T.C.
D A N I Ş T A Y
İDARİ DAVA DAİRELERİ KURULU
Esas No : 2023/2720
Karar No : 2024/183
TEMYİZ EDENLER : I-(DAVACI) : … Derneği
VEKİLİ : Av. …
II-(DAVACI YANINDA MÜDAHİL) : … Hizmetleri AŞ
VEKİLİ : Av. …
KARŞI TARAF (DAVALI) : … Kurumu
VEKİLİ : Av. …
İSTEMİN KONUSU : Danıştay Onüçüncü Dairesinin 23/05/2023 tarih ve E:2019/2412, K:2023/2555 sayılı kararının temyizen incelenerek bozulması istenilmektedir.
YARGILAMA SÜRECİ :
Dava konusu istem: Bilgi Teknolojileri İletişim Kurulunun (Kurul) "Abone desen yapısı" konulu 24/10/2018 tarih ve 2018/DK-BSD/314 sayılı kararı ile bu kararda değişiklikler yapılmasına ilişkin 16/04/2019 tarih ve 2019/DK-BSD/109, 25/04/2019 tarih ve 2019/DK-BSO/117 ve 08/05/2019 ve 2019/DK-BSD/131 sayılı kararlarının iptali istenilmiştir.
Daire kararının özeti: Danıştay Onüçüncü Dairesinin 23/05/2023 tarih ve E:2019/2412, K:2023/2555 sayılı kararıyla;
Davalı idarenin usule ilişkin itirazları yerinde görülmemiş,
5809 sayılı Elektronik Haberleşme Kanunu'nun 1., "İlkeler" başlıklı 4., "Kurumun görev ve yetkileri" başlıklı 6., "İşletmelerin hak ve yükümlülükleri" başlıklı 12., "Kişisel verilerin işlenmesi ve gizliliğin korunması" başlıklı 51., "Abone ve cihaz kimlik bilgilerinin güvenliği" başlıklı 56. maddeleri; Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliğinin "İşletmecilerin hak ve yükümlülükleri" başlıklı 19. maddesinin 1. ve 2. fıkraları; 10/11/2005 tarih ve 25989 sayılı Resmî Gazete'de yayımlanarak yürürlüğe giren Telekomünikasyon Yoluyla Yapılan İletişimin Tespiti, Dinlenmesi, Sinyal Bilgilerinin Değerlendirilmesi ve Kayda Alınmasına Dair Usul ve Esaslar ile Telekomünikasyon İletişim Başkanlığının Kuruluş, Görev ve Yetkileri Hakkında Yönetmelik'in 17. maddesi; 17/08/2016 tarih ve 29804 sayılı 2559 sayılı Resmî Gazete'de yayımlanan 671 sayı Olağanüstü Hal Kapsamında Bazı Kurum ve Kuruluşlara İlişkin Düzenleme Yapılması Hakkında Kanun Hükmünde Kararname'nin 22. ve 24. maddesi; 5271 sayılı Ceza Muhakemesi Kanunu'nun "İletişimin tespiti, dinlenmesi ve kayda alınması" başlıklı 135. maddesi; 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Genel İlkeler" başlıklı 4., "Kişisel verilerin işlenme şartları" başlıklı 5., "Kişisel verilerin aktarılması" başlıklı 8., "İstisnalar" başlıklı 28. maddesine yer verilerek,
Kişisel veri kavramının, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade ettiği, bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm verilerin kişisel veri kapsamında olduğu, buna göre dava konusu Kurul kararları ile Kuruma aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmadığı,
Anayasa’nın 20. maddesinin 3. fıkrasında, herkesin kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahip olduğu, bu hakkın kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsadığı, ayrıca, kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceği ve kişisel verilerin korunmasına ilişkin esas ve usûllerin kanunla düzenleneceği ifade edilerek kişisel verilerin korunmasını isteme hakkının güvence altına alındığı; öte yandan, kişisel verilerin korunması hakkı sınırsız olmayıp, bu hakkın Anayasa’da güvence altına alınan diğer temel hak ve özgürlüklerin korunması veya Anayasa’nın devlete bir görev olarak yüklediği millî güvenliğin, kamu düzeninin ve kamu güvenliğinin korunması gibi nedenlerle sınırlandırılmasının mümkün olduğu, ancak, bu konuda sınırlama yapılırken temel hak ve özgürlüklerin sınırlandırılması rejimini belirleyen Anayasa’nın 13. maddesinde yer alan kurallara uygun olarak kişisel verilerin korunması hakkının, yalnızca kanunla ve demokratik bir toplumda gerekli olduğu ölçüde sınırlanabileceği, getirilen sınırlamalar hakkın özüne dokunamayacağı gibi, Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olamayacağı,
Bilgi Teknolojileri İletişim Kurulunun "Abone desen yapısı" konulu 24/10/2018 tarih ve 2018/DK-BSD/314 sayılı kararına yer verilerek, kararın eki "Abone Teknik Detay Dökümanı"nda, abone T.C kimlik no, abone pasaport no, abone unvan, abone vergi no, abone mersis no, abone cinsiyet, abone uyruk, abone anne-baba adı, anne kızlık soyadı, doğum yeri, doğum tarihi, abone meslek, abone tarife, abone kimlik cilt, kütük, sayfa no, vergi no, unvan, abone adres, il, ilçe, kapı no, e-mail adresi gibi bölümlerin işletmeciler tarafından doldurularak düzenli aralıklarla Kuruma iletilmesi gerektiğinin öngörüldüğü, 16/04/2019 tarih ve 2019/DK-BSD/109, 25/04/2019 tarih ve 2019/DK-BSO/117 ve 08/05/2019 ve 2019/DK-BSD/131 sayılı Kurul kararları ile de söz konusu Kurul kararında bazı değişiklikler ve eklemeler yapıldığının anlaşıldığı,
Uyuşmazlığın çözüme kavuşturulması açısından öncelikle, Kurum tarafından, kişisel veri olduğunda kuşku bulunmayan, abonelere ait bilgileri işletmecilerden istemesi ve bu bilgileri alması konusunda kanunen yetkisi bulunup bulunmadığının belirlenmesi gerektiği,
Mevzuatın değerlendirilmesinden, elektronik haberleşme sektörünün düzenleyici ve denetleyici kurumu olan davalı idarenin, abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmak, bu kapsamda, işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak konusunda görev ve yetkisinin bulunduğu, kanunlar ile kendisine verilen görev ve yetkileri yerine getirebilmek amacıyla gerekli düzenlemeleri yapabileceği, işletmecilere bir takım yükümlülükler getirebileceği, düzenleme yaparken dikkate alınması gereken temel ilkelerin "tüketici hak ve menfaatinin gözetilmesi" ile "Millî güvenlik ile kamu düzeni gereklerine öncelik verilmesi" olduğu, elektronik haberleşme sektöründe faaliyet gösteren işletmecilerin ise, söz konusu görev ve yetkilerin yerine getirilebilmesi amacıyla talep edilen her türlü bilgi ve belgeyi davalı idareye vermekle yükümlü olduğunun anlaşıldığı,
Öte yandan, 5397 sayılı Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun kapsamındaki önleyici-istihbari amaçlı ve 5271 sayılı Kanun'un 135. maddesi kapsamındaki adli amaçlı iletişim tespiti, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmek ve söz konusu iş ve işlemleri tek bir merkezden yürütmekle yükümlü olarak kurulan Telekomünikasyon İletişim Başkanlığının 15/08/2016 tarih ve 671 sayılı Kanun Hükmünde Kararname'nin 22. maddesi gereğince kapatılması ile söz konusu görev ve yetkilerin davalı idareye devredildiği,
Bu itibarla, 5809 sayılı Kanun, 5397 sayılı Kanun (2559 sayılı, 2803 sayılı ve 2937 sayılı Kanunlar), 5271 sayılı Kanun, 671 sayılı Kanun Hükmünde Kararname ve 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla işlenen suçlarla Mücadele Edilmesi Hakkında Kanun'un ilgili maddeleri uyarınca davalı idareye verilen görev ve yükümlülüklerin süresinde, eksiksiz ve aksama olmaksızın yerine getirilebilmesi amacıyla, Kurumun işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, işletmecilere bir takım yükümlülükler getirebilmek konusunda kanunî yetkisinin bulunduğu dikkate alındığında, dava konusu Kurul kararlarının yasal dayanağının bulunduğu,
