Ticari Sırları Korumak İçin Hangi Makul Önlemler Gerekir?

Bir ticari sır davası kaybedildiğinde, genellikle makul önlemler konusunda kaybedilir. Davalı bilginin değerli olduğunu inkâr etmez; şirketin bu bilgiye diğer her şeye davrandığı gibi davrandığını gösterir: NDA yok, ağ klasörleri herkese açık, hiçbir şey işaretlenmemiş, işten ayrılış prosedürü yok. Kanun kusursuz bir güvenlik istemez. Koşullar içinde makul olan önlemler ister; mahkemeler bunu bilginin değeriyle ve işletmenin büyüklüğü ve kaynaklarıyla orantılı önlemler olarak yorumlar. On kişilik bir girişimden bir savunma sanayii yüklenicisinin standardı beklenmez, ancak bu konuyu önemseyen on kişilik bir girişimin standardı beklenir. Aşağıda, ticari sır koruması ekibimizin bir program oluştururken veya denetlerken kullandığı, ticari sırları korumak için makul önlemler kontrol listesini bulacaksınız.

İşe tespitle başlayın

Adını koymadığınız şeyi koruyamazsınız. İlk önlem bir envanterdir: şirketin ticari sır olarak kabul ettiği bilgi kategorilerinin, her birinin nerede bulunduğunun, kimlerin erişimi olduğunun ve neden değer taşıdığının yazılı bir listesi. Sırların kendisini anlatması gerekmez. Şirketin, sonradan her şeyin gizli olduğunu iddia etmek yerine neyin gizli olduğuna dair bilinçli bir karar verdiğini göstermesi gerekir. Mahkemeler ticari sırrı ancak dava başladığında tanımlayan davacılara şüpheyle yaklaşır; bazıları davacının ticari sırrı delil keşfi (discovery) aşaması başlamadan önce ayrıntılı olarak tanımlamasını şart koşar. Ticari sır sayılan bilgileri anlattığımız yazı, envanterdeki her kalemin geçmesi gereken testi açıklıyor.

Erişimi olan herkesle sözleşme

Gizlilik yükümlülükleri, bilgiye temas eden her kişiyi ve kuruluşu bağlamalıdır:

• Çalışanlar, işe alınırken ve erişim verilmeden önce, envanter kategorilerini kapsayan bir tanım içeren gizli bilgi sözleşmesi imzalar.
• Yükleniciler ve danışmanlar aynı kapsamda bir sözleşme imzalar; buna geliştirdikleri her şeyin devri de eklenir.
• Tedarikçiler, üreticiler ve iş ortakları, herhangi bir hassas bilgi paylaşılmadan önce ifşa yasağının yanı sıra kullanım kısıtlamaları da içeren bir NDA imzalar.
• Potansiyel alıcılar ve yatırımcılar, sunum aşamasında NDA imzalamayı reddetmiş olsalar bile due diligence (hukuki ve mali inceleme) öncesinde bir NDA imzalar.
• Teknik doküman alan müşteriler, lisans veya çerçeve sözleşmesindeki gizlilik koşullarını kabul eder.

Sözleşmeler iyi hazırlanmalı ve tutarlı şekilde uygulanmalıdır. Gizli belgelerin işaretlenmesini şart koşan ama hiçbir şeyin işaretlenmediği bir NDA, iddiayı desteklemek yerine zayıflatabilir. Bu tuzakları gizlilik sözleşmesinin (NDA) tek başına ticari sırları koruyup korumadığını ele aldığımız yazıda anlatıyoruz.

Envanterle uyumlu erişim kontrolleri

Erişimi bilmesi gereken prensibine (need-to-know) göre sınırlayın ve bunu ispatlayabilecek durumda olun. Dosya sistemlerinde, kod depolarında ve veri tabanlarında role dayalı yetkiler; çok faktörlü kimlik doğrulama; kimin neye ne zaman eriştiğinin kaydı ve en hassas materyal için ayrı depolama. Fiziksel güvenlik de önemlidir: formüller ve prototipler için kilitli odalar veya dolaplar, ziyaretçi kaydı ve giriş kartları. Bir mahkemeyi ikna eden şey, bir sızıntı olsaydı bunu gösterecek bir sistemdir; böyle bir sistemin olması gerektiğini söyleyen bir politika değil.

Ortak sürücüler sürekli tekrarlayan sorundur. Her çalışan fiyatlandırma modelinin bulunduğu klasörü açabiliyorsa, fiyatlandırma modeli korunmuyor demektir. Bilgiyi katmanlara ayırarak hassas katmana yalnızca ihtiyacı olanların ulaşmasını sağlamak, bu listedeki en etkili ve en ucuz önlemdir.

