İş Yerinde Kurumsal İletişim Denetimine İlişkin KVKK İlkeleri

Kişisel Verileri Koruma Kurumu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta ve iletişim kanallarının denetlenmesine ilişkin ilkelerini açıkladı. Kurum, bu hesapların çalışanların mesleki ilişkilerini, iletişim örüntülerini ve zaman zaman kişisel içeriklerini barındıran önemli veri kaynakları olduğunu vurguladı.

KVKK’ya göre, işverenin denetim hakkı, çalışanın Anayasal hakları —kişisel verilerin korunması ve haberleşme hürriyeti— ile dengelenmelidir. Bu nedenle işyerine ait iletişim araçlarının olması, işverene sınırsız bir denetim yetkisi tanımaz.

Denetimin kapsamı ve ayrımı

Kurum, denetim kapsamı belirlenirken iletişim araçlarının kullanım amacına göre “iş amaçlı kullanım” ve “özel amaçlı kullanım” ayrımının gözetilmesi gerektiğini kaydetti. İşverenler, özel kullanıma ilişkin kurallar koyabilir; ancak bu kuralların açık, anlaşılır ve çalışanların bilgilendirildiği nitelikte olması zorunludur. Özel kullanımın yasaklanması veya sınırlandırılması gibi düzenlemeler yapılacaksa bunların çalışana açıkça duyurulması gerekir.

Teknik yetki ve erişim sınırları

Bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olmak, işverenin çalışanın kişisel e-posta hesabı, anlık mesajlaşma uygulamaları veya sosyal medya mesaj kutusu gibi özel iletişim alanlarının içeriklerine serbestçe erişebileceği anlamına gelmez. İçeriğe erişim ancak belirli ve istisnai hallerde mümkündür.

Aydınlatma yükümlülüğü ve denetim usulü

Çalışanlar denetim faaliyetleri hakkında önceden bilgilendirilmelidir. Yapılacak aydınlatma; kişisel veri işleme faaliyetinin hukuki sebebini, amacını, kapsamını, denetimin trafik/log kayıtları üzerinden mi yoksa içerik denetimiyle mi yürütüleceğini, içeriğe hangi hallerde erişilebileceğini ve verilerin saklama süresini açık, anlaşılır ve somut biçimde içermelidir.

Denetim; hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı, amaca bağlı, sınırlı ve ölçülü şekilde yürütülmeli; elde edilen veriler yalnızca amaç gerektirdiği süre boyunca saklanmalıdır. Denetimde kademeliliğin esas alınması gerektiği, içeriğe erişimin ancak trafik verisi denetiminin yetersiz kaldığı ve erişimin zorunlu olduğu istisnai durumlarda gündeme gelebileceği belirtilmiştir.

Gizli izleme ve yaptırımlar

Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri veya tüm işlemleri ayrım gözetmeksizin kaydeden araçlarla yürütülen denetimler hukuka aykırı sayılacaktır. Kuruma uyulmaması halinde, olayın özellikleri doğrultusunda inceleme yapılacak ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edilebilecektir.

Özetle, işverenlerin denetim uygulamaları; çalışanların temel haklarını koruyacak, açık bilgilendirme ve orantılılık ilkelerine bağlı kalacak şekilde düzenlenmelidir.