Dava konusu düzenlemenin en önemli amaçlarından birisinin, kişilerin haberi ve rızası olmaksızın bilgileri dışında kimlik bilgilerinin kullanılması suretiyle adlarına abonelik sözleşmesi yapılması (açık hat) sorunu ile mücadele etmek olduğu, savcılıklar ve kamu kurumlarından gelen şikâyetlerde, milli güvenliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda bilgileri güncel olmayan hatların (açık hat) kullanıldığı, gerçek suçlulara ulaşılamadığı ve mağduriyetlerin yaşandığı ifade edilerek, caydırıcı önlemler alınmasının talep edildiği, abonelere ait bilgilerin doğru, güncel ve güvenilir olmasının kamu otoritesinin ve tüketicilerin menfaatine olduğu, söz konuşu şikâyetlerin ve mağduriyetlerin ilk defa ortaya çıktığı 2008 yılından bu yana açık hatlarla mücadele kapsamında bir dizi Kurul kararının alındığı ve abone bilgilerinin güncelliğinin sağlanması için işletmecilere bir çok yükümlülük getirildiği, yapılan denetimlerde, yükümlülüklerin yerine getirilmediğinin tespit edilmesi üzerine bir çok kez idarî yaptırım uygulandığı; ancak, gerek savcılıklar ve gerekse kamu kurum ve kuruluşlarından gelen şikâyetler ve Kurum tarafından yapılan düzenli denetimler neticesinde, abonelere ait bilgilerinin hâlen güncelliğinin sağlanamadığının anlaşıldığı; son olarak Emniyet Genel Müdürlüğü tarafından Kuruma iletilen başvuruda; açık hatlarla mücadele kapsamında, Türkiye Noterler Birliği tarafından uygulanan ve noterlerde herhangi bir işlem yapıldığı esnada, işlem yapan vatandaşın kayıtlı bütün cep telefonlarına bilgilendirme mesajı gönderilmesi tedbirine) benzer şekilde hat açma işlemi yapılırken adına hat açılan vatandaşın T.C. kimlik numarasına kayıtlı tüm telefon numaralarına, “Kimlik bilgileriniz kullanılarak adınıza telefon hat açma işlemi yapılmaktadır. Bilginiz dışında ise açılan telefon hattını en kısa sürede işletmecinize başvurmak suretiyle iptal ettiriniz” şeklinde bir bilgilendirme mesajı gönderilmesinin dolandırıcılık başta olmak üzere suçlarla etkin mücadelede ve usulsüz açılan hatların önüne geçilmesinde faydalı olacağının ifade edildiği; yapılan pek çok düzenlemeye, işletmecilere getirilen yükümlülüklerin yerine getirilip getirilmediğinin tespiti açısından işletmeciler nezdinde yapılan denetimlere ve uygulanan idarî yaptırımlara rağmen abonelere ait bilgilerinin güncelliğinin hâlen sağlanamamış olması nedeniyle, sektörün dinamizmi de göz önünde bulundurularak önceki Kurul kararlarının gözden geçirilmesi ve yeni tedbirler alınması ihtiyacının hasıl olduğu, 24/10/2018 tarih ve 2018/DK-BSD/314 sayılı Kurul kararı ile açık hatların engellenmesi, tüketici hak ve menfaatlerinin korunmasını teminen işletmecilere, abonelik sözleşmelerinde yaşanan usulsüzlüklerin önlenmesi için gerekli tedbirleri almaları yönünde ilave yükümlülükler getirildiği,
Açık hatlara ilişkin ilk şikâyetlerin ortaya çıktığı 2008 yılından bu yana davalı idarece alınan bir dizi önleme rağmen abonelere ait bilgilerinin hâlen güncelliğinin sağlanamamış olması karşısında, dava konusu Kurul kararları ile "Teknik Detay Dokümanı" oluşturulmak suretiyle işletmeci bazlı desen yapısı terk edilerek, farklı formatlardaki desen yapıları nedeniyle oluşan hataların en aza indirilmesinin amaçlandığı; ayrıca, kurumsal abonelik kapsamındaki numaraların hangi kullanıcı tarafından kullanıldığının bildirilmesi, TCKN (Türkiye Cumhuriyeti Kimlik Numarası) ve YKN (Yabancı Kimlik Numarası) numaraları bulunmayan veya doğrulanamayan aboneliklerin, çeşitli mecralardan yapılan bildirimlere rağmen kimlik numaralarına ulaşılamaması üzerine önce erişimin kısıtlanması sonrasında hattın kapatılması, takip eden asgari bir yıl boyunca yeniden tahsise açılmaması; son dönemde YKN üzerine kullanıcılarının rızaları dışında açılan hatlarda yaşanan artışlar dikkate alındığında, pasaport ve muadili uluslararası geçeriliği olan belgelerle yapılan aboneliklerde; kimlik numarası alanında Kurum tarafından sağlanacak pasaport bilgi teyidi için oluşturulan numaraların yurda giriş tarihini takip eden 90 gün boyunca geçerli olması, bu süre sonunda YKN'ye dönüştürülemeyen hatlar için Ek-Teknik Detay Dokümanı'nda belirtilen şekilde kapatma işlemi yapılması; ilk abonelik tesisi, numara taşıma, işletmeci değişikliği, abonelik devri gibi nedenlerle abonelik sözleşmesi tesisi veya SIM kart değişimi işlemleri yapan işletmecinin, bilinen bütün numaralarına SMS gönderilmesi suretiyle, milli güvenlik, kamu düzeni, tüketici menfaatlerinin korunması ve mağduriyetlerinin önlenmesine yönelik düzenleme yapıldığı,
Davacı tarafından, abonelere ait bütün kişisel verilerin Kuruma aktarılması suretiyle kullanıcı profillerinin çıkarılmaya çalışıldığı, elde edilen büyük verinin (big data) veri mühendisliği sayesinde malî ve siyasi analizlerde kullanılmaya son derece müsait olduğu ileri sürülmekte ise de, Dairelerinin 15/06/2021 tarihli ara kararı ile, "Kuruma aktarılan abonelere ait söz konusu kişisel veriler üzerinde, yetkili Kurum ve Kuruluşlar tarafından herhangi bir hukukî inceleme veya talep bulunmaksızın veri işleme yapılıp yapılmadığı"nın davalı idareden sorulduğu; davalı idarece verilen ara karar cevabında, verilerin, yetkili kurum ve kuruluşlar tarafından herhangi bir hukuki inceleme talebinde bulunulması durumunda sorgulanmaya hazır olarak tutulmasını teminen ilgili sorgu sistemleri için işlendiği, bunun haricinde yetkili kurum ve kuruluşlar tarafından herhangi bir talep bulunmaksızın veri işleme yapılmadığı gibi talep olmaksızın hiçbir veri hakkında sorgulama yapılmadığı, yetkili kurum ve kuruluşlardan gelen talep üzerine görevli personel tarafından yapılan sorgulamaların LOG kayıtlarının tutulduğu, söz konusu kayıtlarda hangi sorgulamanın hangi talep üzerine yapıldığının yer aldığı belirtildiğinden davacının bu yöndeki iddialarına itibar edilmediği,
Bu itibarla, ilgili kanunlar ile Kuruma verilen görev ve yükümlülükler kapsamında, milli güvenlik, kamu düzeni ve tüketici menfaatlerinin korunabilmesi amacıyla kanundan kaynaklanan yetkiye dayanılarak tesis edildiği anlaşılan dava konu düzenlemelerde hukuka aykırılık bulunmadığı sonucuna ulaşıldığı, davacı ve müdahilin diğer iddialarının ise dava konusu işlemleri kusurlandırıcı mahiyette görülmediği gerekçesiyle,
davanın reddine karar verilmiştir.
