Otomasyon Sistemlerinde Sistemsel Hataların Hukuki Rejimi:Veri Doğruluğu, Müşterek Sorumluluk Ve EPDK’nın Denetim Yükümlülüğü

A. Hukuki Çerçeve, Mevzuat Dayanakları ve Kusur Sorumluluğunun Sınırları

1- Akaryakıt otomasyon sistemleri; piyasadaki vergi kayıplarının önlenmesi, kaçakçılıkla mücadele edilmesi ve piyasa hareketlerinin şeffaf bir şekilde izlenmesi amacıyla kurulan, uçtan uca veri transferi sağlayan entegre yapılardır. Bu sistemler üzerinden üretilen verilerin doğruluğu, 5015 sayılı Petrol Piyasası Kanunu ve bu kanuna dayanılarak yürürlüğe konulan ikincil mevzuat (yönetmelikler, kurul kararları, teknik tebliğler) ile sıkı bir sorumluluk rejimine bağlanmıştır.

2- 5015 sayılı Kanun’un 7. maddesinin 6. fıkrası uyarınca, dağıtıcı lisansı sahiplerinin bayilerinde kuracakları denetim sisteminden, dağıtıcı ile EPDK tarafından yetkilendirilmiş tüzel kişiler (otomasyon şirketleri) müştereken sorumlu tutulmuştur. Buradaki müşterek sorumluluk, özel hukuk anlamındaki müteselsil borçluluktan ziyade, kamu hukukuna özgü bir “birlikte kusur ve idari denetim sorumluluğu” teşkil eder. Dağıtıcı, bayinin faaliyetlerini izleme; otomasyon şirketi ise donanım ve yazılımın kesintisiz ve manipülasyondan uzak çalışmasını sağlama yükümlülüğü altındadır.

3- Enerji Piyasası Düzenleme Kurulu’nun (EPDK) 10338 sayılı Kurul Kararı (özellikle Madde 5 ve Madde 7), otomasyon şirketlerinin sistemi ISO/IEC 27001 (Bilgi Güvenliği Yönetim Sistemi) ve ISO/IEC 20000 (Bilgi Teknolojileri Hizmet Yönetim Sistemi) gibi uluslararası standartlara uygun şekilde tasarlama, kurma ve işletme yükümlülüğünü amirdir. Dağıtıcılar ise bu kurulumun yapılabilmesi için bayinin fiziki ve teknik altyapısını hazır hale getirmek, gerekli siber ve fiziki güvenlik tedbirlerini almakla yükümlüdür. Teknik standartlara aykırılık, tek başına idari yaptırım gerekçesi sayılmaktadır.

4- 5015 sayılı Kanun’un 19. maddesinin birinci fıkrasının (h) bendi, denetim sistemini usulüne uygun kurmayan, uygulamayan veya sistemin çalışmasına müdahale eden otomasyon şirketlerine, asıl fail olan dağıtıcıya verilecek cezanın onda biri oranında müstakil bir idari para cezası öngörmektedir. Bu düzenleme, otomasyon şirketinin sistemsel hatalardaki fonksiyonel kusurunun idare tarafından da bağımsız bir ihlal alanı olarak kabul edildiğinin en açık kanuni kanıtıdır.

5- Danıştay 13. Daire içtihatlarında istikrarlı bir şekilde vurgulandığı üzere, otomasyon sistemleri tarafından üretilerek Kuruma aktarılan veriler hukuki niteliği itibariyle birer “elektronik beyan” dır. Ceza hukukunun ve idare hukukunun evrensel bir ilkesi olan “maddi gerçeğin araştırılması” ilkesi gereği, bu beyanların mutlak ve aksinin ispatı imkansız deliller olarak kabul edilmesi hukuka aykırıdır. Sistemdeki prob arızası, tank kalibrasyon kaymaları, sıcaklık/yoğunluk değişimlerinden kaynaklanan hacimsel sapmalar veya yazılımsal buglar (hatalar) gibi somut teknik arızaların saptanması durumunda, kötü niyet veya kaçakçılık kastı (mens rea) olmaksızın tesis edilen idari yaptırımlar yargısal denetim sırasında iptal edilmeye mahkumdur.

