İşten ayrılan çalışanın şirket verilerini teslim etmesinde cihazların iadesi, kurumsal hesap erişimlerinin devri ve dosyaların kişisel cihazlardan ayrılması birbirinden farklı işlemlerdir. Zimmet tutanağı, erişim yetki listesi, iş için kullanılan bulut hesabı ve teslim anındaki dosya envanteri karşılaştırılmadan “tüm veriler silindi” veya “veriler eksiksiz teslim edildi” sonucuna varılmamalıdır. İşverenin saklamak zorunda olduğu kayıtlar ile çalışanın özel verilerinin korunması da ayrı ele alınır.
İade yükümlülüğü işten ayrılış anında bitmez
İşçinin işten ayrılması şirketin kendisine teslim ettiği dizüstü bilgisayar, telefon, anahtar, erişim kartı ve iş belgelerinin mülkiyetini değiştirmez. Bununla birlikte bütün dijital dosyaların şirkete ait olduğu da otomatik kabul edilemez. Çalışanın kendi fotoğrafları, özel yazışmaları ve kişisel hesapları ile görevi gereği işlediği müşteri bilgileri ayrılmalıdır. İş sözleşmesi, zimmet kayıtları, iç politika ve fiili kullanım biçimi birlikte değerlendirilir. İşyerinden ayrılırken iş dosyalarını tamamen silmek de, dosyaların tümünü kişisel bulut hesabına taşımak da yeni uyuşmazlıklara yol açabilir. İade süreci yetkili kişilerce yönetilen, doğrulanabilir bir teslim planına bağlanmalıdır.
Önce somut dijital envanter çıkartılır
İşveren hangi cihazın, hangi lisansın ve hangi kullanıcı erişiminin kimde bulunduğunu somut olarak göstermelidir. “Tüm şirket verilerini getir” gibi sınırsız bir talep, teslimin kapsamını belirsiz bırakır. Zimmet formu, cihaz seri numarası, kurumsal e-posta adresi, proje klasörleri, CRM erişimi ve bulut depolama yetkileri ayrı yazılabilir. Çalışan da teslim ettiğini iddia ettiği eşyalar için tarihli tutanak istemelidir. Fiziksel aygıtın geri verilmesi, cihazın içindeki kurumsal verilerin tek güvenli kopyasının işverene ulaştığını mutlaka kanıtlamaz. Bu nedenle dosya bütünlüğü ile erişim yetkisinin kapatılması teknik ekip tarafından ayrıca teyit edilmelidir.
Kişisel cihazlarda iş verisi nasıl ayrılır?
Evden çalışma düzeninde kişisel telefonda kurumsal mesajlaşma uygulaması veya müşteriye ilişkin dosya bulunabilir. İşverenin bu nedenle çalışanın kişisel cihazının bütün içeriğine sınırsız erişim hakkı doğmaz. Kurumsal verilerin uygun yöntemle aktarılması, iş hesaplarının bağlantısının kesilmesi ve gerekli iş kopyalarının doğrulanması için tarafların ölçülü yöntem üzerinde anlaşması tercih edilmelidir. Gerekli hallerde teknik uzman eşliğinde yalnız iş klasörlerinin ayrıştırılması düşünülebilir. Özel fotoğraflar, aile yazışmaları veya iş dışı belgelerin şirket yetkililerince kopyalanması kişilik hakkı ve veri koruma bakımından ayrıca değerlendirilir. İş verisinin kişisel cihazda bulunması tek başına kötü niyet göstergesi değildir.
KVKK kapsamında veri sorumlusu ve saklama yükümlülükleri
Müşteri, tedarikçi ve çalışanlara ait kişisel veriler üzerinde işlem yapılırken 6698 sayılı Kanun ve ilgili saklama-imha düzeni dikkate alınır. İşverenin verileri işleme amacı sona ermiş olabilir; buna karşılık vergi, ticaret veya dava delili gibi yasal saklama yükümlülükleri bazı kayıtlar için devam edebilir. Bu nedenle “işçi ayrıldı, tüm kayıtlar hemen silinmeli” yaklaşımı da “şirket istediği bütün verileri sonsuza dek tutar” yaklaşımı da yanlıştır. Veri sorumlusu, erişim yetkilerini kapatma, aktarılan dosyaları güvenli tutma ve gereksiz kopyaları bertaraf etme adımlarını belgeler. İşçi, kişisel cihazında kalan iş verilerini kendi başına üçüncü kişilere aktarmamalıdır.
Gizlilik, ticari sır ve rekabet yasağı ayrı konulardır
İşverene ait müşteri listesi veya fiyatlandırma stratejisi gizlilik yükümlülüğü kapsamında korunabilir. Fakat sır saklama borcu, işçinin mesleki bilgi ve genel deneyimini kullanmasını her durumda yasaklamaz. Sözleşmedeki rekabet yasağının geçerliliği ise TBK’nın özel koşullarına bağlı ayrı bir tartışmadır. Şirket verisinin teslim edilmemesi otomatik olarak geçerli rekabet yasağı ihlali ya da haksız rekabet suçu sayılmamalıdır. İşveren hangi bilginin gerçek ticari sır olduğunu, işçinin bu bilgiye erişimini ve iddia edilen kullanım şeklini ispatlamaya ihtiyaç duyar. İhtarnamede bütün önceki çalışanların rakipte işe girmesini yasaklayan geniş taleplerden kaçınılmalıdır.
