Kişisel Verileri Koruma Kurumu, çalışanlara tahsis edilen kurumsal e-posta hesapları ile iş iletişim kanallarının denetlenmesine ilişkin ilke kararını yayımladı. Kurallara aykırı hareket eden veri sorumluları hakkında idari işlem uygulanabilecek.
Kurumsal e-postalar kişisel veri kaynağı sayıldı
Resmi Gazete’de yayımlanan kararda, çalışanlara verilen kurumsal e-posta hesaplarının mesleki ve zaman zaman kişisel ilişki ağını, çalışma düzenini ve yazışma içeriklerini barındıran veri kaynakları olduğu belirtildi.
İşverenin bu hesapları denetlemesi; yönetim hakkı ile çalışanın Anayasa’da güvence altına alınan kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasında denge kurulmasını gerektiren bir kişisel veri işleme faaliyeti olarak değerlendirildi.
Kararda, “İşverenin, çalışana ait e-postanın içeriğine erişmeksizin yalnızca trafik/log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyetini oluşturmaktadır. İletişim araçlarının işverene ait olması ya da iş yerinde bulunması tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır.” ifadeleri kullanıldı.
İşveren yazışma içeriklerine sınırsız erişemeyecek
Denetimin kapsamı belirlenirken iletişim araçlarının kullanım amacı doğrultusunda “iş amaçlı kullanım” ve “özel amaçlı kullanım” ayrımının gözetilmesi gerektiği kaydedildi.
İşverenlerin özel kullanıma ilişkin kurallar koyabileceği ancak bu kuralların açık, anlaşılır ve çalışanların bilebileceği nitelikte olması gerektiği aktarıldı. Özel kullanımın yasaklanması, sınırlandırılması veya belirli zaman, kapsam ve yöntem şartlarına bağlanması durumunda, düzenlemelerin çalışana açıkça bildirilmesi gerekecek.
Belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olunması; çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya mesaj kutusu ya da benzeri özel iletişim alanlarındaki yazışmalara serbestçe erişim hakkı vermeyecek.
Çalışan denetimden önce bilgilendirilecek
KVKK kararında, çalışanın denetim faaliyeti başlamadan önce bilgilendirilmesi gerektiği vurgulandı. Aydınlatmanın yalnızca soyut ve genel ifadeler içermemesi; kişisel veri işlemenin hukuki sebebini, amacını ve kapsamını açıklaması gerekiyor.
Bilgilendirmede ayrıca denetimin trafik/log kayıtlarının incelenmesiyle mi yoksa içerik kontrolüyle mi yapılacağı, içeriğe hangi durumlarda erişilebileceği ve verilerin ne kadar süre saklanacağı açık, anlaşılır ve somut şekilde belirtilmeli.
Denetimin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı, bu amaçla bağlantılı, sınırlı ve ölçülü biçimde yürütülmesi gerektiği ifade edildi. Elde edilen veriler de yalnızca amacın gerektirdiği süre boyunca muhafaza edilebilecek.
Kademeli denetim ilkesine dikkat çekilen kararda, içerik kontrolünün ancak trafik verilerinin incelenmesinin yetersiz kaldığı ve içeriğe ulaşılmasının zorunlu olduğu istisnai durumlarda yapılabileceği belirtildi.
Kurala uymayanlara idari işlem
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla gerçekleştirilen denetimlerin hukuka aykırı sayılacağı bildirildi.
İlke kararında, yükümlülüklere uyulmadığının belirlenmesi halinde somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceği kaydedildi.
