KVKK, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta ve iletişim kanallarını denetlemesine ilişkin yeni ilke kararını yayımladı.
İşverenin kurumsal e-postayı denetlemesine sınır getirildi
Kişisel Verileri Koruma Kurumu, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere iş için kullanılan iletişim kanallarının denetlenmesine ilişkin ilke kararı yayımladı.
Kararda, çalışanlara tahsis edilen kurumsal e-posta hesaplarının mesleki ve zaman zaman kişisel ilişki ağını, çalışma düzenini ve yazışma içeriklerini barındıran veri kaynakları olduğu belirtildi.
İşverenin bu hesapları denetlemesinin, yönetim hakkı ile çalışanın kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında denge kurulmasını gerektirdiği vurgulandı.
“İşverenin, çalışana ait e-postanın içeriğine erişmeksizin yalnızca trafik/log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyetini oluşturmaktadır.”
Kararda, iletişim araçlarının işverene ait olmasının veya iş yerinde bulunmasının tek başına sınırsız ve mutlak bir denetim yetkisi vermediği ifade edildi.
İşveren yazışma içeriklerine serbestçe erişemeyecek
KVKK, denetimin kapsamı belirlenirken iş yeri iletişim araçlarının kullanım amacının dikkate alınması gerektiğini belirtti. Bu kapsamda iş amaçlı kullanım ile özel amaçlı kullanım arasında ayrım yapılması gerektiği kaydedildi.
İşverenin iş yeri iletişim araçlarının özel kullanımına ilişkin kurallar belirleyebileceği belirtildi. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerektiği vurgulandı.
Özel amaçlı kullanımın yasaklanması, sınırlandırılması veya belirli zaman, kapsam ve yöntem koşullarına bağlanması halinde bu durumun çalışana açıkça bildirilmesi gerektiği ifade edildi.
Kararda, işverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olmasının çalışanın kişisel iletişim alanlarına erişim hakkı vermediği belirtildi.
Buna göre işverenler, çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya mesaj kutusu veya benzeri özel iletişim alanlarındaki yazışma içeriklerine serbestçe erişemeyecek.
Çalışan denetim hakkında önceden bilgilendirilecek
KVKK, çalışanların denetim faaliyeti hakkında önceden bilgilendirilmesi gerektiğini vurguladı. Yapılacak aydınlatmanın yalnızca genel ifadelerden oluşmaması gerektiği belirtildi.
Bilgilendirmede, kişisel veri işleme faaliyetinin hukuki sebebi, amacı ve kapsamının açıkça belirtilmesi gerekiyor. Ayrıca denetimin trafik ve log kayıtlarının incelenmesiyle mi, yoksa içerik denetimiyle mi yapılacağının da çalışanlara bildirilmesi gerekiyor.
İçeriğe hangi durumlarda erişilebileceği ve elde edilen verilerin ne kadar süreyle saklanacağı da açık, anlaşılır ve somut biçimde açıklanmalı.
Denetimde ölçülülük ve kademelilik esas alınacak
KVKK, işverenlerin denetim faaliyetlerini hukuka ve dürüstlük kurallarına uygun şekilde yürütmesi gerektiğini belirtti. Denetimin belirli, açık ve meşru bir amaca dayanması, bu amaçla bağlantılı, sınırlı ve ölçülü olması gerektiği kaydedildi.
Elde edilen kişisel verilerin de yalnızca denetim amacının gerektirdiği süre boyunca muhafaza edilmesi gerektiği ifade edildi.
Kararda denetimde kademelilik ilkesinin esas olduğu belirtildi. İçeriklere erişimin, trafik verilerinin denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai durumlarda gündeme gelebileceği aktarıldı.
Hukuka aykırı izleme yöntemlerine idari işlem uygulanacak
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle yapılan denetimlerin hukuka aykırı sayılacağı belirtildi. Çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla gerçekleştirilen denetimlerin de bu kapsamda değerlendirileceği ifade edildi.
İlke kararında belirtilen yükümlülüklere uyulmadığının tespit edilmesi halinde somut olayın özelliklerine göre gerekli incelemenin yapılacağı bildirildi.
KVKK, yükümlülüklere aykırılık tespit edilmesi durumunda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini açıkladı.
