Rekabet Kurumu Başkanlığından;
REKABET KURULU KARARI
Dosya Sayısı : 2022-1-016 (Devralma)
Karar Sayısı : 22-26/425-174
Karar Tarihi : 09.06.2022
A. TOPLANTIYA KATILAN ÜYELER
Başkan : Birol KÜLE
Üyeler : Ahmet ALGAN (İkinci Başkan), Şükran KODALAK,
Hasan Hüseyin ÜNLÜ, Ayşe ERGEZEN,
Cengiz ÇOLAK, Berat UZUN
B. RAPORTÖRLER: İsmail Atalay YOLCU, Selçuk YILMAZ, Bilge EMİNOĞLU,
Habil Arda KEL
C. BİLDİRİMDE
BULUNAN : - Google LLC
Temsilcileri: Av. Gönenç GÜRKAYNAK, Av. Ali Kağan UÇAR,
Av. Hakan DEMİRKAN, Av. Uzay Görkem YILDIZ,
Av. Leman Hilal ÖZTÜRK
Yıldız Mahallesi, Çitlenbik Sokak, No:12 Beşiktaş/İSTANBUL
(1) D. DOSYA KONUSU: Mandiant, Inc.’in tek kontrolünün Alphabet, Inc.’in
kontrolündeki Google LLC tarafından devralınması işlemi.
(2) E. DOSYA EVRELERİ: Rekabet Kurumu (Kurum) kayıtlarına 20.05.2022 tarih ve
28095 sayı ile intikal eden bildirim üzerine düzenlenen 31.05.2022 tarih ve 2022-1-
016/Öİ sayılı Devralma Ön İnceleme Raporu görüşülerek karara bağlanmıştır.
(3) F. RAPORTÖR GÖRÜŞÜ: İlgili raporda özetle; dosya konusu işleme izin
verilmesinde sakınca bulunmadığı ifade edilmiştir.
G. İNCELEME VE DEĞERLENDİRME
(4) Kurum kayıtlarına 20.05.2022 tarih ve 28095 sayı ile intikal eden ve Google LLC
(GOOGLE) tarafından yapılan başvuruda, Mandiant Inc.’in (MANDIANT) tek
kontrolünün Alphabet Inc.’in (ALPHABET) kontrol ettiği GOOGLE tarafından
devralınması işlemine 4054 sayılı Rekabetin Korunması Hakkında Kanun (4054
sayılı Kanun) ve 2010/4 sayılı Rekabet Kurulundan İzin Alınması Gereken Birleşme
ve Devralmalar Hakkında Tebliğ (2010/4 sayılı Tebliğ) çerçevesinde izin verilmesi
talep edilmektedir.
(5) Bildirim konusu işlemin temelini 07.03.2022 tarihinde GOOGLE, Dupin Inc., (DUPIN)
ve MANDIANT arasında akdedilen Birleşme Sözleşmesi ve Planı (SÖZLEŞME)
oluşturmaktadır. SÖZLEŞME’de, işlemin iki aşamada gerçekleşeceği belirtilmiştir.
Bu kapsamda MANDIANT, GOOGLE’ın tamamına sahip olduğu bir iştiraki olan
DUPIN (Merger Sub) ile birleşecek ve MANDIANT birleşme sonrası varlığını
sürdürerek devralan teşebbüsün bir iştiraki haline gelecektir. DUPIN’ın ise birleşme
sonrasında varlığı sona erecektir.
(6) Hâlihazırda MANDIANT’ın hisseleri Nasdaq borsasına kote olup çok sayıda
hissedarı bulunmaktadır. Bu kapsamda Bildirim Formu’nda, MANDIANT’ın,
hissedarlarından herhangi biri veya herhangi bir ekonomik birim tarafından tek
başına veya birlikte kontrol edilmediği ifade edilmektedir.
22-26/425-174
2/5
(7) Taraflar arasında akdedilen SÖZLEŞME uyarınca GOOGLE, MANDIANT’ın
hisselerinin %(.....)’ünü devraldığından; bildirime konu işlem gerçekleştikten sonra
MANDIANT üzerindeki tek kontrole nihai olarak sahip olacaktır. Dolayısıyla bildirime
konu işlem 2010/4 sayılı Tebliğ’in 5. maddesi çerçevesinde bir devralma işlemidir.
