Teşebbüslerin Uluslararası Mevzuata Uyum Yükümlülüğü ve Rekabet Kurumu’nun Veri Erişim Talebi

Giriş

Rekabet Kurulu’nun (“Kurul”) 7 Kasım 2019 tarih ve 19-38/581-247 sayılı kararında (“Karar”) Siemens Healthcare Sağlık A.Ş.’de (“Siemens Healthcare”) 2 Ekim 2019 tarihinde yapılmak istenen yerinde incelemenin engellediği veya zorlaştırıldığı iddiası değerlendirildi[1]. Yerinde inceleme, Kurul’un 07.02.2019 tarih ve 19-06/55-M sayılı kararı uyarınca yürütülmekte olan önaraştırma kapsamında gerçekleştirdi (“Önaraştırma Kararı”).

Son dönemde sık sık rastlanan “yerinde incelemenin engellenmesi” kararlarının arasından bu kararın konu olarak seçilmesi ise Siemens Healthcare çalışanlarının yerinde incelemeyi gerçekleştiren uzmanların veri erişim talebini ilk etapta kabul etmemesi ve buna gerekçe olarak ise Siemens Healthcare’ın uluslararası merkezinin bu erişime onay vermesi gerektiğini göstermesine dayanıyor. Bu kapsamda, Karar esasen incelenen uluslararası bağlantılı teşebbüslerin, Rekabet Kurumu’nun veri erişim taleplerini uluslararası güvenlik mekanizmaları ve ilgili mevzuata uyum yükümlülükleri kapsamında bertaraf edip edemeyeceğine ışık tutuyor.

Dayanak

4054 sayılı Rekabetin Korunması Hakkında Kanun’un (“Rekabet Kanunu”) 15’inci maddesinde “yerinde inceleme” yetkisi detaylıca açıklanmaktadır. Rekabet Kanunu’nun 16(1)(d) maddesinde ise yerinde incelemenin engellenmesi/zorlaştırılması halinde Kurul’un teşebbüsler ile teşebbüs birlikleri veya bu birliklerin üyelerinin karardan bir önceki mali yılsonunda oluşan veya bunun hesaplanması mümkün olmazsa karar tarihine en yakın mali yıl sonunda oluşan ve Kurul tarafından saptanacak olan yıllık gayri safi gelirlerinin binde beşi oranında idarî para cezası vereceği ifade edilmektedir.

Rekabet Kanunu’nun 17(1)(b) maddesinde Kurul’un teşebbüs ve teşebbüs birliklerine, 16(1)’de belirtilen cezalar saklı kalmak kaydıyla, yerinde incelemenin engellenmesi ya da zorlaştırılması durumunda her gün için, ilgili teşebbüsler ile teşebbüs birlikleri ve/veya bu birliklerin üyelerinin karardan bir önceki mali yılsonunda oluşan, bunun hesaplanması mümkün olmazsa karar tarihine en yakın mali yılsonunda oluşan ve Kurul tarafından saptanacak olan yıllık gayri safi gelirlerinin on binde beşi oranında idarî para cezası vereceği düzenlenmektedir.

Rekabet Kanunu’nun 17’inci maddesinde Kurul’un, teşebbüs ve teşebbüs birliklerine, 16(1)’inci maddede belirtilen cezalar saklı kalmak kaydıyla, a) Nihai karar veya geçici tedbir kararı ile getirilen yükümlülüklere ya da verilen taahhütlere uyulmaması, b) Yerinde incelemenin engellenmesi ya da zorlaştırılması, c) Rekabet Kanunu’nun 14 ve 15’inci maddelerinin uygulanmasında, istenen bilgi veya belgenin belirlenen süre içinde verilmemesi durumlarında her gün için, ilgili teşebbüsler ile teşebbüs birlikleri ve/veya bu birliklerin üyelerinin karardan bir önceki mali yılsonunda oluşan, bunun hesaplanması mümkün olmazsa karar tarihine en yakın mali yılsonunda oluşan ve Kurul tarafından saptanacak olan yıllık gayri safi gelirlerinin on binde beşi oranında idarî para cezası verebileceği düzenlenmektedir. Yerinde incelemenin engellenmesi ya da zorlaştırılması fiillerine ilişkin idarî para cezası ise, fiilin gerçekleştiği günü takip eden günden itibaren verilebilir.

Yerinde İnceleme

Yerinde inceleme günü Rekabet Kurumu raportörleri Siemens Healthcare yetkililerine, çalışanlarının tamamını kapsayacak şekilde inceleme taleplerini iletmiştir. Siemens Healthcare yetkilileri ise istenen incelemenin nasıl yapılacağı konusunda küresel merkeze (“Siemens Global”) danışılması gerektiğini belirterek incelemeye ilk etapta izin vermemiştir. Siemens Global ise böyle bir aramanın ‘‘eDiscovery” özelliği aracılığıyla yapılması ve bunun için küresel düzeyde gerekli izinlerin verilmesi gerektiği belirtmiştir.

