KVKK’DAN ÇALIŞANLAR İÇİN E-POSTA KARARI

Kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesine ilişkin usul ve esasları belirleyen karar, çalışanların kişisel verilerinin ve haberleşme özgürlüğünün korunması açısından önemli düzenlemeler içeriyor.

KVKK’nın yayımladığı ilke kararında, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasında makul bir denge kurulması gerektiği vurgulandı.

KURUMSAL E-POSTA SADECE İŞVERENİN ALANI DEĞİL

Kurumsal e-posta hesabı işveren tarafından çalışana tahsis edilmiş olsa da bu hesabın içerisinde yalnızca iş süreçlerine ilişkin teknik bilgilerin bulunmadığına dikkat çekildi.

Kararda, çalışanların kurumsal e-posta hesaplarının mesleki ilişkileri, çalışma alışkanlıkları, iletişim ağları ve yazışma içerikleri bakımından önemli bir veri kaynağı niteliğinde olduğu belirtildi.

Bu nedenle kurumsal e-posta hesaplarının denetlenmesi, işverenin sıradan bir teknik kontrolü olarak değil, aynı zamanda kişisel veri işleme faaliyeti olarak değerlendiriliyor.

Hatta işverenin e-postaların içeriğine doğrudan bakmadan yalnızca trafik veya log kayıtlarını incelemesinin dahi kişisel veri işleme faaliyeti oluşturabileceği ifade edildi.

CİHAZIN ŞİRKETE AİT OLMASI SINIRSIZ YETKİ VERMİYOR

Kararın çalışanlar açısından en dikkat çekici noktalarından biri, kullanılan cihazın veya sistemin mülkiyetinin tek başına sınırsız denetim hakkı doğurmadığının açıkça belirtilmesi oldu.

İşverenin bilgisayar, telefon, internet ağı, sunucu veya başka bir kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta hesabına, özel mesajlaşmalarına veya sosyal medya yazışmalarına dilediği gibi erişebileceği anlamına gelmiyor.

KVKK, işverenin sahip olduğu teknik imkan ile hukuken kullanabileceği denetim yetkisinin birbirinden farklı olduğunu ortaya koydu.

Başka bir ifadeyle, “cihaz benim, istediğim her şeyi kontrol ederim” yaklaşımı tek başına hukuki dayanak oluşturmuyor.

İŞ AMAÇLI VE ÖZEL KULLANIM AYRIMI YAPILACAK

KVKK kararında, iş yerindeki iletişim araçlarının denetiminde kullanım amacının dikkate alınması gerektiği belirtildi.

Bu kapsamda iletişim araçlarının iş amaçlı kullanımı ile özel amaçlı kullanımı arasında ayrım yapılması gerekiyor.

İşveren, kurumsal e-posta veya diğer iletişim araçlarının hangi amaçlarla kullanılabileceğine ilişkin kurallar koyabiliyor. Ancak bu kuralların çalışan açısından açık, anlaşılır ve önceden bilinebilir olması gerekiyor.

Örneğin özel kullanımın tamamen yasaklanması, belirli saatlerle sınırlandırılması veya yalnızca belirli amaçlarla kullanılmasına izin verilmesi halinde, bu kuralların çalışana açık biçimde bildirilmesi gerekiyor.

Çalışanın sonradan haberdar olduğu veya içeriğini bilmediği bir denetim politikasının varlığı, tek başına sınırsız bir kontrol yetkisi oluşturmuyor.

ÇALIŞAN DENETİMDEN ÖNCE BİLGİLENDİRİLMELİ

KVKK’nın kararında öne çıkan bir diğer başlık ise önceden bilgilendirme yükümlülüğü oldu.

İşverenin çalışanı yalnızca “sistemler denetlenmektedir” gibi genel bir ifadeyle bilgilendirmesinin yeterli olmayabileceğine dikkat çekildi.

Bilgilendirmenin mümkün olduğunca somut olması gerekiyor. Çalışana;

• Denetimin hangi hukuki sebebe dayandığı,
• Hangi amaçla gerçekleştirildiği,
• Hangi verilerin inceleneceği,
• Trafik ve log kayıtlarının mı yoksa mesaj içeriklerinin mi denetleneceği,
• İçeriklere hangi durumlarda erişilebileceği,
• Verilerin ne kadar süreyle saklanacağı

gibi konularda açık bilgi verilmesi gerekiyor.

Böylece çalışan, iş yerinde kullandığı iletişim araçlarının hangi sınırlar içerisinde ve ne şekilde takip edildiğini önceden bilebilecek.

MESAJ İÇERİKLERİNE ERİŞİM SON ÇARE OLACAK

KVKK, denetimlerde kademeli bir yaklaşımın benimsenmesi gerektiğine de dikkat çekti.

