Rekabet Kurulunun 17.01.2020 tarihli ve 20-05/48-M sayılı kararı ile Türkiye'de faaliyet gösteren banka ve…

Rekabet Kurumu Başkanlığından,

REKABET KURULU KARARI

A. TOPLANTIYA KATILAN ÜYELER

Başkan: Birol KÜLE

Üyeler: Ahmet ALGAN (İkinci Başkan), Hasan Hüseyin ÜNLÜ,

Ayşe ERGEZEN, Cengiz ÇOLAK, Berat UZUN

B. RAPORTÖRLER : Burak SAĞLAM, Noyan DELİBAŞI, Sebahat Gözde BİRCAN,

Yakup GÖKALP, Burçin GÜLEŞ

C. BAŞVURUDA

BULUNANLAR : - JPMorgan Chase Bank National Association Merkezi

Columbus Ohio İstanbul Türkiye Şubesi

Temsilcileri: Av. Gönenç GÜRKAYNAK, Av. Efe OKER

Av. N. Ceyda KARAOĞLAN NALÇACI, Av. Tuğba ULUAY,

Av. O. Onur ÖZGÜMÜŞ, Av. S. Buğrahan KÖROĞLU

Çitlenbik Sok. No:12 Yıldız Mah. 34349 Beşiktaş/İstanbul

- Citibank AŞ

Temsilcileri: Av. Gönenç GÜRKAYNAK, Av. Tolga ULUAY

Av. K. Korhan YILDIRIM, Av. Görkem YARDIM

Çitlenbik Sok. No:12 Yıldız Mah. 34349 Beşiktaş/İstanbul

D. ŞİKÂYETÇİ: Re’sen

(1) E. DOSYA KONUSU: Rekabet Kurulunun 17.01.2020 tarihli ve 20-05/48-M sayılı kararı ile Türkiye'de faaliyet gösteren banka ve finansal kuruluşların ve bunların temsilciliklerinin mevduat, kredi, döviz, tahvil, bono, hisse senedi ve aracılık hizmetlerine ilişkin faaliyetlerinde 4054 sayılı Rekabetin Korunması Hakkında Kanun'u ihlal edip etmediklerinin tespit edilmesi amacıyla başlatılan önaraştırma kapsamında JPMorgan Chase Bank National Association Merkezi Columbus Ohio İstanbul Türkiye Şubesi ve Citibank AŞ’den elde edilen ve TL kotasyonlu işlem hacmi en çok olan ilk 10 traderın Bloomberg ve Reuters chat odası kayıtlarını içeren verilerin silinmesi talebi.

(2) F. DOSYA EVRELERİ: Rekabet Kurulunun (Kurul) 17.01.2020 tarihli ve 20-05/48-M sayılı kararı ile Türkiye'de faaliyet gösteren banka ve finansal kuruluşların ve bunların temsilciliklerinin mevduat, kredi, döviz, tahvil, bono, hisse senedi ve aracılık hizmetlerine ilişkin faaliyetlerinde 4054 sayılı Rekabetin Korunması Hakkında Kanun'u (4054 sayılı Kanun) ihlal edip etmediklerinin tespit edilmesi amacıyla önaraştırma başlatılmasına karar verilmiştir. Yapılan önaraştırma sonunda hazırlanan 17.02.2020 tarihli ve 2020-4-005/ÖA sayılı Önaraştırma Raporu, Kurulun 27.02.2020 tarihli toplantısında görüşülmüş ve dosya konusunun 20-12/141-M sayılı karar ile Kurul gündeminde incelemeye alınmasına karar verilmiştir. Söz konusu inceleme sonucunda hazırlanan Ek Çalışma Raporu, 26.08.2021 tarihli Kurul toplantısında görüşülmüş ve Kurulun 21-40/576-279 sayılı kararı ile hakkında önaraştırma yürütülen taraflar hakkında soruşturma açılmasına gerek olmadığına karar verilmiştir.

(3) Önaraştırma sürecinde 05.02.2020 tarih ve 2050 sayılı yazı ile Denizbank AŞ, Yapı ve Kredi Bankası AŞ, Credit Suisse İstanbul Menkul Değerler AŞ, Şekerbank T.A.Ş.,

