Sigorta Bilgi ve Gözetim Merkezi tarafından yürütülmekte olan ve bulut tabanlı mimari üzerine konumlanmış…

REKABET KURUMU

REKABET KURULU KARARI

A. TOPLANTIYA KATILAN ÜYELER

Başkan: Birol KÜLE

Üyeler: Arslan NARİN (İkinci Başkan), Şükran KODALAK

Ahmet ALGAN, Hasan Hüseyin ÜNLÜ

B. RAPORTÖRLER: Buket ARI, Nezir Furkan KIRAN, Barış BİRCAN, Burçin GÜLEŞ C. BİLDİRİMDE

BULUNAN: - Sigorta Bilgi ve Gözetim Merkezi

Temsilcisi: Av. Dr. Oğuzkan GÜZEL

Mustafa Kemal Mah. 2110. Sok. No:17 06530 Çankaya/Ankara

(1) D. DOSYA KONUSU: Sigorta Bilgi ve Gözetim Merkezi tarafından yürütülmekte olan ve bulut tabanlı mimari üzerine konumlanmış dijital platformlarda halihazırda kullanılmakta olan uygulama ve servislerin paydaşlara bulut ortamı üzerinden güvenlik standartlarını sağlayacak şekilde sunulmasına yönelik S- Cloud Projesi’ne menfi tespit belgesi verilmesi veya bireysel muafiyet tanınması talebi.

(2) E. DOSYA EVRELERİ: Rekabet Kurumu (Kurum) kayıtlarına 20.11.2019 tarih ve 8136 sayı ile giren bildirim üzerine düzenlenen 04.11.2020 tarih ve 2019-4-075/MM sayılı Menfi Tespit/Muafiyet Raporu görüşülerek karara bağlanmıştır.

(3) F. RAPORTÖR GÖRÜŞÜ: İlgili raporda;

- Başvuru konusu uygulamanın 4054 sayılı Rekabetin Korunması Hakkında

Kanun’un (4054 sayılı Kanun) 4. maddesi kapsamında olması nedeniyle, aynı

Kanun’un 8. maddesi çerçevesinde menfi tespit belgesi verilemeyeceği,

- Bununla birlikte söz konusu uygulamaya 4054 sayılı Kanun’un 5. maddesi uyarınca

 S-Cloud platformuna kabul noktasında, yazılımların sigorta sektörünün

ihtiyaçlarına cevap verebilecek nitelikte ve sektör ile alakalı olduğu konusunda

Sigorta Bilgi ve Gözetim Merkezi’nin (SBM) yapacağı değerlendirmede

kullanılacak objektif kriterlerin belirlenerek SBM’ye ait www.sbm.org.tr adlı web

sitesinde (ve açılması durumunda S-Cloud’a ilişkin web sitesinde) duyurulması,

 SBM ile yazılım şirketleri arasında imzalanacak olan S-Cloud kullanım

sözleşmesine bir hüküm konularak S-Cloud hizmetinin kullanımına yönelik

olarak paylaşılması gerekli olan başta ürünlerin kaynak kodları olmak üzere

rekabete hassas veri teşkil edebilecek bilgilerine bu şirketlerin bilgileri ve rızaları

dahilinde yetkilendireceği kişiler dışındaki kişilerin ulaşamayacağının taahhüt

edilmesi ile bu hükmün ihlali halinde uygulanacak yaptırımlara ilişkin

düzenlemelerin yer aldığı bir hükmün dercedilmesi,

 Sigorta sektörüne hizmet veren yahut verebilecek durumda olan yazılım ürünleri

bakımından S-Cloud uygulamasına dahil olmak konusunda hiçbir zorunluluğun

bulunmadığı ile sigorta sektöründe faaliyet gösteren sigorta şirketleri, acenteler

ve diğer oyuncuların hizmet alacakları yazılım ürünlerini seçerken S-Cloud’da

yer alan ürünleri seçmeleri konusunda hiçbir zorunluluk veya tavsiyenin söz

konusu olmadığı hususlarının kamuoyuna duyurulması

koşullarının yerine getirilerek keyfiyetin en geç gerekçeli kararın tebliğinden itibaren 30 gün içerisinde Kurumumuza tevsik edilmesi şartıyla 31.12.2023 tarihine kadar bireysel muafiyet tanınabileceği ifade edilmiştir.

G. İNCELEME VE DEĞERLENDİRME

G.1. Sigorta Bilgi ve Gözetim Merkezi (SBM) Hakkında Bilgi

(4) SBM, 5684 sayılı Sigortacılık Kanunu’ nun (56 84 sayılı Kanun) 31/B maddesi uyarınca; sigortalılar ve sigorta sözleşmesinden dolaylı da olsa menfaat sağlayanlara ilişkin olarak, yanlış sigorta uygulamaları dâhil, risk değerlendirmesine esas bilgileri toplamak ve bu bilgilerin sigorta, reasürans ve sigortacılık faaliyetinde bulunan emeklili k şirketleri ile T.C. Hazine ve Maliye Bakanlığınca (Bakanlık) [1] belirlenecek kişilerle paylaşılmasını sağlamak amacıyla Türkiye Sigorta, Reasürans ve Emeklilik Şirketleri Birliği (TSB) nezdinde tüzel kişiliği haiz olarak kurulmuştur. İlgili maddede bahse k onu sigorta şirketlerinin SBM’ye üye olmaları nın zorunlu olduğu ve SBM tarafından istenen her türlü bilgiyi vermekle yükümlü oldukları hüküm altına alınmıştır. Bu hükümler doğrultusunda Bakanlıkça belirlenen sigortalara ilişkin poliçe, zeyil, hasar kayıtla rı bilgileri sigorta şirketleri tarafından elektronik olarak SBM’ye transfer edilmektedir.

(5) 09.08.2008 tarih ve 26962 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren Sigorta Bilgi ve Gözetim Merkezi Yönetmeliği’nin (Yönetmelik) 6. maddesinde SBM’nin karar organının Yönetim Komitesi olduğu; Yönetim Komitesi’nin TSB’ye üye sigorta ve emeklilik şirketlerinin genel müdür niteliğini haiz personeli arasından Hayat Dışı Yönetim Komitesi ile Hayat ve Emeklilik Yönetim Komitesince seçilecek birer üye, Bakanlı kça belirlenecek iki üye ve M erkez müdürü olmak üzere toplam beş üyeden oluş acağı; üyelerin üç yıl süreyle görev yapacakları ve üye tam sayısının yarıdan bir fazlasıyla toplanıp karar alınacağı düzenlenmektedir.

(6) İlgili Yönetmelik hükümleri uyarınca SBM ne zdinde faaliyet göstermek üzere; sigorta branşında güvenilir istatistikler üretmek, uygulama birliği sağlamak, kamu gözetim ve denetiminin daha etkin bir şekilde yerine getirilmesi, sigorta sistemine olan güvenin artırılması vb. amaçlar ile Trafik Sigortal arı Bilgi ve Gözetim Merkezi (TRAMER), Sağlık Sigortaları Bilgi ve Gözetim Merkezi (SAGMER), Hayat Sigortaları Bilgi ve Gözetim Merkezi (HAYMER) ve Sigorta Hasar Takip ve Gözetim Sistemi’nden (HATMER) oluşan alt bilgi merkezleri kurulmuştur.

G.2. Bildirime Konu Uygulama

(7) SBM tarafından yürütülecek b ildirime konu S - Cloud Projesi ile sigorta sektörüne yönelik belirli güvenlik standartlarını sağlayan yazılımların yer aldığı özgün bir kütüphane ortamı oluşturarak sigorta şirketleri, acenteleri ve eksperlerin bu ürünl ere ulaşımını kolaylaştırmak, yazılımlara ilişkin güven lik endişelerini minimize etmek ve sektörde faaliyet gösteren teşebbüslerin güncel teknolojiyi kullanmaları nın amaçlandığı ifade edilmiştir. S - Cloud’da yer alan yazılımların, bulut bilişim hiz met 1 703 sayılı Anayasada Yapılan Değişikliklere Uyum Sağlanması Amacıyla Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılması Hakkında Kanun Hükmünde Kararname ve 1 Nolu Cumhurbaşkanlığı Kararnamesi ile Hazine Müsteşarlığı ile T.C. Maliye Bakanlığı aynı teşkilat altında birleştirilmiş olup yeni ismi T.C. Hazine ve Maliye Bakanlığı olarak belirlenmiştir. Mevzuatta Hazine Müsteşarlığı’na yapılan atıflar T.C. Hazine ve Maliye Bakanlığı’nı nitelediğinden karar boyunca T.C. Hazine ve Maliye Bakanlığı ifadesi kullanılmıştır.

modellerinden kullanıcılara önceden belirlenmiş uygulamaları doğrudan web

tarayıcısından çalıştırma imkanı veren yazılım hizmeti (SaaS) modeli kapsamında

kullanıcılara sunulması planlanmaktadır. Bulut bilişim hizmeti ile ilgili ayrıntılı bilgiye

aşağıda “İlgili Pazar” başlıklı bölümde yer verilmiştir.

(8) S-Cloud’da yer alabilecek yazılımlara ilişkin kriterlerin “S-Cloud Projesi Ürün Kabul

Kriterleri” adlı dokümantasyon ile listelendiği görülmekte ve objektif kabul kriterlerinin

SBM web sitesinde ilan edileceği ifade edilmektedir. İlgili belgede yer alan kriterler

aşağıda özetlenmektedir:

- “Mevzuat ve Uyum Kriterleri” başlığı altında uygulama sahiplerinin nereden hangi verilerin toplandığı, verilerin saklanma amacı ve süreleri gibi unsurları aydınlatma yükümlülüğü bulunduğu, kişisel verilere ilişkin olarak ilgili mevzuat hükümlerine uyulması gerektiği; gerekli hukuki metinlerin ve mevzuat kapsamında yerine getirilmesi gereken diğer unsurların S-Cloud üzerinden, uygulama kullanılmaya başlanmadan önce uygulama sahibi firma tarafından kullanıcı bazlı temin edilmesi ve loglanması gerektiği düzenlenmektedir.

- “Güvenlik Kriterleri” başlığı altında S-Cloud üzerinden sunulacak uygulamanın kaynak kod incelemesi dahil olmak üzere Türk Standartları Enstitüsü (TSE), CREST [2] gibi ulusal/uluslararası kurumlar tarafından akredite edilmiş bağımsız güvenlik denetim firmalarının en az yılda bir kez olmak üzere güvenlik testi yaptırılması gerektiği belirtilmektedir.

- “Yazılım Kriterleri” başlığı altında yazılımların sigorta sektörünün ihtiyaçlarına cevap verebilecek yazılımlar olması gerektiği, SBM’nin uygulamanın sektör ile alakasını belirleyebileceği, SBM’nin uygulamanın ihtiyaç duyduğu teknolojiyi kendi bünyesinde barındırmaması veya kapasitesinin yeterli olmaması durumunda uygulamayı kabul etmeme kararı alabileceği ancak makul sürede kapasite artırımını gerçekleştireceği ifade edilmektedir.

- “Finans ve Satın Alma Kriterleri” başlığı altında uygulama sahibi firmaların mali yeterlilikleri ile ilgili birtakım standartlar belirlendiği ve çeşitli resmi belgelerin talep edildiği görülmektedir.

- “Veri Tabanı Kriterleri” başlığı altında işletim sistemi olarak Redhat Linux veya Windows, veri tabanı olarak da Oracle ve MSSQLServer kullanılacağı ifade edilmektedir. SBM’nin kullandığı veri tabanı dışındaki veri tabanlarının bulut ortamına uygun bulunması durumunda ilgili teşebbüsün SBM ile birlikte veri tabanı bakım çalışmasını yapmasının uygun olacağı ifade edilen unsurlar arasındadır. Yine veri tabanına ilişkin olarak scripting dilleri erişebilir olma, yönetilebilir replikasyonları bulunma, cluster mimariyi destekleyebilir olma, güncel sürüm olma gibi birtakım standartlar getirildiği görülmektedir.

- “Sistem ve Altyapı” başlığı altında Windows ve Linux işletim sistemleri için ayrı kriterler belirlendiği görülmekte olup, uygulamanın SBM’nin hâlihazırda kullandığı ağ ve güvenlik cihazları ile uyumlu çalışması gerektiği belirtilmektedir.

