MKB Juristen, özel hukuki belgeler hazırlamaktadır
Önemli sözleşmeleri, şartları ve diğer yasal belgeleri kendiniz bir araya getirmek veya kopyalamak en iyisi değildir. Bütçesi kısıtlı girişimcilere özel yasal çözümler, net maliyetler ve pratik açıklamalar sunuyoruz.
- Gümrük sözleşmeleri, şartlar ve koşullar ve yasal belgeler
- Bütçe dostu ve maliyetler konusunda baştan net bilgi veriyor
- Ücretsiz danışmanlık veya herhangi bir yükümlülük gerektirmeyen fiyat teklifi isteyin
Kendi cihazını getirme politikası taslağı hazırlamak isteyen herkes, belgeyi dört temel soru etrafında yapılandırmalıdır: hangi cihazlar ve veriler kapsam dahilindedir, hangi güvenlik gereksinimleri geçerlidir, işveren ne kadar izleme yapabilir ve kayıp, olay ve ayrılma durumlarında ne olur? Gerisi detaylandırmadır. Aşağıda, bölüm bölüm, metni tanımlayan yasal sınırlamalarla birlikte nelerin dahil edilmesi gerektiği açıklanmıştır.
Kısa cevap
- Uygulama kapsamı: hangi çalışanlar, hangi cihazlar ve hangi veriler.
- Güvenlik gereksinimleri: şifreleme, ekran kilidi, güncellemeler, ayrı çalışma ortamı (GDPR Madde 32).
- Kullanım yasağı: eski işletim sistemleri, güvenlik kısıtlamaları kaldırılmış cihazlar, aile içi ortak kullanım cihazları, dış mekan depolama.
- Kontrol: dayanakları, kapsamı, kimin karar verdiği ve hangi güvencelerin uygulandığı (AİHS Madde 8 ve GDPR Madde 6 paragraf 1 f bendi).
- Olaylar: Kayıp veya hırsızlık bildirim süresi ve veri ihlali prosedürü (GDPR Madde 33 ve 34).
- Şirketten ayrılma ve yaptırımlar: Şirket verilerinin silinmesi ve ihlalin sonuçları.
Kendi cihazınızı getirme politikası taslağı hazırlamak: kapsamı belirleyerek başlayın
İlk bölüm, geri kalanının ne kadar katı olabileceğini belirler. Bu nedenle, risklere göre bölümlendirme yapılır. Telefonunda yalnızca takvim ve e-posta isteyen bir çalışanın rejimi, finansal sistemlerle çalışan bir denetleyiciden veya özel kişisel verileri işleyen bir sağlık çalışanından farklıdır. Örneğin, temel, yüksek ve yasaklı olmak üzere iki veya üç kategoriyle çalışın ve izin verilen verileri her kategori içindeki gerekli önlemlerle ilişkilendirin.
Ayrıca, hangi cihazların dahil olduğunu açıkça belirtin: telefon, tablet, dizüstü bilgisayar, özel masaüstü bilgisayar ve taşınabilir depolama aygıtları ile akıllı saatlerin de dahil olup olmadığını açıklayın. Paylaşılan cihazları hariç tutun. Çocuklar tarafından kullanılan bir aile dizüstü bilgisayarı neredeyse hiçbir zaman güvenlik gereksinimlerini karşılamaz ve olayların en yaygın nedenidir. Dahası, katılımın gönüllü olduğunu ve katılmak istemeyen bir çalışanın şirket ekipmanı alacağını belirtin. Bu alternatif olmadan, gönüllülük sadece kağıt üzerinde kalır.
güvenlik gereksinimleri
Bu bölüm, bir olay meydana geldiğinde fark yaratır. GDPR Madde 32, riske uygun teknik ve organizasyonel önlemlerin alınmasını zorunlu kılar. Özellikle:
- Ayrı çalışma ortamı: İş verileri yalnızca yönetilen bir kapsayıcıda veya uygulamada bulunur, asla cihazın genel dosya depolama alanında bulunmaz.
- Cihazın veya en azından çalışma ortamının şifrelenmesi
- Ekran kilidi, kod veya biyometrik kimlik doğrulama ile ve maksimum kilitlenme süresiyle ayarlanabilir.
- Mevcut yazılım: Belirtilen süre içinde işletim sistemini ve uygulamaları güncelleyin.
- İş sistemlerine erişim için çok faktörlü kimlik doğrulama
- Ağ: Güvenli bağlantı olmadan açık Wi-Fi üzerinden iş verilerine erişim mümkün değildir.
- Yedekleme: İş verilerinin özel bulut yedeklemesinde bulunmaması, verilerin iş ortamının dışına çıkmasını önlemek içindir.
Her gereksinimi doğrulanabilir bir standarda dönüştürün. "Cihaz yeterince güvenli olmalıdır" değil, "işletim sistemi bir güvenlik güncellemesinin yayınlanmasından sonraki otuz gün içinde güncellenmelidir" şeklinde bir standart belirleyin. Ancak o zaman daha sonra bir ihlalin olup olmadığını ve hangisinin olduğunu belirleyebilirsiniz.
