Ticari sır nedir, müşteri listeleri nasıl korunur? Çalışanların gizlilik yükümlülüklerini, KVKK kurallarını ve şirketlerin hukuki risklerini öğrenin.

Şirketlerde Ticari Sır ve Müşteri Bilgilerinin Korunması: Çalışanların Sorumlulukları ve Hukuki Riskler

Dijitalleşmenin hız kazanmasıyla birlikte işletmelerin en değerli varlıkları arasında artık yalnızca taşınmazlar, makineler ve finansal kaynaklar bulunmamaktadır. Müşteri portföyleri, fiyatlandırma politikaları, tedarikçi anlaşmaları, üretim yöntemleri, satış stratejileri ve şirket içi raporlar da işletmelerin rekabet gücünü doğrudan etkileyen önemli bilgiler arasında yer almaktadır.

Ancak şirketlere ait bilgilerin korunması, yalnızca bilgisayar sistemlerine şifre koymak veya çalışanlarla gizlilik sözleşmesi imzalamaktan ibaret değildir.

Özellikle çalışanların işten ayrılması, müşteri listelerinin kişisel e-posta adreslerine gönderilmesi, şirket belgelerinin yetkisiz kişilerle paylaşılması ve kurumsal sistemlere erişim yetkilerinin kontrol edilmemesi önemli hukuki ve ticari riskler oluşturabilmektedir.

Bu kapsamda ticari sırların korunması, kişisel verilerin güvenliği ve çalışanların gizlilik yükümlülükleri birbirinden farklı ancak birbiriyle yakından bağlantılı konular olarak değerlendirilmelidir.

Ticari Sır Nedir?

Ticari sır, bir işletmenin faaliyetleriyle ilgili olan, herkes tarafından bilinmeyen ve gizli tutulması nedeniyle işletmeye ekonomik veya rekabet avantajı sağlayan bilgileri ifade eder.

Örneğin bir şirketin müşterilerine uyguladığı özel fiyatlandırma yöntemi, henüz kamuoyuna açıklanmamış büyüme stratejisi veya rakipleri tarafından bilinmeyen üretim tekniği ticari sır niteliği taşıyabilir.

Ancak şirket bünyesinde bulunan her belge otomatik olarak ticari sır kabul edilmez.

Bilginin niteliği, kamuya açık olup olmadığı, işletme bakımından taşıdığı ekonomik önem ve gizliliğinin korunması için alınan önlemler birlikte değerlendirilmelidir.

Özellikle kolayca erişilebilen, sektör genelinde bilinen veya zaten kamuya açıklanmış bilgilerin ticari sır olarak korunması daha sınırlı olabilir.

Bu nedenle işletmelerin gerçekten korunması gereken bilgileri belirleyerek sınıflandırması önem taşır.

Hangi Bilgiler Ticari Sır Sayılabilir?

İşletmelerin faaliyet alanlarına göre ticari sır niteliği taşıyabilecek bilgiler farklılık gösterebilir.

Örneğin üretim sektöründe faaliyet gösteren bir şirket açısından özel üretim formülleri ve teknik süreçler önem taşırken, danışmanlık şirketlerinde müşteri ilişkileri, teklif stratejileri ve özel analiz yöntemleri ön plana çıkabilir.

Ticari sır niteliği taşıyabilecek bilgilere şu örnekler verilebilir:

• Kamuya açıklanmamış fiyatlandırma ve kârlılık stratejileri.

• Gizli tutulan müşteri ve tedarikçi sözleşmeleri.

• Özel üretim teknikleri ve ürün geliştirme süreçleri.

• Şirket içi satış hedefleri ve pazarlama planları.

• Henüz kamuya duyurulmamış yatırım kararları.

• Rekabet avantajı sağlayan yazılım ve iş süreçleri.

• Gizli tutulması gereken ticari müzakere bilgileri.

Bununla birlikte bu bilgilerin gerçekten ticari sır niteliği taşıyıp taşımadığı, somut olayın koşullarına göre belirlenir.

