Patron çalışanının e-postasını okuyabilir mi? İşte KVKK’nın koyduğu sınır

Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş amacıyla kullanılan iletişim kanallarını denetlemesine ilişkin önemli bir ilke kararı yayımladı. Resmi Gazete'de yayımlanan kararla, işverenlerin denetim sırasında uyması gereken usul ve esaslar ortaya konuldu.

Kararda, çalışanlara verilen kurumsal e-posta hesaplarının yalnızca iş yazışmalarını içermediğine dikkat çekildi. Bu hesaplarda çalışanın mesleki ve zaman zaman kişisel ilişki ağı, çalışma düzeni ve yazışma içerileri de bulunabiliyor. Bu nedenle e-posta hesaplarının denetlenmesinin, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme özgürlüğü arasında denge kurulmasını gerektirdiği belirtildi.

İŞVERENİN E-POSTA DENETİMİ SINIRSIZ DEĞİL

KVKK, işverenin çalışana ait e-postaların içeriğini okumasa bile trafik veya log kayıtlarını işlemesinin kişisel veri işleme faaliyeti olduğunu vurguladı.

İletişim aracının işverene ait olması veya işyerinde kullanılması, işverene sınırsız bir denetim yetkisi vermiyor. Denetimin kapsamının belirlenmesinde iletişim aracının hangi amaçla kullanılacağının dikkate alınması gerekiyor.

İşverenler, işyerindeki iletişim araçlarının özel amaçlarla kullanımına ilişkin kurallar koyabilecek. Ancak bu kuralların açık, anlaşılır ve çalışanların erişebileceği şekilde belirlenmesi gerekiyor.

Özel kullanımın yasaklanması, sınırlandırılması veya belirli bir zaman, kapsam ya da yönteme bağlanması halinde de çalışanların önceden bilgilendirilmesi gerekiyor.

KİŞİSEL MESAJLARA DOĞRUDAN ERİŞİLEMİYOR

Kararda, işverenin bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta hesabına ya da özel mesajlaşma ve sosyal medya hesaplarına sınırsız biçimde erişebileceği anlamına gelmediği belirtildi.

KVKK, işverenin teknik kontrol yetkisi ile çalışanın özel iletişim alanlarına erişim yetkisinin birbirinden ayrı değerlendirilmesi gerektiğine dikkat çekti.

ÇALIŞAN DENETİMDEN ÖNCE BİLGİLENDİRİLMELİ

KVKK’nın kararına göre çalışanların yapılacak denetim konusunda önceden ve açık biçimde bilgilendirilmesi gerekiyor. Aydınlatmanın yalnızca genel ifadeler içermesi yeterli görülmüyor.

Çalışana kişisel verilerin hangi hukuki sebeple işlendiği, denetimin hangi amaç ve kapsamda gerçekleştirileceği, yalnızca trafik ve log kayıtlarının mı yoksa iletişim içeriklerinin de mi inceleneceği ve içeriklere hangi durumlarda erişilebileceği bildirilmelidir.

Bunun yanında verilerin ne kadar süreyle saklanacağı konusunda da çalışanın açık ve anlaşılır şekilde bilgilendirilmesi gerekiyor.

E-POSTA İÇERİĞİNE HANGİ DURUMDA ERİŞİLEBİLİR?

KVKK, denetim faaliyetlerinin hukuka ve dürüstlük kurallarına uygun olması gerektiğini belirtti. Denetimin belirli ve meşru bir amaca dayanması, amaçla bağlantılı olması ve kapsam bakımından sınırlı ve ölçülü tutulması gerekiyor.

Kararda kademeli denetim yaklaşımının esas alınması gerektiği ifade edildi. Buna göre iletişim içeriğine erişim, trafik verilerinin incelenmesinin yeterli olmadığı ve içeriğe ulaşılmasının zorunlu hale geldiği istisnai durumlarda gündeme gelebilecek.

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla gerçekleştirilen denetimlerin ise hukuka aykırı sayılacağı belirtildi.

KURALLARA UYMAYAN İŞVERENE İDARİ İŞLEM

KVKK, ilke kararında yer alan yükümlülüklere uyulmadığının tespit edilmesi halinde olayın özelliklerine göre gerekli incelemenin yapılacağını açıkladı.

İhlal tespit edilmesi durumunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabilecek.