Şirket Satın Alma ve Birleşmelerde Müşteri Veritabanı Devredilebilir mi? Due Diligence, Hisse Devri ve Varlık Devrinde KVKK
Hisse devrinde veri sorumlusu değişmez, varlık devri ve birleşmede müşteri ile çalışan verileri aktarılır. Due diligence, VERBİS ve kapanış sonrası KVKK adımları.
Kısa cevap: devredilebilir, ama devrin biçimi her şeyi değiştiriyor. Hisse devrinde hedef şirketin tüzel kişiliği aynı kaldığı için veri sorumlusu değişmez ve teknik anlamda bir aktarım gerçekleşmez; ortaklık yapısının el değiştirmesi tek başına yeni bir hukuki sebep aramayı gerektirmez. Varlık devrinde ve birleşmede ise müşteri, çalışan ve tedarikçi verileri başka bir tüzel kişiye geçer. Bu, 6698 sayılı Kanun'un 8. maddesi anlamında bir aktarımdır ve 5. maddenin ikinci fıkrasındaki, özel nitelikli veriler bakımından 6. maddenin üçüncü fıkrasındaki şartlardan birine dayanmak zorundadır. Devralan şirket eline geçen veriyi dilediği amaçla da kullanamaz: verinin ilk toplandığı amaç, devirden sonra da sınırı çizmeye devam eder.
İki işlem tipini ayırmak, uyum bütçesinin nereye gideceğini belirliyor. Hisse alımında satın alınan şey paylardır. Şirketin VERBİS kaydı, aydınlatma metinleri, veri işleyenlerle imzalanmış sözleşmeler yerinde kalır; sicilde kayıtlı bilgilerde bir değişiklik olmadıkça güncellenecek bir şey de olmaz. Varlık alımında tablo tersine döner. Müşteri sözleşmeleri, ticari defterler, CRM kayıtları, çağrı merkezi ses kayıtları, kamera arşivi ve özlük dosyaları alıcının tüzel kişiliğine taşınır. Taşınan her veri kategorisi için sorulacak soru şu: bu kategoriyi hangi hukuki sebeple devralıyorum ve ilgili kişiye bunu nasıl anlatacağım?
Birleşmede Türk Ticaret Kanunu işi kolaylaştırıyor gibi görünür. Kanun'un 153. maddesine göre birleşme ticaret siciline tescille geçerlilik kazanır ve tescille birlikte devrolunan şirketin bütün aktifi ile pasifi kendiliğinden devralan şirkete geçer. Buradan “veriler de malvarlığıyla birlikte geçti, ayrıca hukuki sebep aramaya gerek yok” sonucuna atlamak yaygın bir hata. Külli halefiyet mülkiyetin ve borçların geçişini düzenler; kişisel verinin işlenmesini açıkça öngören bir hüküm değildir. Uygulamada iki kademeli kurgu daha savunulabilir oluyor: devrin kendisini ticaret hukukundaki halefiyete ve gereken hallerde meşru menfaate dayandırmak, devirden sonraki işleme faaliyetlerini ise kategori kategori kendi sebebine bağlamak. Meşru menfaate dayanıyorsanız dengeleme testini yazılı hale getirin. Kurul incelemesinde “meşru menfaatimiz vardı” demekle testi belgelemek arasında ciddi fark var.
Sürecin en kırılgan aşaması kapanış değil, due diligence. Satıcı tarafı alıcının sorularını cevaplamak için data room'a bordro dökümleri, personel listeleri, ilk on müşterinin ciro tabloları, devam eden iş davalarının dosyalarını yükler. Kanun'un 4. maddesindeki ölçülülük ve işlendikleri amaçla bağlantılı olma ilkeleri tam da burada devreye giriyor. Kademeli açılım işe yarıyor: ilk turda toplu ve kimliği belirsiz veri (kaç çalışan, hangi kıdem aralığı, hangi müşteri segmenti), ikinci turda maskelenmiş örnekler, kimliği belirli veri ise ancak gerçekten gerekliyse ve kapanışa yakın. Sağlık raporu, engel durumu, sendika üyeliği, adli sicil gibi özel nitelikli verilerin data room'da işi yok. Zorunluysa 6. maddedeki şartı ve 2018/10 sayılı ilke kararında sayılan ek güvenlik önlemlerini karşılamanız gerekir.
