Kurumsal e-posta hesaplarının izlenmesi, işverenin yönetim hakkı ile çalışanın özel hayat ve haberleşme özgürlüğü arasındaki en hassas kesişim noktalarından biri olarak öne çıkıyor. Kişisel Verileri Koruma Kurulu'nun 19/01/2023 tarihli ve 2023/86 sayılı kararı ile 25/11/2021 tarihli ve 2021/1187 sayılı kararı, bu alandaki sınırları net biçimde çizdi. İşverenin elindeki teknik yetki ile hukuki yetki aynı şey değildir. Kurul kararları, aydınlatma yükümlülüğü yerine getirilmeden yapılan izlemelerin idari para cezasıyla sonuçlandığını gösteriyor. Konu, hem bilgi güvenliği hem de çalışan mahremiyeti bakımından İK fonksiyonunun doğrudan sorumluluk alanına giriyor.
İşveren E-Posta İzleme Yetkisine Sahip Mi?
İşveren, kendi tahsis ettiği kurumsal e-posta hesaplarını belirli şartlar altında izleyebiliyor; ancak bu yetki sınırsız değil. Kişisel Verileri Koruma Kurulu'nun 2023/86 sayılı kararında, işverenin yönetim hakkı kapsamında kurumsal iletişim araçlarını denetleyebileceği, buna karşılık izlemenin KVKK'nın 4. maddesindeki genel ilkelere ve 5. maddedeki işleme şartlarına uygun yürütülmesi gerektiği vurgulanıyor. Yönetim hakkı tek başına hukuki dayanak oluşturmuyor; ölçülülük, amaçla sınırlılık ve açık rıza ya da meşru menfaat dengelemesi aranıyor. Avrupa İnsan Hakları Mahkemesi'nin Bărbulescu/Romanya kararında ortaya koyduğu ilkeler de Türk hukuk pratiğinde referans kabul ediliyor. Yani teknik olarak erişim mümkün olsa da hukuki uygunluk ayrı bir değerlendirme konusu.
KVKK'ye Göre Önceden Bilgilendirme Gerekliliği
Önceden bilgilendirme, e-posta izlemesinin hukuka uygunluğunun temel şartı olarak kabul ediliyor. KVKK'nın 10. maddesi, veri sorumlusuna aydınlatma yükümlülüğü getiriyor ve bu yükümlülük yerine getirilmeden yapılan izleme Kurul tarafından ihlal sayılıyor. Aydınlatmanın kapsamını güçlendiren diğer unsurlar şöyle sıralanıyor:
- İzlemenin amacı, kapsamı ve hangi veri kategorilerinin işleneceği yazılı biçimde bildiriliyor.
- Bilgilendirme, iş sözleşmesi veya ek protokol ile belgeleniyor ve çalışanın imzası alınıyor.
- Hangi durumlarda inceleme yapılacağı, kimlerin erişim yetkisine sahip olacağı önceden tanımlanıyor.
- Verilerin saklama süresi ve imha prosedürü aydınlatma metninde yer alıyor.
- Çalışanın KVKK 11. madde kapsamındaki hakları açık dille aktarılıyor.
Kurul'un 2021/1187 sayılı kararı, aydınlatma yapılmaksızın eski çalışanın kurumsal e-posta hesabına erişilmesini ihlal olarak değerlendirdi ve veri sorumlusuna idari para cezası uyguladı. Bu karar, bilgilendirmenin yalnızca aktif çalışanlar için değil ayrılma sonrası süreçler için de düzenlenmesi gerektiğini ortaya koydu.
Kurumsal E-Posta ve Kişisel Yazışma Ayrımı
Kurumsal e-posta hesabı, işverenin tahsis ettiği bir araç olsa da içindeki her yazışma otomatik olarak kurumsal nitelik taşımıyor. Kişisel Verileri Koruma Kurulu, kurumsal hesaplar üzerinden gönderilen özel yazışmaların da haberleşme özgürlüğü kapsamında koruma altında olduğunu belirtiyor. Bu nedenle işverenin, hesap üzerindeki her içeriği serbestçe inceleyebileceği varsayımı hukuken karşılık bulmuyor. Pratikte uygulanan çözüm, kurumsal hesapların kişisel yazışmalar için kullanılmaması yönünde yazılı politika oluşturmak ve çalışanı bu konuda bilgilendirmek oluyor. Ayrıca "özel" veya "kişisel" ibaresi taşıyan klasör ve e-postaların, haklı bir sebep ve ölçülü bir prosedür olmaksızın açılmaması bekleniyor. Yargıtay 9. Hukuk Dairesi'nin güncel içtihatları da bu ayrımın gözetilmesini güçlendiriyor.
Elektronik İzleme ve Özel Hayat Sınırları
Elektronik izleme sürecinin özel hayat sınırlarını aşmaması için izlenen yöntem, hem KVKK hem de Anayasa'nın 20. ve 22. maddeleri çerçevesinde yapılandırılıyor.
