Çalışan İzleme Yazılımı ve KVKK: İşverenin Dikkat Etmesi Gerekenler

Çalışan izleme yazılımı ve KVKK ilişkisi, işverenin iş cihazlarında yaptığı denetimin kişisel veri işleme anlamına gelip gelmediği sorusuyla başlar. Ekran görüntüsü, kullanım kaydı ya da canlı izleme çoğu durumda belirli bir çalışanla ilişkilendirilebildiği için kişisel veri işlemedir. Bu yüzden 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun genel ilkeleri devreye girer. Bu yazı, bir yazılım firması olarak genel çerçeveyi anlatır.

Bu yazı hukuki görüş değildir. İzleme uygulamasına başlamadan önce işverenin bir hukukçuya danışması gerekir. Mevzuat ve kurul kararları değişebilir.

Çalışan izleme yazılımı hangi verileri işler?

İzleme yazılımlarının türü çeşitlidir ve her tür farklı düzeyde müdahale anlamına gelir. Belirli aralıklarla ekran görüntüsü alan arka plan yazılımları, canlı ekran izleme yazılımları ve kullanım kaydı tutan araçlar bunlar arasındadır. Canlı izleme, kural olarak anlık ve sürekli göz atma imkânı verdiği için daha müdahaleci kabul edilir.

Ekran görüntüsü alan bir yazılımın görüntüye aldığı şey, yalnızca "iş ekranı" olmayabilir. Ekranda şunlar bulunabilir:

• Çalışanın kişisel e-postası, mesajlaşmaları ya da banka ekranı.
• Sağlık gibi özel nitelikli kişisel veri içeren sayfalar.
• Müşterilerin ya da başka çalışanların kişisel verileri.
• Parola alanları ve kimlik bilgileri.

Üstelik ekran görüntüleri yalnızca çalışanı değil, ekranda görünen herkesi ilgilendirir. Bir müşteri kaydı ya da başka bir çalışanın yazışması görüntüye girdiğinde, o kişilerin verisi de işlenmiş olur. İzleme kararında bu üçüncü kişi verileri de hesaba katılmalıdır.

Bu nedenle izleme sistemini kurarken yalnızca "ne kaydedeceğiz" değil, "yanlışlıkla neyi kaydedebiliriz" sorusu da sorulmalıdır. Kendi ürünlerimizden Ekran Kaydedici belirli aralıklarla ekran görüntüsü alan bir arka plan yazılımıdır; Yayınlama ve İzleme ise bir bilgisayarın ekranını yetkili izleyicilere canlı aktarmaya yöneliktir. İkincisinin ayrıntılı özellik bilgisi için bizimle iletişime geçebilirsiniz.

Aydınlatma yükümlülüğü: çalışan neyi bilmelidir?

Kişisel veri işleyen işveren, yani veri sorumlusu, verileri elde ettiği aşamada çalışanları aydınlatmakla yükümlüdür. Çalışana iletilen bilgilendirmede genellikle şunlar bulunmalıdır:

• İzlemeyi kimin yaptığı (veri sorumlusunun kimliği).
• İzlemenin hangi amaçla yapıldığı.
• Hangi cihazların, hangi tür verilerin ve hangi zaman aralıklarının kapsandığı.
• Kayıtlara kimlerin erişebildiği.
• Kayıtların ne kadar süre saklandığı ve nasıl imha edildiği.
• Verilerin üçüncü kişilere aktarılıp aktarılmadığı.
• Dayanılan hukuki sebep ve çalışanın hakları ile başvuru yolu.

Çalışanın bilmediği, gizli yürütülen bir izleme genellikle aydınlatma yükümlülüğüyle bağdaşmaz. Bilgilendirme, izleme başlamadan önce, yazılı ve anlaşılır bir dille yapılmalıdır.

Aydınlatma tek seferlik bir duyuru değildir. Yeni işe başlayan çalışanlara da iş başında verilmeli, izleme kapsamı değiştiğinde (yeni bir cihaz, yeni bir veri türü, farklı bir amaç) güncellenmelidir. Çalışanların soru sorabileceği, bilgilendirmeyi anlamadığında yardım isteyebileceği bir muhatap belirlenmesi de uygulamada fark yaratır.

Ölçülülük ve amaçla sınırlılık ilkeleri ne anlama gelir?

Kanun, kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesini; işleme amacıyla bağlantılı, sınırlı ve ölçülü olmasını; gerekli süre kadar saklanmasını ister. İzleme için bu üç ilke şu soruları doğurur: Amaç ne? Bu amaca ulaşmak için bu kadar kapsamlı veri gerçekten gerekli mi? Daha az müdahaleci bir yöntem mümkün mü?

"Çalışanların ne yaptığı kayıt altında olsun" gibi geniş bir amaç, tek başına yeterince net olmayabilir. Daha dar ve yazılı bir amaç (örneğin bilgi güvenliği olaylarının incelenmesi, iş sürekliliği ya da belirli bir süreç denetimi) hem hukuki değerlendirmeyi hem de teknik tasarımı kolaylaştırır. Tasarım düzeyinde şu önlemler alınabilir:

• Ekran görüntüsü sıklığını ve kapsamını amaçla uyumlu tutmak.
• Yalnızca iş cihazlarını ve iş saatlerini kapsamak.
• Kayıtlara erişimi birkaç yetkili kişiyle sınırlamak ve erişimi kayıt altına almak.
• Saklama süresini belirleyip süresi dolan kayıtları silmek.
• Kayıtları rutin biçimde değil, bir olay incelemesi gerektiğinde açmak.
• Kayıtları depolandıkları yerde yetkisiz erişime karşı korumak.

