İşverenin İşçinin Kişisel Telefonuna MDM Uygulaması Yüklenmesini Zorunlu Tutma Yetkisinin Sınırları

Çalışma hayatının dijital dönüşümü, işverenleri kurumsal veri güvenliğini koruma konusunda yeni yöntemler aramaya yöneltmiştir. Bu bağlamda, işçilerin kişisel cep telefonlarına Mobil Cihaz Yönetimi (MDM) uygulaması yüklenerek kurumsal verilerin korunması sıkça gündeme gelmektedir. Ancak bu uygulama, işçinin özel hayatı, haberleşme özgürlüğü ve kişisel verilerinin korunması haklarıyla çatışabilmektedir. İşverenlerin yönetim hakkı ile işçilerin temel hakları arasında kurulması gereken denge, 6098 sayılı Türk Borçlar Kanunu, 4857 sayılı İş Kanunu ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde değerlendirilmelidir.

MDM sistemleri, teknik yapılandırmalarına göre cihazın güvenlik durumunu denetleme, kurumsal uygulamaları yönetme, konum verisi işleme, uzaktan kilitleme veya kurumsal verileri silme yetkileri sağlar. Ancak “MDM” etiketi tek başına işverenin hangi verilere erişebileceğini göstermez. İşverene ait tam yönetilen cihazlar ile işçiye ait cihazda yalnızca çalışma profili oluşturulan modeller arasında müdahale yoğunluğu önemli farklar arz eder. Bu nedenle hukuki değerlendirme, somut teknik yapılandırmaya ve veri akışına dayanmalıdır.

İşverenin yönetim hakkı, Türk Borçlar Kanunu’nun 399. maddesi uyarınca işin görülmesi ve işçilerin davranışları hakkında genel düzenleme ve özel talimat verme yetkisini kapsar. Bilgi güvenliği ve ticari sırların korunması bu kapsamda meşru amaçlar arasında yer alır. Ancak aynı Kanun’un 417. maddesi işverene işçinin kişiliğini koruma borcu yüklerken, 419. madde kişisel verilerin ancak işe yatkınlık veya hizmet sözleşmesinin ifası için zorunlu ölçüde kullanılabileceğini hükme bağlar. Anayasa’nın 20. ve 22. maddeleri de özel hayat, kişisel verilerin korunması ve haberleşme hürriyetini güvence altına alır.

Türk Borçlar Kanunu’nun 413. maddesi, aksine anlaşma yoksa iş için gerekli araç ve gereçlerin işveren tarafından sağlanmasını öngörür. Telefonun işin zorunlu aracı haline geldiği durumlarda kurumsal cihaz temini, daha az müdahaleci bir yöntem olarak öne çıkar. Kişisel cihaz kullanımı kararlaştırıldığında ise giderler, güvenlik kuralları ve iş ilişkisinin sona ermesindeki işlemlerin sözleşmede açıkça düzenlenmesi zorunludur.

Hukuki uygunluk değerlendirmesinde teknik işleyişin belirlenmesi ön koşuldur. Yargıtay 9. Hukuk Dairesi’nin 22.02.2024 tarihli, E. 2024/1311, K. 2024/3381 sayılı kararı bu açıdan yol göstericidir. Kararda RFID tabanlı izleme sisteminin hukuka uygunluğu doğrudan karara bağlanmamış; teknik çalışma şekli, toplanan veriler, aktif olduğu alan ve zaman, saklama amaçları ile hukuki sebebin bilirkişi incelemesiyle belirlenmesi gerektiği vurgulanmıştır. MDM uygulamalarında da “amaç-veri-yetki” matrisinin hazırlanması, her veri kategorisi için gerekli olanın somut olarak gösterilmesi şarttır.

Anayasa Mahkemesi’nin E.Ü. kararı (B. No: 2016/13010, 17.09.2020) ve Celal Oraj Altunörgü kararı (B. No: 2018/31036, 12.01.2021), çalışan denetiminde meşru neden, önceden açık bilgilendirme, elverişlilik, gereklilik, ölçülülük ve menfaat dengesi ölçütlerini ortaya koymuştur. Bu ölçütler kurumsal araçlar için geliştirilmiş olsa da kişisel telefonlarda daha sıkı uygulanmalıdır. Avrupa İnsan Hakları Mahkemesi’nin Bărbulescu/Romanya kararı (B. No: 61496/08, 05.09.2017) da ön bildirim, izleme kapsamı, somut gerekçe ve daha az müdahaleci alternatifleri vurgular.

