Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta ve iletişim araçlarını denetlemesine ilişkin sınırları belirledi. Karar, çalışanların özel hayatı ile haberleşme özgürlüğünü korurken işverenin yönetim hakkının hangi koşullarda kullanılabileceğini ortaya koyuyor.
Karar hangi iletişim kanallarını kapsıyor?
Kişisel Verileri Koruma Kurumu (KVKK) tarafından yayımlanan ilke kararı yalnızca kurumsal e-posta hesaplarıyla sınırlı değil. Şirket içi mesajlaşma programları, anlık iletişim uygulamaları, müşteri yönetim sistemleri ve çevrim içi toplantıların sohbet ya da kayıt alanları da karar kapsamına giriyor.
İşverenler, çalışana tahsis edilen iletişim aracının kişisel kullanıma uygun olup olmadığını, hangi amaçla verildiğini ve çalışanın burada gizliliğinin korunacağı yönünde makul bir beklenti taşıyıp taşımadığını değerlendirmek zorunda. Mesaj içeriğinin yanı sıra kimin, kiminle ve ne zaman iletişim kurduğunu gösteren trafik/log (iz) kayıtları da kişisel veri sayılıyor.
Kişisel hesaplara erişim hukuka aykırı olabilir
İşverenin teknik olarak mesajları okuyabilecek durumda olması, bu mesajlara erişme hakkı bulunduğu anlamına gelmiyor. Cihazın veya sistemin şirkete ait olması da sınırsız denetim yetkisi sağlamıyor.
Ağır basan meşru bir gerekçe bulunmadığı sürece çalışanın sosyal medya mesaj kutusuna, kişisel e-posta hesabına ya da özel yazışma alanlarına erişilmesi hukuka aykırı kabul ediliyor. Türkiye Gazetesi yazarı İsa Karakaş, kararın Anayasa’daki “özel hayatın gizliliği” ve “haberleşme hürriyeti” hükümleriyle işverenin yönetim hakkı arasında hassas bir denge kurduğunu belirtti.
Gizli ve sürekli takip yapılamayacak
Çalışanın bilgisi olmadan izlenmesi, her hareketinin gizli kamera veya yazılımlarla sürekli kayda alınması hukuka uygun sayılmıyor. Denetimin temel koşulu, işlemden önce çalışanın bilgilendirilmesi.
“Şirket e-postaları denetlenebilir” gibi soyut duyurular yeterli görülmüyor. Denetimin ne zaman, hangi amaçla ve nasıl yapılacağı; trafik verisinin mi yoksa içeriklerin mi inceleneceği; verilerin ne kadar süre saklanacağı ve çalışanın haklarının neler olduğu açık ve somut biçimde belirtilmeli.
Bilgilendirme yapılmadığında çalışan, haberleşme özgürlüğünün güvence altında olduğu yönünde makul bir beklentiye girebilir. Bu beklentinin ihlal edilmemesi gerekiyor.
Açık rıza öncelikli hukuki sebep sayılmıyor
İşveren ile çalışan arasındaki güç dengesizliği nedeniyle çalışanın işini kaybetme endişesiyle rıza vermek zorunda kalabileceğine dikkat çekiliyor. Bu nedenle KVKK, e-posta denetiminde “Açık Rıza”yı öncelikli hukuki sebep olarak kabul etmiyor.
İşveren bunun yerine hukuki yükümlülüklerin yerine getirilmesi, bir hakkın tesisi veya korunması ya da çalışanın temel haklarına zarar vermemek şartıyla meşru menfaat gerekçelerine dayanabilir. Ancak bu gerekçeler de sınırsız denetim hakkı vermiyor.
Denetimde kademeli yöntem uygulanacak
İşverenin amaca ulaşmak için en hafif müdahaleyi seçmesi gerekiyor. Kötüye kullanım şüphesi varsa önce filtreleme veya engelleme gibi teknik önlemler uygulanmalı.
Sorun bu yöntemlerle çözülemezse ilk aşamada yalnızca kiminle iletişim kurulduğunu gösteren trafik verileri incelenebilir. Mesaj içeriğine erişim ise en ağır müdahale olarak son çare kabul ediliyor. İçeriğin incelenmesi ancak somut bir şüphe veya iddia bulunması ve trafik verilerinin yetersiz kalması halinde mümkün olabilir. Genel, kapsamlı ve sürekli içerik taraması hukuka aykırı.
Özel yazışmalar ve üçüncü kişilerin verileri korunacak
Mesaj veya e-posta içeriklerinde sağlık bilgileri ve sendika üyeliği gibi özel nitelikli kişisel veriler yer alabilir. Ayrıca yazışmalar, iletişimin karşı tarafındaki üçüncü kişilere ait verileri de içerebilir. Bu nedenle denetim sırasında masum üçüncü kişilerin haklarının zedelenmemesi gerekiyor.
İş amaçlı yazışmalarla özel yazışmalar birbirinden ayrılabiliyorsa özel iletişimler denetim dışında tutulmalı. Ayrım yapılamıyorsa işverenin yetkisi çok dar ve hassas biçimde yorumlanmalı.
İşten ayrılan çalışanın e-posta hesabı
Çalışanın işten ayrılmasıyla e-posta hesabı kural olarak kapatılmalı. Hesap, gelen iletilerin ilgisiz kişilerce okunabileceği şekilde açık bırakılamaz.
İşin aksamaması veya hukuki uyuşmazlıklarda savunma yapılabilmesi için belirli bir süreyle sınırlı olmak, yetkilendirilmiş kişilerce yürütülmek ve otomatik cevap, yönlendirme veya arşivleme yöntemlerinden yararlanmak mümkün. Hukuki dayanağı kalmayan veriler ise derhal imha edilmeli.
E-posta verilerine erişim yalnızca belirli görevlilere tanımlanmalı, erişim kayıtları tutulmalı ve bu kişilerle gizlilik sözleşmesi yapılmalı.
KVKK’nın kararı, çalışanların iş disiplininden kaçmasına izin verirken işverenlerin de sınırları aşmasına göz yummuyor. Hukuka aykırı veri toplayan işverenler, KVKK’nın kanun hükümleri uyarınca ağır idari yaptırımlarla karşılaşabilir. Çalışanların ise kurumsal araçların iş amacıyla tahsis edildiğini unutmadan haklarını bilerek hareket etmesi gerekiyor.
