Kişisel Verileri Koruma Kurulu işverenlerin e-posta denetimini ilke kararıyla sınırlara bağladı

Kararın dayanağı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 15. maddesinin altıncı fıkrası ile 22. maddesinin birinci fıkrasının (e), (f) ve (g) bentleridir. 15. maddenin altıncı fıkrası, ihlalin yaygın olduğu tespit edildiğinde Kurula ilke kararı alma ve yayımlama yetkisi verir. İlke kararı, yani Kurulun yaygın ihlallere karşı bütün veri sorumluları için çizdiği genel çerçeve, tek bir şikâyetin ötesinde sektörün tamamını yönlendiren bir işlev görmektedir.

Kurul, yazışma içeriğine bakılmadan yalnızca trafik ve log kayıtlarının, yani kimin kime ne zaman ileti gönderdiğine ilişkin kayıtların incelenmesinin de kişisel veri işleme olduğunu açıkça belirtti. Bu nedenle her türlü denetim, KVKK'nın 4. maddesindeki genel ilkelere, 5. ve 6. maddelerindeki işleme şartlarına, 10. maddesindeki aydınlatma yükümlülüğüne ve 12. maddesindeki veri güvenliği yükümlülüklerine tabidir. Denetimde kademelilik esastır; içeriğe ancak trafik verisi yetersiz kaldığında, somut bir şüphe bulunduğunda ve iddiayla sınırlı olarak erişilebilir. Açık rıza, yani çalışanın belirli bir işleme özgür iradesiyle onay vermesi, iş ilişkisindeki güç dengesizliği nedeniyle kural olarak öncelikli dayanak sayılmamakta; bunun yerine somut olaya göre hukuki yükümlülük, bir hakkın korunması veya meşru menfaat şartlarına dayanılabileceği belirtilmektedir.

Uygulamada işverenlerin aydınlatma metinlerini yeniden gözden geçirmesi gerekeceği değerlendirilebilir. Kurul, yalnızca kurumsal e-postanın denetlenebileceğini söyleyen genel bildirimleri yeterli görmemekte; metnin hukuki sebebi, amacı, kapsamı, denetimin log incelemesi mi içerik incelemesi mi olacağını, içeriğe hangi hâllerde erişileceğini, saklama süresini ve çalışanın KVKK'nın 11. maddesindeki haklarını somut olarak göstermesini aramaktadır. Ayrıca verilere erişim, görev tanımıyla yetkilendirilmiş sınırlı sayıda personelle sınırlanmalı, erişimler kayda alınmalı ve bu kişiler gizlilik yükümlülüğüne tabi tutulmalıdır. Kararda, bu yükümlülüklere uyulmadığının tespiti hâlinde KVKK'nın 18. maddesi uyarınca idari işlem tesis edileceği belirtilmiştir.

Karar, Kurulda oy birliğiyle değil oy çokluğuyla alınmıştır. Kişisel kullanıma da elverişli uygulamalarda hesabın iş amacıyla tahsis edilip edilmediği ve çalışanın makul mahremiyet beklentisi her olayda ayrıca değerlendirilecektir. İş ve özel amaçlı iletişimin birbirinden ayrılamadığı durumlarda denetim yetkisinin daha dar yorumlanacağı belirtildiğinden, bu sınırın uygulamada Kurul kararlarıyla netleşmesi beklenebilir.