Uzaktan Çalışma Döneminde İşçilerin Denetlenmesi ve Kişisel Verilerinin Korunması

Yazar: Stj. Av. Esin Mine İşler

UZAKTAN ÇALIŞMA DÖNEMİNDE İŞÇİLERİN DENETLENMESİ VE KİŞİSEL VERİLERİNİNİN KORUNMASI

Tüm dünyayı etkisi altına alan COVID-19 salgını nedeniyle ülkemizde salgının yayılmasını önlemek için çeşitli önlemler alınmıştır. Bu önlemler, kişilerin bir araya gelmesini engelleyerek sosyal izolasyonu ve mesafeyi sağlayarak salgının bulaşma hızını düşürmeye yöneliktir. Bu kapsamda, birçok çalışma alanında uzaktan çalışma sistemine geçiş yapılmıştır. Teknolojinin gelişmesi ile uzaktan çalışma sistemi, teknolojik altyapısını oluşturmuş birçok işyeri tarafından tercih edilmektedir. Uluslararası Çalışma Örgütü de (ILO) yayımladığı rehberlerde özellikle dijitalleşme kapsamında uzaktan çalışmanın yaygınlaştırılması gerektiğini belirtmektedir.^[1] Yasal düzenlemede eksiklik bulunması sebebiyle Aile, Çalışma ve Sosyal Hizmetler Bakanlığı tarafından hazırlanan ve Resmî Gazete’de 10.03.2021 tarihinde yayımlanan Uzaktan Çalışma Yönetmeliği (“Yönetmelik”), yine aynı tarih itibariyle yürürlüğe girmiştir.

Uzaktan çalışma sistemi her ne kadar kamu sağlığı için ciddi bir fayda sağlasa da geçilen bu yeni sistemde bireylerin kişisel verilerinin korunması noktasında bazı olumsuz sonuçlar doğabilmektedir.

1. GENEL OLARAK UZAKTAN ÇALIŞMA KAVRAMI VE HUKUKİ DÜZENLEMELER

Uzaktan çalışmanın (evden çalışma) tanımı hem ulusal mevzuatta hem de uluslararası belgelerde farklı şekillerde yapılmış ve uzaktan çalışma farklı düzenlemelere tabi tutulmuştur.

İlk olarak, Uluslararası Çalışma Örgütü’nün 177 Sayılı Evde Çalışma Sözleşmesi’nde^[2] uzaktan çalışma kavramı şu şekilde tanımlanmıştır:

“Bu Sözleşmenin amaçları için:

(a) Evde çalışma, evde çalışan olarak nitelendirilecek bir kişi tarafından,

(i) İşverenin işyeri dışında kalan kişinin kendi evi veya kendi belirlediği diğer yerlerde;

(ii) Ücret karşılığı;

(iii) Kullanılan malzeme, materyal veya kullanılan diğer araçları kimin sağladığından bağımsız olarak işveren tarafından belirlenen bir ürün veya hizmetin üretilmesi işidir.”

Türkiye, bu sözleşmeye taraf olmamasına karşın yapılan düzenlemelerde sözleşme hükümlerinin dikkate alındığı görülmektedir. Türk hukukunda uzaktan çalışma, İş Kanunu’nda 2016 yılında yapılan düzenlemeden önce 6098 sayılı Türk Borçlar Kanunu’nda evde hizmet sözleşmesi kapsamında düzenlenmiştir. Buna göre, evde hizmet sözleşmesi TBK madde 461’de“evde hizmet sözleşmesi, işverenin verdiği işi, işçinin kendi evinde veya belirleyeceği başka bir yerde, bizzat veya aile bireyleriyle birlikte bir ücret karşılığında görmeyi üstlendiği sözleşmedir.” şeklinde tanımlanmıştır.

