İşveren E-postamı Okuyabilir mi? Çalışan İzleme ve Kişisel Veri
- Denetim için önceden açık bilgilendirme şarttır: iletişimin izlenebileceği ve denetlenebileceği bildirilmelidir.
- Bilgilendirme; hukuki dayanak, amaç, verilerin kapsamı, saklama süresi, veri sahibinin hakları, işlemenin sonuçları ve muhtemel yararlanıcıları göstermelidir.
- Zorunluluk aranır: aynı amaca daha hafif araçlarla ulaşılabiliyorsa içerik incelenemez.
- Denetim, dayanak gösterilen iddialarla sınırlı olmalıdır; kapsamı belirsiz erişim ihlal doğurur.
- Mümkünse trafik bilgisiyle yetinilmeli; içeriğe ancak zorunluysa girilmelidir.
- Anayasal dayanak: Anayasa m.20 (kişisel verilerin korunması) ve m.22 (haberleşme hürriyeti).
- Hukuka aykırı erişim, feshi her hâlde geçersiz kılmaz; fesih bağımsız delillere dayanıyorsa geçerli sayılabilir.
Kurumsal e-posta işverenin, ama içindeki yazışma çalışanın.
Bu gerilim, Anayasa Mahkemesi kararlarıyla belirli ölçütlere bağlandı.
Eski yaklaşım
Önceki dönemde Yargıtay, işverenin kendisine ait bilgisayar ve e-posta adresleri ile bu adreslere gelen e-postaları her zaman denetleme yetkisi bulunduğunu kabul ediyordu; işçinin özel işleri için işverenin izni olmadan bilgisayarı kullanması da kabul edilemez sayılıyordu.
Yeni ölçüt: dört basamaklı test
| Basamak | Aranan |
|---|---|
| 1 · Bilgilendirme | İletişimin izlenebileceği önceden açıkça bildirilmeli |
| 2 · İçerik | Bilgilendirme dayanak, amaç, kapsam, süre, haklar, sonuçlar ve yararlanıcıları göstermeli |
| 3 · Zorunluluk | Daha hafif araçlar varsa içeriğe girilmemeli |
| 4 · Sınırlılık | Denetim iddialarla sınırlı olmalı; belirsiz erişim yasak |
Anayasa Mahkemesi kararlarında sayılan daha hafif araçlar şunlardır: tarafların şikâyet ve savunmalarının analizi, tanıkların dinlenilmesi, işyeri kayıtları ile yürütülen projelerin süreç ve sonuçlarının incelenmesi. İşveren, bunlar mevcutken niçin e-posta içeriklerinin incelenmesinin zorunlu ve gerekli görüldüğünü açıkça ortaya koymalıdır.
Trafik bilgisi / içerik ayrımı
Anayasa Mahkemesi, çalışanın e-postaları bakımından trafik bilgisiyle yetinilmeyip içeriklerine kapsamı belirsiz olacak şekilde erişilmesini ve bunların feshe dayanak yapılmasını, Anayasa m.20‘deki kişisel verilerin korunmasını isteme hakkı ile m.22‘deki haberleşme hürriyetinin ihlali saymıştır.
İhlal = otomatik işe iade değil
Kişisel veri ihlalinin tespiti, feshi kendiliğinden geçersiz kılmaz. E-posta içerikleri değerlendirme dışı bırakıldıktan sonra dahi fesih, şikâyet dilekçeleri, tanık beyanları ve işyeri kayıtları gibi bağımsız delillerle geçerli sebebe dayanıyorsa dava reddedilebilir.
Diğer yüz: verinin dışarı çıkarılması
Çalışanın müşteri kimlik, adres, telefon ve birikim bilgileri gibi sır niteliğindeki listeleri kişisel e-posta adresine göndererek şirket dışına çıkarması, doğruluk ve bağlılığa uygun olmayan davranış sayılır ve 4857 sayılı Kanun m.25/II-e uyarınca haklı fesih sebebi oluşturur.
Ne yapmalı?
- İşveren: yazılı ve imzalı bir izleme/aydınlatma politikası oluşturun.
- Politikada kapsam, amaç, saklama süresi ve haklar ayrıntılı gösterilsin.
