KVKK, işverenlerin çalışan e-postalarını denetlemesine sınır getiren ilke kararını yayımladı

Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve işin yürütülmesi için kullanılan diğer iletişim kanallarının denetlenmesine dair bir ilke kararını 8 Ekim’de kamuoyuyla paylaştı. Karar, Kurul’un 16 Eylül tarihli ve 2026/2035 sayılı kararına dayanıyor. Kurum, çeşitli ihbar ve şikayetlerde bu denetimlerin kişisel verilerin korunması mevzuatına aykırı biçimde yapıldığına dair iddialar geldiğini belirtiyor.

Kararın çıkış noktası, kurumsal e-postanın yalnızca bir iletişim aracı değil, çalışanın mesleki ve kimi zaman kişisel yazışmalarını barındıran bir veri kaynağı olması. Kurul, bu hesapların denetlenmesinin işverenin yönetim hakkı ile çalışanın özel hayatın gizliliği ve haberleşme hürriyeti arasında bir denge gerektirdiğini vurguluyor. Yapılan incelemelerde e-postaların izlendiği, yazışma içeriklerine erişildiği ve elde edilen verilerin disiplin ya da işten çıkarma süreçlerinde kullanıldığı, ancak çalışanların bu konuda yeterince bilgilendirilmediği tespit edilmiş.

Kurul’un öne çıkardığı ilkeler şöyle:

• İletişim aracının işverene ait olması ya da işyerinde kullanılması, işverene sınırsız bir denetim yetkisi vermiyor.
• Teknik olarak bir cihaza, oturuma ya da sisteme erişebilmek, çalışanın kişisel e-posta, mesajlaşma ve sosyal medya yazışmalarına serbestçe erişme hakkı anlamına gelmiyor. Teknik erişim ile hukuki erişim ayrı şeyler.
• Çalışanların denetim faaliyeti hakkında önceden ve somut biçimde aydınlatılması gerekiyor. “E-postanız denetlenebilir” gibi genel bir bildirim tek başına yeterli değil.
• İş ilişkisindeki bağımlılık nedeniyle çalışanın açık rızası, e-posta denetimi için her durumda öncelikli dayanak sayılamıyor.
• Denetimde kademelilik esas; daha az müdahaleci bir yöntem mümkünse ağır bir yönteme başvurulmamalı.
• İçerik denetimine ancak somut bir şüphe ya da belirli bir olay varsa ve amaçla sınırlı olacak şekilde başvurulmalı. Kapsamı belirsiz, sürekli içerik incelemelerinden kaçınılmalı.
• Verilere erişim yalnızca yetkilendirilmiş belli sayıda personelle sınırlanmalı, erişim kayıtları tutulmalı.

Karar bir yasa değil, Kurul’un mevcut mevzuatı nasıl yorumladığını gösteren bir ilke kararı. Ancak KVKK’nın ileride yapacağı incelemelerde bu ölçütleri esas alacağı anlamına geliyor. Bu yüzden şirket içinde e-posta ya da iletişim denetimi yapan kurumların aydınlatma metinlerini ve erişim süreçlerini bu ilkelere göre gözden geçirmesi yerinde olur.