EPDK’ya İhbar veya Şikâyet Yapan Kişinin Kimliği Gizli Tutulur mu? | Yönetmelik m.12/1 (2027)
Kısa ve net cevap: Evet. Yönetmelik m.12/1, piyasa bozucu davranışlara ilişkin gözetim ve denetimin re’sen, ihbar veya şikâyet üzerine yapılabileceğini düzenlerken ihbar veya şikâyette bulunan kişinin kimliğinin gizli tutulacağını da hükme bağlar. Bu gizlilik, piyasa bütünlüğüne ilişkin bilgilerin EPDK’ya aktarılmasını teşvik eder ve başvurucunun kimliğinin denetlenen kişi ya da piyasaya gereksiz biçimde açıklanmasını önler. Bununla birlikte gizlilik, gerçeğe aykırı iddia üretme hakkı vermez; EPDK başvurunun içeriğini bağımsız delillerle inceler, ihbar/şikâyet tek başına ihlal tespiti sayılmaz.
- Kimlik gizliliğinin hukuki dayanağı
- İhbar ve şikâyet kimleri kapsar?
- Gizlilik neyi korur?
- Başvurunun içeriği de tamamen gizli mi?
- Denetlenen şirket başvurucunun adını öğrenebilir mi?
- Anonim başvuruyla fark
- Çalışan ihbarı ve kurum içi süreç
- Misilleme riskinin yönetimi
- Kötü niyetli veya yanlış ihbar
- EPDK’nın bağımsız doğrulaması
- Kişisel veri ve dosya güvenliği
- Şirketlerin uyum sistemi
Yürürlük tarihi ve resmî kaynak
Enerji Piyasalarında ve Çevresel Piyasalarda Şeffaflığa ve Piyasa Bozucu Davranışlara İlişkin Yönetmelik 14 Şubat 2026 tarihli ve 33168 sayılı Resmî Gazete’de yayımlandı. 23 Mayıs 2026 tarihli değişiklikle yürürlük tarihi 1 Ocak 2027 olarak değiştirildi. m.12/1’deki ihbar/şikâyet ve kimlik gizliliği hükmü bu tarihten itibaren uygulanacaktır.
Resmî metin için 14 Şubat 2026 tarihli Resmî Gazete, güncel mevzuat için EPDK Yönetmelik sayfası ve yürürlük değişikliği için 23 Mayıs 2026 tarihli Resmî Gazete esas alınmalıdır.
Kimlik gizliliği neden önemlidir?
Piyasa bozucu davranışlar çoğu zaman şirket içindeki çalışan, işlem yetkilisi, danışman veya başka yakın kişi tarafından erken fark edilir. Bu kişi kimliğinin rakibe, işverene veya ilgili piyasa aktörüne açıklanacağını düşünürse ihbar etmekten çekinebilir. Kimlik gizliliği, düzenleyici gözetimin bilgi kaynaklarını korur.
Aynı zamanda gizlilik, denetimin kişiselleşmesini önler. EPDK’nın odak noktası “kim söyledi?” değil “iddia somut verilerle doğru mu?” sorusudur. Bu nedenle başvurucunun kimliği ile piyasa davranışının maddi incelemesi birbirinden ayrılır.
Hangi başvurucular gizlilik kapsamındadır?
m.12/1 ihbar veya şikâyette bulunan kişinin kimliğinin gizli tutulacağını genel biçimde düzenler. Hüküm yalnız şirket çalışanını veya piyasa katılımcısını saymaz. Gerçek kişi başvurucunun kimliği, başvurunun niteliğine göre gizlilik korumasından yararlanır.
Tüzel kişi adına yapılan başvurularda dosyanın temsil ve iletişim bilgileri ayrıca mevzuat çerçevesinde ele alınır. Yönetmelikteki açık gizlilik ifadesi başvurucunun kimliğinin korunmasına yöneliktir.
Kimlik gizli tutulunca EPDK başvuruyu nasıl inceler?
