G-B7N2H7TNZP
top of page

Rekabet Kurumu’nun Yerinde İnceleme Yetkisinin Kişisel Verilerin Korunması Hukuku Bağlamında Tahlili



Dijitalleşmenin ve teknolojik gelişmelerin ivmelenmesi sonrasında kişisel veri işleme faaliyetleri çok daha yaygın bir hale gelmiş ve bireylerin bu verilerin mahremiyeti hakkında kaygıları da bu ivmelenmeye paralel olacak şekilde yoğunlaşmıştır. Söz konusu kaygıların önüne geçmek amacıyla bu konuda çeşitli yasal düzenlemeler yapılmış gün geçtikte modern ekonominin vazgeçilmezi haline gelen ‘veri’ hususu üzerine daha çok düşünülmeye başlanılmıştır. Diğer taraftan teşebbüslerin rekabet hukukundan doğan yükümlülüklerini ihlal edip etmediğinin tespitinde, Rekabet Kurumuna 4054 sayılı Rekabetin Korunması Hakkında Kanun’un 15. maddesi uyarınca verilen en önemli enstrümanlardan birinin de, kendisine verilen görevleri yerine getirirken, gerekli gördüğü hallerde, teşebbüs ve teşebbüs birliklerinde ‘yerinde inceleme yapma yetkisi’ olduğu görülmüştür. Rekabet Kurumu bu yetkisini kullanırken, teşebbüslerin önemli verilerini ilgili mevzuat uyarınca veri işlemeye tabi tutabilmektedir. Bu kapsamda, Rekabet Kurumu’nun yerinde inceleme yetkisinin kullanımında kişisel verilerin korunması hukuku bakımından tahlili önem arz eden bir zaruret haline gelmiştir.


Rekabet Kurumu’nun Yerinde İnceleme Yetkisinin Kişisel Verilerin Korunması Düzenlemeleri Bakımından Değerlendirilmesi

Rekabet Kurumu yaptığı yerinde incelemelerde, teşebbüslerin ve teşebbüs birliklerinin hissedarlarının ve çalışanlarının ve ayrıca müşterilerinin, tedarikçilerinin, iş ortaklarının ve bunların çalışanlarının ve hissedarlarının kişisel verilerini içeren her türlü bilgi ve belgeyi inceleyebilmekte ve gerekli gördüğü hallerde söz konusu kayıtların kopyalarını alabilmektedir. İşte tam da Rekabet Kurumunun bu yetkisini kullandığı durumlarda, incelenen ve/veya kopyalanan bilgi ve belgeler arasında kişisel verilerin de bulunması olasılık dahilinde olacak akabindeki süreçte Kurumun KVKK kapsamında ‘kişisel veri işleme’ faaliyetleri gerçekleştirdiği ortaya konabilecektir. Belirtmek gerekir ki, KVKK’nin kapsamı incelendiğinde, coğrafi kapsama açıkça yer verilmemiş olsa da, bu düzenlemenin Türkiye sınırları içerisinde kişisel veri işleyen tüm gerçek ve tüzel kişileri kapsadığı açıktır. Bakıldığında, KVKK hükümlerinin tam yahut kısmi olarak uygulanamayacağı haller ilgili kanunun 28. maddesince düzenlenmekte ancak Kurumun yerinde inceleme yetkisini kullanırken işlediği kişisel veriler bakımından tam istisna hallerinin düzenlendiği KVKK’nın 28.maddesinin 1.fıkrasının (ç) bendinde yer alan “Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.” hükmünün mü yoksa kısmi istisna hallerinin düzenlendiği 28. maddenin 2. fıkrasının (c) bendinde yer alan ‘Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması’ hükmünün mü uygulanacağı tespite muhtaçtır. Konu üzerinde henüz bir görüş birliği sağlanamamasına rağmen daha çok desteklenen görüşün, bağımsız bir idari otorite olan Rekabet Kurumu’nun görev ve yetkileriyle örtüşme noktasında ‘düzenleme ve denetleme görevlerinin yürütülmesi’ ifadesini barındıran 2. fıkranın (c) bendinin bu konuda daha uygulanabilir bir düzenleme olduğu tespit edilmiştir. Buna göre, kural olarak bu fıkrada sayılan hallerde KVKK’ye uyum yükümlülüğü bulunmakla birlikte, yalnızca ayrıksı tutulan belirli hükümler açısından, bunların ilgili işleme hallerinde uygulanamayacağı yönünde bir istisna öngörülmektedir. Önemle belirtmek gerekir ki yalnızca muayyen durumlarda ve madde hükümlerinin uygulanmamasına ilişkin istisna öngörülmüş olup; bu maddeler ve sayılan durumlar dışında her halükarda KVKK düzenlemelerine ve ilgili mevzuata uyulması gerekmektedir. Dolayısıyla, veri sorumlusu olarak Rekabet Kurumu’nun, bu sayılan istisna kapsamındaki özel haller dışında KVKK’den ve sair mevzuattan kaynaklanan yükümlülükleri devam etmektedir. Bu kapsamda, Kurum tarafından yerinde inceleme etkisinin kullanılması halinde her ne kadar yukarıda tartıştığımız hükümler uygulanmayacak olsa da, yerinde inceleme süreçleri kapsamındaki kişisel veri işleme faaliyetlerinin, KVKK’nin 5. ve 6. Maddelerinde düzenlenen kişisel veri işlemenin hukuki şartları bakımından değerlendirilmesi gerekmektedir.


