KVKK Kurumsal E-posta Denetimi Kararı: İşletme Ne Yapmalı?

Kurum'un duyurusuna göre ihbar ve şikâyetlerde, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta ve iş iletişim kanallarını denetlemesinin hukuka aykırılık iddialarıyla karşılaştığı görülmüş. Kurul incelemesinde hesapların izlendiği, yazışma içeriklerine erişildiği, trafik ve log kayıtlarının incelendiği, filtreleme ve rutin denetim yapıldığı, verilerin disiplin ve iş sözleşmesini sona erdirme süreçlerinde kullanıldığı tespit edilmiş.

Aynı tespitte, çalışanların bu işlemler hakkında «yeterli, açık ve somut bir şekilde» bilgilendirilmediği de belirtiliyor. Bizim okumamız: karar tek bir olaya değil, yaygın bir uygulamaya bakıyor. Yani sorun denetimin kendisinden çok, çalışanın ne olup bittiğini bilmemesi.

Karar, kurumsal e-posta hesabını yalnızca bir iletişim aracı olarak görmüyor; çalışanın ilişki ağını, çalışma düzenini ve yazışma içeriklerini barındıran bir veri kaynağı sayıyor. Denetimi de işverenin yönetim hakkı ile çalışanın özel hayatın gizliliği, kişisel verilerin korunması ve haberleşme hürriyeti arasında adil denge isteyen bir kişisel veri işleme faaliyeti olarak tanımlıyor.

Bir de teknik ile hukuki erişim ayrımı var. Cihaz ya da ağ üzerinde teknik erişiminizin olması, çalışanın kişisel e-posta, anlık mesajlaşma ve sosyal medya hesaplarındaki içeriğe serbestçe erişme hakkı vermiyor. Bizim okumamız: yönetici panelinin size verdiği yetki, hukukun size verdiği yetkiyle aynı şey değil.

Kurul, önceden bilgilendirmeyi şart koşuyor ve Anayasa Mahkemesi içtihadındaki «bilgilendirme» ile KVKK'daki «aydınlatma» kavramının aynı olmadığını hatırlatıyor. Amaç, kapsam ve yöntemi açık ve somut biçimde veren, usulüne uygun bir aydınlatma bu şartı karşılayabiliyor. «Kurumsal e-posta denetlenebilir» türü genel bir bildirim ise yeterli sayılmıyor.

Duyuruya göre aydınlatmada aşağıdaki başlıklar açık ve somut yazılmalı. İş ilişkisindeki bağımlılık nedeniyle açık rızanın her durumda öncelikli dayanak sayılamayacağı da belirtiliyor; rıza ya da başka bir işleme şartı olsa bile sınırsız denetim yok.

• Hukuki sebep
• Denetimin amacı ve kapsamı
• Denetimin yöntemi
• İçeriğe hangi hâllerde erişilebileceği
• Saklama süresi ve ilgili kişinin hakları

Karara göre iş amaçlı ve özel amaçlı kullanım ayrımı yapılmalı ve özel kullanım kuralları açık, anlaşılır ve bilinebilir olmalı. Özel kullanım yasaklansa bile denetim ölçülülükle sınırlı; ayrımın yapılamadığı hâllerde denetim yetkisi daha dar. İçerik denetimi kural olarak yalnızca somut şüphe ya da belirli bir olayla bağlantılı, meşru ve amaçla sınırlı olmalı; kapsamı belirsiz, genel ve sürekli içerik incelemesinden kaçınılmalı.

Kademeli denetim de bekleniyor: daha az müdahaleci bir yöntem mümkünse ağırına başvurulmamalı. Yazışmalarda özel nitelikli veri ve yazışmanın karşı tarafı olan üçüncü kişilerin verisi bulunabileceği gözetilmeli. Bizim okumamız: «önce kayıtlara, sonra gerekirse içeriğe» gibi bir sıra yazılı olarak tarif edilirse, hem çalışan hem yönetici ne bekleyeceğini bilir.

• Denetimi bir olaya ya da somut şüpheye bağlayın
• Daha az müdahaleci yöntemi önce deneyin
• Verileri gerekli süreden uzun tutmayın
• Erişimi görev ve yetki verilmiş az sayıda kişiyle sınırlayın, erişim kaydı tutun

Kurul, iş ilişkisi bitince hesaba ve verilere ilişkin işlemenin hukuki dayanağının ayrıca değerlendirilmesini istiyor ve iş ilişkisinin sona ermesinin verilerin süresiz erişilebilir olduğu anlamına gelmediğini söylüyor. Bizim okumamız: «ayrıldı, kutu bizde kalsın» yaklaşımı artık savunması zor bir varsayım.

Pratikte Google Workspace, Microsoft 365 ya da cPanel posta kullanan küçük işletme için bu, yazılı bir ayrılma akışı demek. Yönetici panelindeki denetim günlüklerini (audit log), rol tabanlı erişimi ve saklama kurallarını bu akışa bağlayın. E-posta altyapınızı gözden geçirirken rabbitclip'in e-posta DNS denetimi aracı ile alan adınızın posta kayıtlarına da bakabilirsiniz; hizmet seçimi için blogdaki kurumsal e-posta hizmeti seçimi yazısı da yardımcı olur.

• Ayrılan çalışan için hesabın ne olacağını yazılı kurala bağlayın
• Otomatik yanıt ve devir kararını amaçla sınırlı tutun
• Saklama süresini önceden belirleyin ve süre dolunca silin
• Yönetici işlemlerini denetim günlüğünde izleyin

En sık hata, sözleşmeye tek satırlık bir «e-posta denetlenebilir» maddesi koyup işi bitmiş saymaktır; karar bu türden genel bildirimi yeterli görmüyor. İkincisi, rıza imzasını her şeyi kapsayan bir dayanak sanmaktır. Üçüncüsü, süresiz ve genel bir izleme açıp hiç bakmamaktır; saklanan veri de yük olabilir.

Yalnızca sahibinin çalıştığı, çalışanı olmayan bir işletmede bu karar günlük işinizi değiştirmez. Ama bir kişi bile çalıştırıyorsanız bu çerçeve sizin için de geçerli olabilir; kapsamı avukatınız belirler.

• Tek satırlık genel bir denetim maddesiyle yetinmek
• Rızayı sınırsız denetimin dayanağı saymak
• Genel ve sürekli içerik incelemesi kurmak
• Ayrılan çalışanın kutusunu süresiz açık tutmak