Türkiye Halk Bankası AŞ, Türkiye İş Bankası AŞ, Türkiye Vakıflar Bankası T.A.O., Türk Ekonomi Bankası AŞ, Standard Chartered Yatırım Bankası Türk AŞ, ING Bank AŞ (INGBANK), T. Garanti Bankası AŞ (GARANTİ BANKASI), HSBC Bank AŞ, QNB Finansbank AŞ, Tasfiye Halinde Natwest Markets Plc. Merkezi Edinburgh İstanbul Merkez Şubesi, Akbank T.A.Ş., Merrill Lynch Yatırım Bank AŞ, Citibank AŞ (CITIBANK), Odeo Bank AŞ, T.C. Ziraat Bankası AŞ, Goldman Sachs TK Danışmanlık AŞ (GOLDMAN SACHS), JPMorgan Chase Bank National Association Merkezi Columbus Ohio İstanbul Türkiye Şubesi’nin (JP MORGAN) bağlı bulundukları ana teşebbüs de dâhil olmak üzere ABD ve İngiltere’de Türk Lirası ile alım-satım işlemleri yapan traderlarından TL kotasyonlu işlem hacmi en çok olan ilk 10 traderının (her bir ülke için ayrı olmak üzere) Bloomberg ve Reuters chat odası kayıtları istenmiştir.

(4) Bu bilgi talebini çeşitli gerekçelerle karşılamayan veya çeşitli işlemlerden sonra karşılayabileceğini ifade eden JP MORGAN, CITIBANK, INGBANK, GOLDMAN SACHS ve GARANTİ BANKASI ile ilgili olarak 02.07.2020 tarihli ve 20-32/397-179 sayılı Kurul kararı ile 4054 sayılı Kanun’un 16. maddesinin (c) bendi uyarınca 2019 mali yılı sonunda oluşan gayri safi gelirlerinin binde biri oranında idari para cezası verilmesine ve talep edilen bilgilerin 16.07.2020 günü mesai saati bitimine kadar Rekabet Kurumuna (Kurum) iletilmesi gerektiğine, aksi takdirde sürenin bitiminden itibaren talep edilen bilgilerin Kurum kayıtlarına girmesine kadar yürütülmek üzere her gün için 4054 sayılı Kanun’un 17. maddesinin birinci fıkrasının (c) bendi uyarınca idari para cezası uygulanacağına ilişkin olarak adı geçen teşebbüslere yazı gönderilmesini teminen Başkanlığın görevlendirilmesine karar verilmiştir.

(5) Sürecin devamında Kurulun anılan bilgi ve belge talebi INGBANK, JP MORGAN ve CITIBANK tarafından yerine getirilmiş olup sağlanan bilgilerin talep konusunu karşıladığı anlaşıldığından Kurulun 24.09.2020 tarihli, 20-43/590-263 sayılı kararıyla ilgili teşebbüslere süreli para cezası uygulanmasına yer olmadığına karar verilmiştir. Bununla birlikte anılan Kurul kararı ile GARANTİ BANKASI’nın talep edilen bilgi ve belgeleri 02.07.2020 tarihli ve 20-32/397-179 sayılı Kurul kararının gereği çerçevesinde 16.07.2020 tarihine kadar Kuruma sağlamaması nedeniyle, 4054 sayılı Kanun’un 17. maddesinin birinci fıkrasının (c) bendi uyarınca, 17.07.2020 tarihinden bilgilerin Kurum kayıtlarına intikal ettiği 20.07.2020 tarihine kadar her gün için 2019 mali yılı sonunda oluşan gayri safi gelirinin onbinde beşi oranında olmak üzere idari para cezası verilmesine hükmedilmiştir. GOLDMAN SACHS hakkında ise Kurulun 26.08.2021 tarihli ve 21-40/576-280 sayılı kararı ile teşebbüsün kendisinden talep edilen belgeleri süresi içinde Kuruma sağlamaması nedeniyle 4054 sayılı Kanun’un 17. maddesinin birinci fıkrasının (c) bendi uyarınca bilgilerin sağlanmadığı 406 gün dikkate alınarak her gün için gayri safi gelirlerinin onbinde beşi oranında olmak üzere idari para cezası verilmiştir.

(6) Bahse konu bilgi talebinin iptali istemiyle INGBANK tarafından açılan dava sonucunda, Ankara 3. İdare Mahkemesi 04.03.2021 tarih ve 2020-1303, E. 2021-447 K. sayılı kararı ile INGBANK tarafından açılan davanın reddine karar vermiştir.

(7) Devam eden süreçte hakkında idari para cezası uygulanan diğer teşebbüsler tarafından açılan davalarda ise Ankara 3. İdare Mahkemesi INGBANK hakkında verdiği kararın aksine, 16.02.2022 tarih ve 2021/756 E. 2022/271 K. sayılı kararı ile GARANTİ BANKASI, 16.02.2022 tarih ve 2021/554 E. 2022/269 K. sayılı kararı ile GOLDMAN SACHS, 16.02.2022 tarihli ve 2021/432 E., 2022/268 K. sayılı kararı ile JPMORGAN, 16.02.2022 tarihli ve 2021/428 E. 2022/267 K. sayılı kararı ile CITIBANK hakkındaki dava konusu işlemlerin iptaline karar vermiştir.