Ticari Sırlar Hangi Kanunlarla Korunmaktadır?

Türkiye'de ticari sırların korunması bakımından birden fazla hukuki düzenleme önem taşımaktadır.

Özellikle 6102 sayılı Türk Ticaret Kanunu'nun haksız rekabete ilişkin hükümleri, ticari sırların hukuka aykırı biçimde elde edilmesi veya açıklanması durumunda gündeme gelebilir.

Türk Ticaret Kanunu'nun 55'inci maddesinde, üretim ve iş sırlarının hukuka aykırı şekilde ifşa edilmesine ilişkin düzenlemeler bulunmaktadır.

Ayrıca Türk Borçlar Kanunu kapsamında çalışanların işverene karşı sadakat ve sır saklama yükümlülükleri söz konusu olabilir.

Somut olayın niteliğine göre Türk Ceza Kanunu hükümleri de değerlendirilebilir.

Ancak her gizlilik ihlalinin otomatik olarak suç oluşturduğu düşünülmemelidir.

Hukuki sorumluluğun belirlenmesinde bilginin niteliği, elde ediliş yöntemi, kullanım amacı ve ortaya çıkan sonuçlar önem taşır.

Müşteri Listeleri Ticari Sır mıdır?

Şirketlerin en sık karşılaştığı sorunlardan biri, müşteri listelerinin korunmasıdır.

Özellikle satış ve pazarlama ekiplerinde çalışan personelin müşteri telefon numaralarına, e-posta adreslerine, satın alma geçmişlerine ve sözleşme bilgilerine erişimi bulunabilir.

Ancak bir müşteri listesinin ticari sır niteliği taşıması, yalnızca içinde çok sayıda isim bulunmasına bağlı değildir.

Listenin nasıl oluşturulduğu, kamuya açık bilgilerden farklı içerik taşıyıp taşımadığı ve işletmenin bu bilgileri korumak için ne tür önlemler aldığı değerlendirilmelidir.

Örneğin herkesin erişebildiği bir ticaret rehberinde bulunan firma isimleriyle, yıllar içerisinde oluşturulmuş özel müşteri ihtiyaçları ve fiyatlandırma bilgilerinin aynı şekilde değerlendirilmesi doğru olmayabilir.

Ayrıca müşteri listelerinde gerçek kişilere ait bilgiler bulunuyorsa kişisel verilerin korunmasına ilişkin hükümler de gündeme gelir.

Ticari Sır ile Kişisel Veri Arasındaki Fark

Ticari sırlar ile kişisel veriler birbirinden farklı hukuki kavramlardır.

Ticari sır, işletmeye ait ve gizli tutulması ekonomik önem taşıyan bilgilerle ilgiliyken kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder.

Örneğin bir şirketin gelecek yıl uygulamayı planladığı özel fiyatlandırma stratejisi ticari sır niteliğinde olabilir.

Buna karşılık şirketin müşterisi olan gerçek kişinin adı, telefon numarası ve e-posta adresi kişisel veri niteliği taşıyabilir.

Bazı bilgiler her iki koruma alanını aynı anda ilgilendirebilir.

Örneğin gerçek kişi müşterilerin iletişim bilgilerinin, satın alma alışkanlıklarının ve özel fiyat anlaşmalarının bulunduğu bir veri tabanı hem ticari sır hem de kişisel veri yönünden değerlendirme gerektirebilir.

Bu nedenle işletmelerin yalnızca gizlilik sözleşmesine dayanması, kişisel veri koruma yükümlülüklerini ortadan kaldırmaz.

Çalışanlar Şirket Bilgilerini İşten Ayrılırken Alabilir mi?

Çalışanların işten ayrılma sürecinde şirket belgelerini kişisel bilgisayarlarına veya e-posta adreslerine aktarması önemli uyuşmazlıklara neden olabilmektedir.