(8) Hangi tür birleşme devralmaların izne tabi olduğunun belirlenmesi bakımından,
2010/4 sayılı Tebliğ’in 7. maddesinin birinci fıkrasında işlem taraflarının cirolarına
ilişkin bazı eşikler düzenlenmiştir. Öte yandan 2022/2 sayılı Rekabet Kurulundan İzin
Alınması Gereken Birleşme ve Devralmalar Hakkında Tebliğ (Tebliğ No: 2010/4)’de
Değişiklik Yapılması Hakkında Tebliğ’in (2022/2 sayılı Tebliğ) 2. maddesiyle değişik
2010/4 sayılı Tebliğ’in 7. maddesinin ikinci fıkrası “Türkiye coğrafi pazarında faaliyet
gösteren veya ar-ge faaliyeti olan ya da Türkiye’deki kullanıcılara hizmet sunan
teknoloji teşebbüslerinin devralınmasına ilişkin işlemlerde; birinci fıkranın (a) ve (b)
bentlerinde yer alan iki yüz elli milyon TL eşikleri aranmaz” düzenlemesini haizdir.
2022/2 sayılı Tebliğ’in 1. maddesiyle değişik 2010/4 sayılı Tebliğ’in 4. maddesinin
birinci fıkrasının (e) bendinde teknoloji teşebbüsleri, “Dijital platformlar, yazılım ve
oyun yazılımı, finansal teknolojiler, biyoteknoloji, farmakoloji, tarım kimyasalları ve
sağlık teknolojileri alanlarında faaliyet gösteren teşebbüsleri veya bunlara ilişkin
varlıklar” şeklinde tanımlanmıştır. Bildirim konusu işlem kapsamında devre konu
MANDIANT Türkiye de dâhil olmak üzere yazılım alanında faaliyet gösterdiğinden
teknoloji teşebbüsü niteliğindedir. Bu açıklamalar ve tarafların cirolarının incelenmesi
sonucunda, 2010/4 sayılı Tebliğ’in 7. maddesinin birinci ve ikinci fıkraları uyarınca
bildirime konu işlemin izne tabi olduğu anlaşılmaktadır.
(9) Küresel ölçekte faaliyet göstermekte olan MANDIANT’ın temel ürünü/hizmeti,
özellikle vaka yanıtı ile bağlantılı olarak kurumsal siber güvenlik danışmanlığıdır.
MADIANT’ın siber güvenlik faaliyetleri aşağıda belirtilmekte olan ürün ve hizmetleri
içermektedir:
- Vaka Yanıtı ve Danışmanlık: Bu hizmetler bir şirketin siber saldırı yaşadığında
vakanın tipik olarak nasıl vuku bulduğu, şirketin bilişim teknolojileri (information
technology, IT) ortamındaki hassas noktaları ve alınması gereken düzenleyici
önlemlerle ilgilidir. MANDIANT’ın küresel düzeyde temel faaliyet alanı, 2021
yılındaki küresel gelirinin %(.....)’ini ve Türkiye’deki gelirinin %(.....)’sini
oluşturan, vaka yanıtı ve danışmanlık hizmetleridir. GOOGLE bu hizmeti
sağlamamaktadır.
- Yönetilen Algılama ve Yanıt (Managed Detection and Response, MDR):
Tehditleri aramak, belirlemek ve bunlara yanıt vermek için teknoloji ve insan
gözetimini birleştirmektedir. GOOGLE küresel çapta veya Türkiye’de MDR
hizmeti sunmamaktadır.
- Advantage Platformu: MANDIANT, genişletilmiş algılama ve yanıt (extended
detection and response) platformu olan Advantage Platform aracılığı ile
müşterilere çeşitli hizmetler sunmaktadır. Advantage platformu; güvenlik
doğrulaması ve kırmızı ekip oluşturma, tehdit istihbaratı, saldırı yüzey yönetimi
(attack surface management) ve otomatik savunma olmak üzere alt
kırılımlardan oluşmakta ve GOOGLE bu kırılımların hiçbirinde faaliyet
göstermemektedir.
(10) MANDIANT Türkiye’ye olan bütün satışlarını Mandiant Ireland Limited tarafından
gerçekleştirmekte, Türkiye’den yerel distribütörler ve yerel yeniden satıcılar
aracılığıyla yaptığı dolaylı satışlar vasıtasıyla gelir elde etmektedir. MANDIANT
grubu Türkiye’de 2021 yılında; (i) vaka yanıtı ve danışmanlık hizmetleri, (ii) tehdit
22-26/425-174
3/5
istihbaratı ve (iii) güvenlik doğrulaması alanlarında hizmet sunan (.....) müşteri
aracılığıyla yaklaşık (.....) ABD Doları ciro elde etmiştir. MANDIANT hâlihazırda
Türkiye’de (.....) müşteriye sahiptir. MANDIANT’ın, Türkiye’de kurulu sahip olduğu bir
iştiraki olmayıp, Mandiant International, LLC Türkiye (İstanbul) İrtibat Bürosu unvanlı
bir temsil ofisi bulunmaktadır. Bu irtibat bürosu, yabancı bir şirketin sektörel
kuruluşlar ve ilgili kuruluşlar önünde temsil edilmesi, yabancı şirketin yetkililerinin
koordinasyonu ve organizasyonu ile bu kişilerin ofis kullanım ihtiyaçlarının
karşılanması gibi alanlarda faaliyet göstermektedir. İrtibat bürosunun herhangi bir
ticari faaliyeti bulunmayıp temel amacı, Türkiye pazarını yakından takip etmek ve
ana şirketine Türkiye’deki yatırımlarına karar vermesi ve yönlendirmesi için destek
ve bilgi sağlamaktır. Nitekim MANDIANT’ın Türkiye’ye özel satışları, distribütörleri
tarafından gerçekleştirilmektedir.