Açık rıza bu süreçte çoğu zaman çalışmayan bir araç. Henüz kapanmamış bir işlem için binlerce müşteriye “şirketimiz satılıyor, verilerinizin aktarılmasına onay verir misiniz” diye sormak hem gizliliği bitirir hem sonuç vermez; Kurum rehberlerinde açık rızanın her zaman geri alınabileceği kabul ediliyor, yani rıza tabanlı bir devir ilk günden dağılmaya açıktır. Daha sağlam zeminler var. Devam eden veya olası uyuşmazlıklarda 5. maddenin ikinci fıkrasının (e) bendindeki bir hakkın tesisi, kullanılması veya korunması için zorunlu olma hali; ticari sürecin yürütülmesi bakımından (f) bendindeki meşru menfaat; sözleşmeleri devralınan müşteriler için sözleşmenin ifasıyla doğrudan ilgili olma hali. Hangi bende dayandığınızı envanterde satır satır yazın, çünkü devirden sonraki ilk ilgili kişi başvurusunda size sorulacak şey tam olarak bu satır.
Çalışan verileri tarafında dayanak daha net. 4857 sayılı İş Kanunu'nun 6. maddesine göre işyeri veya bir bölümü hukuki bir işleme dayalı olarak devredildiğinde, devir tarihinde mevcut olan iş sözleşmeleri bütün hak ve borçlarıyla birlikte devralana geçer. Devralan işveren bu sözleşmelerle birlikte iş mevzuatı, sosyal güvenlik ve iş sağlığı düzenlemelerindeki kayıt tutma ve saklama yükümlülüklerini de üstlenir. Özlük dosyalarının devri bu nedenle kanunlarda öngörülme ve hukuki yükümlülüğün yerine getirilmesi bentlerine oturuyor. Kurul'un 08/10/2020 tarihli ve 2020/769 sayılı kararı bu tabloyu doğruluyor. Bir şirketi devralan veri sorumlusunun, devraldığı şirkette çalışmış bir kişinin verilerini işlemeye devam etmesi şikayet konusu olmuş. Kurul, işlemenin 5. maddenin ikinci fıkrasının (a) ve (ç) bentlerine dayandığını, özlük dosyasındaki sağlık verisinin sır saklama yükümlülüğü altındaki işyeri hekimi tarafından iş sağlığı ve güvenliği kapsamında tutulmasının 6. maddedeki şartı karşıladığını ve 2018/10 sayılı ilke kararında öngörülen önlemlerin alındığını değerlendirerek yaptırım uygulamamış. Aydınlatma iddiası ise verilerin Kanun'un yürürlük tarihi olan 7 Nisan 2016'dan önce elde edilmiş olması nedeniyle işlemden kaldırılmış. Karar, 6. maddenin 7499 sayılı Kanun'la 2024'te yeniden yazılmasından önceki döneme ait; bugün aynı olay üçüncü fıkradaki yeni bentler üzerinden değerlendirilir. Asıl ders şu: devralan şirket, kendisi toplamadığı verinin geçmişteki hukuka uygunluğunu da savunmak durumunda kalıyor. Bu yüzden aydınlatma ve rıza kayıtlarının teslim edilip edilmediği, devir dosyasında sözleşme kadar kritik bir başlık.
Kapanıştan sonra en sık yapılan hata, devralınan müşteri listesini hazır bir pazarlama kanalı gibi görmek. Diyelim ki devraldığınız şirket telefon numaralarını yalnızca sipariş takibi ve faturalama için topladı. O numaralara marka tanıtımı SMS'i göndermek verinin toplanma amacının dışına çıkmak olur ve ticari elektronik ileti mevzuatı bakımından ayrı bir onay sorunu doğurur. İzinlerin kime verildiği de değişmiştir. İYS tarafındaki onayların yeni tüzel kişilik altında kendiliğinden geçerli olduğunu varsaymak yerine, bu başlığı kapanış öncesinde ayrı bir iş kalemi olarak çalışmak gerekiyor.
