Bilgi Güvenliği Taahhütnamesi: Personel İçin Word Şablonu

Veri sızıntılarının önemli bir kısmı karmaşık saldırılardan değil; paylaşılan bir şifreden, kişisel e-postaya gönderilen bir dosyadan ya da kaybolan bir telefondan kaynaklanır. Bilgi güvenliği taahhütnamesi, çalışanın şirket bilgilerine ve sistemlerine erişirken uyacağı somut kuralları tek tek kabul ettiği, iş sözleşmesinin eki niteliğinde bir belgedir. Hazırladığımız Word şablonu; şifre, cihaz, kişisel veri, e-posta, yapay zekâ araçları ve sosyal medya kurallarını sade maddelerle düzenler.

Taahhütname tek başına yeterli değildir; dayandığı bir politika olmalıdır. Kurumsal kuralları belirlemek için bilgi güvenliği politikası örneği yazımıza, ticari sırları ayrıntılı bir sözleşmeyle korumak istiyorsanız çalışan gizlilik sözleşmesi örneği yazımıza bakabilirsiniz.

Bilgi Güvenliği Taahhütnamesi Nedir, Ne Zaman Kullanılır?

Bilgi güvenliği taahhütnamesi, çalışanın görevi sırasında eriştiği bilgi ve sistemlerle ilgili davranış kurallarını kabul ettiğini gösteren yazılı beyandır. Gizlilik sözleşmesinden farkı, odağının "neyin gizli olduğu"ndan çok "günlük işte nasıl davranılacağı" olmasıdır. Şifre paylaşmamak, onaysız yazılım yüklememek veya müşteri verisini kişisel buluta aktarmamak gibi kurallar bu belgenin konusudur.

Şablonu şu durumlarda kullanabilirsiniz:

• İşe girişte, sistem erişimleri açılmadan önce,
• Bilgi güvenliği politikası yenilendiğinde tüm çalışanlardan güncel beyan alırken,
• Uzaktan veya hibrit çalışmaya geçişte, cihaz ve ağ kuralları değiştiğinde,
• Kritik sistemlere yetki verilen çalışanlar için ek bir güvence olarak,
• Stajyer, geçici çalışan ve proje bazlı ekipler için kısa ve anlaşılır bir kural seti olarak.

Belge, Türk Borçlar Kanunu md. 396'daki sadakat ve sır saklama borcunu somutlaştırır. Bu maddeye göre çalışan, iş görürken öğrendiği üretim ve iş sırlarını kendi yararına kullanamaz, başkalarına açıklayamaz. İşverenin haklı menfaatinin korunması için gerekli olduğu ölçüde bu yükümlülük iş ilişkisi sona erdikten sonra da devam eder.

Şablonda Neler Var?

Taraf bilgileri ve kapsam: İşveren unvanı, çalışan bilgileri ve taahhütnamenin hangi politika sürümüyle birlikte uygulanacağı. Politika ile taahhütname arasında çelişki çıkarsa çalışan lehine hükmün uygulanacağını belirten bir cümle de bulunur.

Dokuz ana bölüm:

1. Gizli bilgi kapsamı: Müşteri ve fiyat bilgileri, finansal veriler, yazılım ve Ar-Ge çalışmaları, çalışan ücret ve özlük bilgileri, kişisel veriler ve şirkete özgü alan. Kamuya açık bilgiler kapsam dışında tutulur.
2. Şifre ve hesap güvenliği: Şifre paylaşmama, iki adımlı doğrulama ve şüpheli kullanımı bildirme.
3. Cihaz ve donanım: Zimmetli cihazların korunması, onaysız yazılım yasağı, kişisel USB ve bulut kullanımı, kişisel cihaz (BYOD) kuralı ve kayıp bildirimi.
4. Veri işleme: Görevle sınırlı erişim, temiz masa, belge imhası ve ihlal bildirimi.
5. E-posta, internet ve yapay zekâ araçları: Kimlik avı e-postaları ve şirketin onaylamadığı yapay zekâ, çeviri veya dosya dönüştürme hizmetlerine gizli veri yüklememe kuralı.
6. Sosyal medya: Yetkisiz açıklama yapmama, işyeri içi fotoğraf ve müşteri bilgisi paylaşmama, çalışma arkadaşlarının görüntüsünü izinsiz yayımlamama.
7. İzleme ve aydınlatma: Şirket sistemlerinde güvenlik amaçlı kayıt tutulabileceğine ve bunun aydınlatma metnindeki esaslara göre yapılacağına ilişkin bilgilendirme.
8. Ayrılışta iade: Cihaz, belge ve verilerin iadesi; sır saklama yükümlülüğünün devamı.
9. Aykırılığın sonuçları: Disiplin süreci, fesih ve tazminat ihtimali; rekabet yasağının bu belgeyle düzenlenmediği notu.

