Gizlilik Yükümlülükleri: İmzalanmış Bir Belge ile Uygulanabilir Bir Yapı Arasındaki Fark

Bir due diligence oturumunda, gizlilik yükümlülükleri gündeme geldiğinde şirket tarafının ilk refleksi neredeyse her zaman aynıdır: personel dosyalarının bulunduğu klasör açılır, imzalı gizlilik taahhütnamelerinin tarandığı bir alt klasör gösterilir ve soru cevaplanmış sayılır. İnceleme yürüten taraf ise klasörü kapatmadan ikinci bir soru sorar — bu taahhütnamelerin kapsadığı bilgi tanımı ile şirketin bugün fiilen ürettiği ve dolaştırdığı bilgi aynı şey midir. Bu ikinci soruda, ilk sorunun rahatlığı tipik olarak dağılır; çünkü imzalar dört ya da beş yıl öncesine ait bir şablonu taşırken, şirketin bilgi mimarisi o tarihten bu yana müşteri fiyat matrisinden tedarikçi maliyet kırılımına, algoritmadan formülasyona kadar birkaç kat genişlemiştir. Belge yerindedir; kapsam ise geride kalmıştır.

Aynı asimetri çıkış tarafında daha keskin görünür. Bir çalışanın ayrılış sürecinde gizlilik yükümlülüğünün hatırlatıldığına, hangi verilere erişiminin bulunduğunun tek tek listelendiğine ve bu erişimlerin hangi tarihte kapatıldığına dair bir kayıt istendiğinde, çoğu şirkette gösterilebilen şey ya insan kaynakları tarafında tutulmuş genel bir ayrılış formu ya da bilgi işlem tarafında tutulmuş bir hesap kapatma bildirimidir; ikisinin birbirine bağlandığı, yani sözleşmesel yükümlülük ile teknik erişimin aynı kayıtta eşleştiği bir iz nadiren bulunur. Oysa incelemeye giren tarafın aradığı tam olarak bu eşleşmedir, zira gizlilik ihlali riskinin gerçekleştiği yer sözleşme metni değil, kapatılmamış bir paylaşım klasörü ya da devredilmemiş bir cihazdır.

Bu boşluğun altındaki mekanizma bir ihmal değil, belirli bir aşamada tamamen işlevsel olan bir kısayoldur. Küçük ve orta ölçekli bir şirkette bilgiye kimin eriştiği zaten herkesçe bilinir; kurucu ile üç dört kilit kişi arasındaki güven ilişkisi, formel bir erişim envanterinin sağlayacağı korumanın büyük kısmını maliyetsiz biçimde üretir ve o aşamada envanter tutmak gereksiz bir bürokrasi gibi görünür. Sorun kısayolun kendisinde değil, koşul değiştiğinde kısayolun devam etmesindedir: ekip otuz kişiyi geçtiğinde, uzaktan çalışma bilgiyi kurumsal ağın dışına taşıdığında, dış danışman ve serbest çalışan sayısı arttığında, güvenin kapsadığı yüzey ile bilginin yayıldığı yüzey birbirinden ayrılır. Ayrışma sessiz gerçekleşir; hiçbir gün kimse gizlilik rejiminin yetersiz kaldığına dair bir sinyal üretmez, çünkü ihlalin yokluğu koruma varmış gibi okunur.

İkinci bir mekanizma kapsamın soyutluğudur. Standart taahhütnameler bilgiyi "ticari sır, müşteri bilgisi ve şirkete ait her türlü veri" gibi geniş fakat sınırı belirsiz bir formülle tanımlar; bu genişlik hukuken kullanışlı görünse de, ihlal iddiasının ispatlanması gerektiğinde tam tersi yönde çalışır. Neyin gizli olduğunun ayrıca sınıflandırılmadığı bir yapıda, ayrılan bir çalışanın yanında götürdüğü müşteri listesinin "şirkete ait korunan bilgi" mi yoksa "sektörde zaten dolaşan genel bilgi" mi olduğu tartışmaya açılır ve tartışma, ispat yükünü taşıyan şirket aleyhine sonuçlanma eğilimi gösterir. Kapsamı daraltıp somutlaştırmak — hangi belge sınıfının, hangi sistemdeki hangi veri setinin korunduğunu adlandırmak — koruma alanını küçültmez, uygulanabilirliğini artırır.

