İş yazışmalarını kişisel mesajlaşma uygulamalarında yürütmek KVKK ve bilgi güvenliği açısından ne anlama gelir? Veri sorumlusu, güvenlik tedbirleri ve kurumsal mesajlaşmanın farkı.
“Grubu kurdum, herkesi ekledim.” Pek çok kurumda iş yazışmaları bu cümleyle kişisel mesajlaşma uygulamalarına taşınır. Hızlıdır, herkesin telefonunda zaten yüklüdür ve kimse yeni bir uygulama öğrenmek zorunda kalmaz. Ancak bu kolaylığın arka planında, kurumun çoğu zaman farkında olmadığı bir tablo oluşur: müşteri bilgileri, çalışanların sağlık raporlarının fotoğrafları, fiyat teklifleri ve iç yazışmalar, kurumun kontrolü dışındaki hesaplarda ve cihazlarda birikir.
Bu yazıda iş yazışmalarının kişisel mesajlaşma uygulamalarında yürütülmesinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve bilgi güvenliği açısından ne anlama geldiğini genel hatlarıyla ele alıyor, kurumsal mesajlaşmanın hangi noktalarda farklılaştığını anlatıyoruz.
Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kurumunuza özgü değerlendirme için KVKK alanında uzman bir hukukçuya danışın.
İş yazışmaları neden kişisel veri içerir?
KVKK’ya göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Bu tanım oldukça geniştir. Sıradan bir iş yazışmasında bile çoğu zaman kişisel veri bulunur:
- Çalışanların ad, telefon ve iletişim bilgileri,
- Müşteri ya da tedarikçi yetkililerinin bilgileri,
- İzin, rapor, vardiya ve performansla ilgili konuşmalar,
- Paylaşılan belge ve fotoğraflar (kimlik fotokopisi, sağlık raporu, imzalı formlar).
Sağlık verileri gibi bazı bilgiler Kanun’da özel nitelikli kişisel veri olarak ayrıca düzenlenmiştir ve daha sıkı koşullara tabidir. Bir çalışanın sağlık raporunun fotoğrafını kişisel bir mesaj grubuna atması, bu verinin kurumun hiçbir kontrolünün olmadığı bir ortama taşınması anlamına gelir.
Veri sorumlusu olarak kurumun yükümlülükleri
Çalışan ve iş verisini işleyen kurum, KVKK kapsamında çoğu durumda veri sorumlusudur. Kanun’un 12. maddesi, veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini ve bunlara hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almasını öngörür.
İş yazışmaları kişisel uygulamalara dağıldığında bu tedbirleri almak zorlaşır:
- Erişim kontrolü: Kurum, kimin hangi yazışmaya eriştiğini belirleyemez. Gruba yanlışlıkla eklenen bir kişi geçmiş yazışmaların tamamını görebilir.
- Ayrılan çalışan: Çalışan işten ayrıldığında yazışmalar ve paylaşılan dosyalar onun kişisel cihazında ve hesabında kalmaya devam eder.
- Saklama ve imha: Kanun’un 4. maddesindeki genel ilkelerden biri, verinin işlendiği amaç için gerekli olan süre kadar muhafaza edilmesidir; 7. madde ise işlenme şartları ortadan kalktığında silme, yok etme veya anonim hâle getirmeyi düzenler. Kurumun erişemediği bir ortamdaki veriyi silmesi ya da imha etmesi fiilen mümkün değildir.
- İlgili kişi hakları: Kanun’un 11. maddesi kişilere, verilerinin işlenip işlenmediğini öğrenme ve silinmesini isteme gibi haklar tanır. Dağınık yazışmalarda bu taleplere eksiksiz cevap vermek zorlaşır.
- Yurt dışına aktarım: Kişisel mesajlaşma uygulamalarının hizmet sağlayıcıları ve sunucuları çoğu zaman yurt dışındadır. Kişisel verilerin yurt dışına aktarımı, Kanun’un 9. maddesinde ayrıca düzenlenen şartlara bağlıdır.
Ayrıca bir veri ihlali yaşandığında, veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmesi gerekir. Kurumun hiç görmediği bir ortamda yaşanan ihlali fark etmesi ve kapsamını belirlemesi ise oldukça güçtür.
Bilgi güvenliği açısından riskler
KVKK’nın ötesinde, kişisel uygulamalarda yürütülen iş yazışmaları kurumun kendi bilgi varlıkları için de risk oluşturur:
- Kurumsal hafıza kaybı: Bir projeyle ilgili kararlar, müşteriye verilen sözler ve paylaşılan dosyalar kişisel hesaplarda kalır; ayrılan çalışanla birlikte gider.
- Kayıp cihaz: Kaybolan ya da çalınan bir telefonda kurumsal yazışmalar korumasız kalabilir ve kurumun o oturuma müdahale imkânı yoktur.
- Yanlış kişiye gönderim: Kişisel ve iş sohbetlerinin aynı uygulamada durması, bir belgenin yanlış sohbete gönderilme ihtimalini artırır.