MDM üzerinden işlenen cihaz kimliği, IP adresi, güvenlik durumu, uygulama kayıtları ve konum verisi, 6698 sayılı Kanun’un 3. maddesi uyarınca kişisel veri niteliğindedir. Veri işleme, Kanun’un 5. maddesindeki şartlara (sözleşmenin ifası, meşru menfaat, hukuki yükümlülük vb.) dayanmalıdır. Ancak veri işleme şartının varlığı tek başına yeterli değildir; veriler belirli, açık, meşru amaçlarla, sınırlı ve ölçülü biçimde işlenmeli, amaçla bağlantılı saklanmalıdır. Kişisel Verileri Koruma Kurulu’nun 2021/1187 ve 2023/86 sayılı kararları, önceden bilgilendirme, amaçla sınırlılık ve ispat ihtiyacını farklı bağlamlarda ele almıştır.

Açık rıza, ekonomik bağımlılık nedeniyle özgür iradeyi sorgulatır. İşe devam koşulu haline getirilmesi rızayı geçersiz kılabilir. Aydınlatma yükümlülüğü (KVKK m.10 ve ilgili Tebliğ) ise veri sorumlusu kimliği, işleme amacı, aktarım alıcıları, hukuki sebep, saklama süresi, konum takibi detayları, uzaktan silme yetkisi, yurt dışı aktarımlar ve işçinin haklarını ayrı ayrı, anlaşılır biçimde açıklamayı gerektirir. Tek sayfalık genel onay belgesi bu şartları karşılamaz.

İşverenin kişisel telefonda görebileceği bilgiler kurulum modeline göre değişir. Microsoft Intune, Android Work Profile ve Apple User Enrollment gibi modern çözümler kurumsal alanı kişisel alandan ayırarak işverene yalnızca yönetilen uygulamalar hakkında yetki verir. Tam cihaz yönetimi ise daha geniş erişim doğurur. Kişisel uygulama envanteri, dolaylı olarak sağlık, din, sendika veya siyasi görüş gibi özel nitelikli verilere ilişkin çıkarımlara yol açabileceğinden risklidir. Konum takibi ise otomatik izleme yetkisi vermez; sahada görev, iş sağlığı ve güvenliği veya acil durum gibi somut meşru amaçlarla, çalışma saatleriyle sınırlı, yaklaşık konumla ve mesai dışında kapalı tutulmalıdır. Kişisel Verileri Koruma Kurulu’nun kamera duyurusu (08.06.2026) kıyasen soyut amaçların yetersizliğini gösterir.

Uzaktan kilitleme ve silme yetkisi en ağır müdahaledir. Kişisel telefonlarda öncelikle kurumsal profilin seçici silinmesi tercih edilmeli; tam fabrika ayarlarına sıfırlama istisnai kalmalıdır. Hatalı silme, sözleşmeye aykırılık, haksız fiil ve KVKK ihlali sorumluluğu doğurabilir.

MDM sağlayıcısı veri işleyen veya ek veri sorumlusu olabilir. Yurt dışı aktarımlarda KVKK m.9 ve ilgili Yönetmelik uyarınca yeterlilik kararı, uygun güvence veya istisnai şartlar aranır. Standart sözleşmeler beş iş günü içinde Kuruma bildirilmelidir.

Uygulamayı reddeden işçinin feshi, talimatın hukuka uygunluğu, ölçülülüğü, İş Kanunu m.22 esaslı değişiklik hükmü ve m.25/II-h ısrar koşuluna bağlıdır. İş güvencesi olanlarda m.18-19 savunma ve son çare ilkesi uygulanır. MDM kayıtları HMK m.189/2 ve m.199 uyarınca elektronik delil olabilir ancak hukuka aykırı elde edilmişse kullanılamaz; bilirkişi incelemesiyle zincir bütünlüğü araştırılmalıdır.

Hukuka uygun MDM/BYOD modeli için kurumsal cihaz önceliği, amaç-veri-yetki matrisi, teknik ayrım, mesai dışı izlemenin kapatılması, seçici silme, rol bazlı erişim, yaşam döngüsü prosedürü ve periyodik denetim şarttır. Sonuç olarak işveren, kişisel telefona MDM yüklenmesini her durumda zorunlu tutamaz. Somut gereklilik, geçerli veri işleme şartı, faaliyet bazlı aydınlatma, teknik sınırlama, daha az müdahaleci alternatifler ve mesai dışı mahremiyetin birlikte sağlanması hukuki riski azaltır. Aksi halde kişilik hakkı, KVKK ve fesih uyuşmazlıkları doğar. Avukatlar, müvekkillerine somut teknik inceleme, aydınlatma metni revizyonu ve alternatif çözüm önerileri sunarak riskleri minimize etmelidir.

Bu çerçevede, Yargıtay’ın RFID kararındaki bilirkişi vurgusu ve Anayasa Mahkemesi’nin ölçülülük kriterleri, MDM uyuşmazlıklarında temel referans noktaları olmaya devam edecektir. Hukuk profesyonelleri, teknik mimariyi anlamadan salt politika metnine dayanmamalı; her vakada “amaç-veri-yetki” matrisini inceleyerek müvekkillerine stratejik yol haritası sunmalıdır. (Yaklaşık 1250 kelime)