(11) Devralan konumundaki GOOGLE ise çevrim içi arama, çevrim içi reklam, Youtube,
Google Maps, Gmail ve Google Cloud Platformu (GCP) da dâhil olmak üzere çeşitli
yazılım ve internet temelli ürün ve hizmetleri sunmaktadır. GOOGLE’ın Türkiye’de
kurulu iştiraklerinden biri olan ve 01.08.2005 tarihinde kurulan Google Reklamcılık
ve Pazarlama Ltd. Şti., Google International LLC aracılığıyla Türkiye’deki müşterilere
GOOGLE’ın ürünleri için pazarlama ve reklamcılık hizmeti sağlamaktadır. Diğer
iştiraki olan Google Bilgi Teknolojileri Ltd. Şti. ise 12.01.2021 tarihinde, Youtube’un
yerel Türk temsilci şirketi olarak faaliyet göstermesi amacıyla kurulmuştur. Ayrıca
GOOGLE, Türk reklamcılara, İrlanda menşeli ve Google Ireland Limited unvanlı bir
iştirak aracılığıyla reklamcılık hizmetleri sağlamaktadır.
(12) Yukarıda belirtilenlere ek olarak GOOGLE/ALPHABET, VirusTotal isimli kötü amaçlı
yazılım/virüs tarayıcısı, Chronicle isimli güvenlik bilgisi ve vaka yönetimi (Security
Information and Event Management) ve Siemplify isimli güvenlik düzenlemesi,
otomasyonu ve yanıtından (Security Orchestration Automation and Response)
oluşan siber güvenlik araçlarını müşterilerine sunmaktadır. GOOGLE’ın siber
güvenlik yazılımları pazarındaki faaliyetleri oldukça sınırlıdır ve GOOGLE 2021
yılında küresel çapta yaklaşık olarak (.....) ABD Doları gelir elde etmiştir. GOOGLE’ın
siber güvenliğe yönelik kabiliyetleri, esas olarak, Google Cloud’da depolanan bilgileri
korumayı amaçlayan bulut içi (cloud native) güvenlik çözümlerini içermektedir. Bu,
Google Cloud ortamlarının sağlamlığını/dayanıklılığını kontrol eden Google Cloud
Güvenlik Komuta Merkezini (Google Cloud Security Command Center) ve GCP
müşterilerine sınırlı ölçüde danışmanlık ve eğitim hizmeti sunan GOOGLE’ın Siber
Güvenlik Hareket Takımını (Google’s Cybersecurity Action Team) içermektedir.
Taraflarca GOOGLE’ın, MANDIANT ile herhangi bir hizmet veya ürün bakımından
doğrudan rekabet etmediği belirtilmektedir.
(13) Yukarıda yer verilen bilgiler ışığında ve tarafların beyanları doğrultusunda GOOGLE
ve MANDIANT’ın Türkiye’deki faaliyetleri arasında herhangi bir yatay veya dikey ilişki
bulunmadığı anlaşılmaktadır. Öte yandan, MANDIANT’ın, GOOGLE’ın çevrim içi
reklamcılık, Google Cloud ve VirusTotal hizmetlerini satın aldığı, ancak bu tedarik
ilişkisinin Türkiye’de meydana gelmediği, GOOGLE ve MANDIANT arasında
Türkiye’de herhangi bir dikey ilişki bulunmadığı belirtilmektedir.
(14) Tüm bunlara ek olarak, GOOGLE, tehdit modellemesi ve teşebbüsün bilişim
teknolojileri alanındaki güvenlik önlemlerinin iç sağlamlığını test etmek üzere
tasarlanan saldırı simülasyonu gerçekleştiren bir ürün tasarlayan Foreseeti adlı İsveç
menşeli küçük bir girişim (start-up) şirketini devralmıştır. Foreseeti’nin (.....) Bildirim
Formu’nda Foreseeti’nin, MANDIANT ile aynı işleve sahip olmadığı belirtilmektedir.
