Danıştay 13. Daire Başkanlığı

Danıştay 13. Daire Başkanlığı         2021/1418 E.  ,  2023/2559 K. "İçtihat Metni" T.C. D A N I Ş T A Y

Av. …

04/12/2020 tarih ve 31324 sayılı Resmî Gazete'de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmeliğin 13. maddesinin 4. fıkrası ve Geçici 1. maddesinin 2. fıkrasının iptali istenilmektedir. DAVACININ İDDİALARI : 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun bütün sektörleri kapsayan genel nitelikte bir kanun olduğu, bu kapsamda elektronik haberleşme sektöründe faaliyet gösteren işletmecilerin de 6698 sayılı Kanun kapsamında yükümlülüklerinin bulunduğu, Yönetmeliğin "Abonenin/kullanıcının diğer hakları" başlıklı 13. maddesinin 4. fıkrası yönünden; abonelerin mevcut iradesinin hiçe sayıldığı, kanunî düzenlemelerin sınırının aşıldığı, davalı idarenin abonenin rızasını geri alma yetkisinin bulunmadığı, rızanın geri alınmasının abone tarafından gerçekleştirilmesinin veya buna ilişkin kanunî bir düzenlemenin bulunmasının gerektiği,aboneliği sonlanan tüketicilerin kendileri için avantajlı olan tekliflerden haberdar olma hakkından mahrum kalacakları; Yönetmeliğin Geçici 1. maddesinin 2. fıkrası yönünden; hukuka uygun olarak alınmış rızalara istinaden gerçekleştirilen veri işleme faaliyetinin, kullanıcıların talepleri olmamasına rağmen durdurulmasının kanunî dayanağının bulunmadığı, abonelerin önceden vermiş oldukları rızalarını her zaman geri alma haklarının bulunduğu, 6698 sayılı Kanun'un geçiş hükümlerinin dikkate alınmadığı, aboneliğin sona ermesi ile açık rızaların geri alınmış olmasının, sözleşme ilişkisinden kaynaklanan hakların kısıtlanmasına sebep olacağı belirtilerek dava konusu düzenlemelerin hukuka aykırı olduğu ileri sürülmüştür. DAVALININ SAVUNMASI :

Dava konusu Yönetmeliğinin tek dayanak maddesinin 5809 sayılı Kanun'un 51. maddesi olmadığı, Kurumun görev ve yetkilerinin söz konusu maddede belirtilenler ile sınırlı olmadığı, Anayasa Mahkemesi'nin 09/04/2014 tarih ve E:2013/122, K:2014/74 sayılı kararı sonrasında 5809 sayılı Kanun'un 51. maddesinde yapılan düzenleme ile elektronik haberleşme sektöründe kişisel verilen işlenmesi ve gizliliğinin korunmasına ilişkin temel kuralların belirlendiği, konuya ilişkin genel çerçevenin çizildiği, dava konusu Yönetmeliğin Kanunu aşar nitelikte düzenlemeler içermediği, ayrıca, 6698 sayılı Kanun dava konusu Yönetmeliğin dayanakları arasında yer almamış olmasına rağmen, Yönetmelik hazırlanırken anılan Kanun'un 22. maddesi uyarınca Kişisel Verileri Koruma Kurulu'ndan görüş alındığı; Yönetmeliğin "Abonenin/kullanıcının diğer hakları" başlıklı 13. maddesinin 4. fıkrası yönünden; dava konusu Yönetmeliğin dayanağının 5809 sayılı Kanun'un ilgili maddeleri olduğu, Yönetmeliğin hazırlık sürecinde sektörün ihtiyaçları, uluslararası düzenlemeler ve teknolojide yaşanan gelişmelerin göz önünde bulundurulduğu, abonelik ilişkisinin sonlandığını ve bu anlamda işletmeci ile aktif herhangi bir hukukî bağı kalmadığını düşünen tüketicilerin doğal olarak, işletmecilerin kişisel verilerini işleme faaliyetine son vereceği beklentisine gireceği, abonelik sonrasında dâhi bu rızaların geçerli olduğunun kabulünün pasif abonelerin/kullanıcıların verilerinin işlenmeye devam etmesine ve ciddi düzeyde tüketici mağduriyetine sebep olacağı, dava konusu Yönetmeliğinin dayanakları arasında 6698 sayılı Kanun bulunmamakla birlikte, Kişisel Verileri Koruma Kurulu'ndan görüş alınmak suretiyle söz konusu Kanun ile uyumun sağlandığı; Yönetmeliğin Geçici 1. maddesinin 2. fıkrası yönünden; Yönetmeliğin yürürlük tarihinden önce rızası alınarak aboneliği sonlanmasına rağmen açık rızaları olmaksızın abonelerin kişisel verilerinin pazarlama gibi açık rıza gerektiren amaçlarla Yönetmeliğin yürürlük tarihi sonrasında da işlenmeye devam dilmesinin önüne geçilmesinin amaçlandığı, dava konusu Yönetmeliğin dayanağının 5809 sayılı Kanun'un ilgili maddeleri olduğu, dava konusu Yönetmeliğin dayanakları arasında 6698 sayılı Kanun bulunmamakla birlikte, Kişisel Verileri Koruma Kurulu'ndan görüş alınmak suretiyle söz konusu Kanun ile uyumun sağlandığı belirtilerek dava konusu düzenlemelerde hukuka aykırılık bulunmadığı savunulmaktadır. DANIŞTAY TETKİK HÂKİMİ …'İN DÜŞÜNCESİ : Davanın reddi gerektiği düşünülmektedir. DANIŞTAY SAVCISI …'İN DÜŞÜNCESİ : Dava; 04/12/2020 tarih ve 31324 sayılı Resmî Gazete'de yayımlanan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmeliğin 13. maddesinin 4. fıkrası ve Geçici 1. maddesinin 2. fıkrasının iptali istemiyle açılmıştır. 5809 sayılı "Elektronik Haberleşme Kanunu"nun "Amaç" başlıklı 1. maddesinde; "Bu Kanunun amacı; elektronik haberleşme sektöründe düzenleme ve denetleme yoluyla etkin rekabetin tesisi, tüketici haklarının gözetilmesi, ülke genelinde hizmetlerin yaygınlaştırılması, kaynakların etkin ve verimli kullanılması, haberleşme alt yapı, şebeke ve hizmet alanında teknolojik gelişimin ve yeni yatırımların teşvik edilmesi ve bunlara ilişkin usul ve esasların belirlenmesidir. " hükmüne yer verilmiş; "İlkeler" başlıklı 4. maddenin 1. fıkrasında ise; "Her türlü elektronik haberleşme cihaz, sistem ve şebekelerinin kurulması ve işletilmesine müsaade edilmesi, gerekli frekans, numara, uydu pozisyonu ve benzeri kaynak tahsislerinin yapılması ile bunların düzenlenmesi Devletin yetki ve sorumluluğu altındadır. İlgili merciler tarafından elektronik haberleşme hizmetinin sunulmasında ve bu hususta yapılacak düzenlemelerde aşağıdaki ilkeler göz önüne alınır: ....

