Danıştay’ın Sahibinden Kararı Kapsamında Kişisel Cihazlarda Veri Silme Eylemi ve Rekabet Kurumu’nun İspat Yükümlülüğü

Rekabet Kurulu (“Kurul”)’nun 27.05.2021 tarih ve 21-27/354-174 sayılı kararında, Sahibinden Bilgi Teknolojileri Pazarlama ve Ticaret A.Ş. (“Sahibinden”) nezdinde işgücü piyasasına yönelik centilmenlik anlaşmaları iddiasıyla yürütülen soruşturma kapsamında bir çalışanın kişisel cep telefonundaki WhatsApp yazışmalarını 09.04.2021 tarihinde gerçekleştirilen yerinde inceleme başladıktan sonra sildiği tespit edilmiş ve bu eylem yerinde incelemenin engellenmesi/zorlaştırılması olarak değerlendirilerek teşebbüse 4054 sayılı Rekabetin Korunması Hakkında Kanun (“Kanun”)’un 16. maddesinin birinci fıkrasının d) bendi uyarınca 4.807.073,00 TL idari para cezası verilmiştir. İlgili yazışmaların teşebbüste çalışan personelin üye olduğu WhatsApp grubuna ilişkin olması dikkat çekmektedir. 

Kurul, yerinde incelemenin engellenmesi/zorlaştırılması yaptırımının usuli nitelikte bir yaptırım olduğunu değerlendirmekte ve kast aranmadığı gibi delil karartılmasına yönelik bir olgunun ispatının gerekmediğini ileri sürmektedir. Bu doğrultuda, inceleme başladıktan sonra veri silinmesini, silinen verinin niteliğine, ihlal bakımından delil değerine, somut olarak delil karartılıp karartılmadığına veya sonradan geri getirilip getirilemediğine bakılmaksızın doğrudan yaptırım sebebi saymaktadır. Nitekim N11 (27.05.2021; 21-27/354-172), İGSAŞ (12.8.2021; 21-38/544-265) ve 1,3 milyar Türk lirası idari para cezası uygulanan BİM kararlarında da Kurul; silinen mesajların kişisel nitelik taşıması, verilerin sonradan kurtarılması ya da çalışanların hastalık izninde veya uzakta bulunması hallerinde dahi katı yaklaşımını sürdürerek idari para cezası uygulamıştır.

Ankara 2. İdare Mahkemesi (E. 2022/254); i) idari yaptırım gerektiren eylemlerin somut bilgi ve belgelerle ortaya konulması suretiyle işlem tesis edilmesi gerektiği, ii) silindiği tespit edilen yazışmalara başka bir çalışanın telefonundan erişilebilmiş olması nedeniyle somut bir delil kaybı yaşanmadığı, iii) veri silindiği tespit edilen telefonun ilgili çalışanın kişisel telefonu olup silinen yazışmaların şirket işlerine ilişkin hususları içermediği ve  iv) teşebbüsün inceleme günü çalışanlarına mesaj silmeme yönünde bilgilendirme e-postası göndererek kurumsal iyi niyet göstergesi sergilediği gerekçeleriyle Kurul’un Sahibinden’e idari para cezası uygulanması kararını iptal etmiştir. Ankara Bölge İdare Mahkemesi 8. İdari Dava Dairesi de kararı hukuka uygun bularak istinaf başvurusunu reddetmiştir.

Danıştay ise istinaf kararını farklı bir gerekçeyle onamıştır. Danıştay, ilk derece mahkemesinin esas aldığı “somut delil kaybının bulunmaması” ve “kurumsal tutum” değerlendirmelerine gerekçesinde  yer vermemiştir. Danıştay kararında, Kanun’un 16. maddesinin yerinde incelemenin engellemesi ya da zorlaştırılması hâlinde soruşturma sürecine ilişkin soyut tehlikenin gerçekleştiğinin kabulüyle usuli nitelikte bir idari para cezası verilmesine yönelik bir düzenleme olduğu belirtilmektedir. Kurul’un geçmişteki 17.08.2023 tarihli ve 23-39/727-250 sayılı Balsu ve 10.04.2025 tarihli ve 25-14/330-157 sayılı Samsung kararlarında delil kaybının yaşanmaması, geri getirilen verilerde ihlal bulgusuna rastlanmaması ve diğer cihazlardan erişilebilir bulunması ceza kesilmemesi bakımından değerlendirilmişken, Danıştay’ın iptal gerekçesini bu unsurlara dayandırmamış olması dikkat çekmektedir.

Danıştay, uyuşmazlığı doğrudan Rekabet Kurumu (“Kurum”)’nun inceleme yetkisinin kapsamı ve idarenin ispat yükümlülüğü çerçevesinde ele almıştır. Danıştay, yerinde inceleme yetkisinin Kurul’a “her türlü bilgi ve/veya belgenin incelenmesi noktasında verilen bir yetki” olmadığını; 15. maddenin bu yetkiyi, Kanun’un Kurul’a verdiği görevlerin yerine getirilmesi amacıyla ve teşebbüslerin veya teşebbüs birliklerinin verileri ve belgeleriyle sınırladığını vurgulamıştır. Kararda; 4054 sayılı Kanun’un 15. maddesi ile Yerinde İncelemelerde Dijital Verilerin İncelenmesine İlişkin Kılavuz’un 4. maddesi uyarınca, taşınabilir kişisel iletişim cihazlarının adli bilişim araçlarıyla incelenebilmesi için bu cihazlarda “teşebbüse ait dijital veri” bulunduğunun idarece somut biçimde ortaya konulması ve incelemenin bu cihazda yer alan teşebbüs verileriyle sınırlı olması gerektiği vurgulanmıştır. Kişisel cihazlarda gerçekleştirilen incelemelerin özel hayatın gizliliği alanına temas etmesi sebebiyle, Kurum uzmanlarının hızlı gözden geçirme sonucunda verinin neden teşebbüse ait dijital veri niteliğinde olduğunu inceleme tutanağı, teknik görüş veya kararda somutlaştırmakla yükümlü olduğu ifade edilmiştir. Öte yandan Danıştay, teknolojinin gelişimi ve iletişim araçlarının insan hayatındaki artan önemi karşısında yerinde incelemenin kişisel cihazlardaki teşebbüs verileri dışarıda tutularak gerçekleştirilmesinin beklenemeyeceğini de açıkça kabul etmiştir. Dolayısıyla karar, kişisel cihazları inceleme kapsamının dışına çıkarmamakta; özel hayatın gizliliğine temas eden bu incelemeleri, idarenin somutlaştırma yükümlülüğü gibi ilave usuli güvencelere bağlamaktadır.