Özellikle müşteri portföyü, fiyat teklifleri, satış raporları ve ticari yazışmaların izinsiz şekilde kopyalanması, bilginin niteliğine ve kullanım amacına göre hukuki sorumluluk doğurabilir.

Ancak işten ayrılan bir çalışanın önceki işyerinde edindiği bütün bilgi ve deneyimi kullanmasının yasak olduğu söylenemez.

Çalışanın mesleki bilgi birikimi ile şirkete ait korunması gereken gizli bilgiler birbirinden ayrılmalıdır.

Ayrıca geçerli bir rekabet yasağı sözleşmesi bulunup bulunmadığı ve bu sözleşmenin kanuni sınırlar içerisinde düzenlenip düzenlenmediği önem taşır.

Dolayısıyla işten ayrılma sonrasında ortaya çıkan uyuşmazlıklar, genel ifadelerle değil, somut sözleşme hükümleri ve olayın özellikleri dikkate alınarak değerlendirilmelidir.

İş Sözleşmelerinde Gizlilik Maddesi Bulunmalı mı?

İşletmelerin çalışanlarla yaptıkları iş sözleşmelerinde gizlilik yükümlülüklerine açık şekilde yer vermesi yararlı olabilir.

Bu kapsamda hangi bilgilerin gizli kabul edildiği, çalışanların bu bilgilere hangi amaçlarla erişebileceği ve yetkisiz paylaşımın sonuçları belirlenebilir.

Ancak gizlilik sözleşmelerinin çok genel ve belirsiz ifadeler içermesi, uygulamada yorum farklılıklarına neden olabilir.

Örneğin şirketle ilgili her türlü bilginin süresiz ve koşulsuz şekilde gizli sayılması, her olay bakımından uygulanabilir bir sonuç doğurmayabilir.

Bu nedenle sözleşme hükümlerinin şirketin faaliyet alanına ve korunması gereken bilgilere uygun hazırlanması önemlidir.

Ayrıca iş sözleşmesindeki gizlilik yükümlülüğü ile rekabet yasağı hükümleri birbirinden ayrı değerlendirilmelidir.

Gizlilik Sözleşmesi ile Rekabet Yasağı Aynı Şey mi?

Gizlilik sözleşmesi, belirli bilgilerin yetkisiz şekilde açıklanmasını veya kullanılmasını önlemeyi amaçlar.

Rekabet yasağı ise belirli koşullar altında çalışanın iş ilişkisinin sona ermesinden sonra rakip faaliyetlerde bulunmasını sınırlandırabilir.

Türk Borçlar Kanunu'nun 444 ve devamı maddelerinde rekabet yasağına ilişkin hükümler bulunmaktadır.

Bu tür sözleşmelerin geçerli olabilmesi için ilgili kanuni şartların sağlanması gerekir.

Özellikle rekabet yasağının yer, zaman ve iş türü bakımından uygun sınırlar içerisinde düzenlenmesi önem taşımaktadır.

Her çalışanın bütün sektörlerde uzun yıllar çalışmasını yasaklayan genel bir hükmün otomatik olarak geçerli olacağı düşünülmemelidir.

Bu nedenle işverenlerin gizlilik yükümlülüklerini rekabet yasağı hükümleriyle karıştırmaması gerekir.

Şirket E-Postalarının Kişisel Hesaplara Gönderilmesi

Kurumsal yazışmaların çalışanların kişisel e-posta adreslerine yönlendirilmesi önemli veri güvenliği riskleri oluşturabilir.

Özellikle ticari sözleşmelerin, müşteri listelerinin veya finansal raporların kişisel hesaplara aktarılması, şirketin bilgi güvenliği kontrollerini zayıflatabilir.

Ancak bu tür bir işlemin hukuki niteliği değerlendirilirken çalışanın görevi, işverenin talimatları, veri aktarımının amacı ve şirket içi politikalar dikkate alınmalıdır.