EPDK ihbar veya şikâyetteki olguları kendi denetim yetkileriyle doğrular. m.12/2 uyarınca elektronik bilgi-belge isteyebilir, sistemlere erişim talep edebilir, işlem ve hesapları denetleyebilir, yazılı/sözlü bilgi alabilir ve gerektiğinde yerinde inceleme yapabilir.
Bu nedenle denetimin sonucu başvurucunun iddiasına körü körüne bağlı değildir. Piyasa, sistem ve şirket verileri bağımsız olarak değerlendirilir.
Denetlenen şirket başvurucunun kimliğini talep edebilir mi?
m.12/1’in açık hükmü kimliğin gizli tutulmasıdır. Denetlenen şirket savunmasını başvurucunun kimliği yerine EPDK’nın yönelttiği somut iddia, veri ve sorular üzerinden yapmalıdır. “Bizi kim şikâyet etti?” sorusu denetimin esasına ilişkin değildir.
Şirket, başvurucunun kimliğini araştırmaya çalışmak yerine işlem verisi, dâhilî bilgi kayıtları, kullanıcı logları ve ekonomik gerekçe ile somut olgulara cevap vermelidir.
Başvurunun içeriği de bütünüyle gizli midir?
Kimliğin gizli tutulması ile inceleme konusunun şirkete bildirilmesi farklı meselelerdir. EPDK denetimin yürütülmesi ve savunmanın alınması için olayla ilgili sorular, işlem tarihleri veya iddialar hakkında şirkete bilgi yöneltebilir. Ancak bunu yaparken başvurucunun kimliğini koruyan yöntem kullanılmalıdır.
Başvurucuyu doğrudan belli edecek gereksiz ayrıntıların paylaşılmaması gizlilik amacına uygundur. Somut uygulama Kurumun usul ve denetim ihtiyacına göre yürütülür.
Anonim ihbar ile gizli kimlik aynı şey mi?
Hayır. Anonim ihbarda başvurucunun kimliği baştan hiç verilmemiş olabilir. Gizli kimlikli başvuruda ise EPDK başvurucuyu biliyor fakat kimliği üçüncü kişilere açıklamıyor olabilir. m.12/1 özellikle kimliğin gizli tutulmasını düzenler.
Anonim başvurunun değerlendirilmesi, içerdiği somut veri ve doğrulanabilirlik derecesine bağlıdır. Kimlik bilinmese bile işlem numarası, tarih, hesap örüntüsü veya belge gibi somut unsurlar denetim açısından değer taşıyabilir.
Çalışan şirket içinden ihbar ederse ne olur?
Çalışan EPDK’ya ihbar yapabilir; Kurum nezdinde kimlik gizliliği hükmü uygulanır. Şirketin ayrıca kendi m.10/e önleyici tedbirleri kapsamında güvenli iç ihbar/uyum kanalı kurması da güçlü bir uygulamadır.
İç kanalda bildirilen şüphe, m.10/c’deki piyasa katılımcısının EPDK ve ilgili piyasa işletmecisine ivedilikle bildirim yükümlülüğünü tetikleyebilir. Şirket çalışanın kimliğini hedef almak yerine iddianın maddi içeriğini incelemelidir.
Şirket içi ihbar kanalında gizlilik zorunlu mu?
Yönetmelik m.12/1 doğrudan EPDK’ya yapılan ihbar/şikâyette kimlik gizliliğini düzenler. Şirket içi kanal için aynı maddede ayrıntılı prosedür yazılmaz. Ancak m.10/e kapsamındaki etkili önleyici sistem bakımından güvenli ve sınırlı erişimli ihbar kanalı kurulması güçlü uyum aracıdır.
Şirket içi ihbar verisine yalnız incelemeyle görevli kişiler erişmeli, gereksiz yayılma engellenmeli ve misilleme riskini azaltan politika oluşturulmalıdır.
