Kurumsal E-Posta Hesaplarının Kişisel Veri Niteliği
Ad ve soyadı gibi gerçek kişilere ait bilgiler içeren kurumsal e-posta adresleri tek başına kişisel veri niteliği taşır. Bu hesaplarda yer alan e-posta iletileri de kişisel veri barındırabilir. İş ilişkisinin sona ermesinin ardından işverenin çalışana ait kurumsal e-posta hesabını aktif tutmaya devam etmesi, hesaptaki iletilere erişmesi veya gelen e-postaları şirket içinde başka bir çalışana yönlendirmesi kişisel verilerin korunması hakkının ihlali olarak değerlendirilir.
İşten Ayrılma Sonrası E-Posta Denetimi ve Hukuki Sınırlar
İş ilişkisi veya ortaklığı sona eren kişilerin kurumsal e-posta hesaplarına gelen iletilerin şirket içi yöneticilere yönlendirilmesi ve bu iletilerin yanıtlanması, yasal işleme şartlarına uyulmaksızın gerçekleştirildiğinde hukuka aykırı veri işleme niteliği kazanır. İşverenin işten ayrılan çalışanların e-posta hesabına erişmesini haklı kılan yasal bir dayanağı bulunmadığında, veri sorumlusu hakkında idari para cezası ve şikâyete konu verilerin imhası yönünde idari yaptırımlar tesis edilebilmektedir.
Eski çalışanlara ait e-posta hesaplarının uzun süreler boyunca aktif tutulması ve şirket içinde üçüncü kişilere yönlendirilmesi; adil, yasalara uygun ve şeffaf veri işleme, amaçla sınırlı olma, veri minimizasyonu ve sınırlı süre ile saklama ilkelerine aykırılık teşkil eder. Ayrıca ilgili hesaba e-posta gönderen ve yönlendirmeden habersiz olan üçüncü kişilerin verilerinin bu şekilde işlenmesi de idari para cezası yaptırımıyla karşılaşabilmektedir.
İş İlişkisi Sona Ermeden Alınması Gereken Önlemler
Çalışanlar, iş ilişkisi sona ermeden önce kendilerine tahsis edilen e-posta hesabının akıbeti hakkında aydınlatılmalıdır. Bu kapsamda e-posta yönetim sisteminin iç politika ve prosedürlerde açıklanması ve bu kuralların çalışanlar için ulaşılabilir olması aranır. Ayrıca işten ayrılmadan önce personele kişisel e-postalarını şahsi hesabına iletme ve işyeri bilgisayarından silme imkânı tanınmalıdır.
İşyerinde herhangi bir aksaklığa meydan vermemek adına, e-posta arşivinde bulunan önemli e-postalar çalışan henüz işten ayrılmadan önce ve mümkünse çalışanın varlığında başka bir çalışana yönlendirilebilir. Taraflar arasında bir uyuşmazlık bulunması durumunda sürece güvenilir bir kişinin müdahil olması tavsiye edilmektedir.
Erişimin Engellenmesi ve Otomatik Yanıt Sistemi
İşten ayrılan çalışanın e-posta hesabına erişim en geç işten ayrıldığı gün engellenmelidir. Erişime kapatılan hesaba gelebilecek iletiler için bir otomatik yanıt sistemi devreye alınmalıdır. Kurulacak otomatik yanıt mekanizmasında hesap sahibinin artık şirkette çalışmadığı bilgisine ve yerine kiminle iletişime geçilmesi gerektiğine ilişkin iletişim bilgilerine yer verilmelidir.
Otomatik yanıt sisteminin makul bir süre boyunca devrede tutulması ve bu sürenin tamamlanmasının ardından e-posta hesabının silinmesi önerilmektedir. Uygulama önerilerinde bu makul sürenin yaklaşık bir ay olabileceği, somut duruma ve çalışanın sorumluluk derecesine göre uzatılabileceği ancak sürenin her halükârda üç ayı geçmemesi gerektiği belirtilmektedir. Sürenin uzatılması halinde bu durum gerekçelendirilmeli, ilgili kişinin rızası alınmalı veya en azından bilgilendirilmesi sağlanmalıdır. İşverenin uzatma süresinin bitmesini beklemeden mümkün olan en kısa sürede alternatif bir çözüm yolu araması ve uygulaması beklenir.
Eski çalışanın kurumsal e-posta hesabı şirket içinde başka bir personele yönlendirilebilir mi?
İş ilişkisi sona erdikten sonra çalışanın e-posta hesabına gelen iletilerin şirket içindeki başka kişilere yönlendirilmesi ve hesaba erişilmesi hukuka aykırı veri işleme faaliyeti olarak kabul edilir.
Ayrılan çalışanın kurumsal e-posta hesabına erişim ne zaman kesilmelidir?
E-posta hesabına erişim en geç çalışanın işten ayrıldığı gün engellenmeli; gelen iletiler yönlendirilmek yerine yeni muhatabı bildiren bir otomatik yanıt sistemi kurulmalıdır.
Otomatik yanıt sistemi ne kadar süre devrede tutulabilir?
Otomatik yanıt sisteminin yaklaşık bir ay devrede tutulması, ilgili kişinin sorumluluk düzeyine göre gerekçelendirilerek en fazla üç aya kadar uzatılması ve süre sonunda hesabın silinmesi tavsiye edilmektedir. Süre uzatılırsa rıza veya bilgilendirme yoluna gidilmeli, işveren alternatif çözümleri hızla hayata geçirmelidir.
Çalışanın işten ayrılmadan önce kişisel yazışmalarını ayırmasına imkân tanınmalı mıdır?
İş ilişkisi sona ermeden önce çalışana hesabın akıbeti bildirilerek aydınlatma yapılmalı ve kişisel iletilerini şahsi adresine ileterek işyeri bilgisayarından silmesi için gerekli imkân sağlanmalıdır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy