KVKK’dan milyonlarca çalışanı ilgilendiren karar: İşverenler e-postaları sınırsız denetleyemeyecek

Kişisel Verileri Koruma Kurumu (KVKK), milyonlarca çalışanı ve işvereni yakından ilgilendiren önemli bir ilke kararı yayımladı. Resmî Gazete'de yayımlanan kararla, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş amacıyla kullanılan iletişim kanallarını denetlemesine ilişkin sınırlar belirlendi. İşverenin iletişim araçlarının sahibi olmasının sınırsız denetim yetkisi anlamına gelmediği vurgulanırken, çalışanların önceden bilgilendirilmesi ve denetimlerin ölçülü şekilde yapılması gerektiği bildirildi.
KVKK'DAN İŞVERENLERE YENİ DENETİM KURALLARI
Kişisel Verileri Koruma Kurumu, çalışanların iş amacıyla kullandığı iletişim kanallarının işveren tarafından denetlenmesine ilişkin yeni bir ilke kararı aldı.
Resmî Gazete'de yayımlanan karar, kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim araçlarının denetlenmesi sırasında uyulması gereken usul ve esasları kapsıyor.
Kararda, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme özgürlüğü arasında denge kurulması gerektiğine dikkat çekildi.
İŞVERENİN SINIRSIZ DENETİM YETKİSİ BULUNMUYOR
KVKK kararında, çalışanlara tahsis edilen kurumsal e-posta hesaplarının yalnızca iş yazışmalarından oluşmadığına işaret edildi.
Bu hesapların çalışanların mesleki ilişkileri, çalışma düzenleri ve zaman zaman kişisel iletişimleri hakkında bilgiler içerebildiği belirtildi.
Bu nedenle kurumsal e-posta hesaplarının denetlenmesinin kişisel veri işleme faaliyeti kapsamında değerlendirilmesi gerektiği ifade edildi.
Kararda, “İletişim araçlarının işverene ait olması ya da iş yerinde bulunması tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır” ifadelerine yer verildi.
E-POSTA İÇERİĞİ OKUNMASA BİLE KİŞİSEL VERİ İŞLENMİŞ SAYILABİLİR
KVKK, çalışanların kurumsal e-posta hesaplarının denetlenmesinde yalnızca mesaj içeriklerinin değil, trafik ve kayıt bilgilerinin de kişisel veri niteliği taşıyabileceğini belirtti.
İşverenin e-posta içeriğine erişmeden yalnızca trafik veya log kayıtlarını incelemesinin de kişisel veri işleme faaliyeti olduğu vurgulandı.
Dolayısıyla çalışanların iletişim faaliyetlerine ilişkin kayıtların incelenmesinde de kişisel verilerin korunmasına yönelik kurallara uyulması gerekiyor.
İŞVEREN ÇALIŞANIN ÖZEL MESAJLARINI SERBESTÇE OKUYAMAZ
Kararda, işverenin iş yerindeki bilgisayar, telefon, ağ veya kurumsal sistemler üzerinde teknik yetkiye sahip olmasının çalışanın bütün özel iletişimlerine erişim hakkı vermediği açıklandı.
Çalışanın kişisel e-posta hesabı, özel anlık mesajlaşma uygulamaları ve sosyal medya mesaj kutuları gibi alanlardaki yazışmalarının serbestçe incelenemeyeceği belirtildi.
İşverenlerin denetim yetkilerini kullanırken özel hayatın gizliliği, haberleşme özgürlüğü ve kişisel verilerin korunmasına ilişkin hukuki sınırları gözetmesi gerektiği ifade edildi.
KURUMSAL İLETİŞİM ARAÇLARININ ÖZEL KULLANIMI İÇİN KURAL KONULABİLİR
KVKK kararına göre işverenler, iş amacıyla tahsis edilen iletişim araçlarının özel kullanımına ilişkin kurallar belirleyebilecek.
Ancak bu kuralların açık, anlaşılır ve çalışanlar tarafından bilinebilir olması gerekiyor.
İşverenin kurumsal e-posta veya diğer iletişim araçlarının kişisel amaçlarla kullanımını yasaklaması, sınırlandırması ya da belirli koşullara bağlaması halinde çalışanların bu konuda açıkça bilgilendirilmesi gerektiği vurgulandı.
ÇALIŞAN DENETİMDEN ÖNCE BİLGİLENDİRİLMELİ
İlke kararında en fazla dikkat çeken düzenlemelerden biri de çalışanların denetim faaliyetleri hakkında önceden bilgilendirilmesi zorunluluğu oldu.