B. Sistemsel Hatalarda Hukuki Sorumluluk, Veri Doğruluğu ve Çapraz Kontrol Mekanizmaları

Yargı kararları, otomasyon verilerinin doğruluğu konusundaki sorumluluğu kusur silsilesi ve teknik illiyet bağı çerçevesinde geniş bir yelpazede ele almaktadır.

1- Verilerin İlliyet Bağlamı ve Çapraz Kontrol Yükümlülüğü

Danıştay 13. Daire’nin 2023/984 E. – 2025/3455 K. ve 2022/245 E. – 2025/3454 K. sayılı güncel kararlarına göre; Kuruma sunulan elektronik veriler ile uzaktan erişim sistemi verileri; dağıtıcı lisansı sahibinin, yetkilendirilmiş otomasyon şirketinin ve ilgili bayilik lisansı sahibinin ortak iradesinin ürünü olan birer beyan addedilir.

Yüksek mahkeme, bu tarafların yalnızca veriyi üretmekle kalmayıp, aynı zamanda:

• Tank Otomasyon Sistemi (TOS) verileri,
• Pompa Otomasyon Sistemi (POS) verileri,
• Mali mühürlü ödeme kaydedici cihaz (ÖKÇ) verileri ve
• İrsaliye/fatura hareketleri

arasındaki tablolar arası çapraz kontrolleri (cross-check) yapmakla da yükümlü olduklarını belirtmektedir. Bu tablolar arasında meydana gelen hacimsel veya finansal uyumsuzlukların, taraflarca mantıklı, rasyonel ve teknik olarak kabul edilebilir makul gerekçelerle (örneğin; akaryakıtın genleşme katsayısı, buharlaşma kayıpları veya tank temizliği) açıklanamaması durumunda, verilerin usulsüz olduğu karinesi işletilmektedir.

2- Dağıtıcının “Etkin Denetim” Sorumluluğunun Sınırları

Sistemsel hataların varlığı halinde, dağıtıcının “etkin denetim sistemi kurma ve uygulama” yükümlülüğünün niteliği tartışılmalıdır. Danıştay 13. Daire’nin 2020/3392 E. – 2022/215 K. ve 2021/3999 E. – 2021/3669 K. sayılı kararlarında, otomasyon sisteminin uzun süre boyunca sağlıklı çalışmadığı, veri paketlerinin Kurum sunucularına eksik iletildiği veya ardışık günler boyunca veriler arasında fahiş uyumsuzluklar bulunduğu tespit edilmiştir.

Yargı, bu durumlarda dağıtıcının “Ben sistemi kurdum, gerisi otomasyon şirketinin ve bayinin sorumluluğundadır” savunmasına itibar etmemektedir. Dağıtıcının, sistemdeki aksaklıkları kendi merkezî yazılımı üzerinden izleme ve bunlara zamanında müdahale etme yükümlülüğü (etkin denetim) bulunduğundan, bu yükümlülüğün ihlali halinde verilen idari para cezaları hukuka uygun bulunmuştur. Buradaki kıstas, arızanın “öngörülebilir ve önlenebilir” olup olmadığıdır.

C. EPDK’nın Denetim ve Gözetim Yükümlülüğü ile Yazılım Testi Sorunsalı

İdari istikrar ve hukuki öngörülebilirlik açısından piyasa katılımcılarının en büyük çıkmazı, EPDK’nın yetkilendirme süreçlerindeki pasif konumudur. Rapor konusu uyuşmazlıkların temelini oluşturan “EPDK’nın otomasyon yazılımlarını bizzat test edip etmediği, kaynak kodlarını inceleyip incelemediği veya algoritmik doğrulamayı yapıp yapmadığı” hususunda idari pratikte ve yargı kararlarında ciddi bir gri alan (boşluk) bulunmaktadır.

