Patron Kurumsal E-postanızı Okuyabilir mi? KVKK'dan Çalışanlara Kalkan

İş yerinde kullanılan kurumsal e-posta hesaplarının işveren tarafından ne ölçüde denetlenebileceği konusunda milyonlarca çalışanı ilgilendiren yeni bir karar çıktı. Kişisel Verileri Koruma Kurulu'nun yayımladığı ilke kararına göre işveren, çalışanını önceden açık ve somut biçimde bilgilendirmeden kurumsal e-postayı denetleyemeyecek. Çalışanın tüm yazışmalarını ayrım gözetmeksizin kaydeden sürekli gözetim yöntemleri de ölçüsüz ve hukuka aykırı sayılacak.

"Bilgisayar şirketin" demek yetmeyecek

Kurul, kararında iletişim araçlarının işverene ait olmasının ya da iş yerinde kullanılmasının, işverene sınırsız ve mutlak bir denetim yetkisi vermediğini açıkça vurguladı. Kurumsal e-posta hesabı, kararda yalnızca bir iletişim aracı değil; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma alışkanlıklarını ve yazışma içeriklerini barındıran bir veri kaynağı olarak tanımlandı. Bu nedenle denetim, işverenin yönetim hakkı ile çalışanın Anayasa'nın 20 ve 22'nci maddelerinde güvence altına alınan kişisel verilerin korunması hakkı ve haberleşme hürriyeti arasında bir denge gözetilerek yapılmak zorunda.

Kararın kapsamı sadece e-postayla sınırlı değil. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olaya göre aynı kurallara tabi olacak.

Sadece log kaydına bakmak bile veri işleme sayılıyor

İlke kararının dikkat çeken tespitlerinden biri, işverenin e-postaların içeriğini açmadan yalnızca trafik ve log kayıtlarını incelemesinin dahi başlı başına kişisel veri işleme faaliyeti sayılması. Yani kimin kime, ne zaman e-posta gönderdiğine bakmak bile 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndaki genel ilkelere, işleme şartlarına, aydınlatma yükümlülüğüne ve veri güvenliği kurallarına uyulmasını gerektiriyor.

Denetimde kademeli yol zorunlu

Kurul, denetimde "kademelilik" ilkesini esas aldı. Buna göre işveren, ulaşmak istediği meşru amaca daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır bir denetim yöntemine başvuramayacak. İçeriğe erişim, ancak trafik verisi incelemesinin yetersiz kaldığı ve içeriğe ulaşmanın zorunlu olduğu istisnai durumlarda gündeme gelebilecek. Kötüye kullanımın filtreleme ya da engelleme gibi teknik yollarla önlenebildiği hâllerde ise işverenin genel bir denetim hakkı doğmayacak.

İçerik denetimine yalnızca somut bir şüphe bulunduğunda ve iddiayla sınırlı olacak şekilde başvurulabilecek. Kapsamı belirsiz, genel ve süreklilik arz eden içerik taramalarından kaçınılması gerekecek.

Kişisel hesaplara erişim yasak

Kararda teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden ayrılması gerektiği de vurgulandı. İşverenin bir bilgisayar, oturum ya da ağ üzerinde teknik yetkiye sahip olması; çalışanın kişisel e-posta hesabına, kişisel mesajlaşma uygulamasına ya da sosyal medya mesaj kutusuna serbestçe girebileceği anlamına gelmiyor. Özel kullanıma izin verilen durumlarda iş ve özel yazışmalar ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulacak ve özel yazışmalar denetim dışında bırakılacak.

Genel bir uyarı aydınlatma yerine geçmiyor

İşverenin yapacağı bilgilendirmenin soyut ve genel ifadelerden öteye geçmesi gerekiyor. Aydınlatma metninde denetimin hukuki sebebi, amacı, kapsamı, log kayıtlarıyla mı yoksa içerik denetimiyle mi yapılacağı, içeriğe hangi durumlarda erişilebileceği, verilerin ne kadar süre saklanacağı ve çalışanın kanundan doğan hakları açık ve somut biçimde yer almalı. "Kurumsal e-posta hesabı işveren tarafından denetlenebilir" şeklindeki genel bildirimler, bilgilendirme şartını karşılamış sayılmayacak.

Açık rıza da tek başına yeterli değil

Kurul, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliğini dikkate alarak, çalışandan alınan açık rızanın e-posta denetimi için kural olarak öncelikli hukuki dayanak kabul edilmemesi gerektiğini belirtti. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemleri ayrım yapmadan kaydeden araçlarla yürütülen denetimler hukuka aykırı sayılacak. Elde edilen verilere yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personel erişebilecek, erişim kayıtları tutulacak ve bu kişiler gizlilik yükümlülüğü altında olacak.

Kurallara aykırı denetim yapıldığını düşünen çalışanlar, önce işverene başvurarak bilgi talep edebiliyor; sonuç alamazlarsa Kişisel Verileri Koruma Kurumu'na şikâyette bulunabiliyor.