TEMYİZ EDENLERİN İDDİALARI : Davacı tarafından, dava konusu Kurul kararlarına bakıldığında, gerekçede genel bir şekilde, bazı suçlara dair yasal düzenlemelere atıf yapılmış olsa da, 2018 yılı sonu itibarıyla 80,1 milyon mobil, 11,6 milyon sabit telefon ve 74,5 milyon genişbant internet abonesinin tümüne ait işletmecilerde mevcut kişisel verilerin tamamının, kendilerinin bilgisi olmadan ve hiçbir sınırlamaya tabi olmaksızın BTK'ya aktarılmasının söz konusu olduğu; kararlar "abone desen yapısı" adı altında alınmış olsa da, esasında elektronik haberleşme hizmetlerinden yararlanan abonelerin profillerinin çıkarılması niyetinin açık ve tartışmasız olduğu; tüm abonelere ait kişisel verilerin Kurum ile paylaşılması yönündeki davaya konu düzenleme ile kanunun belirlediği sınırın aşıldığı ve davalı idarece; yasama organının görevine giren temel hak ve hürriyetlerin sınırlandırılması konusunda karar verildiği; Anayasa Mahkemesi kararlarıyla iptal edilen yasal düzeleme hükümlerinin Kurul kararı ile uygulanabilir hale getirilmesinin Anayasa'ya aykırılık oluşturduğu; dava konusu Kurul kararlarıyla getirilen sınırlamanın, istisnayı genel kural haline getiren ve ölçülülük ilkesine uygun olmayan bir sınırlama olduğu; Kurul kararlarına konu kişisel verileri "veri sorumlusu" sıfatıyla koruma yükümlülüğü işletmecilere ait olup, işletmeciler, dayanak bir yasa hükmü veya ilgilinin açık rızası olmaksızın bu verilerin işlenmesine, aktarılmasına muvafakat veremeyeceği; idare tarafından, talep üzerine görevli personel tarafından sorgulamaların log kaydı tutularak verilerin işlendiği ifade edilmiş ise de sisteme erişimin kimler tarafından mümkün olduğu, görevli personelin nasıl belirlendiği, talep üzerine işlemi yapan personelin bu verileri başkaca bir ortama aktarıp aktaramayacağının imkan dahilinde olup olmayacağı gibi soruların cevaplarının belirsiz olduğu ileri sürülmektedir.
Davacı yanında müdahil tarafından, 5809 sayılı Kanun uyarınca, davalı idarenin, kişisel veri ve gizliliğin korunması amacıyla işletmecilere bazı yükümlülükler getirebileceği, kanun koyucu tarafından, bu yükümlülüklerin işletmeciler tarafından yerine getirilmesinin amaçlandığı anlaşıldığından, doğrudan abone verilerinin kuruma aktarılmasını öngören düzenlemelerde yetki aşımı olacağı konusunda şüphe bulunmadığı; işletmecilerin abonelerden elde ettikleri verilerin doğru, güvenilir ve güncel tutulmasını temin etmeye yönelik idari tedbirlerin alınmasının mümkün olduğu; dava konusu Kurul kararları ile benzer nitelikteki kanuni düzenlemeler, Anayasa Mahkemesi tarafından iptal edilmişken, benzer düzenlemelerin bu kez Kurul kararları ile getirildiği; davalı idarenin 15/12/2020 tarihli "İSS Trafik Log Deseni" konulu bir yazı ile yazı ekindeki "Teknik Doküman"a uygun şekilde, internet servis sağlayıcıların abonelerinin erişim trafik kayıtlarının düzenli şekilde idarelerine aktarılmasının talep edildiği, davalı idarenin, kişisel verilerin gizliliğine aykırı olacak şekilde, hukuka aykırı yükümlülükler yüklediği ve kişisel verilerin gizliliğini ihlal ettiği ileri sürülmektedir.
KARŞI TARAFIN SAVUNMASI : Davalı idare tarafından, istemlerin reddi gerektiği savunulmaktadır.
DANIŞTAY TETKİK HÂKİMİ …'UN DÜŞÜNCESİ : Dava konusu Kurul kararlarına dayanak olarak gösterilen Kanun maddelerinde; Kurumun abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmakla yetkili ve görevli olduğu, işletmecilerin gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi alarak, talep üzerine Bakanlığa ileteceği, Kurumun işletmecilere sektörün ihtiyaçları doğrultusunda yükümlülükler getirebileceği, kişisel verilerin ve gizliliğin korunmasının bu yükümlülükler arasında sayıldığı, işletmecilerin milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik alt yapıyı sağlayacakları, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması gerekçeleri ile, hakim kararı ile veya gecikmesinde sakınca olan hallerde ilgili kurum amirinin yazılı emri ile iletişiminin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır. Dava konusu Karar ile abonelere ilişkin kişisel bilgilerin, Bilgi Teknolojileri ve İletişim Kurumu tarafından, ilgili işletmeciler aracılığı ile ortada herhangi bir hukuki inceleme ya da süreç bulunmaksızın temin edilmesi düzenlenmekte olup, suçların tespiti, soruşturulması ve kovuşturulmasında kullanılmak üzere, gerçek ve tüzel kişilere ilişkin kişisel bilgilerin, davalı idare tarafından, herhangi bir hukuki inceleme veya talep bulunmaksızın, ilgili işletmeciler aracılığı ile temin edilmesine olanak sağlamaktadır. Ancak, ilgili mercilerin, gerekli bilgileri işletmecilerden talep etmelerine her hangi bir engel bulunmamakta olup, Kurul kararında belirtilen amacın, kişisel verilerin işletmecilerde doğru ve güncel olarak saklanmasını temin etmeye yönelik idari tedbirlerle sağlanabileceği açık iken, kişisel verilerin ayrıca Kuruma gönderilmesinin karara bağlanması, gerekli ve ölçülü olmadığı gibi, kişisel bilgilerin Kuruma aktarılmasını zorunlu kılan herhangi bir hukuki gerekçe de ortaya konulamamıştır. Öte yandan, aboneye ait trafik bilgisinin, idarece, işletmecilerden temin edilmesine yönelik, dava konusu Kurul kararları ile benzer nitelikteki kanuni düzenlemeler, Anayasa Mahkemesince iptal edilmiş, ancak davalı idarece benzer düzenleme, bu kez Kurul kararları ile yapılmıştır. Bu durumda; adli, önleyici, istihbari amaçlarla Kuruma verilen görevlerin; süresinde, doğru ve eksiksiz yerine getirilmesi amacıyla yapılan, temel hak ve özgürlükleri doğrudan ilgilendiren düzenlemelerin, gerekli ve ölçülü olma ilkelerine uygun bulunmadığı gibi üst hukuk normları ile değil de Kuruma verilen genel yetki kapsamında, Kurul kararları ile tesisi mümkün olmadığından, dava konusu Kurul kararlarında hukuka uyarlık bulunmadığı ve davacı ile müdahilin temyiz istemlerinin kabulü ile Daire kararının bozulması gerektiği düşünülmektedir.
TÜRK MİLLETİ ADINA
Karar veren Danıştay İdari Dava Daireleri Kurulunca, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:
HUKUKİ DEĞERLENDİRME:
Danıştay dava dairelerinin nihai kararlarının temyizen incelenerek bozulması, 2577 sayılı İdari Yargılama Usulü Kanunu'nun 49. maddesinde yer alan;
"a) Görev ve yetki dışında bir işe bakılmış olması,
b) Hukuka aykırı karar verilmesi,
c)Usul hükümlerinin uygulanmasında kararı etkileyebilecek nitelikte hata veya eksikliklerin bulunması" sebeplerinden birinin varlığı hâlinde mümkündür.
Temyizen incelenen karar usul ve hukuka uygun olup, temyiz dilekçelerinde ileri sürülen iddialar kararın bozulmasını gerektirecek nitelikte görülmemiştir.
KARAR SONUCU:
Açıklanan nedenlerle;
1.Davacı ile davacı yanında müdahilin temyiz istemlerinin reddine,
2.Davanın yukarıda özetlenen gerekçeyle reddine ilişkin Danıştay Onüçüncü Dairesinin temyize konu 23/05/2023 tarih ve E:2019/2412, K:2023/2555 sayılı kararının ONANMASINA,
3.Kesin olarak, 05/02/2024 tarihinde oyçokluğu ile karar verildi.
KARŞI OY
X- 5809 sayılı Elektronik Haberleşme Kanunu'nun 1. maddesinde; Kanun'un amacı; elektronik haberleşme sektöründe düzenleme ve denetleme yoluyla etkin rekabetin tesisi, tüketici haklarının gözetilmesi, ülke genelinde hizmetlerin yaygınlaştırılması, kaynakların etkin ve verimli kullanılması, haberleşme alt yapı, şebeke ve hizmet alanında teknolojik gelişimin ve yeni yatırımların teşvik edilmesi ve bunlara ilişkin usul ve esasların belirlenmesi olarak belirtilmiş; "Kurumun görev ve yetkileri" başlıklı 6. maddesinde; abone, kullanıcı, tüketici ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak; elektronik haberleşmeyle ilgili olarak, işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, Bakanlık tarafından elektronik haberleşme sektörüne yönelik strateji ve politikaların belirlenmesinde ihtiyaç duyulanları, talebi üzerine Bakanlığa iletmek; bu Kanun'la verilen görevlere ilişkin yönetmelik, tebliğ ve diğer ikincil düzenlemeleri çıkarmak, Kurumun görev ve yetkileri arasında sayılmıştır.
