YAZININ ÖZETİ
Çalışma hayatının dijitalleşmesi, işverenlerin kurumsal veri güvenliğini sağlamak amacıyla çalışanların kişisel telefonlarında mobil cihaz yönetimi (MDM) uygulamaları kullanmasını gündeme getirmiştir. Bu sistemler, teknik kurulum modeline göre cihazın güvenlik durumunun denetlenmesi, kurumsal uygulamaların yönetilmesi, belirli kayıtların oluşturulması, konum verisinin işlenmesi, cihazın uzaktan kilitlenmesi veya kurumsal verilerin silinmesi gibi yetkiler sağlayabilir. Ancak "MDM" adı, işverenin hangi verileri görebileceğini tek başına göstermez. Şirkete ait ve tam yönetilen cihaz, işçiye ait telefonda oluşturulan çalışma profili ile yalnızca kurumsal uygulamaları yöneten modellerin müdahale yoğunluğu birbirinden farklıdır. İşverenin yönetim hakkı, kurumsal bilgileri ve ticari sırları koruma yükümlülüğü ile işçinin özel hayatı, haberleşme hürriyeti ve kişisel verilerinin korunması arasında somut bir denge kurulmasını gerektirir. Bu makalede işçinin kişisel telefonuna MDM uygulaması kurulmasının zorunlu tutulup tutulamayacağı; 6098 sayılı Türk Borçlar Kanunu, 4857 sayılı İş Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu, Anayasa Mahkemesi kararları ve Kişisel Verileri Koruma Kurulu uygulaması çerçevesinde incelenmektedir. Özellikle açık rızanın geçerliliği, aydınlatma yükümlülüğü, konum takibi, kişisel uygulama envanteri, uzaktan silme, yurt dışına veri aktarımı, uygulamayı reddeden işçinin durumu ve MDM kayıtlarının iş yargılamasında delil niteliği değerlendirilmektedir.
1. GİRİŞ
Kurumsal e-posta, müşteri yönetimi, mesajlaşma, dosya paylaşımı, çok faktörlü kimlik doğrulama ve vardiya takibi uygulamalarının cep telefonlarında kullanılması çalışma hayatının olağan unsurlarından biri hâline gelmiştir. İşverenler bu erişimin güvenliğini sağlamak, ticari sırları korumak ve kayıp veya çalıntı cihazlardan doğabilecek veri ihlallerini önlemek amacıyla çalışanlardan mobil cihaz yönetimi uygulamasına kaydolmalarını isteyebilmektedir.
İşçiye ait bir telefonun kurumsal yönetime açılması, yalnızca bir iş uygulamasının yüklenmesinden farklıdır. Sistemin teknik kurulumuna göre işveren veya hizmet aldığı teknoloji sağlayıcısı cihaz modeli, işletim sistemi sürümü, güvenlik uyumluluğu, kurumsal uygulama hareketleri ve oturum kayıtları gibi verilere erişebilir; kurumsal erişimi uzaktan sonlandırabilir veya belirli verileri silebilir. Bazı yapılandırmalarda ise daha geniş yetkiler söz konusu olabilir. Bu nedenle hukuki değerlendirme, ürünün "MDM" adıyla tanıtılmasına değil, somut sistemin gerçek yetki ve veri akışına dayanmalıdır.[1]
Bu çalışmanın temel sorusu şudur: İşveren, işin yürütülmesi veya bilgi güvenliği gerekçesiyle işçinin kişisel telefonuna MDM uygulaması yüklenmesini zorunlu tutabilir mi? Sorunun tek kelimelik bir cevabı yoktur. Cihazın kime ait olduğu, işin niteliği, uygulamanın topladığı veriler, yönetici panelindeki yetkiler, mesai dışı izleme ihtimali, sunulan alternatifler ve işçinin önceden bilgilendirilip bilgilendirilmediği birlikte değerlendirilmelidir.
MDM/BYOD uygulamalarını doğrudan ve bütün yönleriyle düzenleyen özel bir kanun hükmü bulunmadığından, değerlendirme genel iş hukuku ve kişisel verilerin korunması kuralları ile çalışan denetimine ilişkin benzer yargı ve Kurul kararları üzerinden yapılmaktadır. Bu nedenle makaledeki sonuçlar, somut teknik yapılandırma ve uyuşmazlık koşulları dikkate alınarak uygulanmalıdır.
2. MDM VE BYOD KAVRAMLARI: AYNI AD ALTINDA FARKLI MÜDAHALE DÜZEYLERİ
MDM (Mobile Device Management), mobil cihazların kurumsal güvenlik politikalarına uygun biçimde merkezi olarak yönetilmesini sağlayan sistemleri ifade eder. BYOD (Bring Your Own Device) ise çalışanın kendisine ait cihazı iş amacıyla kullanması modelidir. Uygulamada bu iki kavram çoğu zaman birlikte kullanılsa da her BYOD düzeni cihazın tamamının işveren tarafından yönetildiği anlamına gelmez.
Teknik açıdan en az dört farklı modelle karşılaşılabilir: işverene ait ve tamamen yönetilen cihaz; işçiye ait telefonun cihaz düzeyinde kaydedilmesi; işçiye ait telefonda kişisel alandan ayrılmış bir çalışma profili veya kurumsal konteyner oluşturulması; yalnızca kurumsal uygulamalara yönelik uygulama yönetimi. İşverenin görebileceği bilgiler ve uygulayabileceği işlemler bu modellere göre önemli ölçüde değişir. Bazı kişisel cihaz kayıtlarında işveren yalnızca kurumsal uygulamaları ve güvenlik uyumluluğunu görebilirken, tam cihaz yönetiminde daha geniş yetkiler oluşabilir.[2]
Dolayısıyla "işveren telefondaki her şeyi görebilir" veya "MDM kişisel verilere hiç erişmez" biçimindeki genel ifadeler hukuken de teknik olarak da isabetli değildir. İlk aşamada cihaz kayıt türü, işletim sistemi, yönetim profili, uygulama izinleri, yönetici rolleri ve hizmet sağlayıcının erişimleri somut olarak belirlenmelidir.
