Bahçelievler’de İşletmeler İçin Çalışan Kaynaklı Bilişim Uyuşmazlıkları

Bahçelievler, yoğun konut dokusunun yanında çok sayıda ticari işletme, mağaza, ofis ve küçük üretim biriminin bulunduğu bir ilçedir. İşletmelerin büyük bölümü stok, müşteri listesi, fiyat tekliflerini ve muhasebe verilerini bilgisayar ve bulut hesaplarında tutar. İş ilişkisi sona eren veya anlaşmazlığa düşen bir çalışanın bu verilere erişmesi, kopyalaması ya da silmesi, bilişim hukuku bakımından en sık karşılaşılan uyuşmazlık türlerinden biridir. Av. Bilal Alyar bu sayfada işletmelerin böyle bir olayda izleyebileceği yolu anlatır.

Çalışan yetkisi ve hukuka aykırı erişim

Çalışanın görevi gereği yetkili olduğu sisteme girmesi tek başına suç oluşturmaz. Sorun, yetki sona erdikten sonra aynı hesapla girmek, yetki dışı klasörlere ulaşmak ya da veri kopyalamak olduğunda başlar. Sisteme hukuka aykırı olarak girmek ve orada kalmaya devam etmek TCK m.243’te yaptırıma bağlanmıştır. Verilerin silinmesi, değiştirilmesi veya sistemin kullanılamaz hâle getirilmesi ise TCK m.244 kapsamındadır. Önemli olan, çalışanın erişim yetkisinin ne zaman ve hangi yazılı belgeyle kaldırıldığının kanıtlanabilmesidir. İşten çıkış tutanağı, hesap kapatma talimatı ve erişim kayıtları bu yüzden birlikte saklanmalıdır. TCK 243 rehberi suçun unsurlarını ayrıca açıklar.

Ticari sır ve sadakat borcu

İş sözleşmesi devam ettiği sürece çalışan özen ve sadakat borcuyla bağlıdır (TBK m.396). İşverenin iş sırlarını açıklamak ya da kendi yararına kullanmak bu borca aykırıdır. Sözleşme sona erdikten sonra rekabet yasağı ancak yazılı olarak ve zaman, yer ve konu bakımından sınırlı şekilde kararlaştırılırsa geçerli olur (TBK m.444 ve devamı). Ticari sır niteliğindeki bilgilerin hukuka aykırı biçimde açıklanması ayrıca TCK m.239’da cezalandırılır; bu suç şikâyete bağlıdır. Bir bilgi, gizli olduğu açıkça belirtilmemişse ve işletme tarafından makul bir koruma altına alınmamışsa ticari sır sayılması tartışmalı olur. Bu nedenle gizlilik sözleşmeleri ve erişim yetkilendirme politikaları baştan düzenlenmelidir.

Müşteri verisinin sızması

Müşteri listesi veya sipariş geçmişi kişisel veri içerir. Verinin yetkisiz kişilerce ele geçirilmesi hâlinde veri sorumlusu işletme, ihlali öğrenince en kısa sürede Kurula bildirmekle yükümlüdür; Kurul kararına göre bu süre yetmiş iki saattir (KVKK m.12/5). İşletme ayrıca veri güvenliğine ilişkin teknik ve idari tedbirleri almakla yükümlüdür (m.12/1). Tedbirlere aykırılıkta idari para cezası öngörülür (m.18). Çalışanın verileri kopyalayıp kendi hesabına aktardığı durumda TCK m.136 (verileri hukuka aykırı olarak verme veya ele geçirme) de gündeme gelir. İlgili süreç için veri ihlali müdahale sayfası incelenebilir.

Delil toplama ve inceleme

1. Çalışanın hesabına ait erişim ve oturum kayıtlarının kopyalanması.
2. E-posta sunucusu ve bulut depolama kayıtlarının tarih sırasıyla dışa aktarılması.
3. Kopyalama yapılan cihazın güvenli şekilde ayrılması; cihaz üzerinde yeni işlem yapılmaması.
4. İşten ayrılış belgeleri, imzalı gizlilik beyanı ve zimmet tutanağı.
5. Mağaza veya ofis kamerası kaydı varsa korunması.