Ek-1 ve İK sayfası: Çalışana açılan sistem ve klasör yetkilerinin kaydı, sekiz maddelik İK kontrol listesi ve yasal hatırlatma kutusu.

Nasıl Doldurulur?

1. Politika adını ve sürümünü yazın. Taahhütnamedeki köşeli parantezli alanlar, şirketinizin bilgi güvenliği politikasına atıf yapar. Politika yoksa önce kısa bir politika hazırlayın.
2. Şirkete özgü alanları doldurun. Şifre politikası, bildirim kanalı, imha yöntemi ve kayıp cihaz bildirim süresi gibi alanları gerçekte uyguladığınız kurallara göre yazın.
3. Kişisel cihaz kuralını seçin. Kişisel telefonla e-posta okunmasına izin veriyor musunuz? Seçeneklerden birini bırakıp diğerini silin.
4. Aydınlatma metniyle uyumu kontrol edin. İzleme bölümünde atıf yapılan uygulamalar (e-posta kayıtları, erişim logları, cihaz yönetimi) çalışan aydınlatma metninizde de yer almalıdır. Örnek metin için KVKK çalışan aydınlatma metni örneği yazımıza bakın.
5. Çalışana okuma fırsatı verin. Belgeyi imza anında değil, birkaç gün önceden paylaşın; soruları yanıtlayın.
6. İmzalatın ve bir nüsha verin. İmzalı nüshayı özlük dosyasına koyun, bir nüshayı çalışana teslim edin.
7. Ek-1'i güncel tutun. Görev değişikliklerinde yetkileri gözden geçirin, kapanan yetkilerin tarihini yazın.

Temsilî bir örnek: Satış ekibindeki bir çalışan, teklif dosyalarını evden çalışabilmek için kişisel bulut hesabına yüklüyor. Taahhütnamede bu kural açıkça yazılıysa ve çalışan eğitim almışsa, İK önce yazılı uyarı ve verinin silindiğinin teyidiyle süreci yönetebilir. Kural yazılı değilse, aynı davranışa yaptırım uygulamak çok daha tartışmalı hale gelir.

Yasal Çerçeve ve Dikkat Edilecekler

Taahhütnameye para cezası veya cezai şart eklemekten kaçının. TBK md. 420'ye göre yalnızca çalışan aleyhine konulan ceza koşulu geçersizdir; böyle bir hüküm belgenin geri kalanının inandırıcılığını da zayıflatır. Rekabet yasağı gerekiyorsa bunu rekabet yasağı sözleşmesi örneği yazımızdaki gibi ayrı bir belgeyle, sınırlarını belirleyerek düzenleyin.

İzleme konusunda ölçülülük esastır. Şirket e-postası ve cihazları üzerindeki denetim amaçla sınırlı olmalı, önceden duyurulmalı ve çalışanın özel hayatına gereğinden fazla müdahale etmemelidir. Bu dengenin nasıl kurulacağı için kurumsal cihaz izleme ve KVKK yazımız yol gösterir.

Sık Yapılan Hatalar

• Politikasız taahhütname: Atıf yapılan politika yoksa veya çalışana hiç gösterilmediyse, taahhütname içi boş bir imzaya dönüşür.
• Genel ve belirsiz ifadeler: "Şirket bilgilerini korumayı taahhüt ederim" gibi tek cümlelik metinler, ihlal halinde neyin yasak olduğunu göstermez.
• Cezai şart eklemek: Yalnızca çalışan aleyhine ceza koşulu geçersizdir.
• Erişimi imzadan önce açmak: Taahhütname, sistem şifreleri verilmeden imzalatılmalıdır.
• Aydınlatma yapmadan izleme: İzleme uygulaması aydınlatma metninde yer almıyorsa elde edilen kayıtların kullanımı tartışmalı hale gelir.
• Ayrılışta kontrol etmemek: Cihaz iadesi ve hesap kapatma ilişik kesme sürecine bağlanmazsa veri, çalışanla birlikte şirketten çıkar.
• Sosyal medya kuralını aşırı geniş yazmak: Çalışanın her türlü kişisel paylaşımını yasaklayan hükümler ifade özgürlüğü ile çatışır ve uygulanamaz.

Şablonu İndirin

Şablon genel bilgilendirme amaçlıdır; şirketinizin sektörüne, kullandığı sistemlere ve iç politikalarına göre uyarlanmalıdır. Bu yazı hukuki danışmanlık niteliği taşımaz; somut durumunuz için uzman desteği alın.

İş sözleşmesi ekleri, KVKK belgeleri ve disiplin süreçlerinizi birbiriyle uyumlu hale getirmek için iş hukuku ve mevzuat uyumu hizmetimizden destek alabilirsiniz.