Türkiye'de Ticari Sırlar ve İşletme Gizliliği: Şirketler, Kurucular ve Yatırımcılar için Hukuki Rehber

Değerli her işletme varlığı tescilli değildir. Bir şirket markasını koruyabilir, alan adını tescil ettirebilir, ofisinin sahibi olabilir ve sözleşmelerini imzalayabilir; yine de gerçek değeri çok daha az görünür bir yerde durabilir, müşteri ilişkilerinde, fiyatlandırma stratejisinde, tedarikçi koşullarında, teknik know-how'da, formüllerde, iç süreçlerde, finansal modellerde, yazılım mantığında, müzakere stratejisinde, pazar istihbaratında, veride, iş planlarında, ihale belgelerinde veya on yıllar içinde inşa edilmiş aile-şirketi bilgisinde. Bu varlıklar çoğu zaman gizli bilgi, işletme sırrı, ticari sır veya know-how olarak adlandırılır ve değerlidir, çünkü rakipler onları bilmez. Ancak gizlilik kırılgandır. Ayrılan bir çalışan dosyaları indirebilir; bir kurucu müşteri listeleriyle ayrılabilir; bir pay sahibi aile uyuşmazlığı sırasında iç bilgileri paylaşabilir; bir tedarikçi hassas sistemlere erişebilir; bir danışman strateji belgelerini yeniden kullanabilir; potansiyel bir yatırımcı bir data room alıp sonra çekilebilir; bir yapay zekâ aracı gizli istemler alabilir; bir siber olay iç kayıtları açığa çıkarabilir; bir ortak girişim ortağı işi öğrenip rakip hâline gelebilir.

Gizli bilgi kaybedildikten sonra hukuki çareler hâlâ mevcut olabilir, ama ticari üstünlük çoktan zarar görmüş olabilir. Türkiye'de ve sınır ötesinde faaliyet gösteren şirketler için ticari sır koruması, bir sözleşmenin sonuna eklenmiş bir madde gibi ele alınmamalıdır. Bir işletme disiplini olmalı ve ciddi bir fikri mülkiyet, medya ve teknoloji stratejisinin merkezinde durmalıdır. Asıl soru yalnızca "sırlarımız kötüye kullanılırsa dava açabilir miyiz?" değildir. Daha iyi soru şudur: sırlarımızın ne olduğunu belirledik mi, onlara kimin erişebileceğini sınırladık mı, gizlilik yükümlülüklerini belgeledik mi, dijital sistemlerimizi kontrol ettik mi ve delili hazırladık mı, bilgi kaybolmadan önce? Bu rehber, şirketlerin, kurucuların, yatırımcıların ve aile işletmelerinin Türkiye'de ticari sırlara ve işletme gizliliğine nasıl yaklaşması gerektiğini açıklıyor.

Ticari sır nedir?

Ticari sır, genel olarak bilinmediği için ticari değer taşıyan gizli işletme bilgisidir. Teknik, ticari, mali veya stratejik olabilir ve geniş bir alanı kapsar: müşteri ve tedarikçi listeleri, fiyatlandırma modelleri, kâr marjları, formüller ve reçeteler, üretim süreçleri, yazılım mimarisi ve kaynak kod, algoritmalar, yapay zekâ istemleri ve iş akışları, iş ve büyüme planları, ihale stratejisi, finansal modeller, yatırım sunumları ve data room materyalleri, ürün yol haritaları, pazar araştırması, sözleşme şablonları, dava stratejisi, müzakere pozisyonları, ticari ilişkiler, aile-işletmesi bilgisi, özel müvekkil bilgisi, iç politikalar ve operasyonel know-how. Asıl mesele şirketin hangi etiketi kullandığı değildir; bir şirket her şeyi basitçe "gizli" ilan edip güçlü koruma bekleyemez. Mesele, bilginin gerçekten gizli, ticari açıdan değerli ve makul önlemlerle korunup korunmadığıdır. Koruma, gerçekten önemli olanı belirleme disipliniyle başlar.

Ticari sırlar tescilli fikri mülkiyetten farklıdır

Tescilli fikri mülkiyet, markalar, patentler ve tasarımlar, tescil sistemleriyle korunur. Ticari sırlar farklıdır: gizli kaldıkları için korunurlar. Bir patent yayımlanabilir ve sınırlı bir süre korunur; bir marka görünür ve tescillidir; bir ticari sır yalnızca gizli tutulduğu sürece korunabilir. Bu, ticari sırları güçlü ama kırılgan kılar. Bir formül, müşteri veri tabanı, fiyatlandırma sistemi veya üretim yöntemi düzgün korunursa yıllarca değerli kalabilir, ancak bir kez kamuya açıklandığında gizlilik temelli kaybolabilir. Birçok işletme için, aile şirketleri, üreticiler, gıda ve içecek üreticileri, teknoloji ve yazılım şirketleri, lojistik operatörleri, sigortacılar, danışmanlık ve serbest meslek firmaları, gayrimenkul geliştiricileri, konaklama işletmecileri, distribütörler ve ticaret evleri ile yapay zekâ işletmeleri, ticari sırlar tescilli haklardan daha değerli olabilir. Hukuk yardımcı olabilir, ama ilk koruma disiplindir.

