Özet
Karar ne diyor?
Kurul, işverenlerin çalışanlara verdiği kurumsal e-posta ve iletişim kanallarını denetlemesini kişisel veri işleme faaliyeti sayıyor ve 16 maddelik bir çerçeve çiziyor.
Kapsam yalnızca e-posta değil: kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetimi sistemleri, toplantı platformlarındaki sohbet ve kayıt alanları da denetime konu olabilecek kanallar arasında. Kurul, uyumsuzluk tespitinde 6698 sayılı Kanun md. 18 uyarınca idari işlem tesis edileceğini kararın son maddesinde açıkça yazıyor.
Beş cümlede karar
- 1İçeriğe bakmadan sadece trafik/log kaydını işlemek bile başlı başına kişisel veri işlemedir; Kanun'un 4, 5, 10 ve 12. maddelerine tabidir.
- 2Aracın işverene ait olması sınırsız denetim yetkisi vermez. Anayasa Mahkemesi ve AİHM ölçütleri: önceden açık bilgilendirme, meşru amaç, ölçülülük, daha az müdahaleci yolun önceliği.
- 3Denetim kademelidir: önce teknik önleme, sonra trafik denetimi, içerik ancak istisnai ve somut şüphe hâlinde.
- 4"Kurumsal hesap denetlenebilir" gibi genel bir bildirim aydınlatma sayılmaz. Amaç, kapsam, yöntem, saklama süresi ve haklar somut yazılmalı.
- 5Açık rıza bu denetimin dayanağı olamaz. İş ilişkisindeki bağımlılık nedeniyle dayanak md. 5/2 (ç), (e) ve (f)'dir.
Madde 1-4
Teknik imkân ≠ hukuki yetki
Sunucuya erişebiliyor olmak, çalışanın yazışmalarına hukuken erişebileceğin anlamına gelmez.
- İş amaçlı / özel amaçlı ayrımı denetimin hukuka uygunluğunu belirler. Özel kullanımı yasaklamış, sınırlı serbest bırakmış ya da hiç düzenlememiş olmak üç farklı sonuç doğurur. Düzenlememek işverenin lehine değildir.
- Özel kullanım yasaklanmış olsa bile denetim yetkisi ölçülülükle sınırlıdır. Sürekli ve aralıksız gözetim ölçülü sayılmaz.
- İhlal içerik dışı unsurlardan anlaşılıyorsa (alıcı, konu, ek adı) içeriğe ayrıca bakmak orantısızdır.
- Çalışanın kişisel e-postası, kişisel mesajlaşma uygulaması, sosyal medya mesaj kutusu şirket cihazında bile olsa denetim dışıdır.
Madde 10-13
Kademeli denetim: önce filtre, sonra log, en son içerik
Üç kademe ve her birinin şartı
| Kriter | Kademe | Ne yapılır | Ne zaman meşru |
|---|---|---|---|
| 1 · Teknik önleme | Spam/zararlı yazılım filtresi, ek kısıtı, dış alan adı uyarısı | Her zaman — içerik okunmaz | |
| 2 · Trafik / log | Gönderen, alıcı, tarih, boyut, ek adı | Belirli bir güvenlik olayı veya somut şüphe | |
| 3 · İçerik | Gövde ve ekler | Yalnızca trafik denetimi yetersizse, somut şüpheyle, iddiayla sınırlı |
- Gizli izleme ve çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar hukuka aykırıdır (md. 13).
- İçerik denetiminde ileti gövdesi/eklerinde özel nitelikli veri ve üçüncü kişi (muhatap) verisi riski ayrıca gözetilmelidir (md. 12).
Madde 5-7
Önceden somut aydınlatma
Kurul, "bilgilendirme" ile Kanun md. 10 anlamında "aydınlatma"nın aynı şey olmadığını özellikle vurguluyor.
