Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin kurumsal e-posta ve diğer iş iletişimi kanallarını denetlemesine ilişkin ilkeleri açıkladı. Kurula göre çalışanların gizlice izlenmesi ve yazışmalarının kesintisiz biçimde incelenmesi hukuka aykırı; e-posta içeriklerine erişim için somut şüphe ve güçlü bir gerekçe bulunması gerekiyor.
Kurulun ilke kararı Resmî Gazete’de yayımlandı. Karar, çalışanlara tahsis edilen kurumsal e-posta hesaplarının yanı sıra kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, toplantı platformlarının sohbet ve kayıt alanlarını, müşteri ilişkileri ve talep yönetim sistemlerini de kapsıyor.
Kararda, işverenin denetim yetkisi ile çalışanın özel hayatının gizliliği, kişisel verilerinin korunması ve haberleşme özgürlüğü arasında adil bir denge kurulması gerektiği vurgulandı.
Denetimler disiplin ve işten çıkarma süreçlerinde kullanılmış
KVKK, kuruma ulaşan ihbar ve şikâyetler üzerine yapılan incelemelerde işverenlerin kurumsal e-postaları takip ettiğini, yazışma içeriklerine eriştiğini ve iletişime ilişkin trafik ile log kayıtlarını incelediğini belirtti.
Kurul, bu yollarla elde edilen kişisel verilerin disiplin soruşturmalarında ve iş sözleşmelerinin sona erdirilmesi süreçlerinde kullanıldığını; çalışanların denetim hakkında yeterli, açık ve somut biçimde bilgilendirilmediğini tespit etti.
İletişim araçlarının işverene ait olmasının sınırsız denetim hakkı vermediğine dikkat çekilen kararda, araçların işyerinde bulunmasının da tek başına böyle bir yetki doğurmayacağı ifade edildi.
Gizli ve sürekli izleme hukuka aykırı
Kurula göre çalışanlara önceden bilgi verilmeden yürütülen gizli izleme ile bütün işlemleri ayrım gözetmeden kaydeden denetim yöntemleri hukuka aykırı. Denetimin meşru bir amaca dayanması, o amaçla sınırlı kalması ve ölçülü yürütülmesi gerekiyor.
E-posta içerikleri ancak somut bir şüphe bulunduğunda ve inceleme belirli bir iddiayla sınırlandırıldığında denetlenebilecek. İşverenlerin öncelikle yazışmaları okumadan trafik ve log kayıtlarını incelemek gibi daha az müdahaleci yöntemleri değerlendirmesi; filtreleme veya erişimi engelleme ile çözülebilecek durumlarda doğrudan içerik denetimine başvurmaması gerekiyor.
Teknik erişim, kişisel hesapları inceleme hakkı sağlamıyor
İşverenler, işyerindeki iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar koyabilecek; ancak çalışanların bu kurallardan önceden haberdar edilmesi gerekiyor. Özel kullanımın yasaklanması da sınırsız denetim yetkisi vermiyor. Yasağın ihlali, özel yazışmaların içeriğini doğrudan incelemek için tek başına yeterli gerekçe sayılmıyor.
KVKK, bir bilgisayara, kurumsal ağa veya cihaza teknik erişimin; çalışanın kişisel e-posta hesabına, özel mesajlaşma uygulamalarına ya da sosyal medya yazışmalarına erişme hakkı anlamına gelmediğini belirtti. İş ve özel amaçlı iletişimin birbirinden ayrılamadığı durumlarda denetim yetkisinin daha dar yorumlanması gerektiğini kaydetti.
Genel bilgilendirme yeterli değil
İşverenlerin denetimin amacını, kapsamını, yöntemini ve hukuki dayanağını çalışanlara önceden ve açık biçimde bildirmesi gerekiyor. Bilgilendirmede hangi koşullarda yazışma içeriğine erişileceği, incelemenin trafik kayıtlarıyla mı sınırlı olacağı, verilerin ne kadar süre saklanacağı ve çalışanların kişisel verilerine ilişkin hakları açıklanmalı.
Kurul, yalnızca “Kurumsal e-posta hesabınız denetlenebilir” şeklindeki genel bir bildirimin yeterli olmayacağını belirtti. Çalışanın açık rızasının alınması da her türlü denetimi meşru hâle getirmiyor. İşçi ile işveren arasındaki güç eşitsizliği ve bağımlılık ilişkisi nedeniyle rızanın özgür iradeyle verilip verilmediğinin ayrıca değerlendirilmesi gerekiyor.
İşten ayrılanların hesaplarına erişim de sınırlı
İş ilişkisi sona erdiğinde çalışanın kurumsal e-posta hesabının aktif kullanımı ve hesaba yeni erişimler kural olarak kapatılmalı. Hesaptaki verilere erişimin sürmesi için ayrıca hukuki dayanak bulunması gerekiyor.
Kurumsal iletişimin devamlılığı amacıyla otomatik yanıt, yönlendirme veya arşivleme gibi uygulamalar ancak somut ihtiyaç doğrultusunda, sınırlı süreyle ve erişim yetkileri belirlenerek yapılabilecek. KVKK, denetim sırasında çalışanların sağlık bilgileri gibi özel nitelikli kişisel verileri ile yazıştıkları üçüncü kişilere ait bilgilerin de korunması gerektiğini hatırlattı.
İlkelere aykırılık hâlinde işlem yapılabilecek
Kurul, ilkelere aykırı denetim tespit edilmesi durumunda olayın koşullarına göre inceleme yapılacağını ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca ilgili veri sorumluları hakkında işlem tesis edileceğini bildirdi. Karar, çalışanların iletişim kanallarına ilişkin kişisel veri işleme faaliyetlerinin önceden bilgilendirme, meşru amaç, ölçülülük ve veri güvenliği ilkelerine uygun yürütülmesi gerektiğini ortaya koydu.
