Cihaz yönetimi neden bir KVKK konusu?
Yönetilen bir telefonu genellikle tek bir kişi taşır. Cihazın seri numarası, konumu, üzerindeki uygulamalar ve gönderdiği loglar o kişiyle ilişkilendirilebilir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından bunlar kişisel veridir.
Kurumunuz bu cihazları yönettiğinde verinin neden ve nasıl işleneceğine karar verir; yani veri sorumlusu olur. Bulut MDM kullanıyorsanız veriyi barındıran üretici genellikle sizin adınıza veri işleyen konumundadır. İki taraf arasında veri işleyenin yükümlülüklerini belirleyen yazılı bir sözleşme bulunmalıdır.
Bu yazı doğru soruları sormanıza yardımcı olacak genel bilgi içerir, hukuki tavsiye değildir; kendi yapınızı hukuk biriminize ya da veri koruma sorumlunuza inceletin.
KVKK’nın temel ilkeleri
KVKK’nın 4. maddesindeki genel ilkeler, AB’nin GDPR düzenlemesindeki ilkelere çok benzer. Bir MDM projesi için en önemli beşi şunlardır:
- Hukuka ve dürüstlük kurallarına uygunluk: Veriyi geçerli bir hukuki sebebe dayanarak ve çalışanın makul olarak bekleyeceği şekilde işleyin.
- Belirli, açık ve meşru amaç: Her veri türünü neden topladığınıza önceden karar verin ve ilgisiz amaçlar için kullanmayın.
- Amaçla bağlantılı, sınırlı ve ölçülü olma: Yalnızca amacın gerektirdiği veriyi toplayın.
- Gerekli süre kadar saklama: Veriyi yalnızca gerekli süre boyunca saklayın; ardından silin, yok edin ya da anonim hale getirin.
- Veri güvenliği: Veriyi uygun teknik ve idari tedbirlerle koruyun (KVKK madde 12).
Aydınlatma yükümlülüğü
KVKK’nın 10. maddesine göre veri sorumlusu, kişisel veriler elde edilirken ilgili kişiyi aydınlatmak zorundadır. Yönetilen cihazlar için iyi bir aydınlatma metni şunları içerir:
- veri sorumlusunun kimliği
- MDM’in her cihaz türünde hangi verileri topladığı (envanter, uygulama listesi, konum, loglar gibi)
- her verinin hangi amaçla ve hangi hukuki sebebe dayanarak toplandığı
- kurum içinde kimlerin görebildiği, hangi hizmet sağlayıcıların işlediği
- verinin nerede saklandığı, yurt dışına aktarım olup olmadığı
- ne kadar süre saklandığı
- çalışanın KVKK 11. maddedeki hakları ve bunları nasıl kullanacağı
Metni önemli olduğu anda gösterin: cihaz teslim edilirken ya da kaydedilirken. Çalışanın metni aldığını kayıt altına alın.
Hukuki sebebin seçimi
Akla ilk gelen çoğu zaman açık rızadır ve çoğu zaman yanlış tercihtir. İş ilişkisinde çalışan rıza vermemeyi gerçek bir seçenek olarak görmeyebilir. Kişisel Verileri Koruma Kurumu’nun yaklaşımı da başka bir hukuki sebep varken açık rızaya dayanılmaması yönündedir.
Cihaz yönetimine genellikle şu sebepler daha iyi uyar:
- Sözleşmenin ifası: Çalışanın işini yapmak için ihtiyaç duyduğu cihazın yönetimi.
- Hukuki yükümlülük: Örneğin kurumun almak zorunda olduğu güvenlik tedbirleri.
- Meşru menfaat: Kurum verisinin korunması, kayıp cihazın bulunması, cihazların çalışır tutulması. Bu sebep, çalışanın temel hak ve özgürlüklerine zarar vermemek şartıyla kullanılabilir ve bir denge değerlendirmesi gerektirir.
Hukuki sebebi veri türüne göre belirleyin. Envanter ve güvenlik durumu bir sebebe dayanabilir; sürekli konum takibi ise çok daha güçlü bir gerekçe ister.
Uygulamada ölçülülük
Ölçülülük ilkesi, MDM yapılandırmasıyla hukukun buluştuğu yerdir. Her veri türü için şu soruları sorun:
- Konum: Her cihazda mı gerekli, yoksa yalnızca saha ve yüksek riskli cihazlarda mı? Sürekli iz mi gerekiyor, yoksa cihaz kaybolduğunda anlık sorgu yeterli mi? Mesai dışında toplama durdurulabilir mi?