Özel nitelikli kişisel veri (sağlık bilgilerine ve cinsel hayata ilişkin) dışında kalan kişisel verilerin işlenmesi bakımından her bir işleme faaliyeti için farklılık gösterilebilecek olsa da genel olarak Rekabet Kurumu tarafından KVKK’nin 5. maddesinin 2. fıkrasının (a) ve (ç) bentlerinde yer alan ‘kanunlarda açıkça öngörülmesi’ ile ‘veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri işlememenin zorunlu olması’ hukuki şartlarına dayanılarak ilgili kişilerin açık rızaları temin edilmeksizin söz konusu işleme faaliyetleri gerçekleştirilebilecektir. Dolayısıyla KVKK’de düzenlenen temel ilkelere uygun olması ve gerekli her türlü idari ve teknik tedbirin alınması şartıyla, Kurum tarafından söz konusu kişisel veri işleme faaliyetlerinin, KVKK’nin 28. maddesindeki istisnai haller ile de birlikte değerlendirildiğinde, genel itibariyle aydınlatma ve konuya ilişkin açık rıza temin etme yükümlülükleri yerine getirilmeksizin gerçekleştirilmesi bakımından herhangi bir engel olmadığı düşünülmektedir.


Kurul, geleneksel usul yerinde incelemelerdeki yöntemlerini uygulamaya devam ederken, teknolojiyi de sürecin ayrılmaz bir parçası haline getirmekte. Bunu da son zamanlarda çeşitli adli bilişim aksiyonlarını alarak ortaya koymaya devam etmektedir. Teşebbüslerin de usul ve esasa dair teknik konularda çok temkinli olması ve Kurum tarafından yöneltilen uyarıları dikkate alması gerekmektedir. Bu hususta bir yerinde inceleme faaliyeti geçiren teşebbüste güvenlikten sorumlu kişilerden tutun da yönetim kurulu üyelerine kadar bütün çalışanların elini taşın altına koyması gerekmektedir. Geçtiğimiz dönemdeki kurulun hararetli kararlarının geleceğe yansıyacağını ve bu konuda daha sert tepkiler dahi alabileceğini düşünmekteyiz.



Diğer Hukuk Disiplinleri Bakımından Değerlendirme

Yerinde incelemeye ilişkin bahsedilen hükümler incelendiğinde, Kanun’un 15. maddesinde yerinde inceleme kararını vermeye yetkili makam bakımından ikili bir ayrım yapıldığı buradan yola çıkarak Kanun’un 15. maddesinin 1. fıkrası kapsamında yerinde inceleme kararı almaya yetkili makam idari bir organ olan Kurul olurken Kanun'un 15.maddesinin 3. fıkrası kapsamında yerinde inceleme kararı vermeye yetkili makam, yargı organı olan Sulh Ceza Hakimliği olacaktır. Anayasanın ‘Özel Hayatın Gizliliği’ kenar başlıklı 20. maddesi uyarınca kişilerin üstünün, özel kağıtlarının ve eşyalarının aranması ve bunlara el konulması ve ‘Konut Dokunulmazlığı’ kenar başlıklı 21. maddesi uyarınca; kişilerin konutuna girilmesi, arama yapılması ve konuttaki eşyaya el konulması için mutlak suretle usulüne göre verilmiş bir hakim kararının mevcudiyeti şarttır.


