İşten Ayrılan Çalışanın Telefonundaki İş Verilerinin Uzaktan Silinmesi

Hukuki Sınırlar ve BYOD Politikası

İşverenin yönetim hakkı, çalışanın kişisel cihazı üzerinde sınırsız bir denetim yetkisi vermez. Kişisel verilerin işlenmesinde ve silinmesinde ölçülülük ilkesi esastır; silme işlemi, sadece iş verisiyle sınırlı tutulmalıdır.

İşveren, “Kendi Cihazını Getir” (BYOD) politikası kapsamında, cihazda hangi verilerin işleneceğini, silme işleminin nasıl yapılacağını ve sınırlarını çalışana önceden bildirmelidir. Teknik ayrıştırma, yani iş verisi ile kişisel verilerin konteyner yapısı veya ayrı profillerle birbirinden ayrılması, veri güvenliği açısından işverenin alması gereken temel teknik tedbirdir.

Veri Silme Süreci ve İspat Yükü

İşten ayrılma anında veri silme işlemi, kayıt altına alınan şeffaf bir süreç olmalıdır. İşveren, silme işleminin hukuka uygunluğunu ispatlamakla yükümlüdür ve bu süreçte şu belgeler kritik öneme sahiptir:

• BYOD politikası ve çalışanın cihaz kullanımına dair imzalı onay metni.
• Silme işleminin hangi tarihte, hangi kapsamda ve hangi yetkili tarafından yapıldığını gösteren log kayıtları.
• Verilerin geri döndürülemez şekilde silindiğini belgeleyen imha tutanağı.

Dijital delilin bütünlüğü korunmalı, seçilmiş ekran görüntüleri ile bağlamın kaybolması veya hukuka aykırı veri elde edilmesi gibi risklerden kaçınılmalıdır.

“Av. Vedat Can SÜNERİN
İşten ayrılan çalışanın cihazındaki verilerin silinmesi sürecinde en kritik nokta, iş verisi ile kişisel verilerin teknik olarak ayrıştırılmasıdır. İşveren, sadece kurumsal profili silmekle yükümlü olup, cihazın tamamına müdahale etmek ölçülülük ilkesini ihlal eder. Sürecin şeffaf yönetilmesi, BYOD politikalarının önceden bildirilmesi ve silme işleminin log kayıtlarıyla belgelenmesi, ileride doğabilecek veri ihlali iddialarına karşı işvereni koruyan en temel hukuki güvencelerdir.”

Görevli Merci ve Başvuru Yolları

Uyuşmazlık durumunda, ilgili kişi öncelikle veri sorumlusu olan işverene yazılı olarak başvurmalıdır. Başvuruya 30 gün içinde cevap verilmemesi veya cevabın yetersiz bulunması halinde Kişisel Verileri Koruma Kurumu’na şikâyet yoluna gidilebilir.

Kişisel verilerin hukuka aykırı işlenmesi veya özel hayatın gizliliğinin ihlali durumunda, genel mahkemelerde tazminat davası açma hakkı saklıdır. İşverenin yasal saklama yükümlülükleri ile çalışanın silme talebi çakıştığında, işveren yalnızca mevzuatın zorunlu kıldığı verileri saklamaya devam edebilir.

Uygulamada Sık Karıştırılan Noktalar

İşten ayrılan çalışanın kurumsal e-posta hesabının hemen kapatılmaması veya içeriklerin incelenmesi, kişisel veri ihlali riski taşır. Hesap, işin devamlılığı için gerekli ise dahi, çalışanın özel yazışmalarına erişilmemesi için gerekli teknik önlemler alınmalıdır.

Cihazın mülkiyetinin işverene ait olması, çalışanın tüm özel mesajlarını okuma veya cihazı dilediği gibi silme yetkisi vermez. Çalışanın “tüm verilerimi silin” talebi, işverenin vergi, SGK veya iş hukuku gibi alanlardaki yasal saklama yükümlülükleri ile sınırlıdır.

Uzaktan Silme İşleminde Teknik Ayrıştırma ve Konteyner Yapısı

İşverenin uzaktan silme yetkisini hukuka uygun kullanabilmesi, cihaz üzerinde kurulan teknik altyapının niteliğine bağlıdır. Modern mobil cihaz yönetimi (MDM) çözümleri, kurumsal verileri kişisel verilerden fiziksel veya mantıksal olarak ayıran ‘konteyner’ yapısını destekler. Bu yapı sayesinde işveren, cihazın işletim sistemine veya kişisel fotoğraflara, mesajlara ve rehber verilerine müdahale etmeksizin yalnızca kurumsal profili hedefleyen bir silme komutu gönderebilir. Teknik olarak bu ayrımın yapılmadığı durumlarda, cihazın tamamına yönelik bir silme komutu gönderilmesi, işverenin veri sorumlusu sıfatıyla ‘veri minimizasyonu’ ilkesini ihlal etmesi anlamına gelir.

Uygulamada, çalışanın cihazında iş verisi ile kişisel verilerin iç içe geçtiği durumlarda, işveren silme işlemini gerçekleştirmeden önce çalışana bildirimde bulunarak kişisel verilerini yedeklemesi için makul bir süre tanımalıdır. Eğer cihazda teknik bir ayrıştırma yapılamıyorsa ve iş verisi ile kişisel veri birbiriyle karışmışsa, işveren veriyi silmeden önce verinin niteliğini tasnif etmelidir. Bu tasnif yapılmadan gerçekleştirilen toplu silme işlemleri, çalışanın özel hayatına müdahale teşkil edebilir ve KVKK kapsamında tazminat sorumluluğunu doğurabilir.

İşten Ayrılma Sürecinde Veri Yedekleme ve İade Yükümlülüğü

İşten ayrılan çalışanın cihazındaki verilerin silinmesi, işverenin yasal saklama yükümlülüklerini ortadan kaldırmaz. İşveren, silme işleminden önce işin devamlılığı için gerekli olan verileri, ilgili mevzuatta öngörülen süreler boyunca saklamak üzere yedeklemelidir. Bu yedekleme işlemi, çalışanın kişisel verilerini içermeyecek şekilde, yalnızca iş süreçlerine dair belgelerle sınırlandırılmalıdır. Yedekleme yapılmadan gerçekleştirilen silme işlemi, işverenin ticari faaliyetlerini aksatabileceği gibi, ileride doğabilecek hukuki uyuşmazlıklarda ispat aracı olan verilerin kaybına da yol açabilir.

Çalışan, iş ilişkisi sona erdiğinde cihazı iade etmeden önce, cihazda bulunan kurumsal verilerin silinmesi konusunda işverenin talimatlarını beklemelidir. Çalışanın kendi inisiyatifiyle cihazı fabrika ayarlarına döndürmesi, işverenin yasal saklama yükümlülüğünü ihlal etmesine neden olabilir. Bu nedenle, işten ayrılış sürecinde taraflar arasında imzalanacak bir ‘Veri İade ve Silme Tutanağı’, hangi verilerin silindiğini, hangilerinin yedeklendiğini ve cihazın hangi durumda iade edildiğini netleştirmelidir. Bu tutanak, ileride yaşanabilecek veri sızıntısı iddialarına karşı her iki taraf için de en güçlü ispat aracıdır.

Dijital Delil Bütünlüğü ve Log Kayıtlarının Denetimi

Uzaktan silme işleminin gerçekleştiğine dair tutulan log kayıtları, işlemin hukuka uygunluğunu kanıtlayan temel dijital delildir. Bu kayıtlar; silme komutunun hangi IP adresinden, hangi zaman damgasıyla ve hangi yetkili kullanıcı tarafından gönderildiğini içermelidir. Log kayıtlarının değiştirilemezliği ve bütünlüğü, veri sorumlusunun teknik tedbirler kapsamında sağlaması gereken bir zorunluluktur. Eğer silme işlemi bir üçüncü taraf yazılım (MDM sağlayıcısı) üzerinden yapılıyorsa, bu yazılımın sağladığı raporlar ve işlem geçmişi, KVKK denetimlerinde veya olası bir uyuşmazlıkta işverenin elindeki en önemli savunma belgesidir.

İşveren, silme işleminin ardından cihazın artık kurumsal verilere erişimi olmadığını teyit eden bir ‘erişim kesilme raporu’ oluşturmalıdır. Bu rapor, silme işleminin sadece kurumsal profili kapsadığını ve cihazın geri kalanına müdahale edilmediğini teknik olarak doğrulamalıdır. Eğer çalışan, silme işlemi sırasında kişisel verilerinin de silindiğini iddia ederse, işveren bu log kayıtlarını kullanarak işlemin kapsamını ve sınırlarını ispat etmekle yükümlüdür. Eksik veya manipüle edilmiş log kayıtları, işverenin aleyhine bir karine oluşturabilir ve ispat yükünün işverende olduğu gerçeği göz önüne alındığında, bu durum hukuki riskleri artırır.

Sıkça Sorulan Sorular