(8) Bu kararlar üzerine, CITIBANK tarafından gönderilen 22.03.2022 tarihli ve 26467 sayılı

ve JPMORGAN tarafından iletilen 30.03.2022 tarihli ve 26745 sayılı, 14.04.2022 tarihli

ve 27249 sayılı yazılarda özetle;

- Usulüne uygun tebliğ edilmeyen bilgi ve belge talebi kapsamında, günlük idari para cezasına maruz kalma tehdidi nedeniyle belirli şerhler ile sağlanan, oldukça hassas ve gizli niteliği olan kişisel bilgi ve müvekkil/bankacılık sırları içeren bilgi ve belgelerin hukuka aykırı delil olarak nitelendirilmesi gerektiği,

- Verilere Kurum personelince erişim sağlanması, verilerin elleçlenmesi, işlenmesi, sentezlenmesi, yorumlanması ve aktarılmasının, bunlara dayanarak işlem tesis edilmesinin ve verilerin veri koruma mevzuatı kapsamında düzenlenen herhangi bir şekilde kullanılmasının, İngiltere ve Amerika Birleşik Devletleri mevzuatı uyarınca talepte bulunan teşebbüslerin Türkiye’de yerleşik iştiraklerinin veya veri sahibinin (verileri gönderen banka birimlerinin) hukuki ve/veya cezai sorumluluğunu doğurabileceği,

- Taraflarca sağlanan verilerin, Mahkeme kararı uyarınca Kurum tarafından, (i) işlenmesine son verilmesi, (ii) otomatik veya otomatik olmayan sistemler vasıtasıyla analiz edilmesinin durdurulması, (iii) geri döndürülemeyecek şekilde yok veya imha edilmesi, (iv) saklanmaması, (v) herhangi bir idari işlem kapsamında kullanılmaması, (vi) yurt içinde veya yurt dışında üçüncü kişilere aktarılmaması, (vi) aktarıldıysa aktarılan üçüncü kişilerin de yukarıda belirtilen hususları uygulamaları konusunda derhal bilgilendirilmesi ve yönlendirilmesi gerektiği,

- Mahkeme kararı akabinde, verilerin, Kurum veya herhangi bir üçüncü kişi tarafından, otomatik veya manuel bir şekilde daha fazla işlenmeyeceğini, saklanmayacağını ve aktarılmayacağını açıkça ortaya koyan bir idari işlem tesis edilmesi gerektiği ile bu veriler doğrultusunda herhangi bir idari işlem tesis edilmeyeceğinin, verilerin dosyadan çıkarıldığının ve geri dönüşü olmayacak şekilde imha edildiğinin Kurum tarafından teyit edilmesi gerektiği

ifade edilmektedir.

(9) Söz konusu taleplerle ilgili olarak 11.04.2022 tarihli ve 42112 sayılı yazı ile Kurum

Hukuk Müşavirliğinden görüş istenmiştir.

(10) Bahse konu gelişmeler üzerine düzenlenen 17.06.2022 tarih, 2020-4-005/BN-04 sayılı

Bilgi Notu görüşülerek karara bağlanmıştır.

(11) G. RAPORTÖR GÖRÜŞÜ: İlgili Bilgi Notu’nda, yapılan başvurunun reddedilmesi

gerektiği ifade edilmiştir.

H. İNCELEME VE DEĞERLENDİRME

H.1. Konuya İlişkin Kurum Hukuk Müşavirliği Görüşü

H.1.1. Verilerin silinmesi talebine ilişkin açıklamalar

(12) Söz konusu talebe yönelik olarak Hukuk Müşavirliği tarafından verilen görüş yazısında;

- Ankara 3. İdare Mahkemesinin 16.02.2022 tarihli; E. 2021/432 K. 2022/268 sayılı

ve E. 2021/428 K. 2022/267 sayılı kararlarıyla (İlk Derece Mahkemesi (İDM)

Kararları) sırasıyla JP MORGAN ile CITIBANK hakkında Kurul tarafından tesis

edilen idari işlemin iptal edildiği, ancak görüşe konu teşebbüsler ile beraber kararın

iptali istemiyle INGBANK, GARANTİ BANKASI ve GOLDMAN SACHS tarafından

açılan davalara ilişkin Ankara Bölge İdare Mahkemesi 8. İdari Dava Dairesinin

18.02.2021 tarihli ve 2021/184 E., 2021/410 K. sayılı kararıyla 2577 sayılı Yasa’nın

38. maddesinin birinci fıkrasında yer verilen; “aynı maddi veya hukuki sebepten doğan ya da biri hakkında verilecek hüküm, diğerini etkileyecek nitelikte olan davalar” kuralı kapsamında aralarında bağlantı olduğuna karar verilerek davalara bakmak üzere Ankara 3. İdare Mahkemesinin yetkili kılındığı,