b)Tüketici hak ve menfaatlerinin gözetilmesi. ...

l)Bilgi güvenliği ve haberleşme gizliliğinin gözetilmesi. " hükmü yer almaktadır. "İşletmecilerin hak ve yükümlülükleri" başlıklı 12. maddesinin ikinci fıkrasında; "Kurum, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek aşağıdaki hususlar başta olmak üzere, mevzuat doğrultusunda yükümlülükler getirebilir: ...

d)Kişisel veri ve gizliliğin korunması.

e)Tüketicinin korunması..." hükmüne yer verilirken, "Şeffaflığın sağlanması ve bilgilendirme" başlıklı 49. maddesinde; "(1) Kurum, son kullanıcı ve tüketicilerin azami faydayı elde edebilmeleri ve hizmetlerin şeffaflık ilkesine uygun olarak sunulabilmesi için hizmet seçenekleri, hizmet kalitesi, tarifeler ile tarife paketlerinin yayımlanmasına ve benzer hususlarda abonelerin bilgilendirilmesine yönelik olarak işletmecilere yükümlülükler getirebilir. (2) İşletmeciler, özellikle hizmetler arasında seçim yapılırken ve abonelik sözleşmesi kurulurken tüketicilerin karar vermelerinde etkili olabilecek hususlar ile dürüstlük kuralı gereğince bilgilendirilmelerinin gerekli olduğu her durumda talep olmaksızın tüketicileri bilgilendirir. (3) Kurum bu maddenin uygulanmasına ilişkin usul ve esasları belirler." hükmüne; "Kişisel verilerin işlenmesi ve gizliliğin korunması" başlıklı 51. maddesinde ise; "(1) Kişisel verilerin işlenmesinde; hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlar için işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkelerine uyulur. (2) Elektronik haberleşmenin ve ilgili trafik verisinin gizliliği esas olup, ilgili mevzuatın ve yargı kararlarının öngördüğü durumlar haricinde, haberleşmeye taraf olanların tamamının rızası olmaksızın haberleşmenin dinlenmesi, kaydedilmesi, saklanması, kesilmesi ve takip edilmesi yasaktır. 16 18/6/2020 tarihli ve 7247 sayılı Kanunun 10 uncu maddesiyle, bu fıkranın üçüncü cümlesinde yer alan “yazılı olarak” ibaresi “taleplerini” şeklinde değiştirilmiştir. (3) Elektronik haberleşme şebekeleri, haberleşmenin sağlanması dışında abonelerin/kullanıcıların terminal cihazlarında bilgi saklamak veya saklanan bilgilere erişim sağlamak amacıyla işletmeciler tarafından ancak ilgili abonelerin/kullanıcıların verilerin işlenmesi hakkında açık ve kapsamlı olarak bilgilendirilmeleri ve açık rızalarının alınması kaydıyla kullanılabilir. (4) İşletmeciler şebekelerinin, abonelerine/kullanıcılarına ait kişisel verilerin ve sundukları hizmetlerin güvenliğini sağlamak amacıyla uygun teknik ve idari tedbirleri alır. (5) Bu Kanunun 49 uncu maddesi kapsamında veya kamu yararının sağlanması amacıyla Kurum tarafından işletmecilere getirilen yükümlülüklerin yerine getirilebilmesi için kişisel veriler işlenebilir. (6) Kişisel verilerin yurt dışına aktarılmasına ilişkin ilgili mevzuat hükümleri saklı kalmak kaydıyla, trafik ve konum verileri ancak ilgili kişilerin açık rızaları alınmak koşuluyla yurt dışına aktarılabilir. (7) Trafik verileri; trafiğin yönetimi, arabağlantı, faturalama, usulsüzlük/dolandırıcılık tespitleri ve benzeri işlemleri gerçekleştirmek veya tüketici şikâyetleri ile arabağlantı ve faturalama anlaşmazlıkları başta olmak üzere, uzlaşmazlıkların çözümü amacıyla sadece işletmeci tarafından yetkilendirilen kişilerle sınırlı kalmak kaydıyla işlenir ve bu uzlaşmazlıkların çözüm süreci tamamlanıncaya kadar gizliliği ve bütünlüğü sağlanarak saklanır. Katma değerli elektronik haberleşme hizmetlerinin sunulması ya da elektronik haberleşme hizmetlerinin pazarlanması amacıyla ihtiyaç duyulan trafik verileri ile konum verileri anonim hâle getirilerek veya ilgili abonelerin/kullanıcıların açık rızalarının alınması ve sadece işletmeci tarafından yetkilendirilen kişilerle sınırlı kalmak kaydıyla, belirtilen faaliyetlerin gerektirdiği ölçü ve sürede işlenebilir. (8) İşletmeciler konum verilerinin işlenmesinde abonelere/kullanıcılara bu verilerin işlenmesini reddetme imkânı sağlar. İlgili mevzuatın ve yargı kararlarının öngördüğü durumlar haricinde ancak acil yardım çağrıları ile 29/5/2009 tarihli ve 5902 sayılı Afet ve Acil Durum Yönetimi Başkanlığının Teşkilat ve Görevleri Hakkında Kanunda tanımlanan afet ve acil durum hâllerinde abonelerin/kullanıcıların açık rızası aranmaksızın konum verileri ve ilgili kişilerin kimlik bilgileri işletmeci tarafından yetkilendirilen kişilerle sınırlı olmak kaydıyla işlenebilir. (9) Abone/kullanıcı şikâyetlerinin incelenmesi ve denetim faaliyetleri kapsamında trafik ve konum verileri ile kişisel veriler, belirtilen faaliyetlerle sınırlı olmak kaydıyla işlenebilir. (10) Bu Kanun kapsamında sunulan hizmetlere ilişkin olarak;

