Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanların kurumsal e-posta yazışmalarına erişimini düzenleyen önemli bir ilke kararı yayımladı. Resmi Gazete’de yer alan karar, çalışanların kişisel verilerinin korunması ve haberleşme hürriyeti ile işverenin yönetim hakkı arasındaki dengeyi gözetiyor.
KVKK’nin yeni ilke kararı, çalışanlara tahsis edilen kurumsal e-posta hesaplarının hem mesleki hem de kişisel iletişimi barındırabileceğini kabul ediyor. Bu hesapların denetimi, kişisel veri işleme faaliyeti olarak tanımlanırken, işverenin yalnızca trafik/log kayıtlarını işlemesinin dahi kişisel veri işleme anlamına geldiği belirtildi. İletişim araçlarının işverene ait olması, sınırsız denetim yetkisi tanımıyor.
Kararda, denetim faaliyetlerinin iş amaçlı kullanım ve özel amaçlı kullanım ayrımına göre yapılması gerektiği vurgulandı. İşverenler, özel kullanım kuralları belirleyebilir ancak bu kuralların çalışanlar tarafından açıkça bilinmesi şart. Özel kullanımın yasaklanması veya sınırlandırılması durumunda, bu durum çalışana açıkça duyurulmalıdır.
İşverenin teknik yetkiye sahip olması, çalışanın kişisel e-posta, mesajlaşma uygulamaları veya sosyal medya gibi özel iletişim alanlarındaki yazışma içeriklerine serbestçe erişebileceği anlamına gelmiyor.
Denetim faaliyetleri hakkında çalışanların önceden bilgilendirilmesi gerektiği karar metninde açıkça belirtildi. Bu bilgilendirmenin hukuki sebep, amaç, kapsam, denetim yöntemleri (içerik denetimi mi, trafik kaydı mı), içeriğe erişim koşulları ve veri saklama süresi gibi somut detayları içermesi gerekiyor.
Denetimlerin hukuka uygun, belirli, açık ve meşru bir amaca dayanması, bu amaçla bağlantılı, sınırlı ve ölçülü olması gerektiği vurgulandı. Elde edilen verilerin yalnızca gerektirdiği süreyle saklanması esastır.
İçeriğe erişim, yalnızca trafik verisi denetiminin yetersiz kaldığı ve zorunlu olduğu istisnai durumlarda mümkün olabilecek. Gizli izleme yöntemleri veya ayrım gözetmeksizin tüm işlemleri kaydeden araçlarla yapılan denetimler hukuka aykırı kabul edilecek.
Bu ilke kararlarına uyulmaması halinde, Kişisel Verilerin Korunması Kanunu’nun ilgili maddeleri uyarınca veri sorumluları hakkında idari işlem uygulanacak.