Alıcı yabancıysa veya data room yurt dışındaki bir platformda kurulduysa süreç yurt dışına aktarım rejimine giriyor. Kanun'un 9. maddesi 2024'te 7499 sayılı Kanun'la yeniden düzenlendi: yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvenceler devreye giriyor. Standart sözleşme kullanıyorsanız, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan yönetmelik uyarınca imzadan itibaren beş iş günü içinde Kuruma bildirim yapılması gerekiyor; bildirmemek Kanun'un 18. maddesi kapsamında idari para cezasına bağlanmış durumda. Sanal data room'un sunucusunun hangi ülkede olduğunu sormayı atlayan ekip sayısı hiç az değil.
Rekabet hukuku tarafı KVKK ile aynı yöne çalışıyor. İşlem Rekabet Kurulu iznine tabiyse, izin çıkmadan tarafların birbirinin fiyat, müşteri ve maliyet verisine serbestçe erişmesi izinsiz uygulama riski yaratır; izne tabi bir birleşme veya devralmanın izin alınmaksızın gerçekleştirilmesi, önceki mali yıl sonunda oluşan yıllık gayri safi gelirin binde biri oranında idari para cezasıyla karşılanıyor. Pratik çözüm iki sorunu birden kapatıyor: erişimi sınırlı bir inceleme ekibi kurmak, rekabete duyarlı ve kimliği belirli verileri yalnızca bu ekibin görmesini sağlamak, erişim kayıtlarını tutmak.
Kapanış günü bitmiş bir iş değil, başlayan bir listedir. Veri Sorumluları Sicili Hakkında Yönetmelik'in 13. maddesi, sicilde kayıtlı bilgilerdeki değişikliğin meydana geldiği tarihten itibaren yedi gün içinde VERBİS üzerinden bildirilmesini istiyor; devralınan veri kategorileri, ilgili kişi grupları, alıcı grupları ve saklama süreleri bu kapsamda güncellenir. Birleşmede devrolunan şirketin tüzel kişiliği sona erdiği için kayıt yükümlülüğünü gerektiren faaliyet de ortadan kalkar ve aynı yönetmeliğin 14. maddesi uyarınca sicil kaydı silinir. Aydınlatma metinlerini yeni veri sorumlusunun kimliğiyle yenilemek, başvuru kanallarını tek noktada toplamak ve iki şirketin saklama ile imha politikalarını birleştirmek de aynı haftanın işi. Başvuru adresi devirde havada kalırsa gelen talepler kimseye ulaşmaz, Kanun'un 13. maddesindeki otuz günlük yanıt süresi farkında olunmadan kaçırılır.
İşlem yürümezse sorulacak ilk şey data room'daki verilerin akıbeti. Silme, yok etme veya anonim hale getirme yönetmeliği periyodik imha süresinin her halde altı ayı geçemeyeceğini söylüyor; bir due diligence artığı için altı ay beklemenin savunulabilir bir tarafı yok, imhayı süreç kapandığında yapıp tutanağa bağlamak gerekiyor. Sözleşme tarafında alıcının koruması beyan ve tazminat maddelerinden geliyor: VERBİS kaydının durumu, geçmiş veri ihlali bildirimleri, süren Kurul incelemeleri ve şikayetler, aydınlatma ve rıza kayıtlarının varlığı, veri işleyen sözleşmeleri, yurt dışı aktarım envanteri. Kesinleşmiş bir idari para cezası artık bir borçtur ve birleşmede devralan şirkete geçer. Devir öncesi döneme ilişkin bir inceleme sürüyorsa ve sorumluluğun kimde kalacağı sözleşmede yazılı değilse, fatura alıcıya çıkar.
Bir devir sürecinin ortasındaysanız, hangi işlem tipinde olduğunuzu ve data room'a hangi veri kategorilerinin gerçekten girmesi gerektiğini baştan netleştirmek hem zaman hem risk kazandırır. KVKK Danışman olarak birleşme ve devralma süreçlerinin veri koruma tarafını ücretsiz ön değerlendirmeyle inceliyoruz: mevcut envanter, VERBİS durumu, data room planı ve kapanış sonrası yapılacaklar listesi. Talebinizi iletmeniz yeterli.