a)Soruşturma, inceleme, denetleme veya uzlaşmazlığa konu olan kişisel veriler ilgili süreç tamamlanıncaya kadar,

b)Kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtları iki yıl,

c)Kişisel verilerin işlenmesine yönelik abonelerin/kullanıcıların rızalarını gösteren kayıtlar asgari olarak abonelik süresince saklanır. Veri kategorileri ile haberleşmenin yapıldığı tarihten itibaren bir yıldan az ve iki yıldan fazla olmamak üzere verilerin saklanma süreleri yönetmelikle belirlenir. (11) Tahsilata ilişkin riskin yönetilmesi ve kötü niyetli kullanımların önlenmesi amacıyla abonelerin elektronik haberleşme hizmetlerine ve elektronik kimlik bilgisini haiz cihazlara yönelik tarafların kendi sistemlerinde oluşan fatura tutarı ve ödeme bilgileri ile sahtecilik, dolandırıcılık riski içeren şüpheli veya zarar doğurucu vakalara ve işlem hareketlerine ilişkin kayıtlar, işletmeciler ve Kurumun MCKS’si arasında paylaşılabilir veya işlenebilir. (12) Bu Kanun kapsamında kişisel verilerin gizliliğinin, güvenliğinin ve amacı doğrultusunda kullanılmasının temininden işletmeciler sorumludur. (13) Bu maddenin uygulanmasına ilişkin usul ve esaslar Kurum tarafından belirlenir." hükümlerine yer verilmiştir. 5809 sayılı Kanun'un 4, 6, 12, 49, 51 ve 60 ıncı maddelerine dayanılarak hazırlanan ve 04/12/2020 tarihli, 31324 sayılı Resmi Gazete'de yayımlanan "Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik"in dava konusu edilen, "Abonenin / Kullanıcının Diğer Hakları" başlıklı 13. maddesinin 4. fıkrasında; " Aboneliğin sonlanması halinde, sona erme tarihi itibarıyla, abonenin aksi talebi olmaması halinde daha önce verilen tüm açık rızalar geri alınmış sayılır." kuralı ile Geçici 1. maddesinin 2. fıkrasında; " Bu Yönetmeliğin yürürlüğe girdiği tarihten önce rızaları alınarak verileri işlenen tarafların abonelikleri sona ermesine rağmen açık rızaları olmaksızın verilerinin işlenmeye devam etmesi durumunda bu işlem, ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla, bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulur." kuralı yer almaktadır.

Davacı şirket tarafından; iptali istenilen bu yönetmelik maddelerinde düzenlenen, aboneliğin sonlanması halinde açık rızanın kendiliğinden geri alınmış sayılacağının düzenlenmiş olmasının kullanıcının kişisel verileri üzerindeki haklarına müdahale niteliğinde olduğu, aboneliklerin sona ermesine rağmen açık rızaları olmaksızın verilerinin işlenmeye devam etmesi durumunda bu işlem, ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla, bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulacağı yolundaki düzenlemenin ise 6698 sayılı Kanunun geçiş hükümleri ve mevcut yönetmelik hükümleri dikkate alınmadan getirilmiş olduğundan açıkça hukuka aykırı olduğu ileri sürülmektedir. 5809 sayılı Kanun ile davalı Kuruma tüketicilerin Anayasa ile tanınan temel hak ve özgürlüklerinin korunmasına ilişkin düzenleyici işlem yapma ve sektörde yer alan aktörleri denetleme görev ve yetkisi verildiği, davalı idareye verilen yetkinin kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul ve esasları belirlemek olduğu, uyuşmazlık konusu Yönetmelik hükümleri incelendiğinde, ana düzenlemenin 5809 sayılı Kanun ile yapıldığı ve kuralların konulduğu, teknik ayrıntıların ise alt düzenleyici işlem statüsündeki Yönetmelik ile kurala bağlandığı açıktır. Kanun ile verilmiş yetkinin yine Kanun'un verdiği görev uyarınca kamu yararı doğrultusunda kullanılması suretiyle getirilen kuralların sözleşme hürriyetine müdahale olarak değerlendirilmesi de mümkün görülmemiştir.

Diğer taraftan; 6698 sayılı Kanun'un kişisel verilerin korunması bakımından genel kanun niteliğinde olduğu, ancak elektronik haberleşme sektörünün kendine has özellikleri dikkate alınarak özel düzenleme yapma ihtiyacından hareketle 5809 sayılı Kanun'da yer verilen hükümlerin özel kanun hükmü niteliğinde olduğu, her iki kanun hükümleri arasında bir çelişkinin bulunmadığı, tam tersine tamamlayıcı mahiyette olduğu, bu nedenle idarenin bütünlüğü ve hukuki güvenlik ilkelerine aykırılık taşımadığı açıktır.

