Bir işveren personel takip yazılımı kurmaya karar verdiğinde ilk soruları genellikle teknik olur: hangi ürün, kaç bilgisayar, nereye kurulacak. Oysa sonradan sorun çıkaran konular çoğu zaman teknik değildir. Çalışanın neyin ölçüldüğünü bilmemesi, raporların herkesin erişimine açık olması ya da toplanan verinin amacın çok ötesine geçmesi, hem ekip içinde hem de hukuki açıdan ciddi sonuçlar doğurabilir.
Bu yazıda bilgisayar kullanımının izlenmesini kişisel verilerin korunması açısından ele alıyoruz. Amacımız bir hüküm vermek değil; izleme projesine başlamadan önce masaya konması gereken soruları netleştirmek.
Bilgisayar kullanım verisi neden kişisel veridir?
6698 sayılı Kanun, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri sayar. Bir çalışanın hangi gün, hangi saatler arasında, hangi programı ne kadar kullandığı bilgisi doğrudan o kişiyle ilişkilendirildiği için bu tanımın içine girer. Rapor ekranında ad yerine kullanıcı adı ya da bilgisayar adı görünmesi de durumu değiştirmez; kişi bu bilgilerden belirlenebiliyorsa veri yine kişiseldir.
Bu faaliyette işveren, veri sorumlusu konumundadır: verinin hangi amaçla ve hangi araçlarla işleneceğine karar veren ve bu nedenle Kanun'daki yükümlülüklerden sorumlu olan taraftır. Yazılımı sağlayan firma ya da verileri barındıran hizmet sağlayıcı ise kurguya göre veri işleyen konumunda olabilir. Bu ilişkinin bir sözleşmeyle tanımlanması, kimin neden sorumlu olduğunu baştan netleştirir.
Dört soru: amaç, sınır, şeffaflık, süre
Kanun'un 4. maddesi, kişisel verilerin işlenmesinde uyulması gereken genel ilkeleri sayar: hukuka ve dürüstlük kurallarına uygunluk; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işleme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; gerekli olan süre kadar muhafaza edilme. Çalışan izlemede bu ilkeler pratikte dört soruya dönüşür:
- Amaç: İzlemeyi neden yapıyorsunuz? "Proje adam-saatini doğru hesaplamak" ya da "lisans ihtiyacını belirlemek" gibi somut ve yazılı bir amaç, "her ihtimale karşı" veri toplamaktan çok daha savunulabilirdir.
- Sınır: Bu amaç için gerçekten hangi veriye ihtiyacınız var? Program kullanım süresi yetiyorsa, yazılan içeriği ya da tuş vuruşlarını toplamanın bir gerekçesi kalmaz.
- Şeffaflık: Çalışan neyin ölçüldüğünü biliyor mu? Gizli izleme, dürüstlük kuralıyla bağdaşmaz.
- Süre: Veriyi ne kadar saklayacaksınız? Amaç ortadan kalktıktan sonra tutulan veri yalnızca risk taşır.
Hukuki sebep: açık rıza her zaman doğru araç değil
Kanun, kişisel verilerin kural olarak ilgili kişinin açık rızasıyla işlenebileceğini söyler; ancak bazı durumlarda açık rıza aranmaz. Bir sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması bu durumlardan bazılarıdır.
İş ilişkisinde açık rıza konusu dikkat ister. Açık rızanın özgür iradeyle verilmesi gerekir; işçi ile işveren arasındaki bağımlılık ilişkisi düşünüldüğünde, "hayır" deme imkânı fiilen bulunmayan bir formun imzalatılması bu şartı karşılamayabilir. Ayrıca başka bir hukuki sebep varken açık rıza istemek, çalışana rızasını geri aldığında izlemenin duracağı izlenimini verir; bu da sonradan çelişkiye yol açabilir.
Bu nedenle izlemenin hangi hukuki sebebe dayandırılacağı, neden orantılı olduğu ile birlikte yazılı olarak değerlendirilmelidir. Hangi sebebin sizin durumunuza uyduğu ise hukuk danışmanınızla birlikte verilmesi gereken bir karardır.
Aydınlatma: çalışana neyi, nasıl anlatmalısınız?
Hukuki sebep ne olursa olsun, Kanun'un 10. maddesindeki aydınlatma yükümlülüğü ortadan kalkmaz. Veri toplanırken çalışana en az şu bilgiler verilmelidir:
- Veri sorumlusunun, yani işverenin kimliği,
- Verinin hangi amaçla işleneceği,
- Verinin kimlere ve hangi amaçla aktarılabileceği,
- Verinin hangi yöntemle toplandığı ve hukuki sebebi,
- Çalışanın Kanun kapsamındaki hakları: verisinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltilmesini ya da silinmesini isteme, itiraz etme gibi.
