelere uymakla yükümlü olduğu kurala bağlanmıştır.
Yukarıda yer verilen mevzuat hükümlerine istinaden hazırlandığı belirtilen dava konusu ... tarih ve ... sayılı Kurul Kararında özet olarak; İşletmeciler tarafından Kuruma gönderilen abonelik bilgilerinin, Kurul kararının ekinde yer alan "Teknik detay dökümanı"na uygun olarak oluşturularak, doğru, eksiksiz, zamanında ve güncel olarak oluşturulup gönderilmesi, bunun için 02.07.2019 tarihine kadar süre verilmesi, kimlik numarası doğrulamayan aboneler için çeşitli yöntemlerle abonelerin bilgilendirilmesi, kimliğin temin edilememesi/doğrulanamaması halinde, 02.07.2019 tarihine kadar mesaj gönderimi ve veri trafiğinin kısıtlanması, 01.10.2019 tarihine kadar hattın kapatılması ve bunu takip eden asgari bir yıl boyunca yeniden tahsise açılmaması vs... düzenlenmiş, Kararın eki "Abone Teknik Detay Dökümanı"nda ise; Abone T.C kimlik no, abone pasaport no, abone unvan, abone vergi no, abone mersis no, abone cinsiyet, abone uyruk, abone anne-baba adı, anne kızlık soyadı, doğum yeri, doğum tarihi, abone meslek, abone tarife, abone kimlik cilt, kütük, sayfa no, vergi no, unvan, abone adres, il, ilçe, kapı no, e-mail adresi ve bunun gibi bölümlerin işletmecinin yetkilendirilmesi kapsamında doldurulması gerektiği belirtilmiştir.
Dava konusu diğer Kurul kararları ile de, 314 sayılı Kurul kararında, değişiklikler ve bazı eklemeler yapılmıştır.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Genel İlkeler" başlıklı 4. maddesinin 1. fıkrasında; Kişisel verilerin ancak bu Kanunda ve diğer Kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği, 2. fıkrasında; Kişisel verilerin işlenmesinde, a) Hukuka ve dürüstlük kurallarına uygun olma,... c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.... ilkelerine uyulmasının zorunlu olduğu düzenlenmiş, "Kişisel verilerin işlenme şartları" başlıklı 5. maddesinin 1. fıkrasında; Kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, 2. fıkrasında; maddede belirtilen şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu, bunların; a) Kanunlarda açıkça öngörülmesi, b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, d) İlgili kişinin kendisi tarafından alenileştirilmiş olması, e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması olduğu, "Kişisel verilerin aktarılması" başlıklı 8. maddesinin 1. fıkrasında; Kişisel verilerin, ilgili kişinin açık rızası olmaksızın aktarılamayacağı, 2. fıkrasında; Kişisel verilerin; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabileceği, 3. fıkrasında; Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğu düzenlemelerine yer verilmiştir.
Yukarıda yer verilen ve dava konusu Kurul kararlarına dayanak olarak gösterilen Kanun maddelerinde; Kurumun abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmakla yetkili ve görevli olduğu, işletmecilerin gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi alarak, talep üzerine Bakanlığa ileteceği, Kurumun işletmecilere sektörün ihtiyaçları doğrultusunda yükümlülükler getirebileceği, kişisel verilerin ve gizliliğin korunmasının bu yükümlülükler arasında sayıldığı, işletmecilerin milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik alt yapıyı sağlayacakları, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması gerekçeleri ile, hakim kararı ile veya gecikmesinde sakınca olan hallerde ilgili kurum amirinin yazılı emri ile iletişiminin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
Söz konusu düzenlemelerden; İşletmecilerin, abonelerle yapılacak sözleşmelerin kurulabilmesi amacıyla gerekli bilgileri, abonelerden isteyebilecekleri, yine işletmecilerin, 5397 ve 5651 Kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik altyapıyı sağlayacakları, Kurumun da kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına yönelik düzenlemeler yapabileceği anlaşılmaktadır.
Dava konusu 314 nolu Kurul Kararının "Açıklamalar" bölümünde; 5397 sayılı Kanun kapsamındaki önleyici - istihbari amaçlı ve 5271 sayılı Ceza Muhakemesi Kanunu'nun 135. maddesi kapsamındaki adli amaçlı iletişimin tespit edilmesi, dinlenmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri, süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmekle yükümlü olan Telekomünikasyon İletişim Başkanlığının kapatıldığı ve yetki ve sorumluluğundaki görevlerin Bilgi Teknolojileri ve İletişim Kurumuna devredildiği, bu bağlamda işletmecilerden abone rehber dosyaları alındığı, işletmecilerin dosyaları iletebilmesi için gerekli olan sunucu IP adresinin, FTP kullanıcı ve şifresinin, abone verilerinin iletileceği dizin bilgilerinin işletmecilere, Bilgi Teknolojileri Kurumu tarafından bildirileceği belirtilmiş ve kişisel verilerin Kuruma aktarılması bu kapsamda değerlendirilmiştir.
Görüldüğü üzere, söz konusu Karar ile; abonelere ilişkin kişisel bilgilerin, Bilgi Teknolojileri ve İletişim Kurumu tarafından, ilgili işletmeciler aracılığı ile, ortada herhangi bir hukuki inceleme ya da süreç bulunmaksızın temin edilmesi düzenlenmektedir. Başka bir deyişle, anılan Kurul kararları; suçların tespiti, soruşturulması ve kovuşturulmasında kullanılmak üzere, gerçek ve tüzel kişilere ilişkin kişisel bilgilerin, davalı idare tarafından, herhangi bir hukuki inceleme veya talep bulunmaksızın, ilgili işletmeciler aracılığı ile temin edilmesine olanak sağlamaktadır.
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre dava konusu Kurul kararları ile Kuruma aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır. Her ne kadar kişisel verilerin korunması hakkı mutlak ve sınırsız olmayıp, belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanununla sınırlanabilir ise de; davalı idarenin, 314 sayılı kararın açıklamalar bölümünde belirtilen amacı aşacak şekilde, herhangi bir adli süreç veya talep bulunmaksızın söz konusu verilere ulaşabilirliği, (kişilerin tercihleri, düşünceleri ve davranışları hakkında fikir verebileceğinden) kişilerin özel hayatlarına müdahale edilme riskini içermektedir. Dava konusu Kurul kararlarında, temin edilecek bilginin Kurum tarafından ne şekilde kullanılacağı, tutulacağı süre, gibi hususlarla ilgili olarak, herhangi bir belirlilik de bulunmamaktadır.
Anayasa'nın 20. maddesinin ilk fıkrasında, herkesin özel hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile hayatının gizliliğine dokunulamayacağı belirtilmiş; son fıkrasında da "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." denilerek kişisel verilerin korunması, özel hayatın gizliliğinin korunması kapsamında güvenceye kavuşturulmuştur.
Özel hayatın korunması her şeyden önce özel hayatın gizliliğinin korunması, başkalarının gözleri önüne serilmemesi demektir. Kişinin özel hayatında yaşananların yalnız kendisi veya kendisinin bilmesini istediği kimseler tarafından bilinmesini isteme hakkı, kişinin temel haklarından biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyanname ve sözleşmelerde yer almış, tüm demokratik ülkelerin mevzuatlarında açıkça belirlenen istisnalar dışında devlete, topluma ve diğer kişilere karşı korunmuştur.
Bilişim teknolojilerindeki gelişmeler sonucunda geleneksel yöntemlerle mümkün olmayan çok sayıda verinin toplanabilmesi, daha önce birbirinden ilişkisiz şekilde tutulan pek çok verinin merkezî olarak bir araya getirilebilmesi, verilerin veri eşleştirme ve veri madenciliği gibi ileri teknolojik imkânlarla analize tabi tutulmak suretiyle veriden yeni veriler üretme kapasitesinin artması, verilere erişim ve veri transferinin kolaylaşması, kişisel verilerin ticari işletmeler kıymetli bir varlık niteliği kazanması neticesinde özel sektör unsurlarınca oluşturulan risklerin daha yaygın ve önemli boyutlara ulaşması, terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler günümüzde kişisel verilerin en üst seviyede korunmasını zorunlu kılmaktadır.
Belirtilen sebeplerle kişisel verilerin en üst seviyede korunması zorunlu olmakla birlikte bu hak mutlak ve sınırsız olmayıp Anayasa'nın 13. ve 20. maddeleri gereğince belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir.
Bu noktada, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 07.04.2016 tarihli ve 29677 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Uyuşmazlıkta, işletmeciler, 6698 sayılı Kanunun 5. maddesinin 2. fıkrasının (c) bendinde yer alan; "Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması" düzenlemesi uyarınca, abonelerden gerekli bilgileri temin edebilecekler ve Kurumun yapacağı düzenlemeler uyarınca da bu bilgilerin muhafazasını/gizli kalmasını sağlayacaklardır. Ancak dava konusu Kararlar ile, işletmecilerin abonelere ait kişisel bilgileri Kuruma aktarmalarına yönelik düzenlemeler getirilmiş olup, bu düzenlemeler, 6698 sayılı Kanunun 4. maddesinin 2. fıkrasının (ç) bendine aykırı bulunmaktadır. Nitekim anılan maddede, "kişisel verilerin işlenmesinde, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine uyulmasının zorunlu olduğu" kurala bağlanmıştır.
Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük İlkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını İfade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır.
Elverişlilik ölçütüne göre, bir yasal düzenlemenin sınırlama amacı bakımından elverişli sayılması için bu düzenlemenin arzulanan amaca katkı yapması gerekmektedir. İncelediğimiz kurul kararları bu katkıyı sağlamamaktadır. Uyuşmazlıkta dava konusu kurul kararlarının amacı; "Önleyici, istihbari ve adli amaçlı iletişimin tespit edilmesine, dinlenmesine ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde ve eksiksiz şekilde yerine getirmek" olarak belirtilmiş, bunun için kullanılan araç da, işletmeciler tarafından edinilen abone bilgilerini Kuruma aktarmak olarak belirlenmiştir. Yani, önleyici, istihbari ve adli işlemler kapsamında verilen görevlerin süresinde ve eksiksiz yerine getirilmesi için, kişisel verilerin, Kuruma gönderilmesi gerekmektedir. Ancak, Kurumun adli, istihbari iletişimin tespitinin, süresinde ve eksiksiz yerine getirmesine yönelik amacını gerçekleştirebilmesi için; işletmecilerde bulunan bilgilerin Kuruma aktarılmasına yönelik düzenleme hukuken gerekli ve ölçülü değildir. Gereklilik, bir temel hakkı en az sınırlayan aracın seçilmesini gerektirmekte olup, bilgilerin Kuruma aktarılmasının, hakkı en az sınırlayan yumuşak bir araç olduğunu söylemek mümkün değildir. Çünkü söz konusu kural, çok geniş bir çerçeveyi kapsayarak, bireyin neredeyse her türlü özel nitelikli kişisel bilgilerinin toplanmasını ve aktarılmasını öngörmektedir. Nitekim ilgili mercilerin, gerekli bilgileri işletmecilerden talep etmelerine her hangi bir engel bulunmamakta iken, belirtilen amacın, kişisel verilerin işletmecilerde doğru ve güncel olarak saklanmasını temin etmeye yönelik idari tedbirlerle sağlanabileceği açık iken, kişisel verilerin ayrıca Kuruma gönderilmesinin Kurul kararı ile karara bağlanması, gerekli ve ölçülü olmadığı gibi, davalı idarece, kişisel bilgilerin Kuruma aktarılmasını zorunlu kılan herhangi bir hukuki gerekçe de ortaya konulamamıştır.