Elektronik haberleşme sektöründe faaliyet gösteren işletmeciler tarafından, elde edilebilecek veri türlerinin hangileri olduğu, Yönetmeliğin "Tanımlar ve kısaltmalar" başlıklı 4. maddesinini 1. fıkrasının (l) bendinde, "kişisel veri, trafik verisi veya konum verisini" ifadesi ile sıralamış, ayrıca bunların tanımları da yapılmış, Kanun'un 51. maddesindeki hükümler ile de, işletmecilerin sektördeki faaliyetleri gereği elde ettikleri ve işleme tabi tutulan verilerin, öncelikle yasal mevzuata ve dürüstlük kuralına, amaca uygun bir şekilde işlenmesi, bu amaç doğrultusunda gerekli olan süre kadar muhafaza edilmesi, amacın sona ermesi halinde ise yok edilmesi gerektiği ifade edilmiş, bu kapsamda istisnai bir faaliyet olan, kişisel verilerin saklanmasına ilişkin düzenlemelere yer verilmiştir.

T. C. Anayasa'sının "Özel Hayatın Gizliliği" başlıklı 20.

maddesinin 3. fıkrasında; " (Ek fıkra: 7/5/2010-5982/2 md.) Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir." amir hükmü uyarınca kişisel verilerin işlenmesi için kişinin açık rızasının bulunması veya işlemenin kanunlarda öngörülmüş olması gerekmektedir.

Dava konusu yapılan Yönetmeliğin iptali talep edilen hükümleri incelendiğinde, Aboneliğin sonlanması halinde, sona erme tarihi itibarıyla, abonenin aksi talebi olmaması halinde daha önce verilen tüm açık rızalar geri alınmış sayılacağı yolundaki düzenleme ve bu Yönetmeliğin yürürlüğe girdiği tarihten önce rızaları alınarak verileri işlenen tarafların abonelikleri sona ermesine rağmen açık rızaları olmaksızın verilerinin işlenmeye devam etmesi durumunda bu işlem, ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla, bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulacağı yolundaki düzenlemenin, Anayasa, Elektronik Haberleşme Kanunu ve 6698 sayılı Kanuna uygun olduğu görülmektedir. Zira; aboneliğin (sözleşmenin sona ermesi) ilgili kişinin bozucu yenilik doğuran irade beyanı olup borçlar hukuku alanında hukuki ilişkiyi sona erdiren fesih yollarından biri olduğu, böylece işletmeci ile abone arasında veri işlenmesinin devamını gerektiren herhangi bir hukuki bağ kalmayacağından, veri işlenmesi yönünde daha önce verilen açık rızaların geri alındığının kabulü yolundaki düzenlemeler hukuka uygun bulunmaktadır.

Davacı tarafından ileri sürülen diğer iddialarda yasal isabet görülmemiştir. Bu nedenlerle, dava konusu edilen Yönetmelik hükümlerinin üst hukuk normları ile uyumlu olduğu, kamu yararı ve hizmet gerekleri gözetilerek tesis edildiği, hukuka ve mevzuata aykırılık taşımadığı sonucuna varılmıştır. Açıklanan nedenlerle, davanın reddine karar verilmesi gerektiği, düşünülmektedir.

Karar veren Danıştay Onüçüncü Dairesince, Tetkik Hâkiminin açıklamaları dinlendikten ve dosyadaki belgeler incelendikten sonra gereği görüşüldü:

MADDİ OLAY VE HUKUKİ SÜREÇ : Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik (Yönetmelik) 04/12/2020 tarih ve 31324 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir.

Davacı tarafından, söz konusu Yönetmeliğin 13. maddesinin dördüncü fıkrasının, Geçici 1. maddesinin ikinci fıkrasının iptali istemiyle bakılan dava açılmıştır. İLGİLİ MEVZUAT:

Anayasa'nın "Özel hayatın gizliliği” başlıklı 20. maddesinin 1. fıkrasında, "Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz";

3.fıkrasında, "Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir"; "Tüketicilerin korunması” başlıklı 172. maddesinde, "Devlet, tüketicileri koruyucu ve aydınlatıcı tedbirler alır, tüketicilerin kendilerini koruyucu girişimlerini teşvik eder. " kuralları yer almaktadır. 5809 sayılı Elektronik Haberleşme Kanunu'nun "İlkeler” başlıklı 4. maddesinin 1. fıkrasının (b) bendinde, "Tüketici hak ve menfaatlerinin gözetilmesi"; (l) bendinde, "Bilgi güvenliği ve haberleşme gizliliğinin gözetilmesi" elektronik haberleşme hizmetinin sunulmasında ve bu hususta yapılacak düzenlemelerde göz önüne alınacak ilkeler arasında sayılmış; "Kurumun görev ve yetkileri” başlıklı 6. maddesinin 1. fıkrasının (c) bendinde, "Abone, kullanıcı, tüketici ve son kullanıcıların hakları ile kişisel bilgilerin işlenmesi ve gizliliğinin korunmasına ilişkin gerekli düzenlemeleri ve denetlemeleri yapmak"; (s) bendinde, "Elektronik haberleşme sektöründe faaliyet gösterenlerin mevzuata uymasını denetlemek ve/veya denetlettirmek, konu ile ilgili usul ve esasları belirlemek, aykırılık halinde mevzuatın öngördüğü işlemleri yapmak ve yaptırımları uygulamak"; (y) bendinde, "Bu Kanunla verilen görevlere ilişkin yönetmelik, tebliğ ve diğer ikincil düzenlemeleri çıkarmak" Kurumun görev ve yetkileri arasında sayılmış; "İşletmecinin hak ve yükümlülükleri" başlıklı 12. maddesinin 2. fıkrasında, Kurumun, işletmecilere sektörün ihtiyaçları, uluslararası düzenlemeler, teknolojide meydana gelen gelişmeler gibi hususları gözeterek "Kişisel veri ve gizliliğin korunması", "Tüketicinin korunması" gibi hususlar başta olmak üzere, mevzuat doğrultusunda yükümlülükler getirebileceği kurala bağlanmıştır. 5809 sayılı Kanun'un "Şeffaflığın sağlanması ve bilgilendirme” başlıklı 49. maddesinin 1. fıkrasında, Kurumun, son kullanıcı ve tüketicilerin azami faydayı elde edebilmeleri ve hizmetlerin şeffaflık ilkesine uygun olarak sunulabilmesi için hizmet seçenekleri, hizmet kalitesi, tarifeler ile tarife paketlerinin yayımlanmasına ve benzer hususlarda abonelerin bilgilendirilmesine yönelik olarak işletmecilere yükümlülükler getirebileceği;