KVKK, işveren tarafından yapılacak bilgilendirmenin yalnızca genel ve soyut ifadelerden oluşmasının yeterli olmadığını belirtti.
İşverenlerin çalışanlara yapılacak denetimin hukuki sebebini, amacını, kapsamını ve yöntemini açıkça bildirmesi gerektiği ifade edildi.
Bilgilendirmede ayrıca denetimin yalnızca trafik ve log kayıtlarını mı kapsayacağı, yoksa belirli durumlarda yazışma içeriklerinin de incelenip incelenmeyeceği açıklanmalı.
Verilerin ne kadar süreyle saklanacağı ve e-posta içeriklerine hangi koşullarda erişilebileceği de çalışanlara önceden bildirilmeli.
E-POSTA İÇERİĞİNE ERİŞİM İSTİSNAİ OLMALI
KVKK, işverenlerin çalışanların iletişim kanallarını denetlerken kademeli bir yöntem izlemesi gerektiğini bildirdi.
Buna göre öncelikle daha sınırlı veri işleme yöntemlerinin değerlendirilmesi gerekiyor.
Trafik ve log kayıtlarının incelenmesinin yeterli olduğu durumlarda doğrudan yazışma içeriklerine erişilmemesi gerektiği belirtildi.
İçerik denetiminin ise daha sınırlı yöntemlerin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai durumlarda gündeme gelebileceği ifade edildi.
Kararda, denetimin belirli, açık ve meşru bir amaca dayanması, bu amaçla bağlantılı, sınırlı ve ölçülü şekilde gerçekleştirilmesi gerektiği vurgulandı.
HABERSİZ VE AYRIM GÖZETMEYEN İZLEMEYE KARŞI UYARI
KVKK kararında, çalışanların önceden bilgilendirilmediği gizli izleme yöntemlerine ilişkin de önemli değerlendirmelere yer verildi.
Çalışanın bütün işlemlerini herhangi bir ayrım yapılmaksızın kaydeden araçlarla gerçekleştirilen denetimlerin hukuka aykırı sayılacağı belirtildi.
İşverenlerin çalışanların iletişim faaliyetlerini sürekli ve sınırsız biçimde takip etmesinin hukuki sınırlar içinde değerlendirilemeyeceği vurgulandı.
KİŞİSEL VERİLER GEREĞİNDEN FAZLA SAKLANAMAYACAK
Kararda, denetim sırasında elde edilen kişisel verilerin saklanmasına ilişkin kurallara da dikkat çekildi.
İşverenlerin topladıkları verileri yalnızca denetimin amacının gerektirdiği süre boyunca muhafaza etmesi gerektiği bildirildi.
Veri işleme faaliyetlerinin hukuka ve dürüstlük kurallarına uygun olması, belirli ve meşru amaçlarla sınırlı tutulması gerektiği ifade edildi.
KURALLARA UYMAYAN İŞVERENLER HAKKINDA İDARİ İŞLEM
KVKK, ilke kararında belirtilen yükümlülüklere uyulmaması halinde uygulanabilecek idari süreçlere de açıklık getirdi.
Yükümlülüklerin ihlal edildiğinin tespit edilmesi durumunda somut olayın özellikleri dikkate alınarak inceleme yapılacağı belirtildi.
İnceleme sonucunda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18'inci maddesi kapsamında ilgili veri sorumluları hakkında idari işlem tesis edilebileceği bildirildi.
Kararda bütün ihlaller için tek bir sabit ceza tutarı açıklanmadı.
ÇALIŞANLAR VE İŞVERENLER İÇİN NE DEĞİŞİYOR?
Yayımlanan ilke kararı, çalışanların kurumsal e-posta hesapları ve iş amaçlı iletişim kanallarının denetlenmesine ilişkin hukuki sınırları açıklığa kavuşturuyor.
Buna göre işverenler, meşru ve hukuka uygun gerekçelerle iş iletişim araçlarını denetleyebilecek ancak bu yetkiyi sınırsız biçimde kullanamayacak.
Çalışanların denetimin amacı, kapsamı, yöntemi ve verilerin saklanma süresi konusunda önceden bilgilendirilmesi gerekecek.
Kişisel yazışmalara erişim, gizli izleme uygulamaları ve bütün iletişim faaliyetlerinin ayrım gözetmeksizin kaydedilmesi gibi yöntemler ise kişisel verilerin korunması açısından hukuki değerlendirmeye tabi olacak.
KVKK'nın kararı, hem çalışanların kişisel verilerinin korunması hem de işverenlerin denetim uygulamalarını mevzuata uygun şekilde yürütmesi bakımından önem taşıyor.