Uzaktan ve hibrit çalışmanın yaygınlaşmasıyla birlikte, şirket bilgisayarlarına ve telefonlarına kurulan izleme yazılımları da çeşitlendi. Bugün piyasada ekran görüntüsü alan, tuş vuruşlarını kaydeden, ziyaret edilen siteleri listeleyen, uygulama kullanım sürelerini ölçen ve hatta kamerayı periyodik olarak açan yazılımlar bulunuyor. Kurumsal cihaz izleme teknik olarak kolaylaştıkça, hukuki sınırları doğru çizmek de o kadar önem kazanıyor.
6698 sayılı KVKK açısından temel soru, "cihaz şirketin mi?" değil, "izleme hangi amaçla ve hangi ölçüde yapılıyor?" sorusudur. Bilgi güvenliğini sağlamak, ticari sırları korumak, siber saldırıları tespit etmek meşru amaçlardır. Ancak bu amaçlar için gerekenden fazla veri toplamak, özellikle çalışanın her hareketini kayda alan sürekli gözetim, ölçülülük ilkesiyle çatışır.
Bu yazıda yaygın izleme yöntemlerini risk düzeylerine göre sınıflandırıyor ve KVKK'ya uygun bir kurumsal cihaz politikası için kontrol listesi sunuyoruz.
Hukuki Dayanak ve Temel İlkeler
Kurumsal cihazlar üzerinden yapılan izlemeler, çoğunlukla KVKK md. 5/2-f kapsamında veri sorumlusunun meşru menfaatine dayandırılır. Meşru menfaat, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla geçerli bir sebeptir. Bu nedenle her izleme yöntemi için bir denge değerlendirmesi yapılmalıdır.
Md. 4'teki genel ilkeler de doğrudan uygulanır:
- Amaçla bağlantılı, sınırlı ve ölçülü olma: Güvenlik amacıyla yapılan bir izleme, performans ölçümüne veya kişisel yaşamın takibine dönüşmemelidir.
- Belirli, açık ve meşru amaç: "Her ihtimale karşı" toplanan veri bu ilkeye aykırıdır.
- Gerekli süre kadar saklama: Log kayıtları süresiz tutulmamalıdır.
Ek olarak, çalışana md. 10 kapsamında aydınlatma yapılmalı ve izlemeye ilişkin kurallar yazılı bir politika ile önceden duyurulmalıdır.
İzleme Yöntemleri ve Risk Düzeyleri
| Yöntem | Tipik amaç | Değerlendirme |
|---|---|---|
| Antivirüs, güvenlik duvarı, cihaz şifreleme | Siber güvenlik | Düşük risk, genellikle ölçülü |
| Veri sızıntısı önleme (DLP) kuralları | Ticari sırların korunması | Amaçla sınırlıysa savunulabilir |
| İnternet erişim logları ve site filtreleme | Güvenlik, zararlı sitelerin engellenmesi | Orta risk; logların erişimi sınırlanmalı |
| Uzaktan cihaz yönetimi (MDM) | Kayıp cihazı kilitleme, uygulama yönetimi | Kurumsal alanla sınırlıysa ölçülü |
| Uygulama kullanım süresi ölçümü | Verimlilik analizi | Yüksek risk; anonim veya toplu raporlama tercih edilmeli |
| Periyodik ekran görüntüsü | Gözetim | Çok yüksek risk |
| Tuş vuruşu kaydı (keylogger) | Gözetim | Çok yüksek risk; şifre ve kişisel yazışmaları da kaydeder |
| Kamera veya mikrofonun uzaktan açılması | Gözetim | Savunulması son derece güç |
Tuş vuruşu kaydı ve gizli kamera erişimi gibi yöntemler, çalışanın şifrelerini, kişisel mesajlarını, sağlık bilgilerini ve aile hayatını da kayda alabileceğinden, ölçülülük testini geçmesi oldukça zordur. Bu tür yöntemleri kullanmayı düşünüyorsanız, önce hukuk danışmanınızla ayrıntılı bir değerlendirme yapmanız gerekir.
Şirket Telefonları: Özel Dikkat Gerektiren Alan
Şirket telefonları çoğu zaman hem iş hem kişisel amaçla kullanılır. Çalışan mesai dışında aynı telefonu taşır, kişisel mesajlaşma uygulamalarını kurar, fotoğraf çeker. Bu nedenle:
- Uzaktan yönetim araçlarını mümkünse yalnızca kurumsal profil veya kurumsal uygulamalarla sınırlayın.