Aynı Kanun'un "İşletmelerin hak ve yükümlülükleri" başlıklı 12. maddesinde; işletmecinin, Kurum düzenlemeleri ve yetkilendirmesinde öngörülen şartlara uygun olarak yetkilendirildiği kapsamdaki elektronik haberleşme hizmetini sunma hakkına sahip olduğu; Kurumun, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek mevzuat doğrultusunda yükümlülükler getirebileceği belirtildikten sonra, kişisel veri ve gizliliğin korunması, tüketicinin korunması, Kuruma bilgi ve belge verilmesi, ilgili mevzuat uyarınca Kurum tarafından istenilen hizmetleri yerine getirmek, bu yükümlülükler arasında sayılmış, devamında, işletmecilerin hak ve yükümlülükleri ile ilgili usul ve esasların Kurumca belirleneceği; işletmecilerin elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili taleplerin karşılanmasına yönelik teknik alt yapıyı, elektronik haberleşme sistemini hizmete sunmadan önce kurmakla yükümlü olduğu, halen elektronik haberleşme hizmeti sunan işletmecilerin de; söz konusu teknik alt yapıyı, Kurum tarafından belirlenecek süre içerisinde aynı şartlarla ve tüm harcamaları kendilerine ait olmak üzere kurmakla yükümlü oldukları düzenlenmiştir.
Bazı Kanunlarda Değişiklik Yapılmasına Dair 5397 sayılı Kanun ile 2559 sayılı Polis Vazife ve Selahiyet Kanunu'nda, 2803 sayılı Jandarma Teşkilat Görev ve Yetkileri Kanunu'nda ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu'nda değişiklik ve eklemeler yapılarak, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması vb... gerekçelerle, hakim kararı veya gecikmesinde sakınca bulunan hallerde, Emniyet Müdürü veya İstihbarat Daire Başkanı, Jandarma Genel Komutanı veya İstihbarat Başkanı, Mit Müsteşarı veya Yardımcısının yazılı emri ile, telekomünikasyon yoluyla yapılan iletişimin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un 1. maddesinde; Kanun'un amaç ve kapsamının; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usûlleri düzenlemek olduğu belirlenmiş, "Bilgilendirme yükümlülüğü" başlıklı 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi halinde ilgili mercilere verilir" düzenlemesi, Anayasa Mahkemesinin 02/10/2014 tarih ve E:2014/149, K:2014/151 sayılı kararı ile iptal edilmiştir.
5271 sayılı Ceza Muhakemesi Kanunu'nun 135 ve devamı maddelerinde, telekomünikasyon yoluyla yapılan iletişiminin denetlenmesine ilişkin düzenlemelere yer verilmiş, iletişimin telekomünikasyon yoluyla hakim; gecikmesinde sakınca bulunan hallerde de Cumhuriyet Savcısı kararı ile dinlenebileceği, kayda alınabileceği, sinyal kayıtlarının değerlendirilebileceği düzenlenmiştir.
5809 sayılı Kanuna dayanılarak hazırlanan Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği'nin "İşletmecilerin hak ve yükümlülükleri" başlıklı 19. maddesinde; işletmecinin, Kurum tarafından yetkilendirmesi kapsamında istenen veya düzenli olarak gönderilmesi talep edilen bilgi, belge ve veriyi doğru ve eksiksiz olarak Kurumca istenen süre içerisinde vermekle yükümlü olduğu; erişim sağlayıcı olan veya telefon hizmeti sunan işletmecinin, taraflara ilişkin IP adresi, port aralığı, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı, kullanıcı sayısı ve abone kimlik bilgileri ile altyapısı üzerinden gerçekleşen görüşmelere ait trafik bilgilerini iki yıl süreyle; kullanıcı bilgilerini ise ilgili mevzuatta belirtilen zamanaşımı süresi boyunca muhafaza etmekle yükümlü olduğu, işletmelerin ayrıca, kişisel verilerin gizliliğinin korunmasına ilişkin düzenlemelere uymakla yükümlü olduğu kurala bağlanmıştır.
Yukarıda yer verilen mevzuat hükümlerine dayanılarak hazırlandığı belirtilen dava konusu 24/10/2018 tarih ve 2018/DK-BSD/314 sayılı Kurul Kararında, özet olarak; işletmeciler tarafından Kuruma gönderilen abonelik bilgilerinin, Kurul kararının ekinde yer alan "teknik detay dökümanı"na uygun olarak oluşturularak, doğru, eksiksiz, zamanında ve güncel olarak oluşturulup gönderilmesi, bunun için 02/07/2019 tarihine kadar süre verilmesi, kimlik numarası doğrulamayan aboneler için çeşitli yöntemlerle abonelerin bilgilendirilmesi, kimliğin temin edilememesi/doğrulanamaması halinde, 02/072019 tarihine kadar mesaj gönderimi ve veri trafiğinin kısıtlanması, 01/10/2019 tarihine kadar hattın kapatılması ve bunu takip eden asgari bir yıl boyunca yeniden tahsise açılmaması vs... düzenlenmiş, Kararın eki "Abone Teknik Detay Dökümanı"nda ise; Abone T.C kimlik no, abone pasaport no, abone unvan, abone vergi no, abone mersis no, abone cinsiyet, abone uyruk, abone anne-baba adı, anne kızlık soyadı, doğum yeri, doğum tarihi, abone meslek, abone tarife, abone kimlik cilt, kütük, sayfa no, vergi no, unvan, abone adres, il, ilçe, kapı no, e-mail adresi ve bunun gibi bölümlerin işletmecinin yetkilendirilmesi kapsamında doldurulması gerektiği belirtilmiş, dava konusu diğer Kurul kararları ile de 314 sayılı Kurul kararında, değişiklikler ve bazı eklemeler yapılmıştır.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Genel İlkeler" başlıklı 4. maddesinde; kişisel verilerin ancak bu Kanun'da ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği; kişisel verilerin işlenmesinde, hukuka ve dürüstlük kurallarına uygun olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkelerine uyulmasının zorunlu olduğu düzenlenmiş, "Kişisel verilerin işlenme şartları" başlıklı 5. maddesinin 1. fıkrasında; kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği; 2. fıkrasında; maddede belirtilen şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu, bu şartların da; kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması olarak sayıldığı; "Kişisel verilerin aktarılması" başlıklı 8. maddesinin 1. fıkrasında; kişisel verilerin, ilgili kişinin açık rızası olmaksızın aktarılamayacağı, 2. fıkrasında; kişisel verilerin; 5. maddenin 2. fıkrasında yeterli önlemler alınmak kaydıyla, 6. maddenin 3. fıkrasında belirtilen şartlardan birinin bulunması hâlinde ilgili kişinin açık rızası aranmaksızın aktarılabileceği, 3. fıkrasında; kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğu düzenlemelerine yer verilmiştir.
Yukarıda yer verilen ve dava konusu Kurul kararlarına dayanak olarak gösterilen Kanun maddelerinde; Kurumun abone kullanıcı ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yapmakla yetkili ve görevli olduğu, işletmecilerin gerçek ve tüzel kişilerden ihtiyaç duyulan her türlü bilgi ve belgeyi alarak, talep üzerine Bakanlığa ileteceği, Kurumun işletmecilere sektörün ihtiyaçları doğrultusunda yükümlülükler getirebileceği, kişisel verilerin ve gizliliğin korunmasının bu yükümlülükler arasında sayıldığı, işletmecilerin milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik alt yapıyı sağlayacakları, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması gerekçeleri ile, hakim kararı ile veya gecikmesinde sakınca olan hallerde ilgili kurum amirinin yazılı emri ile iletişiminin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
Söz konusu düzenlemelerden; işletmecilerin, abonelerle yapılacak sözleşmelerin kurulabilmesi amacıyla gerekli bilgileri, abonelerden isteyebilecekleri, yine işletmecilerin, 5397 ve 5651 sayılı Kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik altyapıyı sağlayacakları, Kurumun da kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına yönelik düzenlemeler yapabileceği anlaşılmaktadır.
