Kıbrıs İhbar Yasası ve Yolsuzlukla Mücadele Otoritesi: Şirketlerin Yasal Yükümlülükleri ve Koruma Standartları

Kıbrıs'ta İhbarcı Koruma Mevzuatı: 6(I)/2022 Sayılı Yasa ve AB Direktifi Uyumu

Birlik ve Ulusal Hukukun İhlallerini Bildiren Kişilerin Korunması Hakkında Kanun (6(I)/2022 Sayılı Yasa), Kıbrıs şirketler hukuku ve iş hukuku alanında köklü bir dönüşüm başlatmıştır. Avrupa Parlamentosu ve Konseyi'nin (AB) 2019/1937 sayılı Direktifini Kıbrıs iç hukukuna aktaran bu yasa, kamu yararına bildirimde bulunan kişilerin (whistleblowers) korunması amacıyla kapsamlı ve son derece katı bir yasal güvence sistemi oluşturmuştur. 6(I)/2022 Sayılı Yasa'nın yürürlüğe girmesinden önce, Kıbrıs'taki ihbarcı koruma rejimi parçalı nitelikteydi ve özel sektör çalışanları için etkili bir hukuki koruma kalkanı sunmaktan uzaktı.

Günümüzde 6(I)/2022 Sayılı Yasa, hem kamu otoritelerine hem de yasa kapsamına giren tüm özel sektör tüzel kişilerine doğrudan ve ertelenemez yasal yükümlülükler getirmektedir. Yasanın sağladığı korumanın kapsamı son derece geniştir: Yalnızca süresiz hizmet sözleşmesiyle çalışan standart personel değil; iş ilişkisi bağlamında bilgi edinen serbest meslek sahipleri (self-employed), dış danışmanlar, yükleniciler, yönetim kurulu üyeleri (icracı olan ve olmayanlar), hissedarlar, stajyerler, gönüllüler ve işe alım mülakatları sürecinde ihlallere tanık olan iş adayları da tam koruma altındadır. Ayrıca, ihbarcıya yardımcı olan 'kolaylaştırıcılar' (facilitators) ile ihbarcının misillemeye maruz kalabilecek iş arkadaşları ve aile üyeleri de yasal güvenceden yararlanmaktadır.

Kıbrıs'ta faaliyet gösteren şirketler—özellikle uluslararası finansal hizmetler, forex ve aracı kurumlar, denizcilik taşımacılığı, teknoloji şirketleri ve profesyonel hizmet büroları (hukukçular, denetçiler, kurumsal hizmet sağlayıcılar)—için 6(I)/2022 Sayılı Yasa'nın operasyonel boyutlarını kavramak hayati bir zorunluluktur. Yasa, iş sözleşmelerinde veya ayrılma protokollerinde yer alan gizlilik taahhütlerini (NDA) ve bilgi sızdırmazlık maddelerini kamu yararına yapılan bildirimler karşısında tamamen geçersiz (hükümsüz) kılmaktadır.

Yasal yaptırımlardan ve tazminat davalarından korunmak isteyen kurumlar, kimlik gizliliğini mutlak şekilde sağlayan, yasal süreleri hatasız yöneten ve İş İhtilafları Mahkemesi nezdinde reddedilemez delil sunabilen uçtan uca şifreli bir ihbar kanalı (whistleblowing channel) kurmak zorundadır.

Zorunlu Uygulama Kapsamı: 50 Çalışan Eşiği ve Sıfır Eşikli Hassas Sektörler

6(I)/2022 Sayılı Yasa'nın 8. Maddesi uyarınca, özel sektörde elli (50) veya daha fazla çalışanı bulunan tüm tüzel kişiler, dahili ihbar prosedürlerini ve güvenli bildirim kanallarını kurmak, sürdürmek ve işletmekle yasal olarak yükümlüdür. 50 çalışan eşiğinin hesaplanmasında; tam zamanlı çalışanlar, tam zamanlı eşdeğer (FTE) esasına göre hesaplanan yarı zamanlı çalışanlar, belirli süreli sözleşmeyle çalışanlar ve geçici iş ajansları aracılığıyla istihdam edilen personel eksiksiz olarak dikkate alınır. Şirketlerin 50 çalışan eşiğinden kaçınmak amacıyla yapay olarak bölünmesi veya çalışanları farklı alt şirketlere dağıtması, denetim otoriteleri ve mahkemeler tarafından tüzel kişilik perdesinin kaldırılması ilkesi çerçevesinde geçersiz sayılmaktadır.