- Konum takibini yalnızca kayıp/çalıntı durumunda cihazı bulma amacıyla etkinleştirin; sürekli konum takibi ayrı bir değerlendirme gerektirir.
- Kişisel uygulamaların içeriğine, galeriye ve mesajlara erişim sağlayan ayarları kapatın.
- Cihaz iadesinde kişisel verilerin silinmesi için çalışana süre ve yöntem tanıyın.
Kişisel cihazların iş amacıyla kullanıldığı (BYOD) modelde ise işverenin müdahale alanı daha da daralır; kurumsal veriler ayrı bir kapsayıcı uygulamada tutulmalı ve cihazın geri kalanına erişilmemelidir.
Evden çalışırken cihaz izleme
Uzaktan çalışmada kurumsal bilgisayar çalışanın evinde, ailesinin bulunduğu bir ortamda kullanılır. Bu durumda kamera, mikrofon veya ekran görüntüsü alan araçlar yalnızca çalışanı değil, ev halkını ve evin içini de kayda alabilir. Bu nedenle uzaktan çalışma düzeninde izleme kapsamı ofise göre daha dar tutulmalıdır. Uzaktan çalışma sözleşmesinde ve politikasında, işverenin hangi verileri hangi araçlarla toplayacağını ve hangi uygulamalara kesinlikle başvurmayacağını açıkça yazmak, hem güven hem de ispat açısından faydalıdır. Video toplantılarda kameranın açık tutulması gibi beklentiler de bu politikada makul ve iş gereği ile sınırlı şekilde düzenlenmelidir.
Kurumsal Cihaz İzleme Politikası İçin Kontrol Listesi
- Hangi cihazlarda hangi izleme araçlarının kullanıldığının envanterini çıkarın.
- Her araç için amacı, toplanan veri türlerini ve saklama süresini yazın.
- Daha az müdahaleci bir alternatifin bulunup bulunmadığını değerlendirin ve bu değerlendirmeyi belgeleyin.
- Kurumsal cihaz kullanım politikasını yazın; kişisel kullanımın sınırlarını açıkça belirtin.
- Çalışan aydınlatma metnini güncelleyin ve politikayı imza karşılığı tebliğ edin.
- Log kayıtlarına kimlerin erişebileceğini sınırlayın; yöneticilerin bireysel loglara doğrudan erişmesini engelleyin.
- Bir iddia nedeniyle bireysel inceleme yapılacaksa yazılı onay ve tutanak prosedürü uygulayın.
- Yazılım sağlayıcısı verileri kendi sunucularında tutuyorsa veri işleyen sözleşmesi imzalayın ve sunucu konumunu kontrol edin.
- Politikayı yılda en az bir kez gözden geçirin.
Kurumsal e-posta hesaplarının denetimine ilişkin ayrıntılar için çalışan e-postası izleme yazımıza göz atabilirsiniz.
Verimlilik Ölçümü İçin Daha Güvenli Alternatifler
İzleme yazılımlarına başvurmanın en yaygın gerekçesi, özellikle uzaktan çalışmada verimliliği ölçmektir. Ancak bu amaç, çoğu durumda gözetime dayanmayan yöntemlerle daha sağlıklı biçimde karşılanır:
- Çıktı odaklı hedefler ve düzenli birebir görüşmeler,
- Proje yönetim araçlarındaki iş teslim verileri,
- Bireysel değil ekip düzeyinde, anonimleştirilmiş kullanım istatistikleri.
Bu yaklaşım hem hukuki riski azaltır hem de çalışan güvenini korur. Sürekli gözetim altında olduğunu hisseden çalışanlarda bağlılığın düştüğü, İK pratiğinde sıkça gözlemlenen bir durumdur.
Politikanızı Ölçülü ve Savunulabilir Kılın
İzleme araçlarını tamamen bırakmak gerekmez; doğru amaç, sınırlı kapsam ve açık iletişimle kullanıldıklarında bilgi güvenliğinin önemli bir parçasıdırlar. İK Partner, mevcut izleme uygulamalarınızı KVKK ve iş hukuku açısından değerlendirip politika ve aydınlatma metinlerinizi uyumlu hale getirir. İş hukuku ve mevzuat uyumu hizmetimiz kapsamında ücretsiz ilk görüşmede durumunuzu birlikte inceleyebiliriz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat ve yargı uygulaması değişebilir. Somut durumlar için hukuk danışmanınıza başvurmanızı öneririz.