3. İŞVERENİN YÖNETİM HAKKI İLE İŞÇİNİN KİŞİLİK VE MAHREMİYET ALANI
Türk Borçlar Kanunu’nun 399. maddesi işverene işin görülmesi ve işçilerin işyerindeki davranışları hakkında genel düzenlemeler yapma ve özel talimat verme yetkisi tanımaktadır. İşçi de dürüstlük kurallarının gerektirdiği ölçüde bu talimatlara uymakla yükümlüdür. Bilgi güvenliği, müşteri sırlarının korunması ve kurumsal sistemlere yetkisiz erişimin önlenmesi, yönetim hakkı kapsamında meşru amaçlar oluşturabilir.
Bununla birlikte yönetim hakkı, işçinin mülkiyetindeki telefon üzerinde sınırsız bir denetim yetkisi vermez. Türk Borçlar Kanunu’nun 417. maddesi işverene işçinin kişiliğini koruma ve ona saygı gösterme borcu yüklemekte; 419. madde ise işçiye ait kişisel verilerin ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanılabileceğini düzenlemektedir. İşçinin sadakat ve sır saklama borcu da işverene, gereksiz ve sınırsız veri toplama yetkisi sağlamaz. Anayasa’nın 20. ve 22. maddeleri kapsamındaki özel hayat, kişisel verilerin korunması ve haberleşme hürriyeti de bu dengeye dâhildir.[3]
Türk Borçlar Kanunu’nun 413. maddesi uyarınca, aksine anlaşma veya yerel âdet bulunmadıkça iş için gerekli araç ve malzemeleri işveren sağlamakla yükümlüdür. İşçi, işverenle anlaşarak kendi aracını kullanırsa, aksine anlaşma veya yerel âdet bulunmadıkça uygun bir karşılık ödenmesi gerekir. Telefonun işin sürekli ve zorunlu aracı hâline geldiği durumlarda, işçiye kurumsal cihaz sağlanması daha az müdahaleci ve hukuken daha güvenli bir seçenektir. Kişisel cihazın kullanılması kararlaştırılacaksa cihaz ve internet giderleri, güvenlik kuralları, teknik yetkiler ve iş ilişkisinin sona ermesinde uygulanacak işlemler açıkça düzenlenmelidir.
4. HUKUKİ NİTELENDİRMEDEN ÖNCE TEKNİK İŞLEYİŞ BELİRLENMELİDİR
Bir izleme veya cihaz yönetimi sisteminin hukuka uygunluğuna yalnızca politika metni ya da ürün adı üzerinden karar verilemez. Sistemin hangi verileri fiilen topladığı, hangi saatlerde çalıştığı, hangi alanlarda aktif olduğu, verilerin nerede ve ne kadar süreyle saklandığı, kimlerin erişebildiği ve hangi işlemlerin uzaktan yapılabildiği teknik olarak ortaya konulmalıdır.
Yargıtay 9. Hukuk Dairesinin RFID tabanlı çalışan izleme sistemine ilişkin 22.02.2024 tarihli kararı bu bakımdan önemlidir. Daire çoğunluğu, sistemin hukuka uygun veya aykırı olduğuna doğrudan karar vermemiş; cihazın teknik çalışma şekli, elde edilen veriler, aktif olduğu yer ve zaman, veri işleme ve saklama amaçları ile hukuki sebebin uzman bilirkişi heyetince araştırılması gerektiğini belirterek eksik incelemeye dayalı hükmü bozmuştur. Karar MDM ile ilgili olmasa da kişisel veri işleyen işyeri teknolojilerinde teknik mimarinin hukuki değerlendirmenin ön şartı olduğunu göstermektedir.[4]
Bu yaklaşım MDM uygulamalarına uyarlandığında, işverenin öncelikle bir "amaç-veri-yetki" matrisi hazırlaması gerekir. Her işleme amacı için gerekli veri kategorisi, erişecek kişi, saklama süresi, teknik işlem ve hukuki sebep ayrı ayrı gösterilmelidir. Böyle bir inceleme yapılmadan alınan genel onay, uygulamanın bütün özelliklerini hukuka uygun hâle getirmez.
5. ANAYASA MAHKEMESİNİN ÇALIŞAN DENETİMİNE İLİŞKİN ÖLÇÜTLERİ
Anayasa Mahkemesi Genel Kurulu, E.Ü. kararında işveren tarafından kurumsal e-posta hesabının incelenmesini kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti yönünden değerlendirmiştir. Mahkeme; denetimi haklı gösteren meşru bir neden bulunmasını, çalışanın önceden açık biçimde bilgilendirilmesini, müdahalenin amaca elverişli ve gerekli olmasını, aynı amaca daha az müdahaleci yöntemle ulaşılamamasını, kullanılan verilerin amaçla sınırlı kalmasını ve tarafların menfaatleri arasında adil denge kurulmasını temel ölçütler olarak ele almıştır.[5]
Celal Oraj Altunörgü kararında ise iş sözleşmesinde kurumsal e-postanın yalnızca iş amacıyla kullanılacağı ve işveren tarafından denetlenebileceği yönünde açık düzenlemeler bulunması dikkate alınmıştır. Kararın önemi, önceden bilgilendirmenin denetimin öngörülebilirliği bakımından taşıdığı ağırlıktır. Bununla birlikte her iki karar da işveren tarafından sağlanan kurumsal iletişim araçlarına ilişkindir. İşçiye ait kişisel telefonun cihaz düzeyinde yönetilmesi, kural olarak daha yoğun bir müdahale oluşturabileceğinden ölçülülük incelemesi de daha sıkı yapılmalıdır.[6]
Avrupa İnsan Hakları Mahkemesinin Bărbulescu/Romanya kararında da çalışan iletişiminin denetlenmesinde önceden bildirim, izlemenin kapsamı, işvereni haklı kılan somut neden, daha az müdahaleci yöntemler ve elde edilen verilerin kullanım sonuçları üzerinde durulmuştur. Türk hukukundaki değerlendirme, Anayasa Mahkemesi kararlarıyla birlikte bu ölçütler doğrultusunda somutlaştırılabilir.[7]
6. MDM KAYDI KAPSAMINDAKİ KİŞİSEL VERİ İŞLEME FAALİYETLERİ
MDM sistemi üzerinden işlenen cihaz kimliği, telefon modeli, işletim sistemi sürümü, IP adresi, kullanıcı hesabı, güvenlik ve uyumluluk durumu, kurumsal uygulama kayıtları, oturum hareketleri ve varsa konum bilgisi, kimliği belirli veya belirlenebilir çalışanla ilişkilendirilebildiği ölçüde kişisel veridir. Bu verilerin elde edilmesi, kaydedilmesi, saklanması, kullanılması, aktarılması, silinmesi veya erişimin kısıtlanması da veri işleme faaliyeti oluşturur.