Davalı idare tarafından; işletmecilerin abonelerden elde ettikleri verilerin doğru, güvenilir ve güncel tutulmasının gerektiği, bunun tüketicilerin ve kamu otoritelerinin menfaatleri açısından önemli olduğu, Kuruma, gerek Cumhuriyet Başsavcılıkları tarafından, gerekse diğer kamu kurum ve kuruluşları tarafından iletilen şikayetler kapsamında işletmeciler tarafından elde edilen bilgilerin halen güncel olmadığı, özellikle milli güvenliliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda abone bilgileri güncel olmayan telefon hatlarının kullanıldığı, gerçek suçlulara ulaşılmakta zorluk çekildiğinden bahisle, kurumdan caydırıcı önlemlerini alınmasının talep edildiği belirtilmekte ise de; pasaport no, anne kızlık soyadı, doğum yeri, mesleği, cinsiyeti, uyruğu gibi kişisel verilerin, herhangi bir merciin talebi olmaksızın, Bilgi Teknolojileri ve İletişim Kurumuna aktarılmasının, belirtilen amacı ne şekilde sağladığı anlaşılamamıştır.
Yine davalı idare tarafından; Kurul kararlarının, bilgilerin, güncel ve doğru olması amacına yönelik olarak kamu yararı taşıdığı iddia edilmekte ise de, bunun da, davalı idarece, alınacak olan, kişisel verilerin işletmecilerde doğru ve güncel olarak saklanmasını temin etmeye yönelik idari tedbirlerle ve arttırılacak denetimlerle sağlanabileceği açıktır.
Öte yandan, daha önce 6552 sayılı Kanunun 126. maddesi ile değiştirilen 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlemesi ve Bu Yayınlar Yoluyla işlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi, Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi hallerinde ilgili mercilere verilir." düzenlemesi Anayasa Mahkemesi'nin 02.10.2014 günlü ve E:2014/149, K:2014/151 sayılı kararı ile; 5651 sayılı Kanunun 4. maddesine eklenen 3 nolu fıkrada yer alan; "İçerik sağlayıcı, Başkanlığın, bu Kanun ve diğer kanunlarla verilen görevlerinin ifası kapsamında talep ettiği bilgileri, talep edilen şekilde Başkanlığa teslim eder ve Başkanlıkça bildirilen tebirleri alır" düzenlemesi ise, Anayasa Mahkemesi'nin 08.12.2015 günlü ve E:2014/87, K:2015/112 sayılı kararı ile iptal edilmiştir.
Görüldüğü üzere, aboneye ait trafik bilgisinin, idarece, işletmecilerden temin edilmesine yönelik, dava konusu kurul kararları ile benzer nitelikteki kanuni düzenlemeler, Anayasa Mahkemesince iptal edilmiş, ancak davalı idarece benzer düzenleme, bu kez kurul kararları ile yapılmıştır.
Bu durumda; adli, önleyici, istihbari amaçlarla Kuruma verilen görevlerin; süresinde, doğru ve eksiksiz yerine getirilmesi amacıyla yapılan, temel hak ve özgürlükleri doğrudan ilgilendiren düzenlemelerin, gerekli ve ölçülü olma ilkelerine uygun bulunmadığı gibi, üst hukuk normları ile değil de, Kuruma verilen genel yetki kapsamında, Kurul kararları ile tesisi mümkün olmadığından, dava konusu Kurul kararlarında hukuka uyarlık görülmemiştir.
Açıklanan nedenlerle dava konusu Kurul Kararlarının iptaline karar verilmesi gerektiği düşünülmektedir.
TÜRK MİLLETİ ADINA
Karar veren Danıştay Onüçüncü Dairesi'nce duruşma için taraflara önceden bildirilen 15/06/2021 tarihinde, davacı vekili Av. … ve davacı yanında müdahil vekili Av. … ile davalı idare vekili Av. …'ün geldikleri, Danıştay Savcısının hazır olduğu görülmekle, açık duruşmaya başlandı. Taraflara usulüne uygun olarak söz verilerek dinlendikten ve Danıştay Savcısının düşüncesi alındıktan sonra taraflara son kez söz verilip, duruşma tamamlandı. Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:
İNCELEME VE GEREKÇE:
MADDİ OLAY VE HUKUKİ SÜREÇ :
Bilgi Teknolojileri İletişim Kurulu'nun (Kurul) "Abone desen yapısı" konulu ... tarih ve ... sayılı kararı ile, bu kararda değişiklikler yapılmasına ilişkin ... tarih ve ..., ... tarih ve ... ve ... tarih ve ... sayılı Kurul kararlarının iptali istenilmektedir.
USUL YÖNÜNDEN:
Davalı idarenin, dava açma süresi ve ehliyete ilişkin usule yönelik itirazları geçerli görülmeyerek esasın incelenmesine geçildi.
ESAS YÖNÜNDEN:
İLGİLİ MEVZUAT:
5809 sayılı Elektronik Haberleşme Kanunu'nun 1. maddesinde, "Bu Kanunun amacı; elektronik haberleşme sektöründe düzenleme ve denetleme yoluyla etkin rekabetin tesisi, tüketici haklarının gözetilmesi, ülke genelinde hizmetlerin yaygınlaştırılması, kaynakların etkin ve verimli kullanılması, haberleşme alt yapı, şebeke ve hizmet alanında teknolojik gelişimin ve yeni yatırımların teşvik edilmesi ve bunlara ilişkin usul ve esasların belirlenmesidir."; "İlkeler" başlıklı 4. maddesinde, "(1) (...) İlgili merciler tarafından elektronik haberleşme hizmetinin sunulmasında ve bu hususta yapılacak düzenlemelerde aşağıdaki ilkeler göz önüne alınır: b) Tüketici hak ve menfaatlerinin gözetilmesi. h) Millî güvenlik ile kamu düzeni gereklerine ve acil durum ihtiyaçlarına öncelik verilmesi. l) Bilgi güvenliği ve haberleşme gizliliğinin gözetilmesi." düzenlemelerine yer verilmiş; "Kurumun görev ve yetkileri" başlıklı 6. maddesinin (c) bendinde, abone, kullanıcı, tüketici ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak; (ı) bendinde, elektronik haberleşmeyle ilgili olarak, işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, Bakanlık tarafından elektronik haberleşme sektörüne yönelik strateji ve politikaların belirlenmesinde ihtiyaç duyulanları, talebi üzerine Bakanlığa iletmek; (y) bendinde, bu Kanunla verilen görevlere ilişkin yönetmelik, tebliğ ve diğer ikincil düzenlemeleri çıkarmak, Kurumun görev ve yetkileri arasında sayılmıştır.
Aynı Kanunun "İşletmelerin hak ve yükümlülükleri" başlıklı 12. maddesinin 1. fıkrasında, işletmecinin, Kurum düzenlemeleri ve yetkilendirmesinde öngörülen şartlara uygun olarak yetkilendirildiği kapsamdaki elektronik haberleşme hizmetini sunma hakkına sahip olduğu; 2. fıkrasında, Kurumun, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek mevzuat doğrultusunda yükümlülükler getirebileceği belirtildikten sonra; (d) bendinde, kişisel veri ve gizliliğin korunması; (e) bendinde, tüketicinin korunması; (f) bendinde, Kuruma bilgi ve belge verilmesi; (l) bendinde, ilgili mevzuat uyarınca Kurum tarafından istenilen hizmetleri yerine getirmek söz konusu yükümlülükler arasında sayılmış; aynı maddenin 4. fıkrasında, işletmecilerin hak ve yükümlülükleri ile ilgili usul ve esasların Kurumca belirleneceği, 5. fıkrasında da, işletmecilerin elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ile 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili taleplerin karşılanmasına yönelik teknik alt yapıyı, elektronik haberleşme sistemini hizmete sunmadan önce kurmakla yükümlü olduğu, halen elektronik haberleşme hizmeti sunan işletmecilerin de; söz konusu teknik alt yapıyı, Kurum tarafından belirlenecek süre içerisinde aynı şartlarla ve tüm harcamaları kendilerine ait olmak üzere kurmakla yükümlü oldukları kurala bağlanmıştır.
Bununla birlikte aynı Kanun'un "Kişisel verilerin işlenmesi ve gizliliğin korunması" başlıklı 51. maddesinde yer alan, "(1) Kişisel verilerin işlenmesinde; hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlar için işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkelerine uyulur. (2) Elektronik haberleşmenin ve ilgili trafik verisinin gizliliği esas olup, ilgili mevzuatın ve yargı kararlarının öngördüğü durumlar haricinde, haberleşmeye taraf olanların tamamının rızası olmaksızın haberleşmenin dinlenmesi, kaydedilmesi, saklanması, kesilmesi ve takip edilmesi yasaktır. (...) (5) Bu Kanunun 49 uncu maddesi kapsamında veya kamu yararının sağlanması amacıyla Kurum tarafından işletmecilere getirilen yükümlülüklerin yerine getirilebilmesi için kişisel veriler işlenebilir. (...) (10) Bu Kanun kapsamında sunulan hizmetlere ilişkin olarak; a) Soruşturma, inceleme, denetleme veya uzlaşmazlığa konu olan kişisel veriler ilgili süreç tamamlanıncaya kadar, b) Kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtları iki yıl, c) Kişisel verilerin işlenmesine yönelik abonelerin/kullanıcıların rızalarını gösteren kayıtlar asgari olarak abonelik süresince saklanır. (...)" şeklindeki kurallar ile kişisel verilerin işletmeciler tarafından işlenmesi ve gizliliğin korunmasındaki temel ilkeler belirlenmiş, kişisel verilerin saklanacağı süre ve bunun istisnaları düzenlenmiş; "Abone ve cihaz kimlik bilgilerinin güvenliği" başlıklı 56. maddesinin 3. fıkrasında, "Abonelik tesisi için gerekli kimlik belgeleri örneği alınmadan işletmeci veya adına iş yapan temsilcisi tarafından abonelik kaydı yapılamaz." kuralına yer verilmiştir.
Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliğinin "İşletmecilerin hak ve yükümlülükleri" başlıklı 19. maddesinin 1. fıkrasının (a) bendinde, işletmecinin, Kurum tarafından yetkilendirmesi kapsamında istenen veya düzenli olarak gönderilmesi talep edilen bilgi, belge ve veriyi doğru ve eksiksiz olarak Kurumca istenen süre içerisinde vermekle yükümlü olduğu; (f) bendinde, erişim sağlayıcı olan veya telefon hizmeti sunan işletmecinin, taraflara ilişkin IP adresi, port aralığı, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı, kullanıcı sayısı ve abone kimlik bilgileri ile altyapısı üzerinden gerçekleşen görüşmelere ait trafik bilgilerini iki yıl süreyle; kullanıcı bilgilerini ise ilgili mevzuatta belirtilen zamanaşımı süresi boyunca muhafaza etmekle yükümlü olduğu kurala bağlanmış; (u) bendinde, "5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen yükümlülükler: İşletmeciler, elektronik haberleşme sistemleri üzerinden millî güvenlikle, 5397 sayılı Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ve 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili taleplerin karşılanmasına yönelik teknik altyapıyı, elektronik haberleşme sistemini hizmete sunmadan önce kurumca belirlenecek usul, esas ve standartlarda, tüm harcamaları kendine ait olmak üzere kurmak ve güncellemekle yükümlüdür. Halen elektronik haberleşme hizmeti sunan işletmeciler de; söz konusu teknik altyapıyı, Kurum tarafından belirlenecek usul, esas ve standartlarda, tüm harcamaları kendilerine ait olmak üzere kurmak ve güncellemekle yükümlüdürler. Söz konusu sistemleri kurmayan ve güncellemeyen işletmeciler; abonelere ve diğer işletmecilere hizmet sunamaz; diğer işletmeciler de söz konusu sistemleri kurmayan ve güncellemeyen işletmecilere hizmet sunamaz. İşletmeciler, 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili olarak, tüm harcamaları kendilerine ait olmak üzere; ilgili mevzuat gereği verilmesi gereken bilgi, belge ve veriyi Kurum tarafından belirlenecek usul, esas ve standartlarda eksiksiz ve zamanında kanunen yetkili mercie teslim etmekle, her türlü sistemin işletilmesi bakımından, altyapı kullanımının sağlanması ile söz konusu sistemlerin çalışır vaziyette tutulması için gerekli donanım, yazılım, bakım, onarım, teknik destek gibi gerekli tedbiri almakla ve bunları etkileyen donanım, yazılım, altyapı ve şebekeye ilişkin değişiklikleri Kurum onayını alarak yapmakla yükümlüdürler." kuralına yer verilmiş; ayrıca, aynı maddenin 2. fıkrasının (ç) bendinde, işletmelerin kişisel verilerin gizliliğinin korunmasına ilişkin düzenlemelere uymakla yükümlü olduğu kurala bağlanmıştır.