Misilleme yasağı bu Yönetmelikte açıkça düzenleniyor mu?
Bu Yönetmelikte m.12/1 başvurucunun kimlik gizliliğini açıkça düzenler; ayrıca “misilleme yasağı” başlığıyla ayrıntılı ayrı bir madde bulunmaz. Bu nedenle mevzuatta olmayan özel hak veya yaptırım uydurulmamalıdır.
Buna karşılık şirketin çalışanını sırf mevzuata uygun bildirim yaptığı için hedef alması başka iş hukuku, kişisel veri, sözleşme ve uyum meseleleri doğurabilir. Bu değerlendirme somut olayın diğer mevzuatıyla yapılır.
Gizlilik şirketin savunma hakkını ortadan kaldırır mı?
Hayır. EPDK denetlenen şirketten olay hakkında bilgi-belge isteyebilir ve açıklamasını alabilir. Şirket somut işlem, hesap, veri ve iddialara cevap verir. Başvurucunun ismini bilmek savunmanın zorunlu unsuru değildir.
Kurum yaptırım kararı verirken ilgili mevzuat ve idari usul ilkeleri çerçevesinde somut delile dayanmalıdır. İhbar yalnız başlangıç bilgisidir; doğrulama gerekir.
Kötü niyetli ihbar yapılırsa ne olur?
Gizlilik, gerçeğe aykırı iddia üretme serbestisi vermez. EPDK iddiayı delillerle doğrular; asılsız ihbar piyasa katılımcısına otomatik yaptırım doğurmaz. İddianın yanlış olduğu tespit edilirse denetim sonucu buna göre şekillenir.
Başvurucunun başka hukuki sorumluluğu bulunup bulunmadığı ise somut davranış ve diğer mevzuata göre ayrıca değerlendirilir. m.12/1’in amacı doğru bilgi akışını korumaktır.
Başvurucu belge sunarsa belge nasıl değerlendirilir?
Belgenin kaynağı, bütünlüğü, tarihi ve olayla ilgisi incelenir. EPDK belgeyi şirket ve piyasa verileriyle karşılaştırabilir. Ekran görüntüsü, e-posta, işlem listesi veya başka dijital veri tek başına yeterli olmayabilir; orijinallik ve bağlam önemlidir.
Şirket de kendisine yöneltilen soruya karşı ham kayıtlarını sunarak olayın gerçek zaman çizelgesini gösterebilir.
Kişisel veri güvenliği nasıl sağlanır?
Başvurucunun kimlik ve iletişim bilgileri erişim kontrollü tutulmalı, dosyaya erişim görev ihtiyacına göre sınırlandırılmalıdır. Elektronik sistemlerde erişim logları ve güvenli saklama uygulanmalıdır.
EPDK’nın kendi veri yönetim süreçleri ilgili kamu mevzuatı ve bilgi güvenliği kurallarıyla birlikte yürür. Şirketlerin ise Kuruma ilettiği belgelerde gereksiz başvurucu tahmini veya kişisel veri paylaşımından kaçınması gerekir.
Başvurucu dosyanın sonucunu öğrenebilir mi?
Bu Yönetmelik m.12/1 içinde başvurucunun denetim dosyasına sınırsız erişim veya her aşamada bilgi alma usulünü ayrıntılı düzenlemez. EPDK’nın ilgili başvuru ve bilgi edinme usulleri ayrıca uygulanır.
Bu nedenle m.12/1’in açık ve kesin sonucu kimliğin gizli tutulmasıdır; bunun ötesinde dosya erişimi konusunda somut usul kuralları kontrol edilmelidir.
m.13/5 yayımlanan yaptırım kararlarında başvurucu adı yer alır mı?
m.13/5 Kurul tarafından verilen yaptırım kararlarının EPDK internet sitesinde yayımlanmasını düzenler. Bu hüküm başvurucunun kimlik gizliliğini kaldırmaz. Yayımlanan kararın içeriği düzenleyici karar ve yaptırım bilgisine ilişkindir; ihbar/şikâyet eden kişinin kimliği m.12/1 koruması altındadır.