Dava konusu 314 nolu Kurul Kararının "Açıklamalar" bölümünde; 5397 sayılı Kanun kapsamındaki önleyici - istihbari amaçlı ve 5271 sayılı Ceza Muhakemesi Kanunu'nun 135. maddesi kapsamındaki adli amaçlı iletişimin tespit edilmesi, dinlenmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri, süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmekle yükümlü olan Telekomünikasyon İletişim Başkanlığının kapatıldığı ve yetki ve sorumluluğundaki görevlerin Bilgi Teknolojileri ve İletişim Kurumuna devredildiği, bu bağlamda işletmecilerden abone rehber dosyaları alındığı, işletmecilerin dosyaları iletebilmesi için gerekli olan sunucu IP adresinin, FTP kullanıcı ve şifresinin, abone verilerinin iletileceği dizin bilgilerinin işletmecilere, Bilgi Teknolojileri Kurumu tarafından bildirileceği belirtilmiş ve kişisel verilerin Kuruma aktarılması bu kapsamda değerlendirilmiştir.
Görüldüğü üzere, söz konusu Karar ile abonelere ilişkin kişisel bilgilerin, Bilgi Teknolojileri ve İletişim Kurumu tarafından, ilgili işletmeciler aracılığı ile, ortada herhangi bir hukuki inceleme ya da süreç bulunmaksızın temin edilmesi düzenlenmektedir. Başka bir deyişle, anılan Kurul kararları; suçların tespiti, soruşturulması ve kovuşturulmasında kullanılmak üzere, gerçek ve tüzel kişilere ilişkin kişisel bilgilerin, davalı idare tarafından, herhangi bir hukuki inceleme veya talep bulunmaksızın, ilgili işletmeciler aracılığı ile temin edilmesine olanak sağlamaktadır.
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre, dava konusu Kurul kararları ile Kuruma aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır. Her ne kadar kişisel verilerin korunması hakkı mutlak ve sınırsız olmayıp, belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir ise de; davalı idarenin, 314 sayılı Kararın açıklamalar bölümünde belirtilen amacı aşacak şekilde, herhangi bir adli süreç veya talep bulunmaksızın söz konusu verilere ulaşabilirliği, (kişilerin tercihleri, düşünceleri ve davranışları hakkında fikir verebileceğinden) kişilerin özel hayatlarına müdahale edilme riskini içermektedir. Dava konusu Kurul kararlarında, temin edilecek bilginin Kurum tarafından ne şekilde kullanılacağı, tutulacağı süre gibi hususlarla ilgili olarak, herhangi bir belirlilik de bulunmamakta olup, kişisel verilerin korunmasına ilişkin gerekli teminatların sağlandığından da söz edilmesi olanaksızdır.
Anayasa'nın 20. maddesinin ilk fıkrasında, herkesin özel hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile hayatının gizliliğine dokunulamayacağı belirtilmiş; son fıkrasında da "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." denilerek kişisel verilerin korunması, özel hayatın gizliliğinin korunması kapsamında güvenceye kavuşturulmuştur.
Özel hayatın korunması her şeyden önce özel hayatın gizliliğinin korunması, başkalarının gözleri önüne serilmemesi demektir. Kişinin özel hayatında yaşananların yalnız kendisi veya kendisinin bilmesini istediği kimseler tarafından bilinmesini isteme hakkı, kişinin temel haklarından biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyanname ve sözleşmelerde yer almış, tüm demokratik ülkelerin mevzuatlarında açıkça belirlenen istisnalar dışında devlete, topluma ve diğer kişilere karşı korunmuştur.
Bilişim teknolojilerindeki gelişmeler sonucunda geleneksel yöntemlerle mümkün olmayan çok sayıda verinin toplanabilmesi, daha önce birbirinden ilişkisiz şekilde tutulan pek çok verinin merkezî olarak bir araya getirilebilmesi, verilerin veri eşleştirme ve veri madenciliği gibi ileri teknolojik imkânlarla analize tabi tutulmak suretiyle veriden yeni veriler üretme kapasitesinin artması, verilere erişim ve veri transferinin kolaylaşması, kişisel verilerin ticari işletmeler kıymetli bir varlık niteliği kazanması neticesinde, özel sektör unsurlarınca oluşturulan risklerin daha yaygın ve önemli boyutlara ulaşması, terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler günümüzde kişisel verilerin en üst seviyede korunmasını zorunlu kılmaktadır.
Belirtilen sebeplerle kişisel verilerin en üst seviyede korunması zorunlu olmakla birlikte bu hak mutlak ve sınırsız olmayıp Anayasa'nın 13. ve 20. maddeleri gereğince belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir.
Bu noktada, 6698 sayılı Kanun, 07/04/2016 tarih ve 29677 sayılı Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Uyuşmazlıkta, işletmeciler, 6698 sayılı Kanun'un 5. maddesinin 2. fıkrasının (c) bendinde yer alan; "Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması" düzenlemesi uyarınca, abonelerden gerekli bilgileri temin edebilecekler ve Kurumun yapacağı düzenlemeler uyarınca da bu bilgilerin muhafazasını/gizli kalmasını sağlayacaklardır. Ancak dava konusu Kararlar ile işletmecilerin abonelere ait kişisel bilgileri Kuruma aktarmalarına yönelik düzenlemeler getirilmiş olup, bu düzenlemeler, 6698 sayılı Kanun'un 4. maddesinin 2. fıkrasının (ç) bendine aykırı bulunmaktadır. Nitekim anılan maddede, "kişisel verilerin işlenmesinde, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesine uyulmasının zorunlu olduğu" kurala bağlanmıştır.
Anayasa'nın 13. maddesinde, temel hak ve özgürlüklerin özlerine dokunulmaksızın ölçülülük ilkesine uygun şekilde, yasayla sınırlandırılabileceği belirtilmektedir. Ölçülülük İlkesi sınırlamada başvurulan aracın sınırlama amacını gerçekleştirmeye elverişli olmasını; bu aracın sınırlama amacı açısından gerekli olmasını ve araçla amacın ölçüsüz bir oran içinde bulunmamasını ifade eder. Burada kısıtlama için kullanılan araçla amaç arasında hak ve özgürlüğü en az sınırlayacak dengeli bir orantı aranmaktadır.
Elverişlilik ölçütüne göre, bir yasal düzenlemenin sınırlama amacı bakımından elverişli sayılması için bu düzenlemenin arzulanan amaca katkı yapması gerekmektedir. İncelediğimiz Kurul kararları bu katkıyı sağlamamaktadır. Uyuşmazlıkta dava konusu Kurul kararlarının amacı; "Önleyici, istihbari ve adli amaçlı iletişimin tespit edilmesine, dinlenmesine ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde ve eksiksiz şekilde yerine getirmek" olarak belirtilmiş, bunun için kullanılan araç da, işletmeciler tarafından edinilen abone bilgilerini Kuruma aktarmak olarak belirlenmiştir. Yani, önleyici, istihbari ve adli işlemler kapsamında verilen görevlerin süresinde ve eksiksiz yerine getirilmesi için, kişisel verilerin, Kuruma gönderilmesi gerekmektedir. Ancak, Kurumun adli, istihbari iletişimin tespitinin, süresinde ve eksiksiz yerine getirmesine yönelik amacını gerçekleştirebilmesi için; işletmecilerde bulunan bilgilerin Kuruma aktarılmasına yönelik düzenleme hukuken gerekli ve ölçülü değildir. Gereklilik, bir temel hakkı en az sınırlayan aracın seçilmesini gerektirmekte olup, bilgilerin Kuruma aktarılmasının, hakkı en az sınırlayan yumuşak bir araç olduğunu söylemek mümkün değildir. Çünkü söz konusu kural, çok geniş bir çerçeveyi kapsayarak, bireyin neredeyse her türlü özel nitelikli kişisel bilgilerinin toplanmasını ve aktarılmasını öngörmektedir. Nitekim ilgili mercilerin, gerekli bilgileri işletmecilerden talep etmelerine herhangi bir engel bulunmamakta olup, belirtilen amacın, kişisel verilerin işletmecilerde doğru ve güncel olarak saklanmasını temin etmeye yönelik idari tedbirlerle sağlanabileceği açık iken, kişisel verilerin ayrıca Kuruma gönderilmesinin karara bağlanması, gerekli ve ölçülü olmadığı gibi, davalı idarece, kişisel bilgilerin Kuruma aktarılmasını zorunlu kılan herhangi bir hukuki gerekçe de ortaya konulamamıştır.
