Teknik şartnamede veri merkezi sertifikası istenebilir mi?

Şart, ihale konusu hizmetin niteliği ve kapsamıyla açıklanabiliyorsa mevzuata aykırı değildir. Katılımı bir ölçüde daraltması tek başına aykırılık sebebi sayılmaz; belirleyici olan, piyasada bu şartı karşılayan başka sağlayıcıların bulunup bulunmadığı ve şartın gerçek bir ihtiyaca dayanıp dayanmadığıdır.

Mevzuat. 4734 sayılı Kanunun 12'nci maddesi uyarınca teknik şartnamelerde; verimliliği ve fonksiyonelliği sağlamaya yönelik, rekabeti engellemeyen, fırsat eşitliğini sağlayan ve belirli bir marka, model, menşe veya üretim yöntemini işaret etmeyen düzenlemeler yapılır. 5'inci madde ise ihtiyaçların uygun şartlarla ve zamanında karşılanmasını temel ilke sayar.

Bu iki hüküm birlikte okunduğunda ölçüt şudur: bir teknik kriter, objektif olarak işin gereği ise, yani hizmetin güvenliği, sürekliliği veya kalitesi için gerçekten gerekliyse, katılımı daraltıyor olması onu hukuka aykırı kılmaz. Aykırılık, kriterin ihtiyaçla ilgisinin kurulamaması ya da fiilen tek bir sağlayıcıyı işaret etmesi halinde doğar.

Kamu İhale Kurulunun 26.02.2025 tarihli, 2025/UH.II-633 sayılı kararında bu konu incelenmiştir. Teknik Şartnamede; yüklenicinin sunacağı çözümün 5651 sayılı Kanun ve 6698 sayılı Kişisel Verilerin Korunması Kanunu gereksinimlerini karşılaması, internet çıkışı yapan kullanıcıların 5651 sayılı Kanuna uygun kayıt altına alınıp saklanması ve hizmetin farklı şehirlerde bulunan, TIER III sertifikalı veri merkezleri üzerinden verilmesi öngörülmüştür. Başvuru sahibi bu düzenlemenin yalnızca bir firmayı işaret ettiğini ileri sürmüştür.

Kurul, akademik bir kuruluştan teknik görüş almıştır. Görüşte; TIER III sertifikasının veri merkezinin güvenilirliğini, altyapı imkanlarını ve kesintisiz hizmet sunma kabiliyetini gösteren önemli bir belge olduğu, farklı şehirlerde ve farklı sayıda veri merkezine sahip olmanın kesintilerde hizmetin devamlılığı ve erişilebilirlik bakımından olumlu katkı sağladığı, doğal afetlerde ve siber saldırılarda veri kaybını önleme veya en aza indirme yönünden fayda getirdiği belirtilmiştir. Görüşte ayrıca; bu belgelerin istenmesinin katılımı doğal olarak daraltacağı kabul edilmekle birlikte, Türkiye'de adı geçen firma dışında bu belgelerden en az birine sahip ve farklı şehirlerde bulunma şartını da karşılayan veri merkezi sağlayıcılarının mevcut olduğu vurgulanmıştır.

Kurul bu görüş doğrultusunda; düzenlemelerin hizmetin niteliği ve kapsamı dikkate alınarak yapıldığını ve ihtiyacın uygun şartlarda sağlanmasına yönelik olduğunu belirterek başvuru sahibinin iddiasını yerinde bulmamış ve başvuruyu reddetmiştir.

Uygulama önerisi: bilişim ve ağ hizmeti alımlarında teknik kriterleri işin gereğine bağlayarak yazın ve gerekçesini ihtiyaç raporunda belgeleyin, "kaç lokasyona hizmet verilecek, kesinti toleransı nedir, hangi veriler saklanacak, mevzuat hangi güvenlik seviyesini gerektiriyor". Sertifika isterken eşdeğerine de yer verin ("TIER III veya eşdeğer uluslararası kabul görmüş belge"); tek bir belgeye kilitlenmek riskli. Doküman hazırlığında piyasa araştırması yapın ve şartı karşılayan sağlayıcı sayısını kayda geçirin; en güçlü savunma, "bu şartı karşılayan birden fazla firma var" tespitidir. 5651 ve 6698 sayılı Kanunlardan doğan yükümlülükleri teknik şartnamede açıkça belirtin, log saklama süresi ve veri yerleşimi (verilerin yurt içinde tutulması) konusunda tereddüt bırakmayın. İstekli tarafındaysanız, "bu şart tek firmayı işaret ediyor" derken piyasada başka sağlayıcı bulunmadığını somut olarak gösterin; Kurul bu tür iddialarda akademik görüşe başvuruyor ve piyasada alternatif varsa iddiayı reddediyor.