Yargı Kararlarındaki Denetim Eksikliği Sessizliği

İncelemeye konu olan;

• Danıştay 13. Daire, 2020/3392 E. – 2022/215 K.
• Danıştay 13. Daire, 2019/4500 E. – 2021/2119 K.
• Danıştay 13. Daire, 2020/1075 E. – 2021/2464 K.
• Danıştay 13. Daire, 2022/2509 E. – 2025/28 K.

sayılı kararların hiçbirinde, EPDK’nın yetkilendirdiği otomasyon kuruluşlarının yazılımlarını / algoritmalarını bizzat stres testine tabi tuttuğuna, tersine mühendislik veya sızma (penetrasyon) testleri ile sistemin güvenilirliğini onayladığına dair hiçbir teknik inceleme veya mahkeme içi değerlendirme yer almamaktadır. İdare, yalnızca şeklî evrak incelemesi ve akreditasyon belgeleri üzerinden yetkilendirme yapmaktadır.

Hukuki Güvenlik ve İdarenin Kusursuz Sorumluluğu İlkesi

Anayasa’nın 2. maddesinde güvence altına alınan Hukuki Güvenlik ve Haklı Beklenti (Haklı Güven) İlkeleri uyarınca, devletin resmî bir kurumu tarafından “Yetkilendirilmiş Otomasyon Şirketi” sıfatıyla piyasaya refere edilen bir tüzel kişiden hizmet alan dağıtıcı ve bayinin, bu sistemin kusursuz çalıştığına dair haklı bir güveni mevcuttur.

EPDK’nın sistemi/yazılımı bizzat test etmemesi ve arka plandaki algoritmik hataları (örneğin veri paketleme esnasında yuvarlama hatalarından kaynaklanan stok uyumsuzluklarını) tespit edememesi, açılacak davalarda “idarenin gözetim ve denetim görevini eksik yapması” ve “hizmet kusuru” çerçevesinde majör bir itiraz noktası olarak ileri sürülmelidir. Mevcut Danıştay içtihatları bu eksikliği, dağıtıcının denetim sorumluluğunu tamamen ortadan kaldıran bir illiyet kesici unsur olarak henüz açıkça tanımlamamış olsa da, ceza miktarının hakkaniyete göre indirilmesinde veya kusur aidiyetinin belirlenmesinde bir savunma enstrümanı olarak ağırlık kazanmaktadır.

D. Cezai Müeyyideler, Defi Hakları ve İtiraz Mekanizmaları

Sistemsel ve teknik hatalardan kaynaklanan idari para cezası veya lisans iptali gibi ağır müeyyidelere karşı piyasa katılımcılarının hukuken ileri sürebileceği defiler ve argümanlar şu şekildedir:

a) Suçta ve Cezada Kanunilik İlkesi ve Öngörülebilirlik Danıştay 13. Daire’nin 2020/3225 E. – 2023/6347 K. sayılı kararında açıkça belirtildiği üzere, idare cezalandırma yetkisini kullanırken fiili ve ihlal edilen kanun maddesini hiçbir tereddüde yer vermeyecek netlikte ortaya koymalıdır. İkincil düzenlemelerde (Kurul kararlarında) yer alan teknik ve detay nitelikteki her türlü sistemsel uyumsuzluğun, 5015 sayılı Kanun’un en ağır cezai hükümleri (örneğin lisans iptali veya milyonlarca liralık maktu cezalar) üzerinden torba bir mantıkla cezalandırılması kanunilik ilkesine aykırıdır.

b) İhtar Mekanizması ve Lehe Kanun Uygulaması (Düzeltme İmkanı) Danıştay 13. Daire’nin 2019/2600 E. – 2024/1587 K. sayılı ilamı, otomasyon davalarında bir dönüm noktasıdır. Yüksek mahkeme, uzaktan erişim sistemine veya veri aktarımına ilişkin aksaklıkların ve yükümlülüklerin yerine getirilmemesinin “halk sağlığına, çevreye veya can güvenliğine doğrudan zarar vermeyen ve düzeltme imkanı olan fiiller” kapsamında değerlendirilmesi gerektiğine hükmetmiştir. Dolayısıyla, piyasa katılımcısına doğrudan ceza kesilmeden önce, 5015 sayılı Kanun’un ilgili maddeleri uyarınca makul bir süre verilerek ihtar şartının (yerine getirme süresinin) işletilmesi zorunludur. İhtar mekanizması işletilmeden tesis edilen idari yaptırımlar şekil yönünden hukuka aykırıdır.