Bununla birlikte, Kıbrıs mevzuatı uyarınca bazı ticari kuruluşlar çalışan sayısına bakılmaksızın dahili bir ihbar kanalı işletmek zorundadır. Yasanın Ek Cetveli ve ilgili sektörel AB düzenlemeleri gereğince, 50 çalışan eşiği aşağıdaki kritik sektörlerde tamamen devre dışı bırakılmıştır:

• Finansal Hizmetler ve Yatırım Kuruluşları: Kıbrıs Menkul Kıymetler ve Borsa Komisyonu (CySEC) tarafından yetkilendirilen tüm Kıbrıs Yatırım Firmaları (CIFs), alternatif yatırım fonu yöneticileri (AIFMs), kripto varlık hizmet sağlayıcıları (CASPs) ve Kıbrıs Merkez Bankası denetimindeki tüm bankalar ve ödeme kuruluşları;
• Kara Paranın Aklanmasının Önlenmesi (AML) Yükümlüleri: Suç Gelirlerinin Aklanmasının Önlenmesi Yasası kapsamında denetlenen hukuk büroları, bağımsız denetim şirketleri, mali müşavirler, idari hizmet sağlayıcıları (ASPs) ve yüksek değerli gayrimenkul aracıları;
• Denizcilik ve Liman İşletmeciliği: AB deniz güvenliği direktiflerine tabi olan ve Kıbrıs Denizcilik Müsteşarlığı tarafından denetlenen ticari armatörlük ve gemi yönetim şirketleri;
• Sivil Havacılık Sektörü: Avrupa Havacılık Emniyeti Ajansı (EASA) kurallarına tabi hava yolu işletmeleri ve havalimanı işletmecileri;
• Çevre Güvenliği ve Tehlikeli Maddeler: Tehlikeli atık yönetimi yapan sanayi tesisleri, kimyasal üretim merkezleri ve açık deniz hidrokarbon arama ve çıkarma operasyonları.

Bu belirlenmiş sektörlerdeki şirketlerin onaylı bir bildirim kanalına sahip olmaması, basit bir idari eksiklik olarak değil, doğrudan faaliyet lisansının askıya alınması riskini doğuran ağır bir mevzuat ihlali olarak kabul edilmektedir.

İhbar Kabul ve Takip Sorumlusunun (İKT/WRO) Atanması, Yetkileri ve Bağımsızlığı

6(I)/2022 Sayılı Yasa'nın operasyonel temel taşlarından biri, 9. Madde uyarınca bağımsız ve yetkin bir İhbar Kabul ve Takip Görevlisinin (WRO / Whistleblowing Reporting Officer) atanması zorunluluğudur. Bu görevli veya birim; bildirimleri almak, ihbarcıyla iletişim kurmak, ön inceleme yapmak ve soruşturma süreçlerini tarafsız şekilde yürütmekle yetkilidir.

Yasa, görevlendirilen kişinin görevini tam bir bağımsızlık ve tarafsızlık içinde, hiçbir çıkar çatışmasına girmeden yerine getirmesini açıkça emretmektedir. Uygulamada, İnsan Kaynakları Direktörü (HR Director), Şirket Hukuk Müşaviri veya Finans Direktörü (CFO) gibi üst düzey yöneticilerin tek başına ihbar sorumlusu olarak atanması ciddi yasal riskler barındırmaktadır. Şikayetin üst düzey yönetimi veya insan kaynakları uygulamalarını hedef aldığı durumlarda, iç denetçinin bağımsızlığı mahkeme önünde kolaylıkla çürütülebilmektedir.

Bu yasal riskleri bertaraf etmek amacıyla, Yasa'nın 8(4) Maddesi ihbar kabul fonksiyonunun bağımsız bir üçüncü taraf hizmet sağlayıcıya devredilmesine (outsourcing) açıkça izin vermektedir. Birçok Kıbrıs şirketi, teknik altyapıyı ve ilk filtreleme sürecini UNOVOX gibi bağımsız yazılım platformlarına devrederek, şirket içi IT personelinin veya yöneticilerin gizli bildirim kayıtlarına yetkisiz erişim sağlamasını tamamen engellemektedir.