Uzaktan çalışma ile ilgili hüküm, İş Kanunu’nun 14. maddesinde yer almakta olup 2016 yılında yapılan değişiklik sonucu uygulama alanı bulmuştur. Buna ilişkin madde 14/4’te yer alan düzenleme şu şekildedir: “Uzaktan çalışma; işçinin, işveren tarafından oluşturulan iş organizasyonu kapsamında iş görme edimini evinde ya da teknolojik iletişim araçları ile işyeri dışında yerine getirmesi esasına dayalı ve yazılı olarak kurulan iş ilişkisidir.”

İş Kanunu’nda yapılan değişiklik ile yer alan düzenleme, özel hüküm olması ve sonraki tarihli olması sebebiyle Borçlar Kanunu’na göre öncelikli uygulama alanı bulacaktır. Ancak burada önemle belirtmek gerekir ki uzaktan çalışma sisteminde, uzaktan çalışmaya ilişkin düzenlemeleri içeren İşK madde 14 hükmünün yanı sıra, İş Kanunu’nda yer alan yıllık izin, ihbar ve kıdem tazminatı ve benzeri düzenlemeler de makul ölçüde uygulanacaktır. İş Kanunu’nda düzenleme bulunmayan haller söz konusu olduğunda Borçlar Kanunu hükümleri uygulama alanı bulacaktır.

İşverenler tarafından COVID-19 salgını nedeniyle alınan tedbirler kapsamında uzaktan çalışma sistemi imkanlar elverdiği ölçüde öncelikle tercih edilmektedir. Uzaktan çalışma kavramı, kanunda zorunlu hallerde tarafların karşılıklı rızasıyla işin mahiyeti gereği uygulanabilecek bir çalışma yöntemi olarak düzenlenmiştir. Bu çerçevede uzaktan çalışma, Yönetmelik madde 4/c’de; işçinin, işveren tarafından oluşturulan iş organizasyonu kapsamında iş görme edimini evinde ya da teknolojik iletişim araçları ile işyeri dışında yerine getirmesi esasına dayalı ve yazılı olarak kurulan iş ilişkisi olarak tanımlanmıştır. Bunun devamında Yönetmelik’te uzaktan çalışmanın yapılamayacağı işleri, verilerin korunması ve paylaşılmasına ilişkin işletme kurallarının uygulanması ve uzaktan çalışmanın usul ve esasları belirlenmiştir.

Önemle hatırlatılması gereken başka bir konu da, uzaktan çalışma sisteminde işçilerin esaslı neden olmadıkça salt iş sözleşmesinin niteliğinden dolayı farklı işleme tabi tutulamayacağıdır. Nitekim, İş Kanunu madde 5’te yer alan düzenlemeye göre işverenin iş ilişkisinde ayrım yapamayacağı, ayrım yapılması halinde işçinin tazminat hakkına sahip olduğu düzenlenmiştir. Bu düzenleme ve eşit davranma ilkesi birlikte değerlendirildiğinde, işveren işyerinde fiziken çalışan işçilerle uzaktan çalışanlara eşit şekilde davranma, çalışma ve dinlenme süreleri gibi unsurlar bakımından tüm çalışanları aynı düzenlemelere tabi kılması gerekmektedir. Bu nedenle uzaktan çalışmaya geçildiğinde de işveren tarafından sağlanan diğer yan haklarda da herhangi bir değişiklik yapılmamalıdır. Şayet değişiklik yapılırsa, işçi ücretin eksik ödenmesini öne sürerek iş sözleşmesini haklı nedenle feshedebilecektir.

1. UZAKTAN ÇALIŞMA SİSTEMİNDE İŞÇİLERİN KİŞİSEL VERİLERİNİN KORUNMASI VE VERİ GÜVENLİĞİNİN SAĞLANMASI

Kişisel veri kavramı, kimliği belirli ya da belirlenebilir nitelikteki gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Kişisel verilerin korunmasının amacı verilerin değil, bu verilerin ilişkili olduğu gerçek kişilerin korunmasıdır. Bu koruma, gerçek kişiler hakkındaki bilgilerin işlenmesinden meydana gelecek zararlardan korumayı kapsayacak şekildedir. Kişisel verilerin korunması gerekliliğinin sebebi, veri sahiplerinin kişilik hakkının korunması ile bilginin serbest dolaşımı arasındaki dengenin sağlanmasıdır.^[3] Günümüzde hızla gelişen bilgisayar ve internet teknolojisinin kullanımının yaygınlaşması kişisel verilerin korunmasının öneminin artmasına neden olmuştur.