Kurumun idari bir vasıfla bir hakim kararına ihtiyaç duymadan yaptığı yerinde incelemelerin ‘orantılılık’ gereklilik’ ve ‘yerindelik’ kavramları bakımından çeşitli hak mahrumiyetleri ortaya çıkarabileceği daha sonradan açılabilecek idari davalarla birlikte bu hususun denetlenmesi mümkün olsa dahi Ceza Muhakemesi Hukuku bakımından bir kişinin bilgisayarında yahut elektronik gereçlerinde yapılacak aramanın çok sıkı şartlara tabi tutularak gerçekleştirilmesine karşın Kurumun bu yetkisinin üzerine daha çok düşünülmesi gerektiği değerlendirilmiştir.



Konuya İlişkin Kurum Tarafından Alınan Kararlar

Siemens Healthcare Kararı

(Rekabet Kurulu’nun 07.11.2019 tarih ve 19-38/581-247 sayılı kararı)


Kurum tarafından Siemens Healthcare’de yapılan yerinde incelemede, Kurum Siemens Healthcare çalışanlarının tamamını kapsayacak şekilde belirli tarihler ve anahtar sözcükler kullanarak inceleme yapmak için e-Discovery özelliğini kullanmak istediğini belirtmiş ancak teşebbüs yetkilileri bunun için Siemens Global’den bir izin alınması gerektiğini ifade etmişlerdir. Akabinde Rekabet Kurumu 12 gün gecikmeli olarak yerinde inceleme gerçekleştirmiştir. Ancak sunulan hiçbir savunmaya bakmadan kurum gecikmeli olarak yapılan yerinde incelemenin sonucunda:


  • Yerinde incelemenin teşebbüsün istediği zaman değil haber verilmeksizin ansızın, süratli ve kesintisiz biçimde gerçekleştirilmesi gerektiği,

  • Her ne kadar 30 gün kadar geçmişe ait verilere ulaşılabiliyor olsa dahi 15.10.2019 tarihinde gerçekleştirilen incelemenin 02.10.2019 tarihinde gerçekleştirilen incelemenin 02.10.2019 tarihinde gerçekleştirilen incelemenin daha kısıtlı bir süreye ilişkin olabileceği,

  • Hangi anahtar kelimelerin aranacağına ilişkin teşebbüsün fikri olduğu ve geçen sürede e-Discovery üzerinden bunlara ilişkin arama yapma şansının bulunduğu gerekçeleriyle yerinde incelemenin zorlaştırıldığı/geciktirildiği sonucuna ulaşmış ve 12 gün için her bir gün başına hesaplanacak para cezası ile birlikte geciktirme eyleminden kaynaklı maktu para cezası verilmesine karar verilmiştir.



Unilever Kara


Rekabet Kurumu uzmanları, yerinde inceleme kapsamında anahtar sözcükler ve tarihler kullanarak genel bir tarama yapılabilmesi için şirket çalışanlarından Office 365 uygulamasının bir özelliği olan E-Discovery’e erişim sağlanmasını talep etmiştir.


Teşebbüs, bu özelliğin sadece Türkiyeye has olmadığını , global bir özellik olduğunu ve bundan dolayı Unilever Global’den izin alınması gerektiğini belirtmiştir. Unilever Global ile yapılan görüşmeler sonucunda, Türkiye verilerinin global veriler ile ayrıştırılamadığı ve global verilere erişim için yetkili olmadıkları gerekçesiyle uzmanların talebi reddedilmiştir. Akabinde şirket yetkilileri gerekli izinlerin alındığını ve incelemenin yapılabileceğini iletmişlerdir. Ancak Kurum, yerinde incelemenin 40 dakika geciktirilmesinin dahi delillerin ortadan kaldırılması için yeterli olduğunu ifade eden Danıştay 13. Dairesi’nin 22.03.2016 tarih ve E. 2011/2660, K. 2016/775 sayılı kararına atıfta bulunarak, Unilever’deki gecikmeyi yerinde incelemenin engellenmesi olarak değerlendirmiş ve yerinde incelemeyi engellediği gerekçesiyle Unilever’e idari para cezası uygulamıştır.


Kaynakça

Comments


bottom of page