2.fıkrasında, işletmecilerin, özellikle hizmetler arasında seçim yapılırken ve abonelik sözleşmesi kurulurken tüketicilerin karar vermelerinde etkili olabilecek hususlar ile dürüstlük kuralı gereğince bilgilendirilmelerinin gerekli olduğu her durumda talep olmaksızın tüketicileri bilgilendireceği kurala bağlanmıştır.

Aynı Kanun'un "Kişisel verilerin işlenmesi ve gizliliğin korunması" başlıklı 51. maddesinde, "(1) Kişisel verilerin işlenmesinde; hukuka ve dürüstlük kurallarına uygun olması, doğru ve gerektiğinde güncel olması, belirli, açık ve meşru amaçlar için işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkelerine uyulur. (2) Elektronik haberleşmenin ve ilgili trafik verisinin gizliliği esas olup, ilgili mevzuatın ve yargı kararlarının öngördüğü durumlar haricinde, haberleşmeye taraf olanların tamamının rızası olmaksızın haberleşmenin dinlenmesi, kaydedilmesi, saklanması, kesilmesi ve takip edilmesi yasaktır. (3) Elektronik haberleşme şebekeleri, haberleşmenin sağlanması dışında abonelerin/kullanıcıların terminal cihazlarında bilgi saklamak veya saklanan bilgilere erişim sağlamak amacıyla işletmeciler tarafından ancak ilgili abonelerin/kullanıcıların verilerin işlenmesi hakkında açık ve kapsamlı olarak bilgilendirilmeleri ve açık rızalarının alınması kaydıyla kullanılabilir. (4) İşletmeciler şebekelerinin, abonelerine/kullamcılarına ait kişisel verilerin ve sundukları hizmetlerin güvenliğini sağlamak amacıyla uygun teknik ve idari tedbirleri alır. (5) Bu Kanunun 49. maddesi kapsamında veya kamu yararının sağlanması amacıyla Kurum tarafından işletmecilere getirilen yükümlülüklerin yerine getirilebilmesi için kişisel veriler işlenebilir. (6) Kişisel verilerin yurt dışına aktarılmasına ilişkin ilgili mevzuat hükümleri saklı kalmak kaydıyla, trafik ve konum verileri ancak ilgili kişilerin açık rızaları alınmak koşuluyla yurt dışına aktarılabilir. (7) Trafik verileri; trafiğin yönetimi, arabağlantı, faturalama, usulsüzlük/dolandırıcılık tespitleri ve benzeri işlemleri gerçekleştirmek veya tüketici şikâyetleri ile arabağlantı ve faturalama anlaşmazlıkları başta olmak üzere, uzlaşmazlıkların çözümü amacıyla sadece işletmeci tarafından yetkilendirilen kişilerle sınırlı kalmak kaydıyla işlenir ve bu uzlaşmazlıkların çözüm süreci tamamlanıncaya kadar gizliliği ve bütünlüğü sağlanarak saklanır. Katma değerli elektronik haberleşme hizmetlerinin sunulması ya da elektronik haberleşme hizmetlerinin pazarlanması amacıyla ihtiyaç duyulan trafik verileri ile konum verileri anonim hâle getirilerek veya ilgili abonelerin/kullanıcıların açık rızalarının alınması ve sadece işletmeci tarafından yetkilendirilen kişilerle sınırlı kalmak kaydıyla, belirtilenfaaliyetlerin gerektirdiği ölçü ve sürede işlenebilir. (8) İşletmeciler konum verilerinin işlenmesinde abonelere/kullanıcılara bu verilerin işlenmesini reddetme imkânı sağlar. İlgili mevzuatın ve yargı kararlarının öngördüğü durumlar haricinde ancak acil yardım çağrıları ile 29/05/2009 tarih ve 5902 sayılı Afet ve Acil Durum Yönetimi Başkanlığının Teşkilat ve Görevleri Hakkında Kanunda tanımlanan afet ve acil durum hâllerinde abonelerin/kullanıczların açık rızası aranmaksızın konum verileri ve ilgili kişilerin kimlik bilgileri işletmeci tarafından yetkilendirilen kişilerle sınırlı olmak kaydıyla işlenebilir. (9) Abone/kullanıcı şikâyetlerinin incelenmesi ve denetim faaliyetleri kapsamında trafik ve konum verileri ile kişisel veriler, belirtilen faaliyetlerle sınırlı olmak kaydıyla işlenebilir. (10) Bu Kanun kapsamında sunulan hizmetlere ilişkin olarak;

a)Soruşturma, inceleme, denetleme veya uzlaşmazlığa konu olan kişisel veriler ilgili süreç tamamlanıncaya kadar,

b)Kişisel verilere ve ilişkili diğer sistemlere yapılan erişimlere ilişkin işlem kayıtları iki yıl,

