Rekabet hukuku uyumu: rekabete duyarlı bilgi nedir, nerede birikir

Rekabet hukuku riski, çoğu kurumun sandığının aksine toplantı odalarında değil, dosya sunucularında ve posta arşivlerinde yaşar. Bir fiyat listesinin yanlış klasöre konması, bir ihale dosyasının “kuruluştaki herkes” linkiyle paylaşılması ya da rakibe ait bir teklif tablosunun bir çalışanın PST arşivinde durması, soruşturma sırasında ortaya çıktığında açıklanması güç bulgulardır. Rekabete duyarlı bilginin nerede olduğunu, kimin erişebildiğini ve nasıl dolaştığını bilmek, hukuki bir sorudan önce bir veri yönetimi sorusudur.

Rekabete duyarlı bilgi: somut bir tanım

Rekabet uyum programlarında “rekabete duyarlı bilgi” ifadesi sık geçer, ancak kurum içinde çoğu zaman somutlaştırılmaz. Pratik bir tanım şudur: kamuya açık olmayan ve rakiplerin eline geçtiğinde piyasa davranışlarını hizalamalarına imkân verebilecek bilgi. Bu tanımı kurumun verisine uyguladığınızda belirli türler öne çıkar:

• Fiyatlar ve indirimler. Güncel ve planlanan liste fiyatları, iskonto oranları, kampanya takvimleri, fiyat artış planları.
• Teklif ve ihale koşulları. Hazırlanan tekliflerin tutarı, birim fiyatları, teslim ve ödeme şartları; ihale stratejisi notları; hangi ihalelere girilip girilmeyeceğine dair kararlar.
• Maliyet ve marjlar. Birim maliyet tabloları, kârlılık analizleri, tedarikçi fiyatları.
• Müşteriye özel şartlar. Belirli müşterilere tanınan koşullar, çerçeve sözleşme ekleri, özel indirim yazışmaları.
• Kapasite ve üretim planları. Fabrika kapasite kullanımı, üretim durdurma veya artırma planları, stok politikası.
• Stratejik planlar. Pazara giriş ve çıkış kararları, yatırım planları, bölge ve ürün stratejileri.

Bu türlerin ortak özelliği, kurumun kendi içinde tamamen meşru olmaları ve iş süreçlerinin doğal çıktıları olmalarıdır. Risk, bilginin varlığında değil; kontrolsüz dolaşımında ve özellikle rakiplerle doğrudan ya da dolaylı paylaşımındadır. Rekabet Kurumu’nun yayımladığı kılavuzlar, teşebbüslerin bu alandaki davranışlarına ilişkin çerçeveyi açıklar; kurumun uyum programı bu çerçeveye göre hukuk danışmanıyla kurulmalıdır. Bu yazı hukuki tavsiye değildir; Seratus kurumun uyum programını destekler, hukuk danışmanının yerini almaz.

Bilgi değişimi riski neden veri sorunudur

Rekabet otoritelerinin incelediği davranışların önemli bir kısmı, rakipler arasında bilgi değişimiyle ilgilidir. Bu değişim her zaman bilinçli bir anlaşma biçiminde olmaz. Sektör toplantısında dağıtılan bir sunum, eski işvereninden ayrılırken fiyat listesini yanında getiren bir satış yöneticisi, ortak müşteriyle paylaşılan ve oradan rakibe ulaşan bir teklif tablosu, bir dağıtıcı üzerinden dolaşan üretici fiyatları; hepsi aynı sonuca varabilir.

Rekabet Kurumu’nun 19 Ekim 2026 tarihli “Yemek Hizmeti Alım İhalelerinde Faaliyet Gösteren Teşebbüsler Hakkında Soruşturma Başlatıldı” başlıklı duyurusu, ihale süreçlerinin otoritenin gündeminde olduğunu gösteren güncel bir örnektir. Duyurunun içeriği veya sonucu hakkında bir yorum yapmaksızın, kurumlar için çıkarım nettir: ihale dosyaları, teklif hesaplama tabloları ve ihaleye ilişkin yazışmalar, bir soruşturmada ilk istenen belgeler arasındadır ve bunların nerede olduğunu, kimin erişebildiğini ve kiminle paylaşıldığını bilmek gerekir.

Veri yönetimi açısından üç soru belirleyicidir:

1. Nerede? Rekabete duyarlı belgeler hangi paylaşımlarda, hangi SharePoint sitelerinde, hangi posta arşivlerinde duruyor?
2. Kim? Bu belgelere erişimi olan kişi ve gruplar, bu erişime gerçekten ihtiyaç duyuyor mu? Ayrılan çalışanların erişimi kaldırılmış mı?
3. Nasıl dolaşıyor? Anonim paylaşım linkleri, “kuruluştaki herkes” izinleri, dış kuruluşlarla paylaşılan klasörler, kişisel arşivlere kopyalanan dosyalar var mı?