Gizliliğin Türkiye'de ve sınır ötesi işte önemi

Türkiye ticari olarak Avrupa'ya, Orta Doğu'ya, Orta Asya'ya, Birleşik Krallık'a ve Akdeniz'e bağlıdır; şirketler çoğu zaman yerel ortaklar, distribütörler, acenteler, çalışanlar, danışmanlar, aile ağları, yabancı yatırımcılar, ortak girişimler, tedarikçiler, dış kaynak sağlayıcıları, teknoloji tedarikçileri ve sınır ötesi data room'lar aracılığıyla faaliyet gösterir. Bu fırsat yaratır ve bilgi riski yaratır. Türkiye'ye giren bir yabancı yatırımcı stratejisini yerel bir ortakla paylaşabilir; bir Türk şirketi fiyatlandırmasını uluslararası bir distribütöre açıklayabilir; bir aile işletmesi iç kayıtlara erişimi olan ikinci kuşağı işe katabilir; bir teknoloji şirketi yazılım geliştirmeyi dışarıdan tedarik edebilir; yatırım arayan bir şirket defterlerini potansiyel alıcılara açabilir. Her durum güveni içerir, ama güven yapılandırılmalıdır. Gizlilik, bilgi paylaşılmadan önce nettir; ilişki bozulduktan sonra değil.

Türkiye'deki hukuki çerçeve

Türkiye, ticari sırları diğer bazı hukuk düzenlerindeki özel ticari sır rejimlerine eşdeğer tek ve müstakil bir kanunla korumaz. Bunun yerine koruma, birlikte çalışan birden çok yoldan doğabilir: haksız rekabet ilkeleri, sözleşmesel gizlilik yükümlülükleri, iş hukuku ödevleri ve sadakat borcu, gizlilik sözleşmeleri, pay sahipleri ve danışmanlık sözleşmeleri, data room kuralları, fikri mülkiyet belgeleri, belirli hâllerde ceza hukuku hükümleri, kişisel veri söz konusu olduğunda kişisel verilerin korunması kuralları ve mümkün olduğunda ihtiyati tedbirler ile mahkeme koruması. Türkiye'de ticari sır koruması bu nedenle sözleşme, kurumsal disiplin, iş ilişkisi belgeleri, dijital kontroller ve dava stratejisinin bir bileşimiyle kurulur. Bir şirket uyuşmazlığı bekleyip sonra koruma aramamalı; açıklamadan önce korumayı inşa etmeli ve gerektiğinde bunu disiplinli bir düzenleme ve uyum danışmanlığıyla koordine etmelidir.

Gizli bilgiyi belirlemek ve makul önlemler almak

En yaygın hatalardan biri gizli bilgiyi belirlememektir. "İşimizle ilgili her şey gizlidir" demek, işe yarayamayacak kadar geniştir; daha güçlü bir yaklaşım, hassas bilgi kategorilerini belirlemektir, müşteri bilgisi, tedarikçi koşulları, fiyatlandırma, teknik süreçler, stratejik planlar, finansal veri, ürün geliştirme, yazılım ve kod, çalışan bilgisi, özel müvekkil dosyaları, yönetim kurulu materyalleri, data room belgeleri, satın alma hedefleri ve uyuşmazlık stratejisi ve sonra her biri için kararı vermektir: kim erişebilir, nasıl saklanır, dışarıyla paylaşılabilir mi, onay gerekir mi, filigranlanmalı veya şifrelenmeli mi, erişim kaydedilmeli mi ve ne zaman silinmeli veya iade edilmeli. Bir şirket kendi sırlarını belirleyemiyorsa, sonradan bir başkasının onları sır olarak ele alması gerektiğini ispatlamakta zorlanır.

Koruma yalnızca bilginin kendisine değil, onu korumak için alınan önlemlere de bağlıdır. Makul önlemler şunları içerebilir: gizlilik maddeleri ve NDA'lar, sınırlı ve role dayalı erişim, parola koruması ve erişim kayıtları, çalışan eğitimi, temiz masa politikaları, güvenli belge depoları, yönetim kurulu portalı kontrolleri, filigranlama ve belge etiketleri, şifreleme, data room kuralları, çıkış görüşmeleri ve cihazların iadesi, silme sertifikaları, tedarikçi gizlilik koşulları, ayartmama (non-solicitation) maddeleri ve siber kontroller. Ölçüt kusursuzluğu gerektirmez; ciddiyeti gerektirir. Hassas dosyaları herkese açık bırakan bir şirket, bilgiyi sır olarak ele aldığını savunmakta zorlanabilir. Şirket, önemli olanı korumak için pratik adımlar attığını gösterebilmelidir.

