Doğu Eroğlu
Türkiye’de internet kullanıcılarının internet trafik bilgileri, yani ziyaret ettikleri internet siteleri, kullandıkları uygulamalar, konum verileri, WhatsApp’ta kimlerle yazıştıkları ya da telefonlaştıklarının verisi, her saat başı Ulaştırma ve Altyapı Bakanlığı’na bağlı Bilgi Teknolojileri İletişim Kurumu’na (BTK) gidiyor. Üstelik bu veriler BTK’ya giderken anonimleştirilmiyor; yani internet trafik verileri, kullanıcılarının kimlik bilgileriyle eşleştirilmiş biçimde, internet servis sağlayıcılar tarafından BTK’ya gönderiliyor. BTK, hangi kullanıcının hangi siteyi ziyaret ettiğini, kullanıcının hangi konumda bulunup hangi baz istasyonundan servis aldığını, hangi dakika ve saniyede WhatsApp kullandığını saat başı öğreniyor ve kayıtlarına ekliyor. Kurumun bu verileri nasıl kullandığı ise bilinmiyor.
İnternet servis sağlayıcısı şirketlerin, kullanıcıların internet trafik verilerini ve kimlik bilgilerini 2021 yılından itibaren, her saat başında BTK’ya gönderdiği Temmuz 2022’de ortaya çıkmıştı.
Türkiye’nin pazar payı bakımından en büyük internet servis sağlayıcı firmaları ve BTK, ortaya çıkan belgelere karşın herhangi bir açıklama yapmamış, kitlesel gözetimi yalanlamamıştı.
T24’ün ulaştığı mahkeme kararı, BTK’nın kitlesel gözetim düzenlemesinin iptal edildiğini gösteriyor.
Buna rağmen, görüştüğümüz internet servis sağlayıcısı şirketlerinin aktardıkları, BTK’nın kendilerini ne iptal kararından haberdar ettiğini ne de kitlesel gözetimi devam ettirecek yeni bir karar alıp kendilerine ulaştırdığını gösteriyor. Şirket yetkilileri, kullanıcıların kişisel verilerinin saat başı BTK’ya gitmeye devam ettiğini söylüyor.
Yani ortada kitlesel gözetime yasal olarak dayanak oluşturabilecek herhangi bir idari karar olmamasına rağmen, Türkiye’deki tüm internet kullanıcılarının trafik verileri BTK’ya akmaya devam ediyor.
Dev şirketler sessiz kaldı, tek bir firma itiraz etti
Kitlesel gözetim faaliyeti, BTK’nın internet servis sağlayıcı şirketlere 15 Aralık 2020’de gönderdiği bir yazıyla başladı. İSS Trafik Log Deseni başlıklı yazıda, internet servis sağlayıcısı şirketlerden, internet hizmeti sağladıkları kullanıcıların tüm veri hareketlerini her saat başı BTK’ya göndermesi istendi.
BTK tarafından gönderilen İSS Trafik Logu Teknik Detay Dökümanı isimli belgede ise her kullanıcıya ait trafik verilerinin hangi formatta takip edileceği ve BTK’ya nasıl gönderileceğine ilişkin teknik ayrıntılar yer alıyordu.
BTK, firmalara gönderdiği yazıda, kitlesel gözetimi şu ifadelerle gerekçelendiriyordu: “Kurumumuz adli amaçlı iletişimin tespit edilmesi, dinlenmesi, sinyal bilgilerinin değerlendirilmesi ve kayda alınmasına yönelik işlemler kapsamında verilen görevleri süresinde, eksiksiz ve herhangi bir aksamaya sebebiyet vermeyecek şekilde yerine getirmekle yükümlüdür... İnternet ortamında gerçekleşen faaliyetlere ilişkin olarak adli ve önleyici kapsamda daha detaylı bilgilerin alınmasına ihtiyaç duyulmuştur.”
BTK’nın internet servis sağlayıcısı şirketlere gönderdiği, 15 Aralık 2020 tarihli İSS Trafik Log Deseni yazısı. Bu yazıyla şirketlerden, tüm abonelerinin trafik verilerini saat başı BTK’ya göndermesi istendi
BTK tarafından periyodik olarak yayınlanan Türkiye Elektronik Haberleşme Sektörü Üç Aylık Pazar Verileri Raporu 2023 ilk çeyrek verilerine göre, Türkiye’de genişbant internet abonelerinin sayısı 91,6 milyon. Yani 91,6 milyon kullanıcı cep telefonlarından ya da sabit hatlarından internet hizmeti alıyor.
91,6 milyon kullanıcının tamamının tüm trafik verilerinin BTK’ya anonimleştirilmeksizin gönderilmesine, Türkiye telekomünikasyon pazarının dev şirketleri suskun kaldı.
Kitlesel gözetime tek bir internet servis sağlayıcısı şirket karşı çıktı. Yetkilileriyle yaptığımız görüşmeler sırasında, isminin açıklanmamasını isteyen bu şirketin itirazı üzerine yargı süreci başladı.