Bu eğilimlerin değerlemedeki karşılığı, gizlilik başlığının kendi satırında değil, işlem yapısının üç ayrı yerinde belirir. Birincisi temsil ve tekeffül kapsamıdır: erişim ile sözleşme arasındaki eşleşmenin gösterilemediği şirketlerde alıcı tarafı, fikrî mülkiyet ve gizli bilgi başlığında daha geniş bir beyan, daha uzun bir zamanaşımı ve daha yüksek bir sorumluluk tavanı talep eder. İkincisi escrow oranıdır; ölçülemeyen bir riskin fiyatlanma biçimi, kapanış bedelinin bir bölümünün daha uzun süre bloke tutulmasıdır. Üçüncüsü ve çoğu zaman en pahalısı kapanış öncesi koşuldur: erişim envanterinin çıkarılması, kritik personelle güncel kapsamlı sözleşmelerin yeniden imzalanması ve çıkış kayıtlarının tamamlanması bir kapanış şartına dönüştüğünde, işlem takvimi bir bütçe döngüsü kadar uzayabilir ve bu gecikmenin kendisi pazarlık gücünü karşı tarafa kaydırır.

Dördüncü kanal daha az görünür fakat daha kalıcıdır. Bilgi güvenliği ve gizlilik rejiminin belgelenemediği şirketlerde, kurumsal müşterilerin tedarikçi denetimlerinden geçme kapasitesi sınırlanır; büyük alıcıların satın alma süreçlerinde gizlilik ve veri işleme taahhüdü artık sözleşmenin standart eki hâline gelmiştir ve bu eki karşılayamayan tedarikçi, fiyattan bağımsız olarak listeden düşer. Dolayısıyla eksik gizlilik mimarisi yalnızca bir hukuki risk kalemi değil, aynı zamanda büyüme senaryosundaki üst segment müşteri kazanımını daraltan bir tavan üretir; yatırımcının projeksiyonda gördüğü müşteri karması ile şirketin fiilen erişebileceği müşteri karması arasındaki fark burada oluşur.

Sahiplik boyutu, bu tablonun en sık boş bırakılan hanesidir. Gizlilik yükümlülüğü tipik olarak üç fonksiyon arasında bölünmüş hâlde durur — sözleşme metni hukuk ya da dış avukatta, imza toplama insan kaynaklarında, erişim yetkisi bilgi işlemde — ve bu üç hattı birleştiren, kapsamın güncelliğinden ve ihlal hâlinde ne yapılacağından sorumlu tek bir isim bulunmaz. Sahipsizliğin pratik sonucu, bir ihlal şüphesi doğduğunda kararın kaçınılmaz biçimde kurucuya taşınmasıdır: kimin uyarılacağı, hangi hukuki adımın atılacağı, müşteriye bildirim yapılıp yapılmayacağı sorularının tamamı tek bir masada toplanır. İnceleme yürüten taraf bu örüntüyü gördüğünde, bunu bir gizlilik meselesi olarak değil, kurucu bağımlılığının bir kanıtı olarak kaydeder ve iskonto tartışması gizlilikten çok yönetişim başlığı altında yürür.

Ölçüm boyutunda yapılan yaygın hata, gizliliğin ihlal sayısıyla ölçülmeye çalışılmasıdır; sıfır ihlal, hem iyi bir rejimin hem de hiç bakılmamış bir alanın üreteceği aynı sonuçtur ve dolayısıyla bilgi taşımaz. Anlamlı ölçüm, sonucu değil sistemin çalışıp çalışmadığını izleyen büyüklüklerden kurulur: kritik veri setlerine erişimi bulunan kişi sayısının dönemsel seyri, erişim envanterinin en son ne zaman güncellendiği, ayrılan personelde çıkış kontrol listesinin kapanma oranı, güncel kapsamlı sözleşmesi bulunan çalışan yüzdesi, üçüncü taraflarla imzalanmış gizlilik anlaşmalarının aktif tedarikçi listesiyle örtüşme derecesi. Bu göstergelerin herhangi bir yönetim raporunda düzenli görünmesi, tek başına, incelemeye giren tarafın soru setini kısaltır.