Örneğin uzaktan çalışma amacıyla kullanılan ve işveren tarafından izin verilen güvenli bir sistem ile şirket verilerinin izinsiz şekilde kişisel depolama alanına aktarılması aynı durum değildir.

İşletmelerin bu tür riskleri azaltmak amacıyla kurumsal e-posta ve dosya paylaşım politikaları oluşturması önemlidir.

Şirket Bilgilerinin WhatsApp Üzerinden Paylaşılması

Günümüzde birçok işletme müşteri iletişimi, sipariş yönetimi ve ekip koordinasyonu amacıyla mesajlaşma uygulamalarından yararlanmaktadır.

Ancak şirket belgelerinin kişisel mesajlaşma gruplarında kontrolsüz şekilde paylaşılması veri güvenliği açısından risk oluşturabilir.

Özellikle müşteri kimlik bilgileri, personel belgeleri, fiyat teklifleri ve özel sözleşmelerin yetkisiz kişilerin bulunduğu gruplara gönderilmesi çeşitli hukuki sonuçlar doğurabilir.

Bu nedenle işletmelerin hangi bilgilerin hangi iletişim kanallarında paylaşılabileceğini belirlemesi gerekir.

Ayrıca gruptan ayrılan çalışanların erişimi, telefon değişiklikleri ve cihaz kayıpları gibi durumlar da bilgi güvenliği bakımından değerlendirilmelidir.

KVKK Kapsamında Şirketlerin Veri Güvenliği Sorumlulukları

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesi, veri sorumlularına kişisel verilerin güvenliğini sağlamaya yönelik yükümlülükler getirmektedir.

Buna göre veri sorumluları, kişisel verilerin hukuka aykırı işlenmesini ve verilere yetkisiz erişimi önlemek amacıyla gerekli teknik ve idari tedbirleri almak zorundadır.

Bu tedbirlerin kapsamı işletmenin faaliyet alanına, işlediği kişisel verilerin niteliğine ve mevcut risklere göre değişebilir.

Örneğin küçük bir danışmanlık şirketi ile milyonlarca müşterinin verisini işleyen büyük bir e-ticaret platformunun risk profili aynı değildir.

Ancak işletmenin küçük olması, kişisel veri güvenliği yükümlülüklerinin tamamen ortadan kalktığı anlamına gelmez.

Bu nedenle her işletmenin kendi veri işleme süreçlerini değerlendirmesi gerekir.

Şirketlerde Erişim Yetkileri Nasıl Belirlenmeli?

Bilgi güvenliğinin önemli unsurlarından biri, çalışanların yalnızca görevleri için gerekli bilgilere erişebilmesidir.

Örneğin depo personelinin bütün müşteri sözleşmelerini görüntülemesi veya pazarlama çalışanının tüm personelin bordro bilgilerine erişebilmesi çoğu durumda gerekli olmayabilir.

Bu nedenle kullanıcı yetkilerinin görev tanımlarına uygun şekilde sınırlandırılması yararlı olacaktır.

Özellikle muhasebe yazılımları, müşteri ilişkileri yönetimi sistemleri ve bulut depolama alanlarında erişim yetkilerinin düzenli gözden geçirilmesi önemlidir.

Çalışanların görev değişiklikleri ve işten ayrılmaları sırasında yetkilerin güncellenmesi de bu sürecin parçasıdır.

Bu uygulama yalnızca dış saldırılara karşı değil, şirket içindeki yanlışlıkla veya yetkisiz gerçekleşebilecek veri erişimlerine karşı da koruma sağlayabilir.

İşten Ayrılan Çalışanın Sistem Erişimi Ne Zaman Kapatılmalı?

İşten ayrılan çalışanların kurumsal sistemlere erişiminin zamanında sonlandırılması, işletmelerin bilgi güvenliği bakımından önemli bir kontrolüdür.

Özellikle kurumsal e-posta, muhasebe yazılımları, müşteri veri tabanları, bulut depolama hesapları ve uzaktan erişim uygulamaları kontrol edilmelidir.