23/07/2005 tarih ve 25884 sayılı Resmî Gazete'de yayımlanan 5397 sayılı Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ile, Telekomünikasyon Kurumu (Bilgi Teknolojileri ve İletişim Kurumu) bünyesinde, Kurum başkanına doğrudan bağlı "Telekomünikasyon İletişim Başkanlığı" kurulmuş, 2559 sayılı Polis Vazife ve Selahiyet Kanununda, 2803 sayılı Jandarma Teşkilat Görev ve Yetkileri Kanununda ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanununda değişiklik ve eklemeler yapılarak, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması, terörist faaliyetlerin önlenmesi gibi gerekçelerle, hâkim kararı veya gecikmesinde sakınca bulunan hâllerde, Emniyet Genel Müdürü, Jandarma Genel Komutanı veya Milli İstihbarat Teşkilatı Başkanının yazılı emri ile, telekomünikasyon yoluyla yapılan iletişimin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmış, anılan Kanunlar ve 5271 sayılı Ceza Muhakemesi Kanunu'nun 135. maddesi kapsamında gerçekleştirilecek işlem ve dinlemelerin Telekomünikasyon İletişim Başkanlığınca tek bir merkezden yürütüleceği kurala bağlanmıştır.
Bu kapsamda, 10/11/2005 tarih ve 25989 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Telekomünikasyon Yoluyla Yapılan İletişimin Tespiti, Dinlenmesi, Sinyal Bilgilerinin Değerlendirilmesi ve Kayda Alınmasına Dair Usul ve Esaslar ile Telekomünikasyon İletişim Başkanlığının Kuruluş, Görev ve Yetkileri Hakkında Yönetmeliğin 17. maddesinde, "a) 2559 sayılı Kanun'un Ek 7'nci maddesi, 2803 sayılı Kanunun Ek 5'inci maddesi ve 2937 sayılı Kanunun 6'ncı maddesi uyarınca, telekomünikasyon yoluyla yapılan iletişimin tespiti, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik iş ve işlemleri tek bir merkezden yürütmek,
b) 5271 sayılı Kanun'un 135'inci maddesi kapsamında yapılacak iletişimin tespiti, dinlenmesi, kayda alınması ve sinyal bilgilerinin değerlendirilmesine yönelik iş ve işlemleri tek bir merkezden yürütmek, (...) d) (a) ve (b) bentleri uyarınca gerçekleştirilen işlemler sonucunda elde edilen verileri ve bilgileri ilgilisine göre Milli İstihbarat Teşkilatı Müsteşarlığına, Emniyet Genel Müdürlüğüne ve Jandarma Genel Komutanlığına, talep etmeleri hâlinde mahkemeye ve Cumhuriyet başsavcılıklarına iletmek, f) 12'nci maddenin ikinci fıkrası ile 15 inci maddenin üçüncü fıkrası saklı kalmak kaydıyla, Başkanlık faaliyetleriyle ilgili olarak kamu kurum ve kuruluşları, kamu hizmeti veren kuruluşlar ile işletmecilerden gelen her türlü bilgi, belge ve kayıtların bilgi güvenliği kriterlerine uygun olarak arşivlenmesini sağlamak," Telekomünikasyon İletişim Başkanlığı'nın görevleri arasında sayılmıştır.
17/08/2016 tarih ve 29804 sayılı 2559 sayılı Resmî Gazete'de yayımlanan 671 sayı Olağanüstü Hal Kapsamında Bazı Kurum ve Kuruluşlara İlişkin Düzenleme Yapılması Hakkında Kanun Hükmünde Kararnamenin 22. maddesi ile, Telekomünikasyon İletişim Başkanlığı kaldırılmış, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanununa eklenen ek maddede, diğer mevzuatta Telekomünikasyon İletişim Başkanlığına yapılan atıfların Bilgi Teknolojileri ve İletişim Kurumuna, Telekomünikasyon İletişim Başkanına yapılan atıfların ise Bilgi Teknolojileri ve İletişim Kurumu Başkanına yapılmış sayılacağı kurala bağlanmış; anılan Kanun Hükmünde Kararnamenin 24. maddesiyle de, 2559 sayılı Polis Vazife ve Salâhiyet Kanununun Ek 7'nci maddesinin onuncu fıkrası “Bu maddede belirtilen telekomünikasyon yoluyla yapılan iletişime ilişkin işlemler ile 5271 sayılı Kanunun 135'inci maddesi kapsamında yapılacak dinlemeler, Bilgi Teknolojileri ve İletişim Kurumu bünyesinde tek bir merkezden yürütülür.” şeklinde değiştirilmiştir.
5271 sayılı Ceza Muhakemesi Kanunu'nun "İletişimin tespiti, dinlenmesi ve kayda alınması" başlıklı 135. maddesinin birinci fıkrasında, bir suç dolayısıyla yapılan soruşturma ve kovuşturmada, suç işlendiğine ilişkin kuvvetli şüphe sebeplerinin varlığı ve başka suretle delil elde edilmesi imkânının bulunmaması durumunda, hâkim veya gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının kararıyla şüpheli veya sanığın telekomünikasyon yoluyla iletişiminin, dinlenebileceği, kayda alınabileceği ve sinyal bilgilerinin değerlendirilebileceği, Cumhuriyet savcısının kararını derhâl hâkimin onayına sunacağı ve hâkimin, kararını en geç yirmidört saat içinde vereceği, sürenin dolması veya hâkim tarafından aksine karar verilmesi hâlinde tedbirin Cumhuriyet savcısı tarafından derhâl kaldırılacağı kurala bağlanmış; anılan maddenin altıncı fıkrasında, "(...)Kararda, yüklenen suçun türü, hakkında tedbir uygulanacak kişinin kimliği, iletişim aracının türü, telefon numarası veya iletişim bağlantısını tespite imkân veren kodu ve tedbirin süresi belirtilir.(...)" kuralına yer verilmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Genel İlkeler" başlıklı 4. maddesinde, "(1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir. (2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: a) Hukuka ve dürüstlük kurallarına uygun olma. b) Doğru ve gerektiğinde güncel olma. c) Belirli, açık ve meşru amaçlar için işlenme. ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme."; "Kişisel verilerin işlenme şartları" başlıklı 5. maddesinde, "(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. (2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması."; "Kişisel verilerin aktarılması" başlıklı 8. maddesinde, "(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. (2) Kişisel veriler; a) 5'inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6'ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir. (3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır."; "İstisnalar" başlıklı 28. maddesinde, "(1) Bu Kanun hükümleri aşağıdaki hâllerde uygulanmaz: (...) ç) Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi." kuralı yer almaktadır.
HUKUKİ DEĞERLENDİRME:
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre dava konusu Kurul kararları ile Kurum'a aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır.
Anayasa’nın 20. maddesinin 3. fıkrasında, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, bu hakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı, ayrıca, kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceği ve kişisel verilerin korunmasına ilişkin esas ve usûllerin kanunla düzenleneceği ifade edilerek kişisel verilerin korunmasını isteme hakkı güvence altına alınmıştır. Öte yandan, kişisel verilerin korunması hakkı sınırsız olmayıp bu hakkın Anayasa’da güvence altına alınan diğer temel hak ve özgürlüklerin korunması veya Anayasa’nın devlete bir görev olarak yüklediği millî güvenliğin, kamu düzeninin ve kamu güvenliğinin korunması gibi nedenlerle sınırlandırılması mümkündür. Ancak, bu konuda sınırlama yapılırken temel hak ve özgürlüklerin sınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesinde yer alan kurallara uygun davranılması gerekmektedir. Anayasa’nın anılan maddesi uyarınca kişisel verilerin korunması hakkı, yalnızca kanunla ve demokratik bir toplumda gerekli olduğu ölçüde sınırlanabilir. Ayrıca, getirilen bu sınırlamalar hakkın özüne dokunamayacağı gibi, Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olamaz.
Bilgi Teknolojileri İletişim Kurulu'nun "Abone desen yapısı" konulu ... tarih ve ... sayılı kararı ile;
"1. İşletmeciler tarafından Kurumumuza gönderilen abonelik bilgilerinin Ek'te sunulanı "Teknik Dokümanına” uygun olarak oluşturulması ve belirlenen format ile doğru, eksiksiz, zamanında güncel olarak elektronik ortamda gönderilmesi,
2. İşletmecilere, işbu Kurul Kararının birinci maddesinde yer alan hususların tüm aktif abone kayıtlarında yerine getirilmesi için 02.07.2019 tarihine kadar süre verilmesi,
3. 08.11.2016 tarih ve 2016/DK/457 sayılı Kurul Kararı ile “işletmecilerce; kurumsal abonelik kapsamındaki numaraların, hangi kullanıcı tarafından kullanıldığının, ilgili kurumsal aboneden temin edilmesi ve herhangi bir kullanıcı değişikliği durumunda da, söz konusu bilgilerin güncelliğinin sağlanmasına yönelik gerekli tedbirlerin alınması, Kurumun belirleyeceği format ve yöntemle, doğru, eksiksiz ve zamanında elektronik ortamda Kuruma gönderilmesi," hükmü gereğince işletmecilere verileri altı (6) aylık sürenin işbu Kurul Kararının ikinci maddesinde verilen süreye kadar uzatılması,
4. Bireysel aboneliklerde abonenin kendisinin, kamu kurum ve kuruluşları hariç olmak üzere kurumsal aboneliklerde yetkilisinin veya hat kullanıcısının; abone kayıtlarında TCKN/Yabancı Kimlik Numarası (YKN) veya hat numarası boş olan veya TCKN/YKN alanları resmi mercilerden doğrulanamayan abonelikler için;
a. 23.04.2019 tarihine kadar asgari; en az 3 kısa mesaj, beyan edilmiş ise e-posta adresi, giriş yapan aboneler için çevrim içi işlem merkezi, anlık bildirimler (push-notificatlon) vb. yöntemler ile işletmeciler tarafından abone/kullanıcıya mümkünse abone/kullanıcının tâbiyeti olan Ülkenin resmi dilinde değilse asgari Türkçe, İngilizce ve Arapça dillerinde bilgilendirme yapılması, bu tarih sonrası için de işbu maddenin (c) bendinde ön görülen hat kapatma tarihine kadar bilgilendirmelere devam edilmesi,
b. Kimlik numarası (TCKN/YKN) beyan edilmesi ve bu numara üzerinden Kimlik Paylaşım Sistemi servisinden elde edilen resmi bilgiler ile abone dosyasında bulunan bilgilerin eşleşmesi halinde; doğrulanan resmi bilgilerin ilgili alanlara kaydedilmesi,
c. Kimlik numarası (TCKN/YKN) temin edilememesi/doğrulanamaması halinde;
I. 02.07.2019 tarihine kadar acil çağrılar hariç olmak üzere giden aramaların, mesaj gönderiminin ve veri trafiğinin kısıtlanması,
II. 01.10.2019 tarihine kadar hattın kapatılması ve bunu takip eden asgari bir yıl boyunca yeniden tahsise açılmaması,
IlI. İşbu bent kapsamındaki mobil bireysel hatların kullanıcılarının kullanmakta oldukları mobil elektronik haberleşme hizmetine konu aboneliği kendi adlarına kaydettirebilmesi, bunun için işletmecinin bilgilendirme yapması, aynı MSİSDN için bir kereye mahsus olmak üzere işbu bentte geçen hat kapatma tedbiri tarihine kadar, ilgili mobil elektronik haberleşme hizmeti sunan işletmeci ile aşağıdaki koşullarda abonelik sözleşmesi imzalayabilmesi,
a) İşletmeci başvuruya konu MSİSDN'e anlık şifre gönderip başvuru sahibinin şifreyi yetkilisine iletmesini sağlar, işletmeci sistemleri üzerinden şifrenin gönderimini takip eden 3 dakika içinde doğrulanması sonrasında süreci başlatır.
b) Abonelik sözleşmesinin akdedilmesi ile birlikte mevcut SIM kart kullanılmaya devam edilir ve eski abonelikten kaynaklanan hak ve yükümlülükler yeni abonenin aksi yönde bir talebi olmadıkça aynı koşullarla devam eder.
c) Abonelik güncelleştirilmesine ilişkin eski ve yeni abonenin varsa işletmecide kayıtlı diğer numaralarına asgari kısa mesaj ve/veya diğer yöntemler ile bilgilendirme yapılır.