Yaptırım kararlarının yayımlanmasını ayrı içerikte m.13/5 kapsamında incelemek gerekir.
Şirket m.10/c öz bildirimi yaparsa kimlik gizliliği nasıl işler?
m.10/c’de piyasa katılımcısı tüzel kişi olarak EPDK ve ilgili piyasa işletmecisini bilgilendirir. Bu, m.12/1’deki bireysel ihbar/şikâyet kimlik gizliliğinden farklı kurumsal bildirim mekanizmasıdır.
Şirket içindeki belirli çalışanın ayrıca ihbar yapmış olması hâlinde o kişinin kimliği m.12/1 kapsamında gizli tutulur.
Şirketler için iç ihbar kontrol listesi
- Çalışanların piyasa bozucu davranış şüphesini güvenli kanaldan bildirebilmesini sağlayın.
- İhbar verisine erişimi sınırlı tutun.
- Başvurucunun kimliği yerine maddi iddiaya odaklanın.
- İddia geldiğinde işlem ve sistem loglarını koruyun.
- Dâhilî bilgi erişimi ve emir zamanını karşılaştırın.
- Algoritma ve ilişkili hesap verisini inceleyin.
- Makul şüphe oluşursa m.10/c dış bildirimini değerlendirin.
- İhbarın doğruluğunu bağımsız veriyle teyit edin.
- Gereksiz kişisel veri yayımını önleyin.
- İnceleme ve düzeltici faaliyetleri zaman damgalı kaydedin.
Sık Sorulan Sorular
EPDK’ya şikâyet eden kişinin adı açıklanır mı?
m.12/1’e göre ihbar veya şikâyette bulunan kişinin kimliği gizli tutulur.
Anonim ihbarla gizli kimlik aynı mı?
Hayır. Anonim ihbarda kimlik bilinmeyebilir; gizli başvuruda EPDK kimliği bilir fakat açıklamaz.
Şirket ihbarcının adını EPDK’dan isteyebilir mi?
m.12/1 kimliğin gizli tutulmasını düzenler.
Şikâyet gelmesi şirketin ihlal yaptığı anlamına mı gelir?
Hayır. EPDK somut delilleri bağımsız olarak inceler.
Yanlış ihbar otomatik ceza doğurur mu?
Hayır. İddia doğrulanmadan piyasa katılımcısına yaptırım uygulanmaz.
Çalışan doğrudan EPDK’ya ihbar yapabilir mi?
m.12/1 ihbar üzerine denetimi mümkün kılar; başvurucunun kimliği gizli tutulur.
Şirket içi ihbar m.10/c bildirimi doğurabilir mi?
Makul bilgi veya şüphe oluşursa evet, şirketin dış bildirim yükümlülüğü ayrıca değerlendirilir.
İhbarcı kimliği yaptırım kararında yayımlanır mı?
m.12/1’deki gizlilik hükmü devam eder.
EPDK başvuruyu hangi yetkilerle doğrular?
m.12/2 kapsamındaki bilgi-belge, sistem, işlem/hesap ve yerinde inceleme yetkileriyle.
Yönetmelik ne zaman yürürlüğe girer?
1 Ocak 2027 tarihinde.
Sonuç
m.12/1, EPDK’ya ihbar veya şikâyet yoluyla bilgi veren kişinin kimliğini koruyan açık bir gizlilik kuralı getirir. Bu koruma piyasa bütünlüğüne ilişkin bilgilerin düzenleyici otoriteye ulaşmasını kolaylaştırır; ancak başvurunun doğruluğu yine bağımsız delillerle araştırılır. Şirketler denetimde ihbarcının kimliğine değil işlem, hesap, dâhilî bilgi, algoritma ve diğer somut kayıtlara odaklanmalıdır.
Yazar: Av. Halil Bakırcı
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
