Sarıyer’de Şirket Verisi, Kaynak Kod ve Eski Çalışan Erişimi Uyuşmazlıkları

Sarıyer’in Maslak ve Ayazağa çevresinde yazılım, finans ve danışmanlık alanında çalışan çok sayıda şirket bulunur. Bu tür kurumlarda en değerli varlık çoğu zaman bir binadan çok bir veri kümesi veya bir kaynak kod deposudur. İşten ayrılan bir çalışanın erişim yetkisinin kapanmaması, dosyaların kişisel buluta aktarılması veya müşteri listesinin rakibe gitmesi, bilişim ve ticaret hukukunun kesiştiği dosyalara yol açar. Aşağıdaki bölümler bu alandaki başvuru yollarını özetler.

Adliye bilgisi

Adalet Bakanlığı’nın Adli Yargı Rehberi’ne göre Sarıyer, İstanbul Adliyesi’nin yargı çevresindedir; adliyenin merkezi Çağlayan’da, Şişli’dedir. Ceza soruşturmaları bu adliyenin başsavcılığına yapılan başvurularla başlar. Ticari uyuşmazlıklarda ise görevli ve yetkili mahkemeyi dava konusu, sözleşme yeri ve davalının yerleşimi belirler; bu nedenle sözleşmedeki yetki hükmü ayrıca okunmalıdır.

Yetkisiz erişim mi, yetkili kullanımın kötüye kullanılması mı?

Bir çalışanın kendi yetkisi dâhilindeki sisteme girmesi ile yetkisini aşarak veya iş sona erdikten sonra sisteme girmesi hukuken farklı değerlendirilir. İş ilişkisi sona erdikten sonra hâlâ açık kalan bir hesapla sisteme girilmesi TCK m.243 kapsamında incelenir. Verilerin silinmesi, değiştirilmesi veya sistemin engellenmesi ise TCK m.244’e girer. Yetki sınırının sözleşme, politika ve erişim kayıtlarıyla ortaya konması gerekir; bu nedenle şirketlerin yetkilendirme matrisi ve çıkış prosedürleri dosyada belirleyici olur.

Ticari sır ve haksız rekabet

Bilgi sızdırılmışsa yalnızca bilişim suçları değil, ticari sır niteliği taşıyan bilgilerin açıklanması (TCK m.239) ve haksız rekabet (TTK m.55/1-a ve devamı) da gündeme gelir. Ticari sır sayılabilmesi için bilginin gizli tutulması, ticari değer taşıması ve sahibinin makul gizlilik önlemleri alması beklenir. Her müşteri listesi kendiliğinden ticari sır sayılmaz; listenin nasıl oluşturulduğu ve ne ölçüde kamuya açık olduğu araştırılır.

Yazılım ve kaynak kod

Çalışan tarafından geliştirilen yazılımın kime ait olduğu, iş sözleşmesine ve Fikir ve Sanat Eserleri Kanunu hükümlerine göre belirlenir. Kod deposundan izinsiz kopyalama yapılmışsa depo kayıtları (commit geçmişi, erişim logları) delil olarak önem taşır. Kaynak kodu içeren delillerin bilirkişiye sunulması sırasında gizlilik önlemleri talep edilmelidir; aksi hâlde yargılama sırasında da bilgi sızabilir.

Şirket içi inceleme

Olay fark edildiğinde işe iadeyi veya disiplin sürecini kötüleştirmemek için şirket içi inceleme dikkatle yürütülmelidir. Çalışanın bilgisayarına erişim yetkisi, bilgi güvenliği politikası ve çalışanlara önceden yapılmış bildirimle desteklenmelidir. Özel yazışmalara erişim, özel hayatın gizliliği açısından ayrıca sakıncalı olabileceğinden ölçülülük esas alınmalıdır.

Kişisel veri boyutu

Sızan veri müşteri veya çalışan kişisel verisi içeriyorsa şirket veri sorumlusu olarak KVKK m.12/5 uyarınca Kurul’a bildirim yükümlülüğü ile karşı karşıya kalır; bildirim ilke olarak 72 saat içinde yapılır. Bildirim yapılmaması ayrıca idari yaptırım doğurabilir (KVKK m.18).

Süreç sırası

1. Erişim yetkilerinin derhal kapatılması ve kayıtların yedeklenmesi
2. Şirket içi incelemenin belgelenmesi
3. Çalışan veya üçüncü kişiye uyarı yazısı
4. Gerekirse savcılığa başvuru ve delil tespiti
5. Tazminat veya tedbir isteyen hukuk davası

Sarıyer için sık sorulan sorular

Çalışan şirket bilgisayarındaki dosyaları kendi diskine kopyaladı, suç olur mu?

Kopyalamanın yetkisiz olup olmadığı, bilgisayarın kime ait olduğu ve verinin niteliği değerlendirilir. Yetki sınırı politikalarla desteklenmediyse tartışma doğabilir.

Rakip firma müşterilerimi arıyor, sır sızdırıldığını nasıl ispatlarım?

İletişim kayıtları, sızdırılan dosyanın erişim logları ve müşteri beyanları birlikte değerlendirilir. Savcılık veya mahkeme aracılığıyla ek kayıtlar istenebilir.

Rekabet yasağı sözleşmesi geçerli midir?

Rekabet yasağının süresi, yeri ve konusu sınırlı olmalıdır; aşırı geniş yasaklar hâkim tarafından daraltılabilir (TBK m.444 ve devamı).

Tedbir talep edebilir miyim?

Evet; hızlı koruma gereken hâllerde HMK m.389 vd. uyarınca ihtiyati tedbir istenebilir. Yaklaşık ispat ve acil durum gibi şartlar aranır.

Çalışanın şifresini değiştirip hesabına girmek hukuka uygun mudur?

Hesabın şirkete ait olması ve önceden yapılmış bildirim gibi unsurlar önemlidir. Kişisel hesaplara girilmemelidir; hukuka aykırı elde edilen delilin kullanılması sorun yaratabilir.

Mevzuat dayanağı özeti

• TCK m.243: bilişim sistemine girme ve orada kalma
• TCK m.244: sistemi engelleme, bozma, verileri yok etme veya değiştirme
• TCK m.239: ticari sır, bankacılık sırrı ve müşteri sırrı niteliğindeki bilgilerin açıklanması
• TTK m.54-55: haksız rekabet
• TBK m.444 vd.: rekabet yasağı
• KVKK m.12 ve m.18: veri güvenliği yükümlülüğü ve idari yaptırımlar
• HMK m.389 vd. ve m.400: ihtiyati tedbir ve delil tespiti

Dava mı, ceza soruşturması mı?

Her olayda ceza soruşturması ile tazminat davası birlikte gerekmez. Bazı şirketler, ilişkiyi bozmamak veya sırrın daha fazla dolaşıma girmesini önlemek için önce ihtar ve tedbir yolunu tercih eder; bazıları ise delil toplama gücü nedeniyle savcılık yolunu seçer. İki yol birbirini dışlamaz, ancak sırası ve zamanlaması stratejiyi etkiler. Ceza yargılamasında verilen kararın kusur ve zarar bakımından hukuk hâkimini bağlamadığı da (TBK m.74) göz önünde tutulmalıdır.

Konuyla ilgili genel bilgi için TCK 243 ve 244 suç tipi tespiti ve veri ihlali bildirim süreci sayfalarına bakılabilir.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.