22-26/425-174
4/5
(15) Bildirim konusu işlem kapsamında herhangi bir yatay ya da dikey örtüşme meydana
gelmese de pazarın en geniş anlamda değerlendirilmesi durumunda nasıl bir görüntü
meydana geleceği önem arz etmektedir. Diğer bir ifadeyle kurumsal güvenlik yazılımı
geniş pazarında işlem taraflarının ve pazarın durumu ele alınarak değerlendirme
yapılmalıdır.
(16) Tarafların faaliyet alanlarına ilişkin yukarıda yer verilen bilgiler dikkate alındığında,
bildirime konu işlemin kurumsal güvenlik yazılımı ve ilgili hizmetlerin tedarikine ilişkin
olduğu görülmektedir. Gartner Yazılım Raporu1 güvenlik yazılımı kategorisini 10 alt
segmente ayırmaktadır. MANDIANT, bu 10 alt segmentten yalnızca “diğer güvenlik
yazılımları” alanında faaliyet göstermektedir. Diğer güvenlik yazılımı alt segmentinin
büyüklüğünün küresel ölçekte toplam 17,8 milyar ABD Doları olarak tahmin edildiği
ve MANDIANT’ın bu alt segmentteki payının küresel ölçekte yaklaşık %(.....) olduğu
ifade edilmektedir. Gartner Raporu’nda ayrıca diğer güvenlik yazılımları kırılımında
faaliyet gösteren CyberArk, IBM, Check Point Software, MicroFocus, Broadcom,
Oracle ve Microsoft gibi rakip teşebbüslerin bulunduğu belirtilmiştir. Bahsi geçen
raporda diğer güvenlik yazılımları alt segmentinde küresel ölçekte GOOGLE,
%(.....)’den fazla paya sahip olan sağlayıcılar arasında yer almamaktadır.
(17) Öte yandan GOOGLE ve MANDIANT kurumsal güvenlik yazılımları veya siber
güvenlik sektörü geniş pazarında da oldukça küçük oyuncular olup sektörün çok az
bir bölümünü temsil etmektedir. Gartner Yazılım Raporunda; Türkiye’de bütün
kurumsal güvenlik yazılımı segmenti için pazar büyüklüğü 153,7 milyon ABD Doları
olarak tahmin edilmektedir. Hem MANDIANT hem de GOOGLE Türkiye’de kurumsal
güvenlik yazılımı pazarında % (.....)’den fazla paya sahip olan sağlayıcılar arasında
yer almamaktadır.
(18) MANDIANT’ın vaka yanıtı ve danışmanlık ile MDR hizmetleri, Gartner Yazılım
Raporu’nda yer almamakla birlikte, MANDIANT’ın danışmanlık ve MDR için
Türkiye’deki pazar payının yaklaşık % (.....) olduğunu tahmin edilmektedir. Ek olarak,
MANDIANT’ın küresel cirosu; toplam siber güvenlik satışlarının yalnızca %(.....)’üne
tekabül ederken, GOOGLE’ın güvenlik hizmetlerinden elde ettiği ciro, toplam siber
güvenlik sektörünün %(.....)’sinden daha az bir bölümüne tekabül etmektedir.
(19) Sonuç olarak, GOOGLE ve MANDIANT’ın faaliyet gösterdiği pazarlar bakımından
yatay veya dikey herhangi bir örtüşme mevcut olmaması, işlem taraflarının ilgili
pazarlarda paylarının oldukça düşük olması ve faaliyet gösterilen pazarlarda birçok
rakip olması sebebiyle; işlemin Türkiye’de herhangi bir olası ilgili ürün pazarında
yoğunlaşma seviyesini artırmayacağı ve işlem sonrasında etkin rekabetin önemli
ölçüde azaltılmasının söz konusu olmayacağı kanaatine varılmaktadır.
H. SONUÇ
(20) Düzenlenen rapora ve incelenen dosya kapsamına göre, bildirim konusu işlemin
4054 sayılı Kanun’un 7. maddesi ve bu maddeye dayanılarak çıkarılan 2010/4 sayılı
Rekabet Kurulundan İzin Alınması Gereken Birleşme ve Devralmalar Hakkında
Tebliğ kapsamında izne tabi olduğuna; işlem sonucunda etkin rekabetin önemli
ölçüde azaltılmasının söz konusu olmaması nedeniyle işleme izin verilmesine,
gerekçeli kararın tebliğinden itibaren 60 gün içinde Ankara İdare Mahkemelerinde
yargı yolu açık olmak üzere OYBİRLİĞİ ile karar verilmiştir.
1 Gartner, All Software Markets (Nisan 2021).
Full & Egal Universal Law Academy