Onur Çubukçu Hukuk

Gelişen kurumsal iletişim ağları ve uzaktan çalışma modelleri, şirketlerin karar alma mekanizmalarını dijital platformlara taşırken, siber suç şebekelerine de şirketlerin hiyerarşik yapılarını sömürme imkanı tanımıştır. Basit bir operasyonel hata gibi görünen ancak arkasında aylarca süren istihbarat ve sosyal mühendislik çalışmaları barındıran bu suç türü, Türk Ceza Kanunu (TCK) ve ticaret hukuku düzleminde çok boyutlu bir hukuki mücadeleyi zorunlu kılmaktadır. 1. CEO Fraud Nedir? Kurumsal Yapının Manipülasyonu CEO Fraud, siber korsanların bir şirketin üst düzey yöneticisinin (CEO, CFO veya Genel Müdür) e-posta hesabını ele geçirmesi veya bu hesabı aslına çok yakın bir alan adıyla (domain) taklit etmesiyle başlar. Failler, şirketin muhasebe veya finans departmanında çalışan personeli hedef alarak; acil, gizli ve çok yüksek meblağlı bir para transferi talimatı gönderir. Genellikle “çok gizli bir şirket satın alması”, “aciliyeti olan bir dış ticaret ödemesi” veya “vergi dairesine yapılacak ivedi bir transfer” senaryosu kurgulanır. Bu eylem, Türk Ceza Kanunu’nun 158. maddesinin birinci fıkrasının (f) bendi uyarınca “Bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık” suçunun tipik ve en organize halini oluşturur. Suçlular, şirketin kendi bilişim altyapısını, kurumsal dilini ve iç hiyerarşisini mağdur şirkete karşı bir silah olarak kullanmaktadır. 2. Hukuki Açıdan “Aldatma Kabiliyeti” ve Kusur Dağılımı CEO Fraud vakaları adli makamlara yansıdığında, en büyük hukuki tartışma “Hile” unsurunun niteliği ve şirket personelinin müterafık (ortak) kusuru üzerinde yürütülmektedir. Türk Borçlar Kanunu ve Yargıtay’ın yerleşik içtihatları çerçevesinde, somut uyuşmazlığın çözümü için şu soruların cevabı aranır: Şirket personeli asgari özen yükümlülüğünü yerine getirseydi bu dolandırıcılığı fark edebilir miydi? Failin kurguladığı dijital senaryo aldatma kabiliyetine (iğfal kabiliyeti) haiz midir? Yargıtay’ın güncel eğilimlerine göre; failin sadece bir e-posta atarak para istemesi basit bir yalan olarak görülebilir. Ancak siber korsanların; Şirketin geçmiş e-posta yazışmalarını (gerçek faturalar, sözleşme taslakları vb.) geriye dönük inceleyerek kurumsal üslubu birebir taklit etmesi, E-posta adresinde sadece tek bir harf değiştirerek (Örn: onur@onurcubukcu.av.tr yerine onur@onurcubukcuu.av.tr) kurumsal körlükten faydalanması, Ödeme talimatını şirketin CFO’sunun izinli veya seyahatte olduğu bir güne denk getirecek şekilde istihbarat çalışması yapması, durumunda, ortada basit bir yalan değil, “yoğun ve nitelikli bir hileli kurgu” olduğu kabul edilir. Bu tür durumlarda, personelin talimatı yerine getirmesi tam bir irade sakatlanması olarak nitelendirilir ve suçun TCK m. 158/1-f kapsamındaki unsurları eksiksiz oluşur. 3. Şirket Yönetim Kurulunun ve Müdürlerin Hukuki Sorumluluğu Olayın ceza hukuku boyutu siber suçluların takibiyle ilerlerken, şirket içinde uğranılan devasa maddi zararın faturası ticaret hukuku düzleminde yeni bir kriz doğurur. Türk Ticaret Kanunu (TTK) m. 369 uyarınca, anonim şirketlerde yönetim kurulu üyeleri, limited şirketlerde ise şirket müdürleri, görevlerini yerine getirirken “basiretli bir yöneticinin özen yükümlülüğü” ile hareket etmek zorundadır. Şirket siber güvenliğinin sağlanmaması, finansal ödeme protokollerinin (çift onay mekanizmaları, ıslak imzalı teyit süreçleri) yazılı kural haline getirilmemesi ve personelin siber hijyen eğitimi almaması gibi eksiklikler, yönetim organlarının “gözetim yükümlülüğünü” ihlal ettiği şeklinde yorumlanabilir. Dolayısıyla, CEO Fraud neticesinde şirketin uğradığı zarardan dolayı, ortaklar veya şirket alacaklıları tarafından yönetim kurulu üyelerine karşı TTK uyarınca hukuki sorumluluk (tazminat) davası açılması riski mevcuttur. Bu durum, siber tehditlerin yönetim kurulu seviyesinde hukuki bir sorumluluk doğurduğunun en net göstergesidir. 4. Önleyici Hukuk Kalkanı: Şirketler Kendini Nasıl Korumalı? CEO Fraud ve benzeri bilişim dolandırıcılıkları gerçekleştikten sonra paranın blokzincir ağlarında veya yurt dışı banka hesaplarında izini sürmek son derece meşakkatli bir süreçtir. Bu nedenle kurumsal şirketlerin siber kabuslarla karşılaşmaması için “Önleyici Hukuk” mekanizmalarını kurumsal kültür haline getirmesi gerekir. A. Çok Aşamalı Finans Protokollerinin Hukukileştirilmesi Şirket içi ödeme yönergeleri ve imza sirküleri dijital çağa uygun olarak revize edilmelidir. Belli bir meblağın üzerindeki transferlerde, sadece e-posta talimatı ile işlem yapılması şirket içi yönetmeliklerle kesin olarak yasaklanmalıdır. E-posta talimatının yanı sıra, önceden belirlenmiş güvenli hatlar üzerinden sesli teyit (callback) veya çift aşamalı (biyometrik/mobil şifreli) onay mekanizmaları yasal prosedür olarak şirketin ana tüzüğüne veya iç yönergesine işlenmelidir. B. İş Sözleşmeleri ve Siber Hijyen Yönetmelikleri Çalışanların siber güvenlik zafiyetleri yaratması, kurumsal bilgileri kişisel cihazlarda muhafaza etmesi veya şüpheli e-postalara karşı duyarsız kalması durumunda doğacak sorumluluklar, İş Kanunu çerçevesinde iş sözleşmelerine ve ek disiplin yönetmeliklerine eklenmelidir. Personele düzenli olarak “Sosyal Mühendislik ve Oltalama” eğitimleri verilmeli, bu eğitimler hukuki birer iş güvenliği/özen yükümlülüğü belgesi olarak özlük dosyalarında saklanmalıdır. C. Tedarikçi Sözleşmelerinde Siber Güvenlik Klozları CEO Fraud suçunda sadece sizin sistemleriniz değil, iş yaptığınız tedarikçilerin e-posta sistemlerinin hacklenmesi de sıklıkla karşılaşılan bir yöntemdir. Tedarikçinin hacklenen e-posta adresinden size gönderilen sahte bir IBAN’a ödeme yapılması riskine karşı, ticari sözleşmelere “Bilişim Güvenliği ve Hesap Değişikliği Bildirim Protokolleri” eklenmelidir. Bu klozlar uyarınca, banka hesap değişikliklerinin sadece e-posta ile yapılamayacağı, noter onaylı imza sirküleri ve resmi yazı ile bildirilmeyen hesap değişikliklerinden doğan zararlardan bildirimde bulunan tarafın sorumlu olacağı açıkça kararlaştırılmalıdır. Sonuç Siber evrende işlenen suçlar artık sadece bireysel birer mağduriyet olmaktan çıkmış, kurumsal şirketlerin ticari varlığını, itibarını ve yönetim kurullarının hukuki geleceğini tehdit eden makro bir risk haline gelmiştir. CEO Fraud, teknolojinin karanlık yüzünün kurumsal hiyerarşiyle birleştiği nokta olup, bu tuzağı bozmanın yolu yalnızca antivirüs programları kullanmak değil, şirketi sarsılmaz bir önleyici hukuk kalkanı ile çevrelemektir. Dijital dünyada haklar ve sermaye, sadece teknik olarak korunanlar değil, hukuki altyapısını dijital risk paradigmalarına göre inşa eden basiretli şirketler nezdinde güvendedir.