Bu soruların yanıtı, uyum programındaki eğitim ve politika belgelerini somut bir kontrol ortamına dönüştürür.

Nerede birikir: fiyat listelerinden posta arşivlerine

Rekabete duyarlı bilgi, kişisel veriden farklı olarak çoğunlukla yapısal olmayan belgelerde ve iletişimde yaşar. Tipik birikim noktaları şunlardır:

Konum	Tipik içerik	Tipik risk
Satış ve pazarlama paylaşımları	Fiyat listeleri, indirim matrisleri, kampanya planları	Geniş okuma izni, eski sürümlerin silinmemesi
İhale ve teklif klasörleri	Teklif dosyaları, birim fiyat hesapları, strateji notları	Proje bitince izinlerin daraltılmaması, dış paylaşım
Finans ve planlama	Maliyet tabloları, marj analizleri, bütçe sunumları	“Herkes” izni, kişisel OneDrive kopyaları
Üretim ve tedarik	Kapasite planları, tedarikçi fiyatları	Tedarikçi portallerine yüklenen kopyalar
Microsoft 365 (SharePoint, Teams)	Sunumlar, toplantı notları, sohbet ekleri	Anonim linkler, “kuruluştaki herkes” paylaşımları
E-posta arşivleri (PST/OST/MSG)	Rakip teklifleri, sektör toplantı yazışmaları	Ayrılan çalışanın arşivinde yıllarca kalması
Yerel diskler	Dışa aktarılan tablolar, taslaklar	Hiçbir envanterde görünmemesi

Özellikle posta arşivleri ayrı bir dikkat gerektirir. Bir çalışanın yıllar önce eski işvereninden getirdiği fiyat listesi, bir sektör derneğinden gelen ve rakip verisi içeren tablo ya da bir müşterinin yanlışlıkla ilettiği rakip teklifi, PST dosyasında kimsenin görmediği bir yerde durur. Bu belgelerin varlığı bile bir soruşturmada açıklama gerektirebilir. Seratus bu arşivleri canlı posta kutusuna bağlanmadan, diskte durdukları yerde tarar.

Microsoft 365 ortamı ayrı bir dolaşım katmanı ekler. SharePoint sitelerindeki fiyat sunumları, Teams kanallarına eklenen teklif taslakları ve OneDrive’daki kişisel kopyalar, anonim link ya da “kuruluştaki herkes” izniyle paylaşıldığında, belgenin kim tarafından görülebildiği artık klasör izinlerinden okunamaz. Seratus, Graph üzerinden salt okunur uygulama izniyle bu paylaşım linklerini ve izinleri toplar; delta tarama sayesinde yalnızca değişen öğeler yeniden işlenir. Böylece bir fiyat listesinin dün kiminle paylaşıldığı, bugünün taramasında görünür.

Uyum programında veri kontrolünün yeri

Etkili bir rekabet uyum programı tipik olarak politika, eğitim, danışma hattı, denetim ve yaptırım gibi bileşenlerden oluşur. Bu bileşenlerin çoğu insan davranışına yöneliktir; veri kontrolü ise programın teknik omurgasıdır ve diğer bileşenlerin işlediğini gösteren kanıtı üretir.

Veri kontrolü dört adımda işler:

• Tanımlama. Kurumun taksonomisinde “fiyat listesi”, “ihale dosyası”, “maliyet tablosu”, “rakip bilgisi içeren iletişim” gibi kategoriler tanımlanır; gizlilik derecesi ile eşlenir. Seratus’un veri sınıflandırma yeteneği bu taksonomiyi yönetilebilir kılar ve insan onaylı düzeltmeleri destekler.
• Keşif. Tüm bağlı kaynaklar salt okunur taranır; adaylar güven yüzdesi ve maskeli örnekle listelenir. Yanlış pozitifler (kamuya açık fiyat listeleri, eski kataloglar) insan onayıyla ayıklanır.
• Erişim ve paylaşım analizi. Her aday belge için ACL’ler, paylaşım linkleri, dış paylaşımlar, ayrılan kullanıcı erişimleri ve çözülemeyen SID’ler gösterilir.
• İnceleme ve iyileştirme. Belgeler onaylı bir inceleme kuyruğuna alınır; erişim daraltma, karantina, etiketleme veya serbest bırakma kararı verilir; her karar denetim kaydına yazılır.

Bu akışın değeri, bir soruşturma başladığında ortaya çıkar. Kurum, “şu tarihte şu belgeye kimlerin eriştiğini biliyorduk, erişimi şu tarihte daralttık, kararı şu kişi şu gerekçeyle onayladı” diyebilir. Bu, işleyen bir uyum programının kanıtıdır.