- INGBANK tarafından açılan davada Ankara 3. İdare Mahkemesinin 04.03.2021 tarih ve 2020/1303 E., 2021/477 K. sayılı kararı (ING Kararı) ile davanın reddedildiği ve davacı tarafın başvurusu neticesinde istinaf aşamasının devam ettiği,

- Dolayısıyla, aynı mahkeme tarafından JP MORGAN ve CITIBANK teşebbüsleri hakkındaki kararında “ekonomik bütünlük yaklaşımının usule ilişkin bir konu olan ve mevzuatında ayrıntılı olarak düzenlenen tebligat işlemi yönünden uygulanmasının mümkün olmadığı anlaşılmaktadır” şeklinde gerekçeyle yukarıda yer verilen INGBANK kararının tam zıddı bir karar tesis edildiğinin anlaşıldığı, anılan İDM mahkemesi kararlarına ilişkin Hukuk Müşavirliği tarafından istinaf başvurusunda bulunulmuş olup sürecin devam ettiği,

- 2577 Sayılı İdari Yargılama Usulü Kanunu’nun 28. maddesinin birinci fıkrasında; “Danıştay, Bölge İdare Mahkemeleri, İdare ve Vergi Mahkemelerinin esasa ve yürütmenin durdurulmasına ilişkin kararlarının icaplarına göre idare gecikmeksizin işlem tesis etmeye veya eylemde bulunmaya mecburdur. Bu süre hiç bir şekilde kararın idareye tebliğinden başlayarak otuz günü geçemez…” kuralının yer aldığı, bu kural çerçevesinde idari yargı organlarının iptal kararlarının zaman bakımından geriye yürüyüp etki yarattığı ve idari işlemi tesis edildiği tarihten itibaren ortadan kaldırarak, idari işlemden önceki hukuki durumun geri gelmesini sağladığı [1], başka bir ifadeyle idari işlemin hiç yapılmamış, hiç doğmamış hale getirildiği, iptaline hükmedilen idari işlemle ona bağlı diğer işlemlerin tesis edildikleri tarihten önceki hukuki durumun geri gelebilmesi sonucunun sağlanması için idarenin de birtakım davranışlarda bulunmasının gerekli olduğu [2], bu gerekliliğin bazen idarenin yeni bir hukuki durum yaratmasını veya yeni işlemler yapmasını zorunlu kılabildiği ya da idare için birtakım yükümlülükler doğurabildiği,

- Bu bağlamda, CITIBANK’a uygulanan idari para cezasının talep edilmesi halinde iade edilmesinin İDM kararının iptal sonucunun yerine getirilmesi olarak değerlendirilebileceği, ancak yukarıda yer verilen İDM kararlarından; 05.02.2020 tarihli Kurul bilgi isteme talebinin CITIBANK ve JP MORGAN teşebbüslerine Tebligat Kanunu’na uygun bir şekilde yapılmamasından dolayı buna bağlı olarak tesis edilen idari para cezasının iptal edildiğinin anlaşıldığı, söz konusu veriler hakkında sahipleri teşebbüslerin iddia ettiği üzere “hukuka aykırılık” bakımından herhangi bir değerlendirmenin yapılmadığı ve talep edilen veriler özelinde iade, silinme gibi bir işlem tesis edilmesi hususlarına yer verilmediği, bağlantılı karar niteliğindeki INGBANK kararında mezkûr tebligat işleminin hukuka uygun bulunduğu, CITIBANK ve JP MORGAN teşebbüslerinin üzerinde mutlak surette tasarruf etme hakkına sahip oldukları Kurulun talep etmiş olduğu verileri hukuka uygunluğu sağlayıcı nitelikte “kendi rızaları” ile Kuruma göndermiş oldukları, Kurulun 24.09.2020 tarih, 20-43/590-263 sayılı kararıyla haklarında herhangi bir idari yaptırım kararı tesis edilmediği, işbu karar hakkında anılan teşebbüsler tarafından açılmış bir davanın mevcut olmadığı hususları göz önüne alındığında JP MORGAN ve CITIBANK’ın iddia ettiği üzere Kurul tarafından bahse konu veriler

CANDAN, TURGUT (2020), Açıklamalı İdari Yargılama Usulü Kanunu, Yetkin Yayınevi, Ankara.

Danıştay 2. Dairesi, 27.12.2017, E:2017/534, K:2017/8383.