NDA'lar ve kontrollü açıklama

Gizlilik sözleşmeleri önemlidir ve potansiyel yatırımcılar ile alıcılar, satıcılar, danışmanlar, geliştiriciler, acenteler ve distribütörler, tedarikçiler ve müşteriler, ortak girişim ortakları, çalışanlar ve yükleniciler ile data room katılımcıları bakımından yerleri vardır. İyi bir NDA, gizli bilgiyi, izin verilen kullanımı, yasak açıklamayı, alıcının yükümlülüklerini, iade veya imha edilmesini, süreyi, istisnaları, bilgiye erişebilecek temsilcileri, sorumluluğu, ihtiyati koruma talebini, uygulanacak hukuku ve uyuşmazlık çözümünü tanımlar. Ancak tek başına NDA yeterli değildir. Bir şirket çok erken aşamada aşırı bilgi paylaşır, belgeleri işaretlemez, güvensiz kanallar kullanır veya neyin paylaşıldığını ispatlayamazsa, NDA'nın uygulanması çok daha zorlaşır. NDA bir kapıdır; şirketin o kapının arkasında yine de kontrollü bir koridora ihtiyacı vardır.

Data room gizliliği

Data room'lar yüksek riskli ortamlardır; yatırım turlarında, şirket satışlarında, ortak girişimlerde, finansmanda, gayrimenkul işlemlerinde, durum tespitinde, yeniden yapılandırmada ve aile-işletmesi geçişlerinde kullanılır. İçinde finansal tablolar, müşteri sözleşmeleri, çalışan kayıtları, fikri mülkiyet ve vergi belgeleri, uyuşmazlıklar, kurumsal kayıtlar, ticari sırlar, iş planları, fiyatlandırma, strateji, tedarikçi koşulları ve kişisel veri bulunabilir. Bir data room açmadan önce şirket, kimin erişebileceğine, NDA imzalanıp imzalanmadığına, hangi belgelerin dâhil edildiğine, neyin redakte edileceğine, indirmelere veya ekran görüntülerine izin verilip verilmeyeceğine, filigran kullanılıp kullanılmayacağına, erişim kayıtlarının tutulup tutulmadığına, kişisel verinin asgariye indirilip indirilmediğine, aşamalı açıklamanın uygun olup olmadığına ve özellikle hassas belgelerin ayrı onay gerektirip gerektirmediğine karar vermelidir. Data room bir belge boşaltma alanı değildir; kontrollü bir açıklamadır ve ikisi arasındaki fark, hiç sonuçlanmayabilecek bir süreçte şirketin ne kadarını açığa çıkardığını çoğu zaman belirler.

Çalışanlar, ayrılmalar ve gizlilik

Çalışanlar gizlilik riskinin ana kaynaklarından biridir, güvenilmez oldukları için değil, işlerini yapmak için doğal olarak bilgiye erişmeleri gerektiği için. Şirket bu erişimi yönetmelidir. İş sözleşmeleri, role uygun gizlilik yükümlülükleri içermeli; üst düzey çalışanlar, yöneticiler, satış ekipleri, mühendisler, finans personeli, uyum personeli ve iş geliştirme için daha ayrıntılı yükümlülükler öngörmelidir. Şirket, her çalışanın hangi bilgiye erişebileceğini, erişimin role dayalı olup olmadığını, indirmelerin kısıtlanıp kısıtlanmadığını, kişisel cihazlara izin verilip verilmediğini, müşteri listelerinin korunup korunmadığını, sona erme sonrası ödevlerin ve ayartmama yasağının net olup olmadığını ve belgelerin iadesinin gerekip gerekmediğini değerlendirmelidir. Gizlilik, iş ilişkisi sona erdiğinde kendiliğinden bitmez, ancak yükümlülükler açıkça belgelendiğinde ve erişim geçmişi mevcut olduğunda uygulama daha güçlüdür. Bu, ciddi bir iş hukuku çerçevesine ait bir husustur.

Birçok ticari sır uyuşmazlığı bir çalışan ayrıldığında başlar ve risk; çalışan bir rakibe katıldığında, rakip bir iş kurduğunda, ayrılmadan önce dosyaları indirip belgeleri kişisel hesaba e-postaladığında, müşterilerle temasa geçtiğinde, fiyatlandırma bilgisini veya kaynak kodu aldığında, dizüstü bilgisayarı veya telefonu sakladığında, ayrılıştan sonra bulut sistemlerine eriştiğinde, meslektaşlarını ayarttığında veya şirket şablonlarını ve iş planlarını yeniden kullandığında artar. Şirketlerin çıkış prosedürleri olmalıdır: erişim haklarının derhâl gözden geçirilmesi, cihazların iadesi, gizlilik yükümlülüklerinin teyidi, şirket verisinin kişisel cihazlardan silinmesi, olağandışı indirmelerin incelenmesi, parolaların iptali, e-posta yönlendirmenin iptali, fiziksel belgelerin geri alınması, ayartmama yükümlülüğünün hatırlatılması ve imzalı bir devir kaydı. Bir şirket, eski çalışan rekabete başlayana kadar beklememelidir; o zamana kadar bilgi çoktan taşınmış olabilir.