- Denetimden önce daha hafif araçları tüketip bunu tutanağa geçirin.
- Erişimi somut iddiayla sınırlı tutun; tarih ve anahtar kelime aralığı belirleyin.
- Çalışan: bilgilendirme yapılıp yapılmadığını ve belgesini sorun.
- Feshin yalnızca e-posta içeriğine mi dayandığını netleştirin.
- Şirket verisini kişisel hesabınıza göndermeyin; bu ayrı bir haklı fesih sebebidir.
- Yargıtay 9. Hukuk Dairesi, E.2023/3541, K.2023/5287, 11.04.2023 İhlal kararı sonrası yeniden yargılama: ölçütler ve sonuç. Avukat olan davacının iş sözleşmesi, ekip içi tartışma nedeniyle başlatılan incelemede e-posta yazışmalarına girilerek elde edilen içerikler gerekçe gösterilerek feshedilmişti. Anayasa Mahkemesinin 17.09.2020 tarihli, 2016/13010 başvuru numaralı kararıyla Anayasa m.20 ve m.22‘nin ihlal edildiğine karar verildi. Kararda ölçütler tek tek sayılır: işverenin kurumsal e-postayı inceleme yetkisi ile kapsamını gösteren bir bildirim yapıldığına dair belge sunulmadığı; kişisel verilerin işlenmesinin hukuki dayanağı ve amaçları, işlenecek verilerin kapsamı, saklama süresi, veri sahibinin hakları, işlemenin sonuçları ve muhtemel yararlanıcılarını gösterir bir bilgilendirme yapıldığının ortaya konulamadığı; içeriğe erişimi zorunlu kılan bir durumun açıklanmadığı — oysa “tarafların şikâyet ve savunmalarının analizi, tanıkların dinlenilmesi, işyeri kayıtları ile yürütülen projelerin süreç ve sonuçlarının incelenmesi gibi araçlar da mevcut”tu; ayrıca iddialarla sınırlı bir denetim yapılmayarak konuyla ilgili olup olmadığı belirsiz içeriklere de erişildiği ve trafik bilgisiyle yetinilmediği. Yeniden yargılamada mahkeme, ihlale konu e-posta içeriklerini değerlendirme dışı bırakarak, işyeri çalışanlarının şikâyeti üzerine başlatılan inceleme ve tartışmanın işyeri huzurunu bozması nedeniyle feshi geçerli sebebe dayalı saydı; Daire bu kararı oybirliğiyle onadı.
- Yargıtay 22. Hukuk Dairesi, E.2013/36288, K.2015/9548, 10.03.2015 Önceki dönemin yaklaşımı: geniş denetim yetkisi. Davacının görevi gereği işverenin işlerini yürütmesi için kendisine verilen bilgisayar üzerinde şirketin inceleme yaptırdığı olayda Daire, o dönemki çizgiyi şöyle ifade etti: “İşverenin kendisine ait bilgisayar ve e-posta adresleri ile bu adreslere gelen e-postaları her zaman denetleme yetkisi bulunmaktadır.” Daire ayrıca “davacı işçinin özel işleri için işverenin izni olmadan bilgisayarı kullanması kabul edilemez” diyerek işverenin bilgisayarı incelettirmesinde hukuka aykırılık bulunmadığı sonucuna vardı. Kararda dosyayla ilgili ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi veya belgeleri açıklamak suçundan açılmış derdest bir kamu davası bulunduğu da belirtilmiştir. Daire, fesih sebeplerinin yerindeliği konusunda haksız rekabet ve bilgi işlem alanında uzman bilirkişilerden rapor alınması gerektiğini belirterek eksik incelemeyle karar verilmesini bozma sebebi saydı.