İşveren her bir veri kategorisi ve amaç için 6698 sayılı Kanun’un 5. maddesinde yer alan işleme şartlarından hangisine dayandığını belirlemelidir. İş sözleşmesinin ifası için zorunluluk, hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat bazı işlemler bakımından gündeme gelebilir. Ancak bir verinin yararlı veya yönetimi kolaylaştırıcı olması, o verinin işlenmesini zorunlu kılmaz.
Geçerli bir işleme şartının bulunması da tek başına yeterli değildir. Verilerin belirli, açık ve meşru amaçlarla; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesi ve gerekli süre kadar muhafaza edilmesi gerekir. Örneğin kurumsal sisteme bağlanacak cihazın güncel işletim sistemi kullanıp kullanmadığının kontrolü ile telefondaki bütün kişisel uygulamaların listesinin sürekli kaydedilmesi aynı gereklilik düzeyinde değildir.[8]
İşveren, veri sorumlusu sıfatıyla, hizmet aldığı MDM sağlayıcısının rolünü ayrıca belirlemelidir. Sağlayıcının veri işleyen olduğu hâllerde, 6698 sayılı Kanun’un 12. maddesinin ikinci fıkrası uyarınca veri sorumlusu ile veri işleyen, kişisel verilerin güvenliğine ilişkin tedbirlerin alınması bakımından müştereken sorumludur. Sağlayıcının belirli işlemler bakımından veri işleme amaç ve vasıtalarını kendisinin belirlemesi hâlinde ise ayrıca veri sorumlusu sıfatı gündeme gelebilir. Bu nedenle veri envanteri, erişim yetkileri, veri işleyen sözleşmeleri, alt hizmet sağlayıcılar, ihlal bildirim süreci ve hizmet sona erdiğinde silme prosedürü birlikte planlanmalıdır.
7. AÇIK RIZA VE AYDINLATMA: TEK İMZA YETERLİ DEĞİLDİR
Açık rıza, işverenin bütün MDM işlemlerini topluca dayandırması gereken varsayılan hukuki sebep değildir. İşçi ile işveren arasındaki ekonomik ve yönetsel bağımlılık, rızanın özgür iradeyle verilip verilmediği incelemesini zorunlu kılar. Uygulamanın kurulmasının işe giriş veya işin devamı için koşul hâline getirilmesi, işçiye gerçek bir alternatif tanınmaması durumunda rızanın geçerliliği tartışmalı hâle gelebilir.
Kişisel Verileri Koruma Kurulunun kurumsal e-posta denetimine ilişkin kararları aynı sonuca ulaşmamaktadır. Kurul, 2021/1187 sayılı kararda eski çalışanın kurumsal e-posta hesabına önceden tam ve açık bilgilendirme yapılmaksızın erişilmesini hukuka aykırı değerlendirirken; 2023/86 sayılı kararda işyeri politikalarını, incelemenin feshe konu olayla bağlantısını, işverenin ispat hakkını ve amaçla sınırlılığı dikkate alarak veri sorumlusu hakkında işlem tesis edilmesine gerek görmemiştir. Bu iki karar birlikte değerlendirildiğinde sonucun yalnızca iletişim aracının işverene ait olmasına değil; önceden bilgilendirme, gereklilik, kapsam, saklama süresi ve amaçla sınırlılık ölçütlerine bağlı olduğu görülmektedir. Bu yaklaşım, işverene ait olmayan kişisel telefonlarda daha da önemlidir.[9]
Aydınlatma yükümlülüğü ile açık rıza birbirinden ayrı işlemlerdir. Kurulun 2020/404 sayılı kararı ile 2026/347 sayılı İlke Kararı; aydınlatma metni ile açık rıza beyanının birbirine karıştırılmaması, hangi verinin hangi amaç ve hukuki sebeple işlendiğinin anlaşılır biçimde açıklanması gerektiğini ortaya koymaktadır. İşçiye tek sayfalık, bütün süreçleri kapsadığı ileri sürülen genel bir "onay ve taahhüt" belgesi imzalatılması bu şartları kendiliğinden karşılamaz. Veri işleme faaliyeti Kanun’un 5. veya 6. maddesindeki açık rıza dışındaki bir şarta dayanıyorsa, aynı faaliyet için ayrıca açık rıza talep edilmemelidir.[10]
Kişisel Verileri Koruma Kurulunun 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı doğrudan biyometrik mesai takibine ilişkindir. Bununla birlikte iş ilişkisindeki yapısal güç dengesizliği, rıza göstermeyen işçiye gerçek bir alternatif sunulması ve aynı amaca daha az müdahaleci yöntemle ulaşılıp ulaşılamayacağı yönündeki ölçütler MDM uygulamalarının değerlendirilmesinde de yol göstericidir. Bu karar, MDM bakımından doğrudan bir yasak veya izin hükmü olarak değil, ölçülülük yorumunun güncel bir örneği olarak ele alınmalıdır.[11]
8. MDM AYDINLATMASININ KAPSAMI: KANUNİ ZORUNLULUKLAR VE TEKNİK ŞEFFAFLIK
