Ofiste korunan bir müşteri listesi, evde mutfak masasında açık bırakılmış bir ekranda, ortak kullanılan bir ev bilgisayarında ya da kafe Wi-Fi'ına bağlı bir telefonda çok daha savunmasız hale gelir. Uzaktan çalışmada veri güvenliği, yalnızca bilgi işlem ekibinin teknik bir konusu değil; iş sözleşmesinin, işçinin yükümlülüklerinin ve işverenin hukuki sorumluluğunun doğrudan bir parçasıdır.
İş Kanunu md. 14, uzaktan çalışan işçinin işverene ve işyerine ait verilerin korunması ve paylaşılmaması konusunda işverence belirlenen kurallara uyacağını öngörür. Bu hükmün kilit kelimesi "işverence belirlenen"dir: Kural yoksa veya işçiye bildirilmemişse, işçiden uyması beklenen bir standart da yoktur.
Bu yazıda işverenin hangi kuralları belirlemesi gerektiğini, kuralların nasıl tebliğ edileceğini, ihlal durumunda izlenecek yolu ve KVKK boyutunu ele alıyoruz.
Hukuki çerçeve: iki yönlü sorumluluk
Uzaktan çalışmada veri güvenliği iki ayrı hukuki alanı birlikte ilgilendirir:
- İş hukuku boyutu: İşçinin sadakat ve özen borcu ile md. 14'teki veri koruma kurallarına uyma yükümlülüğü. Yönetmelik de işverenin veri korumaya ilişkin kuralları belirleyip işçiye bildirmesini öngörür.
- KVKK boyutu: İşveren, veri sorumlusu olarak kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür (6698 sayılı Kanun). İşçinin evinde meydana gelen bir veri sızıntısı da işverenin sorumluluk alanındadır.
Bu nedenle işçiye kural bildirmek, işvereni KVKK kapsamındaki sorumluluktan kurtarmaz; ancak alınan idari tedbirlerin en önemli kanıtlarından biridir.
Uzaktan çalışmada veri güvenliği talimatında yer alacak kurallar
Talimatın uzun ve teknik olması gerekmez; anlaşılır, uygulanabilir ve denetlenebilir olması yeterlidir. Aşağıdaki tablo temel başlıkları özetler:
| Konu | Örnek kural |
|---|---|
| Cihaz kullanımı | Şirket verisi yalnızca şirketin sağladığı veya onayladığı cihazlarda işlenir |
| Ağ bağlantısı | Ortak ve şifresiz ağlarda çalışılmaz; şirket VPN'i kullanılır |
| Erişim | Parolalar paylaşılmaz; çok faktörlü kimlik doğrulama açık tutulur |
| Ekran güvenliği | Cihazdan uzaklaşırken ekran kilitlenir; ev bireylerinin cihaza erişimine izin verilmez |
| Belge saklama | Şirket belgeleri kişisel bulut hesaplarına veya USB belleklere aktarılmaz |
| Basılı belgeler | Gerekmedikçe çıktı alınmaz; alınan çıktılar güvenli biçimde imha edilir |
| Görüşmeler | Gizli toplantılar üçüncü kişilerin duyabileceği ortamlarda yapılmaz |
| Olay bildirimi | Cihaz kaybı, şüpheli e-posta veya yetkisiz erişim derhal bildirilir |
Bu kurallar, pozisyonun eriştiği verinin hassasiyetine göre farklılaştırılabilir. Örneğin sağlık verisi, finansal veri veya özlük bilgisi işleyen çalışanlar için daha sıkı kurallar öngörülebilir. Yönetmelik, gizlilik gereği bazı verilerin veya işlerin uzaktan yürütülemeyeceğinin işverence belirlenebileceğine de imkân tanır.
Kuralları tebliğ etmek: belge zinciri
Kuralın varlığı kadar, işçiye bildirildiğinin ispatı da önemlidir. Önerilen belge zinciri şöyledir:
- Talimatı yazılı hale getirin ve uzaktan çalışma sözleşmesinde veya protokolde talimata atıf yapın.
- İmzalı tebliğ alın. Fiziki imza veya güvenli elektronik onayla çalışanın talimatı okuduğunu ve anladığını belgeleyin.