- Amaç ve hukuki dayanağın belirlenmesi: İzlemenin hangi meşru menfaate dayandığı, hangi riske karşı yürütüldüğü yazılı olarak tanımlanıyor. Genel ve soyut gerekçeler yeterli sayılmıyor.
- Ölçülülük testinin uygulanması: Elde edilmek istenen sonuçla izleme yöntemi arasında orantı aranıyor; daha az müdahaleci bir yol varken içerik incelemesine geçilmiyor.
- Erişim yetkisinin sınırlandırılması: İnceleme yetkisi; bilgi güvenliği, hukuk ve İK gibi tanımlı birimlerle kısıtlanıyor, yetkisiz erişim engelleniyor.
- Kayıt ve belgelendirme: İnceleme tarihi, gerekçesi, incelenen içerik ve karar sürecine ilişkin tutanak hazırlanıyor; süreç denetlenebilir hale getiriliyor.
- İmha ve saklama planı: İzleme sonucunda elde edilen veriler, amaç gerçekleştikten sonra Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun şekilde imha ediliyor.
Hukuka Uygun İzleme Prosedürleri Nelerdir?
Hukuka uygun bir izleme prosedürü üç bileşene dayanıyor: önceden yazılı bilgilendirme, somut ve meşru bir amaç, ölçülü bir uygulama. Kişisel Verileri Koruma Kurulu kararlarında, bu üç unsurdan herhangi birinin eksikliği halinde izlemenin hukuka aykırı sayıldığı görülüyor. Pratik düzeyde süreç; bilgi güvenliği politikası, kabul edilebilir kullanım kuralları, aydınlatma metni ve açık rıza ya da meşru menfaat değerlendirmesi gibi belgelerle destekleniyor. İnceleme yalnızca somut bir şüphe, güvenlik olayı veya hukuki uyuşmazlık durumunda, önceden tanımlı prosedürle başlatılıyor. Çalışanın "özel" olarak işaretlediği içerikler, mümkün olduğunca inceleme dışında tutuluyor ve metadata (gönderen, alıcı, konu, tarih) ile içerik incelemesi arasında kademeli bir yaklaşım benimseniyor.
İzleme Sonuçlarının Hukuki Delil Olarak Kullanımı
İzleme sonucunda elde edilen verilerin yargı önünde delil değeri taşıması, elde ediliş biçiminin hukuka uygunluğuna bağlı olarak değerlendiriliyor. Hukuka aykırı yollarla elde edilen deliller, Anayasa'nın 38. maddesi ve Hukuk Muhakemeleri Kanunu'nun 189/2. maddesi uyarınca mahkemece dikkate alınamıyor. Yargıtay'ın yerleşik içtihatlarına göre, aydınlatma yapılmaksızın veya ölçülülük ilkesine aykırı biçimde yapılan izlemeyle elde edilen e-posta içerikleri, iş akdinin feshine dayanak oluşturulsa dahi geçerli delil kabul edilmiyor. Bu durum, haklı fesih iddialarının geçersiz sayılmasına ve işçi lehine tazminata hükmedilmesine yol açabiliyor. İK ve hukuk ekiplerinin, delil toplama aşamasında prosedüre uyumu baştan sona belgelemesi, hem KVKK uyumu hem de iş hukuku riski bakımından belirleyici oluyor.
Elektronik İzleme ve İşçi Hakları Arasında Denge Nasıl Sağlanır?
Denge; şeffaflık, ölçülülük ve belgelenmiş prosedür üçgeninde kuruluyor. İşverenin bilgi güvenliği ihtiyacı ile çalışanın haberleşme özgürlüğü, karşıt değil tamamlayıcı değerler olarak ele alınıyor.
Avantajları (Artıları)
- Yazılı politika ve aydınlatma, güven ortamını güçlendiriyor ve ileride çıkabilecek uyuşmazlıkların önüne geçiyor.
- Ölçülü izleme, bilgi sızıntısı, dolandırıcılık ve iç tehdit risklerini erken aşamada tespit etmeyi mümkün kılıyor.
- KVKK uyumu sağlanmış süreçler, Kurul denetimlerinde ve mahkeme süreçlerinde veri sorumlusunu koruyor.
Dezavantajları (Eksileri)
- Aşırı veya belirsiz izleme, çalışan bağlılığını zayıflatıyor ve işveren markasına zarar veriyor.
- Prosedürsüz yürütülen incelemeler, Kurul tarafından idari para cezasına ve itibar kaybına neden olabiliyor.
- Teknik altyapı ve belgeleme ihtiyacı, özellikle orta ölçekli işletmeler için ek maliyet ve uzmanlık gerektiriyor.
Yasal Uyarı: Bu içerikte yer alan bilgiler genel bilgilendirme amaçlıdır ve hukuki ya da mali danışmanlık niteliği taşımaz. Mevzuat ve Kurul kararları zaman zaman güncellendiğinden, kendi kurumunuza özel bir uygulama kararı almadan önce güncel mevzuatın ve bir uzman görüşünün dikkate alınması faydalı olacaktır.
