Kendi cihazınızı getirin (BYOD): yasal riskler olmadan olmaz!

Kendi Cihazını Getir (BYOD) uygulaması nadiren yasal risklerden arınmış olur: Çalışanların iş için kendi telefonlarını, dizüstü bilgisayarlarını veya tabletlerini kullanmalarına izin verirseniz, işveren olarak gizlilikten, şirket verilerinin güvenliğinden ve hatta bu özel cihazlardaki yasa dışı yazılımlardan sorumlu olursunuz. Açık anlaşmalar ve teknik önlemler olmadan BYOD'u uygulamaya koyan herkes, GDPR, inceleme hakkının sınırları ve telif hakkı ihlali nedeniyle olası sorumluluklarla karşı karşıya kalır. Aşağıda, risklerin tam olarak nerede olduğunu, sonuçlarının neler olabileceğini ve bir KOBİ girişimcisi olarak bunları iyi bir BYOD politikasıyla nasıl yönetebileceğinizi okuyabilirsiniz.

BYOD (Kendi Cihazını Getir) nedir?

BYOD, "Kendi Cihazınızı Getirin" anlamına gelir : çalışanlar, işveren ekipmanı yerine iş görevleri için kendi akıllı telefonlarını, dizüstü bilgisayarlarını veya tabletlerini kullanırlar. Özel cihazların maliyetli olması ve yıpranması nedeniyle buna genellikle izin verilir. BYOD popülerdir: çalışanlar tanıdık cihazlarda çalışır, işveren donanım maliyetlerinden tasarruf eder ve elektronik atık azalır.

Bu avantajların karşısında yasal bir dezavantaj da bulunmaktadır. İş ve özel hayat aynı cihazda bir araya geldiği anda, ticari veriler, kişisel veriler ve gizlilik iç içe geçer. İşte tam da burada riskler ortaya çıkar. Kısaca özetlemek gerekirse, bu riskler üç ana başlık altında toplanmaktadır: gizlilik ve inceleme hakkı, ticari verilerin güvenliği ve yasa dışı yazılımlardan kaynaklanan sorumluluk.

BYOD, iş ve özel hayatı bir araya getiriyor: gizlilik ve kontrol hakkı

Şirket dizüstü bilgisayarında bile, iş ve özel hayat arasındaki sınır düzenli olarak tartışmalara yol açar. Örneğin, bir çalışanın e-postasına istediğiniz gibi erişmenize izin verilmez. Dahası, aile üyelerinin de kullandığı özel bir cihaz söz konusu olduğunda durum daha da karmaşık hale gelir: tatil fotoğrafları, kişisel mesajlar ve iş dosyaları aynı cihazda bir arada bulunur.

Burada üç çıkar çatışıyor:

• İşverenin denetleme hakkı – işletme verilerinin ve doğru kullanımının gözetimini sağlamak istersiniz.
• Ticari verilerin –müşteri verileri ve ticari sırlar– gizliliği asla sızdırılmamalıdır.
• Çalışan gizliliği – GDPR, kişisel verilerin işlenmesi ve bunlara erişim konusunda katı şartlar getiriyor.

GDPR kapsamında, çalışanların kişisel verilerini yalnızca gerekli ve orantılı olması ve bunu yapmanın geçerli bir yasal dayanağı olması durumunda işleyebilirsiniz. Özel bir cihazın izlenmesi kişisel gizliliği hızla ihlal eder, bu nedenle sınırsız olarak yapılamaz. Bu nedenle, önceden net anlaşmalar yapmak ve bunları yazılı ve iş verilerinin özel kısımdan ayrı tutulduğu korumalı, şifrelenmiş konteynerlerle çalışmak gibi teknik önlemler uygulamak önemlidir.

Genel kural şudur: İş ve özel hayatı teknik olarak ne kadar sıkı bir şekilde ayırırsanız, bir denetim sırasında birinin kişisel gizliliğini ihlal etme olasılığınız o kadar azalır ve GDPR kapsamındaki konumunuz o kadar güçlü olur.

BYOD (Kendi Cihazını Getir) ve telif hakkı ihlali: İşveren olarak sorumlu musunuz?

Gizlilik düzenlemeleri, işleri aksatabilecek tek şey değil. Hollanda içtihat hukukunda, bir işverenin, örneğin yasa dışı yazılım kullanımı yoluyla, bir çalışanın işlediği ihlallerden, bu yazılım özel bir cihaza . Bu, işverenin astlarının yaptığı hatalardan dolayı mutlak sorumluluğunun bir biçimidir; ancak bunun uygulanabilmesi için bir dizi koşulun yerine getirilmesi gerekir.