Uygulamada bu bilgiler bir aydınlatma metniyle yazılı olarak verilir. Metnin işe yaraması için gerçekte ne yapıldığını anlatması gerekir. "Bilgi güvenliği amacıyla gerekli görülen veriler işlenebilir" gibi geniş ifadeler yerine hangi programların kullanım süresinin ölçüldüğünü, tuş kaydı tutulup tutulmadığını ve raporları hangi görevdeki kişilerin göreceğini açıkça yazın. Aydınlatma metni ile açık rıza metni birbirinden ayrı belgeler olarak tutulmalıdır; aydınlatma metnini imzalatmak onu rızaya dönüştürmez.
Yazılı metnin yanında kısa bir toplantı yapmak da çoğu zaman faydalıdır. Çalışanların sorularını yüz yüze yanıtlamak, ekipte "gizlice izleniyoruz" düşüncesinin oluşmasını engeller.
Hangi yöntem ne kadar müdahaleci?
Her izleme yöntemi aynı ağırlıkta değildir. Aşağıdaki tablo sık karşılaşılan yöntemleri kabaca müdahale düzeyine göre sıralıyor. Bu bir hukuki değerlendirme değil; amacınızla karşılaştırıp hangisinin gerçekten gerekli olduğunu tartmanız için bir başlangıç noktası.
| Yöntem | Ne toplar | Müdahale düzeyi |
|---|---|---|
| Mesai başlangıç ve bitişi | Günün ilk ve son bilgisayar kullanımı | Düşük |
| Program kullanım süresi | Hangi programın ne kadar açık, önde ve aktif kullanıldığı | Görece düşük; amaç tanımlıysa orantılılığı savunmak daha kolay |
| Ziyaret edilen internet adresleri | Alan adları ve sayfa adresleri | Orta-yüksek; kişisel kullanımı da içerebilir |
| Kurumsal e-posta içeriği | Yazışmaların kendisi | Yüksek; özel yazışmalar karışabilir |
| Tuş kaydı (keylogger) | Yazılan her şey, şifreler dahil | Çok yüksek; amaçla orantılı olduğunu göstermek zor |
| Kamera ve mikrofon | Çalışanın görüntüsü ve sesi | Çok yüksek |
Genel yaklaşım şudur: amacınıza ulaşmanızı sağlayan en az müdahaleci yöntemi seçin. Avrupa İnsan Hakları Mahkemesi'nin işyerinde iletişimin izlenmesine ilişkin Bărbulescu/Romanya kararında da benzer ölçütler öne çıkar: çalışanın önceden ve açıkça bilgilendirilmesi, izlemenin kapsamı, meşru bir gerekçenin bulunması, daha hafif bir yöntemin mümkün olup olmadığı ve yeterli güvencelerin sağlanması.
Şirket bilgisayarlarının kişisel amaçla kullanılıp kullanılamayacağını da iç politikada açıkça yazmak gerekir. Kişisel kullanıma izin veriliyorsa, izlemenin bu alana taşmaması için ölçümlerin kapsamını daha da dikkatli belirlemek gerekir.
Erişim, saklama ve güvenlik
Toplanan veri ne kadar az olursa olsun, kimin gördüğü ve nasıl korunduğu ayrı bir başlıktır. Kanun'un 12. maddesi veri sorumlusuna, verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir.
Erişim yetkisi
Raporları herkesin görmesi gerekmez. Bir birim yöneticisinin yalnızca kendi ekibinin verisini görmesi, insan kaynakları ile bilgi işlem arasında görev ayrılığı yapılması ve panele kimin girip ne yaptığının kayıt altına alınması hem güvenliği hem de çalışanların güvenini artırır.
Saklama süresi
Ölçüm verisini ne kadar tutacağınızı baştan belirleyin ve bu süreyi saklama ve imha politikanıza yazın. Süre dolduğunda veriler silinmeli, yok edilmeli ya da anonim hâle getirilmelidir. Bütçe ve proje raporları için kişiye bağlı veri yerine birim toplamları yetiyorsa, eski verileri toplulaştırarak saklamak iyi bir yoldur.