Küreselleşmenin, dijital ticaret ağlarının ve e-ihracat modellerinin ulaştığı muazzam boyut, günümüzde işletmeler için yerel pazarın sınırlarını birer prangaya dönüştürmüştür. Artık ticari sürdürülebilirlik ve küresel rekabet gücü, mal veya hizmetlerin sınır ötesine yalnızca fiziki olarak taşınmasından ziyade, bu ürünlerin uluslararası birer marka olarak konumlandırılmasıyla mümkündür. Uluslararası piyasada markalaşma süreci, dış ticaretin, lojistiğin ve pazarlama stratejilerinin bir parçası gibi görünse de, özünde çok boyutlu, riskli ve dinamik bir hukuki koruma mimarisidir. Hukuki temelleri stratejik adımlarla senkronize edilmemiş bir uluslararası markalaşma süreci, ne kadar büyük bütçelerle desteklenirse desteklensin, telafisi imkansız hak kayıplarına ve çok uluslu tazminat davalarına davetiye çıkarmaktadır. Bu makalemizde, küresel pazarda varlık göstermek isteyen vizyoner işletmeler için uluslararası markalaşma sürecini dış ticaret dinamikleri ve hukuk perspektifinden, güncel yargı eğilimleri ışığında ele alacağız. 1. Markanın Sınır Ötesindeki Hukuki Kalkanı: “Ülkesellik” İlkesi Dış ticaret literatüründe markalaşma; pazar analizi, hedef kitle tespiti ve marka algısı oluşturma süreçleriyle tanımlanır. Ancak hukuk teorisinde bir markanın doğumu, korunması ve üçüncü kişilere karşı ileri sürülebilmesi, “Ülkesellik” (Territoriality) ilkesine tabidir. Bir markanın Türkiye Cumhuriyeti sınırları içinde, Türk Patent ve Marka Kurumu (TÜRKPATENT) nezdinde tescil edilmiş olması, 6769 sayılı Sınai Mülkiyet Kanunu (SMK) uyarınca kural olarak o markaya yalnızca Türkiye sınırları içinde mutlak bir koruma sağlar. İşletmelerin küresel pazara açılırken düştüğü en büyük yanılgı, yerel pazarda tescilli olan veya uzun yıllardır bilinen bir markanın, ihraç edildiği ülkede de kendiliğinden koruma altında olacağı düşüncesidir. Hukuki gerçeklik ise tamamen farklıdır: Türkiye’de milyonlarca liralık yatırımla büyütülen, ciddi bir reklam ve Ar-Ge bütçesi harcanan bir marka, hedef pazardaki (örneğin Almanya, ABD veya Çin) bir üçüncü kişi tarafından o ülkede tescil ettirilmişse, Türk firması kendi ürettiği orijinal malı o ülkeye soktuğu an “marka hakkına tecavüz” faili konumuna düşebilir. Bu durum, gümrüklerde mallara el konulmasından, uluslararası tahkim süreçlerine ve ağır tazminat yaptırımlarına kadar uzanan bir ticari kriz zincirini tetikleyebilir. 2. Küresel Tescil Stratejileri ve Uluslararası Mevzuat Mekanizmaları Uluslararası piyasada güvenle markalaşmanın ve pazar payını korumanın yegane yolu, hedef pazarlarda hukuki koruma kalkanını eş zamanlı olarak devreye sokmaktır. Her ülkede tek tek yerel marka ofisleri ve yerel vekiller aracılığıyla başvuru yapmak hem maliyet yönetimi açısından sürdürülemez hem de usulen son derece yorucu bir süreçtir. Bu noktada uluslararası hukuk, işletmelerin önünü açan ve tescil süreçlerini tek bir merkezden yönetmeyi sağlayan küresel entegrasyon mekanizmaları sunmaktadır: A. Madrid Sistemi (Madrid Protokolü) Dünya Fikri Mülkiyet Örgütü (WIPO) tarafından yönetilen Madrid Sistemi, uluslararası markalaşmanın adeta anayasası niteliğindedir. Türkiye’nin de taraf olduğu bu sistem sayesinde işletmeler, TÜRKPATENT üzerinden yapacakları tek bir başvuru, tek bir ücret ve tek bir dil (İngilizce, Fransızca veya İspanyolca) ile protokol kapsamındaki 130’u aşkın ülkede markalarının tescil edilmesini talep edebilirler. Madrid Sistemi, ilk tescil maliyetlerini minimize etmesinin yanı sıra, markanın gelecekteki yönetimini (adres değişikliği, yenileme, unvan değişikliği veya devir gibi) tek bir sicil üzerinden yapma konforu ve hukuki güvencesi sağlar. B. Avrupa Birliği Markası (EUTM) ve Bölgesel Sistemler Eğer bir işletmenin hedef pazarı doğrudan Avrupa Birliği blokunu kapsıyorsa, Alicante’de bulunan Avrupa Birliği Fikri Mülkiyet Ofisi’ne (EUIPO) yapılacak tek bir başvuru ile 27 üye ülkenin tamamında geçerli tek bir “Avrupa Birliği Markası” elde etmek mümkündür. Bölgesel tescil sistemleri, o coğrafyadaki ticari entegrasyonla tam bir hukuki uyum sağladığından, Avrupa pazarında markalaşma adımları atan firmalar için en efektif hukuki enstrümanlardan biridir. 