Kişisel Verileri Koruma Kurumu (KVKK), iş yerlerinin çalışanlarına tahsis ettiği kurumsal e-posta hesaplarının denetimiyle ilgili önemli bir karar aldı. Bu karar, şirketlerin çalışanların kişisel ve mesleki iletişimlerini koruma ve denetleme hakları ile çalışanların kişisel verilerinin gizliliği hakkı arasındaki hassas dengeyi gözeterek düzenlendi. Kurum, işverenlerin iş için tahsis edilen e-posta ve iletişim araçlarını denetlerken uyacakları kuralları netleştirdi ve bu kuralların yasalara uygun olmasını zorunlu kıldı. Ayrıca, bu denetimlerin ancak belirli sınırlamalar ve ön bilgi ile gerçekleştirilmesi gerektiğine vurgu yapıldı.
KVKK’nın yeni ilke kararında, çalışanlara ait kurumsal e-posta adreslerinin yalnızca iş amaçlı kullanılmasının ötesinde, kişisel ve mesleki yaşamın bir bütün olarak gözetilmesi gereken karmaşık bir veri kaynağı olduğu belirtildi. Bu hesaplar, çalışanların çalışma alışkanlıkları, iletişim trafiği ve yazışma içeriklerinin kaydını içerebilecek nitelikte olduğundan, işveren tarafından gerçekleştirilecek denetimlerin sınırları ve usulleri dikkatle belirlenmelidir. Kurum, iş yerinde kullanılan iletişim araçlarının denetlenmesinde, trafik ve log kayıtlarının işlenmesinin dahi kişisel veri kapsamına girdiği ve bu işlemin hukuki sorumluluklar gözetilerek yapılması gerektiğine işaret etti. Bu kapsamda, çalışanların kişisel iletişimlerine erişim sağlamadan, sadece trafik verilerinin incelenmesinin bile kişisel veri işleme faaliyetleri olduğunu belirtti.
İşte bu karar kapsamında, işverenlerin iletişim araçlarının kullanım şekli ve amacına göre denetim yapabileceği, ancak özel amaçla yapılan kullanımların kontrol edilmesi halinde, bu kullanımın açık ve şeffaf biçimde çalışanlara bildirilmesi gerekmektedir. İşverenlerin, belirli cihaz veya ağ üzerinden yapılan iletişimi sınırsız biçimde denetlemesinin hukuka aykırı olacağı açıklandı. Çalışanlara yapılacak denetimlerin, önceden bilgilendirme ve aydınlatma yoluyla net biçimde ortaya konması zorunludur. Bu sayede, denetimlerin hukuka uygun şekilde ve ölçülü prensiplere dayalı gerçekleştirilmesi sağlanacaktır. Ayrıca, içeriğe erişimin yalnızca trafik verisinin yetersiz kaldığı durumlarda ve belirli istisnai şartlar altında mümkün olacağı vurgulandı. Kurum, gizli izleme yöntemleri ve çalışanların rızası dışında yapılan denetimlerin hukuka aykırı sayılacağını ve bu tür uygulamalara son verilmesi gerektiğini özellikle belirtti.
Son olarak, KVKK kararında, denetim faaliyetlerinin hukuka ve dürüstlük kurallarına uygun, şeffaf ve orantılı olması gerektiği, veri işleme süresinin ise sadece amacın gerektirdiği ölçüde tutulması gerektiği vurgulandı. Bu kapsamda, denetimlerin kademeli ve sınırlı şekilde yapılması, içeriğe erişimin ise sadece zorunlu durumlarda ve gerekli ölçülerde gerçekleşmesi esas alınmıştır. Herhangi bir uyumsuzluk halinde, ilgili kurum ve kişiler hakkında idari işlemler tesis edilerek, yasal sorumluluklar yerine getirilecektir. Bu karar, iş yeri iletişim araçlarının kullanımında denetimlerin hukuki sınırlar ve usullar çerçevesinde yapılmasını sağlayacak önemli bir adım olmuştur.
