İşveren İşçinin Kurumsal E-Postasını İnceleyebilir mi?

İşveren kurumsal e-posta denetimi yapabilir; ancak kurumsal hesabın işverene ait olması yazışmaların sınırsız biçimde okunabileceği anlamına gelmez. Çalışanın önceden ve açık biçimde bilgilendirilmesi, denetimin belirli bir meşru amaca dayanması, yalnız gerekli veriyle sınırlı tutulması ve aynı amaca daha az müdahaleci bir yöntemle ulaşılıp ulaşılamayacağının değerlendirilmesi gerekir.

Anayasa Mahkemesi ve Kişisel Verileri Koruma Kurulu kararları, her uyuşmazlığın kendi koşulları içinde incelendiğini gösterir. Aynı tür kurumsal e-posta incelemesi; bir olayda açık politika, sınırlı denetim ve somut şüphe nedeniyle hukuka uygun bulunabilirken, başka bir olayda önceden bilgilendirme yapılmaması veya özel yazışmaların gereğinden fazla incelenmesi nedeniyle temel hak ihlaline yol açabilir.

Kurumsal E-Posta İşverene Ait Olduğunda Mahremiyet Biter mi?

Hayır. Hesabın ve teknik altyapının işveren tarafından sağlanması, çalışanın işyerindeki özel hayat ve haberleşme haklarını tamamen ortadan kaldırmaz. Anayasa’nın 20. maddesi kişisel verilerin korunmasını isteme hakkını, 22. maddesi ise haberleşme hürriyetini güvence altına alır. Bu haklar iş ilişkisi devam ederken de korunur.

Bununla birlikte çalışanın kurumsal hesabı kullanırken sahip olduğu mahremiyet beklentisi, hesabın kullanımına ilişkin açık bir işyeri politikası bulunup bulunmadığına göre değişebilir. Hesabın yalnız iş amacıyla kullanılacağı, hangi durumlarda denetlenebileceği, denetimin kapsamı ve olası sonuçları önceden açıkça bildirilmişse çalışanın beklentisi kişisel bir hesaba göre daha sınırlı olabilir. Buna rağmen bilgilendirme, işverene bütün yazışmaları amaçsız biçimde tarama yetkisi vermez.

İşverenin E-Postayı İncelemesi İçin Hangi Şartlar Aranır?

Anayasa Mahkemesinin kurumsal e-posta uyuşmazlıklarında kullandığı ölçütler, denetimin baştan sona gerekçelendirilmesini gerektirir. İnceleme yalnızca “hesap şirkete aittir” düşüncesine dayandırılamaz; amaç, yöntem, kapsam ve sonuç arasında makul bir denge kurulmalıdır.

Çalışanın önceden açıkça bilgilendirilmesi

Çalışana denetim başladıktan sonra bilgi verilmesi yeterli değildir. E-posta hesabının kullanım sınırları, işverenin hangi koşullarda inceleme yapabileceği, hangi verilerin işlenebileceği, verilerin ne kadar süre saklanacağı ve kimlerle paylaşılabileceği önceden anlaşılır bir dille açıklanmalıdır. Aydınlatmanın genel bir “şirket kaynakları denetlenebilir” cümlesinden ibaret kalması, kapsamın öngörülebilirliği bakımından yetersiz olabilir.

Belirli ve meşru bir amacın bulunması

Bilgi güvenliğinin korunması, ticari sırların yetkisiz paylaşımının araştırılması, işin sürekliliğinin sağlanması veya somut bir disiplin iddiasının incelenmesi meşru amaç oluşturabilir. Buna karşılık çalışanların tüm yazışmalarını rutin biçimde merak amacıyla okumak ya da ilgisiz özel bilgileri toplamak meşru amaçla açıklanamaz. İşveren, denetimin hangi somut ihtiyaç nedeniyle başlatıldığını gösterebilmelidir.

Denetimin gerekli ve ölçülü olması

Meşru bir amaç bulunsa bile seçilen yöntem zorunlu ve orantılı olmalıdır. Örneğin amaç belirli bir dosyanın şirket dışına gönderilip gönderilmediğini anlamaksa, önce gönderici, alıcı, tarih, konu veya ek dosya kaydı gibi daha sınırlı veriler incelenebilir. Doğrudan tüm e-posta içeriklerinin ve yıllara yayılan özel yazışmaların okunması, daha dar bir yöntem yeterliyse ölçülülük sorununa yol açabilir.

Verinin amaçla sınırlı tutulması

İnceleme sırasında uyuşmazlıkla ilgisi olmayan sağlık bilgileri, aile hayatına ilişkin yazışmalar, banka kayıtları veya üçüncü kişilere ait verilerle karşılaşılabilir. Bu bilgilerin soruşturma dosyasına eklenmesi, kurum içinde yayılması veya başka amaçlarla saklanması ayrıca kişisel veri ihlali doğurabilir. İşveren yalnızca araştırılan olayla bağlantılı veriyi işlemeli, ilgisiz içeriğe erişimi sınırlandırmalıdır.

İş Sözleşmesindeki Denetim Maddesi Tek Başına Yeterli midir?

İş sözleşmesi, bilgi güvenliği politikası veya çalışan el kitabındaki açık kurallar önemli bir başlangıçtır; fakat her denetimi otomatik olarak hukuka uygun hâle getirmez. Sözleşmede çok geniş bir yetki yazılmış olsa bile somut incelemenin gerekliliği ve ölçülülüğü ayrıca değerlendirilir. Politikanın çalışana gerçekten bildirildiği ve erişilebilir tutulduğu da ispatlanabilmelidir.

Anayasa Mahkemesinin Celal Oraj Altunörgü kararında; kurumsal e-postanın yalnız iş amacıyla kullanılacağı, hesabın denetlenebileceği ve kullanım kurallarına aykırılığın sonuçlarının iş sözleşmesinde düzenlenmiş olması önem taşımıştır. Mahkeme somut olayın koşullarında ihlal bulunmadığı sonucuna varmıştır. Bu karar, açık politikanın etkisini gösterse de işverene her durumda sınırsız inceleme yetkisi tanındığı şeklinde yorumlanamaz.

Önceden Bilgilendirme Yapılmadan E-Posta İncelenirse Ne Olur?

Anayasa Mahkemesinin E.Ü. kararında, çalışana kurumsal e-postanın izlenebileceğine ilişkin açık bir bildirim yapılmadığı ve incelemenin zorunluluğu ile kapsamının yeterince ortaya konulmadığı değerlendirilmiştir. E-posta içeriklerinin fesih gerekçesi yapılması sonucunda kişisel verilerin korunmasını isteme hakkı ile haberleşme hürriyetinin ihlal edildiğine karar verilmiştir.

Kişisel Verileri Koruma Kurulunun 2021/1187 sayılı karar özeti de eski çalışanın kurumsal e-posta hesabına aydınlatma yapılmaksızın erişilmesini ele alır. Kurul, hesabın iş amacıyla tahsis edilmiş olmasının aydınlatma yükümlülüğünü ortadan kaldırmadığını vurgular. Bu nedenle işverenin teknik olarak hesaba erişebiliyor olması, erişimin hukuken her koşulda serbest olduğu anlamına gelmez.

E-Posta İncelemesi Fesih Sebebi Olabilir mi?

İncelemede elde edilen bulgunun iş ilişkisiyle bağlantısı, davranışın ağırlığı, işyerine etkisi ve feshin son çare olup olmadığı birlikte değerlendirilir. Ticari sırrın dışarı aktarılması, işveren verisinin yetkisiz kişilere gönderilmesi veya açık işyeri kurallarına rağmen kurumsal hesabın ciddi biçimde kötüye kullanılması fesih tartışmasını gündeme getirebilir. Buna karşılık özel nitelikteki ilgisiz bir yazışma, özellikle hukuka aykırı ve ölçüsüz bir incelemeyle elde edilmişse tek başına güvenli bir fesih dayanağı oluşturmayabilir.