Kişisel verilerin korunmasının temelini oluşturabilecek nedenlerden biri kişisel verilerin işlenmesi kavramıdır. Kişisel verilerin işlenmesi kavramı ise, kişisel verilerin toplanması, depolanması, değiştirilmesi ve silinmesi gibi uzun ve birçok işlemi kapsayıcı nitelikte geniş bir içeriğe sahiptir.^[4] Kişisel verilerin işlenmesi günümüzde çalışma hayatında da sıkça rastlanılan bir durum haline gelmiştir. İşverenler, kanunun öngördüğü yükümlülüklere uymak ve yeni geçilen uzaktan çalışma sisteminde işyeri işleyişini ve güvenliğini uzaktan sağlamak gibi amaçlarla çalıştırdıkları işçilerine ait kişisel verileri işlemektedir. Uzaktan çalışma sistemine geçilmesine rağmen işverenler yeni işçi alabilmektedir. Bu gibi durumlarda da işveren iş başvurusunda bulunan işçi adaylarına ait kişisel verileri işlemektedir ve işverenin kişisel verilerin işlenmesine dair yükümlülükleri devam etmektedir.

Kişisel Verilerin Korunması Kanunu (“Kanun”) ve Kişisel Verileri Koruma Kurumu’nun (“Kurum”) yayınlamış olduğu rehberler doğrultusunda veri sorumlularının idari ve teknik tedbirler alması gerekmektedir. İşveren “veri sorumlusu” olarak kabul edilmektedir ve gerekli tedbirleri almakla yükümlüdür. Siber güvenliğin ve kişisel veri içeren ortamların güvenliğinin sağlanması, söz konusu teknik tedbirlerden olup işyerinde halihazırdaki altyapı sistemi üzerinden kişisel verilerin güvenliği kontrol altına alınmaktadır. Uzaktan çalışma sistemine geçilmesi halinde eğer şirket altyapısı uzaktan çalışma sistemine uygun değil ise kişisel verilerin güvenliği tehlike altına girecektir.

İşveren yönetim hakkı kapsamında uzaktan çalışan işçinin çalışma performansını ve işçinin çalışıp çalışmadığını denetleme yetkisine sahiptir. Denetleme için işçi ile işveren kendi aralarında erişebilir oldukları saatleri kararlaştırabilir. Bununla birlikte işveren işçinin bilgisayarına uzaktan erişme, işçinin bilgisayar kamerasından fotoğraf veya video kaydetme, işçinin internet arama geçmişine erişme ve işçinin bilgisayar hareketlerini takip etme gibi tedbirler alabilir.

Bu şekilde tedbirlerin alınması elbette ki işverenin tıpkı fiziki çalışma sisteminde olduğu gibi, uzaktan çalışma sisteminde de hakimiyeti sağlama gayesinden kaynaklanmaktadır. Ancak burada önemle durulması gereken konu, işverenin yönetim hakkı ile işçinin özel hayatı arasındaki menfaat dengesinin gözetilmesidir. İşverenin aldığı tüm bu izleme ve gözetleme tedbirleri ile işçilerin kişisel verileri ulaşılabilir hale gelmektedir. Bununla birlikte, işveren TBK m. 417 uyarınca işçinin kişiliğini korumak ve saygı göstermekle yükümlüdür. Bu nedenle, işveren öncelikle bu izleme ve denetleme yöntemi hakkında işçiyi açıkça bilgilendirmelidir.

Veri sorumlusu işverenin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. maddesinden doğan kişileri aydınlatma yükümlülüğü bulunmaktadır. Kanun’un 10. Maddesine göre, kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile 11. maddede sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.