- “Uygulama ve Değişim” başlığı altında S-Cloud’da yer alması istenilen ürüne ilişkin ürünün açıklaması, bileşenleri, kurulum ve konfigürasyonları, altyapısı, entegrasyon

CREST, İngiltere'de kayıtlı bir şirket olup teknik bilgi güvenliği pazarını temsil eden ve destekleyen, kar

amacı gütmeyen uluslararası bir akreditasyon ve sertifika kuruluşudur. https://www.crest-approved.org/,

(Erişim Tarihi: 22.09.2020).

noktaları, veri tabanı ve ortam bilgileri gibi hangi unsurların SBM’ye iletileceği

düzenlenmektedir.

(9) Yukarıda özetle yer verilen kriterleri sağlayan ürünlerin belirli bir ücret karşılığında S- Cloud’da yer alacağı belirtilmiş olup bu kriterleri sağlayamayanların hâlihazırdaki sistemleri ile S-Cloud platformu dışında hizmet vermeye devam edebileceği; yine ürünleri S-Cloud’da yer alan teşebbüslerin de sadece S-Cloud aracılığıyla hizmet verme zorunluluklarının olmadığı, diledikleri takdirde başka bir bulut bilişim şirketinden hizmet alıp ürünlerini başka platformlar aracılığıyla da satabilecekleri ifade edilmektedir. Bu noktada ayrıca SBM’nin, başvuru içerisinde objektif kriterleri sağlayan tüm teşebbüslere karşı eşit şekilde davranılacağını ve bu şartları sağlayan tüm teşebbüslerin makul süre içerisinde S-Cloud’a eklenebileceğini taahhüt ettiği belirtilmelidir. Buna ek olarak S-Cloud’da ürünleri yer alacak teşebbüslerin sundukları hizmetlere yönelik ücretlendirme politikalarını da tamamen serbest olarak belirlemeye devam edecekleri ifade edilen diğer hususlar arasında yer almaktadır.

(10) Bildirim Formunda yazılım şirketlerinin ürünlerini S-Cloud’a kurup kurmamaya ilişkin tamamen serbest olacakları ve SBM’nin kriterlerini sağlayan yazılımların sisteme dâhil edilmesi noktasında keyfilik bulunmayacağı belirtilmektedir. Buna ilaveten yazılımların kullanıcısı konumunda olan sigorta şirketleri, acenteler ve eksperlerin de S-Cloud’a kurulmuş olan ürünleri tercih edip etmeme noktasında serbest olacakları ve S-Cloud’un ilgili teşebbüslerin ticari kararlarını özgürce almalarını engelleyecek özellikler içermediği ifade edilmektedir.

(11) SBM tarafından gönderilen cevabi yazıda, ürünlerini S-Cloud’a yükleyecek teşebbüsler ile yapılacak anlaşma sonrasında ücretlendirmenin lisans veya kullandıkça öde iş modellerine göre yapılacağı belirtilmektedir. Ayrıca ücretlendirme belirlenirken maliyetlerin karşılanmasının yanı sıra geliştirme ve kapasite artırımı yatırımlarının söz konusu olması halinde bunların da göz önünde bulundurulacağı ifade edilmektedir. Bu noktada SBM S-Cloud’un muhasebesini ayrıştırarak gelir ve giderlerin S-Cloud özelinde hesaplanacağını ve ücretlendirmenin bu hesaplamalar özelinde yapılacağını taahhüt etmektedir.

(12) Cevabi yazıda ayrıca güvenlik açıklarına yönelik örneklere yer verilmiş, geçtiğimiz senelerde özellikle sigorta şirketleriyle çalışan acentelerin güvenli bir altyapıda çalışmayan ve güvenlik önlemleri almamış yazılımlar kullanması sonucu içerisinde kişisel verilerin de olduğu veri sızıntıları yaşandığı ifade edilmiştir.

(13) Başvuruya konu projenin ayrıntılarının anlaşılması ve Bildirim Formundaki birtakım eksikliklerin tamamlanması adına SBM’den bilgi ve belge talebinde bulunulmuş, buna istinaden gönderilen cevabi yazıda özetle;

- Bildirim Formunda belirtilen, yazılımların güvenliğinin SBM bünyesinde SBM

çalışanlarınca incelenerek yüklenmesi yönteminden hem yazılım şirketlerinin

kodlarının gizliliği hem de ortaya çıkacak operasyonel zorluklar sebebiyle

vazgeçildiği, Bu nedenle S-Cloud’a kabul edilebilmek için TSE veya CREST

güvenlik kriterlerinin sağlanmış olmasının yeterli olacağı,

- SBM bünyesinde kullanılacak sunuculara yalnızca yazılım şirketlerinin uzaktan

erişim imkanı ile ulaşabileceği, SBM’nin sunucularda yer alan verilere, yazılımların

kaynak kodlarına ve yazılım şirketlerinin kullanıcılarına ilişkin bilgilere yazılım

şirketleri haricindeki kişilerin erişim imkanının olmayacağı, SBM’nin yetkilerinin diğer

bulut bilişim sağlayıcılarının yetkileri ile paralel olacağı, SBM’nin yalnızca sisteme

bağlantı yapacak kullanıcıların ad, soyad, T.C. Kimlik Numarası ve cep telefonu

bilgilerini edineceği,

- S-Cloud'da çalışacak uygulamaların yazılım şirketlerinin sorumluluğunda olduğu ve

daha izole çalışabilmesi amacıyla yazılımın çalışacağı sunucuların ilgili yazılım

şirketlerine tahsis edildiği ve SBM'nin bu yazılımlara ait bilgilere erişiminin

engellendiği,

- S-Cloud’un hem yazılımlara erişimin sağlandığı bir pazar yeri (marketplace) olarak

hizmet vereceği hem de S-Cloud sunucuları üzerinde çalışan uygulamalara

eklenecek verilerin bulunacağı bir depolama alanı sağlayacağı,

- Depolama hizmetindeki güvenliğin diğer tüm bulut bilişim hizmetlerine kıyasla S-

Cloud’da daha yüksek olacağı,

- Sigorta şirketleri, acenteler, eksperler ve sigortacılık sektörüne yönelik ürün üreten

yazılım şirketlerinin S-Cloud'u kullanma zorunluluklarının bulunmaması ve bu

teşebbüslerin S-Cloud’u kullanmaları halinde diğer bulut bilişim sağlayıcılarından da

hizmet almaya devam edebilmesi sayesinde S-Cloud'un pazardaki özgürce

seçimde bulunma durumunu etkilemeyip rekabet ortamına zarar vermeyeceği

ifade edilmiştir.

(14) Bildirime konu uygulamanın teknik özellikleri ve SBM’nin S-Cloud içerisinde yer alan yazılımların verilerine ne derecede erişebileceği hususları başta olmak üzere diğer hususların 4054 sayılı Kanun'un 4. maddesine aykırılık teşkil edip etmeyeceğinin değerlendirilebilmesi adına Bilişim Teknolojileri Dairesi Başkanlığının konuyla ilgili görüşleri talep edilmiştir. Buna istinaden gelen görüş yazısında;

-"S-Cloud Projesi Ürün Kabul Kriterleri" adlı belgede yer aldığı üzere uygulama

geliştiricisinin, yazılımla ilgili testleri, dokümanları vb. içerikleri SBM'ye ileteceği, - SBM’nin ise sistemlerin kesintisiz çalışmasından, gerekli altyapının

sağlanmasından, yazılımların kullanıma alınması ve kullanımdan kaldırılması gibi

hizmetlerden sorumlu olduğu,

- Benimsenen SaaS [3] tipi hizmet modelinde, SBM'nin yönetim, güncelleme ve iş

sürekliliğinin sağlanması amacıyla sahip olduğu sistemlerdeki yetkili kullanıcı

hesapları vasıtasıyla bu sistemlerde bulunan uygulamalara ait verilere erişmesinin

önünde bir engel bulunmadığı

belirtilmektedir.

G.3. Bildirime Konu Uygulamaya Yönelik Sektör Oyuncularının Görüşleri

(15) Bildirime konu uygulama hakkında bilgi edinmek üzere sigorta sektörüne yönelik yazılım geliştirilmesi ve sunulması alanında faaliyet gösteren teşebbüslerden, sigorta şirketlerinden ve sigorta acenteleri ile sigorta eksperlerinin üye oldukları derneklerden bilgi ve belge talebinde bulunulmuştur. Bu bilgi ve belge talepleri ile bunlara istinaden teşebbüslerden gelen cevabi yazı içeriklerine aşağıda yer verilmiştir.

[3] Yazılım Hizmeti (Software as a Service (SaaS)): Bu modelin ayrıntıları için bkz. “G.4. İlgili Pazar”, Tablo-1.

G.3.1. Yazılım Şirketlerinden Gelen Cevabi Yazılar

(16) Bildirime konu S-Cloud sisteminin müşterilerinin sigorta hizmetlerine yönelik yazılım geliştiren teşebbüsler olacağından hareketle bildirime konu faaliyetin doğrudan etkileyeceği yazılım şirketlerinin görüşlerine başvurulmuştur.

(17) İlgili teşebbüslere herhangi bir sigorta şirketine yazılım hizmeti veriyorlarsa güvenlik koşullarını ne şekilde sağladıkları, S-Cloud’un hâlihazırda bir rakibinin bulunup bulunmadığı, sigorta sektöründe kullanılan yazılımlar bakımından güvenlik açığı bulunup bulunmadığı, S-Cloud’da yer almak için gerekli teknik şartların makul olup olmadığı, S-Cloud’un pazardaki rekabet koşullarını ne şekilde etkileyeceği sorulmuştur. Birçok sigorta şirketine çeşitli yazılım ürünleri sunan teşebbüslerden gelen cevabi yazılarda özetle;

Güvenlik Koşulları Hakkında Verilen Cevaplar

- Kendilerinin sigorta şirketlerine yazılım kurulumu için gerekli altyapı bilgisini ilettikleri

ve sigorta şirketlerinin o sunucuyu temin etmesinden sonra sunucuya uzaktan erişim

yoluyla yazılımın kurulduğu,

- Yazılımların kurulduğu sunucuların sigorta şirketlerinin veri merkezlerinde

bulunması sebebiyle güvenliği, bakımı, yedeklenmesi vb. unsurlardan sigorta

şirketlerinin sorumlu olduğu,

- Yazılımların, sigorta şirketlerinin güvenlik politikaları çerçevesinde güvenlik açığı

olarak değerlendirilen unsurların tamamlanmasının ardından kurulumlarının

gerçekleştirildiği,

- Yazılım güvenliğinin ise belirli dönemlerde tekrarlanan penetrasyon testleri, sızma

testleri, PCI DSS güvenlik testleri gibi birtakım testler ve Firewall, WAF, HTTPS

Protokolü, Forms Authentication gibi çeşitli uygulamalar kullanılarak sağlandığı ifade edilmektedir.

S-Cloud Hakkında Verilen Cevaplar

- Sigorta sektörüne yönelik çözümler üreten teşebbüslerin ve ürünlerinin aynı anda

görüntülenebilmesine olanak sağlayan alternatif bir uygulamanın bulunmadığı, - Bulut hizmeti sunan teşebbüslerin uygulamada yer alacak yazılımlar için belli

standartlar getirebildiği ancak S-Cloud’da yer alabilmek için gerekli olan teknik

şartların ve SBM’nin talep edeceği ücretin bilinmediği, teknik şart ve ücretlerin

piyasadaki makul düzeylerden daha yüksek olması halinde küçük/orta ölçekli

teşebbüslerin rekabet gücünün kısıtlanabilmesinden dolayı rekabetin ve sunulan

ürünlerin çeşitliliğinin azalabileceği,

- S-Cloud’da yer alabilmek için yazılımların WEB tabanlı olması gerektiği ve

hâlihazırda WEB tabanlı sunulmayan yazılımların buna uygun hale getirilmesinin

gerekeceği,

- S-Cloud gibi kontrollü bir bulut ortamı ve bu ortamda yer alacak yazılımların

minimum güvenlik standartlarının karşılamaları gerekliliği birlikte düşünüldüğünde

güvenlik açısından olumlu etkisinin olacağı,

- Sektörel olarak rakiplerin ürün yelpazelerinin, yeteneklerinin ve fonksiyonlarının

görülebilmesinin tüm ürünlere pozitif etki ederek rekabeti devam ettirmek için

geliştirme fırsatı sunacağı ve bu nedenle rekabetin pozitif etkileneceği,

- S-Cloud içinde yer alan yazılımların müşterilere daha kolay ulaşacağı fakat ürünün tercih edilmesi için en önemli kriterin müşterinin ihtiyacını karşılayıp karşılamaması olduğu

belirtilmektedir.