Katı Yasal Süreler: 7 Günlük Alındı Teyidi ve 3 Aylık İnceleme Raporlama Takvimi

6(I)/2022 Sayılı Yasa, ihbarların işleme alınmasına ilişkin olarak şirket içi politikalarla uzatılamayan veya esnetilemeyen son derece kesin takvimsel sınırlamalar getirmiştir. Yasal süreç, bildirimin dahili kanala ulaştığı saniyeden itibaren başlar:

Birincisi, şirket veya atanan ihbar görevlisi, bildirimin alındığı tarihten itibaren tam yedi (7) takvim günü içinde ihbarcıya resmi bir yazılı alındı teyidi (acknowledgment of receipt) iletmek zorundadır. Bu 7 günlük sürenin kaçırılması, doğrudan bir yasa ihlali oluşturur ve ihbarcıya şirket içi kanalları tamamen devre dışı bırakarak doğrudan Yolsuzlukla Mücadele Bağımsız Otoritesi'ne veya kamuoyuna başvurma yasal hakkını kazandırır.

İkincisi, ihbar sorumlusu iddiaları titizlikle araştırmalı ve alındı teyidinin verildiği tarihten itibaren en geç üç (3) ay içinde ihbarcıya kapsamlı bir yazılı geri bildirim (feedback) sağlamalıdır. Bu geri bildirim, 'araştırmamız devam ediyor' şeklinde yüzeysel bir geçiştirme olamaz. Soruşturma kapsamında atılan adımları, tespit edilen somut bulguları ve şirketin aldığı düzeltici veya disipliner önlemleri hukuki bir dille izah etmelidir.

Tüm bu adımların, zaman damgalı ve silinemez dijital denetim kayıtlarında (audit trail) arşivlenmesi zorunludur. Aksi halde olası bir İş Mahkemesi davasında şirketin yasal sürelere uyduğu kanıtlanamaz.

Misilleme Yasağı ve Kıbrıs İş Hukukunda İspat Yükünün Tersine Çevrilmesi

6(I)/2022 Sayılı Yasa'nın koruma sisteminin merkezinde, 23. Madde ile getirilen mutlak 'misilleme yasağı' yer almaktadır. Kıbrıs mevzuatında misilleme tanımı kasıtlı olarak son derece geniş tutulmuş olup, işyerindeki her türlü doğrudan veya dolaylı olumsuz muameleyi kapsamaktadır:

• İş Akdinin Feshi: Doğrudan işten çıkarma, istifaya zorlama (constructive dismissal), yenilenmesi beklenen belirli süreli sözleşmenin yenilenmemesi veya deneme süresi içinde fesih;
• Kariyer ve Ücret Gaspları: Rütbe veya unvan tenzili (demotion), hak edilen terfinin engellenmesi, prim veya bonusların ödenmemesi, maaş kesintisi veya yan hakların geri alınması;
• Çalışma Koşullarının Ağırlaştırılması: Haksız şube veya şehir değişikliği, mesai saatlerinin keyfi olarak değiştirilmesi, çalışanın uzmanlığına aykırı aşağılayıcı görevler verilmesi veya mesleki eğitimlerden dışlanması;
• Disiplin Mekanizmalarının Silah Olarak Kullanılması: Asılsız disiplin soruşturmaları açılması, temelsiz olumsuz performans değerlendirmeleri, haksız sağlık raporu talepleri veya psikolojik yıldırma (mobbing);
• Ticari Karalama ve İptaller: Serbest çalışanlar ve danışmanlar için sözleşmelerin tek taraflı feshi veya sektörde iş bulmalarını engelleyici kara listeye alma (blacklisting) girişimleri.

Yasanın işverenler açısından en sarsıcı maddesi ise 24. Madde ile düzenlenen ispat yükünün tersine çevrilmesidir (reversal of the burden of proof). Bir çalışan mahkemede usulüne uygun bir ihbar yaptığını ve ardından olumsuz bir iş muamelesine maruz kaldığını gösterdiği anda, yasa söz konusu muamelenin ihbara misilleme olarak yapıldığını varsayar.

İspat yükü tamamen işverene geçer. İşveren, aldığı kararın ihbarla hiçbir ilgisinin bulunmadığını, kararın ihbardan önce belgelenmiş geçerli ekonomik veya disipliner zorunluluklara dayandığını tartışmasız delillerle ispatlamak zorundadır. Zaman damgalı dijital kayıtlar sunamayan işverenler davayı otomatik olarak kaybetmektedir.

İş İhtilafları Mahkemesi Kararları: İşe İade ve Tazminat Hakları

İhbarcıya karşı misilleme uygulandığının tespit edilmesi halinde, Kıbrıs İş İhtilafları Mahkemesi (Industrial Disputes Court) işveren aleyhine ağır yaptırımlar uygulama yetkisine sahiptir.