ç) Eski abonelerin söz konusu işleme 3 (üç) ay içinde itiraz hakları mevcut olup; bu süre sona ermeden yeni abone tarafından SIM kart değişimi, devir ve numara taşıma işlemi yapılamaz.
d) Bu süre haklı gerekçelerin varlığına kanaat getirilmesi halinde Kurum tarafından uzatılabilir.
e) Gerçek kişi eski aboneler itirazlarını, resmi kimlik belgelerini ibraz etmek ve ilgili işletmeciye yazılı olarak başvurmak suretiyle gerçekleştirirler.
f) Kendisine bilgilendirme yapılan ve süresinde itiraz etmeyen eski abonenin hakkı düşer.
g) Eski abonenin süresi içinde itiraz etmesi ve yapılan itirazın kabul edilmesi halinde mobil elektronik haberleşme hizmetine konu abonelik yeniden eski abone adına kaydedilir. Söz konusu hizmete ilişkin aboneliğin eski abone adına yeniden kaydedilmesiyle kullanıcı ile imzalanmış olan abonelik sözleşmesi feshedilmiş sayılır.
ğ) Mobil elektronik haberleşme hizmeti sunan; işletmeciler bu madde hükmünün suistimal edilmemesine yönelik olarak gerekli teknik ve idari tedbirleri alırlar.
h) Mobil elektronik haberleşme hizmeti sunan işletmeciler kullanıcıların abonelik işlemlerinin gerçekleştirilmesi talebini yerine getirmek amacıyla, başvuran kullanıcılardan aşağıdaki Taahhütname örneğinin imzalı suretini almak suretiyle işlem yaparlar: (...)
ı) Mobil elektronik haberleşme hizmeti sunan işletmeciler abonelik güncelleştirme taleplerini gerektiği gibi yerine getirilmesi ve bu taleplere yönelik olarak kullanıcıların doğru bilgilendirilmesi amacıyla her türlü tedbiri almakla yükümlüdür. Abonelik güncelleştirme işleminin işbu maddede belirtikliği şekilde gerçekleştirilmemesi nedeniyle doğacak her türlü sorumluluk işletmeciye aittir.
i) Mobil elektronik haberleşme hizmeti sunan işletmeciler tarafından gerçekleştirilen aboneliğin güncelleştirilmesi işlemlerinde abonelik sözleşmesinin akdedilmesi ile birlikte hizmet sunulmaya devam edilir.
j) İşletmeciler bu madde hükmü hakkında abonelerini uygun yöntemler ile bilgilendirebilir.
k) İşletmeciler gerekli kontrol sistemini oluşturmak suretiyle eksik veya hatalı bilgiyi haiz aboneleri tespit etmek, aynı abone adına makul düzeyin üzerinde çok sayıda abonelik kaydının önlenmesi amacıyla bayilerini denetlemek, gereken yaptırımları bayilerine uygulamak ve suistimalin olduğuna kanaat getirmesi halinde, hatların kapatılması dahil gerekli tedbirleri almak, ve Kurumu bilgilendirmek ile yükümlüdür.
l) Kurum bu Karar'ın gereğinin yerine getirilip getirilmediğine ilişkin olarak gerek işletmecileri gerekse işletmeci adına iş yapan bayilerini denetleyebilir veya denetlettirebilir. İşletmeci bu konuda Kurum ile işbirliği içinde görev yapmak ve gerekli kolaylığı sağlamak zorundadır.
V. İşbu bent kapsamındaki hatlara uygulanacak açma kapama işlemleri için abonelere/kullanıcılara herhangi bir ad altında ücret yansıtılmaması.
5. Pasaport ve muadili uluslararası geçeriliği olan belgelerle yapılan aboneliklerde; kimlik numarası alanında Kurum tarafından sağlanacak pasaport bilgi teyidi için oluşturulan numaraların yurda giriş tarihini takip ederi 90 gün boyunca geçerli olması, bu süre sonunda YKN'ye dönüştürülemeyen hatlar için Ek-Teknik Detay Dokümanı'nda belirtilen şekilde kapatma işlemi yapılması,
6. Kamu kurum ve kuruluşları ile vergi numarası kullanma zorunluluğu olmayan diğer kişilikler hariç olmak üzere kurumsal aboneliklerde; Unvan, veya VERGİ NO alanlarının boş olması durumunda; bu maddede geçeri bilgiler için işbu Kurul Kararının 4'üncü maddesi hükümlerinin Ek'te yer alan "Abone Teknik Detay Dokümanı” “YENİ ABONE KAYDI İŞLEMLERİ" başlıklı 2. Bölümünün B maddesinde öngörülen süreç üzerinden işletilmesi,
7. 31.07.2019 tarihinden itibaren işbu Kurul Kararı'nın 1'inci maddesi kapsamında; ilk abonelik tesisi, numara taşıma, işletmeci değişikliği, abonelik devri gibi nedenlerle abonelik sözleşmesi tesisi veya SIM kart değişimi işlemleri yapan işletmecinin, başvuruda bulunan kişinin (devir işlemi için eski abone de dâhil) Kimlik Numarası (KN) bilgisini Kurum'a iletmesini müteakip;
a) Kurumun, bildirilen verileri esas alarak, ilgili KN'ye karşılık gelen aktif MSISDN'lere:
"xxx**xx Kimlik Numarası ile adınıza abonelik işlemi yapılmıştır. Rızanız/onayınız dışında ise lütfen
benzeri bilgilendirme metninin gönderilmesini teminen bu metni ilgili MSISDN'ler ile birlikte ilgili mobil işletmecilere iletmesi,
b) Mobil işletmecilerin Kurum tarafından iletilen bu bilgilendirme metnini, “YASAL UYARI" başlıklı SMS olarak ücretsiz bir şekilde ilgili MSISDN'lere göndermeleri,
c) İşletmecinin çağrı merkezinde bilgi ve rıza dışı abonelik başvuruları için önceliklendirme yapması,
d) Mobil veya sabit şebekeler üzerinden internet, ses veya SMS hizmeti sunan işletmeciler tarafından İlgili mevzuat çerçevesinde Kuruma bildirilen veriler esas alınarak; Kurum tarafından KN'ler adına kayıtlı abonelik sayılarının işletmeci bazında tasnif edilerek ilgili KN'ler adına kayıtlı MSİSDN'lere işbu maddenin (a) ve (b) bentlerindeki süreçler üzerinden asgari yılda bir defa olmak üzere bilgilendirme yapılması.
8. Herhangi bir sebeple hizmete kapatılan, iptal edilen, taşıma sonrası iade edilen hat numarasının; kapatma, iptal veya taşıma iadesi işlemini takip eden asgari bir yıl boyunca yeniden tahsis edilmemesi, işbu maddenin son abonenin bizzat kendisinin veya vefat durumunda yasal varisinin başvurusu durumu için uygulanmaması,
9. 12.02.2013 tarih ve 2013/DK-ETD/98 sayılı Kurul kararı ekinin "2. İptal Edilen Hatlara İlişkin Numaraların Rezerve Edilmesi" bölümünde yer alan “2 (iki) ay” ve “2 ay” ibarelerinin “asgari bir yıl" olarak değiştirilmesi,
10. 15.04.2014 tarih ve 2014/DK-ETD/210 sayılı Kurul kararının yürürlükten kaldırılması,
11. İşbu Kurul Kararı Ek'inde yer alan “Abone Teknik Detay Dokümanı" rıin “ABONE DOSYALARI" başlıklı 1. Bölümünün E maddesi kapsamında “ABONE_HAREKET" dosyalarını zorunlu gönderecek diğer işletmecilerin belirlenebilmesi ve işbu Kurul Kararı'nın 7'nci maddesinin (d) bendine ilişkin bilgilendirmeler için icranın yetkilendirilmesi,” hususlarına karar verildiği; kararın eki "Abone Teknik Detay Dökümanı"nda ise, abone T.C kimlik no, abone pasaport no, abone unvan, abone vergi no, abone mersis no, abone cinsiyet, abone uyruk, abone anne-baba adı, anne kızlık soyadı, doğum yeri, doğum tarihi, abone meslek, abone tarife, abone kimlik cilt, kütük, sayfa no, vergi no, unvan, abone adres, il, ilçe, kapı no, e-mail adresi gibi bölümlerin işletmeciler tarafından doldurularak düzenli aralıklarla Kuruma iletilmesi gerektiğinin öngörüldüğü, ... tarih ve ..., ... tarih ve ... ve ... tarih ve ... sayılı Kurul kararları ile de söz konusu Kurul kararında bazı değişiklikler ve eklemeler yapıldığı anlaşılmaktadır.
Uyuşmazlığın çözüme kavuşturulması açısından öncelikle, Kurum tarafından, kişisel veri olduğunda kuşku bulunmayan, abonelere ait bilgileri işletmecilerden istemesi ve bu bilgileri alması konusunda kanunen yetkisi bulunup bulunmadığının belirlenmesi gerekmektedir.
Aktarılan mevzuatın değerlendirilmesinden, elektronik haberleşme sektörünün düzenleyici ve denetleyici kurumu olan davalı idarenin, abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmak, bu kapsamda işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak konusunda görev ve yetkisinin bulunduğu, kanunlar ile kendisine verilen görev ve yetkileri yerine getirebilmek amacıyla gerekli düzenlemeleri yapabileceği, işletmecilere bir takım yükümlülükler getirebileceği, düzenleme yaparken dikkate alınması gereken en temel ilkelerin "tüketici hak ve menfaatinin gözetilmesi" ile "Millî güvenlik ile kamu düzeni gereklerine öncelik verilmesi" olduğu, elektronik haberleşme sektöründe faaliyet gösteren işletmecilerin ise, söz konusu görev ve yetkilerin yerine getirilebilmesi amacıyla talep edilen her türlü bilgi ve belgeyi davalı idareye vermekle yükümlü olduğu anlaşılmaktadır.
Öte yandan, 5397 sayılı Kanun kapsamındaki önleyici-istihbari amaçlı ve 5271 sayılı Kanun'un 135'inci maddesi kapsamındaki adli amaçlı iletişim tespiti, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmek ve söz konusu iş ve işlemleri tek bir merkezden yürütmekle yükümlü olarak kurulan Telekomünikasyon İletişim Başkanlığı'nın 15/08/2016 tarih ve 671 sayılı Kanun Hükmünde Kararnamenin 22. maddesi gereğince kapatılması ile söz konusu görev ve yetkilerin davalı idareye devredildiği anlaşılmaktadır.
