İşten Ayrılan Çalışan Müşteri Listesini Kopyaladı: Ne Yapmalı? Veri İhlali Bildirimi, Haksız Rekabet ve Şirketin Kendi Sorumluluğu

Kısa cevap: aynı anda üç ayrı iş başlatmanız gerekiyor. Birincisi delili bozmadan olayı tespit etmek, ikincisi bunu Kişisel Verileri Koruma Kurulu'na veri ihlali olarak bildirmek, üçüncüsü haksız rekabet ve ceza yollarını işletmek. Sıralama önemli, çünkü ikinci adımın süresi çok kısa. Bir müşteri listesi, içinde ad soyad, telefon, e-posta, yetkili kişi ve satın alma geçmişi barındırdığı ölçüde kişisel veridir ve bu verilerin bir çalışan tarafından izinsiz kopyalanması, 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrasındaki "işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi" hâlini oluşturur. Yani olay sizin açınızdan bir güven ihlali, Kurul açısından bir veri ihlalidir. İşin can sıkıcı tarafı da burada: aynı dosyada hem mağdur hem sorumlu olabilirsiniz.

Bu ikili konumun dayanağı açık bir ilke kararı. Kurul'un 31 Mayıs 2018 tarihli ve 2018/63 sayılı ilke kararına göre, bir veri sorumlusu nezdinde bulundukları pozisyon veya görev itibariyle kişisel verilere erişme yetkisi olanlar tarafından, yetkileri aşmak veya yetkilerini kötüye kullanmak suretiyle, kişisel amaçlara bağlı olarak bu verilerin işleme amacı dışında işlenmesi ve üçüncü kişilerle paylaşılması Kanun'un 12. maddesinin birinci fıkrasına aykırılık teşkil ediyor. Karar, bu tür eylemlerin önlenmesi amacıyla veri sorumlularından uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almasını istiyor. Cümlenin öznesi çalışan değil, şirket. "Kötü niyetli bir personelimiz vardı" savunması tek başına bir yere varmıyor, çünkü Kurul soruyu "bunu nasıl yapabildi" biçiminde kuruyor.

İki karar, bu sorunun cevabının ne kadar teknik olduğunu gösteriyor. İlki Kurul'un 29 Eylül 2020 tarihli ve 2020/744 sayılı kararı. Bir bankanın çalışanı, 346 müşterinin şube numarası, hesap numarası, adı soyadı, cep telefonu numarası ve bir yatırım firmasına gönderdikleri işlem tutarlarını bir Word dosyasına işlemiş, dosyayı kendisini o firmada çalışan bir arkadaş olarak tanıtan üçüncü kişiye e-postayla göndermişti. Müşterilerin hiçbiri çalışanın bağlı olduğu şubenin müşterisi değildi, yani veriyi toplamasının bir mesnedi de yoktu. Bankanın veri sızıntısı tespit ve önleme sistemi vardı, ama giden e-postayı engellemedi. Kurul sistemin varlığını değil sonucunu değerlendirdi ve yetkisiz aktarımı önleme bakımından alınan tedbirlerin yetersiz kaldığına hükmetti. Çalışanın ihlalden bir yılı aşkın süre önce kişisel verilerin korunması eğitimini tamamlamış olması da eğitimin yeterliliği konusunda şüphe doğurdu. Veri güvenliği yükümlülüğünden 225.000 TL, geç bildirimden 50.000 TL, toplam 275.000 TL idari para cezası uygulandı.

İkinci karar tespit süresiyle ilgili ve daha öğretici. Kurul'un 7 Mayıs 2020 tarihli ve 2020/359 sayılı kararında bir bankanın eski çalışanı, dışarıdan kendisine iletilen kimlik numaralarıyla Kredi Kayıt Bürosu ekranında sorgulama yapıyor, sonuçları bir kâğıda not alıp zaman zaman fotoğraflıyordu. Temmuz 2018 ile Mayıs 2019 arasında 7.305 sorgulama yapılmış, mükerrer kayıtlar ayıklandığında 5.695 kişi etkilenmişti. Bunların 2.851'i bankanın müşterisi bile değildi. Sorgulama sayısına ilişkin kontrol yıllık periyotlarla yapıldığından ihlal yaklaşık bir yıl sürmüş, ancak 18 Temmuz 2019'da fark edilebilmişti. Kurul, sorgulamada kota bulunmamasını, kullanıcı yetki ve rol kontrollerinin ihlalden sonra devreye alınmasını ve eğitimlerin belgelenememesini ayrı ayrı eksiklik saydı. 400.000 TL veri güvenliği, 50.000 TL geç bildirim olmak üzere toplam 450.000 TL ceza çıktı. Karardaki asıl mesaj şu: bir çalışanın veriyi dışarı taşıyabilmesi kadar, bunu aylarca fark edememeniz de ayrı bir kusurdur.

Bildirim kısmına gelelim, çünkü uygulamada en çok atlanan adım bu. Kanun'un 12. maddesinin beşinci fıkrası, verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde durumun ilgili kişiye ve Kurula bildirilmesini istiyor. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı buradaki "en kısa süre" ifadesini 72 saat olarak yorumluyor ve süre, ihlalin öğrenildiği andan itibaren işlemeye başlıyor. Bildirim formundaki bilgilerin tamamı aynı anda sağlanamıyorsa bildirimin gecikmeye mahal verilmeksizin aşamalı olarak yapılması gerekiyor. Eksik bilgi beklemek bir mazeret değil. 2020/359 sayılı kararda veri sorumlusu, delillerin yetersizliğini, olayın mahiyetinden emin olamamayı ve müşteri şikâyeti bulunmamasını gerekçe göstermiş, Kurul bunları geçerli mazeret saymamıştı. İlgili kişilere bildirim ise ayrı bir başlık: makul olan en kısa sürede, iletişim adresine doğrudan ulaşılabiliyorsa doğrudan, ulaşılamıyorsa internet sitesi gibi uygun yöntemlerle. Aynı kararda bankanın yalnızca kendi kayıtlarında iletişim bilgisi bulunanlara ulaşması, etkilenenlerin tamamına ulaşmak için makul çaba gösterilmediği biçiminde değerlendirildi.

Delil toplarken ikinci bir ihlal üretmemek gerekiyor. Şirketlerin ilk refleksi, ayrılan kişinin bilgisayarını ve posta kutusunu baştan sona taramak oluyor. Kurul'un 25 Kasım 2021 tarihli ve 2021/1187 sayılı kararında bir işveren, eski çalışanının kurumsal e-posta hesabına hiçbir aydınlatma yapmadan erişmiş ve elde ettiği yazışmaları yargılamada delil olarak sunmuştu; Kurul, çalışana işlemenin hukuki dayanağı, amaçları ve denetimin kapsamı hakkında önceden bilgi verilmediğini tespit ederek işlemeyi hukuka aykırı buldu. Pratik sonucu şudur: inceleme yetkinizin dayanağı, olaydan önce yazılmış ve çalışana tebliğ edilmiş bir bilgi güvenliği politikası ile aydınlatma metnidir. Böyle bir altyapınız yoksa da yapılacak işler var. İncelemeyi iş amaçlı sistemlerle sınırlayın, açıkça özel nitelik taşıyan klasörlere girmeyin, işlemi tutanakla ve tek kişiyle değil yürütün, diski üzerinde çalışmadan önce imajını alın. Ciddi dosyalarda mahkemeden delil tespiti istemek en güvenli yol. Bakılacak yerler de bellidir: giden e-postalardaki büyük ekler, kişisel adreslere yapılan yönlendirmeler, bulut depolama yüklemeleri, harici disk ve USB bağlantı kayıtları, müşteri yönetim sistemindeki toplu dışa aktarma logları.

Şimdi karşı tarafa geçelim. Müşteri listesinin ticaret hukuku araçlarıyla korunabilmesi için önce onun bir sır olması gerekiyor. Yargıtay'ın yerleşik yaklaşımında ticari sır; tacire rakiplerine karşı ekonomik üstünlük sağlayan, gizli tutulan ve gizli kalması için sahibi tarafından gerekli önlemlerin alındığı bilgi olarak tanımlanıyor. Son şart pek çok davanın kaderini belirliyor. Herkesin erişebildiği bir sektör rehberinden derlenebilecek isim listesi sır sayılmaz. Buna karşılık yetkili kişileri, alım sıklığını, iskonto oranlarını, sözleşme yenileme tarihlerini ve fiyat geçmişini içeren bir müşteri kaydı korunmaya değer bir sırdır. Dikkat ederseniz KVKK tarafında sizden istenen tedbirlerle burada aranan koruma büyük ölçüde aynı yere çıkıyor. Türk Ticaret Kanunu'nun 55. maddesinin birinci fıkrasının (d) bendi, gizlice ve izinsiz olarak ele geçirilen ya da başkaca hukuka aykırı biçimde öğrenilen iş sırlarının değerlendirilmesini veya başkalarına bildirilmesini haksız rekabet sayıyor. Aynı fıkranın (b) bendi ise işçileri, vekilleri veya diğer yardımcı kişileri, işverenlerinin üretim ve iş sırlarını ifşa etmeye veya ele geçirmeye yöneltmeyi haksız rekabet hâlleri arasında sayıyor; bu hüküm çoğu zaman eski çalışanı değil, onu transfer eden rakibi hedef alır. Açılabilecek davalar 56. maddede sayılmış: tespit, men, durumun düzeltilmesi, maddi ve manevi tazminat. Süreye dikkat edin, çünkü 60. maddeye göre bu davalar öğrenmeden itibaren bir yıl ve her hâlde doğumlarından itibaren üç yıl geçmekle zamanaşımına uğruyor.

Ceza tarafında iki ayrı suç var ve biri diğerinin yerine geçmiyor. Türk Ceza Kanunu'nun 136. maddesi, kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişiyi iki yıldan dört yıla kadar hapis cezasıyla cezalandırıyor. Buradaki mağdur listedeki müşterilerdir; suç şikâyete bağlı değildir, savcılık öğrendiğinde resen soruşturur. İkincisi 239. madde: sıfatı veya görevi, mesleği ya da sanatı gereği vakıf olduğu ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi veya belgeleri yetkisiz kişilere veren veya ifşa eden kişi, şikâyet üzerine bir yıldan üç yıla kadar hapis ve beşbin güne kadar adli para cezasıyla cezalandırılıyor. Burada mağdur şirkettir ve şikâyet şarttır. Haksız rekabet fiillerinin kasten işlenmesi de Türk Ticaret Kanunu'nun 62. maddesi uyarınca iki yıla kadar hapis veya adli para cezası gerektiriyor ve o da şikâyete bağlı. Uygulamada üç yol birlikte işletilir; suç duyurusunda hangi eylemin hangi maddeye karşılık geldiğini ayrı ayrı göstermek dosyanın gidişatını değiştirir.

İş hukuku tarafı, kişi hâlâ bünyenizdeyse en hızlı sonuç veren yol. İş Kanunu'nun 25. maddesinin ikinci fıkrasının (e) bendi, işçinin işverenin güvenini kötüye kullanması ve işverenin meslek sırlarını ortaya atması gibi doğruluk ve bağlılığa uymayan davranışlarını haklı nedenle derhal fesih sebebi sayıyor. Ama saat işliyor. 26. maddeye göre bu fesih yetkisi, fiilin öğrenildiği günden başlayarak altı iş günü geçtikten sonra kullanılamıyor; her hâlde fiilin gerçekleşmesinden itibaren bir yıllık süre de var, ancak işçinin olayda maddi çıkar sağladığı hâllerde bu bir yıllık süre uygulanmıyor. Soruşturmayı sürüncemede bırakmak fesih hakkınızı yakabilir. Rekabet yasağı ayrı bir konu. Türk Borçlar Kanunu'nun 444. maddesi, yasağın geçerliliği için sözleşmenin yazılı olmasını, iş ilişkisinin işçiye müşteri çevresi veya üretim sırları hakkında bilgi edinme imkânı vermesini ve bu bilgilerin kullanılmasının işverene önemli bir zarar verecek nitelikte olmasını arıyor. 445. madde ise yasağın yer, zaman ve işlerin türü bakımından uygun sınırlar içinde kalmasını, süresinin özel durum ve koşullar dışında iki yılı aşmamasını istiyor. Elinizde geçerli bir rekabet yasağı yoksa dosya kapanmaz; ticari sır ve kişisel veri yolları bundan bağımsız olarak açıktır.

