KVKK’nın kararında, kurumsal e-posta hesaplarının yalnızca iş yazışmalarını içeren basit bir iletişim aracı olmadığına dikkat çekildi. Bu hesapların çalışanların mesleki ilişkileri, çalışma alışkanlıkları ve zaman zaman kişisel iletişimlerine ilişkin önemli veriler barındırabileceği belirtildi. Bu nedenle işverenin kurumsal sistemleri kontrol etmesinin de kişisel veri işleme faaliyeti kapsamında değerlendirilmesi gerektiği vurgulandı.
İşverenin Teknik Yetkisi Sınırsız Denetim Anlamına Gelmiyor
Kararda, şirketin sahip olduğu bilgisayar, ağ, e-posta hesabı veya iletişim sistemleri üzerinde teknik yetkiye sahip olmasının, çalışanın özel iletişimlerine sınırsız şekilde erişme hakkı vermediği açıkça belirtildi. İşverenlerin çalışanların kişisel e-posta hesaplarına, özel mesajlaşmalarına, sosyal medya mesaj kutularına veya benzeri kişisel iletişim alanlarına serbestçe ulaşamayacağı ifade edildi.
İşverenler, iş yerindeki iletişim araçlarının kullanımına ilişkin kurallar belirleyebilecek. Ancak özel kullanımın yasaklanması, sınırlandırılması ya da belirli koşullara bağlanması halinde bu kuralların çalışanlara önceden, açık ve anlaşılır biçimde bildirilmesi gerekecek.
Gizli İzleme ve Sınırsız Kayıt Dönemi Sona Eriyor
KVKK, çalışanların denetim konusunda önceden bilgilendirilmesini de zorunlu görüyor. Yapılacak aydınlatmada denetimin amacı, hukuki dayanağı, kapsamı, hangi verilerin inceleneceği ve bilgilerin ne kadar süreyle saklanacağı gibi ayrıntıların açıkça belirtilmesi gerekiyor.
Denetimde ölçülülük ve kademelilik ilkelerinin esas alınacağı kararda, öncelikle trafik ve log kayıtları gibi daha sınırlı yöntemlerin değerlendirilmesi gerektiği belirtildi. İçeriklere erişimin ise ancak bu yöntemlerin yetersiz kaldığı ve erişimin zorunlu olduğu istisnai durumlarda gündeme gelebileceği kaydedildi.
Çalışanın önceden haberdar edilmediği gizli izleme yöntemleriyle tüm işlemlerin ayrım yapılmaksızın kaydedilmesi ise hukuka aykırı kabul edilebilecek. Kurallara uyulmadığının belirlenmesi halinde, 6698 sayılı Kanun kapsamında veri sorumluları hakkında idari işlem uygulanabilecek.