özelinde yerine getirilmesi gereken bir yargı kararının mevcut olmadığı ve zaten her halükarda aynı Kurul kararına yönelik çelişkili İDM kararları mevcut olduğu için bu konudaki uyuşmazlığa ilişkin istinaf sürecinin tamamlanması gerektiğinin değerlendirildiği,

- Öte yandan, JP MORGAN ve CITIBANK’ın söz konusu İDM kararlarının gereği olarak Kuruma göndermiş oldukları veriler hakkında Kurul tarafından bir işlem tesis edilmesi gerektiği şeklindeki taleplerinin yukarıda yer verilen gerekçeler ışığında hukuki bir dayanağının bulunmadığı düşünülse de 4054 sayılı Kanun kapsamında anılan bilgi/belgeler özelinde ek bir değerlendirme yapılmasının yerinde olacağı,

- Mehaz mevzuat niteliğindeki Avrupa Birliği (AB) rekabet hukuku uygulamasında teşebbüsler tarafından gönderilen bilgi ve belgelerin rekabet otoritesi tarafından iade edilmesine ilişkin kurallar [3] bulunsa da özel usul hükümlerinin mevcut olduğu 4054 sayılı Kanun’da “teşebbüslerden elde edilen belgelerin” iadesi konusunda açık bir düzenlemenin bulunmadığı

hususları ifade edilmiştir.

H.1.2. KVKK kapsamında verilerin silinmesi talebine ilişkin açıklamalar

(13) Hukuk Müşavirliği tarafından verilen görüş yazısında;

- 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) “Kapsam” başlıklı 2. maddesinde, “Bu Kanun hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır.” ve “Tanımlar” başlıklı 3. maddesinde, “Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, … Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi” hususlarının yer aldığı, Kamu idarelerinde veri sorumlusunun ilgili kurumun bizzat kendisinin olduğunun KVKK’dan anlaşıldığı,

- Öncelikle Kurumun bir kamu tüzel kişisi olarak kişisel verilerin işlenmesi bakımından KVKK’nın “Genel İlkeler” başlıklı 4. maddesinde yer verilen, “(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:

a) Hukuka ve dürüstlük kurallarına uygun olma. …

d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.” kuralları çerçevesinde hareket etmesinin gerektiğinin açık olduğu,

- 4054 Sayılı Kanun’un “Bilgi İsteme” başlıklı 14. maddesinde “Kurul, bu Kanunun kendisine verdiği görevleri yerine getirirken, gerekli gördüğü her türlü bilgiyi tüm kamu kurum ve kuruluşlarından, teşebbüslerden ve teşebbüs birliklerinden isteyebilir. Bu makamlar, teşebbüsler ve teşebbüs birliklerinin yetkilileri istenen bilgileri Kurulun belirleyeceği süre içinde vermek zorundadır.” hükmünün yer aldığı, keza, Kurumun “Çalışma Usul ve Esasları Hakkında Yönetmelik”’inin 69. maddesi kapsamında bilgiler gizli bile olsa teşebbüsler tarafından verilmesinin zorunlu olduğu, KVKK’nın 5. ve 8. maddelerinde [4] yer verilen düzenlemeler kapsamında;

https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX%3A52006XC1208%2804%29

(20.paragraf)

Madde 5- “(1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. (2) Aşağıdaki şartlardan

birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a)

kişisel verilerin işlenmesi, aktarılması gibi hususlarda “kanunlarda açıkça

öngörülmesi”nin gerekli olduğunun anlaşıldığı, yukarıda yer verilen Kanun’un 14.

maddesi kapsamındaki yetki çerçevesinde bu gerekliliğin Kurum bakımından

karşılandığının açık olduğu,

- Öte yandan, KVKK’nın “İstis nalar” başlıklı 28. maddesinde yer verilen; “Bu

Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri

sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10uncu, zararın

giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve

Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncı maddeleri

aşağıdaki hâllerde uygulanmaz: Kişisel veri işlemenin kanunun verdiği yetkiye

dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu

niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin

yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.”

şeklindeki kural kapsamında Kurumun KVKK’nın bazı maddelerinin

uygulanmasından muaf olduğuna işaret edildiği

hususları ifade edilmektedir.

H.2. Değerlendirme

(14) Verilerin silinmesi ve KVKK kapsamında muhtelif değerlendirmelere yer verilen Hukuk Müşavirliği görüşünde özetle, INGBANK’a ilişkin mahkeme kararı ile JP MORGAN ve CITIBANK’a ilişkin mahkeme kararlarının birbirine zıt yönde olduğu, anılan kararlara ilişkin istinaf sürecinin devam ettiği, KVKK’nın 28. maddesi kapsamında Kurumun KVKK’nın bazı maddelerinden istisna tutulduğu şeklindeki gerekçelerle söz konusu verilerin silinmesini gerektiren bir durum olmadığı belirtilmektedir. Aşağıda öncelikle verilerin silinmesi talebine ilişkin değerlendirmelere, akabinde ise verilerin saklanmasının ya da silinmesinin KVKK nezdindeki durumuna yönelik değerlendirmelere yer verilmiştir.

