KVKK: İşveren, Çalışanların Kurumsal E-Postalarına Erişim Hakkına Sahip Değil

Kişisel Verilerin Korunması Kurumu (KVKK), işverenlerin çalışanlarına tahsis ettiği kurumsal e-posta hesapları ile ilgili yeni bir ilke kararı yayımladı. Söz konusu karar, çalışanların e-posta hesaplarının mesleki ve kişisel yazışmalarını içeren veri kaynakları olduğunu ortaya koydu.

Bu hesapların denetlenmesi, işverenin yönetim hakkı ile çalışanın Anayasa ile güvence altına alınmış kişisel verilerin korunması hakkı ve haberleşme özgürlüğü arasında bir denge sağlanması gerektiğinin altı çizildi. Kararda, işverenlerin yalnızca trafik ve log kayıtlarını işlemesinin bile kişisel veri işleme faaliyeti oluşturduğuna dikkat çekildi. İş yerindeki iletişim araçlarının işverenin mülkiyetinde olması, işverene sınırsız bir denetim hakkı tanımadığı vurgulandı.

Denetim faaliyetinin kapsamı belirlenirken, iş yeri iletişim araçlarının kullanım amacının dikkate alınması gerektiği belirtildi. İşverenler, bu araçların özel kullanımı ile ilgili kurallar koyabilir; ancak bu kuralların net, anlaşılır ve çalışanlar tarafından bilinebilir olması gerektiği ifade edildi. Özel kullanımın yasaklanması ya da sınırlandırılması durumunda, çalışanların bu konuda bilgilendirilmesi gerektiği vurgulandı.

Ayrıca, işverenlerin belirli bir cihaz veya sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta hesaplarına veya diğer özel iletişim alanlarına serbestçe erişebileceği anlamına gelmediği kaydedildi. Çalışanların denetimle ilgili bilgilendirilmesi gerektiği ve bu bilgilendirmenin soyut değil, somut bir şekilde yapılması gerektiği belirtildi.

Denetimlerin hukuka uygun olarak, belirli ve meşru bir amaca dayanarak yapılması gerektiği ifade edildi. Elde edilen verilerin yalnızca amaçla bağlantılı ve gerekli süreyle muhafaza edilmesi gerektiği vurgulandı. İçeriğe erişim, yalnızca trafik verisi denetimi yetersiz kaldığında ve zorunlu olduğunda mümkün olabileceği belirtildi.

Ayrıca, gizli izleme yöntemleri ile yapılan denetimlerin hukuka aykırı olacağı ifade edilerek, çalışanların önceden bilgilendirilmesi gerektiği vurgulandı. Eğer bu yükümlülüklere uyulmadığı tespit edilirse, ilgili veri sorumluları hakkında idari işlemler yapılacağı belirtildi.