Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş amacıyla kullanılan diğer iletişim araçlarını denetlemesine ilişkin sınırları belirleyen kararını yayımladı. Karar; kurumsal e-postaların yanı sıra şirket içi mesajlaşma uygulamalarını, müşteri yönetim sistemlerini ve çevrim içi toplantıların sohbet ya da kayıt alanlarını da kapsıyor.
İşverenler, işin yürütülmesi ve şirket sistemlerinin güvenliği amacıyla bazı denetimler yapabilecek. Ancak işverene ait bilgisayar ve iletişim araçlarının kullanılması, çalışanın özel hayatı ve haberleşme özgürlüğü üzerindeki güvenceleri ortadan kaldırmadığı da duyuruldu. Denetimin amacı, kapsamı ve yöntemi belirli olmalı; işverenin yönetim hakkı ile çalışanın temel hakları arasında ölçülü bir denge kurulmalı.
ÇALIŞAN ÖNCEDEN BİLGİLENDİRİLMELİ
İşverenlerin, denetim yapacağını çalışanlara önceden, açık biçimde bildirmesi gerekiyor. Bu bilgilendirmede hangi iletişim araçlarının denetleneceği, denetimin hangi amaçla ve nasıl yapılacağı, içeriklerin mi yoksa yalnızca trafik kayıtlarının mı inceleneceği ve verilerin ne kadar süreyle saklanacağı belirtilmeli. Çalışanların hakları ve verilerine ilişkin başvuru yollarının da açıklanması gerektiği vurgulandı.
“Şirket e-postaları denetlenebilir” gibi genel ifadeler yeterli görülmüyor. Çalışan, hangi verisinin hangi koşullarda incelenebileceğini anlayabilmeli. Yalnızca mesaj içeriği değil; kimin kiminle, ne zaman iletişim kurduğunu gösteren trafik ve kayıt verileri de kişisel veri niteliği taşıyor.
KİŞİSEL HESAPLAR KORUNUYOR
İşverenin teknik olarak bir mesajı okuyabiliyor olması, o mesaja erişme hakkı bulunduğu anlamına gelmediği de belirtildi. Şirket cihazı ya da kurumsal hesap kullanılıyor olsa bile denetim sınırsız biçimde yapılamıyor. Çalışanın kişisel e-posta hesabına, sosyal medya mesaj kutusuna veya özel yazışmalarına erişilmesi için güçlü ve hukuka uygun bir gerekçe bulunması gerektiği açıklandı.
İş amaçlı yazışmalarla özel yazışmaların ayrılabildiği durumlarda özel içeriklerin denetim dışında tutulması bekleniyor. Mesajların üçüncü kişilere ait veriler içerebileceği ve sağlık bilgisi ya da sendika üyeliği gibi özel nitelikli kişisel verilerin de yazışmalarda yer alabileceği göz önünde bulundurulması gerektiği duyuruldu.
KADEMELİ VE ÖLÇÜLÜ YÖNTEM İZLENECEK
Denetim sırasında amaca ulaşmak için en sınırlı müdahale içeren yöntem tercih edilmesi de açıklandı. Bir sorun filtreleme, erişimi kısıtlama veya teknik önlemle çözülebiliyorsa doğrudan mesaj içeriğinin incelenmesine geçilmemesi gerektiği vurgulandı. Gerekli hâllerde ise önce trafik kayıtlarının değerlendirilmesi açıklandı.
Mesaj içeriğine erişim, daha ağır bir müdahale olarak ele alınıyor. Bu nedenle içerik incelemesi ancak somut bir şüphe veya iddia bulunması ve daha hafif yöntemlerin yetersiz kalması hâlinde gündeme gelebiliyor. Çalışanların e-postalarının genel ve sürekli biçimde taranması ise kararın çizdiği sınırlarla bağdaşmıyor.
İşverenin denetim için hukuki bir dayanağının bulunması da tek başına sınırsız inceleme yetkisi sağlamıyor. Hukuki yükümlülüklerin yerine getirilmesi, bir hakkın korunması veya işverenin meşru menfaati gibi gerekçeler değerlendirilirken çalışanın temel haklarına zarar verilmemesi gerekiyor. Karara göre açık rıza, işçi ile işveren arasındaki güç dengesizliği nedeniyle her durumda uygun bir dayanak kabul edilmiyor.
AYRILAN ÇALIŞANIN E-POSTA HESABI
Çalışan işten ayrıldığında kurumsal e-posta hesabının kural olarak kapatılması gerekiyor. İşin aksamaması veya olası bir hukuki uyuşmazlıkta savunma yapılabilmesi için verilere erişim gerekirse bu erişim belirli bir süreyle ve yalnızca yetkilendirilmiş kişilerce yürütülmeli.
Otomatik yanıt, yönlendirme veya arşivleme gibi yöntemler ancak gerekli olduğu ölçüde kullanılmalı. E-posta verilerine erişen kişilerin yetkileri sınırlandırılmalı ve erişim kayıtları tutulmalı. Hukuki dayanağı kalmayan veriler ise saklanmaya devam edilmemesi gerektiği açıklandı.