Kurucular, pay sahipleri ve aile üyeleri

Ticari sır riski yalnızca çalışanlardan gelmez; kuruculardan, pay sahiplerinden ve aile üyelerinden de gelebilir. Kurucu öncülüğündeki ve aile şirketlerinde hassas bilgi çoğu zaman gayriresmî paylaşılır ve sorunlar; bir kurucu ayrıldığında, kardeşler kontrol için anlaşmazlığa düştüğünde, bir azınlık pay sahibi dışlandığında, bir aile üyesi rakip bir iş kurduğunda, bir pay sahibi bilgiyi dışarıyla paylaştığında, bir eş veya mirasçı şirket bilgisine eriştiğinde, olası bir satış aileyi böldüğünde veya şirket bilgisi kişisel uyuşmazlıklarda kullanıldığında ortaya çıkar. Pay sahipleri sözleşmeleri ve aile yönetişimi belgeleri gizlilik yükümlülükleri içermeli; pay sahiplerinin hangi bilgiye erişebileceğini, bunun danışmanlarla paylaşılıp paylaşılamayacağını, aile üyelerinin şirket belgeleri alıp alamayacağını, bir pay sahibi çıktıktan sonra ne olacağını, bir rakiple bağlantılı pay sahibinin erişim sınırının bulunup bulunmadığını ve uyuşmazlıkların gizlilik içinde nasıl ele alınacağını tanımlamalıdır. Aile güveni değerlidir, ama şirket bilgisi yine de korunmalıdır. Bu disiplin en iyi pay sahipleri sözleşmesinin içine yerleştirilir.

Danışmanlar, tedarikçiler ve teknoloji sistemleri

Şirketler hassas bilgiyi rutin olarak dışarıya açıklar, muhasebeciler, avukatlar, danışmanlar, pazarlama ajansları, yazılım geliştiriciler, mimarlar ve mühendisler, yatırım bankacıları ve brokerler, denetçiler, çevirmenler, halkla ilişkiler danışmanları ve teknik uzmanlar. Her ilişki belgelenmeli; gizliliği, izin verilen kullanımı, iade veya silme, alt yüklenicileri, fikri mülkiyetin sahipliğini, veri korumayı, menfaat çatışmasını, sorumluluğu, ayartmamayı, belge güvenliğini ve sona erme sonrası geçerliliği ele almalıdır. Yükleniciler özel bir risk yaratır, çünkü birden çok müşteri için çalışabilirler; bir şirket, bir yükleniciye açıklanan bilginin başka bir müşterinin projesinin parçası hâline gelmemesini sağlamalıdır.

Ticari sırlar ayrıca dijital sistemlerde saklanır; bu da teknoloji tedarikçilerinin bulut depolama, e-posta, CRM ve ERP sistemleri, İK ve muhasebe platformları, yapay zekâ araçları, proje yönetimi ve işbirliği araçları, destek platformları, kod depoları ve analitik araçları aracılığıyla gizli bilgiye erişebileceği anlamına gelir. Tedarikçi sözleşmeleri gizliliği, güvenliği, erişim kontrollerini, veri konumunu, alt işleyicileri, ihlal bildirimini, veri kullanımını, silmeyi, denetim haklarını, sorumluluğu, hizmetin sona ermesini ve verinin iadesini ele almalıdır. Bir şirket bilgiyi içeride iyi koruyup zayıf tedarikçi koşulları nedeniyle açığa çıkarabilir, dijital gizlilik, ancak onu tutan sistemler kadar güçlüdür; teknoloji sözleşmelerinin sırların kendisiyle aynı koruyucu disipline ait olmasının nedeni budur.

Yapay zekâ araçları ve gizli bilgi

Yapay zekâ araçları yeni bir gizlilik riski yaratır. Çalışanlar sözleşmeleri, yönetim kurulu belgelerini, finansal veriyi, müşteri bilgisini, kodu, iş planlarını, uyuşmazlık materyallerini, İK belgelerini, gizli e-postaları, strateji metinlerini ve data room belgelerini yükleyebilir. Şirket, yapay zekâ araçlarının gizli bilgiyle hiç kullanılıp kullanılamayacağına karar vermeli; bir yapay zekâ politikası hangi araçların onaylı olduğunu, hangi bilgilerin asla yüklenmeyeceğini, kişisel veriye izin verilip verilmediğini, gizli belgelerin işlenip işlenemeyeceğini, tedarikçi koşullarının gözden geçirilip geçirilmediğini, çıktıların kontrol edilmesi gerekip gerekmediğini, kayıtların tutulup tutulmadığını ve olayların nasıl raporlanacağını belirtmelidir. Mesele yapay zekânın yararlı olup olmadığı değildir, mesele, gizli bilginin şirketten kontrolsüz biçimde ayrılıp ayrılmadığıdır.