(18) AcerPro Bilişim Teknolojileri A.Ş. tarafından gönderilen cevabi yazıda ek olarak;

- Sektördeki büyük sigorta acentelerine yazılım hizmetinin bulut tabanlı bir sistem mimarisi üzerinden sağlandığı, bu acentelere hizmet verirken yazılım ve güvenlik standartlarının üst seviyede tutulduğu ve sigorta şirketleri ile yapılan veri alışverişinin kontrollü IP erişimleri ile sağlanarak iletişimin şifrelenmiş altyapı ile sürdürüldüğü,

- Belli standartları karşılayan yazılımların S-Cloud ortamına dâhil edilmesinin kullanılan yazılımların standart seviyesi açısından önemli olduğu, bu sayede acentelerin daha kurumsal ve güvenli yazılımlar ile çalışmasının mümkün olabileceği,

- S-Cloud’a dâhil olabilmeleri için yapılan görüşmelerde sahip oldukları sunucuları S- Cloud’un içine kurmalarının istendiği,

- Potansiyel müşterilerin şirketin güvenlik seviyesini sorguladığı, SBM tarafından sunulan S-Cloud’da yer almanın yazılıma olan güveni artıracağı,

- SBM’nin platform sağlayıcı yapıda kaldığı ve yazılım geliştirmediği sürece rekabetin olumsuz etkilenmeyeceği,

- Belirli bir güvenlik standardı arayan acenteler için S-Cloud’da yer alan yazılımların daha tercih edilebilir olacağı

ifade edilmektedir.

(19) Ayrıca Vizyoneks Bilgi Teknolojileri A.Ş. (VİZYONEKS) tarafından gönderilen cevabi

yazıda;

- Özellikle acenteler için yazılım ürünleri geliştiren yazılım şirketlerinin global olarak kabul görmüş güvenlik sertifikalarına sahip olmadığı,

- Verilerin saklandığı ortamların Türkiye'de yerleşik bulunan sunucular üzerinde tutulmama riskine karşın S-Cloud Projesi kapsamında şirketlere ait uygulamaların SBM bünyesinde yer alan sunucular üzerinde tutulmasının ve belirli periyotlar ile güvenlik standartlarını sağladığına ilişkin şirketlerden belge talep edilmesi, altyapı güvenlik kontrollerinin sağlanması gibi denetimlerin güvenlik açıklarını engelleyeceği,

- S-Cloud’da çalışacak uygulamaların izole çalışabilmesi için, sunucuların ilgili yazılım şirketlerine tahsis edildiği ve SBM’nin bu bilgilere, S-Cloud'a yüklenen yazılım kodlarına, yazılım ürünlerinin kullanıcılarına erişiminin bulunmadığı, SBM tarafından yalnızca S-Cloud sistemine bağlantı yapacak kullanıcıların ad, soyad, cep telefonu, TCKN bilgilerinin istendiği,

- Teknik kriterlerin, zaten tüm yazılım firmalarının hâlihazırda sağlaması gereken TSE gibi standartlar olduğu,

- S-Cloud’un sadece sigortacılık sektörüne yönelik ürünlerin yer aldığı bir bulut bilişim platformu olduğu, diğer bulut bilişim sağlayıcıları ile arasında bir fark olmadığı için avantajlarının piyasadaki herhangi bir bulut bilişim sağlayıcısının ürünlerinin sağladığı avantajlar ile aynı olduğu,

- Yazılım üreten şirketlerin S-Cloud'u kullanma mecburiyetleri olmadığından pazara giriş engeli ile karşılaşılmasının muhtemel olmadığının düşünüldüğü

belirtilmektedir.

(20) Öte yandan (…..) tarafından gönderilen cevabi yazıda;

- SBM’nin kanunen temelde sigorta sektöründe üretilen poliçe bilgilerini toplayan bir bilgi merkezi olması sebebiyle böyle bir ticari faaliyette bulunmasının hukuken tartışmalı olabileceği,

- Bahse konu uygulamayı yürütecek olan SBM’nin Türkiye Sigorta, Reasürans ve Emeklilik Şirketleri Birliği (TSB) bünyesinde kurulduğu, S-Cloud’da yer alan yazılım ürünlerinin daha avantajlı bir konumda bulunacağı, sigorta şirketlerine bu platformda yer alan ürünlerin kullanılması yönünde öneride bulunulması durumunda ise ilgili uygulamada yer almayan yazılım şirketlerinin ayrımcı uygulamalara maruz kalabileceği ve bu teşebbüsler bakımından piyasaya giriş engeli yaratılabileceği ancak alıcıların diledikleri yazılımı tercih etmeleri noktasında serbest olmaları durumunda ise pazarda olumsuz bir etkinin doğmayacağı,

- TSB’nin iştiraklerine rakip olan teşebbüslerin rekabete duyarlı verilerinin S-Cloud üzerinde tutulmasının bir risk yaratabileceği,

- S-Cloud platformuna ve pazardaki rekabetçi etkilerine ilişkin değerlendirmelerin TSB bünyesinde gerçekleştirilen diğer ticari faaliyetlerin de göz önüne alınarak yapılması gerektiği,

- TSB’nin bünyesinde faaliyet gösteren OSEM Sertifikasyon A.Ş.’nin (OSEM) de sigorta sektörüne yönelik yazılım hizmeti sunmaya başladığı, bu yazılım ürününün rakipleri açısından, kendi yazılımlarının hassas rekabetçi unsurlarını koruyabilmek adına OSEM ile bağlantılı bir platform olan S-Cloud’da yer almanın makul bir seçenek olmayacağı

ifade edilmektedir.

(21) Buna paralel olarak (…..) gönderilen cevabi yazıda;

- Söz konusu platformun sadece sigorta şirketlerine değil, tüm sektör paydaşlarına açık olmasından dolayı sadece S-Cloud'da yer alan yazılım şirketleri ile çalışılması ya da onların önerilmesi ihtimalinin bulunduğu,

- TSB'nin kendilerine rakip ürün geliştirmiş olan OSEM’in sahibi olmasından dolayı S- Cloud platformunda yer almanın kendileri için tercih edilebilecek bir seçenek olmadığı

belirtilmektedir.

(22) Bunlara ek olarak İnfotech Bilişim ve İletişim Teknolojileri San. ve Tic. A.Ş., Başarsoft

Bilgi Teknolojileri A.Ş. ve VİZYONEKS cevabi yazılarında gerekli olan teknik şartların

makul düzeyde olduğunu ifade etmektedir.

G.3.2. Sigorta Şirketlerinden Gelen Cevabi Yazılar

(23) S-Cloud’un sigorta şirketlerinin oluşturduğu TSB çatısı altında sunulacak bir hizmet

olması ve sigorta sektörüne yönelik ürün sunan yazılım şirketlerinin en önemli

alıcılarının sigorta şirketleri olmasından hareketle sigorta şirketlerinin tercihlerinde S-

Cloud’un nasıl bir rol oynayacağının ve bu tercihlerin yazılım şirketlerinin faaliyetlerini

nasıl etkileyeceğinin anlaşılması adına bu şirketlerin görüşlerine başvurulmuştur. Bu

kapsamda ilgili teşebbüslere kullandıkları yazılımlara ilişkin güvenlik açığı yaşayıp

yaşamadıkları, S-Cloud’un sektörde yaratacağı etkiler ve S-Cloud’da yer alacak

yazılımların yer almayanlara kıyasla tercih edilir olup olmayacakları sorulmuştur. Buna

istinaden gelen cevabi yazılarda özetle;

- Yazılım ürünlerinin kullanılmaya başlanmadan önce ve kullanılması sırasında periyodik olarak çeşitli testler uygulandığı, herhangi bir güvenlik açığı tespit edilmesi durumunda ilgili sistem ve yazılım geliştirmeleri yapılarak ileride yaşanabilecek güvenlik zafiyetlerinin önceden bertaraf edildiği ve bundan dolayı faaliyetlerin yürütülmesi esnasında güvenlik açığı yaşanmadığı,

- S-Cloud Projesi’nin bulut bilişim teknolojisi aracılığıyla güvenlik seviyesini artırması, uzun vadede uygulama geliştirme maliyetlerini düşürmesi, bilişim teknolojisinde sektörde standardizasyon sağlaması, sunucu bakım-destek maliyetlerini azaltması, entegrasyonları kolaylaştırması gibi unsurlar bakımından güvenli ve yüksek performanslı bulut ekosistemi yaratmasının sektörde hem bilgi güvenliği hem de yaratacağı maliyet avantajı açısından olumlu etki yaratacağı,

- Sigorta şirketlerinin yanı sıra bilgi güvenliği ve iş sürekliliği bakımından daha zayıf konumda bulunan acenteler, brokerler ve eksperler gibi sektörde faaliyeti bulunan diğer teşebbüslerin dijital dönüşümüne olumlu katkı sağlayacağı,

- Sigorta sektörüne yönelik çözüm üreten yazılımların uygulama güvenliğinin ve kalitesinin de artmasının beklendiği,

- Hâlihazırda donanım ve güvenlik altyapılarına yatırım yapmış olan teşebbüsler açısından S-Cloud’daki yazılımlara geçiş yapmanın ilk aşamada makul olmayacağı, ancak ihtiyaçlara daha iyi çözümler üreten, maliyet avantajı sağlayacak olan yazılımların teşebbüsler açısından zamanla tercih edilebilir olacağı,

- Yine bir yazılımın S-Cloud’da yer almasının tek başına tercih sebebi olmayacağı, yazılımların maliyeti, güvenliği ve kullanılan diğer ürünler ile uyumlu çalışabilmesi, kolay kullanılabilmesi gibi unsurların da tercih kriterlerinden olacağı,

- S-Cloud platformunun tüm yazılım şirketlerine açık bir ortam olması ve süreçlerin şeffaf yürütülmesi durumunda rekabetçi açıdan olumsuz bir etkisinin ortaya çıkmasının beklenmediği

ifade edilmektedir.

(24) Bunlara ilaveten Unico Sigorta A.Ş tarafından gönderilen cevabi yazıda;

- Her teşebbüsün, yüksek maliyetleri de beraberinde getirmesinden dolayı bilişim güvenliğinin sağlanmasına yönelik yatırım yapmayabileceği, sigortacılık sektöründe suistimal riskinin fazla olduğu hususu da göz önünde bulundurulduğunda, bu durumun uygulamada ciddi güvenlik ihlallerine ve mağduriyetlere sebebiyet verebileceği,

- S-Cloud Projesi’ne konu hizmetin bilhassa küçük ve orta ölçekli sigortacılık işletmeleri için ulaşılabilir bedelde sunulmasının bu anlamda önemli olduğu,

- Bilhassa sigorta acenteleri ve brokerlerin veri tabanIarında birçok sigorta şirketinin ve dolayısıyla binlerce müşteri bilgilerinin ve ilgili diğer verilerin yer aldığı dikkate alındığında, bu kuruluşlar için güvenliği temin edici yazılımların olmasının, maliyetlerin yüksek olmaması halinde tüm sektörün menfaatine olacağı

belirtilmektedir.

(25) Keza Dubai Starr Sigorta A.Ş. tarafından gönderilen cevabi yazıda da;

- S-Cloud’un acente, eksper vb. küçük ve orta ölçekteki teşebbüslerin teknoloji maliyetlerinin azalmasına önemli ölçüde etki edebileceği, sektördeki güvensiz yazılımların ortadan kalkmasına imkan sağlayabileceği,

- SBM aracılığıyla sürekli, düzenli ve kaliteli bakım ve destek hizmetlerinin sağlanabileceği,

- Bu uygulama sayesinde fiziksel ve siber tehditlerin gelişmiş merkezi altyapı yatırımları ile engellenebileceği, yaşanan tehditlerin özellikle küçük ölçekli sektör paydaşlarını ve dolaylı olarak sektörün bütününü zor durumda bırakmasının önüne geçilebileceği,

- S-Cloud ile verilere erişim konusunda uygulamanın taraflarına güven sağlanabileceği,

- Özellikle küçük ve orta ölçekli paydaşların yazılımlarındaki güvenlik açıklarını kapatmak ve ek güvenlik önlemleri sağlamak için pahalı altyapı yatırımları yapmalarının maliyetli olduğu düşünüldüğünde, bu paydaşların sektörce tanınan ve güven duyulan SBM tarafından sunulan S-Cloud platformu üzerinden sağlanacak hizmetleri tercih edeceklerinin öngörüldüğü

açıklanmaktadır.

