Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ile iş için kullanılan iletişim araçlarını denetlemesine ilişkin ilke kararını Resmi Gazete’de yayımladı. Kararda, işverenin denetim yetkisinin sınırsız olmadığı ve çalışanların kişisel verileri ile haberleşme özgürlüğünün de gözetilmesi gerektiği belirtildi.

İşverenin teknik yetkisi sınırsız erişim sağlamıyor

KVKK, kurumsal e-posta hesaplarının çalışanların yazışmaları, mesleki ilişkileri ve çalışma düzeni hakkında kişisel veriler barındırabileceğine dikkat çekti. E-posta içeriğine erişilmese dahi trafik ve log kayıtlarının işlenmesinin kişisel veri işleme faaliyeti olduğu kaydedildi.

İşverene ait cihaz veya iletişim sistemlerinin kullanılması da işverene sınırsız denetim hakkı vermiyor. İşverenin, çalışanın kişisel e-posta hesabı, mesajlaşma uygulamaları ve sosyal medya mesajlarına teknik yetkisi gerekçe gösterilerek serbestçe erişemeyeceği vurgulandı.

Çalışan denetimden önce bilgilendirilmeli

İş yerindeki iletişim araçlarının özel amaçlarla kullanımına ilişkin kuralların açık ve çalışan tarafından bilinebilir olması gerektiği belirtildi. Özel kullanım yasaklanıyor veya sınırlandırılıyorsa bunun çalışanlara önceden bildirilmesi gerekiyor.

Aydınlatmada denetimin hukuki sebebi ve amacı, kapsamı, trafik kayıtlarının mı yoksa iletişim içeriklerinin mi inceleneceği, içeriğe hangi durumlarda erişilebileceği ve verilerin ne kadar süre saklanacağı açıkça belirtilmeli.

İçerik incelemesi istisnai olacak

KVKK, denetimlerde kademeli yöntemin uygulanmasını istedi. Buna göre iletişim içeriğine erişim, trafik verilerinin denetiminin yeterli olmadığı ve içeriğe ulaşılmasının zorunlu olduğu istisnai durumlarda gündeme gelebilecek.

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemleri ayrım gözetmeden kaydeden sistemlerin ise hukuka aykırı değerlendirilebileceği belirtildi.

Kurallara uymayan işverenlere idari işlem

İlke kararında belirtilen yükümlülüklere uyulmadığının tespit edilmesi halinde, olayın özelliklerine göre inceleme yapılacağı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabileceği bildirildi.