İş yerinde dijital takibe kırmızı kart! KVKK’dan, milyonları ilgilendiren tarihî karar

Günümüz çalışma hayatında "İş yeri benim, bilgisayar benim, e-Posta da benim" anlayışı kökten değişti. Kişisel Verileri Koruma Kurulu (KVKK), Resmî Gazete’de yayımladığı yeni İlke Kararı ile iş dünyasının haritasını yeniden çizdi.

"At sahibine göre kişner" derler ancak modern hukukta "İşveren, imkânı var diye çalışanın her adımını izleyemez" kuralı geçerlidir. Çalışana verilen kurumsal e-Posta hesabı, sadece bir iş aracı değildir. O hesapta çalışanın mesleki bağı, zaman zaman kişisel yazışmaları ve çalışma düzeni gizlidir.

Kurul; Anayasa’nın "özel hayatın gizliliği" ve "haberleşme hürriyeti" hükümleri ile işverenin yönetim hakkı arasında hassas bir terazi kurdu. Unutmayalım ki, "Kantarın topuzunu kaçırmak" hem hukuki hem de vicdani sorumluluk doğurur.

A’DAN Z’YE İLETİŞİM KANALLARI: SADECE E-POSTA DEĞİL!

Karar sadece kurumsal e-Postaları kapsamıyor. Şirket içi mesajlaşma programları, anlık iletişim uygulamaları, müşteri yönetim sistemleri ve hatta çevrim içi toplantıların sohbet/kayıt alanları da bu kurallara tabidir.

Ancak işveren şuna dikkat edecek: Çalışana verilen iletişim aracı kişisel kullanıma uygun mu? Şirket bunu iş amacıyla mı verdi? Çalışanın "Burada gizliliğim korunur" şeklinde makul bir beklentisi var mı?

Yalnızca mesajın içeriği değil, kimin kiminle, ne zaman konuştuğunu gösteren "trafik/log (iz) kayıtları" bile kişisel veridir. Yani e-Posta’nın kapağını açmamak, izleme yapmadığınız anlamına gelmez!

DİKKAT: "TEKNİK YETKİ" İLE "HUKUKİ YETKİ" AYNI ŞEY DEĞİLDİR!

Bir işverenin sistemde teknik olarak her mesajı okuyabilme imkânının olması, ona bu mesajları okuma hakkı vermez. "Kaş yapayım derken göz çıkarmak" istemiyorsanız teknik güç ile hukuki yetkiyi birbirinden ayıracaksınız.

İşveren sırf patron olduğu için veya cihaz kendisine ait diye sınırsız denetim yetkisine sahip olamaz. "Ağır basan meşru gerekçe" yoksa, çalışanın sosyal medya mesaj kutusuna, kişisel e-Posta hesabına veya özel yazışma alanlarına erişilmesi hukuka aykırıdır.

ŞEFFAFLIK ŞART: "GİZLİ KAPAKLI İŞİN MEYVESİ ACI OLUR"

Çalışanı habersizce izlemek, onun her hareketini gizli kameralar veya yazılımlarla sürekli kaydetmek kesinlikle yasaktır. "Gizli dosttan hayır gelmez" misali, gizli takip de hukuka uygun sayılmaz.

Denetimin en temel şartı ÖNCEDEN BİLGİLENDİRME’dir. Ancak her bilgilendirme yeterli değildir:

• Soyut Cümleler Geçersizdir: "Şirket e-Postaları denetlenebilir" şeklindeki genel duyurular kanunen geçersizdir.
• Somut Aydınlatma Yapılacak: Denetim ne zaman, hangi amaçla, nasıl yapılacak? Trafik verisi mi incelenecek yoksa içerik mi? Veriler ne kadar saklanacak? Çalışanın hakları nelerdir? Tüm bunlar açık ve somut biçimde yazılacaktır.

Aydınlatma yapılmadığı takdirde çalışan, "Haberleşme hürriyetim güvence altındadır" beklentisine girer. Bu beklenti ihlal edilemez.

SADECE "AÇIK RIZA" HER DERDE DEVA DEĞİL!