Md. 6'ya göre aydınlatma metni soyut ve genel bir ifadenin ötesine geçip şunları açık, anlaşılır ve somut biçimde içermeli:
- Kişisel veri işlemenin hukuki sebebi ve amacı
- Denetimin kapsamı: hangi kanallar
- Yöntemi: trafik/log mu, içerik mi
- İçeriğe hangi hallerde erişilebileceği
- Verilerin saklama süresi
- Kanun md. 11 kapsamındaki haklar
Madde 8-9
Açık rıza değil, meşru menfaat
İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanın açık rızası e-posta denetimi için kural olarak öncelikli hukuki dayanak alınmamalıdır. Rızaya dayanılan hâllerde rızanın özgür iradeyle verilip verilmediği ayrıca değerlendirilir. Dayanak Kanun md. 5/2:
Kullanılabilecek işleme şartları
| Kriter | Bent | Şart | Tipik kullanım |
|---|---|---|---|
| (ç) | Veri sorumlusunun hukuki yükümlülüğü | Mevzuattan doğan saklama/raporlama | |
| (e) | Bir hakkın tesisi, kullanılması, korunması | Somut ihlal şüphesi, uyuşmazlıkta savunma | |
| (f) | Meşru menfaat (temel haklara zarar vermemek kaydıyla) | Bilgi güvenliği, veri sızıntısı önleme |
(f) bendi denge testi ister: işverenin menfaati ile çalışanın özel hayat ve haberleşme hürriyeti tartılır, güvenceler yazılır. Md. 9 genel ilkeleri hatırlatıyor: belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü işleme; yalnızca amacın gerektirdiği süreyle saklama.
Madde 14-15
Erişim, saklama ve işten ayrılış
- Erişim yalnızca bu görevle yetkilendirilmiş sınırlı personele; yetki görev tanımıyla belirlenir; erişim kayıtları tutulur; erişenler gizlilik yükümlülüğü altına alınır.
- İş ilişkisi sona erince hesap aktif kullanıma ve yeni erişimlere kapatılır, gelen iletiler ilgisiz kişilerce görüntülenmez, hukuki dayanağı kalmayan veriler imha edilir.
- İş sürekliliği için yönlendirme, otomatik cevap, arşivleme olabilir — ama sınırlı, süreli, erişim yetkisi belirlenmiş ve kayıt altına alınmış olmalı.
Kontrol
16 maddelik denetim kontrolü
Kararın 16 maddesini kendi işyerin için tek tek işaretle. Hepsi yeşilse çerçeve kurulmuş demektir.
Kararın maddeleri × senin durumun
| Kriter | Madde | Beklenen | Durum |
|---|---|---|---|
| 1 | Log denetimi dahi kişisel veri işleme olarak ele alınıyor | kontrol et | |
| 2-3 | İş/özel kullanım kuralı yazılı, açık, çalışana tebliğ edilmiş | ||
| 4 | Kişisel hesaplar/uygulamalar denetim dışı tutuluyor | ||
| 5-7 | Md. 10 unsurlu somut aydınlatma metni var (genel bildirim değil) | ||
| 8 | Dayanak açık rıza değil; 5/2 (ç)/(e)/(f) + denge testi | ||
| 9 | Amaçla sınırlı işleme, amaca bağlı saklama süresi | ||
| 10-11 | Kademelilik; içerik yalnızca somut şüphe + iddiayla sınırlı | ||
| 12 | Özel nitelikli veri ve üçüncü kişi verisi için ek gözetim | ||
| 13 | Gizli izleme yok, her şeyi kaydeden araç yok | ||
| 14 | Sınırlı erişim, erişim logu, gizlilik taahhüdü | ||
| 15 | Ayrılış süreci: hesap kapatma, sınırlı yönlendirme, imha | ||
| 16 | Uyumsuzlukta md. 18 idari işlem — belgeler hazır mı? |
Aksiyon
Bugün ne yapmalı?
- 1Kurumsal İletişim Araçları Kullanım ve Denetim Politikası yaz: özel kullanım rejimi, kademeli denetim, erişim yetkisi, saklama süreleri, ayrılış süreci.
- 2Denetime özel Aydınlatma Metni hazırla: md. 6'daki altı unsuru somut yaz, çalışanlara tebliğ et, tebliği belgele.
- 3Meşru Menfaat Denge Testi (LIA) yap ve yazılı tut: (f) bendine dayanıyorsan testin varlığı sorulur.
- 4İçerik denetimi yapıyorsan DPIA aç; yapmıyorsan politikada "yalnızca trafik/log" diye yaz.
- 5Saklama ve imha politikana trafik/log satırı ekle; işten ayrılan hesapları için takvim kur.