- Yargıtay 22. Hukuk Dairesi, E.2017/18697, K.2018/26204, 04.12.2018 Veriyi kişisel hesaba göndermek haklı fesih sebebidir. Davacının kurumsal e-posta adresinden kişisel e-posta adresine, içinde müşteri bilgilerinin yer aldığı dosyayı gönderdiği tespit edilmişti. Savunmasında davacı, şirkete zarar veya haksız rekabet amacı gütmediğini, bilgileri diyalog içinde olduğu müşterileriyle teması korumak amacıyla gönderdiğini ve sonradan sildiğini belirtmişti. İşveren disiplin kurulu, davacının müşterilerin kimlik, adres, telefon, birikim tutarı ve benzeri sır niteliğindeki bilgilerini içeren listeleri kendi kişisel e-posta adresine göndererek şirket dışına çıkardığı gerekçesiyle tazminatsız çıkarma yaptırımı uyguladı. Daire, delil durumuna göre davacının “doğruluk ve bağlılığa uygun olmayan davranışta bulunduğu” sonucuna vararak 4857 sayılı Kanun m.25/II-e uyarınca işveren feshinin haklı sebebe dayandığını kabul etti. Karar ayrıca, işçinin önceden verdiği önelli fesih bildirimi sırasında ihbar öneli içinde tarafların hak ve yükümlülüklerinin devam ettiğini vurgular.
- Yargıtay 9. Hukuk Dairesi, E.2018/4159, K.2020/19615, 22.12.2020 Bilgi güvenliği cezai şartı tek taraflı sayılmaz. Teknoloji firması olan işveren, işçinin işyerinden ayrılmasından kısa süre önce cep telefonuna elli civarında gizli belge indirdiğini ve bilgi güvenliği politikasına aykırı davranarak sır saklama yükümlülüğünü ihlal ettiğini ileri sürerek sözleşmedeki cezai şartın tahsilini istemişti; işçi belgeleri indirdiğini kabul etmiş, ancak şirket sınavlarına girebilmek için kaydettiğini ve ayrılmadan önce sildiğini savunmuştu. Yerel mahkeme cezai şartı TBK m.420 uyarınca sadece işçi aleyhine olduğu için geçersiz saymıştı. Daire bunu kabul etmedi: sözleşmenin ilgili maddesi gizlilik ve bilgi güvenliği yükümlülüklerinin ihlaline bağlı cezai şart öngörmektedir ve “bu durumda cezai şartın iki taraflı olmadığından bahisle geçersizliğinden sözedilemez. Zira cezai şartın karşılığı işçinin öngörülen yükümlülüklere aykırı davranması olup Mahkemece salt TBK’nun 420. maddesine dayalı olarak davanın reddi hatalıdır.” Kararda ayrıca, işçiye imzalatılmış bilgi sistemi güvenlik kurallarında şirket gizli bilgilerinin kişisel mail kutularına gönderilmesinin ve USB, kızılötesi, bluetooth gibi bağlantılarla aktarılmasının yazılı izne bağlandığı aktarılmıştır.
İşveren kurumsal e-postamı okuyabilir mi?
Koşullara bağlıdır. Anayasa Mahkemesi kararlarında aranan ölçütler şunlardır: iletişimin izlenebileceği ve denetlenebileceği yönünde önceden açık bilgilendirme yapılmış olması; bu bilgilendirmenin hukuki dayanak, amaç, kapsam, saklama süresi, haklar, sonuçlar ve muhtemel yararlanıcıları göstermesi; içeriğe erişimin zorunlu olması; ve denetimin dayanak iddialarla sınırlı tutulması. Bunlar sağlanmazsa erişim hukuka aykırı olur.
Bilgilendirme yapılmamışsa fesih geçersiz mi olur?
Otomatik olarak değil. İhlalin tespiti, e-posta içeriklerinin delil olarak kullanılamaması sonucunu doğurur; ancak fesih başka delillere dayanıyorsa geçerli sayılabilir. Nitekim bir dosyada yeniden yargılamada mahkeme, ihlale konu e-posta içeriklerini değerlendirme dışı bırakarak feshi şikâyet dilekçeleri ve tanık beyanlarına dayalı geçerli sebep saymış; Yargıtay bu kararı onamıştır.
İşveren neden önce daha hafif araçları denemeli?
Çünkü ölçülülük aranır. Anayasa Mahkemesi, aynı amaca ulaşılabilmesi bakımından tarafların şikâyet ve savunmalarının analizi, tanıkların dinlenilmesi, işyeri kayıtları ile yürütülen projelerin süreç ve sonuçlarının incelenmesi gibi araçlar mevcutken, niçin e-posta içeriklerinin incelenmesinin zorunlu ve gerekli görüldüğünün işveren tarafından açıkça ortaya konulamamasını ihlal gerekçeleri arasında saymıştır.