6698 sayılı Kanun’un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca veri sorumlusunun ve varsa temsilcisinin kimliği, işleme amacı, aktarım yapılacak alıcı grupları ve aktarım amaçları, veri toplama yöntemi ve hukuki sebep ile ilgili kişinin Kanun’un 11. maddesindeki hakları açıklanmalıdır. MDM uygulamasının teknik müdahale yoğunluğu nedeniyle bu zorunlu unsurların faaliyet bazlı olarak somutlaştırılması ve işçinin uygulamanın etkilerini kurulumdan önce öngörebilmesi gerekir. Bu kapsamda aşağıdaki hususlar açık, anlaşılır ve sade biçimde belirtilmelidir:
• Veri sorumlusunun ve varsa temsilcisinin kimliği;
• İşlenecek cihaz, kullanıcı, güvenlik, uygulama ve varsa konum verileri;
• İşverenin görebileceği ve teknik olarak göremeyeceği bilgiler;
• Cihazın uzaktan kilitlenip kilitlenemeyeceği ve hangi silme işlemlerinin yapılabileceği;
• Her veri kategorisinin işlenme amacı ve hukuki sebebi;
• Verilerin hangi yöntemle elde edildiği, kimlere ve hangi amaçlarla aktarılabileceği;
• Konum verisinin hangi görevlerde, hangi saatlerde ve hangi sıklıkta alınacağı;
• Kişisel uygulama listesinin, rehberin, fotoğrafların veya mesajların erişime açık olup olmadığı;
• Verilerin saklama süreleri, erişecek birimler ve denetim kayıtları;
• MDM sağlayıcısı, alt hizmet sağlayıcılar ve varsa yurt dışı aktarımlar;
• Uygulamayı kurmamanın veya belirli izinleri vermemenin iş ilişkisine etkisi;
• İş ilişkisinin sona ermesinde kurumsal profilin ve verilerin nasıl kaldırılacağı.
• İşçinin 6698 sayılı Kanun’un 11. maddesi kapsamındaki hakları ve veri sorumlusuna başvuru yöntemi.
Uygulama güncellemesiyle izinlerin veya yönetici yetkilerinin genişlemesi hâlinde ilk aydınlatma metnine dayanılması yeterli olmayabilir. Amaç, veri kategorisi veya teknik müdahale düzeyi değiştiğinde veri işleme şartı yeniden değerlendirilmeli ve çalışanlara güncel bilgi verilmelidir.
9. İŞVEREN KİŞİSEL TELEFONDA HANGİ BİLGİLERİ GÖREBİLİR?
Bu sorunun cevabı kurulum modeline bağlıdır. Kişisel cihazlara yönelik modern çalışma profili veya uygulama yönetimi çözümleri, kurumsal alanı kişisel alandan ayırabilir ve işverene yalnızca iş uygulamaları hakkında yetki verebilir. Buna karşılık tam cihaz yönetimi daha geniş erişim ve müdahale imkânları doğurabilir. İşverenin "bu verilere bakmayacağı" yönündeki iç politika beyanı, gereksiz erişim yetkisinin teknik olarak açık tutulmasını tek başına meşru hâle getirmez.
Microsoft Intune’un güncel kullanıcı dokümantasyonuna göre kişisel cihaz kaydında kuruluş; arama ve internet gezinme geçmişini, e-posta ve kısa mesajları, kişileri, takvimi, parolaları, fotoğrafları ve kullanıcı tarafından oluşturulan belgelerin içeriğini göremez; kişisel cihazın konumunu da görüntüleyemez. Kişisel cihazlarda görülebilen uygulama envanteri kural olarak yönetilen iş ve okul uygulamalarıyla sınırlıdır; bazı yapılandırmalar daha geniş görünürlük sağlayabilir. Android Work Profile ve Apple User Enrollment modellerinde de yönetim esas olarak kurumsal profil, hesap ve yönetilen uygulamalarla sınırlandırılır. Bununla birlikte tam cihaz yönetimi, ek güvenlik uygulamaları, VPN veya sertifika altyapısı ve uygulama izinleri farklı veri akışları doğurabileceğinden somut yapılandırma ayrıca incelenmelidir.[12]
Bu teknik sınırlamalar her ürün ve kayıt türü için aynı değildir. Kullanılan çözümün veya ek uygulama izinlerinin kişisel mesajlar, fotoğraflar, rehber, arama geçmişi, kişisel e-posta hesapları, mikrofon ya da kamera gibi alanlara erişim sağlaması hâlinde bu yetkiler olağan bilgi güvenliği ihtiyacının dışına çıkar. Son derece istisnai, somut ve açık bir hukuki dayanak bulunmadıkça bu erişimler teknik olarak kapalı tutulmalı; sistemin erişemediği alanlar da işçiye açıkça bildirilmelidir.
Kişisel uygulama envanteri de ayrıca değerlendirilmelidir. Bir uygulama listesi, çalışanın sağlık, finans, din, sendika veya siyasi görüşü hakkında dolaylı çıkarımlar yapılmasına imkân verebilir. İşveren yalnız belirli güvenlik risklerini önlemek istiyorsa, bütün uygulama listesini kaydetmek yerine kurumsal alana veri aktarımını sınırlayan veya yalnız uyumsuzluk sonucunu gösteren teknik yöntemleri tercih etmelidir.
10. KONUM TAKİBİ: MDM KAYDI OTOMATİK İZLEME YETKİSİ DEĞİLDİR
Bir cihazın MDM sistemine kaydedilmiş olması, işverenin otomatik olarak çalışanın anlık konumunu görebildiği anlamına gelmez. Konum erişimi; işletim sistemi, kayıt türü, yönetici yetkisi ve ayrıca kullanılan iş uygulamasının izinlerine göre değişir. Bu nedenle konum işleniyorsa kaynağı ve teknik yöntemi ayrıca gösterilmelidir.