(26) Ayrıca Magdeburger Sigorta A.Ş. tarafından gönderilen cevabi yazıda;

- S-Cloud'un sigorta alanında faaliyet gösteren paydaşlarına bulut ortamında düşük maliyette altyapı sunarak katkıda bulunacağının düşünüldüğü,

- Güvenlik ve altyapı bakım işlerinin doğru bir şekilde yürütülmesinin sektör paydaşlarına güvenli bir yapı sunulması ve kullanım arttıkça bir standart getirilmesi, yazılımların denetim ve kontrol altında tutulması açısından faydalı olacağı,

- S-Cloud platformunda yer alan yazılım şirketlerinin güvenlik ve iş sürekliliği açısından SBM güvencesine sahip olacakları, bu durumun platformda yer almayan ve kendi altyapısının güvenilir ve sağlam olduğunu gösteremeyen yazılım şirketlerine kıyasla bir tercih edilirlik sağlayacağı

belirtilmektedir.

(27) Bunun yanı sıra Generali Sigorta A.Ş. tarafından gönderilen cevabi yazıda;

- Platformda yer alacak yazılımların tek elden yönetiminin standardizasyon ve güvenlik açısından bulut teknolojisi ile beraber avantaj sağlayacağı,

- Sektörde gözlenen farklı açılardan sorunlara yol açan yazılımların belirli standartlara uyum sağlamak zorunda kalmalarının hem operasyonel hem de teknik destek anlamında faydalı olacağı,

- Birçok şirketin birçok farklı modeldeki çalışma altyapıları nedeniyle çok geniş kapsamlı bir geçiş çalışmasının gerektiği, orta vadede bu geçişin sağlanabilmesi durumunda şirketler açısından faydalı olacağı,

- Yazılım şirketleri tarafından sunulan yazılımların donanımlarının genel olarak sigorta şirketleri tarafından sağlandığı düşünüldüğünde sigorta şirketleri açısından maliyet ve bakım avantajları sağlaması nedeniyle tercih edilebilir olduğu

ifade edilmektedir.

(28) Ek olarak Koru Sigorta A.Ş. (KORU) tarafından gönderilen cevabi yazıda özetle;

- Teşebbüslerin kullandıkları yazılımın ve yazılımın çalışacağı platformun bulut veya

başka bir ortam olması kararının verilebilmesinin önem taşıdığı,

- Hâlihazırda yapılmış olan ve ileride yapılması planlanan altyapı ve güvenlik

yatırımlarının, bulut ortamında bulundurulmasının yaratacağı maliyet ile güvenlik

değerlendirmeleri ve kıyaslamalar sonucunda S-Cloud platformunda yer alan

yazılımlarının kullanılıp kullanılmayacağına karar verilebileceği,

- Hâlihazırda kullanmakta oldukları yazılımların web tabanlı olması sebebiyle S-Cloud

ortamına entegre olunmasında fayda görülmesi halinde S-Cloud’un tercih

edilebileceği,

- Web tabanlı olmayan uygulama geliştiricilerinin S-Cloud ortamına uygulamalarını

taşımak istemeleri halinde ilgili yazılımların bulut ortamına göre geliştirilme ihtiyacı

doğacağı,

- S-Cloud platformunda yer alan yazılım şirketlerinin, yer almayanlara kıyasla daha

tercih edilir hale gelip gelmeyeceği hususunda ise yazılım, çalıştığı ortam, bu

ortamın sürekliliği ve kararlığı, uygulama performansı, gerekli siber güvenliğin tesis

edilmesi ile ilgili yapılacak altyapı yatırımları gibi unsurların kıyaslanması sonucunda

belirlenebileceği

ifade edilmektedir.

(29) Yine Corpus Sigorta A.Ş.’nin cevabi yazısında S-Cloud platformunda yer alan yazılım şirketlerinin yer almayanlara kıyasen daha tercih edilebilir hale geleceği belirtilmektedir.

(30) Ek olarak, Anadolu Anonim Türk Sigorta A.Ş. tarafından gönderilen cevabi yazıda SBM yöneticileri ile yapılan görüşmelerde SBM’nin, S-Cloud Projesi’nin kendileri gibi sigorta şirketleri için yapılmadığı, bunun sigorta acenteleri için geliştirildiğinin sözlü olarak açıkça belirtildiği dile getirilmektedir.

(31) Bunlardan farklı olarak Şeker Sigorta A.Ş.’nin sunduğu cevabi yazıda ise projenin sigorta şirketlerinin pazara sundukları kendilerine özel ürünler ve hizmetler açısından kısıtlama getirebileceği ifade edilmiştir. Ayrıca projenin sektörde yer alan yazılım şirketleri açısından rekabet dezavantajı oluşturacağı ve yeni yazılım ürünlerinin geliştirilmesine engel olacağı, bu anlamda yenilikçi teknolojilerinin geliştirilmesini ve kullanımını sekteye uğratacağı belirtilmektedir.

G.3.3. Sigorta Acenteleri ve Eksperlerinin Üye Olduğu Derneklerden Gelen Cevabi Yazılar

(32) İlgili derneklere üyelerinin faaliyetleri kapsamında kullanılan yazılımlar ve bu yazılımlara ilişkin güvenlik açığı sorunu yaşayıp yaşamadıkları, S-Cloud’un sektörü nasıl etkileyeceği ve bu platformda yer alanların yer almayanlara kıyasla tercih edilip edilmeyeceği sorulmuştur.

(33) Bu çerçevede, sigorta acentelerinden gelen cevabi yazılarda özetle;

- Kullanılan yazılımların içerisinde müşteri bilgileri, sigorta tekliflerine ait bilgiler,

sigorta poliçelerine ait bilgiler ile borç/alacak durumları gibi bilgilerin tutulduğu ancak

herhangi bir kredi kartı bilgisinin tutulmadığı,

- Kullanılacak/kullanılan yazılımlara ilişkin düzenli olarak sızma testi/penetrasyon

testi gibi çeşitli güvenlik testleri yapıldığı ve herhangi bir bulgu tespit edilmesi halinde

yazılım şirketleri ile görüşüldüğü,

- Hizmet alınan yazılımların tamamen kendilerine ait olan sunucular üzerinde dış erişime kapalı bir şekilde kullanıldığı, tüm veri ve güvenlik ayarları ile sunucuların bakımının şirket personeli tarafından yapıldığı,

- Veri güvenliğini sağlamak adına Active Directory, Firewall vb. uygulamalar kullanıldığı ve network, virüs ve sistem güvenliği konularında destek alındığı,

- Kullanılan yazılımlara ilişkin bu zamana kadar herhangi bir güvenlik problemi ile karşılaşılmadığı ve sigorta şirketleri tarafından da kendilerine bu konuda herhangi bir uyarı yapılmadığı ve yaptırım uygulanmadığı,

- Sigorta şirketlerinden sigorta ürünlerine ait tekliflerin alınabilmesi için, ilgili ürün için gerekli olan müşteri ve riziko bilgilerinin güvenliği sigorta şirketleri tarafından sağlanan kullanıcı arayüzleri ya da program arayüzleri (webservis/API) üzerinden sigorta şirketleri ile paylaşıldığı ve diğer müşteri bilgilerinin ise veri tabanı sunucularında güvenli bir şekilde tutulduğu,

- S-Cloud’da yer alacak yazılım ürünlerinin denetiminin SBM tarafından yapılması ile sigorta firmaları ve acenteleri açısından güvenlik risklerinin azalacağı, ek maliyetlere katlanılmadan sektörel güvenlik standartlarının oluşarak güvenliğin artacağı, SBM tabanlı bir yazılımın müşteri portföyü açısından da daha güvenilir bir algı oluşturacağı,

- S-Cloud aracılığıyla Türkiye'de yerleşik sunucular üzerinde tutulacağı, bu kapsamda hassas ve kişisel nitelikli verilerin Türkiye dışına çıkmasının engellenmiş olacağı,

- Halihazırda entegre olunan yazılım şirketlerinden ayrılarak S-Cloud platformunda yer alan bir yazılım şirketi ile entegre olmanın ciddi bir efor ve maliyet oluşturabileceği, S-Cloud’da yer alan şirketlere geçişin getireceği avantajın daha yüksek olması gerektiği

belirtilmektedir.

(34) Öte yandan Türkiye Sigorta Eksperleri Derneği tarafından gönderilen cevabi yazıda

özetle;

- Üyelerinin Sigorta Bilgi ve Gözetim Merkezi Yönetmeliği uyarınca eksper raporlarını SBM üzerinden hazırlamak zorunda oldukları ancak SBM üzerinde sadece sigortalı tarafından oto kaza branşı kapsamında yapılan atamalarda kullanılan bir rapor yazım modülü bulunduğu,

- Bu kapsamda eksperlerin, ekspertiz raporlarını OtoAnaliz, Epis, Digilera, Ketsoft, Optimum Çözüm ve OSEM Portal üzerinden düzenledikleri ve bu raporların SBM veri tabanına bu yazılımlar aracılığıyla aktarıldığı,

- İlgili yazılımlar çerçevesinde zaman zaman 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamına giren güvenlik açıkları yaşandığına dair duyumlar alındığı, yaşanılan güvenlik açıklarına dair sorumluluğun tamamının sigorta şirketlerinin üzerinde olduğu,

- Eksperlerin faaliyetlerini yürütürken kendilerinin ayrıca sözleşmeli olarak yazılım şirketleri ile çalışmadığı,

- S-Cloud’un ulaşılabilirlik, entegrasyon, veri güvenliği, tarafsızlık ve bağımsızlığın temini, tüketici haklarının korunması, kontrol ve denetim açısından sektöre olumlu katkıları olacağı,

- Bu platformda yer alan uygulamaların erişim kolaylığı, uygun fiyat, yüksek veri

güvenliği, entegrasyon, suistimallerin tespiti ve önlenmesi gibi ölçülebilir fayda ve

standartlar sağlamaları ve gelişmiş bilişim çözümleri sunmaları dolayısıyla tercih

edilirliklerinin yüksek olacağının düşünüldüğü

ifade edilmektedir.

G.4. İlgili Pazar

(35) Dünyada artan veri kullanımı sonrasında hem yazılım ve donanım maliyetlerini aşağı çekmek hem de çok büyük boyutlu verilerin güvenli ortamlarda saklanmasına, işlenmesine olan ihtiyaç ile paralel olarak kullanımı artmakta olan bulut bilişim (cloud computing), yapılandırılabilir bilişim kaynaklarından oluşan ortak bir havuza, uygun koşullarda ve isteğe bağlı olarak her zaman, her yerden erişime imkân veren web tabanlı bilişim hizmetlerinin genel adıdır. Erişilebilirliği destekleyen bulut bilişim hizmeti kendi kendine isteğe bağlı hizmet, geniş ağ erişimi, ortak kaynak havuzu, çabukluk ve esneklik ve ölçülebilir hizmet olmak üzere beş temel unsurdan oluşmaktadır [4].

(36) Genellikle düşük donanım/yazılım maliyeti, artırılmış veri güvenliği, gelişmiş performans ve sınırsız depolama kapasitesi gibi avantajları bulunan bulut bilişim hizmeti üç temel hizmet modeli aracılıyla verilmektedir:

- Altyapı Hizmeti (Infrastructure as a Service (IaaS)): İşlemci, depolama ve ağ

kaynağı gibi temel bilişim kaynaklarının üzerine kullanıcıların ihtiyaç duyduğu işletim

sistemi ve uygulamaları kurabilmesine olanak sağlayan yani hizmetin fiziksel veya

sanal makineler olarak sunulduğu hizmet modelidir.

- Platform Hizmeti (Platform as a Service (PaaS)): Kullanıcıların geliştirmiş olduğu

uygulamanın çalışması için gerekli işletim sistemi, ağ altyapısı ve veri tabanı gibi

çeşitli kaynakları bir platform aracılığıyla sağlayan hizmet modelidir.

- Yazılım Hizmeti (Software as a Service (SaaS)): Temel altyapı, uygulama yazılımı

ve uygulama verileri gibi unsurların tamamının hizmet sağlayıcısının veri

merkezinde bulunduğu, kullanıcıların sunucu üzerinde bulunan bulut tabanlı

uygulamaları internet aracılığıyla kullanmasını sağlayan hizmet modelidir. Bu model

lisanslama, yazılım, altyapı ve bakım maliyetleri gibi maliyetlere katlanmadan

genellikle kullandıkça öde esasına dayanmak suretiyle maliyet avantajı

sağlamaktadır [5].

(37) Yukarıda ayrıntılı bir şekilde ele alınan bulut bilişim hizmet modellerinin işleyişine ilişkin özet tablo aşağıda yer almaktadır:

[4] https://www.btk.gov.tr/uploads/pages/slug/bulut-bilisim.pdf (Erişim Tarihi: 10.07.2020).

[5] https://www.btk.gov.tr/uploads/pages/slug/bulut-bilisim.pdf (Erişim Tarihi: 10.07.2020)

Sorumluluğu Kullanıcıya Ait Sorumluluğu Hizmet Sağlayıcıya Ait

Kaynak: Bildirim Formu

(38) Bu bilgiler kapsamında, S-Cloud’un hem sigortacılık sektöründe faaliyet gösteren sigorta şirketleri, acenteleri ve eksperlerinin kullanımına yönelik tasarlanan yazılımların yer aldığı “dijital pazar yeri” olarak hem de yukarıda özelliklerine yer verilen yazılım hizmeti (SaaS) modeli çerçevesinde hizmet vereceği düşünüldüğünde “bulut bilişim pazarı”nda faaliyette bulunacağı söylenebilecektir.

(39) Diğer taraftan İlgili Pazarın Tanımlanmasına İlişkin Kılavuz’un 20. paragrafında “Ancak inceleme konusu işlem, gerek ürün gerekse de coğrafi açıdan olası alternatif pazar tanımları çerçevesinde rekabet açısından endişeler yaratmıyor ya da alternatif tüm tanımlar açısından rekabeti bozucu bir etki söz konusu oluyorsa pazar tanımı yapılmayabilir.” ifadesi yer almaktadır. Mevcut dosya kapsamında da ilgili pazarın tanımlanmasının dosya kapsamındaki değerlendirmeye bir etkisi bulunmayacağı anlaşıldığından nihai bir pazar tanımı yapılmasına gerek görülmemiştir.

G.5. Değerlendirme

G.5.1. 4054 sayılı Kanun’un 4. Maddesi Açısından Değerlendirme

(40) 4054 sayılı Kanun’un 4. maddesine göre, belirli bir mal veya hizmet piyasasında doğrudan veya dolaylı olarak rekabeti engelleme, bozma ya da kısıtlama amacını taşıyan veya bu etkiyi doğuran yahut doğurabilecek nitelikte olan teşebbüsler arası anlaşmalar, uyumlu eylemler ve teşebbüs birliklerinin bu tür karar ve eylemleri hukuka aykırı ve yasaktır. Bu çerçevede 4054 sayılı Kanun’un 4. maddesi kapsamında yapılan değerlendirmede anlaşmanın rekabeti kısıtlama amacı ve/veya etkisine bakılmaktadır. Anlaşmanın rekabeti kısıtlama amacı ve/veya etkisi olduğu tespit edildiği takdirde anlaşma sonucunda ortaya çıkacak rekabetçi faydalar ve rekabeti kısıtlayıcı etkiler dikkate alınarak 4054 sayılı Kanun’un 5. maddesi çerçevesinde muafiyet değerlendirmesi yapılmaktadır.

(41) Başvuruya konu S-Cloud Projesi, sigorta sektörüne yönelik olarak geliştirilmiş yazılımların, belirli teknik yeterlilik ve güvenlik standartlarını sağlaması şartıyla, sektör paydaşlarının bu uygulamalara erişimini kolaylaştırmayı ve bilgi güvenliği endişelerinin azaltılmasını amaçladığı ifade edilen bir “bulut bilişim” uygulamasıdır. Uygulamayı hayata geçirecek olan SBM esasen sigorta şirketlerince oluşturulan TSB’nin kontrolündeki bir yapıdır. Bu anlamda TSB’nin, SBM vasıtasıyla, sigorta sektöründeki oyunculara yazılım hizmeti sunan teşebbüslere yönelik oluşturacağı platform ile ticari bir faaliyette bulunacağı anlaşılmaktadır. TSB, rekabet hukuku bağlamında bir teşebbüs birliği olduğundan TSB ve iştiraklerinin gerçekleştirecekleri faaliyetler 4054 sayılı Kanun kapsamında değerlendirilmekte olup bu bakımdan rekabeti olumsuz bir şekilde etkilemeyecek şekilde yürütülmeleri gerekmektedir.

(42) Yukarıda ayrıntılarına yer verildiği üzere S-Cloud Projesi özellikle sigorta şirketlerine, acentelerine ve eksperlerine çeşitli yazılımlar aracılığıyla hizmet sağlayan teşebbüslerin yürütecekleri faaliyetler ve aralarındaki rekabet açısından önem arz etmektedir. Zira bu hizmetlerin alıcısı konumunda bulunan sigorta şirketleri oluşturdukları teşebbüs birliği vasıtasıyla yazılım hizmetlerinin kurulacağı, sergileneceği ve pazarlanacağı bir platformu faaliyete geçirmiş olacaklardır. Bu durum ilk olarak S-Cloud dışında faaliyet göstermeyi tercih eden yahut S-Cloud içerisinde çeşitli nedenlerle yer alamayacak teşebbüslerin sigorta sektöründeki teşebbüslere sundukları hizmetler bakımından pazar dışında kalmaları riskini doğurmaktadır. Buna ek olarak, diğer birçok değişkene bağlı olsa da sigorta sektöründe faaliyet gösteren şirketlerin, bu anlamda özellikle sigorta şirketlerinin, kendi teşebbüs birliklerince hayata geçirilen proje içerisinde yer alan teşebbüslerden hizmet almayı tercih etmeleri olasılık dâhilindedir. Bu durumda bahse konu yazılım şirketleri arasındaki rekabeti etkileyebilecek nitelikte bir husus ortaya çıkmaktadır.

(43) Diğer yandan, TSB’nin S-Cloud Projesi’nin hedefinde bulunan yazılım şirketlerinin rakibi olan yazılım hizmetleri sunuyor olması (OSEM Portal [6]) aynı hizmeti sunan rakip yazılım şirketleri ile yine aynı hizmeti kendi bünyesinde sağlayan sigorta şirketleri bakımından önem taşımaktadır. Bu hususta rakip yazılım şirketleri, S-Cloud platformuna dâhil olmak için SBM ile paylaşılması gereken bilgilerin (örneğin yazılımların kaynak kodları gibi) rekabete hassas veri teşkil etmesinden kaynaklı rekabet karşıtı hususlara dikkat çekmiştir. Buna ek olarak, sigorta şirketlerinin ve acentelerin hangi yazılım şirketinden hizmet alınacağına ilişkin tercihlerinin, TSB ile sigorta şirketleri arasındaki organik bağdan ve sigorta şirketleri ile acenteler arasındaki ticari ilişkilerden etkilenme ihtimali S-Cloud Projesi’nin yol açabileceği olası anti rekabetçi etkilere işaret etmektedir.

(44) Son olarak belirtilmelidir ki sigortacılık sektöründe S-Cloud Projesi’yle örtüşen ve bu anlamda S-Cloud’a ikame teşkil edebilecek nitelikte hizmet sunan bir teşebbüsün varlığına rastlanmamıştır. Fakat bilişim sektörünün yeniliğe açık dinamik yapısı sayesinde ilerleyen zamanlarda S-Cloud’a rakip olabilecek hizmetler açısından bahse konu hizmetin TSB tarafından SBM çatısı altında sunuluyor olmasının rakiplerin pazara girişini zorlaştırma riski de bildirime konu faaliyetin 4054 sayılı Kanun’un 4. maddesi kapsamında değerlendirilmesine yol açmaktadır. Açıklanan sebeplerle, söz konusu projeye menfi tespit belgesi verilmesi mümkün olmadığından, anılan projenin bireysel muafiyet değerlendirilmesine tabi tutulması gerekmektedir.

G.5.2. 4054 sayılı Kanun’un 5. Maddesi Açısından Değerlendirme

(45) 4054 sayılı Kanun’un 5. maddesine göre teşebbüsler arası bir anlaşma, uyumlu eylem ve teşebbüs birliği kararının 4054 sayılı Kanun’un 4. maddesince öngörülen yaptırımdan muaf olabilmesi için;

a) Malların üretim veya dağıtımı ile hizmetlerin sunulmasında yeni gelişme ve iyileşmelerin ya da ekonomik veya teknik gelişmenin sağlanması,

b) Tüketicinin bundan yarar sağlaması,

c) İlgili piyasanın önemli bir bölümünde rekabetin ortadan kalkmaması,

d) Rekabetin (a) ve (b) bentlerindeki amaçların elde edilmesi için zorunlu olandan fazla sınırlanmaması

[6] https://www.osemas.com.tr/tr/sayfalar/hakkimizda-8 (Erişim Tarihi: 17.09.2020).

koşullarını birlikte sağlaması gerekmektedir. Bu doğrultuda, SBM tarafından sunulacak olan S-Cloud Projesi’nin 4054 sayılı Kanun’un 5. maddesindeki şartları sağlayıp sağlamadığına ilişkin değerlendirmeye aşağıda yer verilmiştir.

G.5.2.1. Malların Üretim veya Dağıtımı İle Hizmetlerin Sunulmasında Yeni Gelişme ve İyileşmelerin ya da Ekonomik veya Teknik Gelişmenin Sağlanması

(46) Bireysel muafiyet değerlendirmesinde aranan ilk şart, malların üretim veya dağıtımı ile hizmetlerin sunulmasında yeni gelişme ve iyileşmelerin ya da ekonomik veya teknik gelişmenin sağlanmasıdır. Genel olarak, üretim ve dağıtım maliyetlerinin düşürülmesi, kalitenin artırılması, malın arzında devamlılığın sağlanması, yeni piyasalara girişin kolaylaştırılması ve yeni ürünlerin ya da üretim tekniklerinin bulunması hallerinde bu şartın varlığı kabul edilmekle birlikte, muafiyete konu uygulama ile iddia edilen etkinlikler arasındaki illiyet bağının doğrudan olması gerekmektedir.

(47) SBM tarafından yapılan başvuruda ilgili şarta ilişkin bazı açıklamalara yer verilmiştir. Öncelikle S-Cloud sayesinde sigorta şirketleri, acenteler ve eksperlerin çok sayıda ürüne kolayca erişeceği ve hangi ürünün kendilerine uygun olacağını tespit edebilecekleri belirtilmiştir. Ek olarak sigorta sektörüne yönelik yazılım geliştiren teşebbüslerin çok sayıda oyuncunun bulunduğu S-Cloud’a katılmasıyla rekabet ortamının pekişeceği ileri sürülmüştür. Bunların yanında esas gelişmenin güvenlik standartlarının sağlanmasıyla ortaya çıkacağı ifade edilmektedir. Bu çerçevede, S- Cloud’da yer alan ürünlerin belirli bir standarda sahip olduğunun önceden bilinmesi ve bu platformda yer almak isteyen yazılım şirketlerinin güvenlik standartlarını belli bir seviyeye taşıyacak olmalarının sektöre olumlu yansıyacağı ifade edilmiştir. SBM, güvenlik konuları hakkındaki hassasiyeti ve bilgisi sigorta şirketlerine nazaran düşük sayılabilecek acenteler üzerinden gerçekleşen veri sızıntılarının oluşturduğu güvenlik açıklarına dikkat çekmiştir.

(48) S-Cloud Projesi’nin işlevine bakıldığında temel olarak, bazı temel güvenlik kriterlerinin aranmasıyla özellikle sigorta acentelerinin kullandığı yazılımlara ilişkin güvenlik açıklarının minimize edilmesinin amaçlandığı ve bu kriterleri karşılayan yazılımlara belirli bir ücret karşılığında sunucu hizmeti verileceği görülmektedir.

(49) Bu noktada ilk olarak S-Cloud sayesinde bu platforma yüklenecek yazılımlar bakımından güvenlik risklerinin nasıl bertaraf edileceğine değinilmesi gerekmektedir. “Güvenlik Kriterleri” başlığı altında, S-Cloud üzerinden sunulacak uygulamanın, kaynak kod incelemesi de dahil olmak üzere TSE, CREST gibi akredite kuruluşlar tarafından yılda en az bir defa güvenlik testinden geçirilmiş olması gerektiği belirtilmiştir. Bu kapsamda, SBM tarafından ek güvenlik testlerinin yapılmayacağı, akredite kuruluşlar tarafından yapılan testlerin yeterli olacağı ifade edilmiştir. Bu çerçevede, S-Cloud Projesi’nin güvenlik açısından halihazırda piyasada mevcut olan testler haricinde alternatif bir test yahut yenilik ortaya koymadığı anlaşılmaktadır. S- Cloud dışında faaliyet gösteren yazılım şirketlerinin de müşterileri tarafından talep edilmesi halinde bu güvenlik sertifikalarını alabileceği düşünüldüğünde, S-Cloud’un bu anlamda piyasanın genelinde güvenlik standartlarının yürütülmesi anlamında büyük bir etki doğuracağına yönelik bir sonuca da varılamamaktadır.

