KVKK Kararı! Çalışanın E-Postasını Gizlice Okumak Yasadışı

Kişisel Verileri Koruma Kurulu (KVKK), iş yerlerinde yaygınlaşan dijital denetim uygulamalarına karşı çalışanların mahremiyetini güvence altına alan kritik bir İlke Kararı’na imza attı. Resmi Gazete’de yayımlanan karara göre, işverenin sağladığı bilgisayar, kurumsal e-posta veya mesajlaşma uygulamaları üzerinde teknik erişim yetkisinin bulunması, işverene çalışanın yazışmalarını sınırsızca inceleme yetkisi vermiyor. Yalnızca e-postaların içeriğini değil, sadece giriş-çıkış (log) ve trafik kayıtlarını tutmanın dahi başlı başına bir kişisel veri işleme faaliyeti sayıldığı vurgulanarak; önceden açık bilgilendirme yapılmadan yürütülen tüm gizli izleme faaliyetlerinin hukuka aykırı olacağı ilan edildi.

Teknik Erişim Hukuki Yetki Anlamına Gelmiyor

Kurul kararında, kurumsal e-posta hesaplarının yalnızca bir iş aracı değil, çalışanın mesleki ve zaman zaman kişisel veri akışını barındıran hassas bir alan olduğuna dikkat çekildi. Şirketlerin patronlarına ve IT departmanlarına açık uyarılarda bulunulan düzenlemede; bir sisteme teknik olarak erişebilmenin, çalışanın kişisel e-postalarına, anlık mesajlaşma geçmişine veya sosyal medya kutularına bakma hakkı doğurmadığı vurgulandı. İşverenlerin yönetim hakkı ile çalışanın Anayasal haberleşme hürriyeti ve mahremiyet hakkı arasında denge kurulması gerektiği ifade edildi.

Gizli Takip Bitti: Genel Bildirimler Geçersiz Sayılacak

İşverenlerin en çok yaptığı "İş yerine ait tüm sistemler denetlenebilir" şeklindeki genel ve muğlak bildirimler artık hukuken geçersiz. Yeni kurallara göre işveren, denetim yapmadan önce çalışanı detaylı bir şekilde bilgilendirmek ve aydınlatmak zorunda. Bu aydınlatmada; denetimin amacı, ne kadar süreceği, sadece trafik/log kaydı mı yoksa içerik incelemesi mi yapılacağı ve içeriğe hangi somut durumlarda bakılacağı açıkça yazılacak. Önceden bilgilendirme yapılmaksızın yürütülen gizli izleme araçları ve çalışanın her hareketini kaydetmeyi amaçlayan yazılımlar kesin olarak yasaklandı.

E-Posta İçeriğini Okumak İçin "Somut Şüphe" Şartı

Karara göre denetimde "kademelilik" ve "ölçülülük" ilkeleri esas alınacak. Bir kötüye kullanım durumu filtreleme veya engelleme gibi teknik yollarla önlenebiliyorsa, işverenin denetim hakkı doğmayacak. Yazışma içeriklerinin okunması ise en ağır müdahale biçimi olarak kabul edildi. İşveren ancak trafik kayıtları yetersiz kaldığında ve ortada somut bir şüphe bulunduğunda, sadece iddiayla sınırlı kalmak şartıyla e-posta içeriğine erişebilecek. Tüm mesaj kutusunu kapsayan, genel ve sürekli içerik taramaları tamamen engellendi.

Rıza Tek Başına Yeterli Değil

Çalışan ile işveren arasındaki bağımlılık ilişkisi nedeniyle, çalışandan alınan "açık rıza" kural olarak tek başına denetim gerekçesi yapılamayacak. Rızanın gerçekten özgür iradeyle verilip verilmediği her somut olayda ayrıca incelenecek. Ayrıca e-posta denetimi sırasında üçüncü kişilerin verilerinin ve sağlık, din, siyasi düşünce gibi özel nitelikli kişisel verilerin de ifşa olma riski bulunduğundan, yetkisiz kişilerin bu verilere erişimi kısıtlanacak.

İşten Ayrılan Çalışanın Hesabı Kapatılacak

Kararda işten ayrılan personelin kurumsal hesaplarının durumu da netleştirildi. İş akdi sona erdiğinde kural olarak kurumsal e-posta hesabı yeni erişimlere kapatılacak ve hukuki dayanağı kalmayan veriler imha edilecek. İş sürekliliğini sağlamak veya hukuki uyuşmazlıklarda savunma yapabilmek amacıyla yapılacak e-posta yönlendirmeleri veya arşivlemeler ise yalnızca belirli sürelerle, yetkilendirilmiş kısıtlı personelle ve kayıt altına alınarak yürütülebilecek.

KVKK, bu ilke kararına ve belirlenen esaslara uymayan veri sorumlusu işverenler hakkında, Kanun'un 18'inci maddesi kapsamında ağır idari para cezalarının ve idari yaptırımların uygulanacağını bildirdi.