KVKK’dan işverenlerin kurumsal e-posta denetimine sınır
KVKK’nin Resmi Gazete’de yayımlanan ilke kararına göre işverenler, çalışanların kurumsal e-posta ve diğer iletişim kanallarını sınırsız biçimde denetleyemeyecek. Denetimin amacı, kapsamı ve yöntemi çalışanlara önceden açıkça bildirilmek zorunda olacak.
Kişisel Verileri Koruma Kurulunun (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş amacıyla kullanılan iletişim kanallarının denetlenmesine ilişkin ilke kararı Resmi Gazete’de yayımlandı. Kararda, denetimin işverenin yönetim hakkı ile çalışanın kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki denge gözetilerek yapılması gerektiği belirtildi.
Kurumsal e-posta hesaplarının çalışanların mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı niteliğinde olduğu ifade edildi. İşverenin, e-postaların içeriğine erişmeden yalnızca trafik ve log kayıtlarını işlemesinin dahi kişisel veri işleme faaliyeti olduğu kaydedildi.
Kararda, iletişim araçlarının işverene ait olmasının veya iş yerinde bulunmasının tek başına sınırsız ve mutlak bir denetim yetkisi vermediği vurgulandı. Denetimin kapsamı belirlenirken iletişim araçlarının iş amaçlı mı yoksa özel amaçlı mı kullanıldığının dikkate alınması gerektiği aktarıldı.
İşverenlerin, iş yeri iletişim araçlarının özel kullanımına ilişkin açık ve anlaşılır kurallar belirleyebileceği, bu kuralların çalışanlar tarafından bilinebilir olması gerektiği bildirildi. Özel kullanımın yasaklanması, sınırlandırılması veya belirli koşullara bağlanması halinde çalışanların bu konuda açıkça bilgilendirilmesi gerektiği belirtildi.
İşverenin bir cihaz, oturum, ağ ya da kurumsal sistem üzerinde teknik yetkiye sahip olmasının; çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya mesaj kutusu veya benzeri özel iletişim alanlarındaki yazışmalara serbestçe erişebileceği anlamına gelmediği ifade edildi.
Çalışanların denetim faaliyeti hakkında önceden bilgilendirilmesi gerektiği kaydedilen kararda, aydınlatmanın kişisel veri işlemenin hukuki sebebi ve amacı ile denetimin kapsamını somut biçimde içermesi istendi. Denetimin trafik ve log kayıtları üzerinden mi yoksa içerik incelemesiyle mi yapılacağı, içeriğe hangi hallerde erişilebileceği ve verilerin ne kadar süre saklanacağı da açıklanmalı.
Denetimin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı, amaçla bağlantılı, sınırlı ve ölçülü yürütülmesi gerektiği belirtildi. İçeriğe erişimin ise trafik verisi denetiminin yetersiz kaldığı ve zorunlu olduğu istisnai durumlarda gündeme gelebileceği ifade edildi.
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle veya çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlarla yapılan denetimin hukuka aykırı sayılacağı bildirildi. Yükümlülüklere uyulmadığının tespit edilmesi halinde, somut olayın özelliklerine göre 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca veri sorumluları hakkında idari işlem uygulanacağı kaydedildi.
Kaynak: TRT Haber