Müşteri listeleri, fiyatlandırma ve ticari ilişkiler

Müşteri listeleri değerli ticari sırlar olabilir, ancak her müşteri adı ille de gizli değildir. Koruma; bilgi irtibat kişilerini, satın alma geçmişini, fiyatlandırmayı, tercihleri, müzakere notlarını, kâr marjlarını, yenileme tarihlerini, şikâyetleri, kredi koşullarını, stratejik önemi ve ilişki geçmişini içerdiğinde daha güçlüdür; kamuya açık şirketlerin listesi, yıllar içinde oluşturulmuş ayrıntılı bir veri tabanından çok daha zayıftır. Satış çalışanları ve yöneticiler çoğu zaman bu bilgiyi tutar, bu yüzden gizlilik maddeleri, CRM erişim kontrolleri, ayartmama maddeleri, veri-dışa aktarma kısıtları, çıkış prosedürleri, olağandışı indirmelerin izlenmesi ve müşteri kayıtlarının sahipliğinin netliği yoluyla korunmalıdır. Müşteri ilişkileri ticari varlıklardır ve korumasız biçimde şirketten yürüyüp gitmemelidir.

Fiyatlandırma bilgisi çoğu zaman aynı ölçüde hassastır: fiyatlandırmayı, kâr marjlarını veya tedarikçi koşullarını öğrenen bir rakip anında üstünlük kazanabilir. Şirketler fiyat listelerini ve indirim politikalarını, ihale fiyatlandırmasını, marj hesaplamalarını, tedarikçi geri ödemelerini, müşteriye özel oranları, komisyon yapılarını, tedarik ve ödeme koşullarını, lojistik maliyetlerini ve maliyet modellerini korumalıdır. Fiyatlandırma stratejisi geniş biçimde paylaşılmamalı; ihale, satış ve tedarik ekipleri bunun gizli olduğunu anlamalıdır, bir uyuşmazlıkta, fiyatlandırmanın dikkatle ele alındığına dair delil belirleyici olabilir.

Yazılım, kaynak kod ve teknik know-how

Teknoloji işletmeleri özellikle dikkatli olmalıdır. Gizli varlıklar; kaynak kodu, algoritmaları, model mimarisini ve eğitim verisini, yapay zekâ istemlerini, API belgelerini, ürün yol haritasını, güvenlik mimarisini, geliştirme biriktirme listesini (backlog), hata raporlarını, veri tabanı yapısını, dağıtım betiklerini ve teknik belgeleri içerebilir. Koruma; geliştirici sözleşmeleri ve fikri mülkiyet devri, depo erişim kontrolleri, kod inceleme kayıtları, bir açık kaynak politikası, yüklenici gizliliği, çalışan çıkış kontrolleri, güvenli bir geliştirme ortamı ve tedarikçi incelemesi gerektirir. Kaynak kod kopyalanır veya kötüye kullanılırsa uyuşmazlık teknik olarak karmaşık hâle gelebilir ve şirket sahipliği, erişimi ve kopyalamayı ispatlayabilmelidir. Bu hazırlık herhangi bir çatışmadan çok önce yerinde olmalıdır.

Yatırım, M&A ve ortak girişimlerde ticari sırlar

Yatırım veya satış süreçlerinde şirketler, alıcıların ve yatırımcıların işi değerlendirebilmesi için hassas bilgi açıklar, ancak açıklama aşamalı olmalıdır. Bir satıcı; açıklamadan önce bir NDA'yı, sınırlı bilgi içeren bir teaser'ı, kontrollü ayrıntılı bir yönetim sunumunu, aşamalı data room erişimini, hassas belgelerin redaksiyonunu, en kritik ticari sırların daha geç bir aşamaya kadar tutulmasını, uygun olduğunda clean-team düzenlemelerini, filigranı, erişim kayıtlarını, çalışan veya müşterilerle temas kısıtlarını ve işlem başarısız olursa kullanım kısıtlarını değerlendirmelidir. Risk yalnızca bir alıcının bilgiyi çalması değildir; bir rakibin, anlaşmayı kapatmadan bile şirketi zayıflatacak kadar öğrenmesidir. Satış-tarafı gizliliği, işlem stratejisinin ve disiplinli bir hukuki durum tespiti sürecinin parçası olmalıdır.

Ortak girişimler bilgi paylaşımını gerektirir, ortaklar know-how, müşteri erişimi, teknoloji, pazar bilgisi, iş planları veya düzenleyici bilgi değişebilir, ama ortak girişimler başarısız olabilir. Sözleşme; hangi bilginin katkı olarak verildiğini, önceden var olan know-how'ın kime ait olduğunu, ortaklaşa geliştirilen bilginin kime ait olduğunu, bilginin ortak girişim dışında kullanılıp kullanılamayacağını, sona erme sonrası gizliliği, rekabet etmemeyi, müşteri ve fikri mülkiyet sahipliğini, belgelerin iadesini veya imhasını ve uyuşmazlık çözümünü ele almalıdır. Bir ortak girişim ortağı rakip hâline gelebilir ve hukuki yapı bu olasılığı en baştan öngörmelidir.