c)Kişisel verilerin işlenmesine yönelik abonelerin/kullanıcıların rızalarını gösteren kayıtlar asgari olarak abonelik süresince saklanır. Veri kategorileri ile haberleşmenin yapıldığı tarihten itibaren bir yıldan az ve iki yıldanfazla olmamak üzere verilerin saklanma süreleri yönetmelikle belirlenir. (11) Tahsilata ilişkin riskin yönetilmesi ve kötü niyetli kullanımların önlenmesi amacıyla abonelerin elektronik haberleşme hizmetlerine ve elektronik kimlik bilgisini haiz cihazlara yönelik tarafların kendi sistemlerinde oluşan fatura tutarı ve ödeme bilgileri ile sahtecilik, dolandırıcılık riski içeren şüpheli veya zarar doğurucu vakalara ve işlem hareketlerine ilişkin kayıtlar, işletmeciler ve Kurumun MCKS'si arasında paylaşılabilir veya işlenebilir. (12) Bu Kanun kapsamında kişisel verilerin gizliliğinin, güvenliğinin ve amacı doğrultusunda kullanılmasının temininden işletmeciler sorumludur. (13) Bu maddenin uygulanmasına ilişkin usul ve esaslar Kurum tarafından belirlenir" düzenlemelerine yer verilmiştir.

HUKUKİ DEĞERLENDİRME:

Sözlük anlamı ile "düzenli hâle koymak, düzen vermek, tanzim ve tertip etmek" olarak tanımlanan "düzenleme", kamu hukukunda kural koyma ile eş anlamlıdır. Kural ise; sürekli, soyut, nesnel, genel (kişilik dışı) durumları belirleyen ve gösteren norm olarak tanımlanmaktadır. (ÖZAY İl Han, Günışığında Yönetim, 2017, İstanbul, s. 426).

Anayasa'nın 2. maddesinde, Türkiye Cumhuriyeti'nin bir hukuk devleti olduğu belirtilmiş olup, Anayasa Mahkemesi kararlarında hukuk devleti, insan haklarına dayanan, bu hak ve özgürlükleri koruyup güçlendiren, eylem ve işlemleri hukuka uygun olan, her alanda adaletli bir hukuk düzeni kurup bunu geliştirerek sürdüren, hukuk güvenliğini gerçekleştiren, Anayasaya aykırı durum ve tutumlardan kaçınan, hukuku tüm devlet organlarına egemen kılan, Anayasa ve kanunlarla kendini bağlı sayan, eylem ve işlemleri yargı denetimine açık olan devlet olarak tanımlanmıştır.

Bir hiyerarşik kurallar sistemi olan hukuk düzeninde alt düzeydeki kuralların, yürürlüklerini üst düzeydeki kurallardan aldığı kuşkusuzdur. Kurallar hiyerarşisinin en üstünde genel hukuk ilkeleri ve Anayasa bulunmakta ve daha sonra gelen kanunlar yürürlüğünü Anayasa'dan, yönetmelikler ise kanun ve Cumhurbaşkanlığı kararnamelerinden almaktadır. Dolayısıyla bir kuralın, kendisinden daha üst konumda bulunan bir kurala aykırı veya bunu değiştirici nitelikte hükümler getirmesine imkân bulunmamaktadır. Anayasa'nın 124. maddesinde, Cumhurbaşkanı, bakanlıklar ve kamu tüzel kişilerinin kendi görev alanlarını ilgilendiren kanunların ve Cumhurbaşkanlığı kararnamelerinin uygulanmasını sağlamak üzere ve bunlara aykırı olmamak şartıyla yönetmelikler çıkarabilecekleri kurala bağlanmıştır. Kanun koyucu, düzenleyeceği konularda genel prensipleri belirler ve bunun uygulamasını yürütmeye, başka bir ifadeyle idareye bırakır. Bu, aslî düzenleme yetkisinin yasama organına ait olmasının doğal bir sonucudur. İdarenin düzenleyici işlem tesis etme yetkisinin "Yasama yetkisinin devredilmezliği" ilkesinin bir sonucu olarak ikincil nitelikte bir kural koyma yetkisi olduğu göz önüne alındığında, söz konusu yetkinin kanunların çizdiği çerçeve içinde kalması ve kanunlara uygun olarak kullanılması zorunludur. Bu itibarla, dava konusu Yönetmeliğin iptali istenilen maddelerinin hukuka uygunluk denetiminin belirtilen açıklamalar çerçevesinde yapılması gerekmektedir. 5809 sayılı Kanun'un “Kişisel verilerin İşlenmesi ve gizliliğin korunması” başlıklı 51. maddesinin Anayasa Mahkemesi'nin 09/04/2014 tarih ve E:2013/22, K:2014/74 sayılı kararıyla, "Yasama yetkisinin devredilemezliği ilkesi gereğince, Anayasa'nın açıkça kanunla düzenlenmesini öngördüğü konularda yürütme organına doğrudan ve ilk elden düzenleyici işlem yapma yetkisi verilemez. Elektronik haberleşme sektörüyle ilgili kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul ve esasları belirleme yetkisini Bilgi Teknolojileri ve İletişim Kurumu'na veren itiraz konusu kural, Anayasa'nın 20. maddesinde öngörülen kişisel verilerin korunmasına ilişkin usul ve esasların ancak kanunla düzenlenebileceğine ilişkin güvenceye aykırıdır." şeklindeki gerekçeyle iptal edilmesi üzerine; 6639 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılması Hakkında Kanun'un 32. maddesi ile 5809 sayılı Kanun'un 51. maddesi yeniden düzenlenmiştir. Söz konusu maddenin bazı maddelerinin iptali istemiyle tekrar Anayasa Mahkemesi'ne başvurulması üzerine, Anayasa Mahkemesi'nin 02/11/2016 tarih ve E:2015/61, K:2016/172 sayılı kararıyla, "Anayasa’nın 20. maddesinin üçüncü fıkrasının son cümlesinde, kişisel verilerin korunmasına ilişkin esas ve usullerin kanunla düzenleneceği belirtilerek kişisel verilerin korunması hakkı anayasal güvenceye bağlanmış ve bu şekilde kamu makamlarının keyfi müdahalelerine karşı koruma altına alınmıştır. Buna göre, elektronik haberleşme sektörüyle ilgili kişisel verilerin işlenmesi ve korunmasına yönelik temel kuralların kanunla düzenlenmesi zorunludur. Nitekim Anayasa Mahkemesi de yukarıda tarih ve sayısı belirtilen kararında, elektronik haberleşme sektörüyle ilgili kişisel verilerin işlenmesi ve gizliliğinin korunmasına yönelik usul ve esasların belirlenmesi konusunda BTK’ya doğrudan ve ilk elden düzenleyici işlem yapma yetkisi verilmesinin Anayasa’nın 20. maddesine aykırı olduğuna karar vermiştir. Bu bağlamda, Kanun’un yeniden düzenlenen 51. maddesinde, elektronik haberleşme sektöründe, kişisel verilerin işlenmesinde uyulması gereken ilkeler sayıldıktan sonra, kişisel verilerin işlenmesi ve gizliliğin korunmasına ilişkin kurallar herhangi bir duraksamaya yer vermeyecek şekilde açık, net, anlaşılır ve uygulanabilir şekilde düzenlenerek konuya ilişkin temel kurallar belirlenmiştir. Maddede belirlenen usul ve esaslar çerçevesinde kişisel verilerin işlenmesi ve korunmasına ilişkin teknik ve uygulamayı esas alan detayların belirlenmesi konusunda BTK’ya yetki verilmesini öngören kuralda belirsizlik bulunmadığı gibi yasama yetkisinin devri de söz konusu değildir. Açıklanan nedenlerle kural, Anayasa’nın 2. ve 7. maddelerine aykırı değildir." gerekçesiyle iptal talebinin reddine karar verilmiştir. 5809 sayılı Kanun'un, Anayasa Mahkemesi'nin anılan kararı uyarınca yeniden düzenlenen 51. maddesinde, elektronik haberleşme sektöründe, kişisel verilerin işlenmesi ve gizliliğin korunmasına ilişkin kurallar herhangi bir duraksamaya yer vermeyecek açıklıkta belirlenmiş olup, maddenin son fıkrasında, uygulamaya ilişkin usul ve esasların Kurum tarafından belirleneceği kurala bağlanmıştır.

