"Teknik Erişim" ile "Hukuki Yetki" Karıştırılmamalı

Kurul kararında, kurumsal e-posta hesaplarının yalnızca bir iletişim aracı olmadığı; çalışanın mesleki ilişkilerini, zaman akışını ve yazışma içeriklerini barındıran hassas bir veri kaynağı niteliği taşıdığı vurgulandı.

İşverenlerin bir cihaz, ağ veya sistem üzerinde teknik yetkiye sahip olmasının, çalışanın kişisel e-posta, anlık mesajlaşma veya sosyal medya hesaplarındaki içeriklere serbestçe erişebileceği anlamına gelmediği belirtilerek, "teknik erişim imkânı" ile "hukuki erişim yetkisi" arasında net bir çizgi çekildi.

Sürekli ve Aralıksız Gözetime Yasak

Kararda yer alan başlıca kural ve sınırlamalar şöyle sıralandı:

  • Trafik Verisi de Kişisel Veridir: İşverenin e-postaların içeriğine girmeksizin yalnızca trafik veya log kayıtlarını incelemesi dahi başlı başına bir veri işleme faaliyetidir ve kanuni ilkelere tabidir.
  • Sürekli Takip Ölçüsüzdür: Özel kullanımın yasak olduğu durumlarda dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır. Sürekli ve aralıksız gözetim şeklindeki denetimler hukuka uygun kabul edilmeyecektir.
  • Kademelilik Esası: İşveren, ulaşmak istediği meşru amaca daha az müdahaleci bir yolla (örneğin teknik filtreleme veya engelleme) ulaşabiliyorsa, daha ağır bir denetim yöntemi olan içerik incelemesine başvuramaz. İçerik denetimi yalnızca somut şüphe ve zorunlu hallerde gündeme gelebilecek.
  • Gizli İzleme Yasak: Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ve tüm işlemleri ayrım gözetmeksizin kaydeden araçlar hukuka aykırı sayılacak. Aydınlatma yükümlülüğü; işleme amacını, hukuki sebebini ve yöntemi somut bir şekilde içerecek.
  • İş İlişkisi Sonrası: İşten ayrılan çalışanın e-posta hesabına gelen iletilerin ilgisiz kişilerce görüntülenmesine izin verilmeyecek. Hesap aktif kullanıma kapatılacak, hukuki dayanağı kalmayan veriler imha edilecek.

İdari İşlem Uyarısı

KVKK, söz konusu yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerine göre gerekli incelemelerin yapılacağını ve 6698 sayılı Kanun'un 18'inci maddesi uyarınca veri sorumlusu işverenler hakkında idari işlem tesis edileceğini duyurdu.