- Eğitim verin. Kısa bir bilgi güvenliği eğitimi düzenleyin ve katılım kaydını özlük dosyasında saklayın.
- Güncellemeleri duyurun. Talimat değiştiğinde yeni sürümü yeniden tebliğ edin.
- Periyodik hatırlatma yapın. Oltalama (phishing) tatbikatları ve kısa hatırlatmalarla farkındalığı canlı tutun.
Veri ihlali yaşanırsa ne yapılmalı?
Uzaktan çalışmada en sık görülen ihlal türleri cihaz kaybı veya çalınması, yanlış alıcıya gönderilen e-postalar, oltalama saldırıları ve kişisel hesaplara aktarılan belgelerdir. Böyle bir durumda:
- İç bildirim: Çalışan olayı derhal bilgi işlem ve KVKK sorumlusuna bildirir.
- Etkiyi sınırlama: Uzaktan cihaz kilitleme veya silme, parola sıfırlama, erişim iptali gibi önlemler alınır.
- Değerlendirme: Etkilenen verilerin kişisel veri olup olmadığı ve kimlerin etkilendiği tespit edilir.
- Kurul bildirimi: Kişisel veri ihlali söz konusuysa, KVKK uyarınca Kişisel Verileri Koruma Kurulu'na en kısa sürede ve en geç 72 saat içinde bildirim yapılır; gerekli durumlarda ilgili kişiler de bilgilendirilir.
- Kayıt: Olay, alınan önlemler ve sonuçları dokümante edilir.
Çalışanların cihaz kaybını "ceza alırım" korkusuyla geç bildirmesi, 72 saatlik sürenin kaçırılmasına yol açabilir. Bu nedenle politikada hızlı bildirimin teşvik edileceği açıkça yazılmalıdır. Kurumsal cihazlarda izleme araçlarının hangi sınırlarla kullanılabileceği için kurumsal cihaz izleme ve KVKK yazımıza bakabilirsiniz.
İhlal halinde disiplin süreci
Kurallara aykırılık, ağırlığına göre farklı sonuçlar doğurabilir. Dikkat edilmesi gereken ilkeler:
- Orantılılık: İlk ve hafif ihlallerde eğitim ve yazılı uyarı, tekrarlayan veya kasıtlı ihlallerde daha ağır yaptırımlar.
- Savunma: Disiplin işlemi öncesinde çalışanın yazılı savunması alınmalıdır.
- Tutarlılık: Aynı ihlale farklı çalışanlarda farklı yaptırım uygulanmamalıdır.
- Ağır haller: Şirket sırlarının kasıtlı olarak paylaşılması gibi doğruluk ve bağlılığa aykırı davranışlar, md. 25 kapsamında haklı fesih gerekçesi olarak değerlendirilebilir; bu tür kararlar mutlaka hukuki görüşle alınmalıdır.
Disiplin kurallarının uzaktan çalışmayı da kapsayacak şekilde güncellenmesi, yaptırımların öngörülebilir olmasını sağlar.
Sık yapılan hatalar
- Bilgi güvenliği kurallarını yalnızca bilgi işlem sisteminde teknik ayar olarak bırakıp çalışana yazılı bildirmemek.
- Kişisel cihaz kullanımına sessizce göz yummak.
- Cihaz kaybı bildirim kanalını tanımlamamak.
- Uzaktan çalışanları bilgi güvenliği eğitim planının dışında tutmak.
- İhlal sonrasında 72 saatlik Kurul bildirimi sürecini kimin yöneteceğini önceden belirlememek.
Veri güvenliği düzeninizi güçlendirelim
Uzaktan çalışmada veri güvenliği; açık kurallar, belgelenmiş tebliğ ve hızlı işleyen bir olay yönetimiyle sağlanır. İK Partner olarak bilgi güvenliği talimatınızı, tebliğ formlarınızı ve disiplin yönetmeliğinizi uzaktan çalışma düzeninize uygun hale getiriyoruz. Hizmetlerimizi inceleyin ve ücretsiz ilk görüşme için bizimle iletişime geçin.
Bu yazı genel bilgilendirme amaçlıdır; mevzuat değişebilir. Somut durumlar için hukuk danışmanınıza ve KVKK uzmanınıza başvurun.