Ayrıca işverenin denetim ve gözetimi verilerin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. İşçinin şahsi bilgisayarını kullandığı durumlarda işveren olabildiğince işçinin menfaatini gözeten ve en dar kapsamlı sınırlamaya başvurmalıdır. İşçinin fotoğrafının çekilmesi veya videoya kaydına alınması gibi tedbirlerin kullanımında 6698 Sayılı Kanun gereğince işçinin açık rızasının alınmasını gerektirmektedir.

Uzaktan çalışmanın etkin ve güvenli bir şekilde yürütülmesi için işyerinin altyapısı çalışanların uzaktan bağlanabilmelerini sağlamalıdır. İşyeri altyapısı uzaktan çalışmaya uygunsa iletişim kurulacaktır ve verinin güvenliğini sağlamak amacıyla çeşitli önlemlerin alınması gerekmektedir. Aksi halde veri sorumlusunun Kişisel Verileri Koruma Kanunu madde 12’ye göre veri güvenliğini sağlama yükümlülüğüne aykırılık teşkil edebilecektir. Ayrıca 6698 Sayılı Kanun’un 18.maddesi uyarınca idari para cezasına hükmedilmesi söz konusu olacaktır. Uzaktan çalışma sisteminde çalışanlar birçok farklı ağ üzerinden internete bağlanabildiği için işletme verilerinin korunması daha çok gündeme gelmektedir. Bu hususta işçinin verilerin korunması için gerekli özeni göstermesi kadar işverenin de işçiye verilerin korunması konusunda gerekli bilgilendirmeleri yapması gerekmektedir.

Uzaktan çalışma süresince işveren tarafından işçiye iş görme borcunun ifası nedeniyle gerekli ekipman teslim edilmektedir ve bu ekipmanların veri güvenliğinin sağlandığından emin olunmalıdır. İşyerinde sağlanan veri güvenliğinin uzaktan çalışma süresince de sağlanması gerekmektedir. Uzaktan çalışma sisteminde işverenin sağlandığı ekipmanları işçi sadece kendisi kullanmalı ve şifreleri hiç kimse ile paylaşmamalıdır. Veri güvenliğinin sağlanması açısından evlerde kullanılan internet bağlantılarının güvenliği sağlanmalı ve kablosuz ağ şifresinin zorluk derecesi yüksek olarak belirlenmeli, kaynağı bilinmeyen e-postalar açılmamalıdır.

Uzaktan çalışma sisteminde fiziken bir araya gelerek çalışma imkansız olduğu için toplantılar çevrimiçi platformlarda gerçekleşmekte ve bilgi güvenliğinin sağlanması büyük önem arz etmektedir. Çevrimiçi platformda gerçekleştirilen toplantılarda paylaşılan tüm görüntüler, kullanıcı adları, ses ve video kayıtları gibi unsurlar Kanun kapsamında kişisel veri niteliğindedir. Bu verilerin herhangi bir şekilde üçüncü kişiler ile paylaşılması durumunda cezai yaptırımlar öngörülmüştür. Şayet çevrimiçi ortamda yapılan toplantılar kayıt altına alınacak ise toplantıya katılan herkesin bu konuda izni alınmalıdır. Toplantıda alınan kararların sızması veya bilgilerin aktarılması gibi durumların yaşanması olası olduğu için çevrimiçi toplantıların yapılacağı platform seçimi oldukça önemlidir. Güvenlik seviyesi yüksek ve tercihen kriptolu programlar kullanılarak bu gibi sorunların önüne geçilebilmektedir.

