Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis edilen kurumsal e-posta ve iş amaçlı iletişim kanallarını hangi koşullarda denetleyebileceğine ilişkin ilke kararını yayımladı. Karara göre iş araçlarının işverene ait olması sınırsız inceleme yetkisi vermiyor; çalışanlar denetimden önce açıkça bilgilendirilmeli ve inceleme ölçülü yürütülmeli.
Resmi Gazete’de yayımlanan kararda, kurumsal yazışmaların çalışanların mesleki ilişkileri, çalışma alışkanlıkları ve iletişimleri hakkında bilgi içerebildiğine dikkat çekildi. Bu nedenle işverenin yönetim hakkı ile çalışanların kişisel verilerinin korunmasını isteme hakkı ve haberleşme özgürlüğü arasında denge kurulması gerektiği belirtildi.
İş araçları sınırsız erişim hakkı sağlamıyor
KVKK, e-postaların içeriğine bakılmadan yalnızca trafik veya log kayıtlarının incelenmesinin de kişisel veri işleme faaliyeti sayıldığını kaydetti. İletişim aracının işverene ait olması ya da iş yerinde kullanılması, denetim yetkisinin sınırsız olduğu anlamına gelmiyor.
Denetimin yöntemi, araçların iş veya özel amaçla kullanımına göre belirlenmeli. İşveren özel kullanımla ilgili kurallar koyabilir; ancak bu kurallar açık ve anlaşılır olmalı, çalışanların bilgisine sunulmalı. Bir cihaz veya kurumsal sistem üzerinde teknik yetkinin bulunması da çalışanın kişisel e-posta hesabına, özel mesajlarına ya da sosyal medya yazışmalarına serbestçe erişilmesini mümkün kılmıyor.
Denetimin kapsamı önceden açıklanmalı
Karara göre çalışanlar, yapılacak denetim hakkında önceden ve açık biçimde bilgilendirilmeli. Aydınlatmada yalnızca genel ifadeler kullanılması yeterli değil; veri işlemenin hukuki sebebi, amacı ve kapsamı belirtilmeli.
İşveren ayrıca incelemenin trafik ve log kayıtları üzerinden mi, yoksa iletişim içeriklerine erişilerek mi yapılacağını açıklamalı. İçeriğe hangi koşullarda bakılabileceği ve elde edilen verilerin ne kadar süre saklanacağı da çalışanlara somut biçimde aktarılmalı.
İçerik incelemesi son çare olmalı
KVKK, denetimin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru bir amaca dayalı olması gerektiğini vurguladı. İşlenen veriler amaçla bağlantılı ve ölçülü tutulmalı; yalnızca ihtiyaç duyulan süre boyunca saklanmalı.
Kararda kademeli denetim yöntemi esas alındı. Buna göre iletişim içeriklerine erişim, trafik verilerinin incelenmesinin yeterli olmadığı ve içeriğe ulaşmanın zorunlu hale geldiği istisnai durumlarda gündeme gelebilecek.
Gizli izleme hukuka aykırı kabul edilebilecek
Çalışanın önceden haberdar edilmediği gizli izleme yöntemleri ile tüm işlemleri ayrım gözetmeden kaydeden sistemler üzerinden yapılan denetimlerin hukuka aykırı sayılacağı belirtildi.
KVKK, yükümlülüklere uyulmadığının belirlenmesi halinde olayın özelliklerine göre inceleme yapılacağını bildirdi. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabilecek.