(50) S-Cloud Projesi ile getirilmesi planlanan bir diğer özellik ise bu platforma yüklenecek yazılımlara sunucu desteği verilmesidir. S-Cloud’a yüklenecek yazılımlar SBM tarafından kendilerine tahsis edilen sunucularda çalıştırılabilecektir. Bu çerçevede, sektör paydaşlarından kullandıkları yazılımların sunucularının ne şekilde sağlandığı hususunda bilgi talep edilmiş olup gelen cevaplarda sigorta şirketlerinin kullandıkları yazılımlara ilişkin sunucuları kendi uhdelerinde bulundurdukları ve bu sunuculardaki

bilgilere erişimin sigorta şirketlerinin kontrolünde gerçekleştiği anlaşılmıştır. Bu bilgiden hareketle, gerek sunucu hizmetinden faydalanmak için gerekli ücretlerin gerekse sunucuların bakım ve destek giderlerinin sigorta şirketlerince ödendiği anlaşılmıştır.

(51) Bu çerçevede, sigorta şirketlerince S-Cloud üzerinden çalışan ve sunucularının da SBM’de yer aldığı bir yazılımdan hizmet almanın sunucu temini ile bakım ve destek maliyetlerinin önemli ölçüde azalması ihtimalinin doğacağı ifade edilmiştir. Benzer şekilde, yazılım şirketlerinin de kendi sunucularının temini ile süreklilik arz eden bakım ve destek hizmetlerinin sağlanması bakımından katlanacakları maliyetleri SBM’nin sağlayacağı sunucu hizmetinden faydalanmak suretiyle azaltabilecekleri öngörülmektedir. Diğer yandan bu hususun S-Cloud’un ücretlendirme politikasıyla doğrudan bağlantılı olduğu düşünüldüğünde, söz konusu maliyet avantajlarının gerçekleşip gerçekleşmeyeceğini mevcut durumda net bir şekilde öngörmek ve kesin bir değerlendirme yapmak mümkün görünmemektedir. Nitekim Muafiyetin Genel Esaslarına İlişkin Kılavuz’un (Kılavuz) 37. paragrafında da muafiyete konu uygulama ile maliyet etkinliği oluşacağının iddia edilmesi halinde, söz konusu maliyet etkinliğinin ne şekilde ve ne büyüklükte olacağının da açıkça ortaya koyulması gerektiği vurgulanmaktadır. SBM tarafından yapılan bildirimde ileri sürülen maliyet etkinliğinin ne şekilde sağlanacağının ve ne büyüklükte olacağının ortaya konulmadığı görülmektedir.

(52) Sunucu hizmetinin SBM bünyesinde verilmesinin bir diğer avantajının ise “Mevzuat ve Uyum Kriterleri” başlığı altında gerçekleşeceği ifade edilmektedir. Buna göre, S-Cloud üzerinden çalıştırılacak yazılımlar aracılığıyla hangi verilerin toplandığı, verilerin saklanma amacı ve süreleri gibi unsurları aydınlatma yükümlülüğüne uyum ile kişisel verilere ilişkin mevzuata uyumun sağlanması gereği aranmaktadır. Bu kapsamda gerekli hukuki metinlerin ve yerine getirilmesi gereken diğer hususların S-Cloud üzerinden faaliyete geçmeden önce kullanıcı bazlı olarak temin edilmesi ve loglanması gerekmektedir. Bu koşullar yazılım şirketlerinin hangi verileri topladığı ile bunların yurt içinde mi yoksa yurt dışında mı saklandığının takibi sayesinde veri toplama ve saklama faaliyetinin mevzuatta aranan koşullarda yapılıp yapılmadığının denetlenmesine olanak tanımaktadır. Diğer yandan, SBM tarafından sağlanan sunucu hizmeti ile yazılımların topladığı veriler SBM bünyesinde saklanacak olup yazılım şirketlerince toplanan bilgilerin mevzuata aykırı olarak yurtdışındaki sunuculara aktarılmasının önüne geçileceği belirtilmektedir. Bununla birlikte toplanan bilgilerin mevzuata aykırı şekilde kullanılmasını denetlemek ve engellemek için SBM ile diğer kamu kurumlarının var olan yetkileri ile S-Cloud Projesi’nin yazılım şirketleri açısından zorunlu olmadığı da göz önüne alındığında bahse konu güvenlik ihlallerini engelleme noktasında ek katkı sunma ihtimalinin düşük olduğu görülmektedir.

(53) Yukarıda yer verilen başvuru konusu Proje nedeniyle S-Cloud’a dâhil olmak isteyen yazılım şirketleri ile S-Cloud üzerinden faaliyet gösteren yazılımları kullanmak isteyen teşebbüsler bakımından ortaya çıkabilecek maliyet artışı risklerine dikkat çekmek gerekmektedir. Önceki bölümlerde de açıklandığı üzere S-Cloud’a sadece web tabanlı uygulamalar dâhil olabilmektedir. Dolayısıyla web tabanlı olmayan yazılımların S- Cloud’a dâhil olabilmeleri için ek geliştirme maliyetlerine katlanmaları gerekecektir. Diğer yandan, sigorta şirketleri, web tabanlı uygulamalar haricinde birçok farklı modelde çalışma altyapısı içeren yazılım hizmetleri kullanabildiklerini, web tabanlı olmayanların S-Cloud’a geçmeleri ve bunların sigorta şirketlerinin işleyişine adapte olabilmeleri için çok geniş bir geçiş çalışması yapılması gerektiğini ifade etmişlerdir. Bu durum, web tabanlı olmayan yazılım şirketlerinin maliyetlerini artırmasının yanı sıra,

bunlardan hizmet almakta olan sigorta şirketlerinin de kendi sistemlerini web tabanlı işleyişe adapte etmeleri için geçiş maliyetlerine katlanmalarını gerektirebilecektir.

(54) Mevcut durumda özellikle sigorta sektöründeki küçük ölçekli acentelere yönelik güvenlik açıklarının azaltılacağına ve maliyet avantajı sağlanacağına ilişkin somut argümanlar ortaya konulamaması, başvuru konusu Proje’nin güvenlik açıklarına yönelik hâlihazırda var olan güvenlik testlerinden ayrı olarak yeni bir yöntem getirmemesi ve bununla birlikte Proje’nin web tabanlı olmayan yazılımların S-Cloud’a dahil olabilmesi için yazılım şirketlerinin yapacağı yatırımlar nedeniyle maliyet avantajı yerine maliyet artışına yol açabileceği ihtimali dikkate alındığında, başvuru konusu S- Cloud Projesi’nin ekonomik veya teknik bir gelişme sağlamadığı değerlendirilmektedir. Bu çerçevede, anılan kapsamda muafiyetin birinci koşulunun karşılanmadığı sonucuna ulaşılmıştır.

G.5.2.2. Tüketicinin Bundan Yarar Sağlaması

(55) Muafiyetin ikinci şartı; anlaşmanın tüketicilere ortaya çıkan objektif faydadan adil bir pay alma imkânı tanınmasıdır. Muafiyet değerlendirmesi bakımından “tüketici” kavramı, anlaşmadan etkilenen ilgili pazarlardaki mal veya hizmetlerin doğrudan veya dolaylı tüm kullanıcılarını içerecek şekilde yorumlanmaktadır. 4054 sayılı Kanun'un 4. maddesi anlamında rekabeti sınırlayıcı etkileri olan bir anlaşmanın muafiyet alabilmesi için, yukarıda değinilen malların dağıtımı veya hizmetlerin sunulmasından elde edilen iyileşmenin tüketiciye yansıtılması gerekmektedir. Bu çerçevede; fiyat seviyesindeki düşüş, satış sonrası etkin hizmetler, ürün çeşitliliğinin artması, tüketicinin ürüne daha kolay ulaşabilmesi, malın arzında devamlılığın sağlanması gibi koşullar tüketicinin elde edeceği menfaat kapsamında değerlendirilebilmektedir. Tüketiciye yansıtılan faydanın, muafiyete konu uygulamanın negatif etkilerini telafi edecek düzeyde olması yeterli olup, işbu şartın sağlanması bakımından daha fazlasına gerek duyulmamaktadır. Kılavuz’un 53. paragrafında yeni ürün geliştirilmesinin ve mevcutların iyileştirilmesinin tüketici refahını artırdığı, bu refah artışının rekabeti sınırlayıcı anlaşmanın uygulanmasından doğan zararları aşması halinde tüketicinin yarar sağlama şartının sağlanmış olacağı ifade edilmektedir.

(56) Öncelikle, muafiyetin ilk şartının sağlanıp sağlanmadığına yönelik değerlendirmede yer verildiği üzere başvuru konusu Proje’den kaynaklanan bir etkinlik kazanımı oluşmadığı görülmektedir. Bununla birlikte, incelenen faaliyetin tüketiciler üzerindeki olası etkilerinin ortaya konulmasında fayda görülmektedir.

(57) S-Cloud Projesi’yle beraber güvenlik açıkları azaltılacağından özellikle sigorta sektörünün nihai kullanıcıları olan gerçek kişiler açısından yaşanması muhtemel sorunların önüne geçileceği ve kişisel verilerin korunması açısından tüketicilerin yarar sağlayacağı ifade edilmiştir. SBM, özellikle bulut bilişim sistemleri üzerinden hizmet veren yazılımların verileri ne denli koruduğunun bilinmediğini, S-Cloud içerisinde yer alan ürünler açısından ise bu kriterlerin belirli olacağını ifade etmiştir. Ayrıca S- Cloud’un getireceği yeniliklerle beraber sigorta şirketleri, acenteler ve eksperler tarafından nihai tüketicilere sunulacak hizmetlerin kalitesinin ve hızının da artacağı ileri sürülmüştür. S-Cloud’da yer almak isteyen yazılımlar, kişisel verilerin güvenliğine dair yasal şartları taşımak durumda olacağından, bilgilerini acentelerle paylaşmak durumunda olan kullanıcıların bu bilgilerinin mevzuat koşullarına uygun sistemlerde tutulması sağlanacaktır. Bu sayede, sigortalıların kişisel verilerine yönelik endişelerin giderilmiş olacağı ve bu bağlamda tüketici yararı sağlanmış olacağı ileri sürülmektedir.

(58) Bildirim formunda ileri sürülen muhtemel faydaların tüketicilere yansıtılabilmesi için S- Cloud Projesi’nin ücretlendirme politikasının kilit noktada olduğu yadsınamaz bir

gerçektir. Muafiyetin birinci şartının sağlandığı bir varsayımda dahi S-Cloud’un belirsiz ücretlendirme politikası altında söz konusu maliyet avantajlarının gerçekleşip gerçekleşmeyeceğini mevcut durumda net bir şekilde öngörmek ve kesin bir değerlendirme yapmak mümkün görünmemektedir. SBM’nin talep edeceği ücretin bilinmediği bu durum altında, teknik şart ve ücretlerin piyasadaki makul düzeylerden daha yüksek olması halinde küçük ve orta ölçekli teşebbüslerin rekabet gücünün kısıtlanma ihtimali ortaya çıkmaktadır. Bununla birlikte SBM tarafından ücretlendirmenin “lisans ya da kullandıkça öde iş modeline göre yapılacağı” ve “ayrıca ücretlendirme yapılırken maliyetlerin karşılanmasının yanı sıra geliştirme ve kapasite artırımı yatırımlarının da söz konusu olması halinde bunların da göz önünde bulundurulacağı” ifade edilmektedir. Dolayısıyla S-Cloud projesine dahil olacak olan yazılım firmalarının sadece S-Cloud’un başta sunucu olmak üzere operasyonel maliyetlerinin finansmanına değil, S-Cloud’un kapasite artırımına ilişkin yatırım maliyetlerinin finansmanına da katılacakları anlaşılmaktadır. İlave olarak projede yer almak isteyen ancak web tabanlı olarak faaliyet göstermeyen yazılım şirketlerinin de bu maliyetler dışında dönüşüm maliyetlerine katlanacakları hesaba katıldığında, S- Cloud Projesi’nin teşebbüslere maliyet avantajı sağlamasından ziyade teşebbüslerin maliyetlerinin artmasına sebep olabileceği ve en nihayetinden tüketicilerin bundan olumsuz etkilenebileceği anlaşılmaktadır.

