KVKK'dan işverenlere kurumsal e-posta denetim sınırı

Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ile iş amaçlı iletişim kanallarının denetlenmesine ilişkin ilke kararını Resmi Gazete'de yayımladı. Kararda, işverenlerin denetim yetkisinin sınırları ve çalışanların kişisel veri hakları ayrıntılı biçimde düzenlendi.

İletişim aracının sahibi olmak sınırsız denetim hakkı tanımıyor

KVKK kararında, kurumsal e-posta hesaplarının çalışanın mesleki ve kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı niteliği taşıdığı vurgulandı. İletişim araçlarının işverene ait olmasının ya da iş yerinde bulunmasının, işverene tek başına sınırsız ve mutlak bir denetim yetkisi tanımadığı ifade edildi. Kararda ayrıca işverenin belirli bir cihaz veya kurumsal sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta hesabı, anlık mesajlaşma uygulaması veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmediği de açıkça belirtildi.

Denetimde kademeliliğe ve önceden bilgilendirmeye zorunluluk

Kararda, denetim faaliyetinin iş amaçlı kullanım ile özel amaçlı kullanım ayrımı gözetilerek yürütülmesi gerektiği kaydedildi. İşverenin özel kullanıma ilişkin kurallar belirleyebileceği, ancak bu kuralların açık, anlaşılır ve çalışan tarafından önceden bilinebilir nitelikte olması zorunluluğu getirildi. Çalışanın denetim faaliyeti hakkında önceden bilgilendirilmesi gerektiği vurgulanan kararda, bu bilgilendirmenin; işlemenin hukuki sebebini, amacını, kapsamını, trafik/log kaydı incelemesiyle mi yoksa içerik denetimiyle mi yürütüleceğini ve verilerin saklama süresini somut biçimde içermesi zorunlu tutuldu.

İçeriğe erişimin yalnızca trafik verisi denetiminin yetersiz kaldığı istisnai durumlarda gündeme gelebileceği belirtilen kararda, çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemleri ayrım gözetmeksizin kaydeden araçlarla yürütülen denetimin hukuka aykırı sayılacağı hüküm altına alındı.

Kurallara uymayanlara idari işlem uygulanacak

KVKK, söz konusu yükümlülüklere uyulmadığının tespit edilmesi halinde somut olayın özellikleri değerlendirilerek gerekli incelemenin yapılacağını ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini duyurdu.