Gelişen teknolojiyle birlikte iş hayatının vazgeçilmez bir parçası haline gelen kurumsal e-posta ve anlık mesajlaşma uygulamaları, işçi ve işveren arasında yepyeni hukuki uyuşmazlıklara kapı aralamaktadır. Birçok işveren, mülkiyeti kendisine ait olan şirket bilgisayarları ve iletişim ağları üzerinde sınırsız bir denetim hakkı olduğuna inanır. Ancak Kişisel Verileri Koruma Kurulu (KVKK) tarafından yayımlanan son İlke Kararı (tüm veri sorumlularını bağlayan, genel nitelikli emsal kural), işverenin yönetim hakkı ile çalışanın özel hayatının gizliliği ve haberleşme hürriyeti arasındaki ince çizgiyi net bir şekilde çizmiştir. Bu karar, iş yerinde kullanılan iletişim kanallarının keyfi olarak incelenemeyeceğini, çalışanın anayasal haklarının korunması gerektiğini ve denetimin ancak çok sıkı şartlara bağlı olarak yapılabileceğini açıkça ortaya koymaktadır.

Konunun iş hayatındaki yansımalarını ve ne anlama geldiğini daha iyi kavrayabilmek için, mahkeme koridorlarına sıkça taşınan şu örnek hikayeye bir göz atalım:

Özel bir şirkette çalışan Ayşe, mesai saatleri içinde iş bilgisayarındaki WhatsApp Web üzerinden bir iş arkadaşıyla şirketin yeni mesai politikaları hakkında dertleşmiştir. Birkaç gün sonra yöneticisi, bilgisayarın ve internetin şirkete ait olduğunu belirterek bu yazışmaları gizlice okuduğunu söylemiş ve mesajların içeriğini gerekçe göstererek Ayşe’yi işten çıkarmıştır.

Peki, Ayşe’nin yöneticisi hukuken haklı mıdır? İşverenin bilgisayarı veya e-posta altyapısını sağlıyor olması, ona çalışanlarının her mesajını okuma veya izleme hakkı verir mi? Bu makalemizde KVKK’nın getirdiği yeni kuralları ve sınırları karmaşık hukuk dilinden uzaklaşarak inceleyelim.

Şirket Bilgisayarı Olması Sınırsız Denetim Hakkı Vermez

Uzun yıllardır iş dünyasında “Maaşını ve bilgisayarını ben veriyorum, o halde her hareketini denetlerim” şeklinde bir yanılgı hakimdi. Ancak KVKK’nın yayımladığı karara göre; kurumsal e-posta hesapları veya şirket hatları yalnızca basit bir iş aracı değildir. Bu cihazlar, çalışanın mesleki ağını, çalışma düzenini ve zaman zaman kişisel ilişkilerini de barındıran son derece hassas birer veri kaynağıdır.

İletişim araçlarının mülkiyetinin işverene ait olması veya cihazın işyerinde bulunması, tek başına patrona mutlak denetim yetkisi (çalışanı sınırsız ve keyfi olarak kontrol etme hakkı) tanımaz.

İşverenin Çalışanını Denetleyebilmesi İçin Gereken 4 Temel Şart

Eğer işveren, çalışanlarına tahsis ettiği kurumsal iletişim kanallarını denetlemek istiyorsa, hukuka aykırı davranmamak adına aşağıdaki 4 temel kurala harfiyen uymak zorundadır:

1. Önceden ve Açıkça Bilgilendirme (Aydınlatma Yükümlülüğü):

İşveren, herhangi bir denetim yapmadan önce çalışana bilgi vermek zorundadır. İş sözleşmesinin arasına sıkıştırılmış “E-postalarınız denetlenebilir” şeklindeki soyut ve yüzeysel maddeler hukuken geçersizdir. İşveren; denetimin hangi hukuki amaca dayandığını, nelerin inceleneceğini, sadece giriş-çıkış saatlerine mi yoksa mesaj içeriklerine mi bakılacağını ve bu verilerin ne kadar süreyle saklanacağını açık, anlaşılır ve somut bir biçimde çalışana bildirmelidir. Çalışana haber verilmeden kurulan gizli izleme yazılımları doğrudan hukuka aykırı kabul edilir.