Mahkeme kararı: Özgürlükler yönünden değil, ‘Yetki yönünden hukuksuz’
İSS Trafik Log Deseni başlıklı yazıyla şirketlere gönderilen BTK kararının, Anayasa’ya ve yasalara aykırı olduğu gerekçesiyle mahkemeye giden şirket, kitlesel gözetim kararının iptalini istedi. Şirket, abonelerinin trafik verilerinin BTK’ya gönderilmesinin Anayasa’ya aykırı olduğunu, istenen bilgilerin BTK’ya gönderilmesi halinde, verilerinin paylaşılması yönünde açık rızası olmayan abonelerinin iletişimin gizliliği ve kişisel verilerin korunması hakları ile haberleşme özgürlüklerinin ihlal edilmiş olacağını ifade etti.
Kitlesel gözetim kararının iptali için açılan davayı görüşen Ankara 3. İdare Mahkemesi, davacı şirketin Anayasa’ya aykırılık ile kişisel hak ve özgürlüklerin ihlali konusundaki itirazlarını dikkate almasa da, kitlesel gözetim kararının BTK’nın en üst karar organı tarafından alınmadığını tespit etti ve yetki yönünden hukuksuz bulduğu kararı 29 Mart 2023’te iptal etti:
"…Mevzuat uyarınca Kurumun [Bilgi Teknolojileri ve İletişim Kurumu] karar organının Bilgi Teknolojileri ve İletişim Kurulu olduğunun açık olduğu, Kurumun idari birimlerinin Bilgi Teknolojileri ve İletişim Kurulu tarafından alınan kararları uygulamakla görevli olduğu, ancak ortada Kurul kararı olmaksızın Kurum idari birimi olan Bilgi Sistemleri Daire Başkanlığı tarafından işlem tesis edildiği görülmüştür.
Bu durumda dava konusu işlemin Bilgi Teknolojileri ve İletişim Kurulunca tesis edilmesi gerekirken Bilgi Teknolojileri ve İletişim Kurumu Bilgi Sistemleri Daire Başkanlığı tarafından tesis edildiği anlaşıldığından, dava konusu internet ortamında yapılan her türlü̈ erişime ilişkin ISS Trafik Log kayıtlarının istenilmesine ilişkin işlemde yetki unsuru yönünden hukuka uyarlık bulunmadığı sonucuna varılmıştır."
Ankara 3. İdare Mahkemesi’nin kararından ilgili kısım
İnternet servis sağlayıcı şirketler: ‘İptalden haberimiz yok, yeni bir karar da görmedik, veriler hâlâ BTK’ya gidiyor’
T24’ün görüştüğü davacı şirket ve diğer internet servis sağlayıcı şirketler, iptal kararı sonrasında uygulamada herhangi bir değişiklik olmadığını aktarıyor.
BTK’nın kitlesel gözetim uygulaması, kurum tarafından internet servis sağlayıcısı şirketlere gönderilen 15 Aralık 2020 tarihli karara dayanıyordu. Ancak kararın BTK’nın yetkili organı "Bilgi Teknolojileri ve İletişim Kurulu" tarafından alınmadığını tespit eden Ankara 3. İdare Mahkemesi’nin 29 Mart 2023 tarihli iptal kararı sonrasında, kitlesel gözetimin yasal dayanağı ortadan kalktı. Yani BTK’nın kitlesel gözetimi sürdürebilmek için yeni bir karar alması gerekiyordu. Ancak görüştüğümüz davacı şirket ve diğer internet servis sağlayıcı şirketler, kendilerine iptal kararı hakkında bir bildirim yapılmadığını, "İSS Trafik Log Deseni" konusunda alınmış yeni bir kararın da kendilerine tebliğ edilmediğini söylüyor.
Kitlesel gözetim uygulamasına karşı iptal davası açan şirketin yetkilisi, “İptal kararı sonrasında henüz bize yeni bir karar tebliğ edilmedi” diye konuşuyor.
İptal kararından haberdar olan ancak bu konuda herhangi bir resmi bildirim almamış bir başka internet servis sağlayıcı firma yetkilisi ise, “Şu anda ölü taklidi yapıyorlar. Şirketlere bir bildirim yapmadılar” değerlendirmesinde bulunuyor.
Görüştüğümüz şirketler, kullanıcıların trafik verilerinin BTK’ya gönderilmeye devam ettiğini aktarıyor. Yani sektör temsilcileri, yargı kararına karşın BTK’nın kitlesel gözetim faaliyetlerinin devam ettiğini bildiriyor.
Görüştüğümüz firmaların tamamı, düzenleyici ve denetleyici yetkileri yüzünden telekomünikasyon sektöründe tek yetkili olan BTK’yı karşılarına almak istemedikleri için firma isimlerinin açıklanmamasını istedi.