Ancak erişimin sonlandırılması işlemleri yapılırken iş hukukundan ve kişisel verilerin korunması mevzuatından kaynaklanan yükümlülükler de dikkate alınmalıdır.

Örneğin çalışanın kurumsal hesabındaki bütün içeriklerin hiçbir değerlendirme yapılmadan incelenmesi veya kişisel nitelikteki yazışmaların sınırsız şekilde görüntülenmesi hukuki sorunlar oluşturabilir.

Bu nedenle hesap kapatma, kurumsal verilerin devri ve gerekli kayıtların saklanması için önceden belirlenmiş prosedürler uygulanmalıdır.

Şirket Verilerinin Yanlış Kişiye Gönderilmesi Veri İhlali midir?

Şirketlerde zaman zaman yanlış e-posta adresine belge gönderilmesi veya müşteri bilgilerinin farklı kişilere iletilmesi gibi hatalar yaşanabilmektedir.

Bu tür olaylarda öncelikle gönderilen bilgilerin niteliği ve yetkisiz kişilerin bu verilere erişip erişmediği değerlendirilmelidir.

Örneğin bir müşteriye ait kişisel bilgilerin aynı isimli başka bir müşteriye gönderilmesi, kişisel veri güvenliği bakımından ihlal niteliği taşıyabilir.

Kişisel Verileri Koruma Kurulunun kararlarında da yanlış kişiye veri gönderilmesi ve çalışanların yetkilerini kişisel amaçları için kullanması gibi olaylar değerlendirilmiştir.

Bu nedenle işletmelerin yanlış gönderimleri basit bir yazışma hatası olarak görmeden, olayın kişisel veri güvenliği yönünden sonuçlarını incelemesi gerekir.

Kişisel Veri İhlalinde 72 Saat Kuralı Nedir?

Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı kapsamında, kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi durumunda Kurula yapılacak bildirimin gecikmeksizin ve ihlalin öğrenilmesinden itibaren en geç 72 saat içinde gerçekleştirilmesi öngörülmüştür.

Ancak bu kural, şirkette meydana gelen bütün teknik sorunların otomatik olarak bildirilmesi gerektiği anlamına gelmez.

Olayın kişisel veri ihlali niteliği taşıyıp taşımadığı değerlendirilmelidir.

İhlalden etkilenen ilgili kişilere de koşullara göre makul olan en kısa süre içerisinde bildirim yapılması gerekir.

İşletmelerin böyle bir durumla karşılaştığında hangi birimin karar vereceğini ve ihlal değerlendirmesinin nasıl yürütüleceğini önceden belirlemesi önemlidir.

Ticari Sır İhlalinde Şirketin Zararları Nasıl Ortaya Çıkabilir?

Ticari sırların yetkisiz şekilde açıklanması, şirketlerin doğrudan veya dolaylı zararlarla karşılaşmasına neden olabilir.

Örneğin özel fiyatlandırma stratejisinin rakip işletmeler tarafından öğrenilmesi, teklif süreçlerinde rekabet avantajının kaybedilmesine yol açabilir.

Benzer şekilde müşteri portföyünün hukuka aykırı şekilde kullanılması, müşteri ilişkilerinin zarar görmesi veya sözleşme kayıpları gibi sonuçlar doğurabilir.

Ancak zararın ve hukuki sorumluluğun belirlenmesinde olayın somut koşulları önemlidir.

Her bilgi paylaşımının otomatik olarak tazminat hakkı doğurduğu düşünülmemelidir.

Şirketlerin böyle durumlarda delillerin korunması ve hukuki sürecin doğru yönetilmesi için uzman değerlendirmesi alması yararlı olabilir.

Şirketler Gizli Bilgilerini Nasıl Koruyabilir?

Bilgi güvenliği yalnızca teknoloji departmanının sorumluluğunda değildir.

Şirket yönetimi, insan kaynakları, muhasebe, satış ve operasyon birimleri de gizli bilgilerin korunmasında rol oynamaktadır.