Verinin konumu
Ölçümlerin nerede tutulduğu da önemlidir. Veriler yurt dışındaki bir bulut hizmetinde tutuluyorsa, kişisel verilerin yurt dışına aktarılmasına ilişkin kurallar da devreye girer. Verinin firmanın kendi sunucusunda kalması bu başlığı sadeleştirir; ancak bu kez sunucunun güncel, yedekli ve yetkisiz erişime kapalı tutulması doğrudan işverenin sorumluluğundadır. Sunucu tarafının güvenliğini siber güvenlik danışmanlığı kapsamında birlikte gözden geçirebiliriz.
İzlemeye başlamadan önce kontrol listesi
- İzlemenin amacını yazılı ve somut olarak belirleyin.
- Bu amaç için gereken en az veriyi seçin; gerekmeyen ölçümleri kapatın ya da hiç toplamayan bir yazılım tercih edin.
- Hukuki sebebi hukuk danışmanınızla birlikte belirleyin ve orantılılık değerlendirmesini kayda geçirin.
- Şirket bilgisayarlarının kullanım kurallarını ve izlemenin kapsamını bir iç politikayla yazılı hâle getirin.
- Aydınlatma metnini hazırlayın; çalışanlara yazılı olarak verin ve kısa bir toplantıyla anlatın.
- Raporlara kimin erişeceğini görev ve birim bazında tanımlayın.
- Saklama süresini belirleyip saklama ve imha politikanıza ekleyin.
- Verilerin tutulacağı sunucuyu güvenlik, yedekleme ve erişim kaydı açısından hazırlayın.
- Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğünüzü ve kişisel veri envanterinizi gözden geçirin.
PG Monitor bu ilkeleri nasıl destekliyor?
Hiçbir yazılım tek başına KVKK uyumu sağlamaz; uyum, işverenin kurduğu süreçle ortaya çıkar. Yine de yazılımın tasarımı bu süreci kolaylaştırabilir ya da zorlaştırabilir. PG Monitor'de bu konuda yaptığımız tercihler şunlar:
- Tuş kaydı tutulmaz: Hangi tuşa basıldığı ya da ne yazıldığı kaydedilmez; klavye ve fare için yalnızca kullanılıp kullanılmadığına bakılır.
- Veri sizde kalır: Panel ve ölçüm verileri firmanızın kendi sunucusunda tutulur.
- Birim bazlı yetki: Bir yönetici yalnızca kendi biriminin kişilerini görür.
- Amaca bağlı raporlar: Mesai, mola ve toplantı, proje adam-saat ve lisans optimizasyonu raporları, izleme amacını somut bir iş sorusuna bağlamayı kolaylaştırır.
Ürünün ölçüm modelini PG Monitor sayfasında, bir takip yazılımını seçerken sorulacak soruları ise personel takip yazılımı rehberimizde bulabilirsiniz.
Ankara'da kurulum ve teknik destek
Ankara İvedik OSB'deki ekibimiz, PG Monitor kurulumunda sunucu tarafını, yetki yapısını ve saklama ayarlarını sizinle birlikte kurgular. Hukuki metinleri sizin danışmanınız hazırlar; biz teknik tarafın bu metinlerle uyumlu çalışmasını sağlarız.Sık sorulan sorular
Çalışan bilgisayarlarını izlemek için açık rıza almak zorunlu mu?
Her durumda zorunlu değildir. Kanun, sözleşmenin ifası, hukuki yükümlülük ya da meşru menfaat gibi açık rıza gerektirmeyen hukuki sebepler de öngörür. İş ilişkisindeki bağımlılık nedeniyle açık rızanın özgür iradeye dayandığını göstermek de zor olabilir. Hangi hukuki sebebin uygun olduğunu kendi hukuk danışmanınızla birlikte belirleyin.
Aydınlatma metni ile açık rıza metni aynı belge olabilir mi?
Ayrı tutulmaları gerekir. Aydınlatma, hukuki sebep ne olursa olsun yerine getirilmesi gereken bir bilgilendirmedir; açık rıza ise çalışanın özgürce verdiği ayrı bir onaydır. İkisini tek metinde birleştirmek, çalışanın neyi kabul ettiğini belirsizleştirir.
İzleme verilerini ne kadar süre saklamalıyım?
Kanun tek bir süre belirlemez; veriler ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar saklanır. Amacınıza göre bir süre belirleyip saklama ve imha politikanıza yazın; süre dolunca verileri silin, yok edin ya da anonim hâle getirin.
PG Monitor tuş kaydı tutuyor mu?
Hayır. Hangi tuşa basıldığı ya da ne yazıldığı kaydedilmez; klavye ve fare için yalnızca kullanılıp kullanılmadığına bakılır. Ölçüm verileri firmanızın kendi sunucusunda tutulur.