Saha personelinin göreve yönlendirilmesi, araç veya değerli yük güvenliği, tek başına çalışan personelin iş sağlığı ve güvenliği ya da acil durum yönetimi somut olayda meşru amaç oluşturabilir. Buna karşılık "çalışanı genel olarak kontrol etmek", "verimliliğini sürekli izlemek" veya "işverenin istediği anda nerede olduğunu görebilmesi" gibi soyut amaçlar sınırsız ve kesintisiz konum takibini haklı kılmaz.
Kişisel Verileri Koruma Kurumunun işyeri kamera sistemlerine ilişkin 2026 tarihli duyurusu doğrudan konum verisi hakkında değildir. Bununla birlikte genel kontrol şeklindeki soyut amaçların yeterli sayılmaması, çalışanın makul mahremiyet beklentisi ve izlemenin kapsamı genişledikçe müdahalenin ağırlaşması yönündeki ilkeler konum takibi bakımından da kıyasen dikkate alınabilir.[13]
Hukuka uygunluk riskini azaltmak için konum takibi görev ve çalışma saatleriyle sınırlandırılmalı; sürekli takip yerine mümkünse görev başlangıcı, teslimat veya acil durum gibi belirli olaylara bağlı kayıt kullanılmalı; yaklaşık konum yeterliyse hassas konum alınmamalı; mesai dışında takip teknik olarak durmalı; kayıtlar kısa ve belirli sürelerle saklanmalı; çalışan takip aktifken bunu görebilmelidir. Konum verisi tek başına özel nitelikli kişisel veri sayılmasa bile sağlık kuruluşu, sendika, ibadethane veya siyasi kuruluş ziyaretleri hakkında hassas çıkarımlar doğurabileceğinden risk değerlendirmesi daha sıkı yapılmalıdır. Bu tür çıkarımların sağlık, din, sendika üyeliği veya siyasi düşünceye ilişkin bir profil hâline getirilip ayrıca kaydedilmesi durumunda, ortaya çıkan veri bakımından 6698 sayılı Kanun’un 6. maddesindeki özel nitelikli kişisel veri rejimi de değerlendirilmelidir.
11. UZAKTAN KİLİTLEME VE SİLME YETKİSİNİN SINIRLARI
MDM sistemlerinin en ağır müdahale doğurabilen özelliği cihazı uzaktan kilitleme veya silme yetkisidir. İşverene ait kurumsal telefonun kaybolması hâlinde cihazın tamamen silinmesi ile işçinin şahsi telefonundaki aile fotoğrafları, kişisel yazışmalar, banka uygulamaları, sağlık kayıtları ve belgelerin silinmesi aynı hukuki düzlemde değildir.
Kişisel telefonlarda öncelikle kurumsal çalışma alanının ayrılması, kurumsal verilerin şifrelenmesi, uygulama düzeyinde erişimin kesilmesi ve yalnızca kurumsal verilerin seçici olarak silinmesi yöntemleri kullanılmalıdır. Nitekim Android Work Profile kaldırıldığında iş profili içindeki uygulama ve veriler silinirken kişisel profil korunur; Apple User Enrollment’da ise yönetim kuruluşun sağladığı hesap, ayar ve bilgilerle sınırlıdır ve kayıt kaldırıldığında kurumsal unsurlar kişisel hesaba dokunulmadan kaldırılabilir. Bu modeller, tam cihaz silmeye göre daha az müdahaleci çözümlerdir.[14]
Bütün cihazı fabrika ayarlarına döndüren tam silme işlemi, daha hafif teknik yöntemlerin yetersiz kaldığı ve ağır bir güvenlik riskinin somutlaştırıldığı istisnai hâller dışında ölçüsüz sayılma riski taşır. Böyle bir yetki teknik olarak mevcutsa kullanım olayları önceden belirlenmeli, işlem tek kişinin kararına bırakılmamalı, çok aşamalı onay ve kimlik doğrulama uygulanmalı, bütün yönetici işlemleri kaydedilmeli ve mümkünse işçiye önceden bildirim yapılmalıdır. Hatalı tam silme; somut olayın özelliklerine göre sözleşmeye aykırılık, haksız fiil, kişilik hakkının ihlali ve kişisel verilerin hukuka aykırı işlenmesi kapsamında sorumluluk doğurabilir.
12. MDM SAĞLAYICISI, ALT HİZMET SAĞLAYICILAR VE YURT DIŞINA AKTARIM
MDM sistemleri çoğunlukla bulut tabanlı hizmetler üzerinden çalışır. İşveren, teknoloji şirketinin yalnızca teknik aracı olduğunu ileri sürerek veri sorumlusu sıfatından doğan yükümlülüklerinden kurtulamaz. Sağlayıcının veri işleyen mi, belirli işlemler bakımından ayrıca veri sorumlusu mu olduğu; hangi alt hizmet sağlayıcıların kullanıldığı; destek personelinin verilere nereden eriştiği; ihlal bildirim süreleri ve sözleşme sona erdiğinde verilerin nasıl silineceği belirlenmelidir.
Verilerin veya uzaktan destek erişimlerinin yurt dışına yönelmesi hâlinde 6698 sayılı Kanun’un 9. maddesindeki güncel aktarım rejimine uyulmalıdır. Yeterlilik kararı bulunmaması hâlinde uygun güvencelerden biri sağlanmalı; bunların da sağlanamadığı durumlarda yalnız arızi olmak ve Kanun’un 9. maddesinin altıncı fıkrasında sayılan sınırlı hâllerden biri bulunmak kaydıyla istisnai aktarım yapılabilir. Standart sözleşme kullanılıyorsa, imzaların tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirim yapılmalıdır.[15]
13. UYGULAMAYI KURMAYI REDDEDEN İŞÇİ İŞTEN ÇIKARILABİLİR Mİ?
Bu soruya bütün işyerleri için geçerli tek bir cevap verilemez. Öncelikle işveren talimatının hukuka uygun, işle bağlantılı, gerekli ve ölçülü olup olmadığı belirlenmelidir. Mesai dışında konum takibi yapan, kişisel uygulama listesini gereksiz biçimde toplayan, kişisel içeriklere erişim ihtimali doğuran veya cihazın tamamını uzaktan silme yetkisi veren ölçüsüz bir uygulamanın reddedilmesi, tek başına İş Kanunu’nun 25/II-h bendi kapsamında haklı nedenle feshi haklı kılmaya yeterli görülmemelidir. Talimatın hukuka uygunluğu, işçinin yapmakla ödevli olduğu görevle bağlantısı, uyarıya rağmen ısrarın bulunup bulunmadığı ve daha hafif seçenekler somut olayda ayrıca incelenmelidir.
