Karara göre işverene ait cihaz, ağ veya kurumsal sistem üzerinde teknik yetki bulunması, işverene sınırsız denetim hakkı vermiyor. E-posta içeriğine erişmeden yalnızca trafik ve log kayıtlarının incelenmesi dahi kişisel veri işleme faaliyeti sayılıyor. Denetimin meşru bir amaca dayanması, bu amaçla bağlantılı, sınırlı ve ölçülü yürütülmesi gerekiyor. Çalışanın denetim yöntemi, kapsamı ve verilerin saklama süresi konusunda önceden açık biçimde bilgilendirilmesi zorunlu tutuluyor.
İŞVERENE SINIRSIZ DENETİM YETKİSİ YOK
KVKK kararında kurumsal e-posta hesaplarının çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma düzenini ve yazışma içeriklerini barındıran bir veri kaynağı olduğu belirtildi. İşverenin yönetim hakkı ile çalışanın kişisel verilerinin korunması ve haberleşme özgürlüğü arasında denge kurulması gerektiği vurgulandı.
ÖZEL YAZIŞMALARA SERBESTÇE ERİŞİLEMEZ
İşveren, iş yeri iletişim araçlarının özel amaçlı kullanımını yasaklayabilir, sınırlandırabilir veya belirli koşullara bağlayabilir. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekiyor. Teknik erişim yetkisi, kişisel e-posta, anlık mesajlaşma uygulaması veya sosyal medya mesajlarına serbestçe girilebileceği anlamına gelmiyor.
ÇALIŞANA ÖNCEDEN BİLGİ VERİLMELİ
Denetimden önce yapılacak aydınlatmada kişisel veri işlemenin hukuki sebebi, amacı ve kapsamı somut biçimde açıklanmalı. İncelemenin trafik veya log kayıtlarıyla mı yoksa içerik denetimiyle mi yürütüleceği, içeriğe hangi şartlarda erişileceği ve verilerin ne kadar süre saklanacağı çalışana bildirilmek zorunda.
İÇERİK DENETİMİ SON AŞAMA
Kararda kademeli denetim esas alındı. Yazışma içeriğine erişim, trafik verisinin incelenmesinin yetersiz kaldığı ve içerik erişiminin zorunlu olduğu istisnai durumlarda gündeme gelebilecek. Denetim sırasında elde edilen veriler yalnızca amacın gerektirdiği süre boyunca saklanabilecek.
GİZLİ VE TOPLU İZLEME HUKUKA AYKIRI
Çalışana önceden haber verilmeden yapılan gizli izleme ile tüm işlemleri ayrım gözetmeden kaydeden araçların kullanılması hukuka aykırı kabul edilecek. İlke kararındaki yükümlülüklere uyulmadığının belirlenmesi halinde somut olayın özelliklerine göre inceleme yapılacak ve 6698 sayılı Kanun''un 18. maddesi kapsamında veri sorumluları hakkında idari işlem uygulanabilecek.
