- within Privacy, Technology and Finance and Banking topic(s)
- in European Union
İtalyan veri koruma otoritesi (Garante), 18 Haziran 2026 tarihli ve 476 sayılı kararı ile Piaggio & C. S.p.A.'ya, işten çıkarılan iki çalışanın kurumsal e-posta hesaplarına erişim ve bu verilerin uzun süre saklanması nedeniyle 460.000 avro idari para cezası uygulamıştır.
Olayın Özeti
İş sözleşmesi 2 Mart 2023'te haklı nedenle feshedilen iki çalışan, kurumsal e-posta hesaplarının kapatıldığının teyidini istemiş; şirketin süresinde yanıt vermemesi üzerine İtalyan DPA'ya şikâyette bulunmuştur. Çalışanlar, işverenin geçmiş yazışmalarına erişerek bunları disiplin soruşturmalarında kullandığını ileri sürmüştür.
Şirket, ciddi usulsüzlük şüphesi üzerine DPO'nun da dahil olduğu bir iç soruşturma başlattığını, incelemenin belirli filtre ve anahtar kelimelerle sınırlandırıldığını ve bunun sistematik izleme değil "savunma amaçlı kontrol” olduğunu ileri sürmüştür. İncelemede toplam 112 e-postaya erişildiği; bunların bir kısmının şüphenin doğmasından yaklaşık iki yıl önceye uzandığı tespit edilmiştir.
Garante'nin Hukuki Değerlendirmesi
Garante, İtalyan Yargıtayı içtihadıyla geliştirilen “savunma amaçlı kontrol” (controlli difensivi) doktrinini reddetmemekle birlikte, bunun ancak şüphenin ortaya çıkmasından sonraki veri ve davranışlarla sınırlı olabileceğini vurgulamıştır. İncelemenin şüpheden yaklaşık iki yıl öncesine uzanması nedeniyle mevcut kontrol, savunma amaçlı kontrol değil geriye dönük bir gözetim olarak nitelendirilmiştir.
Şirket, çalışan e-postalarını iş ilişkisi boyunca ve sona ermesinden sonra beş yıl daha yedeklemekte, erişim kayıtlarını ise altı ay saklamaktaydı. Garante, bu sürelerin orantısız olduğunu ve sistematik saklamanın, çalışan faaliyetinin geriye dönük yeniden yapılandırılmasına imkân tanıyarak İtalyan İşçi Statüsü m.4'teki gözetim güvencelerini devre dışı bıraktığını tespit etmiştir. Şirket, süreç içinde e-posta saklama süresini üç aya, log saklama süresini 21 güne indirmiştir.
Garante, hesap kapatma teyidi talebinin verilerin işlenmesinin durdurulması talebi anlamına geldiğini belirtmiştir. Şirketin, devam eden iş uyuşmazlığını gerekçe göstererek bu taleplere hiç yanıt vermemesi, ilgili kişi haklarının ertelenmesine ilişkin hükümlerin usulüne uygun işletilmediği şeklinde değerlendirilmiştir.
Şirketin, kurumsal araçlarda “gizlilik beklentisi olamayacağı” yönündeki politika hükmü Garante tarafından reddedilmiştir. İş ilişkisinde de çalışanların kurumsal e-postaları bakımından meşru bir mahremiyet beklentisi bulunmakta olup, yazışmalar anayasal güvence altındaki haberleşme niteliğindedir.
Bu tespitler doğrultusunda Garante, Piaggio'nun veri işleme faaliyetini hukuka aykırı bularak 460.000 avro idari para cezası uygulamış ve toplanan e-posta içeriklerine erişimi yasaklamıştır.
KVKK Açısından Değerlendirme
6698 sayılı Kanun'un 4'üncü maddesi uyarınca kişisel veriler amaçla bağlantılı, sınırlı ve ölçülü işlenmeli ve yalnızca gerekli süre kadar muhafaza edilmelidir. Piaggio kararındaki beş yıl (e-posta) ve altı ay (log) saklama süreleri, Kanun'un 7'nci maddesi uyarınca işlenme sebebi ortadan kalkan verilerin silinmesi gerektiğine ilişkin yükümlülükle de çelişebilecektir.
Kurul'un 2018/63 sayılı ilke kararında, erişim yetkisini aşarak amaç dışı veri işlemenin Kanun'un 12'nci maddesine aykırılık teşkil edeceği vurgulanmıştır. Buna göre, kurumsal e-postaların süresiz ve amaç sınırlaması olmaksızın yedeklenip geriye dönük incelenmesi, amaçla sınırlılık ve saklama süresiyle sınırlılık ilkelerini ihlal riski taşımaktadır.
