Kişisel Verileri Koruma Kurumu (KVKK), çalışanların önceden bilgilendirilmesini ve denetimin gerekli sınırlar içinde yapılmasını zorunlu tutan bir ilke kararı yayımladı.
İş yerinde kullanılan bilgisayarın, e-posta hesabının veya iletişim sisteminin işverene ait olması, bu araçlardaki bütün yazışmaların serbestçe incelenebileceği anlamına gelmiyor. Resmî Gazete’de yayımlanan KVKK ilke kararı, işverenin yönetim yetkisi ile çalışanın özel hayatına ve haberleşmesine ilişkin hakları arasındaki sınırları ortaya koydu.
Karara göre kurumsal e-posta hesapları yalnızca iş yazışmalarından oluşmuyor. Bu hesaplar, çalışanların iletişim kurduğu kişilere, çalışma alışkanlıklarına ve zaman zaman özel yaşamına ilişkin bilgiler de içerebiliyor. Üstelik mesajların içeriği açılmasa bile gönderim zamanı, alıcı bilgisi ve bağlantı kayıtlarının incelenmesi kişisel veri işleme faaliyeti sayılıyor.
İşveren Önce Bilgilendirmek Zorunda
Yeni düzenlemede çalışanların denetimden önceden haberdar edilmesi temel koşullar arasında yer alıyor. İşverenin yalnızca “kurumsal hesaplar denetlenebilir” şeklinde genel bir uyarı yapması yeterli görülmüyor. Çalışana denetimin neden yapıldığı, hangi hukuki gerekçeye dayandığı, hangi bilgilerin inceleneceği ve verilerin ne kadar süre saklanacağı açıkça anlatılmalı. Kontrolün yalnızca teknik kayıtları mı kapsadığı, yoksa belirli durumlarda mesaj içeriklerine de erişilip erişilmeyeceği önceden belirtilmeli.
İşverenler iletişim araçlarının kişisel kullanımını sınırlandırabilecek veya yasaklayabilecek. Ancak bu kuralların anlaşılır biçimde duyurulması gerekiyor. Kurumsal bir cihaz üzerindeki teknik yetki ise çalışanın kişisel e-posta hesabına, özel mesajlaşma uygulamalarına veya sosyal medya yazışmalarına sınırsız erişim hakkı vermiyor.
Gizli ve Sınırsız İzlemeye İzin Yok
KVKK, denetimde aşamalı bir yaklaşım öngörüyor. Öncelikle daha az müdahaleci yöntemlerin kullanılması, yazışma içeriklerine ise ancak teknik kayıtların yetersiz kaldığı ve erişimin zorunlu olduğu istisnai durumlarda başvurulması gerekiyor. Çalışanlara haber verilmeden yapılan gizli izleme ile bütün işlemleri ayrım gözetmeden kaydeden sistemler, kararda hukuka aykırı uygulamalar arasında değerlendiriliyor. Kurallara uyulmadığının belirlenmesi halinde, olayın koşullarına göre inceleme yapılacak. İlgili veri sorumluları hakkında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi kapsamında idari işlem uygulanabilecek.