Akıllı Cihazlar ve Dijital Mahremiyet: Bireysel Farkındalıktan İş Yeri Kurallarına

Dijital Mahremiyet Görünmez Olmak Değil

Bültenin en dikkat çekici tespitlerinden biri, dijital mahremiyetin dijital dünyada görünmez olmak anlamına gelmediğidir. Bültene göre dijital mahremiyet, dijital dünyada var olurken görünürlüğün sınırlarını belirleyebilmeyi ifade etmektedir.

Bu yaklaşım, mahremiyeti bilgiyi saklamak ile eş tutan yaygın algıdan ayrılmaktadır. Mesele, hangi bilgiyi paylaştığımızdan ibaret değildir. Hakkımızda hangi bilgilerin bir araya getirildiği, bu bilgilerden hangi sonuçlara ulaşılabildiği ve bu sonuçların hayatımızı nasıl etkileyebileceği de mahremiyetin bir parçasını oluşturmaktadır.

Veriler Bir Araya Geldiğinde Ortaya Çıkan Tablo

Bülten, tek başına sıradan görünen verilerin bir araya geldiğinde çok daha kapsamlı bir görünüm oluşturabildiğine dikkat çekmektedir. Belirli saatlerde belirli konumlarda bulunmak, belirli uygulamaları belirli zamanlarda kullanmak veya bazı cihazları belirli alışkanlıklar doğrultusunda çalıştırmak, kişinin günlük rutinleri hakkında çıkarım yapılmasına imkân sağlayabilmektedir.

Bültenin ifadesiyle burada yalnızca ne yaptığımız değil, belirli ölçüde nasıl yaşadığımız hakkında da bilgi ortaya çıkabilmektedir. Bu nedenle sorulması gereken soru yalnızca hangi kişisel verilerin işlendiği değildir; bu veriler bir araya geldiğinde kişi hakkında hangi bilgilerin ortaya çıkarılabileceği de sorgulanmalıdır.

Mahremiyet Tasarımla Başlıyor

Bültende üzerinde durulan bir diğer başlık, tasarımdan itibaren mahremiyet yaklaşımıdır. Buna göre kişisel verilerin korunmasının yalnızca bir ürün veya hizmet kullanıma sunulduktan sonra alınacak tedbirlere bırakılması yeterli görülmemektedir. Hangi verilerin işleneceğinin, bunlara kimlerin erişeceğinin, ne kadar süreyle saklanacağının ve hangi güvenlik önlemlerinin uygulanacağının tasarım aşamasında değerlendirilmesi önerilmektedir.

Bu yaklaşımı tamamlayan kavram ise varsayılan olarak mahremiyettir. Kullanıcıların ayrıca bir ayar değişikliği yapmasına gerek kalmadan, sistemlerin mahremiyeti gözeten varsayılan ayarlarla sunulması esas alınmaktadır. Bu husus, teknik özellikleri ve veri işleme süreçleri kullanıcı tarafından her zaman ayrıntılı biçimde takip edilemeyen akıllı cihazlar bakımından ayrıca önem taşımaktadır.

Akıllı Cihaz Kullanıcısının On Altın Kuralı

Bültende kullanıcılar için on başlıktan oluşan bir liste yer almaktadır. Liste özetle:

• Cihazın hangi verileri işlediğinin öğrenilmesini,
• Gereksiz izinlerin verilmemesini,
• Gizlilik ayarlarının varsayılan hâlinde bırakılmayıp gözden geçirilmesini,
• Güçlü ve benzersiz parolalar kullanılmasını,
• Çok faktörlü kimlik doğrulamanın etkinleştirilmesini,
• Cihazların güncel tutulmasını,
• Kullanılmayan uygulama ve hesapların kaldırılmasını,
• Cihazlar arasındaki veri paylaşımının kontrol edilmesini,
• Cihaz elden çıkarılmadan önce hesaplardan çıkış yapılıp verilerin silinmesini,
• Teknolojiden yararlanırken mahremiyetin gözetilmesini

önermektedir.