E-posta, müşteri hesabı ve parola teslimi
Kurumsal e-posta kutuları ve yönetim panellerinde şifre paylaşımı yerine şirket yönetimindeki yetkilendirme ve erişim devri tercih edilmelidir. Çalışanın kullandığı kişisel parolanın işverene açıklanması her durumda güvenli ve gerekli yöntem değildir. İki faktörlü doğrulama, kurtarma adresi ve hesabın sahibinin kimliği gibi teknik konular bilgi işlem birimince çözümlenmelidir. Çalışan iş yazışmalarına kişisel e-posta üzerinden devam etmişse iş ile özel iletişimin ayrıştırılması gerekir. Gerekli dosyalar teslim edilirken kişisel yazışmaların gereksiz topluca kopyalanması önlenmelidir. Erişim kapatma kaydının tarih ve sorumlusu belirtilmesi, sonradan gerçekleşen işlem ve sızıntıların kim tarafından yapılabileceği tartışmasında önem taşır.
Teslim tutanağında hangi alanlar bulunmalı?
Teslim tarihi, teslim alan ve veren kişinin adı, cihaz kimlik bilgileri, alınan aksesuarlar, iade edilen fiziki belgeler, aktarılan kurumsal klasörler, erişimi kapatılan hesaplar ve tespit edilen eksiklikler yazılmalıdır. Gerekirse teslim sırasında teknik incelemenin tamamlanmadığı açıkça belirtilip son kontrol için ayrı kayıt tutulabilir. Çalışanın hiçbir çekince yazmasına izin verilmeden düzenlenen genel bir ibra metni, sonraki uyuşmazlığı her zaman çözmez. Tutanak, teslim olgusunu gerçeğe uygun göstermeli; zararın veya kusurun peşinen kabulü anlamına gelen belirsiz ifadelerle genişletilmemelidir. Taraflardan birinin imzadan kaçınması halinde teslim teklifi ve olası tanıklar ayrıca belgelenebilir.
Veri eksikliği iddiasında ispat nasıl kurulmalı?
Bir klasörün şirkette bulunamaması, çalışanın bu klasörü sildiği anlamına tek başına gelmez. Sunucu kayıtları, sürüm geçmişi, kullanıcı yetki listesi ve yedekleme verileri birlikte incelenmelidir. İşverenin sistem erişimlerinin çok sayıda kişiye açık olduğu ortamlarda failin belirlenmesi daha karmaşıktır. Çalışan hakkında tazminat ileri sürülecekse somut kusur, gerçek zarar ve nedensellik ilişkisinin gösterilmesi gerekir. İşçinin iş sırasında yaptığı her hata otomatik sınırsız sorumluluk doğurmaz. Hukuka aykırı izleme veya işçinin özel iletişiminin denetimsiz ele geçirilmesi, iddiayı desteklemek yerine ayrı bir hukuki sorun yaratabilir.
İhtarname ne zaman ve nasıl hazırlanır?
İşveren önce kendi erişimlerini güvenceye alıp hangi mal veya veri eksik olduğunu belirler. Sonra gerekliyse tarihli ve ölçülü bir ihtarla eksik cihazları, tanımlanmış dosyaları ve teslim usulünü açıkça isteyebilir. İhtarın bir yaptırım tehdidi metni değil, neyin nerede ve ne zamana kadar iade edilmesi gerektiğini açıklayan somut bildirim olması tercih edilir. İşçi bakımından da verilmiş malzemeleri belgelemek, yanlış iddialara yazılı cevap vermek ve kendi kişisel verileri konusunda çekince koymak önemlidir. Bazı uyuşmazlıklarda arabuluculuk veya dava ön koşulları, talebin hukuki niteliğine göre ayrıca incelenir; her veri uyuşmazlığı otomatik işçilik alacağı sayılmaz.
Örnek olay ve uygulanabilir ayrım
Satış personeli işten ayrılırken kendisine zimmetli dizüstü bilgisayarı iade etmiş, ancak müşteri görüşmelerine ait birkaç dosyanın kişisel bulut depolamasında kopyası kalmıştır. İşverenin makul talebi, ilgili kurumsal dosyaların güvenli aktarımı ve gereksiz kopyaların uygun şekilde silindiğinin teyididir. Buna karşılık kişisel bulut hesabının tamamının şifresini istemek ölçülülük sorunu doğurabilir. Personelin dosyaları rakibe gönderdiği iddia ediliyorsa bu, yalnız iade eksikliği değil, ayrı delil ve sorumluluk değerlendirmesi gerektirir. İşçi dosyaların yalnız yedek amaçlı kaldığını söyleyebilir; somut hareket kayıtları ve sözleşme yükümlülükleri iddianın ağırlığını belirler.
Hukuki kaynaklar ve başvuru notu
Somut olayın tarihine uygulanacak yürürlükteki metin ve özel hükümler ayrıca kontrol edilmelidir. Başlıca resmi kaynaklar: 6098 sayılı Türk Borçlar Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 4857 sayılı İş Kanunu.