Bu önlemlerin hepsi her işyerinde aynı ölçüde gerekli olmayabilir; kapsam ve amaç genişledikçe daha fazla önlem gerekir. Güvenlik yönünden de unutulmamalıdır ki toplanan ekran görüntüleri kendi başına değerli ve hassas bir veri havuzudur: yetkisiz erişim ya da sızıntı durumunda zarar yalnızca işverene değil, çalışanlara da dokunur.

Açık rıza tek başına yeterli midir?

İş ilişkisinde taraflar eşit konumda değildir; çalışanın "hayır" deme imkânı pratikte sınırlı kalabilir. Bu nedenle işyerinde çalışan izleme için açık rızanın tek başına sağlam bir dayanak olup olmadığı tartışmalıdır ve çoğu durumda başka hukuki sebeplerin birlikte değerlendirilmesi gerekir. Hangisine dayanılabileceği, somut durumun bir hukukçu tarafından incelenmesiyle belirlenir.

Rızaya yaslanan bir düzen kurduysanız, çalışanın rızasını geri çekmesi halinde ne olacağını da önceden düşünmelisiniz. Bu sorunun cevabı yoksa düzen kırılgandır.

İş sözleşmesi ve politika: yazılı bir çerçeve kurun

İzleme, kişisel inisiyatife değil yazılı kurallara dayanmalıdır. Hazırlanabilecek belgeler şunlardır:

• İş sözleşmesine ya da ek bir protokole konulan, izlemeye ilişkin bilgilendirme hükmü.
• İş cihazlarının kullanımını ve izlenen alanları anlatan bir cihaz kullanım ve izleme politikası.
• Çalışanların kişisel kullanım yapıp yapamayacağını ve bunun izlemeyi nasıl etkilediğini açıkça belirten kurallar.
• Bilgilendirmenin çalışana ulaştığını gösteren bir kayıt.
• Saklama, erişim ve imha kuralları.
• Çalışanın soru ve itirazlarını iletebileceği bir başvuru yolu.

İşçinin özel hayatı ve haberleşmesinin gizliliği ile işverenin denetim hakkı arasında bir denge aranır. Bu dengenin sınırları, somut olaya ve güncel yargı yorumlarına göre değiştiği için politikayı hazırlarken bir hukukçunun desteğini almak önemlidir.

Politika yazılırken çalışanlarla ya da çalışan temsilcileriyle görüşmek de faydalı olabilir. Amacı ve sınırları çalışanlarla paylaşmak, izlemenin gözetimden çok denetim aracı olarak algılanmasına yardım eder ve politikanın uygulamada işlemesini kolaylaştırır.

İşveren olarak izleme öncesinde hangi adımları atmalısınız?

1. İzlemenin amacını belirleyin ve yazıya dökün.
2. Hukuki sebebi ve yükümlülükleri bir hukukçuyla netleştirin; veri sorumluları siciline (VERBİS) kayıt gibi yükümlülüklerin durumunuza göre doğup doğmadığını da teyit edin.
3. Daha az müdahaleci bir seçenek olup olmadığını değerlendirin.
4. Kapsamı, sıklığı ve saklama süresini sınırlayın.
5. Çalışanları izlemeden önce yazılı olarak bilgilendirin.
6. Kayıtlara erişimi yetkilendirin ve erişimleri kayıt altında tutun.
7. Uygulamayı belirli aralıklarla gözden geçirin; amaç ortadan kalktıysa izlemeyi sonlandırın.

Bu adımların sırası duruma göre değişebilir, ancak hiçbiri atlanmamalıdır. Özellikle ilk iki adım, yani amaç ve hukuki sebep belirlenmeden yazılım kurulumuna geçmek, sonradan geri alınmak zorunda kalınabilecek bir yatırım yapmak anlamına gelir.

Yazılım sağlayıcısının rolü ve bizim yaklaşımımız

İzleme yazılımı yalnızca bir araçtır. Aracın hukuka uygun kullanılması, veri sorumlusu olarak işverenin sorumluluğundadır ve biz bu yazıyla hukuki görüş vermiyoruz. Yazılım tarafında yapabileceğimiz şey, kapsamı daraltmak, saklama süresi ve erişim kurallarını baştan konuşmak gibi teknik tercihleri işverenle birlikte netleştirmektir.

Bir izleme yazılımı seçerken satıcıya sorulacak sorular da vardır: Kayıtlar nerede ve nasıl saklanıyor? Erişim yetkileri tanımlanabiliyor mu ve erişimler kayıt altına alınıyor mu? Kayıtlar silinebiliyor mu? Yazılım, gereksiz verileri toplamamak için kapsamı sınırlamaya izin veriyor mu? Bu soruların yanıtı, yazılımın sizin politikanıza uyup uymayacağını gösterir.

Ekran Kaydedici, bir firmanın "çalışanların ne yaptığı kayıt altında tutulsun" talebiyle geliştirildi. Windows'ta arayüzsüz çalışır, belirli aralıklarla ekran görüntüsü alıp bir depolama noktasında toplar. Görüntülerin nerede saklandığı, kimin eriştiği ve ne kadar süre tutulduğu, işveren açısından KVKK değerlendirmesinin merkezindedir. Masaüstünde çalışan benzer çözümler için masaüstü yazılım geliştirme hizmetimize bakabilirsiniz.

Özetle: izleme yapılacaksa amaç yazılı olmalı, kapsam dar tutulmalı, çalışanlar önceden bilgilendirilmeli ve süreç bir hukukçuyla birlikte kurulmalıdır. Uygulama tarafındaki gizlilik metni konusunda ise mobil uygulama gizlilik politikası nasıl hazırlanır yazımız genel bir fikir verebilir. Projenize uygun teknik çerçeveyi konuşmak için yazılım iletişim sayfamızdan bize ulaşabilirsiniz.