İşveren Çalışanın Kişisel Telefonuna MDM Kurabilir mi? BYOD, Uzaktan Silme ve Konum Takibinde KVKK Sınırları

Kısa cevap: kurabilir, ama cihazın tamamına değil. 6698 sayılı Kişisel Verilerin Korunması Kanunu mobil cihaz yönetimi yazılımını yasaklamıyor; belirleyici olan kurulumun telefonu ne kadar gördüğü ve çalışana ne kadar seçenek bıraktığı. Kurumsal uygulamaların içinde kalan, ayrı bir iş profiliyle sınırlı, çalışana önceden yazılı olarak anlatılmış bir MDM savunulabilir. Cihazın tamamını yöneten, yüklü uygulama listesini çeken, konumu sürekli toplayan ve gerektiğinde telefonu fabrika ayarlarına döndürebilen bir kurulum ise Kanun'un 4. maddesindeki ölçülülük ilkesine çoğu senaryoda takılır. Çoğu şirketin hiç sormadığı bir soru daha var: çalışan kişisel telefonunu iş için kullanmak zorunda mı? İş araçlarını sağlamak kural olarak işverenin yükümlülüğü, çalışanın fedakarlığı değil.

Bir MDM profili yüklendiğinde cihazdan ne aktığını çalışanların çoğu bilmez, İK birimlerinin çoğu da sormaz. Tipik bir kurulum cihaz modelini, seri numarasını ya da IMEI'yi, işletim sistemi sürümünü ve yama düzeyini, ekran kilidinin açık olup olmadığını, cihazın köklenip köklenmediğini toplar. Konsoldaki ayarlara göre buna yüklü uygulamaların listesi, bağlanılan ağlar, kurumsal VPN üzerinden geçen trafik ve konum eklenebilir. Asıl fark kurulum tipinde: iOS tarafındaki denetimli cihaz ile kullanıcıya kayıtlı cihaz, Android tarafındaki tam yönetim ile iş profili birbirinden çok farklı yetkiler verir. İş profilinde işveren yalnızca profilin içindeki uygulamaları ve verileri görür, kişisel galerinin, mesajlaşma uygulamasının ya da sağlık verilerinin yanından geçemez. Bu teknik tercih hukuki sonucu doğrudan belirliyor. Sözleşmeye yazılan güzel cümleler değil, konsolda hangi politika işaretliyse o geçerli.

İşe başlama evrakının arasına sıkıştırılmış "kişisel cihazıma MDM kurulmasını kabul ediyorum" kutucuğu sanıldığı kadar sağlam bir dayanak değil. Kurumun Açık Rıza yayınındaki ifade net: "Özellikle işçi-işveren ilişkisinde, işçiye rıza göstermeme imkânının etkin bir biçimde sunulmadığı veya rıza göstermemenin işçi açısından muhtemel bir olumsuzluk doğuracağı durumlarda, rızanın özgür iradeye dayandığı kabul edilemez." Kurul aynı gerekçeyi mesai takibi amacıyla biyometrik veri işlenmesine ilişkin 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararında tekrarladı ve istihdam ilişkisindeki güç dengesizliğine dikkat çekti. Açık rızanın her an geri alınabildiğini de hesaba katın. Rızaya dayanan bir BYOD politikası ilk itiraz eden çalışanla birlikte dayanağını kaybeder; o çalışana zaten şirket telefonu vermek zorunda kalacaksanız baştan başka bir hukuki sebep aramak daha tutarlı.

Doğru soru, cihaz üzerindeki kurumsal verinin hangi işleme şartıyla korunduğu. Şirket e-postasının ve dosyalarının çalışanın telefonunda işlenmesi çoğu zaman Kanun'un 5. maddesinin ikinci fıkrasındaki meşru menfaat şartına dayandırılabilir; düzenlenmiş bazı sektörlerde hukuki yükümlülük de devreye girer. Meşru menfaat otomatik bir onay değil, yazılı bir denge testi ister. Korunan menfaat nedir, aynı sonuca daha az müdahaleyle ulaşmanın yolu var mı, çalışanın hak ve özgürlüklerine etkisi hangi tedbirlerle azaltılıyor? Kurul 2026/921 sayılı ilke kararında "alternatif, daha az müdahaleci yöntemlerin varlığı karşısında ilgili kişilerin açık rızası bulunsa dahi" ölçülülük kriterinin sağlanmayacağını söylerken biyometrik mesai takibini konuşuyordu, ama kurduğu mantık mobil cihaz yönetimi için de yol gösterici. Kurumsal e-postaya yalnızca konteyner içinden erişim ve çok faktörlü doğrulama amacı karşılıyorsa tam cihaz yönetimini savunmak zorlaşır.

BYOD bir zorunluluk değil, tercih. 10 Mart 2021 tarihli Resmî Gazete'de yayımlanan Uzaktan Çalışma Yönetmeliği'nin 7. maddesi şunu söylüyor: uzaktan çalışanın mal ve hizmet üretimi için gerekli malzeme ve iş araçlarının, iş sözleşmesinde aksi kararlaştırılmamışsa işveren tarafından sağlanması esastır. Aynı yönetmeliğin 5. maddesi, işveren tarafından sağlanan iş araçlarının ve bunların korunmasına ilişkin yükümlülüklerin sözleşmede yer almasını istiyor. 11. madde ise işverene, verilerin korunması ve paylaşımına ilişkin işletme kuralları hakkında çalışanı bilgilendirme ve korunması gereken verinin tanımını sözleşmede belirleme yükümlülüğü getiriyor. Çalışan kendi telefonunu kullanacaksa bu, sözleşmede ve politikada görünen bilinçli bir karar olmalı; sessizce oluşan bir alışkanlık değil.

Cihaz çalışanın olsa da içindeki müşteri verisinin sorumlusu şirket. Kurumun Kişisel Veri Güvenliği Rehberi bunu doğrudan yazıyor: "çalışanların şahsi elektronik cihazlarının, bilgi sistem ağına erişim sağlaması da güvenlik ihlali riskini arttırdığından bunlar için de mutlaka yeterli güvenlik tedbirleri alınmalıdır." Rehber, cihazların kaybolması veya çalınması ihtimaline karşı erişim kontrol yetkilendirmesi ve şifreleme kullanılmasını da öneriyor. Sahada bu birkaç asgari şarta dönüşüyor: ekran kilidi zorunluluğu, kurumsal verinin ayrı ve şifreli bir alanda tutulması, işletim sistemi sürümü için alt sınır, köklenmiş cihazların dışarıda bırakılması. Kişisel veri işleme envanterinize BYOD'u ayrı bir satır olarak ekleyin. Hangi verinin hangi cihaz sınıfında işlendiğini gösteremiyorsanız bir denetimde anlatacak fazla şeyiniz olmaz.

Diyelim ki saha satış temsilcinizin telefonu metroda çalındı. İçinde kurumsal e-posta, teklif dosyaları ve müşterilerle yapılan yazışmalar var. Bu, çalışanın değil şirketin veri ihlalidir. Kanun'un 12. maddesinin beşinci fıkrası ihlalin Kurula ve ilgili kişilere bildirilmesini istiyor; Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı süreyi, ihlalin öğrenildiği andan itibaren 72 saat olarak belirliyor. Cihaz kişisel olduğunda iki ek sorun çıkıyor. Şirket ihlalden çoğu zaman geç haberdar oluyor ve telefonda tam olarak hangi verinin bulunduğunu kanıtlayamıyor. Politikanıza kayıp ve çalıntı bildiriminin kime, hangi kanaldan ve ne kadar sürede yapılacağını yazın. Konteyner mantığıyla kurulmuş bir sistemde hangi verinin risk altında olduğunu söylemek de kolaylaşır.

Uzaktan silme, BYOD'un en çok uyuşmazlık üreten başlığı. Birbirinden çok farklı iki işlem var: kurumsal profili ve verisini kaldıran seçici silme ile cihazı fabrika ayarlarına döndüren tam silme. İkincisi çalışanın çocuğunun fotoğraflarını, kişisel yazışmalarını ve yedeklenmemiş her şeyini de siler. Böyle bir müdahale KVKK ile sınırlı kalmaz; Türk Borçlar Kanunu'nun 417. maddesi işverene işçinin kişiliğini koruma yükümlülüğü yüklüyor ve maddi manevi tazminat tartışması buradan açılıyor. Kural basit tutulabilir: kişisel cihazda yalnızca seçici silme. Silmenin hangi hallerde yapılacağı (kayıp, çalıntı, iş akdinin sona ermesi), kararı kimin vereceği ve çalışanın nasıl bilgilendirileceği politikada yazılı olsun. İşten çıkış kontrol listesine kurumsal profilin kaldırıldığını gösteren bir satır ekleyin ve tutanağını alın.

Konum modülü çoğu MDM konsolunda kapalı gelmiyor. Açık bırakıldığında elinizde günün her saati çalışan bir takip sistemi olur ve mesai dışı konum verisi işlemenin ölçülü bir gerekçesini bulmak neredeyse imkansızdır. Saha ekiplerinde rota takibine gerçekten ihtiyaç varsa bunu kişisel telefon üzerinden değil, şirketin verdiği cihaz veya araç takip sistemi üzerinden, mesai saatleriyle sınırlı ve çalışana açıkça duyurulmuş biçimde kurun. Kaybolan cihazı bulmak için konum sorgulanacaksa bunu sürekli kayıt değil, olay bazlı ve loglanan bir işlem haline getirin. Kimin ne zaman hangi gerekçeyle sorguladığı görünmüyorsa o modül er geç amacının dışına çıkar.

Kişisel cihazla gelen sessiz risklerden biri de çalışanın kendi telefon numarasının iş süreçlerine yerleşmesi. Kurulun 20 Ekim 2022 tarihli ve 2022/1147 sayılı kararı tam olarak bunu konu alıyor. Bir mobilya ve dekorasyon şirketinde iç mimar olarak çalışan kişinin iş akdi sona erdikten sonra da kargo kayıtlarında alıcı olarak onun şahsi cep telefonu numarası görünmeye devam etmiş, kişiye işten ayrıldıktan sonra kargo mesajları gelmiş, satış belgelerinde işlemi yapan personel olarak adı geçmiş. Kurul, veri sorumlusunun 4. maddedeki doğru ve gerektiğinde güncel olma ilkesine aykırı davrandığını, numarayı güncelleyebilecekken güncellemediğini tespit etti; 250.000 TL idari para cezası uyguladı ve verilerin imhası için talimat verdi. Müşterilerle çalışanın kendi numarasından yazışılan her şirkette aynı risk duruyor.

Peki işveren kişisel telefonun içine bakabilir mi? Kurumsal iletişim için Anayasa Mahkemesi'nin 17 Eylül 2020 tarihli ve 2016/13010 başvuru numaralı kararı çerçeveyi çizmişti: işverenin denetim yetkisi sınırsız ve mutlak değildir, çalışanın önceden açık ve net biçimde bilgilendirilmediği bir inceleme özel hayata saygı hakkını ve haberleşme hürriyetini ihlal eder. Kişisel cihazda eşik daha da yüksek. Kurul, bir şirket sahibinin çalışanının yazışmalarını işyerindeki bilgisayar üzerinden okuyup ekran görüntülerini alması olayında (16 Mayıs 2019 tarihli ve 2019/138 sayılı karar) konunun kişisel verilere ilişkin suçlar kapsamında değerlendirilmesi gerektiğini belirterek şikayetçiyi Cumhuriyet Başsavcılığına yönlendirdi. İş mahkemeleri tarafında tablo benzer. Yargıtay 9. Hukuk Dairesi 10 Ocak 2019 tarihli kararında (2018/10718 E., 2019/559 K.) WhatsApp konuşmalarının gizlilik içeren kişisel veri niteliğinde olduğunu, nasıl temin edildiği anlaşılamayan yazışmalara dayanılarak yapılan feshin haksız olduğunu söyledi. İnceleme yapılacaksa kapsamı kurumsal alanla sınırlı kalmalı ve dayanağı önceden imzalanmış bir politikada görünmeli.

Başlangıç için kısa bir liste. Kimlerin hangi kurumsal veriye telefondan erişeceğini belirleyin ve bu erişimi iş profiliyle sınırlayın. MDM'nin hangi verileri topladığını konsoldan tek tek çıkarın, ihtiyacınız olmayan her modülü kapatın. Hukuki sebebinizi yazın; meşru menfaate dayanıyorsanız denge testini dosyalayın ve açık rızayı tek dayanak yapmayın. Çalışan aydınlatma metnine MDM'yi, toplanan veri kategorilerini ve seçici silme yetkisini ekleyin, çünkü aydınlatma yükümlülüğüne aykırılık 2026 tutarlarıyla 85.437 TL ile 1.709.200 TL arasında idari para cezası demek; veri güvenliği yükümlülüğünün ihlalinde üst sınır 17.092.242 TL'ye çıkıyor. Kişisel cihazını kullanmak istemeyen çalışan için şirket telefonu alternatifini gerçekten sunun. KVKK Danışman'ın ücretsiz ön değerlendirmesinde BYOD politikanızı, MDM konsolunuzun ayarlarını, çalışan aydınlatma metinlerinizi ve işten çıkış prosedürünüzü birlikte gözden geçiriyoruz.

Randevu Al