Kişisel Verileri Koruma Kurulu'nun (KVKK) çalışanlarla ilgili bir ilke kararı geçtiğimiz günlerde Resmi Gazete'de yayımlandı. Kararda işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve diğer iletişim kanallarının (kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, toplantı platformlarındaki sohbet ve kayıt alanları) denetlenmesinde uyulması gereken usul ve esasları belirlenmektedir.

Kurumsal e-posta hesapları, yalnızca bir iletişim aracı olmayıp, çalışanların mesleki ve kişisel ilişki ağını, çalışmasına dair tüm ayrıntıları ve yazışma içeriklerini barındıran zengin bir veri kaynağıdır. Bu nedenle işveren tarafından yapılacak denetim faaliyetleri, işverenin yönetim hakkı ile çalışanın Anayasal güvence altındaki özel hayatın gizliliği ve haberleşme hürriyeti arasındaki hassas dengenin gözetilmesini gerektiren önemli bir kişisel veri işleme faaliyetidir.

İlke Kararı kapsamında, kurumsal e-posta hesaplarının denetlenmesi, mesaj içeriklerine erişilmeksizin yalnızca trafik/log kayıtlarının işlenmesi durumunda dahi başlı başına bir kişisel veri işleme faaliyeti olarak kabul ediliyor. Bu doğrultuda yapılacak her türlü denetimin; KVKK'nın genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine eksiksiz şekilde tabi olma zorunluluğu öngörülüyor.

DENETİM HAKKINDA SINIR

İletişim araçlarının mülkiyetinin işverene ait olması veya işyerinde bulunması, işverene sınırsız ve mutlak bir denetim yetkisi vermez. Anayasa Mahkemesi ve Yargıtay kararlarında da vurgulandığı üzere, işverenin denetim yetkisi; çalışanın önceden açıkça bilgilendirilmesi, meşru amaç, amaçla sınırlılık, ölçülülük ve daha az müdahaleci yolların önceliği kriterlerine sıkı sıkıya bağlıdır.

İşveren, yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar, kısıtlamalar veya yasaklar getirebilir; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması şarttır. Özel kullanımın yasaklandığı durumlarda dahi sürekli ve aralıksız gözetim ölçülü kriterine uygun görülmüyor.

İşverenin sistem üzerinde teknik erişim imkanına sahip olması, çalışanın kişisel e-posta ve diğer iletişim kanallarındaki yazışmalarına serbestçe erişebileceği anlamına gelmiyor. Zira teknik imkanlar ile hukuki yetkinin birbirinden kesin olarak ayrılması gerekiyor.

HUKUKİ DENETİM İÇİN BİLGİLENDİRME NASIL YAPILMALI

Hukuka uygun bir denetim için temel kriterlerden biri usulüne uygun şekilde bilgilendirmedir. İşverenlerin yapacağı bilgilendirmenin soyut ifadelerden uzak, somut ve net olması gerekir. Sadece kurumsal e-postanın denetlenebileceğine dair genel bildirimler geçerli bir bilgilendirme veya aydınlatma olarak kabul edilmiyor.