İşveren Çalışanın E-postasını ve Bilgisayarını İzleyebilir mi?
İşveren kurumsal e-posta ve iş bilgisayarını izleyebilir mi? Ancak önceden açık bilgilendirme, meşru amaç ve ölçülülük varsa. Aydınlatmasız izleme KVKK ihlalidir.
Kısa cevap: evet, ama koşullu. İşveren, çalışana tahsis ettiği kurumsal e-posta hesabını, iş bilgisayarını ve internet kullanımını belirli sınırlar içinde denetleyebilir. Bu sınırların çekirdeği şudur: denetimin meşru bir amacı olacak, çalışan izlemenin yapılabileceği konusunda önceden açık biçimde bilgilendirilmiş olacak, denetim amaçla sınırlı ve ölçülü kalacak, daha az müdahaleci bir yol varsa önce o denenecek. Bu koşullar sağlanmadan, özellikle de hiç aydınlatma yapılmadan çalışanın yazışmalarını okumak hukuka aykırıdır. Çerçeveyi hem Kişisel Verileri Koruma Kurulu kararları hem de Anayasa Mahkemesi'nin bireysel başvuru kararları birlikte çiziyor.
Önce neden bir KVKK meselesi olduğuna bakalım. Kurumsal e-postadaki yazışmalar, iş bilgisayarındaki dosyalar, tarayıcı geçmişi ve bağlantı kayıtları çalışana ilişkin kişisel veridir; içlerinde özel nitelikli veri de bulunabilir. Bu verileri işleyen işveren, Kanun karşısında veri sorumlusudur. İşyerinde kullanılan bilgisayarın, e-posta hesabının ve internet altyapısının mülkiyeti işverende diye bu ona sınırsız bir gözetleme yetkisi vermez. Anayasa Mahkemesi de tam olarak bunu söylüyor: iletişim araçlarının işverene ait olması, tek başına sınırsız ve mutlak bir denetim yetkisi tanımaz, çünkü çalışanın işyerinde de temel hak ve özgürlüklerine saygı gösterilmesi yönünde haklı bir beklentisi vardır.
İşin kilidi önceden bilgilendirmede. Çalışan, hangi araçların hangi amaçla ve ne ölçüde izlenebileceğini önceden ve açıkça bilmiyorsa, kurumsal e-posta üzerinden zaman zaman özel yazışma yapabileceğini varsayması makul kabul edilir. Yani hiç bilgilendirme yapılmadığında çalışan lehine bir mahremiyet beklentisi doğar; işverenin sonradan bu hesabı açıp okuması bu beklentiyi zedeler. Uygulamada karşılığı nettir: işe girişte imzalanan, e-posta ve bilgisayar kullanımının hangi hallerde denetlenebileceğini açıkça yazan bir kullanım politikası ve buna bağlı bir aydınlatma metni. Kağıt üstündeki 'okudum, anladım' imzası, bir uyuşmazlıkta en çok işe yarayan belgelerden biri olur.
Kurul'un iki kararı bu farkı çok somut gösteriyor. İlki, 25 Kasım 2021 tarihli ve 2021/1187 sayılı karar. Bir işveren, işten ayrılmış eski çalışanının kurumsal e-posta hesabına hiçbir aydınlatma yapmadan erişmişti. Hesapta çalışanın nişanlısıyla özel yazışmaları, banka hesap dökümleri ve harcama kayıtları vardı. Kurul, ilgili kişiye Kanun kapsamında hiçbir aydınlatma yapılmadığı için bu incelemenin 5. maddedeki işleme şartlarından hiçbirine dayanmadığını değerlendirdi ve veri güvenliğine ilişkin 12. maddenin ihlal edildiği gerekçesiyle işverene 250.000 TL idari para cezası verdi.
İkinci karar tam ters yönde sonuçlandı. 19 Ocak 2023 tarihli ve 2023/86 sayılı kararda bir işveren, çalışanlarına tahsis ettiği kurumsal e-postaları denetlemiş ve bir çalışanın şirket ticari sırlarını kişisel e-posta adresine aktardığını, ayrıca bir çalışma arkadaşının izinsiz ses kaydını paylaştığını tespit etmişti. Bu kez çalışanlar, e-posta kullanımının denetlenebileceğini içeren belgeleri imzalamıştı; inceleme tüm yazışmaları taramak yerine somut şüpheye odaklanmıştı ve amaç ticari sırrın korunması ile bir hakkın kullanılmasıydı. Kurul, aydınlatma yükümlülüğünün yerine getirildiğini ve işlemenin ölçülü olduğunu belirterek burada bir hukuka aykırılık görmedi. İki kararı yan yana koyunca fark açık: sonucu belirleyen şey önceden bilgilendirme ve denetimin hedefli, ölçülü olmasıdır.