- Kurum dışı kişiler: Gruplarda eski çalışanlar, tedarikçiler ya da tanınmayan numaralar zamanla birikebilir.
Kurumsal ve kişisel mesajlaşma: karşılaştırma
| Konu | Kişisel mesajlaşma uygulaması | Kurumsal mesajlaşma |
|---|---|---|
| Hesap | Çalışanın kişisel telefon numarası | Kurumun açıp kapattığı kurumsal hesap |
| Kimlerle yazışılır? | Numarası bilinen herkes | Kurumun kendi çalışanları |
| Ayrılan çalışan | Yazışmalar kişide kalır | Hesap kurum tarafından kapatılır |
| Verinin yeri | Hizmet sağlayıcının belirlediği yer | Kurumun seçtiği altyapı |
| İş ve özel hayat | Aynı uygulamada iç içe | Ayrı, iş odaklı kanal |
| Diğer iş araçlarıyla bağ | Yok | Görev, portal ve bildirimlerle aynı platformda |
Kurumsal mesajlaşmaya geçerken nelere bakmalı?
- Veri nerede tutuluyor? Verinin hangi ülkede, hangi altyapıda barındırıldığını öğrenin.
- Şifreleme nasıl? Mesajların nasıl şifrelendiğini net olarak sorun. Sunucuda saklanan verinin şifrelenmesi ile uçtan uca şifreleme farklı kavramlardır; hangisinin sunulduğunu bilmek gerekir.
- Kurumlar arası ayrım: Bulut hizmetlerinde her kurumun verisinin diğerlerinden ayrıldığından emin olun.
- Hesap yaşam döngüsü: Hesapları kimin açıp kapattığını ve ayrılan çalışanın hesabına ne olduğunu öğrenin.
- Silme talepleri: Bir çalışanın silme talebinin nasıl karşılandığını sorun.
- Politika ve aydınlatma: Araç tek başına yetmez. Hangi yazışmanın hangi kanalda yapılacağını bir kurum içi politikayla belirleyin ve çalışanları aydınlatın.
Geçişi yasakla değil, kolaylıkla yapın
Kişisel uygulamalardaki iş gruplarını bir günde kapatmaya çalışmak genellikle işe yaramaz; çalışanlar alışkanlıklarını sürdürmenin bir yolunu bulur. Daha sağlıklı yol, kurumsal kanalı daha kolay hâle getirmektir. Kurumsal mesajlaşma çalışanın telefonunda olmalı, yeni mesajlar anlık bildirimle gelmeli ve görevler, duyurular gibi günlük iş araçlarıyla aynı yerde durmalıdır. Bu sağlandığında, iş yazışmalarını kurumsal kanala taşımak bir zorunluluk değil, doğal bir tercih hâline gelir.
Geçiş sürecinde yöneticilerin örnek olması belirleyicidir: Yönetici iş konularını kurumsal kanaldan yazıyorsa ekip de aynısını yapar. Kişisel uygulamalardaki eski iş gruplarında hangi verilerin bulunduğunu ve bunlarla ne yapılacağını da hukuk ve bilgi güvenliği ekiplerinizle birlikte değerlendirmeniz gerekir.
HibritİK Mesajlaşma ile iş yazışmaları kurumda kalır
HibritİK Kurum İçi Mesajlaşma, aynı kurumdaki çalışanların birebir ve gerçek zamanlı yazışmasını, görev ve projelerin yanında aynı platformda tutar. Metin, görsel ve dosya paylaşılabilir; okundu bilgisi, çevrim içi durum ve mesaj arama bulunur. Şirketler arası veri ayrımı sayesinde yalnızca kendi kurumunuzun çalışanlarıyla yazışırsınız.
Mesajlar sunucuda AES-256-GCM ile şifrelenmiş olarak saklanır. Açık olmak gerekirse bu, uçtan uca şifreleme değil, sunucuda saklanan verinin şifrelenmesidir. Güvenlik ve KVKK tarafında bulut hizmetindeki veriler Türkiye’de, İstanbul’da barındırılır; verinin kendi sunucularınızda kalmasını isterseniz kurum içi kurulum seçeneği de vardır. Yedekler şifrelenir, kullanıcılar açık oturumlarını görüp sonlandırabilir. Hesapları kurumlar açar ve kapatır; çalışanın silme talebi üzerine kurum yöneticisi hesabı anonimleştirir. HibritİK’i geliştiren Sotech Bilgi Teknolojileri ISO 27001 sertifikalı bir şirkettir.
Bu önlemler KVKK kapsamındaki yükümlülüklerinizi yerine getirmenize destek olur; ancak uyum, araçla birlikte politika, aydınlatma ve eğitimle sağlanır. İK verisi özelinde konuyu KVKK uyumlu İK yazılımı yazımızda ele aldık. Kendi kurumunuzda denemek için 14 gün ücretsiz deneyin.