(59) Bu başlık altında yer verilen tespitler doğrultusunda, S-Cloud Projesi’nin genel hatları itibarıyla tüketici yararı sağlayabilecek nitelikte olmadığı ve muafiyetin ikinci şartını da karşılamadığı değerlendirilmektedir.

G.5.2.3. İlgili Piyasanın Önemli Bir Bölümünde Rekabetin Ortadan Kalkmaması

(60) Muafiyetin üçüncü şartı, anlaşmanın veya kararın teşebbüslere ilgili piyasanın önemli bir bölümünde rekabeti ortadan kaldırma imkânı tanımaması, bir başka deyişle sağlanan ekonomik gelişme veya fayda ile tüketicinin bundan yarar sağlamasının rekabetin ortadan kaldırılması sonucunda elde ediliyor olmamasıdır. Bu şartın amacı, rekabetin kısmen sınırlandırılmasına izin verilen piyasalardaki reel ve potansiyel rekabetin devamının teminidir. İlgili pazarın önemli bir bölümünde rekabetin ortadan kalkıp kalkmadığı değerlendirilirken dikkate alınması gereken başlıca hususların ise; pazarda hâlihazırda giriş engellerinin olup olmadığı, hâkim durumda olan bir teşebbüsün bulunup bulunmadığı, dikey anlaşmalar aracılığıyla giriş engeli yaratılıp yaratılmadığı, pazarın yapısı, tüketici tercihlerinin ne ölçüde kısıtlandığı şeklinde sıralanması mümkündür. Muafiyete konu uygulamanın ilk olarak pazardaki fiili durum üzerindeki etkisi incelense de, tek başına bu yeterli olmayıp potansiyel rekabet üzerindeki etkilerin de değerlendirilmesi gerekmektedir [7]. Potansiyel rekabet bakımından henüz piyasada rekabet etmeyen teşebbüslerin piyasaya girmek istediklerinde karşılaşacakları giriş engelleri değerlendirilir.

(61) Bildirim Formunda SBM, S-Cloud ile sağlanacak bilişim hizmetinin yalnızca sigorta sektörünü ilgilendiren ürünlere yönelik olacağını bu nedenle ilgili pazarın çok küçük bir kısmına etki edebileceğini ifade etmiştir. SBM, S-Cloud’un kullanımının sigorta şirketleri, acenteler ve eksperler için zorunluluk taşımadığını, bu kullanıcıların sistem dışında olan yazılım şirketlerinin ürünlerini de kullanabileceklerini, SBM’nin zorunluluk yaratmaya yönelik bir karar almayacağını ve bu yönde çaba harcamayacağını belirtmiştir. Ek olarak yazılım şirketlerinin de ürünlerini S-Cloud’da sunmasına yönelik 7 Kılavuz, 54-56. paragraf.

bir zorunluluk olmayacağı, S-Cloud’da ürünlerini sunan yazılım şirketlerinin ise ürünlerini başka platformlarda da sunabileceği anlaşılmaktadır.

(62) S-Cloud Projesi öncelikli olarak sigorta sektöründe faaliyet gösteren aktörlere bilişim hizmetleri veren teşebbüslerin faaliyetlerini etkileyecektir. Bu nedenle ilk olarak projenin sunulacağı yapının ve işleyişinin söz konusu teşebbüsler üzerinde ortaya çıkarabileceği etkilerin ele alınması gerekmektedir. Diğer bir deyişle, S-Cloud hizmetinin dolaylı olarak sigorta şirketleri tarafından sunuluyor olması ile bahse konu hizmetin alıcısı konumundaki yazılım şirketlerinin sigorta şirketleriyle ve bunların acenteleriyle sıkı ticari ilişki içinde bulunmasının etkilerinin değerlendirilmesi önem arz etmektedir. Bu hususa ek olarak S-Cloud hizmetinin verilmesinde yazılım şirketlerinden talep edilen bilgilerin neler olduğu, TSB vasıtasıyla yürütülen benzer nitelikte yazılım hizmetinin bulunup bulunmadığı, talep edilen bilgilerin TSB’nin verdiği yazılım hizmetinin yürütülmesini ne şekilde etkileyeceği hususları da değerlendirilmelidir.

(63) Projenin piyasadaki etkisine yönelik olarak piyasa oyuncuları tarafından iletilen görüşlerde yalnızca SBM’nin kurduğu bir platformda yer almanın yazılım ürününü ne denli tercih edilir kıldığına yönelik olarak verilen bilgiler önem taşımaktadır. Buna göre, gerek sigorta şirketleri gerekse de yazılım şirketleri güvenilir ve yenilikçi bir platform olması durumunda S-Cloud içerisinde yer alan ürünlerin diğer ürünlere göre bir miktar daha tercih edilebilir olacağını vurgulamışlardır. Bununla beraber S-Cloud’da yer almanın ürün adına tek başına tercih sebebi olmayacağı; yazılımların maliyeti, güvenliği ve kullanılan diğer ürünler ile uyumlu çalışabilmesi, kolay kullanılabilmesi gibi unsurların yazılımların tercih edilmesinde nazara alınan esaslı unsurlar olduğu ifade edilmiştir. Ayrıca hâlihazırda donanım ve güvenlik altyapılarına yatırım yapmış olan sigorta şirketleri açısından S-Cloud’un kısa vadede tercih edilir olmayacağı da paylaşılan görüşler arasındadır.

(64) Sigortacılık hizmetlerine yönelik olarak sunulacak bilişim ürünlerinin bir arada bulunacağı ve aynı zamanda sunucu hizmeti de verilecek olan S-Cloud Projesi’ne benzer başka bir platformun hâlihazırda bulunmadığı bilinmektedir. Bu nedenle SBM bahse konu hizmet bakımından tek oyuncu olarak faaliyet göstermektedir. Bu nedenle benzer şekilde sigortacılık sektöründe kullanılacak yazılım ürünleri geliştiren firmalara, S-Cloud benzeri hizmet vermek isteyen teşebbüslerin pazara girişlerinin mümkün olup olmadığı hususu önem taşımaktadır. SBM’nin S-Cloud dâhilinde verdiği temel hizmetler, yazılım şirketlerine sunacakları ürünler için sunucu tahsisi, sunucuların bakım ve destek hizmetlerinin sürdürülmesi ve aynı zamanda yazılım ürünlerinin taşıması gereken güvenlik kriterlerinin hem kurulum aşamasında hem de sonrasında denetlenmesi şeklinde özetlenebilecektir. Bunlara ek olarak S-Cloud sayesinde sigorta şirketleri, acenteler, eksperler gibi alıcıların bu bilişim ürünlerini bir arada görüntülemesine imkân sağlanmaktadır. Bu hizmetlerin bir başka bulut bilişim sağlayıcısı tarafından verilebilmesi için bu sağlayıcının yeterli kapasitede sunucu alanı bulundurması, bunların bakım ve destek faaliyetlerini yürütebilecek donanıma sahip olması, aynı zamanda yazılım güvenlik kriterlerinin işleyişi ve periyodik denetimi konusunda bilgi sahibi olması gerektiği sonucuna ulaşılmaktadır. Bahse konu hizmetlerin sunulabilmesi için herhangi bir yasal izin prosedürü gerekmediği gibi bu pazara girişte de herhangi bir fiili engel bulunmadığı anlaşılmaktadır. Bu çerçevede Türkiye pazarında yerli sunucu hizmeti veren Çizgi Telekomünikasyon A.Ş. [8] (Natro),

[8] https://www.natro.com/sunucu-kiralama; https://www.vargonen.com/server/bulut-sunucu;

https://netesta.com/cloudserver; https://www.turhost.com/sunucu/bulut-sunucu/;

Vargonen Teknoloji ve Bilişim Sanayi Ticaret A.Ş., Buuldy Bilişim Emre Mert Delidere (Netesta), Aerotek Bilişim Sanayi ve Ticaret A.Ş. (Turhost), Radore Veri Merkezi Hizmetleri A.Ş. ve GNET İnternet Telekomünikasyon A.Ş. (Güzel Hosting) adlı teşebbüslerin sunucu hizmeti verdikleri bilinmektedir. Bu çerçevede S-Cloud’un faaliyet göstereceği alana giriş yapmak isteyen olası rakiplerin sahip oldukları temel altyapı olanakları ile birlikte S-Cloud’a ikame hizmetler sunabilecekleri değerlendirilmektedir.

(65) SBM tarafından bir yazılım ürününün S-Cloud’a kurulması gerektiği yönünde herhangi bir zorlama veya telkinde bulunulmayacağı, dileyen yazılımların S-Cloud üzerinden hizmet verebileceği, bu platforma dâhil olmak istemeyen teşebbüslerin ise mevcut sistemleri üzerinden faaliyet göstermeye devam edebilecekleri ifade edilmiştir. Buna ek olarak sigorta şirketleri ile bu sektörde hizmet veren acente, eksper gibi pazar oyuncularına da S-Cloud’da yer alan ürünleri kullanmaları yönünde herhangi bir telkin veya zorlamanın olmadığı belirtilmiştir.

(66) Bununla birlikte, S-Cloud’a dâhil olmak isteyen teşebbüslerin ne şekilde seçileceği ve platforma kabulün nasıl gerçekleşeceği konularına da değinmek gerekmektedir. SBM tarafından verilen bilgilerde, objektif ürün kabul kriterlerinin SBM web sitesinde ilan edileceği, bu kriterleri karşılayan ürünlerin platforma dâhil edileceği belirtilmiş olmakla birlikte “Yazılım Kriterleri” başlığı altında ürünlerin sigorta sektörünün ihtiyaçlarına cevap verebilecek nitelikte olmaları gerektiği ve uygulamanın sektör ile alakasının SBM tarafından takdir edileceği ifade edilmiştir. Ayrıca, web tabanlı olmayan uygulamaların sisteme dâhil edilmeyeceği, kapasite ve teknoloji yetersizliği nedeniyle bazı ürünlerin de S-Cloud’a yüklenmesinin mümkün olmayacağı ifade edilmiştir. SBM tarafından makul sürede kapasite ve teknoloji artırımı yapılarak ürünün platforma kabul edileceği belirtilmiş olsa da bunun hangi süre içinde yapılması gerektiğine ilişkin olarak herhangi bir süre sınırı bulunmadığı anlaşılmaktadır. Yanı sıra web tabanlı olmayan yazılımların S-Cloud’a dâhil olabilmek için gerekli teknik dönüşümleri yapabilmek için ek maliyete katlanmak zorunda kalacakları anlaşılmaktadır. S-Cloud hizmetinin ücretlendirilmesi konusuna gelindiğinde ise SBM tarafından maliyetlerin karşılanmasına ek olarak geliştirme ve kapasite artırımı yatırımlarının gerektirdiği çerçevede lisanslama ve “kullandıkça öde” modelinde ücret talep edileceği belirtilmiştir. Ancak mevcut durumda SBM’nin ücretlendirme politikası netleşmemiş olduğundan S-Cloud’a girmek isteyen teşebbüslerin daha fazla maliyete katlanmak zorunda kalmaları da ihtimal dâhilinde görünmektedir. Açıklanan hususlar, S-Cloud’a girmek isteyen yazılım ürünlerinin bu anlamda rekabetini olumsuz etkileyebilecektir.