Kontrolün sınırları
Özel bir cihazın izlenmesi, Avrupa İnsan Hakları Sözleşmesi'nin 8. maddesi uyarınca özel hayata saygı hakkını ihlal eder. Avrupa İnsan Hakları Mahkemesi, 5 Eylül 2017 tarihli Bărbulescu v. Romanya davasında temel konuları detaylandırmıştır: çalışana izlemenin niteliği ve kapsamı hakkında önceden bilgi verilmelidir, meşru bir amaç olmalıdır, önlem gerekli olmalıdır ve daha az müdahaleci yöntemler mevcut olmamalıdır. GDPR kapsamında, olağan yasal dayanak GDPR'nin 6(1)(f) maddesi uyarınca meşru menfaattir. Çalışanın rızası genellikle yeterli değildir, çünkü bu tür bir rıza, yetki ilişkisinde nadiren özgürce verilir.
Bu nedenle, bölümü aşağıdaki gibi detaylandırın:
- Varsayılan olarak kaydedilenler: cihaz durumu, sürüm numaraları, oturum açma denemeleri. Mesaj içeriği kaydedilmez.
- Daha detaylı incelemenin mümkün olduğu durumlar: Ciddi bir ihlal veya veri sızıntısı şüphesinin somut ve doğrulanmış olması halinde.
- Kararı kim verecek: Tercihen iki kişi, örneğin Yönetim Kurulu ile Veri Koruma Sorumlusu veya Bilgi İşlem Müdürü.
- Dikkate alınmayanlar şunlardır: özel fotoğraflar, özel iletişim, sağlık uygulamaları ve iş ortamının dışında kalan her şey.
- Raporlama: Her denetimle ilgili kısa bir rapor ve çalışanın denetim hakkı.
Sistematik izleme uygulamasına geçerseniz, GDPR Madde 35 uyarınca Veri Koruma Etki Değerlendirmesi gerekip gerekmediğini değerlendirin. Ayrıca, İşyeri Konseyinin davranış veya performans izleme ile ilgili düzenlemeler (İşyeri Konseyi Kanunu Madde 27, paragraf 1, kısım k) ve çalışanların kişisel verilerinin işlenmesi ile ilgili düzenlemeler (kısım l) konusunda onay alma hakkına sahip olduğunu da unutmayın. Onay alınmadığı takdirde, düzenleme geçersiz sayılabilir ve bu durumda artık ona güvenemezsiniz.
Olaylar, ayrılış ve yaptırımlar
Son aşama üç prosedürden oluşmaktadır. Kayıp veya hırsızlık durumunda , çalışan bunu derhal bildirir ve mesai saatleri dışında da dahil olmak üzere somut bir zaman dilimi ve belirlenmiş bir iletişim noktası belirtir. İşveren daha sonra bir veri ihlalinin olup olmadığını değerlendirir ve gerekirse bunu 72 saat içinde Hollanda Veri Koruma Kurumu'na (GDPR Madde 33) ve yüksek risk durumlarında veri sahiplerine (GDPR Madde 34) bildirir. İşverenin çalışma ortamını uzaktan silmesine izin verildiği ve bunun yalnızca söz konusu çalışma ortamını etkilediği belirtilmelidir.
İş akdinin sona ermesi durumunda , şirket verilerinin silinmesi, çalışan tarafından imzalanmış kısa bir onay belgesiyle birlikte çıkış prosedürüne dahil edilmelidir. Bu sadece GDPR ile ilgili bir nokta değil: Ticari Sırlar Yasası, gizli bilgileri ancak sahibi gizli tutmak için makul önlemler almışsa korur. Kanıtlanabilir bir çıkış prosedürü bu önlemlerden biridir. Ayrıca, çalışma süresi boyunca cihazın onarımı, satışı veya takası ile ilgili olarak neler olacağı da düzenlenmelidir.
Yaptırımlar konusunda , iş hukuku kapsamındaki olağan önlemlere başvurulabilir; bunlar, ciddi bir ihlal durumunda uyarıdan işten çıkarmaya kadar değişebilir. Para cezası uygulamak isterseniz, Hollanda Medeni Kanunu'nun 7:650. maddesinin şartları geçerlidir; bu şartlar arasında para cezasının amacını ve azami miktarını belirten yazılı bir anlaşma da yer alır. Asgari ücretin üzerinde maaş alan çalışanlar için, bu durumdan yazılı olarak sapma izni verilebilir. Uygulamada, şirket ekipmanının sağlanmasıyla birlikte BYOD izninin iptal edilmesi, para cezasından daha etkilidir.