Bunun üzerine raportörler, küresel yetki ile sadece Türkiye çalışanlarına ilişkin arama yapılması için ilgili erişimin sağlanmasını talep etmiştir. Söz konusu izinlerin alınması için yurtdışıyla görüşmeler yapılmış ve incelemenin içeriği ve kapsamı hakkında Siemens Global’a bilgi verilmiştir. Yapılacak incelemenin kapsamının “Siemens Healthcare kullanıcıları” ile sınırlı olacağı ve hukuki endişeleri engellemek adına yapılacak “eDiscovery” araması esnasında teşebbüs yetkililerinin de incelemeye refakat edebileceği teşebbüse belirtilmiştir. Öte yandan Siemens Healthcare tarafından, “eDiscovery” özelliği kapsamında yapılacak bir aramanın sadece Siemens Healthcare çalışanlarını değil, Avrupa Birliği’nde mukim tüm çalışanların bilgilerine erişim anlamına geldiği ve bu durumun başka yargı alanlarında farklı riskler yaratma ihtimaline neden olduğu için bu tür erişim şeklinin kabul edilemeyeceği ifade edilmiştir.

İlaveten, Siemens Healthcare tarafından başka ülkelerde kanuna aykırı bir duruma sebebiyet vermemek adına kişi, tarih ve arama parametrelerinin paylaşılması halinde bu bilgi setinin hazırlanarak Rekabet Kurumu’na iletilebileceği ifade edilmiştir. Bu durum karşısında uzmanlar, Rekabet Kanunu kapsamında yerinde incelemenin önerilen usulde gerçekleştirilemeyeceğini belirtmiş ve süreci tutanağa aktarmıştır.

Siemens Healthcare 8 Ekim 2019 tarihinde Rekabet Kurumu’na bir dilekçe sunarak yerinde inceleme sırasındaki veri erişim talebini aynı gün içinde yerine getirememe nedeninin, bunun birçok güvenlik protokolü, akdi yükümlülük, fikri mülkiyet hususları ve Avrupa'da, ABD'de ve dünyanın geri kalanında uygulanan veri koruma yasalarının ihlali anlamına gelmesi olduğunu belirtmiştir.

Bununla birlikte Siemens Healthcare, Rekabet Kurumu’nun talebini yerine getirmenin yollarını aradığını eklemiş ve buna ilişkin olarak aşağıdaki çözümü sunmuştur: (I) Ağa bağlanacak olan dizüstü bilgisayarın Siemens Healthcare tarafından Microsoft'un Güvenlik ve Uyum Merkezi aracılığıyla sağlanacağı, (II) Tam erişimin Kurum tarafından belirlenen tarih ve zamanda gerçekleştirileceği ve bir bilişim teknolojileri departmanı çalışanının yardımcı olacağı, (III) Siemens Healthcare avukatlarının, Rekabet Kurumu incelemesine nezaret etmesinin büyük önem taşıdığı, (IV) Kurum yetkililerinin, Siemens Healthcare’in geçmişteki veya mevcut çalışanları tarafından gönderilmiş veya alınmış tüm elektronik belgelerine erişebileceği, ancak belgelerin bir kısmının şifrelenmiş olabileceğinden ve bu belgelerin talep edilmesi halinde söz konusu şifrelerin kaldırılmasının zaman alabileceği, (V) Kurum yetkililerine; verilerin yerinde incelemesi öncesi, sırası ve sonrasında orijinal formatında tutulduğuna dair ilave teknik bilgiler sunulacağı, (VI) Tüm bu çalışma Microsoft'un güvenlik protokolleri kapsamında ve Siemens Healthcare çalışanlarının desteğiyle gerçekleştirileceğinden, hem Rekabet Kurumu hem de Siemens Healthcare’in tüm diğer kanunları ihlal iddialarına karşı koruma altında olacağı belirtilmiştir. Siemens Healthcare, Rekabet Kurumu’nun ilgili çözümü teyidi halinde yukarıdaki erişim prosedürünü derhal başlatmaya hazır olduğunu ifade etmiştir.

15 Ekim 2019 tarihinde Siemens Healthcare’ın Ankara’da bulunan ofisinde incelemenin gerçekleşmesine karar verilmiştir.

Karar ve Gerekçe

Karar ve gerekçesi aşağıdaki şekildedir:

• 02 Ekim 2019 tarihinde gerçekleştirilen yerinde incelemede “eDiscovery” yönteminin kullanılamaması nedeniyle yerinde incelemeden beklenen fayda elde edilememiştir. Bahsi geçen yerinde incelemenin ‘‘eDiscovery’’ aracılığıyla arama yapmaya yönelik izin verilmeyerek teşebbüs yetkilileri tarafından zorlaştırıldığı ve engellendiği anlaşılmıştır. Sunucu üzerinde bulunan verilerin 02.10.2019 tarihinde yapılan yerinde inceleme öncesi, sırası ve sonrasında orijinal formatında tutulduğuna dair teknik bilgilerin sunulması durumu, yerinde incelemenin teşebbüs tarafından zorlaştırıldığı ve engellendiğine ilişkin hukuki değerlendirmeyi değiştirebilecek nitelikte değildir. Nitekim yerinde inceleme doğası gereği teşebbüslere haber verilmeksizin, ansızın, süratli ve kesintisiz biçimde gerçekleştirilmelidir.
• Siemens Healthcare tarafından sağlanan teknik verilerle yerinde incelemenin yapıldığı 02.10.2019 tarihi ile “hold” özelliğinin açıldığı 11 Ekim 2019 tarihleri arasında sistem üzerinde herhangi bir değişikliğin yapılmadığı ortaya koyulabilmektedir. Fakat 02 Ekim 2019 tarihinde yapılacak ‘‘eDiscovery’’ aramasının, aramanın yapıldığı günden itibaren 30 gün geriye doğru “hard delete” yapılmış e-postalar üzerinden de gerçekleştirilebileceği anlaşılmaktadır. Bu nedenle 15 Ekim 2019 tarihinde yapılan incelemede elde edilen veriler, 02 Ekim 2019 tarihinde gerçekleştirilen yerinden incelemeye nazaran daha kısıtlı bir zaman aralığını kapsamakta ve bu verilerin aynı veriler olduğunu ifade etmek mümkün görünmemektedir.
• Yerinde incelemenin engellenmemesi ve/veya zorlaştırılmamasından anlaşılması gereken teşebbüsün yalnızca izin verdiği bilgi ve belgeleri, uygun olduğu zamanda ve talep ettiği şekilde sunması değil, Rekabet Kurumu tarafından uygun görülen tarihte teşebbüsün tüm ilgili birimlerinde ve ilgili görülen belgeler için gerekli incelemenin yapılmasıdır.
• 02 Ekim 2019 tarihli ilk inceleme gününde, incelemenin yapılabildiği bilgisayarlarda hangi anahtar kelimelerin arandığı teşebbüs yetkililerince öğrenilmiş olup detaylı bir biçimde bu kelimelerle kendi sunucularında ‘‘eDiscovery’’ araması yapma şansına sahip olmuştur. Bunların yanında Siemens Healthcare’ın yerinde incelemenin kesintisiz ve anında yapılabilmesi için teknik bir imkânsızlık yaşadığından söz etmek de mümkün değildir.

İdari Para Cezası

Kurul, Siemens Healthcare’a Rekabet Kanunu’nun 16(1)(d) maddesi uyarınca, yerinde incelemenin engellenmesi ya da zorlaştırılması dolayısıyla 2018 mali yılı sonunda oluşan gayri safi gelirinin binde beşi oranında idari para cezası verilmesi gerektiği sonucuna ulaşmıştır.

Buna ilaveten Kurul, Siemens Healthcare’a Rekabet Kanunu’nun 17(1)(b) maddesi uyarınca yerinde incelemenin zorlaştırılması fiilini gerçekleştirdiği 02.10.2019 tarihini takip eden 03.10.2019 gününden başlayıp teşebbüsün yazılı davetinde yerinde inceleme yapılmasına ilişkin teknik hususları halledip böyle bir incelemeye izin verdiği 15.10.2019 tarihine kadar, 12 gün süre ile her gün için 2018 mali yılı sonunda oluşan gayri safi gelirinin on binde beşi oranında olmak üzere idari para cezası verilmesi gerektiği sonucuna varmıştır. Karar, oybirliği ile alınmıştır.

Sonuç

Karar, uluslararası bağlantısı olan teşebbüslerin Rekabet Kurumu’nun veri erişim taleplerini uluslararası güvenlik mekanizmaları ve ilgili mevzuata uyum yükümlülükleri kapsamında bertaraf edemeyeceğini ve bu halde yerinde incelemenin zorlaştırılması ya da engellenmesi uyarınca ceza alabileceklerini göstermesi açısından son derece önemlidir.

Yakın zamanlı Kurul incelemelerinde de incelenen ve uluslararası merkezi olan teşebbüslerin, uluslararası hukuk kurallarına ya da güvenlik protokollerine uyum yükümlülüklerini gerekçe göstererek Rekabet Kurumu’nun veri erişim taleplerini tam olarak karşılamak konusunda diğer teşebbüslere oranla daha isteksiz olduğu gözlemlenmektedir. Karar ise uluslararası mevzuata uyum yükümlülüğü gerekçelerinin Rekabet Kanunu’nun 16’ıncı maddesinin yorumlanmasında bir değişiklik yaratmadığını gözler önüne sermektedir.

[1] https://www.rekabet.gov.tr/Karar?kararId=38800013-e0f0-4375-9f16-ce520b83e25c (Erişim Tarihi: 27 Mart 2020).