Sonradan getirilen ve işçinin kişisel cihazı üzerinde sürekli ve kapsamlı kontrol doğuran bir MDM zorunluluğu, somut olayın koşullarına göre İş Kanunu’nun 22. maddesi kapsamında çalışma koşullarında esaslı değişiklik oluşturabilir. Bu durumda değişiklik önerisinin işçiye yazılı olarak bildirilmesi gerekir; işçi tarafından altı iş günü içinde yazılı olarak kabul edilmeyen değişiklik işçiyi bağlamaz. İşveren, değişikliğin geçerli bir nedene dayandığını veya fesih için başka bir geçerli neden bulunduğunu yazılı olarak açıklayıp bildirim süresine uyarak sözleşmeyi feshedebilir; bu işlem yargı denetimine tabidir. Ancak her güvenlik uygulamasının kendiliğinden esaslı değişiklik sayılması da doğru değildir. Uygulamanın cihaz üzerindeki gerçek etkisi, işçinin özel alanına müdahalesi, mali yükü ve daha önceki çalışma koşulları birlikte incelenmelidir.
İş Kanunu’nun 25/II-h bendinde işçinin yapmakla ödevli bulunduğu görevleri kendisine hatırlatıldığı hâlde yapmamakta ısrar etmesi haklı fesih sebebi olarak düzenlenmiştir. Bu hükmün uygulanabilmesi için reddedilen talimatın öncelikle hukuka uygun ve işçinin göreviyle ilgili olması gerekir. İşverenin kendi bilgi güvenliği ihtiyacını işçinin kişisel cihazı üzerinde sınırsız yönetim yetkisine dönüştüren bir talimat bu şartı karşılamayabilir.
Buna karşılık işin niteliği gereği mobil kurumsal erişim zorunluysa, sistem yalnızca kurumsal çalışma profiliyle sınırlıysa, çalışan açıkça bilgilendirilmişse, kişisel veriler teknik olarak ayrılmışsa ve kurumsal cihaz veya eşdeğer bir alternatif sunulmasına rağmen işçi haklı bir neden olmaksızın gerekli güvenlik tedbirini sürekli reddediyorsa durum farklı değerlendirilebilir. Koşullara göre işçinin davranışından kaynaklanan geçerli neden gündeme gelebilir; haklı neden için ise İş Kanunu’nun 25. maddesindeki daha ağır ve dar şartların oluşması gerekir. İş güvencesi kapsamındaki işçiler bakımından İş Kanunu’nun 18 ve 19. maddeleri uyarınca fesih sebebinin açık ve kesin biçimde bildirilmesi, davranış veya verim nedeniyle fesihte savunma alınması, ölçülülük ve feshin son çare olması ilkesi somut olayda dikkate alınmalıdır. [16]
14. MDM KAYITLARININ İŞ DAVASINDA DELİL NİTELİĞİ
MDM sistemi tarafından oluşturulan konum kayıtları, cihaz uyumluluk raporları, oturum hareketleri, uygulama logları ve yönetici işlem kayıtları Hukuk Muhakemeleri Kanunu’nun 199. maddesi kapsamında elektronik belge niteliği taşıyabilir. Bununla birlikte bir kontrol panelinde kaydın görünmesi, kaydın kendiliğinden kesin, doğru ve hukuka uygun delil olduğu anlamına gelmez.
Hukuk Muhakemeleri Kanunu’nun 189/2. maddesine göre hukuka aykırı olarak elde edilmiş deliller mahkeme tarafından bir vakıanın ispatında dikkate alınamaz. Bu nedenle kayıtların hangi hukuki sebebe dayanılarak toplandığı, işçinin önceden bilgilendirilip bilgilendirilmediği, verinin amaçla sınırlı olup olmadığı ve mesai dışı alanın izlenip izlenmediği delilin değerlendirilmesini etkiler.[17]
Teknik güvenilirlik bakımından da kayıt kaynağı, cihaz ve uygulama sürümü, zaman dilimi, zaman damgası, kullanıcı kimliği, yönetici yetkileri, değişiklik ihtimali, saklama zinciri ve denetim izi araştırılmalıdır. Yalnızca işveren tarafından alınmış ekran görüntüsü veya özet raporla yetinilmesi, verinin bütünlüğü konusunda uyuşmazlık yaratabilir. Gerekirse sunucu kayıtları ve yönetim paneli uzman bilirkişi incelemesine konu edilmelidir.
15. HUKUKA UYGUN BİR MDM/BYOD MODELİ İÇİN UYGULAMA ESASLARI
15.1. Öncelikle Kurumsal Cihaz veya Daha Hafif Teknik Model Değerlendirilmelidir
İşin sürekli mobil cihaz kullanımı gerektirdiği hâllerde kurumsal telefon sağlanması ilk seçenek olmalıdır. Kişisel cihaz kullanılacaksa tam cihaz yönetimi yerine çalışma profili veya yalnızca kurumsal uygulamaları yöneten bir çözüm tercih edilmelidir.
15.2. Amaç-Veri-Yetki Matrisi Hazırlanmalıdır
Her amaç için hangi verinin gerekli olduğu, kimlerin erişeceği, hangi teknik işlemin yapılabileceği, saklama süresi ve hukuki sebep yazılı olarak gösterilmelidir. Kullanılmayan veya ihtiyaç dışı özellikler yönetici panelinde kapatılmalıdır.