Pratik bir örnek: Bir idari ofis, sınıflandırma yapmadan BYOD'ye (Kendi Cihazını Getir) izin veriyordu. Bir çalışan, müşteri dosyalarını kendi özel bulut sürücüsünde saklıyordu; bu sürücü aynı zamanda ortağının tabletinde de bulunuyordu. Zorunlu çalışma alanı ve özel bulut depolamaya açık bir yasak getiren düzenlemelerin getirilmesinden sonra, kimsenin telefonunu teslim etmesine gerek kalmadan sorun yapısal olarak çözüldü.
Dürüst tavsiye
Bunun için her zaman bir avukata ihtiyacınız yok. Eğer sadece kendi PIN koduna sahip yönetilen bir uygulama üzerinden takvim ve e-posta kullanımına izin veriyorsanız, özel kişisel verileri işlemiyorsanız ve bir işçi temsilciliğiniz yoksa, çalışan el kitabında bir sayfa yeterli olacaktır: izin verilen cihazlar, zorunlu ekran kilitleme ve güncellemeler, uygulama dışında depolama yasağı, kayıp durumunda bildirim yükümlülüğü ve işten ayrılma durumunda silme.
Çalışanların kendi cihazlarıyla müşteri dosyalarına, finansal sistemlere veya hassas kişisel verilere erişmeye başlaması, cihaz yönetimi veya izleme sisteminin devreye girmesi veya onay gerektiren bir İşçi Konseyi'nin ortaya çıkması durumunda, düzenlemelerin derhal hazırlanmasını sağlayın. Bir olay durumunda müdahale etmenize gerçekten izin verilip verilmeyeceğini ve bir önlemin mahkemede geçerli olup olmayacağını belirleyen de tam olarak izleme bölümü ve yaptırım bölümüdür.
Daha fazla bilgi için: Kendi cihazınızı getirme politikası nedir ve kendi cihazınızı getirme politikası nasıl hazırlanır ? Bunu doğrudan kendi cihazınızı getirme politikası sayfası üzerinden düzenleyebilirsiniz .
Sıkça Sorulan Sorular
Uygulama kapsamı (kim, hangi cihazlar, hangi veriler), güvenlik gereksinimleri, yasaklı kullanım, kontrolün sınırları ve güvenceleri, kayıp veya hırsızlık durumunda bildirim prosedürü, şirket verilerinin ayrılışta silinmesi ve ihlalin sonuçları.
Her gereksinimi, bir sayı veya zaman sınırı içeren bir standarda dönüştürün. Yani, cihazın yeterince güvenli olması değil, işletim sisteminin bir güvenlik güncellemesinden sonra otuz gün içinde güncellenmesi, ekran kilidinin en fazla iki dakika sonra etkinleşmesi ve şirket verilerinin yalnızca yönetilen çalışma ortamında saklanması gibi.
Yalnızca gerekli ve orantılı ölçüde ve çalışana önceden açık bilgi verilerek (AİHS Madde 8). Yasal dayanak genellikle GDPR Madde 6(1)(f) uyarınca meşru menfaattir; yetki ilişkisinde rıza nadiren özgürce verilir. Standart izlemeyi cihaz durumu ve erişim günlükleriyle sınırlayın ve esaslı kontrolleri yalnızca somut bir şüphe durumunda gerçekleştirin.
Sadece çalışma ortamı ve bu da ancak önceden belirlenmişse silinebilir. Tam silme işlemi özel dosyaları da etkiler ve yasal dayanağı olmadan yasa dışı olabilir. Bu nedenle, ayrı bir konteyner kullanın ve silme işlemi sırasında nelerin silineceğini ve nelerin silinmeyeceğini yönetmeliklerde açıkça belirtin.
Neredeyse her zaman, çünkü yönetmelikler, davranış veya performansın izlenmesine (İşyeri Konseyi Kanunu Madde 27, fıkra 1, k bendi) ve çalışanların kişisel verilerinin işlenmesine (l bendi) ilişkin hükümler içermektedir. Bölge mahkemesi hakiminin rızası veya vekaleten izni olmadan, İşyeri Konseyi yönetmeliğin geçersizliğini ileri sürebilir ve yönetmeliğe güvenemezsiniz.
Bu mümkün, ancak o zaman Hollanda Medeni Kanunu'nun 7:650. maddesinin şartları geçerli olur: cezalandırılabilir hükmü, para cezasının nereye uygulanacağını ve azami miktarını belirten yazılı bir anlaşma. Asgari ücretin üzerindeki ücretler söz konusu olduğunda, bundan yazılı olarak sapmaya izin verilir. Uygulamada, BYOD izninin iptal edilmesi ve şirket ekipmanının sağlanması daha iyi sonuç verir.
Şirket ekipmanı şeklinde her zaman bir alternatif sunun. Bir çalışanı kendi mülkünü işverenin yönetimine bırakmaya zorlayamazsınız ve alternatif olmadan gönüllülük sahte olur. Bu alternatifi yönetmeliklerde açıkça belirtin.