(15) Hukuk Müşavirliği görüşünde, İDM kararlarında elde edilen verilere yönelik yapılacak idari işlemi işaret eden herhangi değerlendirme mevcut olmadığından söz konusu veriler özelinde bir işlem tesisine gerek olmadığı belirtilmekte, İDM kararlarında vurgu yapılan esas noktanın verilerin taraflardan Tebligat Kanunu’na uygun şekilde istenmemesi olduğu, bu nedenle kararların iptal edildiği, idare tarafından ise idari para cezasının iadesi ile söz konusu kararların gereğinin yerine getirildiği ifade edilmektedir. Söz konusu görüş yazısında mezkûr Mahkeme kararında verilerin hukuki niteliğine yönelik herhangi bir değerlendirmeye yer verilmediği ifade edilmektedir.

(16) CITIBANK ve JP MORGAN’ı konu alan mahkeme kararlarından, uluslararası tebligat usullerine uygun bir şekilde tebligat yapılmamasından dolayı anılan teşebbüsler hakkında tesis edilen idari para cezası iptal edilmekle birlikte, söz konusu veriler Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.”

Madde 8- “(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. (2) Kişisel veriler; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir. (3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.”

hakkında başvuru sahibi teşebbüslerin iddia ettiği üzere “hukuka aykırılık” bakımından herhangi bir değerlendirmenin yapılmadığı ve talep edilen veriler özelinde iade, silinme gibi bir işlem tesis edilmesi hususlarına yer verilmediği anlaşılmıştır. Buna ek olarak bağlantılı karar niteliğindeki INGBANK kararında mezkûr tebligat işleminin hukuka uygun bulunduğu belirtilmektedir. Dolayısıyla aynı Kurul kararına yönelik farklı İDM kararları mevcut olduğundan, konu hakkındaki uyuşmazlık üst yargı mercilerince giderilmeksizin bahse konu verilerin silinmesinin zorunlu olmadığı değerlendirilmektedir.

(17) Başvuru konusu teşebbüslerden elde edilen verilerin silinmesi talebine dayanak teşkil eden mahkeme kararlarında uluslararası tebligat usullerine uygun bir şekilde tebligat yapılmadığı ifade edilse de söz konusu verilerin hukuka uygun elde edilip edilmediği hususunda herhangi bir değerlendirmeye yer verilmemektedir. Buradan hareketle 4054 sayılı Kanun’un 14. maddesinde yer verilen bilgi isteme yetkisine dayanılarak elde edilen verilerin kullanılmasında ve Kurum uhdesinde tutulmasında herhangi bir hukuki engelin bulunmadığı değerlendirilmektedir.

(18) Sonuç olarak, JP MORGAN ve CITIBANK’ın söz konusu İDM kararlarının gereği olarak Kuruma göndermiş oldukları veriler hakkında Kurul tarafından bir işlem tesis edilmesi gerektiği şeklindeki taleplerinin hukuki bir dayanağının bulunmadığı, zira elde edilen veriler hakkında belgelerin iade edilmesi veya silinmesi özelinde yerine getirilmesi gereken bir yargı kararının bu aşamada mevcut olmadığı, çelişkili yargı kararlarından dolayı istinaf sürecinin beklenmesi gerektiği kanaatine ulaşılmaktadır. Ayrıca önaraştırmanın sonlandırılmasına ilişkin gerekçeli Kurul kararının yayınlanmasının akabinde ilgili karar hakkında yargı yoluna başvurulması durumunda söz konusu verilerin mahkemece talep edilmesi ihtimali bulunmaktadır. Bu sebeple elde edilen verilerin silinmesi veya iade edilmesi talebinin reddedilmesi gerektiği değerlendirilmektedir.

(19) İkinci bir husus olarak söz konusu verilerin Kurum bünyesinde saklanmasının KVKK hükümleri bağlamında herhangi bir hukuki sorumluluk doğurup doğurmayacağının ele alınması gerekmektedir. Bu kapsamda öncelikle kişisel verinin tanımlanmasında fayda bulunmaktadır. Kişisel veri, KVKK’nın “Tanımlar” başlıklı 3. maddesinin (d) bendinde “Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” şeklinde tanımlanmaktadır. Kanun hükmünün lafzından da anlaşılacağı üzere kişisel veri kavramı hakkında oldukça geniş bir tarif getirilmekte ve gerçek kişinin kimliğini ortaya çıkaran ya da çıkarması muhtemel nitelik arz eden veriler kişisel veri kapsamında değerlendirilmektedir.

