KVKK'den İşverenlere Yeni Uyarı! Çalışanların Kurumsal E-Postaları İzlenebilir mi?

İşverenlerin çalışanların kurumsal e-posta hesaplarını, mesajlaşmalarını ve iş yerinde kullandıkları dijital iletişim araçlarını denetlemesine ilişkin önemli bir karar alındı. Kişisel Verileri Koruma Kurulu (KVKK),Resmî Gazete'de yayımlanan ilke kararıyla iş yerindeki dijital iletişim kanallarının hangi koşullarda kontrol edilebileceğini açıkladı.

Yeni karara göre işverenlerin bilgisayar, kurumsal e-posta hesabı veya şirket ağı üzerinde teknik yetkiye sahip olması, çalışanların bütün yazışmalarını inceleyebilecekleri anlamına gelmiyor.

Çalışanların kişisel verilerinin korunması ve haberleşme özgürlüğünün gözetilmesi gerekiyor. İşverenler tarafından gerçekleştirilen denetimlerin ise belirli, meşru ve ölçülü bir amaca dayanması şartı aranıyor.

İşveren Çalışanın Kurumsal E-Postalarını Okuyabilir mi?

KVKK'nin ilke kararına göre işverenler, çalışanlarına tahsis ettikleri kurumsal e-posta hesaplarını belirli koşullar altında denetleyebilir. Ancak bu yetki sınırsız değil.

Kurumsal e-posta hesaplarında yalnızca işle ilgili yazışmalar değil, çalışanların kişisel bilgileri ve özel iletişimleri de bulunabiliyor.

Bu nedenle işverenin e-posta içeriklerine erişmesi, kişisel verilerin işlenmesi kapsamında değerlendiriliyor.

İşverenin e-posta yazışmalarını inceleyebilmesi için denetimin hukuka uygun bir amaca dayanması, gerekli olması ve ölçülülük ilkesine uygun yürütülmesi gerekiyor.

Ayrıca çalışanların denetimin kapsamı ve yöntemi hakkında önceden bilgilendirilmesi önem taşıyor.

İşveren Çalışanın WhatsApp ve Sosyal Medya Mesajlarını Görebilir mi?

KVKK kararında çalışanların kişisel iletişim alanlarına ilişkin sınırlar da açıklandı.

İşverenin şirkete ait bilgisayar, telefon veya internet ağı üzerinde teknik yetkisinin bulunması, çalışanın özel mesajlaşmalarına serbestçe erişmesine izin vermiyor.

Bu kapsamda çalışanların kişisel e-posta hesapları, özel anlık mesajlaşma uygulamaları ve sosyal medya mesaj kutuları da korunuyor.

Örneğin çalışanın şirket bilgisayarından kişisel WhatsApp hesabına giriş yapması, işverenin bu hesaptaki bütün özel yazışmaları inceleme hakkına sahip olduğu anlamına gelmiyor.

Denetimin hukuka uygunluğu, erişimin amacı, kapsamı ve gerekliliği dikkate alınarak değerlendiriliyor.

İşveren E-Posta Denetimi Yapmadan Önce Çalışana Haber Vermek Zorunda mı?

KVKK'nin ilke kararında çalışanların denetim faaliyetleri hakkında önceden bilgilendirilmesi gerektiği vurgulandı.

İşverenlerin yalnızca genel ifadeler içeren bir bilgilendirme yapması yeterli görülmüyor.

Çalışana yapılacak açıklamanın açık, anlaşılır ve somut olması gerekiyor.

Bu kapsamda işverenin aşağıdaki konularda bilgilendirme yapması bekleniyor:

• Denetimin hangi amaçla gerçekleştirileceği

• Kişisel verilerin hangi hukuki sebebe dayanılarak işleneceği

• Hangi iletişim araçlarının denetleneceği

• Yalnızca trafik ve log kayıtlarının mı, yoksa yazışma içeriklerinin mi inceleneceği

• E-posta içeriklerine hangi durumlarda erişilebileceği

• Toplanan verilerin ne kadar süre saklanacağı

İşverenlerin denetim faaliyetlerini bu çerçevede planlaması gerekiyor.

Kurumsal E-Postaların Kişisel Amaçla Kullanılması Yasaklanabilir mi?

KVKK kararına göre işverenler, çalışanlara tahsis edilen kurumsal iletişim araçlarının kullanımına ilişkin kurallar belirleyebilir.