Listenin son maddesi bir soruya bağlanmaktadır. Bir hizmeti kullanmaya başlamadan önce kendimize "bu hizmet için bu verinin işlenmesi gerçekten gerekli mi?" sorusunu sormamız önerilmektedir.

Mobil Uygulamalarda Nelere Dikkat Etmeli?

Bülten, mobil uygulamalar bakımından ayrı bir başlık açmaktadır. Uygulamaların resmî uygulama mağazaları veya sağlayıcının resmî internet sitesi gibi güvenilir kaynaklardan indirilmesi, geliştiricisinin kontrol edilmesi, kullanıcı yorumlarının ve puanının incelenmesi önerilmektedir. Bülten burada bir uyarı da ekliyor: Yüksek puanların ve olumlu yorumların tek başına uygulamanın güvenilir olduğunu göstermediği belirtiliyor.

Uygulamanın gizlilik politikasının ve talep ettiği izinlerin gözden geçirilmesi, konum, ses ve görüntü gibi verilere sürekli erişim isteyen uygulamalarda bu izinlerin kullanım amacı dikkate alınarak değerlendirilmesi de tavsiye ediliyor. Sosyal medya hesabıyla uygulamaya giriş yapılması hâlinde hangi bilgilerin paylaşılacağının kontrol edilmesi, bu yöntemin farklı hizmetlerdeki hesapların birbiriyle ilişkilendirilmesine imkân tanıyabileceği gerekçesiyle ayrıca hatırlatılıyor.

Akıllı Gözlükler: Yalnızca Kullanıcıyı İlgilendirmeyen Bir Teknoloji

Bültenin bu sayıdaki en güncel başlığı akıllı gözlüklerdir. Bu cihazlar görüntü, ses ve bazı ek verileri kaydedebildiğinden, yalnızca kullanıcının değil çevrede bulunan kişilerin de kişisel verileri ve mahremiyeti bakımından sonuç doğurabilmektedir.

Bültende kayıtların kapsamının ve süresinin ihtiyaçla sınırlı tutulması, gelişmiş mikrofonların çevredeki konuşmaları farkında olunmadan kaydedebileceğinin gözetilmesi, mahremiyet beklentisinin yüksek olduğu ortamlarda kayıt özelliklerinin kullanılmaması ve kayıt yapılmasına izin verilmeyen yerlerde bu özelliklerin devre dışı bırakılması önerilmektedir. Başka kişilerin yer aldığı görüntü veya videoların paylaşılmasından önce paylaşımın olası etkilerinin değerlendirilmesi ve gerekli hâllerde bu kişilerin rızasının alınması da tavsiye edilmektedir.

Bülten ayrıca görüntü veya ses kaydı yapılmasının ya da bu kayıtların paylaşılmasının, somut olayın özelliklerine göre hukuki veya cezai sorumluluk doğurabileceğini hatırlatmaktadır.

İş Yerleri İçin Ne Anlama Geliyor?

Bülten bireysel farkındalığa odaklanmakla birlikte, ele aldığı başlıkların iş yeri uygulamalarına da yansıdığı düşünülebilir. Akıllı cihazların iş yerine yalnızca şirketin tedarik ettiği donanımla girmediği; çalışanın kendi telefonu, saati, kulaklığı ve evindeki cihazların da iş süreçlerinin bir parçası hâline gelebildiği belirtilmektedir.

