Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş için kullanılan iletişim kanallarının denetlenmesine ilişkin ilke kararını kamuoyuyla paylaştı. Karar, işyerinde kişisel verilerin işlenmesi ve çalışanların özel hayatının gizliliği arasındaki dengeyi sağlamayı amaçlıyor. KVKK'nın resmi internet sitesinde yayımlanan karar, işverenlerin denetim yetkisinin sınırlarını çiziyor ve çalışanların temel hak ve özgürlüklerini koruyor.
İşverenin Denetim Yetkisi Sınırlandırıldı
KVKK, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında yaptığı değerlendirmede, işverenin kurumsal e-posta ve iletişim kanalları üzerindeki denetiminin keyfi olamayacağını vurguladı. Karara göre, işveren ancak işin yürütümüyle doğrudan ilgili, meşru ve ölçülü bir denetim yapabilir. Çalışanların kişisel verileri, açık rıza olmaksızın veya kanunda öngörülen istisnalar dışında işlenemez. Kurul, denetimin amacı, kapsamı, süresi ve yönteminin önceden çalışanlara bildirilmesi gerektiğini belirtti.
Kararda, işverenin kurumsal e-posta hesaplarını denetlemesi için öncelikle çalışanı bilgilendirmesi ve aydınlatma yükümlülüğünü yerine getirmesi şartı aranıyor. Aydınlatma metninde, hangi verilerin hangi amaçla işlendiği, kimlere aktarılabileceği ve saklama süresi gibi hususlar açıkça yer almalı. Ayrıca, denetim sonucunda elde edilen kişisel verilerin başka amaçlarla kullanılamayacağı ve üçüncü kişilerle paylaşılamayacağı hükme bağlandı.
Çalışanın Özel Hayatı Korunuyor
KVKK, çalışanların kurumsal e-posta hesaplarında özel nitelikli kişisel verilerin bulunabileceğine dikkat çekerek, bu verilerin korunması için ek güvenlik önlemleri alınması gerektiğini ifade etti. Özellikle sağlık, din, etnik köken gibi hassas verilerin yer aldığı iletişimlerin denetlenmesi sırasında azami özen gösterilmeli. Kurul, işverenin bu tür verilere erişmesi halinde derhal silmesi veya anonim hale getirmesi gerektiğini vurguladı.
Kararda ayrıca, işverenin çalışanların özel iletişim kanallarını (örneğin kişisel WhatsApp, özel e-posta hesapları) denetleyemeyeceği açıkça belirtildi. Kurumsal cihazlarda dahi olsa, çalışanın kişisel kullanımına yönelik alanların denetimi, açık rıza olmadıkça hukuka aykırılık teşkil edecek. İşveren, kurumsal cihazlarda kişisel kullanımı tamamen yasaklayabilir ancak bu durumda bile çalışanı önceden bilgilendirmeli ve yasaklayıcı hükümleri iş sözleşmesine eklemeli.
Uygulamada Dikkat Edilmesi Gerekenler
İşverenlerin, KVKK'nın bu ilke kararına uyum sağlamak için atması gereken adımlar şunlar:
- Çalışanlara yönelik aydınlatma metni hazırlamak ve tebliğ etmek.
- Kurumsal e-posta ve iletişim kanallarının kullanımına ilişkin açık ve yazılı bir politika oluşturmak.
- Denetim faaliyetlerini işin gerektirdiği ölçüde ve orantılı şekilde yürütmek.
- Denetim sırasında elde edilen kişisel verileri güvenli şekilde saklamak ve süresi dolunca imha etmek.
- Çalışanların açık rızasını gerektiren durumlarda rıza beyanını usulüne uygun almak.
KVKK, ihlal iddialarının incelenmesinde işverenin bu yükümlülükleri yerine getirip getirmediğini değerlendirecek. Aykırılık tespit edilmesi halinde idari para cezası uygulanabilecek. Kurul, ayrıca çalışanların şikâyet hakkının saklı olduğunu hatırlattı.
İş Hukuku ve Yargı Kararları Işığında Değerlendirme
KVKK'nın ilke kararı, Anayasa'nın 20. maddesinde güvence altına alınan özel hayatın gizliliği ve 6698 sayılı Kanun'un genel ilkeleriyle uyumlu. Yargıtay'ın yerleşik içtihatları da işverenin denetim hakkının sınırlarını çizerken çalışanın mahremiyetini üstün tutuyor. Örneğin, Yargıtay 9. Hukuk Dairesi'nin bir kararında, işverenin çalışanın kurumsal e-posta hesabını izinsiz denetlemesi nedeniyle iş sözleşmesinin haklı nedenle feshedilebileceğine hükmedilmişti.
Avrupa İnsan Hakları Mahkemesi'nin (AİHM) Barbulescu v. Romanya davasında da benzer şekilde, işverenin çalışanın işyeri iletişimini denetlemesinin özel hayata saygı hakkını ihlal edebileceği yönünde karar verilmişti. KVKK'nın ilke kararı, bu uluslararası standartlarla da paralellik gösteriyor.
Uzmanlar, kararın işverenler için yol gösterici olduğunu ancak uygulamada belirsizliklerin sürebileceğini belirtiyor. Özellikle uzaktan çalışmanın yaygınlaşmasıyla birlikte, işverenlerin çalışanların evlerindeki iletişim araçlarını denetleme girişimleri tartışma yaratıyor. KVKK'nın bu konuda ek rehberler yayımlaması bekleniyor.
Sonuç olarak, KVKK'nın ilke kararı, işverenlerin kurumsal iletişim kanallarını denetlerken çalışan mahremiyetini gözetmesi gerektiğini net bir şekilde ortaya koyuyor. İşletmelerin bir an önce uyum sürecini başlatması, hem hukuki riskleri azaltacak hem de çalışan bağlılığını artıracak.