İşaretleme ve etiketleme

Gizli belgeleri, ekranları ve veri dışa aktarımlarını “gizli” veya “şirkete özel” olarak etiketleyin. İşaretleme yasal bir zorunluluk değildir, ancak iki işe yarar: alıcıya materyalin kısıtlı olduğunu bildirir ve böylece daha sonra bilmediği iddiasını boşa çıkarır; ayrıca mahkemeye şirketin sırlarını aktif olarak yönettiğini gösterir. İşaretlemeyi orantılı tutun. Yemek menüsü dahil her şey gizli olarak işaretlenirse etiket artık hiçbir anlam taşımaz.

Politikalar, eğitim ve onay

Yazılı bir gizli bilgi politikası benimseyin ve çalışanların bunu onaylamasını sağlayın. İşe girişte ve sonrasında düzenli aralıklarla eğitim verin ve katılım kayıtlarını saklayın. Politika; belgelerin işlenmesini, kişisel cihazların ve kişisel bulut hesaplarının kullanımını, uzaktan çalışmayı, sosyal medyayı, konferans sunumlarını ve üçüncü bir taraf bilgi istediğinde ne yapılacağını kapsamalıdır. Kurumsal yönetişim ve iç politikalar sayfamız, bu politikaların şirketin uyum çerçevesinin geri kalanıyla nasıl bütünleştiğini açıklıyor.

İşe giriş ve işten ayrılış

Ayrılan çalışanlar, ticari sırların haksız kullanımının (misappropriation) en yaygın kaynağıdır ve işten ayrılış prosedürü, mahkemelerin en yakından incelediği önlemdir. Son iş gününde tüm sistem erişimlerini kapatın, şirket cihazlarını teslim alın, çalışanın tüm gizli materyalleri iade ettiğini veya sildiğini gösteren imzalı bir beyan alın, devam eden yükümlülüklerini çalışana yazılı olarak hatırlatın ve önemli sırlara erişimi olan çalışanlarla nereye gittiklerini ve ne iş yapacaklarını soran bir çıkış görüşmesi yapın. Olağan dışı indirmeler veya aktarımlar için çalışanın son dönemdeki faaliyet kayıtlarını inceleyin. İşe girişte bunun ayna görüntüsü vardır: yeni çalışanlardan önceki işverenlerine ait gizli bilgileri yanlarında getirmediklerini teyit etmelerini isteyin; bu, şirketin davalı konumuna düşmesine karşı koruma sağlar.

Tedarikçiler, bulut hizmetleri ve üçüncü taraflar

Tedarikçilerle paylaşılan ve bulut hizmetlerinde saklanan bilgiler, paylaşım kontrollü olduğu sürece ticari sırrınız olmaya devam eder. Tedarikçi sözleşmeleri kullanımı işin kapsamıyla sınırlamalı, tedarikçinin kendi makul önlemlerini uygulamasını ve iş bitiminde bilgileri iade etmesini veya imha etmesini şart koşmalıdır. Bulutta saklama bir ifşa değildir, ancak hesap yapılandırması önlemlerinizin bir parçasıdır; herkese açık bir depolama alanı (bucket), kilitsiz bir dosya dolabı demektir. Risk yönetimi ve hukuki uyum ekibimiz, tedarikçi koşullarını bu bakış açısıyla inceler.

Makul önlemlerinizi belgelemek

Yukarıdaki her madde bir kayıt üretir: imzalı sözleşmeler, erişim kayıtları, eğitim listeleri, politika onayları, işten ayrılış kontrol listeleri. Bunları saklayın. Davada soru, şirketin iyi niyetli olup olmadığı değil, ne yaptığını ispatlayabileceğidir. Programın işlediğini gösteren fiziksel veya dijital bir dosya, makul önlemler savunmasını akla yatkın bir hikâyeden delile dönüştüren şeydir.

Mevcut uygulamalarınızın bu kontrol listesine göre denetlenmesini istiyorsanız, Capitol Law Partners ile yapacağınız bir görüşmede eksikleri ve bunların hangi sırayla giderileceğini belirleyebiliriz. Görüşme planlayın.

Bu makale yalnızca genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımamaktadır. Bu iletişim yoluyla avukat-müvekkil ilişkisi kurulmamaktadır.

Av. Çağatay Ersoy. Kurucular, yatırımcılar ve büyüyen şirketler için pratik strateji.

Bu konuda yardıma mı ihtiyacınız var? Ticari sır koruma programları sayfamıza göz atın veya randevu alın.