İş hayatında patron ile çalışan arasında güç dengesizliği vardır. Çalışan, işini kaybetme korkusuyla rıza göstermek zorunda kalabilir. Bu nedenle KVKK, e-Posta denetiminde "Açık Rıza"yı öncelikli hukuki sebep olarak kabul etmemektedir.

Bunun yerine işveren şu hukuki sebeplere dayanmalıdır:

• Hukuki yükümlülüklerin yerine getirilmesi,
• Bir hakkın tesisi veya korunması,
• Çalışanın temel haklarına zarar vermemek kaydıyla işverenin meşru menfaati.

Fakat bu hukuki sebepler bile işverene sınırsız denetim yetkisi vermez!

DENETİMDE "KADEMELİLİK" VE "ÖLÇÜLÜLÜK" İLKESİ

"Sinek öldürmek için top atılmaz." İşveren amaca ulaşmak için en hafif yöntemi seçecektir. Denetimde kademelilik esastır:

• Önce Teknik Tedbir: Kötüye kullanım varsa önce filtreleme veya engelleme gibi teknik yollar denenecektir.
• Önce Trafik Kaydı: Sorun çözülemiyorsa önce sadece kiminle mesajlaşıldığına (trafik verisine) bakılacaktır.
• İçerik İncelemesi Son Çaredir: Mesajın içeriğine girmek en ağır müdahaledir. Yalnızca somut bir şüphe veya iddia varsa ve trafik verisi yetersiz kalıyorsa içeriğe bakılabilir.

Genel, kapsayıcı ve sürekli içerik taraması yapmak hukuka aykırıdır.

ÖZEL İLETİLER VE ÜÇÜNCÜ KİŞİLERİN VERİLERİ

Mesaj içeriği incelenirken "Çizmeyi aşmamak" gerekir. E-Posta gövdelerinde veya eklerinde sağlık bilgisi, sendika üyeliği gibi "özel nitelikli kişisel veriler" bulunabilir.

Ayrıca e-Postalar karşı taraftaki üçüncü kişilerin de verilerini içerir. Yapılacak bir denetim, masum üçüncü kişilerin haklarını da zedelememelidir.

İş amaçlı yazışma ile özel yazışma ayrılabiliyorsa, özel yazışmalar denetim dışı bırakılmalıdır. Ayrılamıyorsa işveren yetkisini çok dar ve hassas yorumlamalıdır.

İŞTEN AYRILAN ÇALIŞANIN E-POSTASI NE OLACAK?

Çalışan işten ayrıldığında e-Posta hesabı kural olarak kapatılır. "Giden gitti, izi kaldı" denip hesap açık bırakılamaz, gelen iletiler ilgisiz kişilere okutulamaz. Ancak işin aksamaması veya hukuki uyuşmazlıklarda savunma yapılabilmesi için:

• Belirli bir süreyle sınırlı,
• Yetkilendirilmiş kişilerce,
• Otomatik cevap, yönlendirme veya arşivleme yöntemleri uygulanabilir.
• Hukuki dayanağı kalmayan veriler ise derhal imha edilmelidir.

E-Posta verilerine erişim yetkisi sadece belirli görevlilere verilmeli, erişim kayıtları tutulmalı ve bu kişilere gizlilik sözleşmesi yaptırılmalıdır.

İŞVEREN VE ÇALIŞAN AÇISINDAN NE ANLAMA GELİYOR?

HASILIKELAM: "RÜZGÂR EKEN FIRTINA BİÇER"

KVKK'nın bu kararı ne çalışanın iş disiplininden kaçmasına izin veriyor ne de işverenin "Tek patron benim" diyerek sınırları aşmasına göz yumuyor.

İşverenler, "Güç bende" diyerek hukuka aykırı yollardan veri toplarsa, yarın KVKK’nın kanun hükümleri uyarınca ağır idari yaptırımlarla karşılaşır. Çalışanlar ise kurumsal araçların iş amacıyla tahsis edildiğini unutmamalı, haklarını bilerek hareket etmelidir.

İsa Karakaş'ın önceki yazıları...