Standart haksız fesih davalarında tazminatlar kıdeme bağlı yasal tavanlarla sınırlıyken, 6(I)/2022 Sayılı Yasa kapsamındaki misilleme davalarında tavan sınırlaması uygulanmaz. Mahkeme; çalışanın uğradığı maddi zararın yanı sıra manevi tazminat, mesleki itibar kaybı, psikolojik yıpranma ve gelecekteki kariyer kaybını kapsayan çok yüksek meblağlara hükmedebilmektedir. Üst düzey finans yöneticilerinin veya compliance uzmanlarının davalarında tazminat tutarları yüz binlerce Euro'ya ulaşabilmektedir.

Ayrıca 24(3) Maddesi uyarınca mahkeme, feshin geçersizliğine ve çalışanın eski pozisyonuna derhal iade edilmesine karar verebilir. İşyerindeki çalışma barışının onarılamaz şekilde bozulduğu durumlarda mahkeme, işe iade yerine ek cezai tazminat ödenmesine hükmeder.

Bununla birlikte, Yasanın 22. Maddesi ihbarcılara tam bir hukuki dokunulmazlık sağlamaktadır. Yasal bir bildirimde bulunan kişi; ticari sırların ifşası, gizlilik sözleşmelerinin ihlali veya hakaret suçlamalarıyla dava edilemez.

Harici Bildirim Mercileri: Yolsuzlukla Mücadele Otoritesi ve CySEC

6(I)/2022 Sayılı Yasa, şirket içi kanalları öncelikli tutmakla birlikte, çalışanların doğrudan devlet otoritelerine başvurabileceği harici bildirim yollarını da güvence altına almıştır. Bir çalışan aşağıdaki hallerde doğrudan harici mercilere başvurabilir:

• Şirkette yasalara uygun bir dahili ihbar kanalının bulunmaması;
• Dahili ihbarda bulunulmasına rağmen 7 günlük teyit veya 3 aylık geri bildirim sürelerinin ihlal edilmesi;
• Dahili bildirimin derhal misillemeye veya delillerin yok edilmesine yol açacağına dair haklı nedenlerin bulunması;
• Şirketin en üst yönetim kademesinin doğrudan suça veya usulsüzlüğe karışmış olması.

Kıbrıs'taki merkezi yetkili merci Yolsuzlukla Mücadele Bağımsız Otoritesi'dir (Independent Authority against Corruption). Bu otorite; tanıkları celbetme, şirket kayıtlarını inceleme, yerinde denetim yapma ve cezai takibat için dosyayı Başsavcılığa sevk etme yetkisine sahiptir.

Finansal sektörde ise Kıbrıs Menkul Kıymetler ve Borsa Komisyonu (CySEC), piyasa bozucu eylemler, içeriden öğrenenlerin ticareti (insider trading) ve AML ihlalleri konusunda doğrudan bildirim kabul eden harici bir kanal işletmektedir. CySEC'e yapılan bildirimler şirketlerin lisanslarının iptaline varan ağır yaptırımları tetikleyebilmektedir.

Madde Kapsamında Cezai Yaptırımlar ve Yöneticilerin Şahsi Cezai Sorumluluğu

6(I)/2022 Sayılı Yasa sadece idari para cezalarıyla sınırlı kalmayıp, ihbar mekanizmasını engelleyenlere karşı hapis cezaları öngörmektedir. 26. Maddeye göre aşağıdaki fiilleri işleyen kişiler suç işlemiş sayılır:

• Bir bildirimin yapılmasını engelleyen veya engellemeye teşebbüs edenler;
• Bildirimde bulunan bir kişiye karşı misilleme uygulayan veya olumsuz tedbirler alanlar;
• İhbarcıya karşı kötü niyetli veya gözdağı amaçlı davalar (SLAPPs) açanlar;
• Gizlilik yükümlülüğünü ihlal ederek ihbarcının kimliğini rızası olmadan ifşa edenler.

Kaza Mahkemesi nezdinde mahkumiyet halinde, fail üç (3) yıla kadar hapis cezası veya otuz bin Euro (€30.000)'ya kadar para cezası ya da her iki ceza ile cezalandırılır. Suçun bir tüzel kişi tarafından işlenmesi durumunda, eyleme onay veren veya engel olmakta ihmal gösteren şirket yöneticileri, müdürleri ve sekreterleri şahsen suçlu sayılarak aynı hapis cezalarına çarptırılabilir.

Öte yandan yasa, bilerek yalan veya iftira niteliğinde bildirimde bulunan kişilere de 3 yıla kadar hapis ve €30.000'ya kadar para cezası öngörerek suistimalleri engellemektedir.