Fesih işleminin geçerli veya haklı nedene dayanıp dayanmadığı; iş sözleşmesi, işyeri politikası, çalışanın görevi, savunmasının alınıp alınmadığı, incelemenin yöntemi ve elde edilen verinin güvenilirliği üzerinden değerlendirilir. Çalışanın davranışı ile uygulanan yaptırım arasında orantı bulunması gerekir.

Kurumsal E-Posta Yazışmaları Davada Delil Olur mu?

Elektronik yazışmalar uyuşmazlık konusu olayı açıklamaya elverişli olduğunda belge olarak sunulabilir. Ancak bir verinin teknik olarak mevcut olması ile hukuka uygun delil sayılması aynı değildir. Hukuk Muhakemeleri Kanunu’nun 189. maddesi uyarınca hukuka aykırı elde edilmiş deliller mahkeme tarafından dikkate alınamaz; 199. maddesi ise elektronik ortamdaki verilerin belge niteliği taşıyabileceğini düzenler.

Yazışmanın bütünlüğü, hesabın kime ait olduğu, mesajın bağlamı, elde edilme yöntemi ve başka delillerle doğrulanıp doğrulanmadığı önemlidir. Bu konu, WhatsApp yazışmalarının iş davasındaki delil değeri ile benzer ilkeler taşısa da kurumsal hesabın işveren politikalarına tabi olması nedeniyle ayrı değerlendirilmelidir.

İşveren İçin Uyumlu E-Posta Politikası Nasıl Hazırlanır?

Sağlıklı bir politika yalnız yasakları sıralamaz; çalışan bakımından öngörülebilir, işveren bakımından uygulanabilir bir denetim çerçevesi kurar. Politika ile fiili uygulama çelişmemeli, çalışanlar metne sonradan da erişebilmelidir.

• Kurumsal hesabın hangi amaçlarla kullanılabileceğini açıkça belirtin.
• Denetimin hangi olaylarda ve kimlerin yetkisiyle yapılacağını tanımlayın.
• İçerik incelemesinden önce kullanılabilecek daha az müdahaleci yöntemleri belirleyin.
• Erişim, kayıt, saklama ve silme sürelerini veri kategorisine göre sınırlayın.
• İnceleme kayıtlarını yalnız yetkili kişilerle paylaşın ve erişim izi tutun.
• Üçüncü kişilere ve özel nitelikli verilere ilişkin ilgisiz içeriği ayıklayın.
• Çalışanın savunma ve başvuru yollarını politika içinde gösterin.

Kamera, konum, biyometrik sistem ve diğer işyeri gözetim araçları için benzer ölçülülük ilkeleri geçerlidir. Daha geniş çerçeve için işyerinde izleme sistemlerinin hukuka uygunluğu başlıklı içerik incelenebilir.

Çalışan E-Postasının İncelendiğini Öğrenirse Ne Yapabilir?

Çalışan öncelikle hangi verilerin, hangi amaçla, hangi hukuki sebebe dayanılarak ve kimlerle paylaşılmak üzere işlendiğini yazılı olarak sorabilir. KVKK’nın 11. maddesindeki haklar kapsamında verilerin işlenip işlenmediğini öğrenme, bilgi talep etme, yanlış verinin düzeltilmesini ve şartları varsa silinmesini isteme imkânları bulunur. Veri sorumlusuna başvuru ve Kurula şikâyet yollarının süreleri somut olaya göre dikkatle takip edilmelidir.