Buna göre işverenin öncelikle daha sınırlı veri kaynaklarından yararlanması gerekiyor. Trafik veya log kayıtlarının incelenmesiyle ulaşılabilecek bir sonuca doğrudan mesaj içeriğine girilerek ulaşılması, ölçülülük açısından sorun oluşturabiliyor.

Kararda, iletişim içeriğine erişimin ancak trafik verilerinin incelenmesinin yeterli olmadığı ve içeriğe ulaşılmasının gerçekten zorunlu hale geldiği istisnai durumlarda gündeme gelebileceği belirtildi.

Bu yaklaşım, işverenin denetim hakkının tamamen ortadan kaldırılması anlamına gelmiyor. Ancak denetimin amacına ulaşmak için gerekenden daha geniş bir müdahalede bulunulmaması gerektiğini ortaya koyuyor.

GİZLİ İZLEMEYE DİKKAT

Kararda, çalışanların bilgisi dışında gerçekleştirilen gizli izleme uygulamalarına da önemli bir sınır getirildi.

Çalışanın önceden bilgilendirilmediği gizli takip yöntemlerinin yanı sıra, çalışanın gerçekleştirdiği bütün işlemleri ayrım yapmaksızın kaydeden ve sürekli izleme sağlayan sistemlerin hukuka aykırı kabul edilebileceği vurgulandı.

Buradaki temel kriterin denetimin amacı, kapsamı ve ölçüsü olduğu belirtildi.

İşverenin meşru bir denetim amacı bulunması, gerçekleştirilen her türlü veri işlemeyi otomatik olarak hukuka uygun hale getirmiyor. Denetim ile çalışanın özel hayatı ve haberleşme özgürlüğü arasında ölçülü bir sınır kurulması gerekiyor.

KİŞİSEL VERİLER AMACINDAN FAZLA SAKLANAMAYACAK

KVKK’nın kararında veri saklama süresine de dikkat çekildi.

İşveren tarafından gerçekleştirilen denetim sonucunda elde edilen kişisel verilerin, belirlenen amaç için gerekli olan süreden daha uzun süre muhafaza edilmemesi gerektiği belirtildi.

Bu kapsamda işverenlerin yalnızca hangi verileri toplayacağına değil, bu verileri neden topladığına ve ne kadar süreyle saklayacağına da ilişkin açık bir politika oluşturması gerekiyor.

Verilerin amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmesi temel ilkeler arasında yer alıyor.

İŞVERENİN DENETİM HAKKI ORTADAN KALKMIYOR

KVKK’nın kararı, işverenlerin çalışanlarını hiçbir şekilde denetleyemeyeceği şeklinde yorumlanmıyor.

İşverenlerin işin yürütülmesi, bilgi güvenliğinin sağlanması, şirket kaynaklarının korunması ve çalışma düzeninin sürdürülebilmesi amacıyla belirli denetimler yapabilmesi mümkün.

Ancak bu yetkinin kullanılması sırasında kişisel verilerin korunması ve haberleşme özgürlüğü gibi temel hakların da gözetilmesi gerekiyor.

Dolayısıyla kararın temel yaklaşımı, “denetim yapılamaz” değil, “denetim sınırsız olamaz” şeklinde özetlenebilir.

KURALLARA UYMAYAN İŞVERENLERE İDARİ İŞLEM

KVKK, ilke kararında belirlenen yükümlülüklere uyulmaması halinde gerekli incelemelerin yapılacağını da bildirdi.

Somut olayın özellikleri dikkate alınarak gerçekleştirilecek değerlendirmeler sonucunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabilecek.

Bu nedenle işverenlerin yalnızca teknik altyapılarını değil, çalışanlara yönelik aydınlatma metinlerini, denetim politikalarını, veri saklama sürelerini ve erişim prosedürlerini de gözden geçirmesi önem taşıyor.

ÇALIŞANLAR AÇISINDAN YENİ DÖNEM

KVKK’nın kararı, çalışma hayatında dijital iletişimin giderek daha fazla yer kapladığı bir dönemde önemli bir çerçeve ortaya koyuyor.

Kurumsal e-posta, şirket bilgisayarı veya iş ağı kullanılıyor olması, çalışanın tüm iletişim faaliyetlerinin otomatik olarak işverenin kontrol alanına girdiği anlamına gelmiyor.

Kararla birlikte işverenlerin denetim uygulamalarında şeffaflık, ölçülülük, belirli bir amaç ve önceden bilgilendirme ilkelerine daha fazla dikkat etmesi gerekiyor.

Çalışanlar açısından ise en önemli mesaj açık: Kurumsal sistemlerin kullanılması, kişisel verilerin ve haberleşme özgürlüğünün tamamen ortadan kalktığı anlamına gelmiyor.