Bu itibarla, 5809 sayılı Kanun, 5397 sayılı Kanun (2559 sayılı, 2803 sayılı ve 2937 sayılı Kanunlar), 5271 sayılı Kanun, 671 sayılı Kanun Hükmünde Kararname ve 5651 sayılı Kanunların ilgili maddeleri uyarınca davalı idareye verilen görev ve yükümlülüklerin süresinde, eksiksiz ve aksama olmaksızın yerine getirilebilmesi amacıyla, Kurum'un işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, işletmecilere bir takım yükümlülükler getirebilmek konusunda kanunî yetkisinin bulunduğu dikkate alındığında, dava konusu Kurul kararlarının yasal dayanağının bulunduğu anlaşılmaktadır.
Öte yandan, dava konusu düzenlemenin en önemli amaçlarından birisinin, kişilerin haberi ve rızası olmaksızın bilgileri dışında kimlik bilgilerinin kullanılması suretiyle adlarına abonelik sözleşmesi yapılması (açık hat) sorunu ile mücadele etmek olduğu, savcılıklar ve kamu kurumlarından gelen şikâyetlerde, milli güvenliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda bilgileri güncel olmayan hatların (açık hat) kullanıldığı, gerçek suçlulara ulaşılamadığı ve mağduriyetlerin yaşandığı ifade edilerek, caydırıcı önlemler alınmasının talep edildiği, abonelere ait bilgilerin doğru, güncel ve güvenilir olmasının kamu otoritesinin ve tüketicilerin menfaatine olduğu, söz konuşu şikâyetlerin ve mağduriyetlerin ilk defa ortaya çıktığı 2008 yılından bu yana açık hatlarla mücadele kapsamında bir dizi Kurul kararının alındığı (... tarih ve ... sayılı, ... tarih ve ..., ... tarih ve ... sayılı, ... tarih ve ... sayılı, ... tarih ve ... sayılı, ... tarih ve ... sayılı, ... tarih ve ... sayılı, ... tarih ve ... sayılı, ... tarih ve ... sayılı ve ... tarih ve ... sayılı Kurul kararları), bu kapsamda öncelikle kimlik fotokopisi alınmadan abonelik sözleşmesi yapılayacağına ilişkin düzenleme yapıldığı, ancak bu kez, işletmeci bayileri tarafındın daha fazla pirim kazanabilmek amacıyla tüketicilere ait kimlik bilgileri kullanılarak tüketicilerin rızaları dışında hat açıldığının tespit edilmesi üzerine kimlik belgesi örneklerinin uygun elektronik ortamlarda saklanmasına ilişkin düzenlemeler yapıldığı, bir kişi adına 400'den fazla hat açıldığının tespit edilmesi üzerine bu konuya ilişkin sınırlamalar getirildiği, e-devlet üzerinden mobil hat sorgulama hizmetinin devreye alındığı, abone bilgilerinin güncelliğinin sağlanması için işletmecilere bir çok yükümlülük getirildiği, yapılan denetimlerde, yükümlülüklerin yerine getirilmediğinin tespit edilmesi üzerine bir çok kez idarî yaptırım uygulandığı; ancak, gerek savcılıklar ve gerekse kamu kurum ve kuruluşlarından gelen şikâyetler ve Kurum tarafından yapılan düzenli denetimler neticesinde, abonelere ait bilgilerinin hâlen güncelliğinin sağlanamadığının anlaşıldığı; son olarak Emniyet Genel Müdürlüğü tarafından Kuruma iletilen başvuruda; açık hatlarla mücadele kapsamında, Türkiye Noterler Birliği tarafından uygulanan ve noterlerde herhangi bir işlem yapıldığı esnada, işlem yapan vatandaşın kayıtlı bütün cep telefonlarına bilgilendirme mesajı gönderilmesi tedbirine) benzer şekilde hat açma işlemi yapılırken adına hat açılan vatandaşın T.C. kimlik numarasına kayıtlı tüm telefon numaralarına, “Kimlik bilgileriniz kullanılarak adınıza telefon hat açma işlemi yapılmaktadır. Bilginiz dışında ise açılan telefon hattını en kısa sürede işletmecinize başvurmak suretiyle iptal ettiriniz” şeklinde bir bilgilendirme mesajı gönderilmesinin dolandırıcılık başta olmak üzere suçlarla etkin mücadelede ve usulsüz açılan hatların önüne geçilmesinde faydalı olacağının ifade edildiği; açık hatlarla mücadele, tüketici hak ve menfaatlerinin ve kamu düzeninin korunmasına yönelik olarak yapılan pek çok düzenlemeye, işletmecilere getirilen yükümlülüklerin yerine getirilip getirilmediğinin tespiti açısından işletmeciler nezdinde yapılan denetimlere ve uygulanan idarî yaptırımlara rağmen abonelere ait bilgilerinin güncelliğinin hâlen sağlanamamış olması nedeniyle, sektörün dinamizmi de göz önünde bulundurularak önceki Kurul kararlarının gözden geçirilmesi ve yeni tedbirler alınması ihtiyacı hasıl olmuş, ... tarih ve ... sayılı Kurul kararı ile açık hatların engellenmesi, tüketici hak ve menfaatlerinin korunmasını teminen işletmecilere, abonelik sözleşmelerinde yaşanan usulsüzlüklerin önlenmesi için gerekli tedbirleri almaları yönünde ilave yükümlülükler getirildiği anlaşılmaktadır.
5397 sayılı Kanun kapsamındaki önleyici-istihbari amaçlı ve 5271 sayılı Kanun'un 135'inci maddesi kapsamındaki adli amaçlı iletişim tespiti, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmek ve söz konusu iş ve işlemleri tek bir merkezden yürütmekle yükümlü kılınan davalı idarenin, söz konusu yükümlülüğü sağlıklı bir şekilde yerine getirilebilmesi için, abonelere ait bilgilerin doğru, güncel ve güvenilir olması gerekmektedir. Açık hatlara ilişkin ilk şikâyetlerin ortaya çıktığı 2008 yılından bu yana davalı idarece alınan bir dizi önleme rağmen abonelere ait bilgilerinin hâlen güncelliğinin sağlanamamış olması karşısında, dava konusu Kurul kararları ile "Teknik Detay Dokümanı" oluşturulmak suretiyle işletmeci bazlı desen yapısı terk edilerek, farklı farklı formatlardaki desen yapıları nedeniyle oluşan hataların en aza indirilmesinin amaçlandığı; ayrıca, kurumsal abonelik kapsamındaki numaraların hangi kullanıcı tarafından kullanıldığının bildirilmesi, TCKN (Türkiye Cumhuriyeti Kimlik Numarası) ve YKN (Yabancı Kimlik Numarası) numaraları bulunmayan veya doğrulanamayan aboneliklerin, çeşitli mecralardan yapılan bildirimlere rağmen kimlik numaralarına ulaşılamaması üzerine önce erişimin kısıtlanması sonrasında hattın kapatılması, takip eden asgari bir yıl boyunca yeniden tahsise açılmaması; son dönemde Yabancı Kimlik Numaraları üzerine kullanıcılarının rızaları dışında açılan hatlarda yaşanan artışlar dikkate alındığında, pasaport ve muadili uluslararası geçeriliği olan belgelerle yapılan aboneliklerde; kimlik numarası alanında Kurum tarafından sağlanacak pasaport bilgi teyidi için oluşturulan numaraların yurda giriş tarihini takip ederi 90 gün boyunca geçerli olması, bu süre sonunda YKN'ye dönüştürülemeyen hatlar için Ek-Teknik Detay Dokümanı'nda belirtilen şekilde kapatma işlemi yapılması; ilk abonelik tesisi, numara taşıma, işletmeci değişikliği, abonelik devri gibi nedenlerle abonelik sözleşmesi tesisi veya SIM kart değişimi işlemleri yapan işletmecinin, bilinen bütün numaralarına SMS gönderilmesi suretiyle, milli güvenlik, kamu düzeni, tüketici menfaatlerinin korunması ve mağduriyetlerinin önlenmesine yönelik düzenleme yapıldığı anlaşılmaktadır.
Davacı tarafından, abonelere ait bütün kişisel verilerin Kuruma aktarılması suretiyle kullanıcı profillerinin çıkarılmaya çalışıldığı, elde edilen büyük verinin (big data) veri mühendisliği sayesinde malî ve siyasi analizlerde kullanılmaya son derece müsait olduğu ileri sürülmekte ise de, Dairemizin 15/06/2021 tarih ve E:2019/2412 sayılı ara kararı ile, "Kurum'a aktarılan abonelere ait söz konusu kişisel veriler üzerinde, yetkili Kurum ve Kuruluşlar tarafından herhangi bir hukukî inceleme veya talep bulunmaksızın "veri işleme" yapılıp yapılmadığı,"nın davalı idareden sorulduğu; davalı idarece verilen 05/08/2021 tarih ve 50218 sayılı ara karar cevabında, yetkili kurum ve kuruluşlar tarafından herhangi bir hukuki inceleme talebinde bulunulması durumunda sorgulanmaya hazır olarak tutulmasını teminen ilgili sorgu sistemleri için işlendiği, bunun haricinde yetkili kurum ve kuruluşlar tarafından herhangi bir talep bulunmaksızın "veri işleme" yapılmadığı gibi talep olmaksızın hiçbir veri hakkında sorgulama yapılmadığı, yetkili kurum ve kuruluşlardan gelen talep üzerine görevli personel tarafından yapılan sorgulamaların LOG kayıtlarının tutulduğu, söz konusu kayıtlarda hangi sorgulamanın hangi talep üzerine yapıldığının yer aldığı belirtildiğinden davacının bu yöndeki iddialarına itibar edilmemiştir.
Bu itibarla, ilgili kanunlar ile Kuruma verilen görev ve yükümlülükler kapsamında, milli güvenlik, kamu düzeni ve tüketici menfaatlerinin korunabilmesi amacıyla Kanundan kaynaklanan yetkiye dayanılarak tesis edildiği anlaşılan dava konu düzenlemelerde hukuka aykırılık bulunmadığı sonucuna ulaşılmıştır.
Davacı ve müdahilin diğer iddiaları ise dava konusu işlemleri kusurlandırıcı mahiyette görülmemiştir.
KARAR SONUCU:
Açıklanan nedenlerle;
1. DAVANIN REDDİNE,
2. Ayrıntısı aşağıda gösterilen toplam …-TL yargılama giderinin davacı; …-TL yargılama giderinin davacı yanında müdahil üzerinde bırakılmasına,
3. Avukatlık Asgari Ücret Tarifesi uyarınca …-TL vekâlet ücretinin davacıdan alınarak davalı idareye verilmesine,
4. Posta giderleri avansından artan tutarların kararın kesinleşmesinden sonra davacı ve müdahile iadesine,
5. Bu kararın tebliğ tarihini izleyen 30 (otuz) gün içerisinde Danıştay İdari Dava Daireleri Kurulu'na temyiz yolu açık olmak üzere, 23/05/2023 tarihinde oyçokluğuyla karar verildi.
(X) KARŞI OY :
Dava, Bilgi Teknolojileri İletişim Kurulu'nun "Abone desen yapısı" konulu ... tarih ve ... sayılı kararı ile, bu kararda değişiklikler yapan ... tarih ve ... sayılı, ... tarih ve ... sayılı ve ... tarih ve ... sayılı Kurul kararlarının iptali istemi ile açılmıştır.
İlgili Mevzuat;
Dava konusu Kurul kararlarında, 5271 sayılı Kanun'un, 5397 sayılı Kanun'un ve 5651 sayılı Kanun'un ilgili maddeleri ile 5809 sayılı Elekronik Haberleşme Kanunu'nun 4., 6. ve 12. maddeleri kanuni dayanak olarak gösterilmiş; ayrıca Elektronik Haberleşme Sektörüne İlişkin Yönetmeliğin 19. maddesi ve diğer ilgili mevzuat kapsamında hazırlandığı belirtilmiştir.