Davalı idare tarafından; işletmecilerin abonelerden elde ettikleri verilerin doğru, güvenilir ve güncel tutulmasının gerektiği, bunun tüketicilerin ve kamu otoritelerinin menfaatleri açısından önemli olduğu, Kuruma, gerek Cumhuriyet Başsavcılıkları tarafından, gerekse diğer kamu kurum ve kuruluşları tarafından iletilen şikayetler kapsamında işletmeciler tarafından elde edilen bilgilerin halen güncel olmadığı, özellikle milli güvenliliği ilgilendiren terör, uyuşturucu ve dolandırıcılık gibi suçlarda abone bilgileri güncel olmayan telefon hatlarının kullanıldığı, gerçek suçlulara ulaşılmakta zorluk çekildiğinden bahisle, kurumdan caydırıcı önlemlerini alınmasının talep edildiği belirtilmekte ise de; pasaport no, anne kızlık soyadı, doğum yeri, mesleği, cinsiyeti, uyruğu gibi kişisel verilerin, herhangi bir merciin talebi olmaksızın, Bilgi Teknolojileri ve İletişim Kurumuna aktarılmasının, belirtilen amacı ne şekilde sağladığı anlaşılamamıştır.
Yine davalı idare tarafından; Kurul kararlarının, bilgilerin, güncel ve doğru olması amacına yönelik olarak kamu yararı taşıdığı iddia edilmekte ise de, bunun da, davalı idarece, alınacak olan, kişisel verilerin işletmecilerde doğru ve güncel olarak saklanmasını temin etmeye yönelik idari tedbirlerle ve arttırılacak denetimlerle sağlanabileceği açıktır.
Öte yandan, daha önce 6552 sayılı Kanun'un 126. maddesi ile değiştirilen 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlemesi ve Bu Yayınlar Yoluyla işlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi, Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi hallerinde ilgili mercilere verilir." düzenlemesi Anayasa Mahkemesi'nin 02/10/2014 tarih ve E:2014/149, K:2014/151 sayılı kararı ile; 5651 sayılı Kanun'un 4. maddesine eklenen 3. fıkrada yer alan; "İçerik sağlayıcı, Başkanlığın, bu Kanun ve diğer kanunlarla verilen görevlerinin ifası kapsamında talep ettiği bilgileri, talep edilen şekilde Başkanlığa teslim eder ve Başkanlıkça bildirilen tebirleri alır" düzenlemesi ise, Anayasa Mahkemesinin 08/12/2015 tarih ve E:2014/87, K:2015/112 sayılı kararı ile iptal edilmiştir.
Görüldüğü üzere, aboneye ait trafik bilgisinin, idarece, işletmecilerden temin edilmesine yönelik, dava konusu Kurul kararları ile benzer nitelikteki yasal düzenlemeler, Anayasa Mahkemesince iptal edilmiş, ancak davalı idarece benzer düzenleme, bu kez Kurul kararları ile yapılmıştır.
Bu durumda; adli, önleyici, istihbari amaçlarla Kuruma verilen görevlerin, süresinde, doğru ve eksiksiz yerine getirilmesi amacıyla yapılan, temel hak ve özgürlükleri doğrudan ilgilendiren düzenlemelerin, gerekli ve ölçülü olma ilkelerine uygun bulunmadığı gibi, üst hukuk normları ile değil de, Kuruma verilen genel yetki kapsamında, Kurul kararları ile düzenlenmesi mümkün olmadığından, dava konusu Kurul kararlarında hukuka uyarlık görülmemiştir.
Açıklanan nedenlerle, davacı ile müdahilin temyiz istemlerinin kabulü ile temyize konu kararın bozulması gerektiği oyuyla, karara katılmıyoruz.
KARŞI OY
XX-Dava, Bilgi Teknolojileri İletişim Kurulunun "Abone desen yapısı" konulu 24/10/2018 tarih ve 2018/DK-BSD/314 sayılı kararı ile bu kararda değişiklikler yapan 16/04/2019 tarih ve 2019/DK-BSD/109 sayılı, 25/04/2019 tarih ve 2019/DK-BSO/117 sayılı ve 08/05/2019 tarih ve 2019/DK-BSD/131 sayılı Kurul kararlarının iptali istemi ile açılmıştır.
Dava konusu Kurul kararlarında, 5271 sayılı Kanun'un, 5397 sayılı Kanun'un ve 5651 sayılı Kanun'un ilgili maddeleri ile 5809 sayılı Elekronik Haberleşme Kanunu'nun 4., 6. ve 12. maddeleri kanuni dayanak olarak gösterilmiş; ayrıca Elektronik Haberleşme Sektörüne İlişkin Yönetmelik'in 19. maddesi ve diğer ilgili mevzuat kapsamında hazırlandığı belirtilmiştir.
5809 sayılı Elektronik Haberleşme Kanunu'nun “İlkeler” başlıklı 4. maddesinde, elektronik haberleşme hizmetinin sunulmasında ve bu hususta yapılacak düzenlemelerde esas alınacak ilkeler sayılmış, "Kurumun görev ve yetkileri başlıklı 6. maddesinin (c) bendinde; abone, kullanıcı, tüketici ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak, (ı) bendinde; elektronik haberleşmeyle ilgili olarak, işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi almak ve gerekli kayıtları tutmak, Bakanlık tarafından elektronik haberleşme sektörüne yönelik strateji ve politikaların belirlenmesinde ihtiyaç duyulanları, talebi üzerine Bakanlığa iletmek, (y) bendinde; bu Kanunla verilen görevlere ilişkin yönetmelik, tebliğ ve diğer ikincil düzenlemeleri çıkarmak" Kurumun görev ve yetkileri arasında sayılmıştır.
Aynı Kanun'un "işletmelerin hak ve yükümlülükleri başlıklı 12. maddesinin 1. fıkrasında; işletmecinin, Kurum düzenlemeleri ve yetkilendirmesinde öngörülen şartlara uygun olarak yetkilendirildiği kapsamdaki elektronik haberleşme hizmetini sunma hakkına sahip olduğu, 2. fıkrasında, Kurumun, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek mevzuat doğrultusunda yükümlülükler getirebileceği belirtildikten sonra, (d) bendinde, kişisel veri ve gizliliğin korunması, (e) bendinde; tüketicinin korunması, (f) bendinde, Kuruma bilgi ve belge verilmesi, (l) bendinde; ilgili mevzuat uyarınca Kurum tarafından istenilen hizmetleri yerine getirmek, bu yükümlülükler arasında sayılmış, aynı maddenin 4. fıkrasında; işletmecilerin hak ve yükümlülükleri ile ilgili usul ve esasların Kurumca belirleneceği, 5. fıkrasında da; işletmecilerin elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarda getirilen düzenlemelerle ilgili taleplerin karşılanmasına yönelik teknik alt yapıyı, elektronik haberleşme sistemini hizmete sunmadan önce kurmakla yükümlü olduğu, halen elektronik haberleşme hizmeti sunan işletmecilerin de; söz konusu teknik alt yapıyı, Kurum tarafından belirlenecek süre içerisinde aynı şartlarla ve tüm harcamaları kendilerine ait olmak üzere kurmakla yükümlü oldukları düzenlenmiştir.
Bazı Kanunlarda Değişiklik Yapılmasına Dair 5397 sayılı Kanun ile, 2559 sayılı Polis Vazife ve Selâhiyet Kanunu'nda, 2803 sayılı Jandarma Teşkilat Görev ve Yetkileri Kanunu'nda ve 2937 sayılı Devlet İstihbarat Hizmetleri ve Milli İstihbarat Teşkilatı Kanunu'nda değişiklik ve eklemeler yapılarak, bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması vb... gerekçelerle, hakim kararı veya gecikmesinde sakınca bulunan hâllerde, Emniyet Müdürü veya İstihbarat Daire Başkanı, Jandarma Genel Komutanı veya İstihbarat Başkanı, Mit Müsteşarı veya Yardımcısının yazılı emri ile, telekomünikasyon yoluyla yapılan iletişimin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun'un "Amaç ve Kapsam" başlıklı 1. maddesinde; "Bu Kanunun amaç ve kapsamı; içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve toplu kullanım sağlayıcıların yükümlülük ve sorumlulukları ile internet ortamında işlenen belirli suçlarla içerik, yer ve erişim sağlayıcıları üzerinden mücadeleye ilişkin esas ve usûlleri düzenlemektir" kuralına yer verilmiş, Kanun'un "Bilgilendirme yükümlülüğü" başlıklı 3. maddesinin 4. fıkrasında yer alan; "Trafik bilgisi Telekomünikasyon İletişim Başkanlığı tarafından ilgili işletmecilerden temin edilir. Hakim tarafından karar verilmesi halinde ilgili mercilere verilir" düzenlemesi, Anayasa Mahkemesi'nin 02/10/2014 günlü ve E:2014/149, K:2014/151 sayılı kararı ile iptal edilmiştir.