(67) Sektör paydaşlarınca da değinildiği üzere TSB çatısı altında faaliyet gösteren SBM’nin sigorta sektörü oyuncularını S-Cloud’da yer alan ürünleri kullanmaya ya da yazılım şirketlerini S-Cloud’a dâhil olmaya yönlendirmesiyle ortaya çıkacak olası bir fiili zorunluluk halinde S-Cloud haricinde faaliyet gösteren yazılım şirketleri üzerinde rekabetçi zarar doğması muhtemeldir. Nitekim Kurulun 20.12.2018 tarih ve 18-48/751- 364 sayılı OSEM kararında da, S-Cloud’a benzer şekilde, TSB çatısı altında yürütülecek bir projenin zorunluluk unsuru taşıması halinde sigorta şirketlerine ürün ve hizmet sağlayan teşebbüsler üzerinde doğacak anti rekabetçi etkiye dikkat çekilmiştir. OSEM kararında belirtildiği gibi hizmetin alıcısı konumunda bulunan sigorta şirketlerinin aynı zamanda zorunlu olarak hizmetin asgari standartlarını belirlemesinden doğacak anti rekabetçi etkinin bir benzeri işbu dosya açısından da söz https://www.radore.com/cloud-server; https://www.guzel.net.tr/kiralik-sunucular.php (Erişim Tarihi: 15.09.2020).

konusu olabilecektir. Zira ürünlerin alıcısı konumunda bulunan sigorta şirketlerinin TSB aracılığıyla, ürünlerin satılacağı bir pazar yerinde hangi standartları karşılayan ürünlerin yer alacağını belirlemesi benzer kapsamda değerlendirilebilecek bir husustur. Fakat yukarıda da vurgulandığı üzere, OSEM kararında yasaklanan rekabet karşıtı etki, zorunluluğa ilişkin uygulamalardan doğmaktadır. SBM tarafından vurgulanan zorunluluk oluşturulmayacağına yönelik ifadelere rağmen SBM’nin yapısı ve sektördeki konumu itibarıyla başvuru konusu projenin ileride fiili zorunluluk yaratma ihtimalinin düşük olmadığı değerlendirilmektedir.

(68) Dosya kapsamında S-Cloud Projesi’ne yönelik ifade edilen bir diğer husus ise S-Cloud içerisinde yer alan yazılım şirketlerinin verilerinin SBM’ye açık olmasıyla TSB’nin iştirakleri tarafından yazılım şirketleri aleyhine kullanılma riskine ilişkindir. “Uygulama ve Değişim” başlıklı kriterlerde, ürünün açıklaması, bileşenleri, kurulum ve konfigürasyonları, alt yapısı, entegrasyon noktaları, veri tabanı ve ortam bilgileri gibi bilgilerden hangilerinin SBM’ye iletilmesi gerektiğinin SBM tarafından belirleneceği düzenlenmiştir. Bu noktada sigorta şirketlerine hasar yönetim sistemi yazılımı hizmeti veren (…..) tarafından, TSB iştiraklerine rakip olan teşebbüslerin rekabete duyarlı verilerinin S-Cloud üzerinde tutulmasının risk yaratabileceği, TSB’nin %100 iştiraki olan OSEM Sertifikasyon A.Ş. bünyesinde OSEM Portal adlı bir yazılım ürünü geliştirildiği, (…..)’in rakibi konumunda olan OSEM Portal bağlantılı bir platform olan S- Cloud’da yer almanın makul bir seçenek olmayacağı ifade edilmiştir. Benzer şekilde DİGİLERA, TSB’nin rakip ürün çıkararak OSEM’in sahibi olması nedeniyle S-Cloud’da yer almanın tercih edilebilir bir seçenek olmadığını belirtmiştir. Rakip yazılım ürünlerinin rekabete hassas bilgilerinin paylaşılması riski hakkında SBM’den ek bilgi talep edilmiş ve gelen cevap yazısında yazılım güvenliğinin SBM bünyesinde çalışanlar tarafından incelenerek yüklenmesi yönteminden hem yazılım kodlarının gizliliği hem de operasyonel zorluklar sebebiyle vazgeçildiği, SBM bünyesindeki sunuculara yalnızca ilgili yazılım şirketlerinin uzaktan erişim imkanının bulunacağı, SBM sunucularında yer alan yazılım ürünlerine ait kaynak kodları ve kullanıcı bilgilerine erişimin mümkün olmayacağı, SBM’nin sadece sisteme bağlanacak kullanıcıların ad, soyad, TCKN ve cep telefonu bilgilerini edineceği, her yazılım şirketine ayrı bir sunucu tahsis edileceği ve SBM’nin bu sunuculara erişiminin engellendiği belirtilmiştir.

(69) Bununla birlikte, teknik işleyişin detayları ile SBM tarafından sunucularda tutulan bilgilere erişimin ne derece imkânsız olacağının açıklığa kavuşturulması amacıyla yapılan araştırmada [9] SBM’nin bahse konu bilgilere erişmesinin önünde herhangi bir teknik engelin bulunmayacağı hususu tespit edilmiştir.

(70) Yer verilen bilgi ve değerlendirmeler doğrultusunda SBM tarafından sunulacak olan S- Cloud hizmetinin ücretlendirme politikasındaki belirsizlikler, fiili zorunluluk oluşturma potansiyeli ve sunucularındaki bilgilere her zaman erişebilme yeteneğinin rekabet üzerinde muhtemel olumsuz etkiler oluşturabileceği, bu nedenle bildirime konu uygulamanın muafiyetin üçüncü şartını sağlamadığı anlaşılmaktadır.

G.5.2.4. Rekabetin (a) ve (b) Bentlerindeki Amaçların Elde Edilmesi İçin Zorunlu Olandan Fazla Sınırlanmaması

(71) 4054 sayılı Kanun’un 5. maddesinde öngörülen son koşul gereği, tüketicilere yansıtılan ekonomik gelişme ve iyileştirmenin elde edilmesinde rekabeti daha az sınırlayan bir yöntem mevcut ise anlaşmaya muafiyet tanınamayacaktır. Bu şart altındaki 9 Konu ile ilgili olarak Kurumun Bilişim Teknolojileri Dairesi Başkanlığının görüşünden yararlanılmıştır.

değerlendirmelerde genel olarak, uygulamanın rekabeti kısıtlayıcı etkilerinin, elde edilecek faydaların sağlanması için zorunlu olup olmadığı dikkate alınmaktadır.

(72) Bu koşul kapsamında SBM tarafından yapılan açıklamada, objektif kriterleri sağlayan tüm teşebbüslere karşı eşit şekilde davranılacağı ve bu şartları sağlayan tüm teşebbüslerin makul süre içerisinde S-Cloud’a eklenebileceği taahhüt edilmiştir.

(73) Muafiyetin bu son şartı ele alınırken hizmetlerin sunulmasında ekonomik veya teknik gelişme koşulu ile tüketici yararı koşulunun sağlanması ile rekabet üzerinde meydana gelecek sınırlama arasında bir ölçülülük değerlendirmesi yapılmaktadır. Diğer bir deyişle, muafiyetin ilk iki koşulunun sağlanması için zorunlu olandan daha fazla rekabeti sınırlayan uygulamalar muafiyetin son koşulunu karşılamayacaktır. Bu değerlendirmede ilk olarak rekabeti sınırlayan uygulama bir bütün olarak ele alınmakta sonrasında ise tekil rekabet kısıtları incelenmektedir.

(74) Bu çerçevede yukarıda yer verilen değerlendirmelerde her ne kadar muafiyetin ilk üç şartının karşılanmadığı ortaya konulmuş olsa da muafiyetin son şartının sağlanıp sağlanmadığının tespit edilmesi faydalı olacaktır. Bu bakımdan muafiyetin son koşulunun değerlendirilmesine geçmeden önce Proje kapsamında oluşacağı ileri sürülen etkinlikleri hatırlamak önemlidir. Bildirim Formunda SBM tarafından S-Cloud hizmetinin verilmesiyle ortaya çıkacak muhtemel faydaların güvenlik ve maliyet odaklı olduğu belirtilmiştir.

(75) Bununla birlikte, SBM’nin S-Cloud’a yüklenecek yazılımın ihtiyaç duyduğu teknolojiyi kendi bünyesinde barındırmaması veya kapasitesinin yeterli olmaması durumunda yazılımı kabul etmeme kararı alabileceği ancak makul sürede kapasite artırımını gerçekleştireceği ifade edilmiştir. Bu hususun, ürünlerini S-Cloud’a dahil etmek isteyen yazılım şirketleri arasındaki rekabeti etkileyecek bir sınırlama olabileceği değerlendirilmektedir. Öyle ki, ürünlerini S-Cloud’a yüklemek isteyen yazılım şirketleri SBM’den kaynaklanan sebeplerle bu platforma girmeyi beklemek zorunda kalacak, bu bekleme süresince S-Cloud avantajlarından yararlanmakta olan rakiplerinden bu anlamda geride kalacaktır. Ayrıca, SBM’nin bahse konu ürünü S-Cloud’a alabilmek için gerekli kapasite artırımını en geç hangi süre içinde yapması gerektiğine ilişkin bir sınır bulunmadığından, bahse konu süre uzadıkça rekabeti sınırlayıcı etki de artmış olacaktır.

(76) Buna ek olarak S-Cloud platformuna kabul noktasında, yazılımların sigorta sektörünün ihtiyaçlarına cevap verebilecek nitelikte ve sektör ile alakalı olduğu konusundaki değerlendirmenin SBM tarafından yapılacağı anlaşılmaktadır. Bu değerlendirmenin, S- Cloud’a dâhil olmak isteyen ürünler konusundaki rekabeti etkileyebilecek bir diğer husus olduğu anlaşılmaktadır. Nitekim, S-Cloud’a dahil olmanın rekabeti teşvik eden bir unsur olduğu düşünüldüğünde hangi yazılımların sigorta sektörü ile alakalı olduğunun ve sektörün ihtiyaçlarına cevap vereceğinin tespitinde dikkate alınacak hususların belirli olmaması ve tamamen SBM’nin takdirinde bulunması, bu gerekçelerle S-Cloud dışında kalan ürünlerin rekabetini olumsuz etkileyebilecektir.

(77) Ayrıca S-Cloud hizmetinin nasıl ücretlendirileceği konusu da bir başka rekabet parametresi olarak ortaya çıkmaktadır. Dosya kapsamında yapılan incelemelerde bu hizmetin nasıl ücretlendirileceğine dair bir netlik bulunmadığı görülmektedir. Yazılım şirketlerinin başka bir dış kaynaktan sunucu temin etmek yerine bu hizmeti SBM’den almaları halinde ortaya çıkacak bir maliyet avantajından bahsedebilmek için S-Cloud hizmetinin nasıl ücretlendirileceğinin ortaya konulması önem taşımaktadır.

(78) Diğer yandan, önceki bölümlerde yer verildiği üzere bu hizmetin SBM tarafından verilmesinin bazı sakıncaları bulunmaktadır. Bu sakıncaların başında SBM’nin bünyesinde bulunduğu TSB’nin OSEM aracılığı ile hasar yönetim yazılımı geliştirip sunuyor olması nedeniyle S-Cloud’a girmek isteyen teşebbüslerin rekabete hassas bilgilerinin şeffaflaşma riski gelmektedir. Bu bağlamda SBM yazılım ürünlerine tahsis edilecek sunuculara SBM çalışanlarının erişim yetkisinin bulunmayacağını taahhüt etmiş olsa da teorik olarak herhangi bir erişim engelinin bulunmadığı anlaşılmaktadır.

(79) Muafiyetin son şartının değerlendirilmesinde ele alınması gereken bir diğer husus, rekabet kısıtı oluşturan uygulamanın zorunlu olup olmayacağıdır. S-Cloud hizmetinin yazılım şirketlerince kullanılmasının zorunlu olmadığına ilişkin SBM’nin beyanlarına yer verilmişti. Bununla beraber SBM’nin teşebbüs birliği olmasıyla birlikte değerlendirildiğinde bu tip bir platformun kurulmasının taşıyacağı rekabet karşıtı etkilerin orta ve uzun vadede piyasada fiili bir zorunluluk yaratması ihtimali bulunmaktadır.Netice itibarıyla, 4054 sayılı Kanun’un 5. maddesinin (d) bendinde yer alan şartı da taşımadığı anlaşılan söz konusu uygulamaya, 4054 sayılı Kanun’un 5. maddesi çerçevesinde bireysel muafiyet tanınamayacağı kanaatine varılmıştır.

H. SONUÇ

(80) Düzenlenen rapora ve incelenen dosya kapsamına göre,

- Bildirime konu S-Cloud Projesi’ne, 4054 sayılı Kanun’un 4. maddesi kapsamında

olması nedeniyle, aynı Kanun’un 8. maddesi çerçevesinde menfi tespit belgesi

verilemeyeceğine,

- Söz konusu uygulamaya, 4054 sayılı Kanun’un 5. maddesi çerçevesinde bireysel

muafiyet de tanınamayacağına

gerekçeli kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde yargı yolu açık olmak üzere OYBİRLİĞİ ile karar verilmiştir.

Başkan

Birol KÜLE

İkinci Başkan

Arslan NARİN Şükran KODALAK

Ahmet ALGAN Hasan Hüseyin ÜNLÜ

(İzinli)

Ayşe ERGEZEN