Söz konusu yetkiye dayanılarak davalı idare tarafından, 5809 sayılı Kanun'un 51. maddesinin uygulanmasına ilişkin hususların netleştirilmesi, uygulamada yeknesaklığın sağlanması ve ikincil konuların düzenlenmesi amacıyla, tüketicilerin korunması, sektörün ihtiyaçları ve teknolojide yaşanan gelişmeler de dikkate alınarak Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik Taslağının hazırlandığı, 17/03/2020 tarih ve 2020/DK-THD/077 sayılı Kurul kararı ile anılan Taslağın kamuoyu görüşlerinin alınabilmesini teminen Kurumun internet sitesinde otuz (30) gün süre ile yayımlanmasına karar verildiği, Kuruma iletilen kamuoyu görüşlerinin değerlendirilmesi sonrasında, Taslağın görüşleri alınmak üzere Kişisel Verileri Koruma Kurumu'na (KVKK) gönderildiği anlaşılmakta olup, Kuruma iletilen KVKK görüşleri dikkate alınmak suretiyle, 5809 sayılı Kanun'un 4., 6.,12., 49., 51. ve 60. maddeleri dayanak alınarak, 17/10/2019 tarih ve 30921 sayılı Resmî Gazete’de yayımlanan 2019/22 sayılı Cumhurbaşkanlığı Genelgesi uyarınca, 2002/58/AT sayılı Direktif başta olmak üzere ilgili AB mevzuatı da göz önünde bulundurularak hazırlandığı anlaşılan Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğin Korunmasına İlişkin Yönetmelik 04/12/2020 tarih ve 31324 sayılı Resmî Gazete'de yayımlanarak yürürlüğe girmiştir. Dava konusu Yönetmeliğin "Abonenin/kullanıcının diğer hakları" başlıklı 13. maddesinin 4. fıkrası ile Geçici 1. maddesinin 2. fıkrasının incelenmesi;

Yönetmeliğin "Abonenin/kullanıcının diğer hakları" başlıklı 13. maddesinin 4. fıkrasında, "Aboneliğin sonlanması halinde, sona erme tarihi itibarıyla, abonenin aksi talebi olmaması halinde daha önce verilen tüm açık rızalar geri alınmış sayılır."; Geçici 1. maddesinin 2. fıkrasında ise, "Bu Yönetmeliğin yürürlüğe girdiği tarihten önce rızaları alınarak verileri işlenen tarafların abonelikleri sona ermesine rağmen açık rızaları olmaksızın verilerin işlenmeye devam etmesi durumunda bu işlem, ilgili mevzuatta yer alan yükümlülükler saklı kalmak kaydıyla, bu Yönetmeliğin yürürlüğe girdiği tarihi takip eden bir ay içinde durdurulur." kuralı yer almaktadır.