Uyuşmazlıklar, delil ve acil koruma

Ticari sır uyuşmazlıkları birçok biçimde ortaya çıkar, çalışan ayrılışı, pay sahibi çatışması, kurucu çıkışı, ortak girişim çöküşü, danışman kötüye kullanımı, rakibin işe alımı, data room kötüye kullanımı, bir siber olay, yapay zekâ aracı maruziyeti, bir NDA veya ayartmama maddesinin ihlali, bir haksız rekabet talebi veya bir fikri mülkiyet sahipliği uyuşmazlığı. Şirket; ihtiyati tedbir, delil tespiti, tazminat, bilginin iadesi veya imhası, gizlilik taahhütleri, geçerli olduğunda sözleşmesel cezalar, sözleşmenin feshi, ayartmamanın uygulanması, haksız rekabet talepleri, ciddi hâllerde bir suç duyurusu veya taahhütlerle bir sulh talep edebilir. Hız önemlidir: gizli bilgi yayıldıktan sonra zararı kontrol etmek zorlaşır, bu yüzden bir şirket hızlı ama dikkatli hareket etmeli ve daha geniş uyuşmazlık çözümü stratejisini göz önünde tutmalıdır.

Delil kritiktir. Şirketin; bilginin var olduğunu, gizli olduğunu ve ticari değer taşıdığını, makul koruma önlemlerinin bulunduğunu, davalının erişiminin olduğunu, bilginin alındığını veya kullanıldığını, kullanımın yetkisiz olduğunu ve zararın doğduğunu veya doğabileceğini ispatlaması gerekebilir. İlgili delil; sözleşmeleri, NDA'ları ve iş sözleşmelerini, politikaları, erişim ve indirme kayıtlarını, e-postaları, cihaz ve bulut kayıtlarını, CRM dışa aktarımlarını, tanık beyanlarını, data room kayıtlarını, adli bilişim raporlarını, müşteri yazışmalarını, rakip materyallerini, bir istifanın zamanlamasını, iç uyarıları, gizlilik etiketlerini ve yönetim kurulu tutanaklarını içerebilir. Erişimi ve kontrolü gösteremeyen bir şirket zorlanabilir; ticari sır koruması kısmen hukuki, kısmen delildir.

Birçok uyuşmazlık ayrıca açıklamayı, daha fazla kullanımı, müşteri ayartmayı, delilin silinmesini, rakibe aktarımı, yayımlamayı, bir ihalede veya rakip üründe kullanımı, kaynak kodun kötüye kullanımını, cihazların imhasını veya sistemlere devam eden erişimi önlemek için acil eylem gerektirir. Olgulara bağlı olarak acil çareler mevcut olabilir, ama strateji kesin olmalıdır: mahkemeler ve hakem kurulları açık delile, tanımlı bilgiye ve spesifik talebe daha iyi yanıt verir. Hangi bilginin ne zaman, kim tarafından ve neden önemli olarak alındığına dair belgeli bir gösterim, "işimizi çaldılar" şeklindeki belirsiz bir iddiadan çok daha güçlüdür.

Tahkim ve davada gizlilik

Bir uyuşmazlık başlarsa gizlilik önemini korur. Mahkeme yargılaması aleniyet riski yaratabilirken, tahkim sözleşmeye ve uygulanacak kurallara bağlı olarak daha fazla gizlilik sunabilir. Hassas ticari bilgi içeren sözleşmeler için taraflar; tahkim şartlarını, gizlilik hükümlerini, acil durum tahkimini, ihtiyati koruma haklarını, teknik konular için bilirkişi tespitini, koruma kararlarını, redaksiyonu, sınırlı belge ibrazını ve güvenli dosyalamayı değerlendirebilir. Uyuşmazlık çözümü maddesi bilginin hassasiyetine uymalıdır; bir şirket, aleni davanın korumaya çalıştığı bilgiyi açığa çıkarabileceğini fark etmek için bir uyuşmazlığı beklememelidir.

Ticari sırlar, kişisel veri ve siber güvenlik

Bazı gizli bilgiler aynı zamanda kişisel veri içerir, müşteri listeleri, çalışan kayıtları, İK soruşturmaları, müvekkil dosyaları, finansal-müşteri verisi, CRM notları, özel müvekkil bilgisi ve pazarlama veri tabanları. Kişisel veri söz konusu olduğunda gizlilik koruması veri koruma yükümlülükleriyle uyumlu olmalıdır: hukuka uygun işleme, erişim kontrolleri, veri minimizasyonu, saklama, sınır ötesi aktarım, ihlal bildirimi, ilgili kişi hakları, tedarikçi işlemesi ve silme. Bir ticari sır stratejisi mahremiyet hukukunu göz ardı edemez, çünkü aynı veri kümesi hem ticari açıdan gizli hem de hukuken düzenlenen kişisel veri olabilir; bu husus Türkiye'nin KVKK uyum rejimiyle pekiştirilir.

