Resmî Gazete'de yayımlanan kararla, işverenlerin denetim yetkisi ve çalışanların kişisel verilerinin korunmasına ilişkin kurallar belirlendi.
İşverenin denetim yetkisi sınırsız değil
KVKK'nin kararında, çalışanlara tahsis edilen kurumsal e-posta hesaplarının mesleki ve zaman zaman kişisel ilişki ağını, çalışma düzenini ve yazışma içeriklerini barındırdığına dikkat çekildi.
İşverenin bu hesapları denetlemesinin, yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasında denge kurulmasını gerektiren bir kişisel veri işleme faaliyeti olduğu belirtildi.
Kararda, “İşverenin, çalışana ait e-postanın içeriğine erişmeksizin yalnızca trafik/log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyetini oluşturmaktadır. İletişim araçlarının işverene ait olması ya da iş yerinde bulunması tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır.” ifadelerine yer verildi.
Çalışanın özel yazışmalarına serbestçe erişilemeyecek
Kararda, denetim sırasında iş yeri iletişim araçlarının iş amacıyla mı yoksa özel amaçlarla mı kullanıldığının dikkate alınması gerektiği vurgulandı.
İşverenlerin, iletişim araçlarının özel kullanımına ilişkin kurallar belirleyebileceği ancak bu kuralların açık, anlaşılır ve çalışanlar tarafından bilinebilir olması gerektiği ifade edildi. Özel kullanımın yasaklanması veya belirli koşullara bağlanması durumunda çalışanların önceden bilgilendirilmesi gerektiği kaydedildi.
İşverenin bir cihaz, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta hesabındaki, mesajlaşma uygulamalarındaki ya da sosyal medya mesaj kutusundaki yazışmalara serbestçe erişebileceği anlamına gelmediği belirtildi.
Denetim öncesinde çalışan bilgilendirilecek
KVKK kararında, çalışanların denetim faaliyetleri hakkında önceden bilgilendirilmesi gerektiğinin altı çizildi.
Bilgilendirmenin genel ifadelerle sınırlı kalmaması; kişisel verilerin hangi hukuki sebeple ve hangi amaçla işlendiğini, denetimin trafik kayıtları üzerinden mi yoksa yazışma içerikleri incelenerek mi yapılacağını açıkça ortaya koyması gerektiği bildirildi.
Hangi durumlarda yazışma içeriklerine erişilebileceğinin ve elde edilen verilerin ne kadar süreyle saklanacağının da çalışanlara anlaşılır biçimde açıklanması gerektiği ifade edildi.
Denetimin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru bir amaca dayalı, amaçla bağlantılı, sınırlı ve ölçülü biçimde yürütülmesi gerektiği belirtildi. Elde edilen kişisel verilerin yalnızca gerekli olduğu süre boyunca muhafaza edilmesi gerektiği kaydedildi.
Kurallara uymayan işverenlere idari işlem
Kararda, denetim sırasında kademeli bir yaklaşımın benimsenmesi gerektiği vurgulandı. Buna göre, trafik verilerinin incelenmesinin yetersiz kaldığı ve zorunluluk bulunan istisnai durumlarda yazışma içeriklerine erişim gündeme gelebilecek.
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle yapılan denetimlerin ve çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçların kullanılmasının hukuka aykırı sayılacağı belirtildi.
KVKK, belirlenen yükümlülüklere uyulmadığının tespit edilmesi halinde somut olayın özelliklerine göre inceleme yapılacağını bildirdi. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem uygulanabileceği kaydedildi.