Davacı tarafından, dava konusu Yönetmelik maddelerinde yer alan düzenlemelerin, kanunî dayanağının bulunmadığı, abonelerin daha önceden vermiş oldukları açık rızalarını diledikleri zaman geri alabilme haklarının bulunduğu, Kurum'un aboneler tarafından verilen açık rızaları geri alma yetkisinin bulunmadığı, düzenlemenin kullanıcının kişisel verileri üzerindeki haklarına müdahale niteliğinde olduğu, 6698 sayılı Kanun'un geçiş hükümlerinin dikkate alınmadığı ileri sürülmektedir. 5809 sayılı Kanun'un "Şeffaflığın sağlanması ve bilgilendirme” başlıklı 49. maddesinin 1. fıkrasında, Kurumun, son kullanıcı ve tüketicilerin azami faydayı elde edebilmeleri ve hizmetlerin şeffaflık ilkesine uygun olarak sunulabilmesi için hizmet seçenekleri, hizmet kalitesi, tarifeler ile tarife paketlerinin yayımlanmasına ve benzer hususlarda abonelerin bilgilendirilmesine yönelik olarak işletmecilere yükümlülükler getirebileceği;

2.fıkrasında, işletmecilerin, özellikle hizmetler arasında seçim yapılırken ve abonelik sözleşmesi kurulurken tüketicilerin karar vermelerinde etkili olabilecek hususlar ile dürüstlük kuralı gereğince bilgilendirilmelerinin gerekli olduğu her durumda talep olmaksızın tüketicileri bilgilendireceği kurala bağlanmıştır.

Öte yandan, aynı Kanun'un 51. maddesinin 7. fıkrasında, ihtiyaç duyulan trafik verileri ile konum verilerinin, anonim hâle getirilerek veya abonelerin açık rızalarının alınması ve sadece işletmeci tarafından yetkilendirilen kişilerle sınırlı kalmak kaydıyla, belirtilen faaliyetlerin gerektiği ölçü ve sürede işlenebileceği;

10.fıkrasının (c) bendinde ise, kişisel verilerin işlenmesine yönelik abonelerin rızalarını gösteren kayıtların asgari olarak abonelik süresince saklanacağı hüküm altına alınmıştır.

Kanun koyucu tarafından, elektronik haberleşme sektörüne ilişkin konuların, tüketicilerin veya kişisel verilerin gizliliğinin korunması gibi genel nitelikli kanunlardan ayrılarak, elektronik haberleşme sektörüne özgü uluslararası düzenlemelerin de dikkate alınması suretiyle 5809 sayılı Kanun ile düzenlendiği; anılan Kanun'un konuya ilişkin aktarılan düzenlemeleri uyarınca işletmecilerin, elektronik haberleşme hizmetinin şeffaflık ilkesine uygun şekilde sunulabilmesini teminen, bilgilendirmenin gerekli olduğu her durumda talep olmaksızın tüketicileri bilgilendirme yükümlülüğünün bulunduğu, ayrıca Kurum'un tüketicilerin hak ve menfaatlerinin gözetilmesine ilişkin görevi ve tüketicilerin korunmasına ilişkin işletmecilere yükümlülük getirebilme yetkisi kapsamında tüketicilerin, azami faydayı elde edebilmeleri ve hizmetlerin şeffaflık ilkesine uygun şekilde sunulabilmesi için işletmecilere yükümlülükler getirebileceği dikkate alındığında, dava konusu düzenlemelerin kanunî dayanağının bulunduğu; abonelik ilişkisinin sonlanması üzerine, işletmeci ile herhangi bir hukukî bağının kalmadığını düşünen tüketicilerin, işletmecilerin kişisel verilerini işleme faaliyetine son vereceği beklentisi taşımasının hayatın olağan akışına uygun olduğu, aboneliğin sona ermesine rağmen, verilerin işlenmeye devam edilmesinin tüketici mağduriyetine sebep olabileceği, 5809 sayılı Kanun'un 51. maddesinin 10. fıkrasının (c) bendinde, abonelerin/kullanıcıların açık rızalarının abonelik sözleşmesinin sona ermesinden sonra da devam edeceğinin değil, kişisel verilerin işlenmesine yönelik abonelerin/kullanıcıların açık rızalarını gösteren "kayıtların" asgari olarak abonelik süresince saklanacağının kurala bağlandığı; benzer şekilde, Yönetmeliğin yürürlük tarihinden önce rızası alınarak aboneliği sonlanmasına rağmen açık rızaları olmaksızın abonelerin kişisel verilerinin pazarlama gibi açık rıza gerektiren amaçlarla Yönetmeliğin yürürlük tarihi sonrasında da işlenmeye devam edilmesinin tüketici mağduriyetine sebep olabileceği anlaşılmaktadır.

Bu itibarla, Kurum'un tüketicilerin hak ve menfaatlerinin gözetilmesine ilişkin görevi ve tüketicilerin korunmasına ilişkin işletmecilere yükümlülük getirebilme yetkisi kapsamında, tüketicilerin azami faydayı elde edebilmeleri ve hizmetlerin şeffaflık ilkesine uygun olarak sunulabilmesi amacıyla yapıldığı anlaşılan ve birbirini tamamlar nitelikteki dava konusu düzenlemelerin, kişisel verilerin işlenmesinin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ile işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi ilkelerine uygun olduğu görüldüğünden, söz konusu düzenlemelerde hukuka ve üst hukuk kurallarına aykırılık bulunmadığı sonucuna ulaşılmıştır. KARAR SONUCU: Açıklanan nedenlerle;

1.DAVANIN REDDİNE,

2.Ayrıntısı aşağıda gösterilen toplam …-TL yargılama giderinin davacı üzerinde bırakılmasına,

3.Avukatlık Asgari Ücret Tarifesi uyarınca …-TL vekâlet ücretinin davacıdan alınarak davalı idareye verilmesine,

4.Posta giderleri avansından artan tutarların kararın kesinleşmesinden sonra davacıya iadesine,

5.Bu kararın tebliğ tarihini izleyen 30 (otuz) gün içerisinde Danıştay İdari Dava Daireleri Kurulu'na temyiz yolu açık olmak üzere, 23/05/2023 tarihinde oybirliğiyle karar verildi.