E-posta incelemesi bir disiplin yaptırımı veya fesih işleminde kullanılmışsa; bildirim metni, işyeri politikası, savunma istemi, fesih bildirimi ve yazışmanın nasıl elde edildiğine ilişkin kayıtlar birlikte saklanmalıdır. Çalışan verilerinin hukuka aykırı işlenmesinin farklı sorumluluk türleri için işverenin idari ve cezai sorumluluğu yazısı ayrıca değerlendirilebilir.

Sonuç

İşveren kurumsal e-posta denetimi yaparken teknik erişim imkânına değil, hukuki sınırları karşılayan açık bir sürece dayanmalıdır. Önceden bilgilendirme, belirli meşru amaç, gereklilik, ölçülülük ve veri güvenliği birbirinden bağımsız kutular değil; denetimin bütününü oluşturan şartlardır.

Aynı uygulamanın hukuki sonucu işyeri politikasının içeriğine, çalışanın görevine, incelenen verinin niteliğine, denetimin kapsamına ve verinin nasıl kullanıldığına göre değişebilir. Bu nedenle işveren açısından politika hazırlama aşamasında, çalışan açısından ise bir inceleme veya fesih sonrasında somut belgeler üzerinden hukuki değerlendirme yapılması gerekir.

Sıkça Sorulan Sorular

Kurumsal e-posta denetiminde en sık sorulan sorular, hesabın mülkiyetinden çok çalışanın bilgilendirilmesi ve incelemenin kapsamıyla ilgilidir.

İşveren kurumsal e-postadaki bütün mesajları okuyabilir mi?

Hayır. Hesabın kurumsal olması sınırsız inceleme yetkisi vermez. Denetim önceden bildirilen, belirli ve meşru amaçla bağlantılı, gerekli ve ölçülü bir kapsamda yürütülmelidir.

Çalışanın açık rızası olmadan e-posta denetlenebilir mi?

Açık rıza her veri işleme faaliyeti için tek hukuki dayanak değildir. Somut olaya göre kanundaki başka bir işleme şartı uygulanabilir; ancak aydınlatma, genel ilkeler, ölçülülük ve veri güvenliği yükümlülükleri devam eder.

Kurumsal e-postada kişisel yazışma yapılması yasaklanabilir mi?

İşveren hesabın yalnız iş amacıyla kullanılacağını açık bir politikayla düzenleyebilir. Yasağın varlığı denetimin yine de sınırsız yapılabileceği anlamına gelmez; yöntem ve kapsam somut amaçla orantılı olmalıdır.

E-posta yazışması işe iade davasında kullanılabilir mi?

Uyuşmazlıkla ilgili ve hukuka uygun elde edilmiş yazışmalar belge olarak değerlendirilebilir. Elde etme yöntemi, bütünlük, bağlam ve feshin ölçülülüğü mahkeme tarafından diğer delillerle birlikte incelenir.

İşten ayrılan çalışanın e-posta hesabı açık tutulabilir mi?

İşin devamlılığı için belirli bir süre yönlendirme veya sınırlı erişim gerekebilir; ancak amaç, yetki, saklama süresi ve çalışan ile üçüncü kişilerin bilgilendirilmesi açıkça düzenlenmelidir. Hesabın belirsiz süreyle ve kapsamı açıklanmadan izlenmesi risk doğurur.

Kaynakça

• Anayasa Mahkemesi, E.Ü., B. No: 2016/13010, 17.09.2020
• Anayasa Mahkemesi, Celal Oraj Altunörgü, B. No: 2018/31036, 12.01.2021
• Kişisel Verileri Koruma Kurulu, 25.11.2021 tarihli ve 2021/1187 sayılı Karar Özeti
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, özellikle m. 4, 5, 10, 11 ve 12
• 6100 sayılı Hukuk Muhakemeleri Kanunu, m. 189 ve m. 199

Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. İş sözleşmesi, işyeri politikası, veri işleme yöntemi ve somut olayın özellikleri sonucu değiştirebilir; içerik hukuki görüş veya vekâlet ilişkisi oluşturmaz.