2. Kademelilik Esası (Mesajı Okumanın Son Çare Olması):

İşveren bir denetim yapacaksa işe en hafif yöntemden başlamalıdır. Mesajların veya e-postaların içeriğini okumadan önce sadece Trafik/Log kayıtları (mesajın kime gittiği, saati ve bağlantı izleri) incelenmelidir. Log kayıtlarının incelenmesinin yetersiz kaldığı durumlarda ve ancak somut bir şüphe veya zorunluluk (istisnai haller) varsa iletişim “içeriğine” erişilebilir.

3. Özel Mesajlara ve Kişisel Hesaplara Dokunulmazlık:

Sistem üzerinde ağ yöneticisi (admin) olmak, işverene çalışanın kişisel e-posta hesabına, WhatsApp, Telegram gibi anlık mesajlaşma uygulamalarına veya sosyal medya mesaj kutusuna girme hakkı kesinlikle vermez. İş amaçlı kullanımla özel amaçlı kullanımın teknik olarak ayrılabildiği durumlarda, patronun denetimi sadece iş yazışmaları ile sınırlı kalmak zorundadır.

4. Ölçülülük ve Sınırlı Saklama:

Yapılan denetim meşru ve mantıklı bir amaca hizmet etmelidir. Uyuşmazlık, ağ üzerinde basit bir teknik engelleme (filtreleme veya site erişim yasağı) ile çözülebilecekken, doğrudan mesaj okuma gibi ağır yöntemlere başvurulması hukuka aykırıdır. Ayrıca denetim sonucu elde edilen veriler, yalnızca o amacın gerektirdiği kısa bir süre boyunca muhafaza edilebilir.

İşten Ayrılan Çalışanın Kurumsal E-Postası Ne Olacak?

Yeni düzenleme ile işten ayrılış süreçlerindeki belirsizlikler de giderilmiştir. Bir çalışan işten ayrıldığında, kural olarak o kişiye ait kurumsal e-posta hesabı yeni erişimlere tamamen kapatılmalı ve içindeki kişisel veriler imha edilmelidir. Şirket işlerinin aksamaması adına otomatik yanıt (auto-reply) veya gelen mailleri başka bir personele yönlendirme işlemleri yapılacaksa, bu durum yalnızca sınırlı ve makul bir süre için uygulanabilir.

Kurallara Uymayan İşverenleri Neler Bekliyor?

Gizli izleme yapan, çalışanını doğru şekilde aydınlatmayan veya “kademelilik esasına” uymadan doğrudan e-posta ve WhatsApp içeriklerini okuyan veri sorumluları (işverenler) hakkında, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca ciddi idari yaptırımlar (yüksek idari para cezaları) ve hukuki işlemler uygulanacaktır.

Birbilen Hukuk Bürosu Olarak;

Kişisel verilerin korunması ve İş Hukuku, hem işçi hem de işveren açısından çok hassas yasal dengeler üzerine kuruludur. Birbilen Hukuk Bürosu olarak; Antalya, Isparta, Burdur ve çevre illerde faaliyet gösteren şirketlerin KVKK uyum süreçlerinin (aydınlatma metinleri, şirket içi denetim politikaları) güncel yasalara uygun şekilde yapılandırılmasında yardımcı oluyoruz. Aynı zamanda, çalışanların özel hayatın gizliliği kapsamındaki hak ihlallerinden (hukuka aykırı denetim, usulsüz işten çıkarma) doğan iş davalarında şeffaf avukatlık hizmeti sunmaktayız. İşyerindeki veri işleme politikalarınızın kanuna entegrasyonu veya yasal haklarınızı öğrenmek için iletişim kanallarımız üzerinden büromuzla irtibata geçebilirsiniz.

Uyarı: Bu makalede yer alan bilgiler, KVKK’nın yayımladığı güncel ilke kararları ve yürürlükteki mevzuat hükümleri çerçevesinde yalnızca genel bilgilendirme amacı taşımaktadır. Hiçbir şekilde hukuki mütalaa veya danışmanlık niteliğinde değildir. Somut uyuşmazlıklar farklı dinamikler ve detaylar barındırabileceğinden, herhangi bir hukuki işlem başlatmadan veya şirket politikası belirlemeden önce mutlaka uzman bir avukattan profesyonel hukuki destek alınması tavsiye edilir.