İhlal ile eser arasındaki işlevsel bağlantı

İşveren, cihazda tesadüfen meydana gelen her ihlalden sorumlu değildir. Çalışana verilen görevler ile ihlal arasında işlevsel bir bağlantı olmalıdır. Bu konuda genellikle iki unsur rol oynar:

1. Verilen görev, ihlal olasılığını artırır. Belirli bir yazılımla çalışan herkes, tam olarak o yazılımın (muhtemelen yasa dışı olarak) kullanılma olasılığını artırır.
2. İşveren, çalışanın davranışları üzerinde kontrol sahibidir. Kurulumu yasaklayabilir veya kullanımını teknik olarak imkansız hale getirebilirsiniz.

İlk şart, özellikle BYOD (Kendi Cihazını Getir) uygulamasıyla pratikte kolayca karşılanabilir. Yasal yazılım sunsanız bile, bu sizi otomatik olarak sorumluluktan kurtarmaz. Kontrol de genellikle geniştir, çünkü kullanımı yasaklayabilir veya engelleyebilirsiniz. Not: Yargı kararları, sadece kağıt üzerinde bir yasağın otomatik olarak sorumluluğu ortadan kaldırmadığını göstermektedir – bu nedenle teknik önlemler çok önemlidir.

Bir örnekle bunu somutlaştıralım. Eğer bir çalışan iş mektuplarını yazmak için yasa dışı bir kelime işlemci programı kullanıyorsa, işverenin sorumluluğu açıktır: bu doğrudan kendisine verilen görevlerle ilgilidir. Eğer aynı çalışan boş zamanlarında yasa dışı olarak bir oyun indirirse, bu işlevsel bağlantı genellikle yoktur, tabii ki profesyonel bir oyuncu çalıştırmıyorsanız.

Teknik önlemler alın

Teknik olarak, kontrolü sağlamak her zaman kolay değildir. Yaygın olarak kullanılan bir çözüm, barındırılan bir masaüstü veya güvenli bir çalışma ortamı üzerinden çalışmaktır: işveren olarak, hangi (yasal) yazılımın sağlanacağına siz karar verirsiniz ve yalnızca çalışanın donanımı kullanılır. Kendi cihazınızı getirin, ancak kendi yazılımınızı getirmeyin.

Çalışan el kitabı veya BT politikası yardımcı olur mu?

Çalışan el kitabı veya BT politikası faydalı bir araçtır, ancak sorumluluk riskini tamamen ortadan kaldırmaz. İşverenin hak sahibine karşı sorumluluğu prensipte devam eder, bu nedenle işveren bir ihlalden dolayı yine de sorumlu tutulabilir.

Bununla birlikte, net kuralların gerçekten de değeri vardır. Önleyici (çalışanlar neyin izin verildiğini ve neyin verilmediğini bilir) ve baskılayıcı (ihlaller durumunda harekete geçmek ve iç yaptırımlar uygulamak daha kolaydır) bir şekilde işlev görürler. Bu, sorun olasılığını azaltır ve bir şeyler ters gittiğinde konumunuzu güçlendirir.

BYOD (Kendi Cihazını Getir) politikası oluşturun

BYOD (Kendi Cihazını Getir) hızla yasal sorunlara yol açar: çalışan gizliliği tehlikededir, şirket verileri üzerindeki kontrolü korumak istersiniz ve yasa dışı yazılımlarla ilgili sorunlar durumu daha da karmaşık hale getirir. Çözüm, BT politikanız ve çalışan el kitabınızla desteklenen ayrı bir BYOD politikasında net anlaşmalar oluşturmaktan geçer.

İyi bir BYOD politikası en azından şunları düzenlemelidir:

• Hangi cihazların ve hangi kullanım şekillerinin izin verildiği;
• Hangi (yasal) yazılımlar zorunlu veya yasaktır;
• İşletme verilerinin nasıl korunduğu ve güvence altına alındığı (konteynerler, şifreleme, parolalar);
• Kayıp, hırsızlık veya iş akdinin feshi durumunda ne olur (iş verilerinin uzaktan silinmesini düşünün);
• İşverenin GDPR sınırları dahilinde uygulayabileceği kontrol;
• Bakım, güncellemeler ve maliyetlerden kim sorumludur?.

Mevcut belgeler de kontrol edilmeyi hak ediyor. İş sözleşmesine ek anlaşmalar ekleyebilirsiniz ve dış taraflar aracılığıyla kişisel verilerle çalışıyorsanız, bazen bir veri işleme sözleşmesi gerekebilir. Bu, BYOD'yi çevreleyen yasal zinciri tamamlar.