15.3. Kişisel ve Kurumsal Alan Teknik Olarak Ayrılmalıdır
Kurumsal verilerin ayrı bir profil veya konteyner içinde tutulması; kopyalama, ekran görüntüsü, yedekleme ve kişisel uygulamalara aktarım gibi risklerin kurumsal alan içinde yönetilmesini sağlar. İşverenin kişisel içeriğe erişmemesi yalnız politika metniyle değil, teknik mimariyle de güvence altına alınmalıdır.
15.4. Mesai Dışı İzleme Kapatılmalı, Tam Silme İstisnai Tutulmalıdır
Konum veya kullanım kaydı işin niteliği nedeniyle gerekliyse çalışma saatleriyle sınırlandırılmalı ve çalışan aktif takibi görebilmelidir. İş ilişkisinin sona ermesi, telefonun kaybolması veya güvenlik olayı hâlinde yalnızca kurumsal veri ve profil kaldırılmalı; kişisel cihazın tamamının silinmesi olağan prosedür olmamalıdır.
15.5. Erişim, Saklama ve Denetim Mekanizmaları Kurulmalıdır
MDM paneline erişim görevle sınırlı roller üzerinden sağlanmalı; konum görüntüleme, kilitleme ve silme işlemleri kayıt altına alınmalı; kritik işlemler çift onaya bağlanmalı; loglar amaç için gerekli süre sonunda otomatik olarak silinmelidir. Yetkilerin periyodik denetimi ve hizmet sağlayıcı güvenlik değerlendirmesi yapılmalıdır.
15.6. İşe Girişten İşten Ayrılışa Kadar Yaşam Döngüsü Düzenlenmelidir
Kurulum öncesi aydınlatma, varsa gerçek seçim imkânına dayanan açık rıza, cihaz kaydı, izin değişiklikleri, güvenlik olayları, cihaz değişikliği ve işten ayrılma adımları tek bir yaşam döngüsü prosedüründe düzenlenmelidir. İşten ayrılmada kurumsal profil kaldırılmalı, yönetim sertifikaları iptal edilmeli ve kişisel verilere dokunulmadığı işleme kaydıyla gösterilebilmelidir.
SONUÇ
İşverenin kurumsal verileri, ticari sırları ve bilgi sistemlerini korumak için uygun teknik tedbirler alma hakkı ve yükümlülüğü vardır. Ancak bu yetki, işçiye ait kişisel telefonun tamamı üzerinde genel ve sürekli bir yönetim hakkına dönüşmez. MDM uygulamasının hukuka uygunluğu, uygulamanın adına veya tek bir onay belgesine göre değil; cihazın kime ait olduğu, teknik kayıt modeli, işlenen veri kategorileri, gerçek yönetici yetkileri, işleme amacı, hukuki sebep, aydınlatma, saklama süresi ve daha az müdahaleci seçenekler birlikte değerlendirilerek belirlenir.
Kişisel telefonda yalnızca kurumsal çalışma alanının yönetildiği, kişisel ve kurumsal verilerin teknik olarak ayrıldığı, mesai dışında izleme yapılmadığı, tam silme yerine seçici silme kullanıldığı ve işçiye kurumsal cihaz gibi gerçek bir alternatif sunulduğu modeller hukuken daha savunulabilirdir. Buna karşılık kişisel uygulama envanterini gereksiz biçimde toplayan, özel içeriklere erişim ihtimali doğuran, kesintisiz konum takibi yapan veya cihazın tamamını uzaktan silebilen sistemlerde ölçülülük ve hukuka uygunluk riski belirgin biçimde artar.
Sonuç olarak, işverenin işçinin kişisel telefonuna MDM kurulmasını her durumda ve sınırsız biçimde zorunlu tutabileceği söylenemez. Hukuka uygunluk; somut iş için gereklilik, geçerli veri işleme şartı, önceden ve faaliyet bazlı aydınlatma, teknik sınırlama, daha az müdahaleci alternatifler, mesai dışı mahremiyet ve veri güvenliği tedbirlerinin birlikte sağlanmasına bağlıdır. Bu şartların bulunmaması, kişilik hakkı, kişisel verilerin korunması ve fesih uyuşmazlıkları bakımından önemli hukuki risk doğurur.
Av. Mete ŞAHİN
KAYNAKÇA
A. MEVZUAT
• Türkiye Cumhuriyeti Anayasası (2709 sayılı Kanun)
• 6098 sayılı Türk Borçlar Kanunu
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
• 4857 sayılı İş Kanunu
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6100 sayılı Hukuk Muhakemeleri Kanunu
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
B. YARGI VE KURUL KARARLARI
• Anayasa Mahkemesi Genel Kurulu, E.Ü. Başvurusu, B. No: 2016/13010, 17.09.2020.
• Anayasa Mahkemesi Birinci Bölümü, Celal Oraj Altunörgü Başvurusu, B. No: 2018/31036, 12.01.2021.
• Avrupa İnsan Hakları Mahkemesi Büyük Daire, Bărbulescu/Romanya, B. No: 61496/08, 05.09.2017.
• Yargıtay 9. Hukuk Dairesi, E. 2024/1311, K. 2024/3381, 22.02.2024.
• Kişisel Verileri Koruma Kurulu, 20.05.2020 tarihli ve 2020/404 sayılı Karar.
• Kişisel Verileri Koruma Kurulu, 25.11.2021 tarihli ve 2021/1187 sayılı Karar.
• Kişisel Verileri Koruma Kurulu, 19.01.2023 tarihli ve 2023/86 sayılı Karar.
• Kişisel Verileri Koruma Kurulu, 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı.
• Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı.
C. KURUMSAL VE TEKNİK KAYNAKLAR
• Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (erişim: 18.08.2026).
• Kişisel Verileri Koruma Kurumu, Yurt Dışına Kişisel Veri Aktarımında Kullanılacak Standart Sözleşmelerde Dikkat Edilmesi Gereken Hususlara İlişkin Kamuoyu Duyurusu, 27.07.2026 (erişim: 18.08.2026).