• Kişisel cihazların iş amaçlı kullanımı: Çalışanların kendi cihazlarından kurumsal e-postaya, dosya paylaşım platformlarına veya iletişim uygulamalarına erişmesi yaygın bir uygulama hâline gelmiştir. Bu düzende, cihazdaki diğer uygulamaların rehbere, dosyalara veya bildirimlere erişim izinleri, kurumsal verinin kişisel bulut hesaplarına yedeklenmesi ve üçüncü taraf klavye uygulamalarının yazılan metni işleyebilmesi gibi başlıklar değerlendirme konusu olabilir. Cihazın kaybolması veya çalınması ile iş ilişkisinin sona ermesi hâlinde kurumsal verinin cihazdan nasıl kaldırılacağı da önceden belirlenmemişse sorun doğurabilmektedir.
• Giyilebilir cihazlar ve kayıt özellikleri: Akıllı saatlerin kilit ekranında beliren e-posta ve mesaj ön izlemeleri, açık ofis düzeninde üçüncü kişilerin görüş alanına girebilmektedir. Kayıt özelliği bulunan akıllı gözlükler bakımından ise toplantı odaları, üretim alanları, laboratuvarlar ve müşteri verisinin görünür olduğu çalışma alanları için ayrı bir kural ihtiyacı doğabilir. Aynı husus ofise gelen ziyaretçiler için de gündeme gelebilir.
• Toplantı odalarındaki akıllı ekipmanlar: Sesli asistan özelliği bulunan hoparlörler, akıllı ekranlar ve otomatik toplantı özeti üreten çözümler, toplantı içeriğini kaydedip metne dönüştürebilmektedir. Bu tür bir özellik kullanılacaksa, katılımcıların önceden bilgilendirilmesi, kaydın hangi amaçla tutulduğu ve ne kadar süreyle saklanacağı gibi hususların netleştirilmesi önem taşımaktadır.
• Şirket araçları ve bağlantılı araç teknolojileri: Bağlantılı araçlar konum, güzergâh ve sürüş biçimine ilişkin veri üretebilmektedir. Ayrıca çalışanın kendi telefonunu araca eşlemesi hâlinde rehber ve çağrı kayıtları araç sistemine kopyalanabilmektedir. Aracın iadesi veya devri öncesinde bu verilerin silinmesi, bültendeki cihazı elden çıkarmadan önce verileri silme önerisinin iş yerindeki karşılığı olarak görülebilmektedir.
• Teknoloji tedarikinde tasarım olarak mahremiyet: Bültenin tasarım vurgusu, kendi ürününü geliştirmeyen şirketler bakımından da anlam taşımaktadır. Yeni bir İK yazılımı, takip sistemi veya akıllı cihaz tedarik edilirken hangi verilerin işlendiği, varsayılan ayarların ne olduğu, saklama sürelerinin nasıl yapılandırıldığı ve erişim yetkilerinin nasıl sınırlandırılabildiği satın alma aşamasında sorulabilir.
• Politika ve farkındalık: Yukarıdaki başlıkların bir bölümü kabul edilebilir kullanım politikası, kişisel cihaz kullanımı kuralları ve kayıt cihazlarına ilişkin iş yeri kuralları ile karşılanabilir. Bunların yanında, çalışanlara yönelik farkındalık eğitimlerinde bültendeki on altın kural ile mobil uygulama tavsiyelerinin doğrudan kullanılabilecek bir içerik sunduğu değerlendirilebilir.

Sonuç

KVKK bülteninin bu sayısı, dijital mahremiyeti bir yasak listesi olarak değil, bir düşünme biçimi olarak ele almaktadır. Bültende ifade edildiği üzere mahremiyet kültürü, kişinin karşılaştığı veri talepleri karşısında birkaç temel soruyu sorabilmesiyle gelişmektedir: Bu bilgi neden isteniyor, gerçekten gerekli mi, kimler erişebilecek, ne kadar süre saklanacak ve başka bilgilerle birleştirildiğinde hakkımda ne ortaya çıkarabilir?

Bültenin ifadesiyle bu soruların günlük dijital davranışların doğal bir parçası hâline gelmesi, mahremiyet kültürünün önemli göstergelerinden birini oluşturmaktadır.

Konuya ilişkin detayları Akıllı Cihazlar ve Dijital Mahremiyet Bülteni üzerinden inceleyebilirsiniz.