Anayasa Mahkemesi de aynı mantığı bir ölçüt listesine bağladı. 12 Ocak 2021 tarihli kararında (başvuru numarası 2018/31036) mahkeme, kurumsal e-posta denetiminin hak ihlaline yol açmaması için birkaç ölçütü birlikte aradı. İşverenin denetim için meşru ve haklı bir gerekçesi olmalı. Çalışan, iletişimin izlenebileceği konusunda önceden tam ve açık biçimde bilgilendirilmeli. Müdahale amaca ulaşmaya elverişli olmalı ve daha hafif bir yol varsa ona başvurulmalı. Toplanan veriler yalnızca güdülen amaçla sınırlı işlenmeli. Son olarak işverenle çalışanın çıkarları arasında adil bir denge kurulmalı. Bu ölçütler yeni değil; Avrupa İnsan Hakları Mahkemesi'nin Barbulescu/Romanya kararında (2017) çizdiği çerçeveyle örtüşüyor.
Ölçütlerin içinde çoğu işverenin gözden kaçırdığı bir ayrım saklı: iletişim akışı ile iletişim içeriği aynı şey değildir. Kimin kiminle, ne zaman yazıştığını gösteren trafik bilgisine bakmak görece hafif bir müdahaledir. Yazışmanın içeriğini, yani metnin kendisini okumak çok daha ağırdır ve daha ciddi bir gerekçe ister. Bütün gelen giden e-postaları sürekli ve toptan okumak, ortada belirli bir şüphe yokken herkesin yazışmasını taramak ölçülülükle bağdaşmaz. Denetim somut bir gerekçeye ve mümkün olan en dar kapsama oturmalı.
Bir sınırı özellikle çizmek gerekir: kurumsal hesapla kişisel hesap ayrı şeylerdir. İşveren, çalışanın özel Gmail hesabına, kişisel telefonundaki WhatsApp yazışmalarına ya da şahsi bulut alanına erişemez; bunlar denetim yetkisinin tamamen dışındadır. Kurumsal e-postada bile, işle ilgisi olmayan tümüyle özel bir yazışmayı gereksiz yere okumak riskli bir alandır. Çalışanların kendi cihazlarını işte kullandığı düzenlerde sınır daha da bulanıklaşır; böyle bir durumda hangi verinin işveren tarafından görülebileceğini baştan yazılı olarak belirlemek gerekir.
Aynı ilkeler internet ve bilgisayar denetiminde de geçerli. Hangi sitelere girildiğini gösteren kayıtlar, iş bilgisayarındaki dosyalar, uzaktan ekran görüntüsü alma ya da tuş kaydı (keylogger) gibi yöntemler işveren için caziptir ama en riskli alanı oluşturur. Çalışana haber vermeden kurulan gizli bir izleme yazılımı, önceden bilgilendirme koşulunu baştan çiğnediği için neredeyse her durumda hukuka aykırıdır. Sürekli, kesintisiz ve her şeyi kapsayan bir gözetim de ölçüsüzdür. Denetim bir istisna olarak belirli bir amaç ve süreyle kurgulanmalı; toplanan kayıtlar amaç sona erdiğinde imha edilmelidir.
Peki pratikte ne yapmalı? Önce çalışanların imzaladığı, e-posta, internet ve bilgisayar kullanımının hangi amaçla ve nasıl denetlenebileceğini açıklayan bir kullanım politikası ve aydınlatma metni hazırlayın. Denetim yetkisini belirli kişilerle ve somut şüpheyle sınırlayın, her erişimi kayıt altına alın, işe ilgisiz kişisel yazışmalara dokunmayın. Bir de sık düşülen bir tuzak var: işveren, çalışanı e-postasından çıkan bir delille işten çıkardığında, o delil hukuka aykırı biçimde elde edilmişse iş mahkemesinde dikkate alınmayabilir ve fesih haksız sayılabilir. Usulüne uygun toplanmamış bir kanıt, işvereni hem KVKK hem iş hukuku tarafında iki kez yaralayabilir.
Yanlış yapmanın bedeli çift taraflı. Kişisel verilerin güvenliğine ilişkin 12. madde yükümlülüğünün ihlali, 2026 yılında 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu olabilir. Buna işe iade veya haksız fesih tazminatı riski, çalışanın Kurul'a şikayeti ve verilerin kötüye kullanılması halinde Türk Ceza Kanunu kapsamındaki ceza sorumluluğu eklenebilir. Denetim yapmak yasak değil; usulsüz denetim yapmak pahalı.
İşyerinizde e-posta, internet ya da bilgisayar denetimi yapıyorsanız veya yapmayı düşünüyorsanız, önce zemininizi kontrol etmekte fayda var. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut kullanım politikanızı ve aydınlatma metninizi gözden geçirip denetim uygulamanızın nerede riskli olduğunu birlikte çıkarabiliriz.