3. Uluslararası Marka Hukukunda İki Temel Doktrin: “İlk Tescil Eden mi, İlk Kullanan mı?” Uluslararası pazara açılma ve markalaşma stratejisi belirlenirken, hedef ülkenin hukuk sisteminin hangi temel doktrini benimsediğini bilmek, yönetimsel kararların merkezinde yer almalıdır. Dünya üzerindeki hukuk sistemleri bu konuda iki temel ekole ayrılmaktadır: First-to-File (İlk Tescil Eden) Sistemi: Çin, Avrupa Birliği ülkelerinin büyük kısmı ve Türkiye de dahil olmak üzere pek çok kıta Avrupası hukuk sisteminde marka hakkı, markayı piyasada ilk kullanana değil, resmi kuruma başvurup ilk tescil ettirene aittir. Bu sistemin geçerli olduğu ülkelerde kural olarak, markanızı o pazarda fiilen yıllardır kullanıyor olsanız dahi,  bir üçüncü kişi sizden önce davranıp tescil almışsa, o ülkede markanız üzerinde hak iddia etmeniz son derece güçtür. First-to-Use (İlk Kullanan) Sistemi: ABD, İngiltere, Kanada ve Avustralya gibi Anglo-Sakson (Common Law) hukuk sistemini benimseyen ülkelerde ise marka hakkı, tescilden ziyade pazardaki fiili kullanıma ve önceliğe dayanır. Bu ülkelerde markayı ilk tescil ettiren olsanız bile, başka bir firma o markayı ticari hayatta sizden önce kullanmaya başladığını ve pazar nezdinde bir ayırt edicilik kazandığını ispat ederse, tesciliniz mahkeme kararıyla hükümsüz kılınabilir. Bu nedenle, dış ticaret stratejisi oluşturulurken, hedef ülkenin mevzuat altyapısı uzman bir hukukçu tarafından analiz edilmeli ve adımlar o ülkenin hukuk realitesine göre atılmalıdır. 4. Küresel Pazarda Marka Korsanlığı ve “Kötü Niyetli” Tescillerle Mücadele Uluslararası piyasada markalaşmanın en karanlık ve ticari hayatı en çok tehdit eden yönlerinden biri de “Marka Korsanlığı” (Trademark Squatting) eylemleridir. Profesyonel siber fırsatçılar veya kötü niyetli yerel firmalar, gelişmekte olan veya kendi ülkelerine ihraç potansiyeli olan markaları henüz o ülkeye giriş yapmadan dijital mecralardan tespit ederek kendi adlarına tescil ettirmektedir. Buradaki asıl amaç, marka sahibi asıl firmaya bu tescili fahiş fiyatlarla satmak (marka şantajı) veya firmanın o pazara girişini engelleyerek haksız rekabet yaratmaktır. Böyle bir durumla karşılaşıldığında, uluslararası hukukun sunduğu üst düzey koruma mekanizmaları devreye girer. Paris Sözleşmesi’nin 1. mükerrer 6. maddesinde düzenlenen “Tanınmış Marka” (Well-Known Trademark) koruması, markanız hedef ülkede tescilli olmasa bile, küresel çapta ulaştığı bilinirlik seviyesi sayesinde kötü niyetli tescillerin engellenmesine veya iptal edilmesine imkan tanır. Ayrıca hem Türk yargı pratiğinde hem de uluslararası fikri mülkiyet mahkemelerinde, tescilin dürüstlük kuralına aykırı ve sırf asıl marka sahibine zarar verme veya haksız menfaat sağlama kastıyla (kötü niyetle) yapıldığının ispatlanması durumunda, hükümsüzlük davaları ile bu haksız tesciller ortadan kaldırılabilmektedir. Ancak bu davaların uzun, maliyetli ve yıpratıcı süreçler olduğu unutulmamalı; mümkün olduğu ölçüde “önleyici hukuk” yaklaşımı sergilenerek pazar girişinden önce tescil yoluna gidilmelidir. Sonuç: Entegre Bir Küresel Vizyon Uluslararası piyasada markalaşmak, sadece sınır ötesine mal satmak, lojistik kanalları yönetmek veya yaratıcı reklam kampanyaları düzenlemekten ibaret değildir. Küresel arenada kalıcı, taklit edilemez ve prestijli bir marka yaratmanın sırrı, ticari vizyon ile hukuki koruma kalkanını eş güdümlü olarak yönetebilmekte yatmaktadır. Doğru kurgulanmış bir uluslararası marka tescil stratejisi, işletmenin mülkiyet hakkını koruma altına alırken, markanın şirketin bilançosundaki “gayrimaddi duran varlık” değerini artırır ve küresel yatırımcılar ile finans kuruluşları nezdinde güven tesis eder. Sınırlar ötesinde bir prestij abidesi inşa etmek ve küresel pazarda kalıcı olmak