BYOD'u 6 adımda hayata geçirme

BYOD'yi sorumlu bir şekilde uygulamak istiyorsanız, şu adımları izleyin:

1. Hedefinizi ve kapsamınızı tanımlayın. BYOD aracılığıyla hangi işlevler, hangi cihazlar ve hangi veriler alınacak?
2. Riskleri belirleyin. Özellikle kişisel veriler, ticari sırlar ve yazılım kullanımına odaklanın.
3. Teknoloji seçiminizi yapın. Şifrelenmiş konteynerler, barındırılan masaüstü, mobil cihaz yönetimi ve iş verilerini uzaktan silme özelliğini göz önünde bulundurun.
4. Anlaşmaları belgeleyin. Bir BYOD (Kendi Cihazını Getir) politikası taslağı hazırlayın ve bunu BT politikanız, çalışan el kitabınız ve iş sözleşmenizle ilişkilendirin.
5. GDPR ile ilgili hususları yönetin. Denetimin temelini ve orantılılığını belirleyin ve gerektiğinde tedarikçilerle veri işleme sözleşmesi yapın.
6. İletişim kurun ve değerlendirin. Çalışanları bilgilendirin, politikayı imzalatın ve anlaşmaları periyodik olarak gözden geçirin.

BYOD hakkında sıkça sorulan sorular

BYOD ne anlama geliyor?

BYOD, "Kendi Cihazınızı Getirin" anlamına gelir. Çalışanlar, genellikle kullanım ve aşınma-yıpranmayı kapsayan bir ücret karşılığında, iş görevleri için kendi akıllı telefonlarını, dizüstü bilgisayarlarını veya tabletlerini kullanırlar.

BYOD (Kendi Telefonumu Getir) uygulamasında işverenimin özel telefonumu kontrol etmesine izin veriliyor mu?

Sözü fazla uzatmadan söyleyelim. Özel bir cihazın izlenmesi kişisel gizliliğinizi ihlal eder ve GDPR kapsamında gerekli, orantılı ve geçerli bir yasal dayanağa dayanmalıdır. Bu bağlamda önceden yapılan anlaşmalar, belgelenmiş düzenlemeler ve iş ile özel kullanım arasında teknik bir ayrım önemlidir.

Bir işveren olarak, özel bir cihazda bulunan yasa dışı yazılımlardan sorumlu muyum?

Bu mümkün. Atanan görevler ile ihlal arasında işlevsel bir bağlantı varsa ve kullanım üzerinde kontrolünüz varsa, yazılım özel bir cihazda olsa bile işveren olarak sorumlu tutulabilirsiniz. Yazılı bir yasaklama bunu otomatik olarak ortadan kaldırmaz. Bu durum her vaka için ayrı ayrı değerlendirilmelidir.

BYOD (Kendi Cihazını Getir) politikası tüm riskleri ortadan kaldırır mı?

Hayır, ancak onları önemli ölçüde azaltır. BYOD politikası belirsizliği önler, önleyici ve baskıcı bir şekilde çalışır ve konumunuzu güçlendirir. Hak sahiplerine karşı yasal sorumluluğu tamamen ortadan kaldırmaz; bu nedenle, teknik önlemler ve sağlam sözleşmeler gerekli olmaya devam eder.

BYOD için hangi belgelere ihtiyacım var?

Genellikle BYOD veya BT politikası, çalışan el kitabı ve iş sözleşmesindeki uygun hükümlerin bir kombinasyonudur. Tedarikçiler aracılığıyla kişisel verilerle çalışıyorsanız, bir veri işleme sözleşmesi de gerekebilir.

BYOD (Kendi Cihazını Getir) zorunlu mu, yoksa çalışan reddedebilir mi?

BYOD (Kendi Cihazını Getir) prensip olarak işveren ve çalışan arasındaki anlaşmalara dayanır. Bunu sunabilir ve teşvik edebilirsiniz, ancak iş için özel bir cihazın kullanımı rıza ve açık koşullar gerektirir. Daha geniş çapta uygulamaya koymak istiyorsanız, katılanlar ve katılmayanlar için geçerli olan kuralları belirleyin.

BYOD'u yasalara uygun şekilde düzenlemek mi istiyorsunuz? Size yardımcı olabiliriz

MKB Juristen olarak, BYOD'nin (Kendi Cihazını Getir) hayranıyız, ancak yasal sonuçlarını herkesten daha iyi biliyoruz. BYOD'nin öncelikle fayda sağlaması için, sağlam bir BYOD politikası, uygun bir çalışan el kitabı ve iş sözleşmenizdeki doğru maddeler konusunda size yardımcı olmaktan mutluluk duyarız

Durumunuzu görüşmek ister misiniz? İş hukuku , gizlilik ve veri koruma ile telif hakkı konularındaki uzmanlığımızı inceleyin , hukuk danışmanlığı hizmetimiz aracılığıyla bizimle iletişime geçin veya doğrudan bir ön görüşme randevusu ayarlayın . Sizinle birlikte konuları değerlendirmekten memnuniyet duyarız.