Kanun'un 10'uncu maddesi uyarınca çalışanlara kurumsal e-posta kullanımına ilişkin amaç, hukuki sebep ve saklama süresini içeren açık bir aydınlatma yapılması zorunludur; Piaggio kararında da bu bilgilerin yeterince açık bildirilmemiş olması ayrı bir ihlal unsuru sayılmıştır.
Hesap kapatma teyidi talepleri KVKK m.11 kapsamında ilgili kişi hakkı olup, Kanun'un 13 ve 14'üncü maddeleri uyarınca en geç otuz gün içinde yanıtlanmalıdır. Devam eden bir uyuşmazlığın tek başına ileri sürülmesi ve başvurulara hiç yanıt verilmemesi KVKK bakımından da kabul görmeyecektir.
Kurul'un 03/08/2023 tarihli ve 2023/1321 sayılı kararı da benzer bir riski göstermektedir: eski ortağın e-posta adresi pasif hale getirilmesine rağmen gelen iletiler şirket tarafından görüntülenmeye devam etmiştir. Kurul, bunun işten ayrılma sonrası veri işlemeye devam etmek anlamına geldiğini ve Kanun'un 5'inci maddesindeki hiçbir şarta dayanmadığını tespit ederek 50.000 TL idari para cezası uygulamış; sistemin düzeltilmesini ve verilerin imhasını talimatlandırmıştır. Bu karar, eski çalışan/ortaklara ait e-posta hesaplarının kapatılması gerekliliğini Piaggio kararıyla birlikte pekiştirmektedir.
Kurul'un 25/11/2021 tarihli ve 2021/1187 sayılı kararı ise aydınlatma eksikliğinin tek başına ihlal sebebi olduğunu göstermektedir. İşverenin, eski çalışanın kurumsal e-posta hesabına Kanun m.10 kapsamında hiçbir aydınlatma yapmaksızın eriştiği tespit edilmiş; şirketin, çalışanın bunu bilebilecek durumda olduğu ve verilerin “alenileştirilmiş” sayılması gerektiği yönündeki savunması reddedilmiştir. Kurul, Anayasa Mahkemesi'nin 12/01/2021 tarihli kararına ve AİHM'in Bărbulescu/Romanya kararına atıfla çalışanın özel hayatı ile işverenin meşru menfaatleri arasında adil denge kurulması gerektiğini vurgulayarak 250.000 TL idari para cezası uygulamıştır. Bu karar da işveren erişiminin ancak önceden yapılmış açık bir aydınlatmaya dayanabileceğini göstermektedir.
Sonuç
Piaggio kararı ile Kurul'un 2023/1321 ve 2021/1187 sayılı kararları birlikte değerlendirildiğinde, kurumsal e-posta sistemlerinin işyerinde gözetim amacıyla kullanılmasının hem İtalyan uygulamasında hem de KVKK'nın genel ilkeleri bakımından sıkı sınırlara tabi olduğu görülmektedir. Her iki hukuk düzeninde de ortak çıkan sonuç, kurumsal e-postanın salt bir çalışma aracı olmanın ötesinde, çalışanın haberleşme özgürlüğü ve mahremiyet beklentisiyle korunan bir alan oluşturduğudur; bu nedenle işverenin bu alana erişimi istisnai, gerekçeli ve sınırlı olmak zorundadır.
Buna göre veri sorumlularının; e-posta ve log verilerinin saklama sürelerini amaçla orantılı şekilde belirlemesi, sistematik ve süresiz yedekleme uygulamalarından kaçınması, çalışan e-postalarına erişimi yalnızca somut ve güncel şüphe hâllerinde ve şüphenin ortaya çıkışından sonraki verilerle sınırlı tutması büyük önem taşımaktadır. Bunun yanında, aydınlatma metinlerinin kurumsal e-postanın hangi amaçla, hangi hukuki sebeple ve ne kadar süreyle işlendiğini açıkça ortaya koyacak şekilde güncellenmesi ve çalışana bu hesabın işveren tarafından denetlenebileceğinin önceden bildirilmesi gerekmektedir; zira aydınlatma eksikliği, tek başına ayrı bir idari para cezası sebebi olabilmektedir. Son olarak, işten veya ortaklıktan ayrılan kişilere ait e-posta hesaplarının vakit geçirilmeksizin kapatılması veya pasif hâle getirilmesi, bu hesaplara gelen iletilerin başka kişilere yönlendirilmemesi ve ilgili kişilerin hesap kapatma ile diğer başvurularına kanuni süresi içinde yanıt verilmesi, veri sorumlularının uyum süreçlerinde öncelikli olarak ele alması gereken hususlardır.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