Bu kapsamda Danıştay, veri silme fiilinin gerçekleşip gerçekleşmediğinden ziyade, silinen verinin Kurum’un yetki alanına girip girmediğine odaklanmış; silinen WhatsApp grubunun teşebbüse ait dijital veri içerdiğinin somut verilerle ortaya konulamaması ve içeriklerin kişisel nitelikte kalması karşısında engelleme cezasının hukuka aykırı olduğuna karar vermiştir. Karar, yerinde incelemenin engellenmesi yaptırımının usuli ve soyut tehlike niteliğini ortadan kaldırmamakta; ancak veri silme fiilinin yaptırıma konu edilebilmesi için öncelikle silinen verinin “teşebbüse ait dijital veri” niteliğinin idarece ispatlanmasını zorunlu kılmaktadır.

Bu noktada, Danıştay kararına konu olan verilerin, Sahibinden çalışanlarının yer aldığı bir WhatsApp grubundaki yazışmalar olduğu dikkat çekmektedir. Sahibinden; yazışmaların silindiği WhatsApp grubunun çalışanların kendi inisiyatifiyle kurulduğu, çalışanın görev dışında ve şirket işleriyle ilgisi olmayan bir eyleminden dolayı idari para cezası uygulanmasının idari işlemin sebep unsurunu sakatladığını ileri sürmüştür. Danıştay kararında, ilgili WhatsApp grubunda Sahibinden çalışanlarının bulunmasının etkisi değerlendirilmemektedir. Söz konusu grupların insan kaynakları fonksiyonunu çağrıştıran “HRBP” ve “HRBP’lerle” adlarını taşıması ve soruşturma konusunun işgücü piyasasına yönelik centilmenlik anlaşmaları olması karşısında, grup adının veya soruşturma konusuyla görünürdeki bağlantının Danıştay tarafından ayrıca tartışılmamış olması da dikkat çekicidir. Bununla birlikte, yazışmaların teşebbüse ait dijital veri içerdiğinin somut bir şekilde ortaya konulmadığı gerekçesiyle idari para cezasının iptal edildiği göz önünde bulundurulduğunda, Danıştay’ın yaklaşımının, ilgili teşebbüse ait dijital veri içermediği durumlarda bu teşebbüsün çalışanları arasındaki yazışmaların silinmesinin yerinde incelemenin engellenmesi ya da zorlaştırılması kapsamında değerlendirilmemesi gerektiği yönünde olduğu söylenebilecektir. 

Karar, Kurum’un kişisel cihazlara yönelik yerinde inceleme uygulamasında kapsam ve somutlaştırma yükümlülüğünün önemini artırmaktadır. Teşebbüsler açısından, yerinde inceleme esnasında uzmanların şahsi cihazlara erişim taleplerinde verilerin kişisel niteliğinin ve teşebbüs verisi taşımadığının derhal tutanağa şerh düşülmesi ile uzmanların bu hususu somutlaştırma yükümlülüğünün hatırlatılması kritik bir önem arz etmektedir. Nitekim Kurul, Danıştay kararından sonra verdiği 12.03.2026 tarihli ve 26-09/270-96 sayılı İYMMO kararında, kişisel cep telefonlarından alınan adli kopyaların iadesi ve imhası talebini reddederken bir verinin kişisel mi yoksa teşebbüse ait mi olduğunun ancak incelenmek suretiyle belirlenebileceğini ve kanun koyucunun kişisel verileri 15. maddenin kapsamı dışında tutmadığını ifade etmiş; incelenen cihazların teşebbüs birliğine ait veri içerdiğinin inceleme tutanağında kayıt altına alınmış olmasına dayanmıştır. Hangi somut göstergelerin bir veriyi teşebbüse ait dijital veri kılacağı ve Danıştay kararının gelecekteki Kurul uygulamalarına ne ölçüde yansıyacağı önümüzdeki dönemde şekillenecek olmakla birlikte; şirketlerin çalışanların kişisel cihazlarında kurumsal veri barındırmamasına ilişkin uyum politikalarını ve bilgilendirmelerini Kılavuz ve yargı kararları çerçevesinde güncel tutması tavsiye edilebilecektir. Ayrıca teşebbüsler bakımından Danıştay kararının veri silmeyi hiçbir surette meşrulaştırmadığını ve Kurul’un sıfır tolerans yaklaşımının sürdüğü ve inceleme başladıktan sonra hiçbir cihazdan hiçbir gerekçeyle veri silinmemesi gerektiğini belirtmek gerekir.

Danıştay Kararının Künyesi: Danıştay 13. Dairesi, E. 2023/2772, K. 2026/36, T. 13.01.2026

Kurul’un Sahibinden kararı için bkz.