Eğitim ile kontrol arasındaki ilişki de burada netleşir. Çalışanlara “rakiple fiyat konuşmayın” demek gereklidir, ancak çalışanların hangi belgeleri gördüğünü ve nereye kopyaladığını bilmeden eğitimin etkisi ölçülemez. Veri kontrolü, eğitimin sonuçlarını gözlemlenebilir kılar: rakip bilgisi içeren iletişim inceleme kuyruğuna düşüyorsa, politika ve eğitim içeriği bu bulgulara göre güncellenir. Uyum programı böylece statik bir belge olmaktan çıkar, bulgularla beslenen bir döngüye dönüşür.

Örnek senaryo: bir üretim şirketinde ihale klasörü

Bir üretim şirketinde satış ekibi, kamu ve özel sektör ihaleleri için teklif hazırlar. Her ihale için bir klasör açılır; birim fiyat hesapları, maliyet tabloları ve strateji notları bu klasörde toplanır. Proje bittiğinde klasör kapanmaz; izinleri daraltılmaz; yıllar içinde yüzlerce ihale klasörü aynı paylaşımda birikir. Satış ekibinden ayrılan çalışanların grup üyelikleri temizlenmemiştir; bazı klasörler bir danışmanlık firmasıyla paylaşılmak üzere SharePoint’e kopyalanmış ve dış paylaşım linkleri hiç iptal edilmemiştir.

Seratus bu senaryoda önce taksonomideki “ihale dosyası” ve “maliyet tablosu” kategorilerine uyan belgeleri bulur; ardından erişim grafiğinde hangi klasörlerin ayrılan kullanıcılar tarafından hâlâ erişilebilir olduğunu, hangi dosyaların dış paylaşım linki taşıdığını gösterir. İnceleme kuyruğunda satış direktörü ve uyum sorumlusu, kapanmış ihalelerin erişimini yalnızca arşiv grubuna daraltır, dış linkleri iptal eder ve kararları gerekçesiyle kaydeder. Bu örnek anonim ve varsayımsaldır; ancak örüntü yaygındır.

Seratus bu açıkları nasıl kapatır

Açık 1: Rekabete duyarlı belgelerin yeri bilinmiyor. Rekabet uyum modülü, kişisel veri keşfiyle aynı motoru kullanarak dosya sunucuları, yerel diskler, Microsoft 365, veritabanları, nesne depolama ve e-posta arşivlerinde fiyat, teklif, maliyet, müşteri şartı ve kapasite planı içerebilecek belge ve iletişimi tespit eder. Ayrıntı: ajansız DSPM.

Açık 2: Kategoriler kuruma uymuyor. Kategoriler kurumun taksonomisinde tanımlanır ve ayarlanır; sektöre özgü belge türleri eklenebilir, yanlış pozitifler insan onayıyla düzeltilir ve düzeltmeler taksonomiye yansır.

Açık 3: Kimin eriştiği görünmüyor. Erişim ve maruziyet grafiği, her aday belge için ACL’leri, paylaşım linklerini, dış paylaşımları, ayrılan kullanıcı erişimlerini ve çözülemeyen SID’leri gösterir; en az yetki ilkesine aykırı durumlar önceliklendirilir.

Açık 4: Posta arşivlerindeki rakip bilgisi fark edilmiyor. PST/OST/MSG dosyaları diskte durdukları yerde, canlı posta kutusuna bağlanmadan taranır; ileti gövdesi ve ekler kategorilere göre işaretlenir. Ayrıntı: e-posta arşivleri.

Açık 5: Kararlar kanıtsız kalıyor. Her inceleme kararı sorumluya atanır, ayrı onay yetkisiyle onaylanır ve kim, ne zaman, neden bilgisiyle denetim kaydına yazılır; raporlar PDF/Excel/CSV olarak alınır ve SIEM veya talep yönetimi sistemine iletilebilir. Ayrıntı: iyileştirme ve kanıt.

Açık 6: Belgelerin kurum dışına çıkması endişesi. Seratus yerinde ve air-gap uyumlu çalışır; tarama ve sınıflandırma kurumun ağında yapılır; isteğe bağlı belge türü zenginleştirme yalnızca kurumun kendi veya yerinde barındırdığı LLM ile çalışır, dış AI servisine veri gitmez.

Sonuç

Rekabete duyarlı bilgi, kurumun doğal iş çıktısıdır; sorun bilginin varlığı değil, kontrolsüz dolaşımıdır. Fiyat listeleri, ihale dosyaları, maliyet tabloları ve rakip bilgisi içeren yazışmaların nerede olduğunu, kimin erişebildiğini ve nasıl paylaşıldığını bilmek, uyum programının politika ve eğitim bileşenlerini ölçülebilir bir kontrol ortamına dönüştürür. Seratus bu görünürlüğü ve kanıt zincirini kurumun kendi ağında sağlar.