Kişisel Verileri Koruma Kurumu’nun işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve iş iletişim kanallarının denetlenmesine ilişkin ilke kararı Resmi Gazete’de yayımlandı. Kararda, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunması ve haberleşme hürriyeti arasında denge kurulması gerektiği vurgulandı.
KURUMSAL E-POSTA SINIRSIZ DENETLENEMEYECEK
KVKK’nın kararında, çalışanlara verilen kurumsal e-posta hesaplarının yalnızca iş yazışmalarını değil, çalışanın mesleki ilişki ağını, çalışma düzenini ve yazışma içeriklerini de barındıran bir veri kaynağı olduğu belirtildi.İşverenin bu hesapları denetlemesinin bir kişisel veri işleme faaliyeti olduğu ifade edilirken, iletişim araçlarının işverene ait olmasının tek başına sınırsız denetim yetkisi sağlamayacağına dikkat çekildi.
KİŞİSEL MESAJLARA ERİŞİM SERBEST DEĞİL
Kararda, işverenin iş yeri iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar belirleyebileceği belirtildi. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerektiği vurgulandı.İşverenin teknik olarak bir cihaz, ağ veya kurumsal sistem üzerinde yetkiye sahip olması; çalışanın kişisel e-posta hesabındaki, özel mesajlaşma uygulamalarındaki veya sosyal medya mesaj kutusundaki yazışmalara serbestçe erişebileceği anlamına gelmeyecek.
ÇALIŞAN DENETİMDEN ÖNCE BİLGİLENDİRİLECEK
KVKK, çalışanların yapılacak denetim hakkında önceden ve açık biçimde bilgilendirilmesi gerektiğini belirtti. Aydınlatmada denetimin hukuki sebebi ve amacıyla birlikte hangi verilerin işleneceği, trafik ve log kayıtlarının mı yoksa iletişim içeriklerinin mi inceleneceği ve hangi durumlarda içeriklere erişilebileceği belirtilmesi gerekecek.Ayrıca verilerin ne kadar süreyle saklanacağı konusunda da çalışana açık ve anlaşılır bilgi verilmesi gerekecek.
İÇERİK DENETİMİ SON ÇARE OLACAK
İlke kararında denetim sürecinde kademeliliğin esas alınacağı belirtildi. Buna göre işverenin doğrudan iletişim içeriğine yönelmek yerine öncelikle trafik ve log kayıtları üzerinden denetim yapması gerekecek.İçeriklere erişim ise trafik verilerinin yetersiz kaldığı ve erişimin zorunlu olduğu istisnai durumlarda gündeme gelebilecek. Denetimin belirli, açık ve meşru bir amaca dayanması, amaçla bağlantılı, sınırlı ve ölçülü şekilde yürütülmesi gerekecek.
GİZLİ İZLEMEYE İDARİ İŞLEM
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle yapılan denetimlerin hukuka aykırı kabul edileceği belirtildi. Çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla gerçekleştirilen denetimler de karar kapsamında değerlendirilecek.İlke kararındaki yükümlülüklere uyulmadığının tespit edilmesi halinde, olayın özelliklerine göre gerekli inceleme yapılacak. İhlal tespit edilmesi durumunda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabilecek yeni düzenlemeyle işverenlerin denetim yetkisi tamamen ortadan kaldırılmıyor; ancak bu yetkinin çalışanların kişisel verileri ve haberleşme özgürlüğü gözetilerek, önceden bilgilendirme ve ölçülülük ilkeleri çerçevesinde kullanılması gerekiyor.