5271 sayılı Ceza Muhakemesi Kanunu'nun 135 ve devamı maddelerinde, telekomünikasyon yoluyla yapılan iletişiminin denetlenmesine ilişkin düzenlemelere yer verilmiş, iletişiminin telekomünikasyon yoluyla hakim; gecikmesinde sakınca bulunan hallerde de Cumhuriyet Savcısı kararı ile dinlenebileceği, kayda alınabileceği, sinyal kayıtlarının değerlendirilebileceği düzenlenmiştir.
Nihayet 5809 sayılı Kanun'a dayanılarak hazırlanan Elektronik Haberleşme Sektörüne İlişkin Yetkilendirme Yönetmeliği'nin "İşletmecilerin hak ve yükümlülükleri" başlıklı 19. maddesinin 1. fıkrasının (a) bendinde; işletmecinin, Kurum tarafından yetkilendirmesi kapsamında istenen veya düzenli olarak gönderilmesi talep edilen bilgi, belge ve veriyi doğru ve eksiksiz olarak Kurumca istenen süre içerisinde vermekle yükümlü olduğu, (f) bendinde; erişim sağlayıcı olan veya telefon hizmeti sunan işletmecinin, taraflara ilişkin IP adresi, port aralığı, verilen hizmetin başlama ve bitiş zamanı, yararlanılan hizmetin türü, aktarılan veri miktarı, kullanıcı sayısı ve abone kimlik bilgileri ile altyapısı üzerinden gerçekleşen görüşmelere ait trafik bilgilerini iki yıl süreyle; kullanıcı bilgilerini ise ilgili mevzuatta belirtilen zamanaşımı süresi boyunca muhafaza etmekle yükümlü olduğu, aynı maddenin 2. fıkrasında; işletmelerin ayrıca,... ç) kişisel verilerin gizliliğinin korunmasına ilişkin düzenlemelere uymakla yükümlü olduğu kurala bağlanmıştır.
Yukarıda yer verilen mevzuat hükümlerine istinaden hazırlandığı belirtilen dava konusu 24/10/2018 tarihli ve 2018/DK-BSD/314 sayılı Kurul Kararında özet olarak; işletmeciler tarafından Kuruma gönderilen abonelik bilgilerinin, Kurul kararının ekinde yer alan "Teknik detay dökümanı"na uygun olarak oluşturularak, doğru, eksiksiz, zamanında ve güncel olarak oluşturulup gönderilmesi, bunun için 02/07/2019 tarihine kadar süre verilmesi, kimlik numarası doğrulamayan aboneler için çeşitli yöntemlerle abonelerin bilgilendirilmesi, kimliğin temin edilememesi/doğrulanamaması halinde, 02/07/2019 tarihine kadar mesaj gönderimi ve veri trafiğinin kısıtlanması, 01/10/2019 tarihine kadar hattın kapatılması ve bunu takip eden asgari bir yıl boyunca yeniden tahsise açılmaması vs... düzenlenmiş, Kararın eki "Abone Teknik Detay Dökümanı"nda ise; abone T.C kimlik no, abone pasaport no, abone unvan, abone vergi no, abone mersis no, abone cinsiyet, abone uyruk, abone anne-baba adı, anne kızlık soyadı, doğum yeri, doğum tarihi, abone meslek, abone tarife, abone kimlik cilt, kütük, sayfa no, vergi no, unvan, abone adres, il, ilçe, kapı no, e-mail adresi ve bunun gibi bölümlerin işletmecinin yetkilendirilmesi kapsamında doldurulması gerektiği belirtilmiştir.
Dava konusu diğer Kurul kararları ile de, 314 sayılı Kurul kararında, değişiklikler ve bazı eklemeler yapılmıştır.
Anayasa’nın 13. maddesinde, temel hak ve hürriyetlerin, özlerine dokunulmaksızın yalnızca Anayasa’nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabileceği, bu sınırlamaların Anayasa’nın sözüne ve ruhuna, demokratik toplum düzeninin ve lâik Cumhuriyetin gereklerine ve ölçülülük ilkesine aykırı olamayacağı belirtilmiştir.
Anayasa'nın 20. maddesinin ilk fıkrasında, herkesin özel hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile hayatının gizliliğine dokunulamayacağı belirtilmiş; son fıkrasında da "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." denilerek kişisel verilerin korunması, özel hayatın gizliliğinin korunması kapsamında güvenceye kavuşturulmuştur.
Anayasa’nın 22. maddesinde öngörülen haberleşme özgürlüğü, kişinin kesintiye uğramadan ve sansür edilmeden başkalarıyla iletişim kurma hakkıdır. Bu özgürlük, çok daha geniş bir alanı kaplayan “özel hayatın” bir yönünü oluşturur. Dolayısıyla “haberleşmenin gizliliği” kavramı, özel hayatın gizliliği kavramı içinde yer alır.
Özel hayatın korunması her şeyden önce özel hayatın gizliliğinin korunması, başkalarının gözleri önüne serilmemesi demektir. Kişinin özel hayatında yaşananların yalnız kendisi veya kendisinin bilmesini istediği kimseler tarafından bilinmesini isteme hakkı, kişinin temel haklarından biridir ve bu niteliği nedeniyle insan haklarına ilişkin beyanname ve sözleşmelerde yer almış, tüm demokratik ülkelerin mevzuatlarında açıkça belirlenen istisnalar dışında devlete, topluma ve diğer kişilere karşı korunmuştur.
Bilişim teknolojilerindeki gelişmeler sonucunda geleneksel yöntemlerle mümkün olmayan çok sayıda verinin toplanabilmesi, daha önce birbirinden ilişkisiz şekilde tutulan pek çok verinin merkezî olarak bir araya getirilebilmesi, verilerin veri eşleştirme ve veri madenciliği gibi ileri teknolojik imkânlarla analize tabi tutulmak suretiyle veriden yeni veriler üretme kapasitesinin artması, verilere erişim ve veri transferinin kolaylaşması, kişisel verilerin ticari işletmeler kıymetli bir varlık niteliği kazanması neticesinde özel sektör unsurlarınca oluşturulan risklerin daha yaygın ve önemli boyutlara ulaşması, terör ve suç örgütlerinin kişisel verileri ele geçirme yönündeki faaliyetlerinin artması gibi etkenler günümüzde kişisel verilerin en üst seviyede korunmasını zorunlu kılmaktadır.
Belirtilen sebeplerle kişisel verilerin en üst seviyede korunması zorunlu olmakla birlikte bu hak mutlak ve sınırsız olmayıp Anayasa'nın 13, 20 ve 22. maddeleri gereğince belirli koşullarda, demokratik toplum düzeninin gereklerine ve ölçülülük ilkesine aykırı olmamak üzere kanunla sınırlanabilir.
Kişisel veri kavramı, belirli veya kimliği belirlenebilir olmak şartıyla, kişiye ilişkin bütün bilgileri ifade eder. Bu bağlamda, adı-soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil, telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, görüntü ve ses kayıtları, IP adresi, e-posta adresi, aile bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler kişisel veri kapsamındadır. Buna göre dava konusu Kurul kararları ile Kuruma aktarılması istenilen bilgilerin, kişisel veri niteliğinde olduğunda kuşku bulunmamaktadır.
Uyuşmazlığın çözüme kavuşturulması açısından öncelikle, Kurum tarafından, kişisel veri olduğunda kuşku bulunmayan tüm abonelere ait bilgileri işletmecilerden istemesi ve bu bilgileri alması konusunda kanunen yetkisi bulunup bulunmadığının belirlenmesi gerekmektedir.
Anayasa Mahkemesi, 02/06/2011 tarih ve E:2008/115, K:2011/86 sayılı kararında, 5809 sayılı Kanun'un; Bilgi Teknolojileri ve İletişim Kurumunun işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden elektronik haberleşmeyle ilgili olarak, ihtiyaç duyacağı her türlü bilgi ve belgeyi alabilmesini öngören 6. maddesinin (1) numaralı fıkrasının (ı) bendini şu gerekçeyle Anayasa'ya uygun bulmuştur.