Siber güvenlik ticari sır korumasının bir parçasıdır. Bir şirket; oltalama, fidye yazılımı, ele geçirilmiş e-posta, zayıf parolalar, bulut yanlış yapılandırması, bir tedarikçi ihlali, içeriden erişim, kayıp cihazlar, yetkisiz indirmeler, uzaktan erişim kötüye kullanımı, kötü amaçlı yazılım veya güvensiz dosya paylaşımı yoluyla gizli bilgi kaybedebilir. Hukuki koruma siber güvenlik önlemleriyle desteklendiğinde daha güçlüdür, çok faktörlü kimlik doğrulama, role dayalı erişim, kayıt tutma, şifreleme, yedekleme, güvenli paylaşım, cihaz yönetimi, işten çıkış işlemleri, tedarikçi güvenliği ve olay müdahalesi. Ticari sır koruması yalnızca sözleşmelerle ilgili değildir; aynı zamanda sistemlerle ilgilidir ve ikisi birlikte, daha geniş bir dijital risk yönetişiminin parçası olarak tasarlanmalıdır.

Bir ticari sır yönetim programı kurmak

Değerli gizli bilgiye sahip şirketler, büyüklükleriyle orantılı bir ticari sır yönetim programını değerlendirmelidir: kilit ticari sırların belirlenmesi, gizli bilginin sınıflandırılması, erişim haklarının gözden geçirilmesi, iş sözleşmelerinin güncellenmesi, NDA'ların kullanılması, tedarikçi koşullarının iyileştirilmesi, data room'ların korunması, çalışanların eğitilmesi, yapay zekâ aracı kullanımının kontrol edilmesi, siber güvenliğin iyileştirilmesi, fikri mülkiyet ve know-how sahipliğinin belgelenmesi, çıkış prosedürlerinin hazırlanması, olay müdahale adımlarının oluşturulması ve delilin saklanması. Küçük bir aile işletmesi çok uluslu bir teknoloji şirketiyle aynı yapıya ihtiyaç duymaz, ama her ciddi işletme kaybetmeyi göze alamayacağı bilgiyi bilmelidir.

Bazı uyarı işaretleri, henüz hiçbir şey kaybolmadan önce bile maruziyeti gösterir: yatırımcı toplantılarından önce NDA bulunmaması; iş sözleşmelerinde gizlilik maddelerinin olmaması; müşteri listelerinin kontrolsüz dışa aktarılması; şirket dosyaları için kişisel e-posta kullanılması; şirket alan adının bir bireye ait olması; kaynak koda sözleşmesiz yüklenici erişimi; gizli belgelerle yapay zekâ araçlarının kullanılması; kısıtsız data room indirmeleri; erişim kayıtlarının olmaması; işten çıkış sürecinin olmaması; pay sahiplerinin belgeleri dışarıyla paylaşması; danışmanların materyalleri yeniden kullanması; fikri mülkiyet devrinin olmaması; gizli bilginin sınıflandırılmaması; siber güvenlik kontrollerinin olmaması; kişisel cihazlara ilişkin politikanın olmaması; ve hassas belgelere kimin eriştiğine dair kaydın olmaması. Bunlar her zaman bir sırrın kaybolduğu anlamına gelmez, ama şirketin açıkta olduğu anlamına gelir; en güçlü işletmeler sırlarını önceden bilir, onları bilinçli korur ve risk belirdiğinde hızla hareket eder.

Sık sorulan sorular

Ticari sır nedir?

Ticari sır, genel olarak bilinmediği için ticari değer taşıyan ve gizli tutulması için makul önlemlere konu olan gizli işletme bilgisidir. Teknik, ticari, mali veya stratejik olabilir, formüllerden ve kaynak koddan müşteri listelerine, fiyatlandırmaya ve iş planlarına kadar.

Müşteri listeleri ticari sır olarak korunur mu?

Korunabilir; özellikle liste irtibat kişileri, fiyatlandırma, satın alma geçmişi, tercihler, kâr marjları, yenileme tarihleri veya ilişki geçmişi gibi kamuya açık olmayan bilgileri içeriyorsa. Kamuya açık şirketlerin listesi, yıllar içinde oluşturulmuş ayrıntılı bir müşteri veri tabanından daha zayıftır.

Gizli bilgiyi korumak için bir NDA yeterli mi?

NDA önemlidir ancak tek başına yeterli değildir. Şirketler ayrıca neyin gizli olduğunu tanımlamalı, erişimi sınırlamalı, belgeleri işaretlemeli, güvenli sistemler kullanmalı, çalışanları eğitmeli ve delil saklamalıdır. NDA bir kapıdır; şirketin arkasında yine de kontrollü bir koridora ihtiyacı vardır.

Çalışanlar ayrıldıktan sonra gizli bilgiyi kullanabilir mi?

Çalışanlar ayrılıştan sonra da gizlilik yükümlülükleriyle bağlı kalabilir; özellikle bilgi gerçekten gizliyse ve işverenin korumada meşru bir menfaati varsa. Yükümlülükler belgelenmişse ve erişim geçmişi mevcutsa uygulama çok daha güçlüdür.

