Milyonlarca çalışanı ilgilendiriyor! İşverenler dikkat

KVKK, çalışanların e-posta ve özel yazışmalarının denetlenmesine ilişkin yeni kuralları açıkladı. İşverenlerin hangi durumlarda mesajlara erişebileceği netleşti.

Milyonlarca çalışanı ve işvereni ilgilendiren önemli bir karar alındı. Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara ait e-posta hesaplarını, mesajlaşma uygulamalarını ve diğer iletişim kanallarını denetlemesine ilişkin yeni ilke kararını yayımladı. Karara göre işverenin bilgisayar, telefon veya kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanların özel yazışmalarını sınırsız şekilde inceleyebileceği anlamına gelmiyor.

Resmî Gazete'de yayımlanan düzenleme, iş yerlerinde dijital iletişimin denetlenmesine ilişkin önemli kurallar getiriyor.

İŞVEREN HER MESAJI OKUYAMAYACAK

KVKK tarafından yayımlanan ilke kararında, çalışanlara tahsis edilen kurumsal e-posta hesaplarının yalnızca iş yazışmalarını değil, zaman zaman kişisel iletişimleri de barındırabileceğine dikkat çekildi.

Bu nedenle işverenlerin kurumsal iletişim araçlarını denetlerken çalışanların kişisel verilerinin korunması hakkını ve haberleşme özgürlüğünü gözetmesi gerektiği belirtildi.

Kararda şu ifadelere yer verildi:

"İşverenin, çalışana ait e-postanın içeriğine erişmeksizin yalnızca trafik/log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyetini oluşturmaktadır. İletişim araçlarının işverene ait olması ya da iş yerinde bulunması tek başına işverene sınırsız ve mutlak bir denetim yetkisi tanımamaktadır."

Böylece şirket bilgisayarlarının ve kurumsal sistemlerin işverene ait olmasının, bütün yazışmaların koşulsuz incelenmesine izin vermediği vurgulandı.

WHATSAPP VE SOSYAL MEDYA YAZIŞMALARI

Kararın dikkat çeken bölümlerinden biri de kişisel mesajlaşma uygulamalarına ilişkin oldu.

İşverenin belirli bir cihaz, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel iletişim alanlarına serbestçe erişme hakkı vermiyor.

Bu kapsamda kişisel e-posta hesapları, anlık mesajlaşma uygulamaları ve sosyal medya mesaj kutuları da değerlendiriliyor.

Örneğin çalışanın şirket bilgisayarından kişisel mesajlaşma hesabına giriş yapması, işverenin bu hesaptaki bütün özel yazışmaları okuyabileceği anlamına gelmiyor.

Ancak karar, kurumsal iletişim kanallarının hiçbir koşulda denetlenemeyeceği anlamını da taşımıyor. Denetimin hukuki dayanağı, amacı ve ölçülülüğü önem taşıyor.

ÇALIŞANLARA ÖNCEDEN BİLGİ VERİLECEK

KVKK'nın ilke kararına göre işverenlerin denetim faaliyetleri hakkında çalışanları önceden bilgilendirmesi gerekiyor.

Yapılacak bilgilendirmenin genel ve belirsiz ifadelerden oluşmaması gerektiği vurgulanıyor.

İşverenlerin çalışanlara şu konularda açık bilgi vermesi gerekiyor:

Ayrıca işverenler, iş yeri iletişim araçlarının kişisel amaçlarla kullanımını yasaklayabilecek veya sınırlandırabilecek. Ancak bu kuralların çalışanlara açık ve anlaşılır biçimde duyurulması gerekiyor.

MESAJ İÇERİĞİNE ERİŞİM İSTİSNA OLACAK

Yeni ilke kararında denetim faaliyetlerinde kademeli yaklaşımın esas alınması gerektiği belirtildi.

Buna göre işverenlerin öncelikle daha az müdahaleci yöntemleri değerlendirmesi gerekiyor.

Örneğin bir güvenlik ihlali veya kurumsal sistemin kötüye kullanıldığı şüphesi bulunması halinde, öncelikle trafik ve log kayıtlarının incelenmesi gündeme gelebilecek.

Yazışma içeriklerine erişim ise bu yöntemlerin yetersiz kaldığı ve içeriğin incelenmesinin zorunlu olduğu istisnai durumlarda değerlendirilebilecek.

Her durumda denetimin belirli, açık ve meşru bir amaca dayanması; amaçla bağlantılı, sınırlı ve ölçülü olması gerekiyor.

GİZLİ İZLEMEYE KARŞI ÖNEMLİ UYARI

KVKK, çalışanların önceden bilgilendirilmediği gizli izleme yöntemlerine de dikkat çekti.

Çalışanın bütün işlemlerini herhangi bir ayrım yapmadan kaydeden izleme araçlarıyla yürütülen denetimlerin hukuka aykırı sayılacağı belirtildi.

Bu kapsamda çalışanların dijital faaliyetlerinin sürekli ve sınırsız şekilde takip edilmesi, işverenin yönetim hakkı kapsamında otomatik olarak meşru kabul edilmiyor.

İşverenlerin, çalışanların özel hayatına ve kişisel verilerine müdahale eden denetim yöntemlerinden kaçınması gerekiyor.

KURALLARA UYMAYAN İŞVERENLERE İŞLEM

Resmî Gazete'de yayımlanan ilke kararında, belirlenen yükümlülüklere uyulmaması halinde uygulanacak süreç de açıklandı.

Buna göre ihlal tespit edilmesi durumunda olayın özellikleri dikkate alınarak gerekli inceleme yapılacak.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında ilgili veri sorumluları hakkında idari işlem uygulanabilecek.

Karar, özellikle çalışanların kurumsal e-posta hesaplarını kullandığı, şirket bilgisayarlarından iletişim kurduğu ve dijital sistemler üzerinden çalıştığı iş yerlerini yakından ilgilendiriyor.

İşverenlerin mevcut denetim politikalarını KVKK'nın belirlediği ilkelere uygun hale getirmesi, çalışanların ise iş yerindeki dijital iletişim araçlarının kullanımına ilişkin bilgilendirmeleri dikkatle incelemesi önem taşıyor.