“İptali istenen ibare ile Kuruma verilen 'işletmeciler, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden ihtiyaç duyacağı her türlü bilgi ve belgeyi alma yetkisi'nin, Kurumun kuruluş amacı ve faaliyet alanında yer alan elektronik haberleşme sektörü ile ilgili şikâyetleri değerlendirme ve denetim işlevlerini gerektiği gibi yerine getirebilmesi amacıyla sınırlı olarak kullanılabileceği, ayrıca Kurumun abone, kullanıcı, tüketici ve son kullanıcıların kişisel bilgilerinin gizliliğini ve işletmecilerin ticari sırlarını korumakla görevli olduğu dikkate alındığında, iptali istenen ibare ile Kuruma gerçek ya da tüzel kişilerden özel hayatın gizliliğini ya da haberleşme özgürlüğünü ihlal eden bilgi ve belgeleri alma konusunda yetki verildiği söylenemez. Bu nedenle iptali istenen kuralın özel hayatın gizliliği hakkını ve haberleşme özgürlüğünü sınırlayan bir yönü bulunmamaktadır.”
Görüldüğü üzere, elektronik haberleşme sektörü ile ilgili şikâyetleri değerlendirme ve denetim işlevlerini gerektiği gibi yerine getirebilmesi amacıyla sınırlı olarak kullanılmak üzere Kuruma, kamu kurum ve kuruluşları ile gerçek ve tüzel kişilerden elektronik haberleşmeyle ilgili olarak, ihtiyaç duyacağı her türlü bilgi ve belgeyi alabilme yetkisi verilmiştir. Kurumun ancak sınırlı olarak kullanabileceği bu yetkiyi, tüm abonelere ait kişisel verileri kapsayacak şekilde sınırsız olarak kullanmasına, özel hayatın gizliliğini ve haberleşme özgürlüğünü ihlal edeceği için izin verilmemiştir.
Bununla birlikte, 5809 sayılı Kanun'un 12. maddesinin (2) numaralı fıkrasının (d) bendi ile abonelere ait kişisel verilerin ve gizliliğinin korunması görevi işletmecilere verilmiş olup, bu noktada Kuruma ise, işletmeciler tarafından abonelere ait kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri ve denetlemeleri yapmak görevi verilmiştir. Dolayısıyla işletmeciler, abonelik sözleşmelerinin kurulabilmesi amacıyla gerekli olan kişisel bilgileri ve belgeleri abonelerden isteyebileceklerdir. Kanun koyucu, abonelere ait kişisel bilgileri ve belgeleri koruma görevini de işletmecilere vermiştir. İşletmecilerin, korumakla yükümlü olduğu abonelerine ait kişisel verileri, Kurum ile paylaşabileceklerine dair kanuni bir düzenleme bulunmamaktadır. Kurum, yalnızca, işletmecilerde bulunan kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik gereken tedbirleri almak adına, işletmecilere yükümlülükler getirmek ve bunun için düzenlemeler yapmakla mükelleftir. Hâl böyle iken, Kurum'un, işletmecilerden abonelerine ait kişisel verilerin kendisiyle paylaşılması yönünde talepte bulunmasının ya da işletmecilere bu noktada bir yükümlülük getirmesinin hiç bir kanuni dayanağı bulunmamaktadır. Zira anılan Kanun son derece açık olup, abonelerine ait kişisel verileri ve gizliliğini koruma görevi işletmecilere verilmiştir. Kurumun, işletmeciler tarafından abonelere ait kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin düzenlemeleri yaparken, ikincil mevzuat ile tüm abonelere ait kişisel verilerin Kurum ile paylaşılması yönünde yaptığı düzenleme ile kanunun belirlediği sınırı aştığı ve kanuna dayanmayan sınırsız bir yetkiyi ikincil mevzuat ile elde etmeye çalışarak yasama organına ait yetkiyi gasbettiği anlaşılmaktadır.
Belirtmek gerekirse, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun "Genel İlkeler" başlıklı 4. maddesinin 1. fıkrasında; kişisel verilerin ancak bu Kanunda ve diğer Kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği, 2. fıkrasında; kişisel verilerin işlenmesinde, a) Hukuka ve dürüstlük kurallarına uygun olma,... c) Belirli, açık ve meşru amaçlar için işlenme, ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.... ilkelerine uyulmasının zorunlu olduğu düzenlenmiş, "Kişisel verilerin işlenme şartları" başlıklı 5. maddesinin 1. fıkrasında; kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği, 2. fıkrasında; maddede belirtilen şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu, bunların; a) Kanunlarda açıkça öngörülmesi, b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, d) İlgili kişinin kendisi tarafından alenileştirilmiş olması, e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması olduğu, "Kişisel verilerin aktarılması" başlıklı 8. maddesinin 1. fıkrasında; kişisel verilerin, ilgili kişinin açık rızası olmaksızın aktarılamayacağı, 2. fıkrasında; kişisel verilerin; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabileceği, 3. fıkrasında; kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı olduğu düzenlemelerine yer verilmiştir.
Bu arada, 5809 sayılı Kanun'un 12. maddesinin 5. fıkrası ile elektronik haberleşme sistemleri üzerinden milli güvenlikle ve 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle ilgili taleplerin karşılanması için teknik alt yapıyı kurma görevi sektördeki işletmecilere verilmiş olup, atıf yapılan kanunlar ve ilgili diğer kanunlarla bazı suçların işlenmesinin önlenmesi, önleyici ve koruyucu tedbirlerin alınması, Devletin güvenliğinin sağlanması gerekçeleri ile, hakim kararı ile veya gecikmesinde sakınca olan hallerde ilgili kurum amirinin yazılı emri ile iletişiminin tespit edilebileceği, dinlenebileceği, sinyal bilgilerinin değerlendirilebileceği veya kaydedilebileceği kurala bağlanmıştır.
Dava konusu 314 nolu Kurul Kararının "Açıklamalar" bölümünde; 5397 sayılı Kanun kapsamındaki önleyici - istihbari amaçlı ve 5271 sayılı Ceza Muhakemesi Kanunu'nun 135. maddesi kapsamındaki adli amaçlı iletişimin tespit edilmesi, dinlenmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri, süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmekle yükümlü olan Telekomünikasyon İletişim Başkanlığının kapatıldığı ve yetki ve sorumluluğundaki görevlerin Bilgi Teknolojileri ve İletişim Kurumuna devredildiği, bu bağlamda işletmecilerden abone rehber dosyaları alındığı, işletmecilerin dosyaları iletebilmesi için gerekli olan sunucu IP adresinin, FTP kullanıcı ve şifresinin, abone verilerinin iletileceği dizin bilgilerinin işletmecilere, Bilgi Teknolojileri Kurumu tarafından bildirileceği belirtilmiş ve kişisel verilerin Kuruma aktarılması bu kapsamda değerlendirilmiştir.
Görüldüğü üzere, söz konusu Karar ile; abonelere ilişkin kişisel bilgilerin, Bilgi Teknolojileri ve İletişim Kurumu tarafından, ilgili işletmeciler aracılığı ile, ortada herhangi bir hukuki inceleme ya da süreç bulunmaksızın temin edilmesi düzenlenmektedir. Başka bir deyişle, anılan Kurul kararları; suçların tespiti, soruşturulması ve kovuşturulmasında kullanılmak üzere, gerçek ve tüzel kişilere ilişkin kişisel bilgilerin, davalı idare tarafından, herhangi bir hukuki inceleme veya talep bulunmaksızın, ilgili işletmeciler aracılığı ile temin edilmesine olanak sağlamaktadır. Milli güvenlikle, 5397 ve 5651 sayılı Kanunlar ve ilgili diğer kanunlarla getirilen düzenlemelerle Kurum'a sınırlı olarak verilen yetki, hakkında herhangi bir hukuki süreç bulunmayan diğer tüm abonelere ait kişisel verileri kapsayacak şekilde sınırsız bir şekilde genişletilmiştir.
Bu itibarla, davalı Kuruma adli, önleyici, istihbari amaçlarla ve belli bir hukuki sürece bağlı olmak kaydıyla “sınırlı” olarak verilen görevlerin, abone desen yapısı adı kullanılarak, hakkında adli, önleyici, istihbari herhangi bir hukuki süreç bulunmayan tüm aboneleri kapsayacak şekilde “sınırsız bir yetkiye” dönüştürülmek suretiyle ikincil mevzuat ile yapılan düzenlemelerin, kanuni dayanaktan yoksun olduğu, temel hak ve özgürlükleri doğrudan ilgilendiren bu düzenlemelerin, üst hukuk normları ile değil de, Kuruma verilen genel yetki kapsamında, Kurul kararları ile tesisinin hukuken mümkün bulunmadığı sonucuna varıldığından, dava konusu Kurul kararlarında hukuka uygunluk bulunmamaktadır.
Açıklanan nedenlerle, davacı ile müdahilin temyiz istemlerinin kabulü ile temyize konu kararın bozulması gerektiği oyuyla, karara katılmıyorum.