@avsercan · 5 gün önce
Çalışan işten ayrılırken veri de gitmesin: hukukçu gözüyle 10 maddelik çıkış kontrol listesi
İstanbul'da bilişim ve ticaret hukukuyla uğraşan bir avukatım. Son iki yılda masama gelen veri sızıntısı dosyalarının önemli bir kısmında saldırgan dışarıdan biri değildi. İşten ayrılan ya da ayrılmak üzere olan bir çalışan müşteri listesini, teklif dosyalarını ya da kaynak kodu kişisel hesabına aktarmıştı. Çoğu zaman kötü niyetten çok, ben de çalıştım, bu benim de emeğim düşüncesiyle. Ama sonuç değişmiyor.
Yıl sonu ayrılıkların arttığı bir dönem. Prim döneminden sonra istifalar geliyor. Bu yüzden müvekkillerime verdiğim çıkış kontrol listesini paylaşıyorum. Bu genel bilgidir, sizin şirketinizin sözleşmeleri ve iş akışı farklıysa bir hukukçuyla birlikte uyarlayın.
1. İş sözleşmesinde ve gizlilik taahhütnamesinde neyin şirket bilgisi sayıldığı açık yazılı mı? Ayrılık anında bunu yazmaya çalışmak geç.
2. Ayrılık bildirimi geldiği gün erişim gözden geçiriliyor mu? Her pozisyon için hemen kapatma gerekmez ama kritik sistemlerde yetki daraltılabilir.
3. Son günde bütün hesaplar kapatılıyor mu? E-posta, bulut depolama, kod deposu, muhasebe yazılımı, pazaryeri panelleri ve sosyal medya hesapları dahil.
4. Ortak kullanılan parolalar değiştiriliyor mu? Ayrılan kişinin bildiği bir parola, kapatılmış bir hesaptan daha tehlikeli.
5. Şirket cihazları teslim alınırken teslim tutanağı imzalanıyor mu, cihaz içeriği silinmeden önce gerekiyorsa saklanıyor mu?
6. Kişisel cihazda şirket verisi var mıydı? Varsa nasıl silineceği konuşuluyor mu, bunun için bir beyan alınıyor mu?
7. Ayrılan kişinin e-posta kutusuna gelen müşteri yazışmaları kime yönlendirilecek ve ne kadar süre?
8. Son haftalardaki olağandışı veri hareketleri kayıtlardan kontrol ediliyor mu? Toplu indirme, kişisel adrese iletim, harici diske kopyalama gibi.
9. Bu kontrol yapılırken çalışanın kişisel verileri ve iletişimi ile ilgili sınırlar gözetiliyor mu? İzleme politikası önceden bildirilmemişse bu kayıtları kullanmak başka bir hukuki sorun doğurabilir.
10. Çıkış görüşmesinde gizlilik yükümlülüğünün ayrılıktan sonra da devam ettiği yazılı olarak hatırlatılıyor mu?
Bir şeyi özellikle vurgulamak isterim: dokuzuncu madde genelde atlanıyor. Şirketler sızıntıyı kanıtlamak isterken kendi çalışanlarının iletişimini izinsiz incelediği için davada zayıf düşebiliyor. Güvenlik ekibi ile insan kaynakları ve hukuk birlikte çalışmazsa bu liste kâğıtta kalıyor.
Yıl sonu ayrılıkların arttığı bir dönem. Prim döneminden sonra istifalar geliyor. Bu yüzden müvekkillerime verdiğim çıkış kontrol listesini paylaşıyorum. Bu genel bilgidir, sizin şirketinizin sözleşmeleri ve iş akışı farklıysa bir hukukçuyla birlikte uyarlayın.
1. İş sözleşmesinde ve gizlilik taahhütnamesinde neyin şirket bilgisi sayıldığı açık yazılı mı? Ayrılık anında bunu yazmaya çalışmak geç.
2. Ayrılık bildirimi geldiği gün erişim gözden geçiriliyor mu? Her pozisyon için hemen kapatma gerekmez ama kritik sistemlerde yetki daraltılabilir.
3. Son günde bütün hesaplar kapatılıyor mu? E-posta, bulut depolama, kod deposu, muhasebe yazılımı, pazaryeri panelleri ve sosyal medya hesapları dahil.
4. Ortak kullanılan parolalar değiştiriliyor mu? Ayrılan kişinin bildiği bir parola, kapatılmış bir hesaptan daha tehlikeli.
5. Şirket cihazları teslim alınırken teslim tutanağı imzalanıyor mu, cihaz içeriği silinmeden önce gerekiyorsa saklanıyor mu?
6. Kişisel cihazda şirket verisi var mıydı? Varsa nasıl silineceği konuşuluyor mu, bunun için bir beyan alınıyor mu?
7. Ayrılan kişinin e-posta kutusuna gelen müşteri yazışmaları kime yönlendirilecek ve ne kadar süre?
8. Son haftalardaki olağandışı veri hareketleri kayıtlardan kontrol ediliyor mu? Toplu indirme, kişisel adrese iletim, harici diske kopyalama gibi.
9. Bu kontrol yapılırken çalışanın kişisel verileri ve iletişimi ile ilgili sınırlar gözetiliyor mu? İzleme politikası önceden bildirilmemişse bu kayıtları kullanmak başka bir hukuki sorun doğurabilir.
10. Çıkış görüşmesinde gizlilik yükümlülüğünün ayrılıktan sonra da devam ettiği yazılı olarak hatırlatılıyor mu?
Bir şeyi özellikle vurgulamak isterim: dokuzuncu madde genelde atlanıyor. Şirketler sızıntıyı kanıtlamak isterken kendi çalışanlarının iletişimini izinsiz incelediği için davada zayıf düşebiliyor. Güvenlik ekibi ile insan kaynakları ve hukuk birlikte çalışmazsa bu liste kâğıtta kalıyor.
12 3 yorum