(20) Traderlar arasında gerçekleşen yazışmalardan oluşan başvuru konusu veriler traderların birbirleriyle yaptığı finansal işlemlerin yanı sıra muhtemel kişisel veriler de içermektedir. Önaraştırma sürecinde kendilerinden TL ile olan işlemlere yönelik bilgi talep edilen tarafların birçoğu söz konusu kişisel verilerin anılan veri setinden ayrıştırılamadığı gerekçesiyle trader yazışmalarını bir bütün olarak Kuruma intikal ettirmiştir. KVKK’nın 28. maddesinin ikinci fıkrasında “(2) Bu Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16 ncı maddeleri aşağıdaki hâllerde uygulanmaz: (…) c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya

düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.” hükmü yer almaktadır.

(21) 4054 sayılı Kanun’un “Bilgi İsteme” başlıklı 14. maddesinde yer alan “Kurul, bu Kanunun kendisine verdiği görevleri yerine getirirken, gerekli gördüğü her türlü bilgiyi tüm kamu kurum ve kuruluşlarından, teşebbüslerden ve teşebbüs birliklerinden isteyebilir. Bu makamlar, teşebbüsler ve teşebbüs birliklerinin yetkilileri istenen bilgileri Kurulun belirleyeceği süre içinde vermek zorundadır.” hükmünün verdiği yetkiye dayanılarak dosya kapsamında elde edilen verilerin hukuki niteliği KVKK’nın 28. maddesinde yer alan istisna hükmü ile birlikte değerlendirildiğinde, Kurumun söz konusu verileri elde etmesi ve uhdesinde saklaması hususlarında yetkili olduğu değerlendirilmektedir.

(22) Hukuk Müşavirliğinin görüş yazısında da Kurumun “Çalışma Usul ve Esasları Hakkında Yönetmelik”’inin 69. maddesi kapsamında bilgiler gizli bile olsa teşebbüsler tarafından verilmesinin zorunlu olduğu, KVKK’nın 5. ve 8. maddelerinde yer verilen düzenlemeler kapsamında; kişisel verilerin işlenmesi, aktarılması gibi hususlarda “kanunlarda açıkça öngörülmesi”nin gerekli olduğunun anlaşıldığı, 4054 sayılı Kanun’un 14. maddesi kapsamındaki yetki çerçevesinde bu gerekliliğin Kurum bakımından karşılandığının açık olduğu ifade edilmektedir.

(23) İlgili KVKK hükümleri ve yukarıda yer verilen değerlendirmeler kapsamında Kurumun KVKK’nın bazı maddelerinin uygulanmasından muaf olduğu sonucuna ulaşılmıştır. Dahası, 4054 sayılı Kanun’da Kurumun verileri saklama yükümlülüğüne ve bu yükümlüğün süresine ilişkin herhangi bir düzenleyici çerçevenin mevcut olmadığı hususu göz önüne alındığında teşebbüslerden elde edilen verilerin belirli bir süre içerisinde silinmesini gerektirecek bir maddi vakıadan bahsetmenin mümkün olmadığı değerlendirilmektedir.

(24) Bu çerçevede; 4054 sayılı Kanun’un verdiği bilgi isteme gibi yetkilerin Kurumu KVKK kapsamındaki yükümlülüklerden istisna tutacağı ve söz konusu İDM kararları neticesinde anılan verilerin iade edilmesi veya silinmesine bu bakımdan gerek olmadığı kanaatine varılmıştır.

I. SONUÇ

(25) Rekabet Kurulunun 17.01.2020 tarihli ve 20-05/48-M sayılı kararı ile Türkiye'de faaliyet gösteren banka ve finansal kuruluşların ve bunların temsilciliklerinin mevduat, kredi, döviz, tahvil, bono, hisse senedi ve aracılık hizmetlerine ilişkin faaliyetlerinde 4054 sayılı Rekabetin Korunması Hakkında Kanun'u ihlal edip etmediklerinin tespit edilmesi amacıyla başlatılan önaraştırma kapsamında JPMorgan Chase Bank National Association Merkezi Columbus Ohio İstanbul Türkiye Şubesi ve Citibank AŞ’den elde edilen ve TL kotasyonlu işlem hacmi en çok olan ilk 10 traderının Bloomberg ve Reuters chat odası kayıtlarını içeren verilerin silinmesi talebinin reddine, gerekçeli kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde yargı yolu açık olmak üzere OYÇOKLUĞU ile karar verilmiştir.

