KVKK işverenlerin çalışan yazışmalarına erişimine sınırlama getirdi

Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara tahsis edilen kurumsal e-posta hesapları ve iş amaçlı kullanılan diğer iletişim kanallarını denetleme usullerine ilişkin ilke kararını Resmi Gazete'de yayımladı. Karara göre, işverenin cihaz, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta, anlık mesajlaşma uygulamaları veya sosyal medya yazışmalarına serbestçe erişebileceği anlamına gelmeyecek.

Kurul tarafından alınan kararda, kurumsal e-posta hesaplarının çalışanın mesleki ilişkilerinin yanı sıra zaman zaman kişisel yazışmalarını da barındıran hassas bir veri kaynağı olduğu vurgulandı. İşverenin yönetim hakkı ile çalışanın Anayasa ile güvence altına alınan kişisel verilerin korunması ve haberleşme hürriyeti arasındaki dengenin gözetilmesi gerektiği belirtildi. İletişim araçlarının işverene ait olmasının veya iş yerinde bulunmasının, işverene sınırsız ve mutlak bir denetim yetkisi tanımadığı ifade edildi.

Denetim faaliyetlerinde 'iş amaçlı kullanım' ve 'özel amaçlı kullanım' ayrımının dikkate alınması gerektiği kaydedilen kararda, işverenin iletişim araçlarının özel kullanımına ilişkin kurallar belirleyebileceği ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerektiği belirtildi. Özel kullanımın yasaklanması veya sınırlandırılması durumunda, bu koşulların çalışana açıkça duyurulması zorunluluğu getirildi.

Yeni düzenlemeye göre işverenler, denetim faaliyetleri hakkında çalışanları önceden bilgilendirmekle yükümlü olacak. Aydınlatmanın soyut ve genel ifadelerin ötesine geçmesi gereken kararda, çalışanlara haber verilmeden yapılan gizli izlemelerin ve tüm iletişim faaliyetlerinin ayrım gözetilmeksizin kaydedilmesinin hukuka aykırı olduğu vurgulandı. Ayrıca, e-posta içeriğine erişmeden sadece trafik veya log kayıtlarının işlenmesinin de başlı başına bir kişisel veri işleme faaliyeti olduğu açıklandı.

İçeriğe erişim konusunda ise kademeli bir yaklaşım benimsendi. İşverenlerin, daha az müdahaleci yöntemlerin yeterli olmadığı ve somut bir şüphenin bulunduğu durumlarda, gerekli ve ölçülü olmak şartıyla yazışma içeriklerine erişebileceği belirtildi. Denetim sonucunda elde edilen verilere yalnızca yetkili kişilerin erişebileceği ve bu bilgilerin gerekli süre boyunca saklanabileceği ifade edildi.