Tarkan Zengin: İşveren çalışanların e-posta hesaplarını denetleyebilir mi?
Kişisel Verileri Koruma Kurulu'nun (KVKK) çalışanlarla ilgili bir ilke kararı geçtiğimiz günlerde Resmi Gazete'de yayımlandı. Kararda işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve diğer iletişim kanallarının (kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, toplantı platformlarındaki sohbet ve kayıt alanları) denetlenmesinde uyulması gereken usul ve esasları belirlenmektedir.
Kurumsal e-posta hesapları, yalnızca bir iletişim aracı olmayıp, çalışanların mesleki ve kişisel ilişki ağını, çalışmasına dair tüm ayrıntıları ve yazışma içeriklerini barındıran zengin bir veri kaynağıdır. Bu nedenle işveren tarafından yapılacak denetim faaliyetleri, işverenin yönetim hakkı ile çalışanın Anayasal güvence altındaki özel hayatın gizliliği ve haberleşme hürriyeti arasındaki hassas dengenin gözetilmesini gerektiren önemli bir kişisel veri işleme faaliyetidir.
İlke Kararı kapsamında, kurumsal e-posta hesaplarının denetlenmesi, mesaj içeriklerine erişilmeksizin yalnızca trafik/log kayıtlarının işlenmesi durumunda dahi başlı başına bir kişisel veri işleme faaliyeti olarak kabul ediliyor. Bu doğrultuda yapılacak her türlü denetimin; KVKK'nın genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine eksiksiz şekilde tabi olma zorunluluğu öngörülüyor.
DENETİM HAKKINDA SINIR
İletişim araçlarının mülkiyetinin işverene ait olması veya işyerinde bulunması, işverene sınırsız ve mutlak bir denetim yetkisi vermez. Anayasa Mahkemesi ve Yargıtay kararlarında da vurgulandığı üzere, işverenin denetim yetkisi; çalışanın önceden açıkça bilgilendirilmesi, meşru amaç, amaçla sınırlılık, ölçülülük ve daha az müdahaleci yolların önceliği kriterlerine sıkı sıkıya bağlıdır.
İşveren, yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar, kısıtlamalar veya yasaklar getirebilir; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması şarttır. Özel kullanımın yasaklandığı durumlarda dahi sürekli ve aralıksız gözetim ölçülü kriterine uygun görülmüyor.
İşverenin sistem üzerinde teknik erişim imkânına sahip olması, çalışanın kişisel e-posta ve diğer iletişim kanallarındaki yazışmalarına serbestçe erişebileceği anlamına gelmiyor. Zira teknik imkânlar ile hukuki yetkinin birbirinden kesin olarak ayrılması gerekiyor.
HUKUKİ DENETİM İÇİN BİLGİLENDİRME NASIL YAPILMALI?
Hukuka uygun bir denetim için temel kriterlerden biri usulüne uygun şekilde bilgilendirmedir. İşverenlerin yapacağı bilgilendirmenin soyut ifadelerden uzak, somut ve net olması gerekir. Sadece kurumsal e-postanın denetlenebileceğine dair genel bildirimler geçerli bir bilgilendirme veya aydınlatma olarak kabul edilmiyor.
Aydınlatma metninin; veri işlemenin hukuki sebebini, amacını, kapsamını, denetimin trafik kayıtları üzerinden mi yoksa içerik denetimiyle mi yapılacağını, içeriğe hangi istisnai durumlarda erişilebileceğini, saklama sürelerini ve çalışanın haklarını açıkça içermesi gerekiyor. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ve tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla yapılan denetimler doğrudan hukuka aykırı kabul ediliyor.
E-POSTA NEDENİYLE İŞTEN ÇIKARMA
Kurumsal e-posta içeriğinin incelenmesi sonucunda iş akdi fesihlerinin yapıldığına dair örnekler var. Yargıtay yerleşik kararlarına göre kurumsal e-posta içeriğinin incelenmesi sonucunda gerçekleştirilen iş akdi fesihlerinin haklı nedenle olması için, işverenin önceden net bir bilgilendirme yapmasını ve feshin çalışma barışını bozan veya işyerinde huzursuzluğa yol açan somut bir nedene dayanması gerektiğini söylüyor.
İş sözleşmesinde veya şirket kurallarında kurumsal e-postaların denetlenebileceğine dair hükümler konabilir. Ancak içerik denetimi ancak somut bir şüphenin varlığı halinde, iddiayla sınırlı ve istisnai olarak yapılabilir.
Denetim neticesinde elde edilen verilere erişimin, yalnızca bu işle görevlendirilmiş, yetkileri tanımlanmış ve gizlilik yükümlülüğü altındaki sınırlı personelle kısıtlanması, erişim loglarının mutlaka tutulması gerekiyor.