Bu nedenle işletmelerin bilgi güvenliği politikalarını çalışanların anlayabileceği şekilde hazırlaması önemlidir.

Özellikle erişim yetkilerinin sınırlandırılması, güvenli parola kullanımı, çok faktörlü kimlik doğrulama, güvenli yedekleme ve çalışanların düzenli bilgilendirilmesi gibi tedbirler veri güvenliği risklerinin azaltılmasına yardımcı olabilir.

Ayrıca şirketlerin tedarikçi ve dış hizmet sağlayıcılarla yaptıkları sözleşmelerde gizlilik ve veri güvenliği yükümlülüklerini açık şekilde düzenlemesi yararlı olacaktır.

Şirket Yöneticileri İçin Ticari Sır ve Veri Güvenliği Kontrol Listesi

İşletmelerin aşağıdaki konuları düzenli olarak değerlendirmesi önem taşımaktadır:

1. Ticari sır niteliği taşıyan bilgilerin belirlenmesi.

2. Gizli belgeler için uygun erişim yetkilerinin tanımlanması.

3. Çalışanların gizlilik yükümlülükleri hakkında bilgilendirilmesi.

4. İş sözleşmelerindeki gizlilik hükümlerinin gözden geçirilmesi.

5. Rekabet yasağı hükümlerinin kanuni sınırlara uygun düzenlenmesi.

6. Müşteri veri tabanlarının yetkisiz erişime karşı korunması.

7. Kurumsal e-posta ve dosya paylaşım kurallarının oluşturulması.

8. İşten ayrılan çalışanların erişim yetkilerinin zamanında kapatılması.

9. Kişisel veri ihlali durumlarında uygulanacak prosedürlerin belirlenmesi.

10. Tedarikçi ve dış hizmet sağlayıcılarla veri güvenliği sorumluluklarının düzenlenmesi.

11. Bilgi güvenliği eğitimlerinin belirli aralıklarla gerçekleştirilmesi.

12. Şirket içi risk değerlendirmelerinin düzenli olarak güncellenmesi.

Bu kontroller, işletmelerin hem ticari bilgilerini hem de müşterilere ve çalışanlara ait kişisel verileri daha güvenli şekilde yönetmesine yardımcı olabilir.

Sonuç: Şirketlerin En Değerli Varlıklarından Biri Bilgidir

Şirketlerin rekabet gücü yalnızca finansal kaynaklarından veya fiziksel varlıklarından oluşmamaktadır.

Müşteri ilişkileri, ticari anlaşmalar, üretim teknikleri ve stratejik bilgiler de işletmeler açısından önemli ekonomik değer taşıyabilmektedir.

Ancak bu bilgilerin korunmasında yalnızca gizlilik sözleşmeleri veya teknolojik güvenlik önlemleri yeterli olmayabilir.

Çalışanların yetki sınırlarının belirlenmesi, şirket içi bilgi paylaşımının kontrol edilmesi ve kişisel veri güvenliği yükümlülüklerinin yerine getirilmesi de önem taşımaktadır.

Özellikle müşteri listelerinin korunması, çalışanların işten ayrılma süreçlerinin yönetilmesi, yetkisiz veri aktarımının önlenmesi ve olası kişisel veri ihlallerine karşı hazırlıklı olunması, şirketlerin hukuki ve ticari risklerini azaltabilecek temel uygulamalar arasındadır.

İşletmelerin bilgi güvenliğini yalnızca teknik bir konu olarak değil, kurumsal yönetim ve iç kontrol sisteminin ayrılmaz bir parçası olarak değerlendirmesi gerekmektedir.

Bu makale genel bilgilendirme amacıyla hazırlanmıştır. Somut uyuşmazlıklarda Türk Ticaret Kanunu, Türk Borçlar Kanunu, Kişisel Verilerin Korunması Kanunu ve ilgili diğer mevzuat hükümleri birlikte değerlendirilmelidir.