BEIREK'in bu alandaki müdahalesi, sözleşme şablonunu yenilemekle başlamaz; envanterle başlar. İlk adımda şirketin fiilen ürettiği bilgi sınıflandırılır — müşteri ve fiyat verisi, tedarikçi maliyet kırılımı, teknik dosya ve formülasyon, kaynak kod ve algoritma, insan kaynağı verisi — ve her sınıf için hangi sistemde durduğu, kimin eriştiği ve erişimin hangi yetkiyle verildiği tek bir tabloda eşleştirilir. Bu eşleşme çıkarıldığında, sözleşme kapsamının nerede eksik kaldığı bir yorum meselesi olmaktan çıkar; şablon, envanterin gösterdiği boşluğa göre yeniden yazılır ve kritik erişimi bulunan roller için ayrı bir kapsam katmanı tanımlanır.

İkinci adımda döngü kurulur ve bir ritme bağlanır. Giriş tarafında erişim yetkisinin verilmesi ile ilgili kapsam maddesinin imzalanması aynı kayda bağlanır, böylece yetki sözleşmesiz açılamaz; çıkış tarafında ise ayrılış kontrol listesi, envanterdeki her erişim kalemi tek tek kapatılmadan kapanmayacak biçimde tasarlanır ve kapanma kaydı saklanır. Envanterin yılda iki kez, kritik roller için ise her rol değişikliğinde gözden geçirilmesi bir takvim maddesine dönüştürülür ve bu gözden geçirmenin sahibi olarak kurucu dışında tek bir isim atanır — yetkisi, ihlal şüphesinde ilk kararı verecek düzeyde tanımlanır. Yatırımcının aradığı süreklilik kanıtı, tam olarak bu iki döngünün kurucu masasından geçmeden kapanabildiğinin gösterilmesidir.

Bu yapının kurulması, çoğu şirketin sandığından daha küçük bir çabayla tamamlanır; asıl zorluk teknik değil, önceliktedir. Gizlilik rejimi, bir ihlal yaşanana ya da bir işlem masasına oturulana kadar hiçbir gün acil görünmeyen, buna karşılık her ikisi gerçekleştiğinde geriye dönük olarak kurulması imkânsız hâle gelen ender kurumsal katmanlardan biridir; çünkü geçmişte kimin neye eriştiğini, bugün elde bulunan kayıtlarla yeniden inşa etmenin yolu yoktur. Kapanış öncesi koşul listesine giren bir gizlilik başlığı, işlem baskısı altında ve karşı tarafın belirlediği kapsamla kurulur, dolayısıyla hem daha pahalı hem de şirketin lehine olmayan bir biçim alır.

Nihayetinde inceleme masasının gizlilik başlığında aradığı şey, şirketin bilgiyi koruma niyeti değil, koruma kapasitesinin kişiden bağımsız hâle gelip gelmediğidir. İmzalı bir taahhütname niyeti gösterir; erişim envanteri ile çıkış kaydının birbirine bağlandığı işleyen bir döngü ise kapasiteyi gösterir, ve bu iki kanıt arasındaki fark, değerlemede garanti kapsamı, escrow oranı ve kapanış takvimi üzerinden ölçülebilir bir büyüklüğe dönüşür. Sorulması gereken soru, gizlilik sözleşmelerinin imzalanmış olup olmadığı değil; bugün şirketten ayrılacak bir kilit çalışanın erişimlerinin, kurucuya hiç sorulmadan, kaç gün içinde ve hangi kayıtla kapatılabileceğidir.