KVKK’dan iş yeri e-posta adresleri için değerli karar: Kurala uymayan para cezası ödeyecek

Kişisel Verileri Koruma Kurumu, iş yerlerinin çalışanlarına tahsis ettiği kurumsal e-posta hesapları ve iş için kullanılan bağlantı kanallarının denetlenmesiyle ilgili kıymetli unsur kararları aldı.

Kişisel Verileri Koruma Kurumu (KVKK), patronların çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş için kullanılan irtibat kanallarının denetlenmesiyle ilgili prensip kararı yayımladı.

Resmi Gazete’de yayımlanan kararda, çalışanlara tahsis edilen kurumsal e-posta hesabının, çalışanın mesleksel ve vakit zaman ferdî alaka ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran data kaynağı niteliği taşıdığı belirtildi.

Bu hesapların patron tarafından denetlenmesinin, patronun idare hakkı ile çalışanın Anayasa’da garanti altına alınan ferdî dataların korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki istikrarın gözetilmesini gerektiren ferdî data sürece faaliyeti olduğuna işaret edildi.

Kararda, “İşverenin, çalışana ilişkin e-postanın içeriğine erişmeksizin sırf trafik/log kayıtlarını işlemesi dahi başlı başına bir şahsî data sürece faaliyetini oluşturmaktadır. Bağlantı araçlarının patrona ilişkin olması ya da iş yerinde bulunması tek başına patrona sınırsız ve mutlak bir kontrol yetkisi tanımamaktadır.” tabirlerine yer verildi.

Kurumun unsur kararında, kontrol faaliyetinin kapsamı belirlenirken, iş yeri irtibat araçlarının kullanım emeline nazaran “iş hedefli kullanım” ve “özel emelli kullanım” ayrımının dikkate alınması gerektiği kaydedildi.

İşverenin, iş yeri bağlantı araçlarının özel kullanımına ait kurallar belirleyebileceği lakin bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir nitelikte olması gerektiği aktarılan kararda, özel hedefli kullanımın yasaklanması, sonlandırılması yahut belli vakit, kapsam ve sistem şartlarına bağlanması halinde bunun çalışana açıkça duyurulması gerektiği vurgulandı.

Kararda, patronun makul bir aygıt, oturum, ağ ya da kurumsal sistem üzerinde teknik yetkiye sahip olmasının çalışanın şahsî e-posta hesabı, şahsî anlık mesajlaşma uygulaması, sosyal medya ileti kutusu yahut gibisi özel bağlantı alanlarında yer alan yazışma içeriklerine serbestçe erişebileceği manasına gelmediği belirtildi.

Çalışanın kontrol faaliyeti hakkında evvelden bilgilendirilmesi gerektiği vurgulanan kararda, patron tarafından yapılacak aydınlatmanın soyut ve genel bir tabirin ötesine geçerek, şahsî bilgi sürece faaliyetinin hukuksal nedenini, hedefini, kapsamını, kontrol trafik/log kayıtlarının incelenmesiyle mi yoksa içerik kontrolüyle mi yürütüleceğini, içeriğe hangi hallerde erişilebileceğini, bilgilerin saklama mühletini açık, anlaşılır ve somut biçimde içermesi gerektiği söz edildi.

Kararda, kontrolün hukuka ve dürüstlük kurallarına uygun, belli, açık ve legal bir gayeye dayalı, bu gayeyle kontaklı, hudutlu ve ölçülü biçimde yürütülmesi ve elde edilen bilgilerin sırf emelin gerektirdiği müddetle koruma edilmesi gerektiği vurgulandı.

Denetimde kademeliliğin temel olduğu belirtilen kararda, içeriğe erişimin fakat trafik verisi kontrolünün yetersiz kaldığı ve içeriğe erişimin zarurî olduğu istisnai hallerde gündeme gelebileceği söz edildi.

Kararda, çalışanın evvelce bilgilendirilmediği saklı izleme teknikleri ile çalışanın tüm süreçlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen kontrolün hukuka ters sayılacağının altı çizildi.

İlke kararında, kelam konusu yükümlülüklere uyulmadığının tespit edilmesi halinde, somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca ilgili bilgi sorumluları hakkında idari süreç tesis edileceği bildirildi.