Решение KVKK о корпоративной почте: что делать работодателю

Согласно сообщению ведомства, жалобы и обращения показали, что контроль работодателей за корпоративной почтой и рабочими каналами связи сталкивается с утверждениями о неправомерности. В ходе рассмотрения коллегия установила, что за аккаунтами наблюдали, к содержимому переписки получали доступ, журналы трафика и событий изучали, применяли фильтрацию и регулярные проверки, а данные использовали в дисциплинарных процедурах и при расторжении трудовых договоров.

В том же выводе добавлено, что сотрудников не уведомляли об этом в достаточной, ясной и конкретной форме. Наше прочтение: решение касается широко распространённой практики, а не отдельного случая. Проблема не столько в самом контроле, сколько в том, что сотрудник не знает, что происходит с его перепиской и кто может её увидеть.

Решение видит в корпоративном почтовом аккаунте не только средство связи. Оно считает его источником данных, в котором хранятся круг общения сотрудника, его рабочий распорядок и содержание переписки. Контроль в решении описан как обработка персональных данных, которая требует справедливого баланса между правом работодателя управлять и неприкосновенностью частной жизни, защитой данных и свободой связи сотрудника.

Есть и различие между техническим и правовым доступом. Технический доступ к устройству или сети сам по себе не даёт права свободно заходить в личную почту, мессенджеры и аккаунты сотрудника в социальных сетях. Наше прочтение: то, что технически позволяет вам панель администратора, не то же самое, что позволяет вам закон.

Коллегия делает предварительное информирование обязательным и напоминает, что понятие информирования в практике Конституционного суда не совпадает с уведомлением (aydınlatma) по закону KVKK. Надлежащим образом составленное уведомление, которое ясно и конкретно называет цель, объём и способ контроля, может удовлетворить это требование. Общая формулировка вроде «корпоративная почта может проверяться» достаточной не считается.

Согласно сообщению, в уведомлении должны быть ясно и конкретно указаны следующие пункты. Отмечено также, что из-за зависимого положения в трудовых отношениях явное согласие нельзя считать приоритетным основанием во всех случаях; даже при наличии согласия или иного условия обработки неограниченного контроля не существует.

• Правовое основание
• Цель и объём контроля
• Способ контроля
• В каких случаях возможен доступ к содержимому
• Срок хранения и права субъекта данных

Согласно решению, нужно различать рабочее и личное использование ящика, а правила личного использования должны быть ясными, понятными и заранее известными сотрудникам. Даже если личное использование запрещено, контроль ограничен принципом соразмерности; там, где разграничить их нельзя, полномочия по контролю уже. Чтение содержимого, как правило, должно быть связано с конкретным подозрением или определённым инцидентом, преследовать законную цель и ограничиваться ею; общей, постоянной и ничем не ограниченной проверки содержимого следует избегать.

Ожидается и поэтапный подход: если возможен менее вмешивающийся способ, к более тяжёлому прибегать не следует, пока лёгкий не исчерпан. Нужно помнить, что в сообщениях могут оказаться данные особых категорий, а также данные третьих лиц, то есть людей на другой стороне переписки, которые с работодателем никак не связаны. Наше прочтение: если порядок вроде «сначала журналы, потом при необходимости содержимое» записан письменно, и сотрудник, и руководитель заранее знают, чего ожидать, и спорных ситуаций становится меньше.

• Привязывайте контроль к инциденту или конкретному подозрению
• Сначала пробуйте менее вмешивающийся способ
• Не храните данные дольше необходимого
• Ограничьте доступ небольшим числом людей с назначенными обязанностями и ведите журнал доступа

Коллегия требует заново оценивать правовое основание для обработки аккаунта и его данных после окончания трудовых отношений и говорит, что окончание отношений не означает, что данные остаются доступными бессрочно. Наше прочтение: привычка думать «человек ушёл, значит ящик остаётся у нас» теперь превратилась в предположение, которое трудно защитить перед проверяющими.

На практике для небольшой компании, которая пользуется Google Workspace, Microsoft 365 или почтой cPanel, это означает письменный порядок увольнения. Привяжите к этому порядку журналы аудита панели администратора, ролевой доступ и правила хранения, чтобы каждое действие с чужим ящиком можно было проследить. Когда вы пересматриваете свою почтовую инфраструктуру, наш инструмент проверки DNS почты может заодно посмотреть почтовые записи вашего домена, а наша статья в блоге о выборе сервиса корпоративной почты поможет с выбором поставщика.

• Закрепите письменным правилом, что будет с аккаунтом уходящего сотрудника
• Ограничьте автоответ и пересылку их целью
• Заранее определите срок хранения и удаляйте по его истечении
• Отслеживайте действия администраторов в журнале аудита

Самая частая ошибка: добавить в договор строку «почта может проверяться» и считать вопрос закрытым; решение такое общее уведомление не признаёт. Вторая: считать подписанное сотрудником согласие основанием, которое покрывает вообще всё. Третья: включить широкое постоянное журналирование и ни разу в него не заглядывать; хранимые без всякой нужды данные сами могут стать обузой для компании.

В бизнесе, которым занимается один владелец и где нет сотрудников, это решение не меняет вашу повседневную работу. Но если вы нанимаете хотя бы одного человека, эти рамки могут касаться и вас; где именно проходят их границы, определит ваш юрист.

• Ограничиться общей строкой о контроле в одну строку
• Считать согласие основанием для неограниченного контроля
• Устраивать общую и постоянную проверку содержимого
• Держать ящик уволившегося сотрудника открытым бессрочно