Şirketler, kurumsal e-posta hesaplarının veya iş yerindeki iletişim araçlarının özel amaçlarla kullanılmasını yasaklayabilir ya da belirli koşullara bağlayabilir.

Ancak bu kuralların çalışanlara önceden ve açık biçimde bildirilmesi gerekiyor.

Örneğin bir işveren, kurumsal e-posta hesabının yalnızca iş yazışmalarında kullanılmasını isteyebilir. Bununla birlikte böyle bir kuralın bulunması, işverene çalışanların bütün iletişim içeriklerini sınırsız biçimde inceleme yetkisi vermiyor.

İşveren Çalışanın E-Posta Trafik Kayıtlarını İnceleyebilir mi?

KVKK, yalnızca yazışma içeriklerinin değil, e-posta trafik ve log kayıtlarının da kişisel veri niteliği taşıyabileceğine dikkat çekti.

Trafik kayıtları, iletişimin ne zaman gerçekleştirildiği veya hangi hesaplar arasında kurulduğu gibi bilgileri içerebiliyor.

Bu nedenle işverenin mesaj içeriğini okumadan yalnızca trafik kayıtlarını incelemesi de kişisel veri işleme faaliyeti olarak değerlendiriliyor.

Kararda denetimlerde kademeli yaklaşımın esas alınması gerektiği belirtildi.

Buna göre işverenin öncelikle daha az müdahaleci yöntemleri değerlendirmesi, yazışma içeriklerine ise trafik verilerinin incelenmesinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai durumlarda başvurması gerekiyor.

Çalışanların Gizlice İzlenmesi Yasak mı?

KVKK'nin ilke kararında çalışanların bilgisi dışında gerçekleştirilen denetimlere de değinildi.

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile bütün işlemlerinin herhangi bir ayrım yapılmaksızın kaydedilmesi yoluyla gerçekleştirilen denetimlerin hukuka aykırı olduğu belirtildi.

İşverenlerin denetim faaliyetlerini belirli bir amaçla sınırlaması ve çalışanların kişisel verilerine gereğinden fazla müdahale etmemesi gerekiyor.

Ayrıca denetim sonucunda elde edilen verilerin yalnızca gerekli süre boyunca saklanması ve işleme amacı dışında kullanılmaması önem taşıyor.

KVKK Kararına Uymayan İşverenlere Ceza Verilecek mi?

Yeni ilke kararında, belirlenen yükümlülüklere aykırı hareket eden veri sorumluları hakkında idari işlem uygulanabileceği bildirildi.

KVKK, ihlal tespit edilmesi durumunda somut olayın özelliklerini dikkate alarak inceleme yapabilecek.

Yapılacak değerlendirme sonucunda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18'inci maddesi kapsamında idari yaptırımlar gündeme gelebilecek.

Ancak her denetim faaliyeti otomatik olarak para cezası uygulanacağı anlamına gelmiyor. Yaptırım kararı, tespit edilen ihlalin niteliğine ve ilgili mevzuat hükümlerine göre değerlendirilecek.

İşverenler Kurumsal E-Posta Denetiminde Nelere Dikkat Etmeli?

KVKK'nin yayımladığı ilke kararı, işverenlerin dijital iletişim araçlarına yönelik denetim süreçlerini yeniden değerlendirmesini gerektiriyor.

İşverenlerin kurumsal e-posta ve dijital iletişim politikalarını açık şekilde belirlemesi, çalışanlarını bilgilendirmesi ve denetim faaliyetlerini kişisel verilerin korunması ilkelerine uygun yürütmesi gerekiyor.

KVKK'nin Kurumsal E-Posta Kararı Çalışanlar İçin Ne Anlama Geliyor?

Yeni ilke kararı, iş yerinde kullanılan dijital iletişim araçlarının denetlenmesinde işverenin yönetim hakkı ile çalışanın özel hayatının korunması arasında denge kurulmasını esas alıyor.

Buna göre şirket bilgisayarı, kurumsal e-posta hesabı veya iş yeri internetinin kullanılması, çalışanın kişisel yazışmalarının sınırsız biçimde incelenebileceği anlamına gelmiyor.

İşverenler, gerekli koşullar sağlandığında iş amaçlı iletişim araçlarını denetleyebilecek ancak bu süreçte çalışanların kişisel verilerinin korunması, önceden bilgilendirme ve ölçülülük ilkelerine uymak zorunda olacak.