Özel sektörde çalışanlar dikkat! Patronların yetkisine resmen sınır geldi

Özel sektörde çalışan milyonlarca kişiyi yakından ilgilendiren bir karar Resmî Gazete'de yayımlandı. Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ile işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesine dair usul ve esasları belirleyen ilke kararı çıkardı.

Kararda, kurumsal e-posta hesaplarının yalnızca iş amaçlı kullanılmadığına dikkat çekilerek; çalışanın mesleki ve kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı niteliği taşıdığı vurgulandı. Bu nedenle işverenin bu hesapları denetlemesi, çalışanın Anayasa güvencesindeki kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyeti arasında dikkatli bir denge kurulmasını zorunlu kılıyor.

İşveren yazışma içeriklerine serbestçe erişemez

Karar metninde şu ifadeler yer alıyor: "İşverenin, çalışana ait e-postanın içeriğine erişmeksizin yalnızca trafik ve log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyetini oluşturmaktadır. İletişim araçlarının işverene ait olması ya da iş yerinde bulunması tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır."

Denetim faaliyetinin kapsamını belirlerken "iş amaçlı kullanım" ve "özel amaçlı kullanım" ayrımının dikkate alınması gerektiği kaydedildi. İşveren özel kullanıma ilişkin kurallar koyabilir; ancak bu kurallar açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olmalı. Özel amaçlı kullanımın yasaklanması veya sınırlandırılması durumunda bu durum çalışana açıkça duyurulmalı.

Teknik yetki konusunda da önemli bir ayrıntıya yer verildi. İşverenin belirli bir cihaz, oturum, ağ ya da kurumsal sistem üzerinde teknik yetkisinin olması, çalışanın kişisel e-posta hesabı, anlık mesajlaşma uygulaması veya sosyal medya mesaj kutusu gibi özel iletişim alanlarındaki yazışmalara serbestçe erişebileceği anlamına gelmiyor.

Çalışan denetim hakkında önceden bilgilendirilmeli

Kararda, işverenin çalışanı denetim faaliyeti konusunda önceden bilgilendirmekle yükümlü olduğu vurgulandı. Yapılacak aydınlatma, soyut ve genel ifadelerin ötesine geçmeli; kişisel veri işleme faaliyetinin hukuki sebebi, amacı, kapsamı, denetimin trafik/log kayıtları üzerinden mi yoksa içerik denetimiyle mi yürütüleceği, içeriğe hangi hallerde erişilebileceği ve verilerin saklama süresi açıkça belirtilmeli.

Denetimin hukuka, dürüstlük kurallarına ve belirli, açık, meşru bir amaca dayalı biçimde yürütülmesi gerekiyor. Elde edilen veriler yalnızca amacın gerektirdiği süreyle muhafaza edilebilmeli.

Kademeli denetim ilkesi

Denetimde kademeli olma ilkesi esas alınıyor. İçeriğe erişim, ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebilecek.

Aşağıdaki durumlarda yapılan denetim hukuka aykırı sayılacak:

• Çalışanın önceden bilgilendirilmediği gizli izleme yöntemlerinin kullanılması
• Çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla denetim yapılması

Kararda, söz konusu yükümlülüklere uyulmadığının tespit edilmesi halinde somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem uygulanacağı bildirildi.