5809 sayılı Elektronik Haberleşme Kanunu'nun “İlkeler” başlıklı 4. maddesinde, elektronik haberleşme hizmetinin sunulmasında ve bu hususta yapılacak düzenlemelerde esas alınacak ilkeler sayılmış, "Kurumun görev ve yetkileri başlıklı 6. maddesinin (c) bendinde; abone, kullanıcı, tüketici ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, (ı) bendinde; elektronik haberleşmeyle ilgili olarak, işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, Bakanlık tarafından elektronik haberleşme sektörüne yönelik strateji ve politikaların belirlenmesinde ihtiyaç duyulanları, talebi üzerine Bakanlığa iletmek, (y) bendinde; bu Kanunla verilen görevlere ilişkin yönetmelik, tebliğ ve diğer ikincil düzenlemeleri çıkarmak" Kurumun görev ve yetkileri arasında sayılmıştır.
Aynı Kanunun "işletmelerin hak ve yükümlülükleri başlıklı 12. maddesinin 1. fıkrasında; işletmecinin, Kurum düzenlemeleri ve yetkilendirmesinde öngörülen şartlara uygun olarak yetkilendirildiği kapsamdaki elektronik haberleşme hizmetini sunma hakkına sahip olduğu, 2. fıkrasında, Kurumun, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek mevzuat doğrultusunda yükümlülükler getirebileceği belirtildikten sonra, (d) bendinde, kişisel veri ve gizliliğin korunması, (e) bendinde; tüketicinin korunması, (f) bendinde, Kuruma bilgi ve belge verilmesi, (l) bendinde; ilgili mevzuat uyarınca Kurum tarafından istenilen hizmetleri yerine getirmek, bu yükümlülükler arasında sayılmış, aynı maddenin 4. fıkrasında; işletmecilerin hak ve yükümlülükleri ile ilgili usul ve esasların Kurumca belirleneceği, 5. fıkrasında da; işletmecilerin elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili taleplerin karşılanmasına yönelik teknik alt yapıyı, elektronik haberleşme sistemini hizmete sunmadan önce kurmakla yükümlü olduğu, halen elektronik haberleşme hizmeti sunan işletmecilerin de; söz konusu teknik alt yapıyı, Kurum tarafından belirlenecek süre içerisinde aynı şartlarla ve tüm harcamaları kendilerine ait olmak üzere kurmakla yükümlü oldukları düzenlenmiştir.
Bazı Kanunlarda Değişiklik Yapılmasına Dair 5397 sayılı Kanun ile, 2559 sayılı Polis Vazife ve Selâhiyet Kanunu'nda, 2803 sayılı Jandarma Teşkilat Görev ve Yetkileri Kanunu'nda ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu'nda değişiklik ve eklemeler yapılarak, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması vb... gerekçelerle, hakim kararı veya gecikmesinde sakınca bulunan hâllerde, Emniyet Müdürü veya İstihbarat Daire Başkanı, Jandarma Genel Komutanı veya İstihbarat Başkanı, Mit Müsteşarı veya Yardımcısının yazılı emri ile, telekomünikasyon yoluyla yapılan iletişimin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un "Amaç ve Kapsam" başlıklı 1. maddesinde; "Bu Kanunun amaç ve kapsamı; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usûlleri düzenlemektir" kuralına yer verilmiş, Kanun'un "Bilgilendirme yükümlülüğü" başlıklı 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi halinde ilgili mercilere verilir" düzenlemesi, Anayasa Mahkemesi'nin 02/10/2014 günlü ve E:2014/149, K:2014/151 sayılı kararı ile iptal edilmiştir.
5271 sayılı Ceza Muhakemesi Kanunu'nun 135 ve devamı maddelerinde, telekomünikasyon yoluyla yapılan iletişiminin denetlenmesine ilişkin düzenlemelere yer verilmiş, iletişiminin telekomünikasyon yoluyla hakim; gecikmesinde sakınca bulunan hallerde de Cumhuriyet Savcısı kararı ile dinlenebileceği, kayda alınabileceği, sinyal kayıtlarının değerlendirilebileceği düzenlenmiştir.
Nihayet 5809 sayılı Kanuna dayanılarak hazırlanan Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliğinin "İşletmecilerin hak ve yükümlülükleri" başlıklı 19. maddesinin 1. fıkrasının (a) bendinde; işletmecinin, Kurum tarafından yetkilendirmesi kapsamında istenen veya düzenli olarak gönderilmesi talep edilen bilgi, belge ve veriyi doğru ve eksiksiz olarak Kurumca istenen süre içerisinde vermekle yükümlü olduğu, (f) bendinde; erişim sağlayıcı olan veya telefon hizmeti sunan işletmecinin, taraflara ilişkin IP adresi, port aralığı, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı, kullanıcı sayısı ve abone kimlik bilgileri ile altyapısı üzerinden gerçekleşen görüşmelere ait trafik bilgilerini iki yıl süreyle; kullanıcı bilgilerini ise ilgili mevzuatta belirtilen zamanaşımı süresi boyunca muhafaza etmekle yükümlü olduğu, aynı maddenin 2. fıkrasında; işletmelerin ayrıca,... ç) kişisel verilerin gizliliğinin korunmasına ilişkin düzenlemelere uymakla yükümlü olduğu kurala bağlanmıştır.
Yukarıda yer verilen mevzuat hükümlerine istinaden hazırlandığı belirtilen dava konusu … tarihli ve … sayılı Kurul Kararında özet olarak; işletmeciler tarafından Kuruma gönderilen abonelik bilgilerinin, Kurul kararının ekinde yer alan "Teknik detay dökümanı"na uygun olarak oluşturularak, doğru, eksiksiz, zamanında ve güncel olarak oluşturulup gönderilmesi, bunun için 02/07/2019 tarihine kadar süre verilmesi, kimlik numarası doğrulamayan aboneler için çeşitli yöntemlerle abonelerin bilgilendirilmesi, kimliğin temin edilememesi/doğrulanamaması halinde, 02/07/2019 tarihine kadar mesaj gönderimi ve veri trafiğinin kısıtlanması, 01/10/2019 tarihine kadar hattın kapatılması ve bunu takip eden asgari bir yıl boyunca yeniden tahsise açılmaması vs... düzenlenmiş, Kararın eki "Abone Teknik Detay Dökümanı"nda ise; abone T.C kimlik no, abone pasaport no, abone unvan, abone vergi no, abone mersis no, abone cinsiyet, abone uyruk, abone anne-baba adı, anne kızlık soyadı, doğum yeri, doğum tarihi, abone meslek, abone tarife, abone kimlik cilt, kütük, sayfa no, vergi no, unvan, abone adres, il, ilçe, kapı no, e-mail adresi ve bunun gibi bölümlerin işletmecinin yetkilendirilmesi kapsamında doldurulması gerektiği belirtilmiştir.
Dava konusu diğer Kurul kararları ile de, 314 sayılı Kurul kararında, değişiklikler ve bazı eklemeler yapılmıştır.
Hukuki Değerlendirme;
Anayasa’nın 13. maddesinde, temel hak ve hürriyetlerin, özlerine dokunulmaksızın yalnızca Anayasa’nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabileceği, bu sınırlamaların Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamayacağı belirtilmiştir.
Anayasa'nın 20. maddesinin ilk fıkrasında, herkesin özel hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile hayatının gizliliğine dokunulamayacağı belirtilmiş; son fıkrasında da "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." denilerek kişisel verilerin korunması, özel hayatın gizliliğinin korunması kapsamında güvenceye kavuşturulmuştur.
Anayasa’nın 22. maddesinde öngörülen haberleşme özgürlüğü, kişinin kesintiye uğramadan ve sansür edilmeden başkalarıyla iletişim kurma hakkıdır. Bu özgürlük, çok daha geniş bir alanı kaplayan “özel hayatın” bir yönünü oluşturur. Dolayısıyla “haberleşmenin gizliliği” kavramı, özel hayatın gizliliği kavramı içinde yer alır.
Özel hayatın korunması her şeyden önce özel hayatın gizliliğinin korunması, başkalarının gözleri önüne serilmemesi demektir. Kişinin özel hayatında yaşananların yalnız kendisi veya kendisinin bilmesini istediği kimseler tarafından bilinmesini isteme hakkı, kişinin temel haklarından biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyanname ve sözleşmelerde yer almış, tüm demokratik ülkelerin mevzuatlarında açıkça belirlenen istisnalar dışında devlete, topluma ve diğer kişilere karşı korunmuştur.
Bilişim teknolojilerindeki gelişmeler sonucunda geleneksel yöntemlerle mümkün olmayan çok sayıda verinin toplanabilmesi, daha önce birbirinden ilişkisiz şekilde tutulan pek çok verinin merkezî olarak bir araya getirilebilmesi, verilerin veri eşleştirme ve veri madenciliği gibi ileri teknolojik imkânlarla analize tabi tutulmak suretiyle veriden yeni veriler üretme kapasitesinin artması, verilere erişim ve veri transferinin kolaylaşması, kişisel verilerin ticari işletmeler kıymetli bir varlık niteliği kazanması neticesinde özel sektör unsurlarınca oluşturulan risklerin daha yaygın ve önemli boyutlara ulaşması, terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler günümüzde kişisel verilerin en üst seviyede korunmasını zorunlu kılmaktadır.
Belirtilen sebeplerle kişisel verilerin en üst seviyede korunması zorunlu olmakla birlikte bu hak mutlak ve sınırsız olmayıp Anayasa'nın 13, 20 ve 22. maddeleri gereğince belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir.
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre dava konusu Kurul kararları ile Kuruma aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır.
Uyuşmazlığın çözüme kavuşturulması açısından öncelikle, Kurum tarafından, kişisel veri olduğunda kuşku bulunmayan tüm abonelere ait bilgileri işletmecilerden istemesi ve bu bilgileri alması konusunda kanunen yetkisi bulunup bulunmadığının belirlenmesi gerekmektedir.
Anayasa Mahkemesi, 02/06/2011 günlü ve E:2008/115, K:2011/86 sayılı kararında, 5809 sayılı Kanun'un; Bilgi Teknolojileri ve İletişim Kurumunun işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden elektronik haberleşmeyle ilgili olarak, ihtiyaç duyacağı her türlü bilgi ve belgeyi alabilmesini öngören 6. maddesinin (1) numaralı fıkrasının (ı) bendini şu gerekçeyle Anayasa'ya uygun bulmuştur.
“İptali istenen ibare ile Kuruma verilen 'işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi alma yetkisi'nin, Kurumun kuruluş amacı ve faaliyet alanında yer alan elektronik haberleşme sektörü ile ilgili şikâyetleri değerlendirme ve denetim işlevlerini gerektiği gibi yerine getirebilmesi amacıyla sınırlı olarak kullanılabileceği, ayrıca Kurumun abone, kullanıcı, tüketici ve son kullanıcıların kişisel bilgilerinin gizliliğini ve işletmecilerin ticari sırlarını korumakla görevli olduğu dikkate alındığında, iptali istenen ibare ile Kuruma gerçek ya da tüzel kişilerden özel hayatın gizliliğini ya da haberleşme özgürlüğünü ihlal eden bilgi ve belgeleri alma konusunda yetki verildiği söylenemez. Bu nedenle iptali istenen kuralın özel hayatın gizliliği hakkını ve haberleşme özgürlüğünü sınırlayan bir yönü bulunmamaktadır.”