Kişisel Verileri Koruma Kurumu tarafından 07.04.2020 tarihli “Uzaktan Eğitim Platformları Hakkında Kamuoyu Duyurusu”^[5] başlıklı açıklamasında uzaktan eğitim platformlarında öğrencilerin ad ve soyadları ile ses ve görüntüleri gibi bazı özel nitelikli kişisel verilerinin işlendiği ve bu verilerin Kanun’un 5. ve 6. Maddesindeki şartlara uygun olarak işlenmesi gerektiği ifade edilmiştir. Uzaktan eğitim platformlarına ait veri merkezleri çoğunlukla yurt dışında olduğundan, bu platformların kullanılması durumunda yurtdışına veri aktarımı söz konusu olmaktadır ve kişisel verilerin yurtdışına aktarımında Kanun’un 9. maddesinde belirtilen şartlar dikkate alınmalıdır. Kurum tarafından uzaktan eğitim ile ilgili yapılan açıklama doğrultusunda, söz konusu programların uzaktan çalışma sisteminde de kullanılması nedeniyle çalışanların verilerinin de Kurum’un öngördüğü tedbirler kapsamında işlenmesi gerekmektedir.

Sonuç olarak, veri sorumlusu kabul edilen işverenin 6698 Sayılı Kanun’dan doğan yükümlülükleri uzaktan çalışma süresince de devam etmektedir. Veri güvenliğinin sağlanması ve ihlallerin önlenmesi amacıyla başta Kanun olmak üzere, Kurum tarafından yayınlanan Kişisel Veri Güvenliği Rehberi uyarınca gereken tedbirlerin alınması gerekmektedir. Herhangi bir veri ihlali söz konusu olduğunda veri sorumlusu gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurumu’nu ve ihlalden etkilenen kişileri bilgilendirmelidir. Aksi halde Kanun’un 18. Maddesi uyarınca idari para cezası yaptırımı söz konusu olabilecektir.

KAYNAKÇA

Aygözger, Çiğdem, Kişisel Verilerin Korunması Elektronik Haberleşme Sektörüne İlişkin Özel Düzenlemeler Dahil, Beta Yayınevi, İstanbul 2016.

Çelik, Nuri, İş Hukuku Dersleri, Beta Yayınevi, 33. Baskı, Ankara 2020.

Özdemir, Hayrunnisa, Elektronik Haberleşme Alanında Kişisel Verilerin Özel Hukuk Hükümlerine Göre Korunması, Seçkin Yayıncılık, Ankara 2009.

ELEKTRONİK KAYNAKLAR

Kişisel Verileri Koruma Kurumu, Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) https://www.kvkk.gov.tr/yayinlar/veri_guvenligi_rehberi.pdf

Manav, Eda, “İş İlişkisinde İşçinin Kişisel Verilerinin Korunması” Gazi Üniversitesi Hukuk Fakültesi Dergisi C. XIX, Y. 2015, Sa. 2 http://webftp.gazi.edu.tr/hukuk/dergi/19_2_3.pdf

Teleworking During the COVID-19 Pandemic and Beyond, https://www.ilo.org/wcmsp5/groups/public/—ed_protect/—protrav/—travail/documents/instructionalmaterial/wcms_751232.pdf

Yönt, Şeymanur, “Türk Hukuku’nda Uzaktan Çalışma ve Koronavirüs (Covid 19) Salgını” Lexpera Blog, Nisan 2020, https://blog.lexpera.com.tr/turk-hukukunda-uzaktan-calisma-ve-koronavirus/

1. Teleworking During the COVID-19 Pandemic and Beyond (https://www.ilo.org/wcmsp5/groups/public/—ed_protect/—protrav/—travail/documents/instructionalmaterial/wcms_751232.pdf) Erişim tarihi: 11.05.2021 ↑

2. 20 Haziran 1996 tarihli Uluslararası Çalışma Örgütü Evde Çalışma Sözleşmesi (No. 177) ↑

3. Manav, Eda “İş İlişkisinde İşçinin Kişisel Verilerinin Korunması” Gazi Üniversitesi Hukuk Fakültesi Dergisi C. XIX, Y. 2015, Sa. 2 ↑

4. Ayözger, s.122; Özdemir, Elektronik Haberleşme Alanında Kişisel Verilerin Özel Hukuk Hükümlerine Göre Korunması, s.135 ↑

5. https://www.kvkk.gov.tr/Icerik/6723/Uzaktan-Egitim-Platformlari-Hakkinda-Kamuoyu-Duyurusu ↑