Bu yazı genel bilgilendirme amaçlıdır; yayın tarihindeki bilgilere göre hazırlanmıştır, mevzuat değişebilir ve hukuki görüş niteliği taşımaz.
Konunun çerçevesi
Kişisel Verileri Koruma Kurulunun işverenlerin kurumsal e-posta hesaplarını ve diğer iletişim kanallarını denetlemesine ilişkin bir ilke kararı yayımladığı aktarılmaktadır. Kararın tarihi, sayısı ve yayım bilgileri bu yazıda resmî metinle doğrulanamamıştır. Kurul ilke kararları, veri sorumlularına yol gösteren ve Kurulun uygulamada hangi ölçütleri esas alacağını gösteren metinlerdir.
Kararın ayrıntılı hükümleri Resmî Gazete’de ve Kurumun internet sitesinde yer almaktadır. Bu yazıda kararın içeriği yorumlanmamakta; konuyla ilgili olarak 6698 sayılı Kişisel Verilerin Korunması Kanununda yer alan temel ilkeler genel bilgi olarak aktarılmaktadır.
İşyerinde iletişim kayıtları kişisel veri olabilir
6698 sayılı Kanunun 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Çalışanın kurumsal e-posta adresi, gönderdiği ve aldığı iletilerin içeriği, iletişim trafiğine ilişkin kayıtlar ve cihaz kayıtları bu kapsamda kişisel veri niteliği taşıyabilir. Bu verilerin görüntülenmesi, kaydedilmesi, saklanması veya raporlanması Kanun anlamında kişisel verilerin işlenmesidir.
İşveren, kurumsal sistemlerin sahibi olsa da bu sistemler üzerinden işlenen çalışan verileri bakımından veri sorumlusu sıfatını taşıyabilir. Bu durumda Kanunun veri sorumlusuna yüklediği yükümlülükler geçerlidir.
Temel ilkeler: hukuka uygunluk, amaç ve ölçülülük
Kanunun 4. maddesine göre kişisel verilerin işlenmesinde hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve ilgili mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza edilme ilkelerine uyulması zorunludur.
E-posta denetimi bakımından bu ilkeler; denetimin belirli ve meşru bir amaca dayanmasını, amacın gerektirdiğinden daha geniş kapsamlı olmamasını ve daha hafif yöntemlerle aynı amaca ulaşılabiliyorsa bu yöntemlere öncelik verilmesini ifade eder. Ölçülülük değerlendirmesi, her olayın koşullarına göre yapılır.
İşleme şartları
Kanunun 5. maddesine göre kişisel veriler kural olarak ilgili kişinin açık rızasıyla işlenir. Açık rızanın aranmadığı hâller arasında kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olma, bir hakkın tesisi, kullanılması veya korunması için zorunlu olma ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olma sayılmıştır.
Açık rıza, Kanunun 3. maddesinde belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlanmıştır. İş ilişkisinde tarafların eşit konumda olmaması, rızanın özgür iradeyle verilip verilmediği tartışmasını gündeme getirebilir. Bu nedenle denetimin hangi işleme şartına dayandırıldığı ayrıca değerlendirilir.
Aydınlatma ve veri güvenliği
Kanunun 10. maddesine göre veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişilere veri sorumlusunun kimliğini, verilerin hangi amaçla işleneceğini, kimlere ve hangi amaçla aktarılabileceğini, toplamanın yöntemini ve hukuki sebebini ve Kanunun 11. maddesinde sayılan diğer hakları konusunda bilgi vermekle yükümlüdür. Çalışanın, kurumsal iletişiminin hangi amaçlarla ve hangi kapsamda izlenebileceğini önceden bilmesi, aydınlatma yükümlülüğünün parçasıdır.
12. madde uyarınca veri sorumlusu, kişisel verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almak zorundadır. İzleme kayıtlarına kimlerin erişebildiği ve bu erişimin nasıl kayıt altına alındığı bu çerçevede önem taşır.
Hak ihlali ve yaptırımlar
Kanunun 11. maddesi ilgili kişiye, kişisel verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, düzeltme ve silinmesini isteme gibi haklar tanır. Başvuru reddedilirse, verilen cevap yetersiz bulunursa veya süresinde cevap verilmezse 14. madde uyarınca Kurula şikâyette bulunulabilir. Kişilik hakları ihlal edilenlerin genel hükümlere göre tazminat hakkı saklıdır.
Ayrıca Türk Ceza Kanununun 132. maddesi kişiler arasındaki haberleşmenin gizliliğini, 135. ve 136. maddeleri kişisel verilerin hukuka aykırı olarak kaydedilmesini, verilmesini, yayılmasını veya ele geçirilmesini suç olarak düzenler. Bir izleme uygulamasının bu hükümlerle ilişkisi, uygulamanın kapsamına ve hukuka uygunluğuna göre değerlendirilir. Bu yazı genel bilgi niteliğindedir ve ilke kararının hükümlerinin yerine geçmez.
Başvuru yeri
Bilişim ve kişisel veri konularındaki başvuruların çoğu çevrim içi yapılır; yerel bir şube yoktur. Suç duyurusu için adliyelerdeki Cumhuriyet Başsavcılıkları, hukuk yolu için genel yetki kurallarına göre belirlenen mahkemeler görevlidir. Aydın Adliyesi, Efeler'de Köprülü-Veysi Paşa Mahallesi'ndeki Adalet Sarayı'nda hizmet verir; Nazilli ve Söke adliyeleri ile bunlara bağlı ilçe adliyeleri için ilçe–adliye tablosu Aydın'da yargı sayfasındadır.