Pay sahipleri şirket bilgisini açıklayabilir mi?

Pay sahipleri şirket bilgisi alabilir, ancak pay sahipleri sözleşmeleri ve yönetişim belgeleri yetkisiz açıklamayı veya kötüye kullanımı kısıtlamalıdır, özellikle bir pay sahibi çıktığında, bir rakiple bağlantılı olduğunda veya bir aile uyuşmazlığına dâhil olduğunda.

Bir ticari sır alındığında şirket ne yapmalı?

Hızlı hareket edin: delil saklayın, erişim ve indirme kayıtlarını inceleyin, sistemleri güvenceye alın, ilgili sözleşmeleri değerlendirin, acil hukuki çareleri düşünün ve bilginin yayılmasına izin verecek gecikmeden kaçının. Hız ve kesin, belgeli iddialar genel suçlamalardan daha önemlidir.

Yapay zekâ ticari sır riski yaratır mı?

Evet. Gizli sözleşmeleri, kodu, stratejiyi, müşteri verisini veya iş planlarını yapay zekâ araçlarına yüklemek gizlilik, veri koruma ve tedarikçi-sözleşmesi riski doğurabilir. Şirketler hangi araçların onaylı olduğuna ve hangi bilgilerin asla yüklenmeyeceğine karar vermelidir.

Şirket satışı sırasında ticari sırlar nasıl korunur?

NDA'lar, aşamalı açıklama, kontrollü data room'lar, redaksiyon, filigran, erişim kayıtları, clean-team düzenlemeleri ve potansiyel alıcılarla paylaşılanların dikkatli gözden geçirilmesi yoluyla, böylece bir rakip yalnızca inceleme yaparak şirketi zayıflatamaz.

Terziolu & Partners nasıl yardımcı olabilir

Bir şirketteki en değerli bilgi çoğu zaman şirket dışından kimsenin görmediği bilgidir ve tam da bu yüzden kaybedilmeden önce korunmalıdır. Ticari sır koruması yalnızca kötüye kullanımdan sonraki bir hukuki çare değildir; bir sistemdir, sözleşmeler, erişim kontrolleri, iş ilişkisi disiplini, kurucu yönetişimi, data room kuralları, tedarikçi koşulları, siber güvenlik, yapay zekâ politikası ve delil saklama. Belirlenmemiş bir varlık korunamaz; kontrol edilmeyen bir varlık savunulamaz; dikkatsizce açıklanan bir varlık sır olarak kalmayabilir. En güçlü şirketler, sırlarının ne olduğunu keşfetmek için bir sızıntıyı beklemez, onları önceden bilir ve risk belirdiğinde hızla hareket eder.

Terziolu & Partners; işletmelere, yatırımcılara, girişimcilere, ailelere ve özel müvekkillere Türkiye, Kuzey Kıbrıs ve sınır ötesi konularda danışmanlık verir: ticari sır ve gizli bilgi koruması konusunda danışmanlık; NDA ve gizlilik sözleşmelerinin hazırlanması; iş ilişkisi gizlilik ve ayartmama maddelerinin gözden geçirilmesi; kurucu, pay sahibi ve aile-işletmesi gizliliği konusunda danışmanlık; data room gizlilik yapılarının hazırlanması; danışman, tedarikçi ve teknoloji sözleşmelerinin gözden geçirilmesi; yapay zekâ kaynaklı gizlilik risklerine ilişkin danışmanlık; şüpheli kötüye kullanıma acil müdahalenin desteklenmesi; ticari sır uyuşmazlıkları, haksız rekabet ve çalışan ayrılışı konularında danışmanlık; ve gerektiğinde adli bilişim, siber güvenlik ve teknik uzmanlarla koordinasyon. Ticari sır koruması, bir gizlilik stratejisi veya gizli bilginin şüpheli bir kötüye kullanımı hakkında görüşmek için firmayla iletişime geçin.

---

Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Ticari sır koruması, gizli bilgi, iş ilişkisi ödevleri, NDA'lar, haksız rekabet, veri koruma, siber güvenlik, yapay zekâ aracı kullanımı, pay sahibi yükümlülükleri, ihtiyati tedbirler, dava ve tahkim stratejisi; yargı yerine, olgulara, belgelere, taraflara, sektöre, ilgili bilgiye ve tavsiyenin zamanlamasına göre değişebilir. Yalnızca bu yayına dayanılarak herhangi bir işlem yapılmamalı veya yapılmaktan kaçınılmamalı; gizli bilgiyi veya ticari sırları açıklamadan, korumadan, kullanmadan, uygulamadan veya şüpheli bir kötüye kullanıma yanıt vermeden önce özel hukuki, teknik, iş hukuku, veri koruma, siber güvenlik ve uyuşmazlık çözümü danışmanlığı alınmalıdır. Bir başvuruda bulunmak, yazılı olarak resmî bir vekâlet ilişkisi kabul edilene kadar avukat–müvekkil ilişkisi doğurmaz.