KVKK'dan İşverenlere Yeni Düzenleme: Çalışan E-postaları Denetlenebilir mi?

Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlarına tahsis ettiği kurumsal e-posta hesapları ile iş için kullanılan iletişim kanallarının denetlenmesine dair bir ilke kararı yayımladı. Bu karar, "İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı" başlığıyla Resmi Gazete'de yayınlandı.

Kararda, kurumsal e-posta hesaplarının çalışanların mesleki ve kişisel ilişkilerine dair veri kaynağı olarak değerlendirildiği ifade edildi. İşverenlerin bu hesapları denetlemesinin, yönetim hakkı ile çalışanların kişisel verilerinin korunmasını isteme hakları arasında bir denge sağlanması gerektiği vurgulandı. Ayrıca, işverenin yalnızca e-posta trafik/log kayıtlarını işlemesinin bile kişisel veri işleme faaliyeti olduğu belirtildi. İşverenin iletişim araçları üzerindeki mülkiyetinin, sınırsız denetim yetkisi tanımadığı da ifade edildi.

Denetim kapsamı belirlenirken, iletişim araçlarının iş amaçlı veya özel amaçlı kullanımına dair bir ayrım yapılması gerektiği vurgulandı. İşveren, iletişim araçlarının özel kullanımına dair kurallar koyabilse de bu kuralların açık ve anlaşılır olması gerektiği belirtildi. Özel amaçlı kullanımın yasaklanması veya sınırlandırılması durumunda, bunun çalışana açıkça bildirilmesi gerektiği kaydedildi.

Ayrıca, işverenlerin sahip olduğu teknik yetkilerin, çalışanların kişisel e-posta hesapları veya özel mesajlaşma alanlarına serbestçe erişim sağladığı anlamına gelmediği açıklandı. Çalışanların denetim faaliyetleri hakkında önceden bilgilendirilmesi zorunluluğu da vurgulandı. Yapılacak bilgilendirmelerin, kişisel veri işleme faaliyetinin hukuki sebebini, amacını ve kapsamını açık bir şekilde içermesi gerektiği ifade edildi.

Denetimlerin hukuka ve adalet kurallarına uygun olarak, belirli ve meşru bir amaca dayanarak gerçekleştirilmesi gerektiği belirtildi. Elde edilen verilerin yalnızca belirli bir süreyle saklanması gerektiği vurgulandı. İçeriğe erişim ise, trafik verisi denetiminin yetersiz kaldığı özel durumlarda mümkün olabileceği ifade edildi.

Ayrıca, çalışanların denetim hakkında yeterince bilgilendirilmediği durumlarda, gizli izleme yöntemleri ile yapılan denetimlerin hukuka aykırı olacağına dikkat çekildi. Bu ilke kararına uyulmaması halinde, ilgili veri sorumluları hakkında idari işlemler yapılacağı bildirildi.