- Arama geçmişi ve ağ logu: Belirli bir güvenlik ya da hukuki gerekçe var mı? Yoksa kapalı tutun.
- Uygulama envanteri: Kurum cihazında normalde gereklidir. İş profili olan kişisel cihazda yalnızca iş uygulamalarıyla sınırlayın.
- Ekran izleme ve uzaktan kontrol: Destek amacıyla, kullanıcının bilgisi dahilinde kullanın ve her oturumu kimin başlattığını kaydedin.
Ardından saklama sürelerini belirleyin ve eski verinin gerçekten silindiğinden emin olun.
İşveren neyi görebilir, neyi göremez?
Yanıt cihazın sahiplik modeline bağlıdır. Modelleri cihaz sahiplik modelleri yazısında ayrıntılı anlatıyoruz.
| Kurum cihazı, tam yönetim | İş profili olan kişisel cihaz | |
|---|---|---|
| Cihaz modeli, işletim sistemi sürümü, güvenlik durumu | Evet | Evet |
| Yüklü uygulamalar | Tüm uygulamalar | Yalnızca iş profili uygulamaları |
| Konum | Politikayla açılırsa mümkün | Kişisel taraftan genellikle alınamaz |
| Arama geçmişi, ağ logu | Bazı ürünlerde, politikayla açılırsa mümkün | Kişisel taraftan alınamaz |
| Uzaktan silme | Tüm cihaz | Yalnızca iş profili |
| Kişisel mesajlar, fotoğraflar, gezinme içeriği | Hayır, MDM bunları okumak için tasarlanmamıştır | Hayır |
Tablo tipik davranışı gösterir. Kullandığınız ürünün her modda gerçekte hangi verileri topladığını kontrol edin ve bunları aydınlatma metninizde belirtin.
Veri yerelliği ve yurt dışına aktarım
Verinin nerede saklandığı KVKK açısından önemlidir. KVKK’nın 9. maddesi 2024’te önemli ölçüde değişti. Yurt dışına aktarım artık yeterlilik kararına, Kurul’un ilan ettiği standart sözleşme gibi uygun güvencelere ya da sınırlı istisnalara dayanabiliyor. Standart sözleşmenin imzalandıktan sonra beş iş günü içinde Kurum’a bildirilmesi gerekiyor.
MDM için bu, tek bir pratik soruya dönüşür: Sunucular nerede ve üretici başka ülkelerde alt yüklenici kullanıyor mu? MDM’i Türkiye’de ya da kendi tesisinizde barındırmak, yurt dışına veri aktarımıyla ilgili soruların çoğunu ortadan kaldırır. Bu tercihi bulut mu, kurum içi mi yazısında karşılaştırıyoruz.
MDM’in desteklemesi gereken güvenlik tedbirleri
Veri korumanın bir yanı da elinizdeki veriyi korumaktır. Şunlara bakın:
- her yöneticinin yalnızca işinin gerektirdiği cihazları ve veriyi görmesini sağlayan rol tabanlı erişim
- merkezi hesap kontrolü için LDAP gibi dizin entegrasyonu
- yönetici işlemlerinin ve uzaktan oturumların kaydı
- iletimde ve cihazda verinin şifrelenmesi
- kayıp cihazlar için uzaktan kilitleme ve silme
Bunların pratikte nasıl çalıştığını güvenlik ve uyumluluk sayfamızda görebilirsiniz.
DeepManage’de nasıl?
DeepManage’de bir cihazın konum, arama geçmişi ve ağ logu gönderip göndermeyeceğine politika bazında karar verirsiniz; böylece her grup için yalnızca gereken veriyi toplarsınız. Kurumlar kendi kullanım koşullarını konsolda yayımlayabilir. Kullanıcılar metni cihazda görür; DeepManage, hangi kullanıcının hangi sürümü hangi cihazda onayladığını kaydeder. Yönetici erişimi roller, organizasyon yapısı ve LDAP entegrasyonuyla kontrol edilir.
Veri yerelliği için DeepManage, Infoline’ın barındırdığı bulutta ya da kapalı ağlar dahil kendi ağınızda kurum içi olarak çalışır. Her özelliğin hangi veriyi topladığını konum ve coğrafi sınır ve raporlar sayfalarında görebilirsiniz.