Görüldüğü üzere, elektronik haberleşme sektörü ile ilgili şikâyetleri değerlendirme ve denetim işlevlerini gerektiği gibi yerine getirebilmesi amacıyla sınırlı olarak kullanılmak üzere Kuruma, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden elektronik haberleşmeyle ilgili olarak, ihtiyaç duyacağı her türlü bilgi ve belgeyi alabilme yetkisi verilmiştir. Kurumun ancak sınırlı olarak kullanabileceği bu yetkiyi, tüm abonelere ait kişisel verileri kapsayacak şekilde sınırsız olarak kullanmasına, özel hayatın gizliliğini ve haberleşme özgürlüğünü ihlal edeceği için izin verilmemiştir.
Bununla birlikte, 5809 sayılı Kanun'un 12. maddesinin (2) numaralı fıkrasının (d) bendi ile abonelere ait kişisel verilerin ve gizliliğinin korunması görevi işletmecilere verilmiş olup, bu noktada Kuruma ise, işletmeciler tarafından abonelere ait kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri ve denetlemeleri yapmak görevi verilmiştir. Dolayısıyla işletmeciler, abonelik sözleşmelerinin kurulabilmesi amacıyla gerekli olan kişisel bilgileri ve belgeleri abonelerden isteyebileceklerdir. Kanun koyucu, abonelere ait kişisel bilgileri ve belgeleri koruma görevini de işletmecilere vermiştir. İşletmecilerin, korumakla yükümlü olduğu abonelerine ait kişisel verileri, Kurum ile paylaşabileceklerine dair kanuni bir düzenleme bulunmamaktadır. Kurum, yalnızca, işletmecilerde bulunan kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik gereken tedbirleri almak adına, işletmecilere yükümlülükler getirmek ve bunun için düzenlemeler yapmakla mükelleftir. Hâl böyle iken, Kurum'un, işletmecilerden abonelerine ait kişisel verilerin kendisiyle paylaşılması yönünde talepte bulunmasının ya da işletmecilere bu noktada bir yükümlülük getirmesinin hiç bir kanuni dayanağı bulunmamaktadır. Zira anılan Kanun son derece açık olup, abonelerine ait kişisel verileri ve gizliliğini koruma görevi işletmecilere verilmiştir. Kurumun, işletmeciler tarafından abonelere ait kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yaparken, ikincil mevzuat ile tüm abonelere ait kişisel verilerin Kurum ile paylaşılması yönünde yaptığı düzenleme ile kanunun belirlediği sınırı aştığı ve kanuna dayanmayan sınırsız bir yetkiyi ikincil mevzuat ile elde etmeye çalışarak yasama organına ait yetkiyi gasbettiği anlaşılmaktadır. İkincil mevzuat ile tüm abonelere ait kişisel verileri kapsayan böyle bir düzenlemenin, Anayasa'nın 13. maddesinde anlamını bulan ölçülülük ilkesinin, 20. ve 22. maddesinde güvence altına alınan özel hayatın gizliliği ilkesinin ihlali sonucunu doğuracağında kuşku bulunmamaktadır.
Belirtmek gerekirse, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Genel İlkeler" başlıklı 4. maddesinin 1. fıkrasında; kişisel verilerin ancak bu Kanunda ve diğer Kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği, 2. fıkrasında; kişisel verilerin işlenmesinde, a) Hukuka ve dürüstlük kurallarına uygun olma,... c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.... ilkelerine uyulmasının zorunlu olduğu düzenlenmiş, "Kişisel verilerin işlenme şartları" başlıklı 5. maddesinin 1. fıkrasında; kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, 2. fıkrasında; maddede belirtilen şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu, bunların; a) Kanunlarda açıkça öngörülmesi, b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, d) İlgili kişinin kendisi tarafından alenileştirilmiş olması, e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması olduğu, "Kişisel verilerin aktarılması" başlıklı 8. maddesinin 1. fıkrasında; kişisel verilerin, ilgili kişinin açık rızası olmaksızın aktarılamayacağı, 2. fıkrasında; kişisel verilerin; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabileceği, 3. fıkrasında; kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğu düzenlemelerine yer verilmiştir.
Bu arada, 5809 sayılı Kanun'un 12. maddesinin 5. fıkrası ile elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik alt yapıyı kurma görevi sektördeki işletmecilere verilmiş olup, atıf yapılan kanunlar ve ilgili diğer kanunlarla bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması gerekçeleri ile, hakim kararı ile veya gecikmesinde sakınca olan hallerde ilgili kurum amirinin yazılı emri ile iletişiminin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
Dava konusu 314 nolu Kurul Kararının "Açıklamalar" bölümünde; 5397 sayılı Kanun kapsamındaki önleyici - istihbari amaçlı ve 5271 sayılı Ceza Muhakemesi Kanunu'nun 135. maddesi kapsamındaki adli amaçlı iletişimin tespit edilmesi, dinlenmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri, süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmekle yükümlü olan Telekomünikasyon İletişim Başkanlığının kapatıldığı ve yetki ve sorumluluğundaki görevlerin Bilgi Teknolojileri ve İletişim Kurumuna devredildiği, bu bağlamda işletmecilerden abone rehber dosyaları alındığı, işletmecilerin dosyaları iletebilmesi için gerekli olan sunucu IP adresinin, FTP kullanıcı ve şifresinin, abone verilerinin iletileceği dizin bilgilerinin işletmecilere, Bilgi Teknolojileri Kurumu tarafından bildirileceği belirtilmiş ve kişisel verilerin Kuruma aktarılması bu kapsamda değerlendirilmiştir.
Görüldüğü üzere, söz konusu Karar ile; abonelere ilişkin kişisel bilgilerin, Bilgi Teknolojileri ve İletişim Kurumu tarafından, ilgili işletmeciler aracılığı ile, ortada herhangi bir hukuki inceleme ya da süreç bulunmaksızın temin edilmesi düzenlenmektedir. Başka bir deyişle, anılan Kurul kararları; suçların tespiti, soruşturulması ve kovuşturulmasında kullanılmak üzere, gerçek ve tüzel kişilere ilişkin kişisel bilgilerin, davalı idare tarafından, herhangi bir hukuki inceleme veya talep bulunmaksızın, ilgili işletmeciler aracılığı ile temin edilmesine olanak sağlamaktadır. Milli güvenlikle, 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle Kurum'a sınırlı olarak verilen yetki, hakkında herhangi bir hukuki süreç bulunmayan diğer tüm abonelere ait kişisel verileri kapsayacak şekilde sınırsız bir şekilde genişletilmiştir.
Her ne kadar kişisel verilerin korunması hakkı mutlak ve sınırsız olmayıp, belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir ise de; davalı idarenin, 314 sayılı kararın açıklamalar bölümünde belirtilen amacı aşacak şekilde, hakkında herhangi bir adli süreç veya talep bulunmayan diğer tüm abonelere ilişkin kişisel verilere sınırsız bir şekilde ulaşabilir olması, kişilerin özel hayatlarına müdahale edilme riskini içermektedir. Dava konusu Kurul kararlarında, temin edilecek bilginin Kurum tarafından ne şekilde kullanılacağı, tutulacağı süre gibi hususlarla ilgili olarak, herhangi bir belirlilik de bulunmamaktadır.
Anayasa ile güvence altına alınan “kişisel verilerin korunmasını isteme hakkı”nın yaşama geçirilebilmesi için, bu hakkı ilgilendiren yasal düzenlemeler ile verilen yetkiler kullanılırken, kişilerin özel hayatlarını ilgilendiren veri, bilgi ve belgelerin resmi makamların keyfi müdahalelerine karşı korunmasını da gerektirmektedir.
Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük İlkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır.
Uyuşmazlıkta dava konusu Kurul kararlarının amacı; "Önleyici, istihbari ve adli amaçlı iletişimin tespit edilmesine, dinlenmesine ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde ve eksiksiz şekilde yerine getirmek" olarak belirtilmiş, bunun için kullanılan araç da, işletmeciler tarafından edinilen tüm abonelere ait bilgileri Kuruma aktarmak olarak belirlenmiştir. Yani, önleyici, istihbari ve adli işlemler kapsamında verilen görevlerin süresinde ve eksiksiz yerine getirilmesi için, hakkında ilgili kanunlar gereğince başlatılmış herhangi bir hukuki süreç bulunmayan abonelere ait kişisel verilerin de, önceden hazır olsun yaklaşımıyla Kuruma gönderilmesi gerekmektedir. Ancak, Kurumun adli, istihbari iletişimin tespitinin, süresinde ve eksiksiz yerine getirmesine yönelik amacını gerçekleştirebilmesi için; işletmeciler tarafından kurulmuş teknik alt yapı mevcut iken bu alt yapının güncel bilgiler ile düzgün ve sorunsuz işleyişi için gerekli tedbirlerin alınması yerine hakkında hukuki süreç bulunmayan abonelere ait kişisel verilerin Kuruma aktarılmasına yönelik ikincil mevzuat ile yapılan düzenlemenin hukuken gerekli ve ölçülü olduğunu kabul etmek mümkün değildir. Gereklilik, bir temel hakkı en az sınırlayan aracın seçilmesini gerektirmekte olup, tüm abonelere ait kişisel verilerin Kuruma aktarılmasının, hakkı en az sınırlayan yumuşak bir araç olduğunu söylemek mümkün değildir. Çünkü söz konusu kural, çok geniş bir çerçeveyi kapsayarak, hakkında herhangi bir hukuki süreç bulunmayan bireylerin de neredeyse her türlü özel nitelikli kişisel bilgilerinin toplanmasını ve aktarılmasını öngörmektedir. Dava konusu Kurul kararları ile amaç araç dengesi orantısız bir şekilde bozulmuştur.
Davalı idare tarafından; işletmecilerin abonelerden elde ettikleri verilerin doğru, güvenilir ve güncel tutulmasının gerektiği, bunun tüketicilerin ve kamu otoritelerinin menfaatleri açısından önemli olduğu, Kuruma, gerek Cumhuriyet Başsavcılıkları tarafından, gerekse diğer kamu kurum ve kuruluşları tarafından iletilen şikayetler kapsamında işletmeciler tarafından elde edilen bilgilerin halen güncel olmadığı, özellikle milli güvenliliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda abone bilgileri güncel olmayan telefon hatlarının kullanıldığı, gerçek suçlulara ulaşılmakta zorluk çekildiğinden bahisle, kurumdan caydırıcı önlemlerini alınmasının talep edildiği belirtilmekte ise de; bu amacı gerçekleştirmek için işletmeciler tarafından kurulmuş olan teknik alt yapının kullanılmayarak, pasaport no, anne kızlık soyadı, doğum yeri, mesleği, cinsiyeti, uyruğu gibi kişisel verilerin, herhangi bir merciin talebi olmaksızın, Kurum'a aktarılmasının, belirtilen amacı ne şekilde sağladığı anlaşılamamıştır. Davalı idare tarafından bu bilgilerin Kurum'a aktarılmasının zorunlu olmadığı, işletmecilerin elinde varsa aktaracakları savunulmuş ise de, dava konusu Kurul kararlarının işletmecilerde bu bilgileri abonelerden temin etmek şeklinde bir yükümlülük olarak değerlendirildiği ve bu şekilde uygulama yapıldığı anlaşılmaktadır.
Yine davalı idare tarafından; Kurul kararlarının, abone bilgilerinin güncel ve doğru olması amacına yönelik olarak kamu yararı taşıdığı iddia edilmekte ise de, bunun da, Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği kapsamında davalı idarece, alınacak olan, kişisel verilerin işletmecilerde doğru ve güncel olarak saklanmasını temin etmeye yönelik idari tedbirlerle ve arttırılacak denetimlerle sağlanabileceği açıktır.