23.06.2022 tarih, 23-28/455-184 sayılı Karara ilişkin karşı görüş

Rekabet Kurulu’nun 17.01.2020 tarih, 20-05/48-M sayılı Kararıyla yürütülen bir önaraştırma kapsamında, birçok teşebbüste olduğu gibi JPMorgan Chase Bank National Association Merkezi Columbus Ohio İstanbul Türkiye Şubesi’nde ve Citibank A.Ş.’de de inceleme yapılmış ve 4054 sayılı Kanunun 14. maddesi uyarınca bazı bilgiler talep edilmiştir. İlk 10 traderın Bloomberg ve Reuters chat odası kayıtlarını içeren bilgilerin ilgili teşebbüslerce çeşitli gerekçelerle sağlanamayacağının ifade edilmesi üzerine, teşebbüslere verilen sürede söz konusu bilgilerin sağlanmaması halinde 4054 sayılı Kanunun 17. maddesinin birinci fıkrasının (c) bendi uyarınca süreli para cezası uygulanacağına ilişkin olarak alınan 26.08.2021 tarih ve 21-40/576-280 sayılı Kurul Kararı teşebbüslere tebliğ edilmiş, bunun üzerine söz konusu bilgiler bu karara konu teşebbüslerden temin edilebilmiştir (Kurul tarafından belirlenen sürede bu bilgileri temin etmeyen bazı teşebbüslere süreli para cezaları verilmiştir.).

26.08.2021 tarih ve 21-40/576-280 sayılı Kurul Kararının Ankara 3. İdare Mahkemesi tarafından iptal edilmesi üzerine, söz konusu Kurul Kararı uyarınca (para cezası tehdidiyle) elde edilen bilgilerin durumu tartışmalı hale gelmektedir. Şöyle ki, çeşitli gerekçelerle Bloomberg ve Reuters chat odası kayıtlarını temin etmeyen teşebbüslere, söz konusu bilgilerin temin edilmemesi halinde, bilgileri temin edene kadar, her gün için süreli para cezası uygulanacağına ilişkin alınan Kurul Kararı neticesinde, süreli para cezası riskini bertaraf etmek için bilgiler temin edilmiştir. 26.08.2021 tarih ve 21- 40/576-280 sayılı Kurul Kararının, Mahkeme kararıyla ortadan kalktığı bir dünyada, teşebbüs tarafından bu kapsamda elde edilen bilgilerin hukuka aykırı bir şekilde elde edilmiş delil haline geldiği iddia edilmekte, bu nedenle söz konusu bilgilerin kullanılmaması, iade ya da imha edilmesi, şayet kullanılmışsa buna ilişkin tedbir alınması talep edilmektedir.

Öncelikle Mahkemenin iptal kararına kadar, hukuka aykırı bir iş veya işlemden bahsedilemeyeceği, dolayısıyla mutlak butlan (yokluk) durumunun söz konusu olmadığı, iptal kararına kadar yapılan iş ve işlemlerin hukuka uygun olarak kabul edilmesi gerektiği düşüncesindeyim. Diğer yandan, iptal kararından sonra, ortadan kaldırılan Kurul Kararı uyarınca elde edilmiş olan delillerin kullanılmasının ya da elde

tutulmasının tartışmalı hale geldiği düşüncesindeyim. Mahkemenin iptal kararının sadece süreli para cezası ile sınırlı olduğu, iptale konu Kurul Kararı uyarınca elde edilen deliller hakkında hüküm doğurmayacağı gibi bir yoruma katılmamaktayım. Zira böyle bir yorumun mahkemenin iptal kararının ruhuna ve amacına uygun olmadığı düşüncesindeyim. Bu nedenle bu kapsamda elde edilen delillerle ilgili, talep uyarınca bir karar alınması gerekmektedir.

Dosyanın kapandığı, devam eden idari bir sürecinin bulunmadığı da dikkate alınarak, söz konusu delillerin iade edilmesi ya da imha edilmesi/dosyadan çıkarılması düşünülebilir. Ancak, istinaf sürecinin devam ettiği, irtibatlı dosyalarda farklı/çelişkili kararlar bulunduğu da dikkate alınarak söz konusu delillerin iade/imha edilmesi durumunda istinaf sürecinde muhtemel bir Kurum lehine karar durumunda, elde tutulan delillerle ilgili geri dönülemez bir işlem riski barındırdığı, her ne kadar dosyanın idari süreci tamamlansa da, idare mahkemelerinde dosyanın esasıyla ilgili sürecinin devam edebildiği de dikkate alınarak söz konusu delillerin iade/imha yerine, bu aşamada (istinaf süreci sonuçlanana kadar, yahut kesin karara kadar) hiçbir şekilde kullanılmayacağına ve/veya kimseye verilmeyeceğine ilişki karar alınması gerektiği, bu şekilde niteliği tartışmalı hale gelen delillerin yargı süreci sonuçlanana/kesinleşene kadar güvenceye alınması gerektiği düşüncesindeyim.

Yukarıda yer alan açıklama ve gerekçelerle Kurul’un çoğunluk görüşüne katılmam mümkün olmamıştır.

Hasan Hüseyin ÜNLÜ

Kurul Üyesi