Listeyi devralan taraf da rahat değil. Bir satış temsilcisinin "portföyüyle birlikte" geldiğini duyduğunuzda aslında dinlediğiniz şey, o kişinin önceki işvereninin veri tabanını yanında getirdiğidir. O listeyi arama, teklif gönderme veya kampanya duyurusu yapma amacıyla kullanan yeni şirket, o veriler bakımından kendisi veri sorumlusu olur. Elinde ne bir hukuki sebep vardır, ne müşterilere yapılmış bir aydınlatma. Kurumun 21 Temmuz 2026 tarihli kamuoyu duyurusu bu noktayı doğrudan ele aldı ve kişisel verilerin üçüncü kişilerden elde edilmiş olmasının, veri sorumlusuna bu verileri reklam ve pazarlama amacıyla işlemek için tek başına bir hukuki sebep sağlamadığını, aydınlatma yükümlülüğünün yerine getirilmesi ve gerekli hâllerde ayrı bir irade beyanıyla açık rıza alınması gerektiğini vurguladı. İnsan kaynakları görüşmesinde adaydan müşteri listesi istemek veya "kaç müşteri getirebilirsin" sorusunu bir yetkinlik ölçüsü gibi kullanmak, şirketi haksız rekabetin yöneltme hâline de yaklaştırır.

Bu dosyaların çoğu ayrılık gününde değil, ondan haftalar önce kaybediliyor. Önleme tarafında birkaç başlık gerçekten fark yaratıyor. Erişim yetki ve kontrol matrisi kurun ve Kişisel Veri Güvenliği Rehberi'nin önerdiği gibi "Yasaklanmadıkça Her Şey Serbesttir" değil "İzin Verilmedikçe Her Şey Yasaktır" prensibiyle çalışın. Aynı rehber, veri sorumlusuyla ilişikleri kesilen çalışanlar için zaman kaybetmeksizin hesabın silinmesini ya da girişlerin kapatılmasını istiyor; istifa dilekçesiyle hesabın gerçekten kapanması arasında geçen iki hafta, çoğu olayda verinin dışarı çıktığı penceredir. Müşteri yönetim sisteminde toplu dışa aktarma yetkisini herkese açık bırakmayın, dışa aktarımı loglayın, makul bir kota koyun. Log tutmak tek başına yetmez, birinin o kayıtlara bakması gerekir; 2020/359'daki asıl kusur kontrolün yılda bir yapılmasıydı. Veri sızıntısı önleme çözümünüz varsa çalıştığını düzenli olarak test edin, çünkü 2020/744'te sistemin varlığı savunma sayılmadı. Gizlilik taahhüdü ve işleyen bir disiplin süreci, işten çıkış kontrol listesi, zimmet iadesi tutanağı ve şirket dışı bulut kullanımına dair net bir kural hem ihlali zorlaştırır hem denetimde işinizi kolaylaştırır. 2026 yılı için veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor; bu aralığın yanında bir yetki matrisi çalışmasının maliyeti tartışılacak bir kalem değil.

Bir personel çıkışının ardından "acaba ne götürdü" sorusunu soruyorsanız, cevabı loglardan ve yetki listelerinden aramaya başlamak gerekiyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde erişim yetkilerinizi, çıkış sürecinizi, log ve dışa aktarım kayıtlarınızı ve ihlal bildirimine hazırlık durumunuzu birlikte gözden geçirip hangi adımın eksik kaldığını çıkarıyoruz.

Randevu Al