Öte yandan, daha önce 6552 sayılı Kanun'un 126. maddesi ile değiştirilen 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlemesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi, Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi hallerinde ilgili mercilere verilir." düzenlemesi, Anayasa Mahkemesi'nin 02/10/2014 günlü ve E:2014/149, K:2014/151 sayılı kararı ile; 5651 sayılı Kanunun 4. maddesine eklenen 3 nolu fıkrada yer alan; "İçerik sağlayıcı, Başkanlığın, bu Kanun ve diğer kanunlarla verilen görevlerinin ifası kapsamında talep ettiği bilgileri, talep edilen şekilde Başkanlığa teslim eder ve Başkanlıkça bildirilen tedbirleri alır" düzenlemesi ise, Anayasa Mahkemesi'nin 08/12/2015 günlü ve E:2014/87, K:2015/112 sayılı kararı ile iptal edilmiştir.
Görüldüğü üzere, aboneye ait trafik bilgisinin, idarece, işletmecilerden temin edilmesine yönelik, dava konusu Kurul kararları ile benzer nitelikteki kanuni düzenlemeler, Anayasa Mahkemesince iptal edilmiş, ancak davalı idarece benzer düzenleme, bu kez Kurul kararları ile yapılmıştır.
Bu itibarla, davalı Kuruma adli, önleyici, istihbari amaçlarla ve belli bir hukuki sürece bağlı olmak kaydıyla “sınırlı” olarak verilen görevlerin, abone desen yapısı adı kullanılarak, hakkında adli, önleyici, istihbari herhangi bir hukuki süreç bulunmayan tüm aboneleri kapsayacak şekilde “sınırsız bir yetkiye” dönüştürülmek suretiyle ikincil mevzuat ile yapılan düzenlemelerin, kanuni dayanaktan yoksun olduğu, temel hak ve özgürlükleri doğrudan ilgilendiren bu düzenlemelerin, üst hukuk normları ile değil de, Kuruma verilen genel yetki kapsamında, Kurul kararları ile tesisinin hukuken mümkün bulunmadığı, kanuni dayanağı olmadan idari bir düzenleme ile belirtilen abone grubunun temel hak ve özgürlüklerine gereksiz ve ölçüsüz müdahalede bulunulduğu anlaşıldığından, hakkında adli, önleyici, istihbari herhangi bir hukuki bir süreç bulunmayan abonelerin kişisel verilerinin korunmasını isteme hakkının, özel hayatın gizliliğinin ve kişisel verileri paylaşmayan abonelere yaptırım öngörmesi nedeniyle haberleşme özgürlüğünün ihlal edilmesi sonucunu doğuran dava konusu Kurul kararlarında hukuka uygunluk bulunmamaktadır.
Ayrıca, abonelerin kişisel verilerinin Kuruma aktarılmasını düzenleyen dava konusu Kurul kararları tesis edilmeden önce, 6698 sayılı Kanun'un 22. maddesi gereğince Kişisel Verileri Koruma Kurulu'ndan görüş alınmamış olup, davalı idare tarafından bu husus; 6698 sayılı Kanun'un “İstisnalar” başlıklı 28. maddesinin (ç) bendinde yer alan “Kişisel verilerin milli savunmayı, milli güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve metni kapsamında değerlendirildiğinden istihbari faaliyetler kapsamında işlenmesi” hükmü, Kanun hükümlerinin uygulanmayacağı hâller arasında sayıldığından Kişisel Verileri Koruma Kurulu'ndan görüş alınmadığı şeklinde açıklanmıştır. Yukarıda da ifade edildiği üzere, anılan maddede belirtilen anlamda davalı Kuruma doğrudan kanun ile verilmiş bir yetki bulunmamaktadır. Davalı idarenin, 5809 sayılı Kanun'un kendisine verdiği yetkinin sınırlarını aşarak tüm abonelerin kişisel verilerinin Kuruma aktarılmasına yönelik idari düzenleme yaptığı, diğer kanunların verdiği yetkiyi ise hakkında adli, önleyici, istihbari herhangi bir hukuki süreç bulunmayan tüm aboneleri kapsayacak şekilde “sınırsız bir yetkiye” dönüştürdüğü anlaşıldığından dava konusu Kurul kararları ile 6698 sayılı Kanun'un amaç ve ilkelerine uygun davranmadığı sonucuna ulaşılmıştır.
Açıklanan nedenlerle hukuka uygunluk bulunmayan dava konusu Kurul Kararlarının iptaline karar verilmesi gerektiği oyu ile karara katılmıyorum.
(XX) KARŞI OY :
Dava, Bilgi Teknolojileri İletişim Kurulu'nun "Abone desen yapısı" konulu ... tarih ve ... sayılı kararı ile, bu kararda değişiklikler yapan ... tarih ve ... sayılı, ... tarih ve ... sayılı ve ... tarih ve ... sayılı Kurul kararlarının iptali istemi ile açılmıştır.
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre dava konusu Kurul kararları ile Kurum'a aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır.
Anayasa’nın 20. maddesinin üçüncü fıkrasında, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, bu hakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı, ayrıca, kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceği ve kişisel verilerin korunmasına ilişkin esas ve usûllerin kanunla düzenleneceği ifade edilerek kişisel verilerin korunmasını isteme hakkı güvence altına alınmıştır. Öte yandan, kişisel verilerin korunması hakkı sınırsız olmayıp bu hakkın Anayasa’da güvence altına alınan diğer temel hak ve özgürlüklerin korunması veya Anayasa’nın devlete bir görev olarak yüklediği millî güvenliğin, kamu düzeninin ve kamu güvenliğinin korunması gibi nedenlerle sınırlandırılması mümkündür. Ancak, bu konuda sınırlama yapılırken temel hak ve özgürlüklerin sınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesinde yer alan kurallara uygun davranılması gerekmektedir. Anayasa’nın anılan maddesi uyarınca kişisel verilerin korunması hakkı, yalnızca kanunla ve demokratik bir toplumda gerekli olduğu ölçüde sınırlanabilir. Ayrıca, getirilen bu sınırlamalar hakkın özüne dokunamayacağı gibi, Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olamaz.
Uyuşmazlığın çözüme kavuşturulması açısından öncelikle, Kurum tarafından, kişisel veri olduğunda kuşku bulunmayan abonelere ait bilgileri işletmecilerden istemesi ve bu bilgileri alması konusunda kanunen yetkisi bulunup bulunmadığının belirlenmesi gerekmektedir.
Karar metninde aktarılan mevzuatın değerlendirilmesinden, elektronik haberleşme sektörünün düzenleyici ve denetleyici kurumu olan davalı idarenin, abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmak, bu kapsamda işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak konusunda görev ve yetkisinin bulunduğu, kanunlar ile kendisine verilen görev ve yetkileri yerine getirebilmek amacıyla gerekli düzenlemeleri yapabileceği, işletmecilere bir takım yükümlülükler getirebileceği, düzenleme yaparken dikkate alınması gereken en temel ilkelerin "tüketici hak ve menfaatinin gözetilmesi" ile "Millî güvenlik ile kamu düzeni gereklerine öncelik verilmesi" olduğu, elektronik haberleşme sektöründe faaliyet gösteren işletmecilerin ise, söz konusu görev ve yetkilerin yerine getirilebilmesi amacıyla talep edilen her türlü bilgi ve belgeyi davalı idareye vermekle yükümlü olduğu anlaşılmaktadır.
Öte yandan, 5397 sayılı Kanun kapsamındaki önleyici-istihbari amaçlı ve 5271 sayılı Kanun'un 135'inci maddesi kapsamındaki adli amaçlı iletişim tespiti, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmek ve söz konusu iş ve işlemleri tek bir merkezden yürütmekle yükümlü olarak kurulan Telekomünikasyon İletişim Başkanlığı'nın 15/08/2016 tarih ve 671 sayılı Kanun Hükmünde Kararnamenin 22. maddesi gereğince kapatılması ile söz konusu görev ve yetkilerin davalı idareye devredildiği anlaşılmaktadır.
Bu itibarla, 5809 sayılı Kanun, 5397 sayılı Kanun (2559 sayılı, 2803 sayılı ve 2937 sayılı Kanunlar), 5271 sayılı Kanun, 671 sayılı Kanun Hükmünde Kararname ve 5651 sayılı Kanunların ilgili maddeleri uyarınca davalı idareye verilen görev ve yükümlülüklerin süresinde, eksiksiz ve aksama olmaksızın yerine getirilebilmesi amacıyla, Kurum'un işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, işletmecilere bir takım yükümlülükler getirebilmek konusunda kanunî yetkisinin bulunduğu dikkate alındığında, dava konusu Kurul kararlarının yasal dayanağının bulunduğu anlaşılmaktadır.
Ancak, dava konusu Kurul kararlarının amacının, önleyici, istihbari ve adli amaçlı iletişimin tespit edilmesine, dinlenmesine ve kayda alınmasına yönelik işlemler kapsamında Kurum'a verilen görevlerin süresinde ve eksiksiz şekilde yerine getirmesini sağlama olduğu, bu kapsamda işletmecilerden, abonelerine ilişkin (Dava konusu Kurul kararları ile belirlenen) bilgilerin belirli standartlar çerçevesinde Kurum'a aktarılmasının istenildiği anlaşılmaktadır. Davalı idare tarafından, "işletmecilerin abonelerden elde ettikleri verilerin doğru, güvenilir ve güncel tutulmasının gerektiği, bu hususun tüketicilerin ve kamu otoritelerinin menfaatleri açısından önemli olduğu, Kurum'a, gerek Cumhuriyet Başsavcılıkları tarafından, gerekse diğer kamu kurum ve kuruluşları tarafından iletilen şikâyetler kapsamında işletmeciler tarafından elde edilen bilgilerin hâlen güncel olmadığı, özellikle milli güvenliliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda abone bilgileri güncel olmayan telefon hatlarının kullanıldığı, gerçek suçlulara ulaşılmakta zorluk çekildiğinden bahisle, Kurum'dan caydırıcı önlemler alınmasının talep edildiği" belirtilmekte ise de; "Anne Kızlık Soyadı", "Mesleği", "Cinsiyeti", "Uyruğu", "POP Bilgisi", "Adres", "Mail Adresi" ve "Doğum Yeri" bilgilerinin Kurum'a aktarılmasının söz konusu amacı ne şekilde sağladığı anlaşılamamıştır.
Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük İlkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır.
28/07/2010 tarih ve 27655 sayılı Resmî Gazete'de yayımlanan işlem tarihinde yürürlükte bulunan Elektronik Haberleşme Sektöründe Tüketici Hakları Yönetmeliği'nin (Mülga) “Abonelik sözleşmelerinin uygulanması” başlıklı 15. maddesinin 7. fıkrasında yer alan, "Abonenin hattının, kullanıma açılabilmesi için, bu maddede yer alan belgelerin eksiksizliği ve söz konusu belgelerdeki bilgilerin doğruluğu işletmeci tarafından kontrol edilerek gerekli teyit işlemi İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü Merkezi Nüfus İdaresi Sisteminden yapılır. Söz konusu bilgilerin doğruluğu onaylanmadan açılan hat ile ilgili olarak her türlü sorumluluk işletmeciye aittir." kuralı uyarınca, İçişleri Bakanlığı Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü Merkezi Nüfus İdaresi Sisteminden teyidi yapılan "T.C. Kimlik Numarası" bilgisinin söz konusu amacın gerçekleşmesi açısından tek başına yeterli olduğu; "Anne Kızlık Soyadı", "Mesleği", "Cinsiyeti", "Uyruğu", "POP Bilgisi", "Adres", "Mail Adresi" ve "Doğum Yeri" gibi kişisel verilerin Kurum'a aktarılmasının hukuken gerekli ve ölçülü olduğunu kabul etmek mümkün değildir.
Açıklanan nedenlerle, dava konusu Kurul kararlarının "T.C. Kimlik Numarası" bilgisi dışındaki kişisel verilerin Kuruma aktırılmasına ilişkin kısımlarında hukuka uygunluk bulunmadığından, dava konusu Kurul kararlarının bu kısımlarının iptaline, diğer kısımlar yönünden davanın reddine karar verilmesi gerektiği oyu ile karara katılmıyorum.