c) Mücbir Sebep / Teknik Arıza Niteliği ve Anlık Bildirim Yükümlülüğü Danıştay 13. Daire’nin 2022/3334 E. – 2022/3251 K. sayılı kararında, şanzıman arızaları, prob bozulmaları veya tank kalibrasyon ayarsızlıkları gibi durumların, sisteme dışarıdan kötü niyetli bir “müdahale” (kaçakçılık amacıyla sistemi manipüle etme) olarak nitelendirilemeyeceği açıkça karara bağlanmıştır.

Ancak burada yargının kırmızı çizgisi bildirim yükümlülüğüdür. Danıştay 13. Daire’nin 2022/2618 E. – 2024/1633 K. sayılı kararı uyarınca, arıza anında veya veri iletişim kopukluğunda otomasyon sistemine yapay veya yanıltıcı bir şekilde “0” (sıfır) verisi girmek ya da sistemi sessiz bırakmak yerine; yazılım arayüzünde ve Kuruma giden veri paketinde “EKSİK”, “HATALI”, “KALİBRASYON ARIZASI” veya “BAĞLANTI HATASI” gibi sistem durumunu net gösteren log ibarelerinin otomatik veya manuel olarak eklenmesi zorunludur. Bu tür şeffaf bildirimlerin yapıldığı durumlarda cezai sorumluluk doğmayacaktır.

d) Sorumluluk Döneminin Zamansal Sınırları (Şahsiliğin İlkesi) İdari cezaların şahsiliği ilkesinin bir uzantısı olarak, Danıştay 13. Daire’nin 2023/3009 E. – 2025/2144 K. sayılı kararında, dağıtıcı lisansı herhangi bir sebeple iptal edilen veya bayilik sözleşmesi infisah eden bir şirketin, bu fesih/iptal tarihinden sonraki bir dönemde bayinin otomasyon sisteminde meydana gelen veri kopukluklarından veya sistemsel hatalardan sorumlu tutulması hukuka aykırı bulunmuştur. Dağıtıcının hukuki ve cezai sorumluluğu, bayi üzerindeki fiili ve hukuki denetim yetkisinin devam ettiği dönemle sınırlıdır.

SONUÇ

Yargı kararları, EPDK’nın yazılımları bizzat test etme yükümlülüğüne dair sessiz kalırken; sorumluluğu ağırlıklı olarak “denetim ve bildirim” yükümlülüğü üzerinden dağıtıcı ve otomasyon şirketine yüklemektedir.

Ancak, idarenin gözetim görevini eksik yapması ve yazılımın teknik yeterliliğini bizzat doğrulamaması, “hukuki güvenlik” ve “idarenin kusuru” çerçevesinde güçlü bir itiraz noktası teşkil etmektedir. Özellikler düzeltme imkanı olan sistemsel hatalarda ihtar mekanizmasının işletilmemesi, yargı nezdinde iptal gerekçesi olarak kabul görmektedir. EPDK, doğruluğunu bizzat test etmediği bir yazılımın verilerini denetim süreçlerinde kullanırken, aslında “yetkilendirme” mekanizmasıyla sorumluluğu ve güveni otomasyon şirketine delege etmektedir.

Ancak bu durum, idarenin gözetim yükümlülüğünü ortadan kaldırmaz. Dağıtım şirketleri ve bayiler için en güçlü itiraz noktası; sistemin EPDK tarafından yetkilendirilmiş bir kuruluşça kurulmuş olması ve hatanın kullanıcı müdahalesi olmaksızın “sistemsel/algoritmik” bir arızadan kaynaklandığının teknik raporla (bilirkişi, sızma testi, log analizleri) ortaya konulmasıdır.

5015 sayılı Kanun m. 19/h uyarınca otomasyon şirketine kesilecek “onda bir” oranındaki ceza, sistemsel hatanın idari makamlarca da kabul edildiğinin bir karinesi olarak savunmalarda kullanılmalıdır.

Av. Ali Topçu