Veri Koruma Standartları: GDPR ve Kişisel Verileri Koruma Komiserliği

İhbar sistemlerinin işletilmesi, ihbarcı, şüpheli ve tanıklara ait hassas kişisel verilerin işlenmesini gerektirir. Kıbrıs'ta bu süreç, Genel Veri Koruma Tüzüğü (GDPR) ve 125(I)/2018 Sayılı Kişisel Verilerin Korunması Yasası çerçevesinde yürütülür.

6(I)/2022 Sayılı Yasa'nın 16. Maddesi gereğince ihbarcının kimliği mutlak surette gizli tutulmalıdır. Yetkili soruşturma ekibi haricindeki hiç kimseye ihbarcının kimliği ifşa edilemez. Bu gizlilik zorunluluğu, şüphelinin GDPR 15. Maddesi kapsamındaki erişim hakkının önündedir. Şüpheli yönetici şirket kayıtlarına erişim talep ettiğinde, ihbarcının kimliğini ele verebilecek tüm veriler karartılmak zorundadır.

Veri minimizasyonu ilkesi gereğince, bildirimle doğrudan ilgisi olmayan veriler toplanmamalı, yanlışlıkla toplanmışsa derhal imha edilmelidir. Ayrıca kayıtlar, soruşturmanın tamamlanmasından itibaren genellikle en fazla beş yıl saklanabilir.

Karşılaştırmalı Analiz: Geleneksel Yöntemler ve Profesyonel İhbar Yazılımları

Kıbrıs'taki işletmeler bildirim altyapılarını kurarken genellikle üç modelden birini tercih etmektedir. Aşağıdaki karşılaştırma tablosu yasal riskleri özetlemektedir:

Kıbrıs Şirketleri İçin On Maddelik Uyum Kontrol Listesi

Yöneticilerin hapis cezasından korunması ve şirketin ağır tazminat yükümlülüklerinden muaf tutulması için şu on adımlık standart izlenmelidir:

1. İşgücü Eşiğini Belirleyin: Tüm sözleşmeleri denetleyerek 50 çalışan eşiğine ulaşıp ulaşmadığınızı kesinleştirin;
2. Sektörel Zorunluluğu Kontrol Edin: CySEC lisanslı CIF, banka veya AML yükümlüsü olup çalışan sınırından bağımsız yükümlülüğünüzü doğrulayın;
3. Bağımsız Sorumlu (WRO) Atayın: Çıkar çatışması bulunmayan bağımsız bir İhbar Kabul Görevlisi yetkilendirin;
4. Şifreli Yazılım Kullanın: Meta verileri temizleyen ve uçtan uca şifreleme sağlayan güvenli bir platform devreye alın;
5. Çift Yönlü İletişim Sağlayın: İhbarcının kimliğini açığa çıkarmadan ek delil toplayabileceğiniz mesajlaşma altyapısını kurun;
6. Yasal Süreleri Takip Edin: 7 günlük teyit ve 3 aylık geri bildirim sürelerini otomatik alarmlarla yönetin;
7. Misilleme Karşıtı Politika Yayınlayın: Şirket içi misilleme yasağını duyurarak yöneticileri cezai sorumluluklar hakkında eğitin;
8. GDPR Uyumluluğunu Sağlayın: Veri minimizasyonu kurallarını ve otomatik veri silme takvimlerini uygulayın;
9. Çalışanları Eğitin: Sistemin işleyişi ve 6(I)/2022 Sayılı Yasa kapsamındaki haklar hakkında personele düzenli eğitim verin;
10. Dijital Denetim İzi Tutun: Mahkeme süreçlerinde savunma sağlayabilmek için tüm işlemleri değiştirilemez bir denetim günlüğünde arşivleyin.

Kıbrıs'ta UNOVOX ile Eksiksiz Yasal Güvence

6(I)/2022 Sayılı Yasa, şirketler için amatör yaklaşımlara yer bırakmamaktadır. Standart e-postalar veya yetersiz kanallar kullanmak; yöneticiler için 3 yıla varan hapis cezaları, 30.000 Euro para cezaları ve İş Mahkemesinde astronomik tazminat kararları ile sonuçlanabilir.

UNOVOX, 6(I)/2022 Sayılı Yasa, AB Direktifi ve GDPR gereksinimlerini tam olarak karşılamak üzere geliştirilmiş kurumsal bir ihbar yazılımıdır. Uçtan uca şifreleme, otomatik yasal süre yönetimi, iki yönlü anonim diyalog ve doğrulanabilir dijital denetim izi ile UNOVOX; kurumunuzu korur, yöneticilerinizi güvenceye alır ve kurumsal itibarınızı en üst düzeyde muhafaza eder.