• Kişisel Verileri Koruma Kurumu, İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu (erişim: 18.08.2026).
• NIST, Guidelines for Managing the Security of Mobile Devices in the Enterprise, SP 800-124 Rev. 2 (erişim: 18.08.2026).
• NIST, Mobile Device Security: Bring Your Own Device (BYOD), SP 1800-22 (erişim: 18.08.2026).
• Microsoft, What information can my organization see when I enroll my device? (erişim: 18.08.2026).
• Microsoft Intune, Device action: Retire (erişim: 18.08.2026).
• Microsoft Intune, Device action: Wipe (erişim: 18.08.2026).
• Apple Platform Deployment, User Enrollment and device management (erişim: 18.08.2026).
• Google Android Enterprise, What is an Android Work Profile? (erişim: 18.08.2026).
------------
[1]NIST, Guidelines for Managing the Security of Mobile Devices in the Enterprise, NIST Special Publication 800-124 Revision 2, Mayıs 2023; ayrıca bkz. NIST, Mobile Device Security: Bring Your Own Device (BYOD), NIST SP 1800-22, Eylül 2023.
[2] Teknik yetkilerin kayıt türüne göre değişmesine ilişkin bkz. Microsoft Intune, “What information can my organization see when I enroll my device?”; Apple Platform Deployment, “User Enrollment and device management”; Google Android Enterprise, “What is an Android Work Profile?” (erişim: 18.08.2026).
[3] Türkiye Cumhuriyeti Anayasası m.20 ve m.22; 6098 sayılı Türk Borçlar Kanunu m.396, m.399, m.413, m.417 ve m.419; 6331 sayılı İş Sağlığı ve Güvenliği Kanunu m.4.
[4]Yargıtay 9. Hukuk Dairesi, E. 2024/1311, K. 2024/3381, 22.02.2024. Kararda çoğunluk, RFID tabanlı izleme sisteminin hukuka uygunluğu hakkında kategorik bir sonuca varmadan; sistemin teknik işleyişi, topladığı veriler, aktif olduğu yer ve zaman, saklama ve kullanım amaçları ile hukuki sebebin uzman bilirkişi heyetiyle araştırılması gerektiği gerekçesiyle eksik incelemeye dayalı hükmü bozmuştur.
[6]Anayasa Mahkemesi Birinci Bölümü, Celal Oraj Altunörgü Başvurusu, B. No: 2018/31036, 12.01.2021, R.G. 05.02.2021, Sayı 31386.
[7]Avrupa İnsan Hakları Mahkemesi Büyük Daire, Bărbulescu/Romanya, B. No: 61496/08, 05.09.2017. Kararda işveren denetiminin önceden bildirilmesi, kapsamı, gerekçesi ve daha az müdahaleci yöntemlerin bulunup bulunmadığı denetimin temel unsurları arasında sayılmıştır.
[8] 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3, m.4, m.5, m.6, m.10 ve m.12.
[9] Kişisel Verileri Koruma Kurulu, 25.11.2021 tarihli ve 2021/1187 sayılı Karar (önceden tam ve açık bilgilendirme yapılmaksızın eski çalışanın kurumsal e-posta hesabına erişilmesi); Kişisel Verileri Koruma Kurulu, 19.01.2023 tarihli ve 2023/86 sayılı Karar (işyeri politikaları, feshe konu olayla bağlantı, bir hakkın tesisi, kullanılması veya korunması ve amaçla sınırlılık çerçevesinde yapılan kurumsal e-posta incelemesi).
[10] 6698 sayılı Kanun m.10; Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ m.4 ve m.5; Kişisel Verileri Koruma Kurulu, 20.05.2020 tarihli ve 2020/404 sayılı Karar; Kişisel Verileri Koruma Kurulu, 18.02.2026 tarihli ve 2026/347 sayılı İlke Kararı.
[11]Kişisel Verileri Koruma Kurulu, 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı. Kararın doğrudan konusu biyometrik verilerle mesai takibidir. Bu çalışmada kararda vurgulanan güç dengesizliği, gerçek seçim hakkı ve daha az müdahaleci yöntem ölçütleri, MDM uygulamalarına doğrudan hüküm olarak değil, yorum bakımından yol gösterici olarak kullanılmıştır.
[12] Microsoft Intune, “What information can my organization see when I enroll my device?”; Google Android Enterprise, “What is an Android Work Profile?”; Apple Platform Deployment, “User Enrollment and device management” (erişim: 18.08.2026).
[13]Kişisel Verileri Koruma Kurumu, “İş Yerlerinde Güvenlik Kamerası Sistemi Kullanımında Dikkat Edilecek Hususlara Dair Kamuoyu Duyurusu”, 08.06.2026. Duyuru kamera sistemlerine ilişkin olmakla birlikte; genel kontrol şeklindeki soyut amaçların yeterli olmaması, makul mahremiyet beklentisi ve ölçülülük vurguları konum takibi bakımından da kıyasen değerlendirilebilir.
[14] Microsoft Intune, “Device action: Retire” ve “Device action: Wipe”; Apple Platform Deployment, “User Enrollment and device management”; Google Android Enterprise, “What is an Android Work Profile?” (erişim: 18.08.2026).
[15] 6698 sayılı Kanun m.9; Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi; Kişisel Verileri Koruma Kurumu, “Yurt Dışına Kişisel Veri Aktarımında Kullanılacak Standart Sözleşmelerde Dikkat Edilmesi Gereken Hususlara İlişkin Kamuoyu Duyurusu”, 27.07.2026. Standart sözleşmenin, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir.
[16]4857 sayılı İş Kanunu m.18, m.19, m.22 ve m.25/II-h; 6098 sayılı Türk Borçlar Kanunu m.399 ve m.413.
[17]6100 sayılı Hukuk Muhakemeleri Kanunu m.189/2 ve m.199.