İşletme, sistem kayıtlarının bütünlüğünü göstermek için kayıtlara mümkünse zaman damgalı hâliyle ulaşmalıdır. Bilgisayarda arama ve el koyma (CMK m.134) yalnız hâkim kararıyla yapılabilir; işletme sahibi bu yetkiyi kendi başına kullanamaz. Çalışanın kişisel eşyasında arama yapmak yeni bir hukuka aykırılık yaratabilir.

İş hukuku boyutu

Çalışan kaynaklı veri sızıntısı, iş sözleşmesinin haklı nedenle feshine gerekçe olabilir; fakat haklı fesih için işverenin olayı öğrendiği günden itibaren altı iş günü içinde fesih bildirimini yapması gerekir (4857 sayılı İş Kanunu m.26). Süre kaçırılırsa haklı fesih hakkı düşer. Çalışan ise feshin geçersizliğini ileri sürecekse veya alacak talep edecekse önce arabulucuya başvurur (7036 sayılı Kanun m.3). İşçi alacakları ile işverenin tazminat talepleri ayrı ayrı değerlendirilir. Çalışan verileri sayfası bu başlıkları birlikte ele alır.

Başvuru yolları

Suç duyurusu, olayın yaşandığı yer veya işletmenin bulunduğu yer Cumhuriyet başsavcılığına yapılır. Bilişim sistemi araç olarak kullanılmışsa mağdurun yerleşim yeri de yetkili sayılır (CMK m.12/6). Savcılık kovuşturmaya yer olmadığına karar verirse itiraz süresi iki haftadır (CMK m.173, m.268). Hukuk yolunda ise tazminat ve rekabet yasağı ihlali için ticaret veya iş mahkemesinde dava açılabilir; hangisinin görevli olduğu uyuşmazlığın niteliğine göre değişir.

Önleyici düzen: yetki, kayıt, politika

Bahçelievler’deki küçük ve orta ölçekli işletmelerde bilgi güvenliği genellikle kişilerin dürüstlüğüne bırakılır. Oysa uyuşmazlık çıktığında işletmenin elinde yalnızca bu dürüstlük varsayımı kalır. İşe girişte imzalatılan gizlilik taahhüdü, kullanıcı hesabı oluşturma ve kapatma kaydı, cihaz zimmet formu ve veri çıkışını sınırlayan teknik ayarlar, hem suçun işlenmesini zorlaştırır hem de ispat gücü sağlar. Hesap kapatma, iş sözleşmesi sona erdiği gün yapılmalı ve tarihi yazılı olarak kaydedilmelidir. Aksi hâlde çalışan, hesabın hâlâ açık olmasını yetki devamı olarak savunabilir.

Eski çalışanla görüşme yapılırken, sistem kayıtlarına dair iddialar tarafların yazışmasıyla da desteklenmelidir. İhtarname çekilecekse, hangi bilginin gizli olduğu ve hangi tarihte hangi erişimin gerçekleştiği somut olarak yazılmalıdır. Genel ve belirsiz ifadeler, sonradan hukuki hükmün uygulanmasını zorlaştırır.

Sık sorulan sorular

Eski çalışanım müşteri listemi rakip firmaya götürdü; ne yapılır?

Önce listenin işletmeye özgü ve gizli tutulan bir bilgi olduğu belgelenir. Ardından suç duyurusu, tazminat ve rekabet yasağı ihlali yönünden ayrı yollar değerlendirilir.

Çalışanın kopyaladığı dosyayı nasıl ispat ederim?

Sunucu ve bulut kayıtları, USB takma kaydı ve e-posta gönderim logları birlikte incelenir. Gerekirse bilirkişiden teknik rapor istenir.

Gizlilik sözleşmem yok; yine de dava açabilir miyim?

Sözleşme yokluğu sadakat borcunu ortadan kaldırmaz. Ancak ispat zorlaştığı için delil toplamak daha önemli hâle gelir.

Veri sızıntısını Kurula bildirmek zorunda mıyım?

Kişisel verilerin yetkisiz ele geçirilmesi hâlinde evet. Bildirim süresi kısadır, bu nedenle olay öğrenilir öğrenilmez yazılı kayıt tutulmalıdır.

Görüşmeler Kartal Cevizli Mahallesi’ndeki büroda önceden randevu ile yapılır; iletişim: 0534 636 19 19.