Trafik bilgisi ile içerik arasında fark var mı?
Evet, belirleyici bir fark vardır. Anayasa Mahkemesi, çalışanın e-postaları bakımından trafik bilgisiyle yetinilmediği gibi içeriklerine de kapsamı belirsiz olacak şekilde erişildiği ve bunların kullanıldığı gerekçesini ihlal kararına dayanak yapmıştır. Bu nedenle işverenin önce kim ile ne zaman yazışıldığı gibi trafik verisiyle yetinip yetinemeyeceğini değerlendirmesi gerekir.
Şirket verisini kendi e-postama göndersem ne olur?
Haklı fesih sebebi olabilir. Yargıtay, müşterilerin kimlik, adres, telefon ve birikim tutarı gibi sır niteliğindeki bilgilerini içeren listeleri kendi kişisel e-posta adresine göndererek şirket dışına çıkaran işçinin doğruluk ve bağlılığa uygun olmayan davranışta bulunduğunu ve 4857 sayılı Kanun m.25/II-e uyarınca işveren feshinin haklı sebebe dayandığını kabul etmiştir. Sonradan silinmiş olması sonucu değiştirmemiştir.
Gizlilik ihlaline bağlanan cezai şart geçerli mi?
Evet. Yargıtay, sözleşmenin gizlilik ve bilgi güvenliği yükümlülüklerinin ihlaline bağlı cezai şart öngördüğü bir olayda, cezai şartın karşılığının işçinin öngörülen yükümlülüklere aykırı davranması olduğunu belirterek, salt TBK m.420’ye dayanılarak tek taraflılık gerekçesiyle davanın reddedilmesini hatalı bulmuştur. Bu nedenle bilgi güvenliği kurallarının işçiye imzalatılmış olması önem taşır.
İşveren bilgisayarımı inceletebilir mi?
İşin görülmesi için verilen cihazlar bakımından denetim yetkisi kabul edilmektedir; nitekim Yargıtay, işverenin kendisine ait bilgisayar ve e-posta adreslerini denetleme yetkisi bulunduğunu belirtmiştir. Ancak bu yetkinin kullanımı, kişisel verilerin korunmasına ilişkin ölçütlerle sınırlanmıştır: bilgilendirme, zorunluluk ve sınırlılık şartları burada da aranır. Ayrıca inceleme, alanında uzman bilirkişi denetimine açık biçimde belgelenmelidir.
İşveren hangi belgeleri hazır tutmalı?
İspat yükü işverende olduğundan; çalışana imzalatılmış izleme ve aydınlatma metni, bilgi sistemi güvenlik kuralları, denetim kararının gerekçesini ve kapsamını gösteren tutanak, daha hafif araçların tüketildiğini gösteren kayıtlar ile erişimin tarih ve konu bakımından sınırlandığını gösteren teknik loglar hazır tutulmalıdır. Bunlar yoksa yargılamada bilgilendirme yapıldığı ortaya konulamamış sayılmaktadır.
- Anayasa m.20 — Kişisel verilerin korunmasını isteme hakkı
- Anayasa m.22 — Haberleşme hürriyeti
- 6698 sayılı KVKK m.4, 5, 10 — İlkeler, şartlar ve aydınlatma
- 4857 sayılı İş Kanunu m.25/II-e — Doğruluk ve bağlılığa uymayan davranış
- 4857 sayılı İş Kanunu m.18-20 — Geçerli fesih ve işe iade
- 6098 sayılı TBK m.417 — İşçinin kişiliğinin korunması
- 6098 sayılı TBK m.396 — Sadakat borcu
Bağlantılı başlıklar için özel nitelikli kişisel veri, iş sözleşmesinde cezai şart ve işe iade davası şartları yazılarımıza bakabilirsiniz.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; hukuki danışmanlık yerine geçmez. Somut olayın koşulları farklı sonuçlar doğurabilir.
Mevzuat değişebildiğinden, işlem yapmadan önce yürürlükteki metin doğrulanmalıdır.