İşverenlerin Aklındaki Soru: Şirket İç Soruşturmalarında Çalışanların E-mailleri Nasıl İncelenmeli ?

Günümüzde şirket içi etik ve uyumluluk bilincinin artması oldukça sevindirici bir gelişme olarak karşımıza çıkıyor. Şirketler ihbar hatları kurarak, hem çalışanlarını bilinçlendirmekte hem de şirket içi uyumluluğun artmasına katkıda bulunuyor. Association of Certified Fraud Examiners (ACFE) 2016 Çalışan Suistimalleri ve İstismar Raporu (http:// www.acfe.com/rttn2016.aspx ), ihbar hattı olan şirketlerin yolsuzluğu yakalama oranının diğerlerine göre daha fazla olduğunu ve yolsuzluğun en yaygın tespit yönteminin ihbar olduğunu açık bir şekilde gösteriyor.

Şirket iç mekanizması sayesinde bir uyumsuzluğun farkına varabileceği gibi, bir çalışanının veya üçüncü bir kişinin ihbarı ile de bir yolsuzluk iddiası ile karşı karşıya kalabilir. Böyle bir durumda, bu iddianın aslı olup olmadığını araştırırken şirket iç politikalarının olması hayat kurtarabilir. Yöneticiler serinkanlılıklarını kaybetmeden acil alarma basmalıdırlar. Genelde ilk reaksiyon olarak, uyum sorumlusu ve danışmanlarına başvurup acil bir yol haritası talep etmeleri gerekir. Bu noktada ilk akla gelen, yolsuzluğun mutlaka bir yerlerde iz bırakmış olduğudur. Bu izi takip etme yöntemlerinin başında ise yolsuzluğa dahil olduğu iddia edilen -şüphelenilen- çalışanın e-maillerinin incelenmesi gelir. Ancak bu süreç işverenler tarafından birçok tereddüde yol açmaktadır. Bu sürecin hukukun farklı yönleriyle değerlendirilmesi ve her aşamanın, bir sonraki aşama düşünülerek ele alınması çok önemlidir.

Bu çerçevede yazımızda disiplinlerarası bir yaklaşım ile kişisel verilerin korunması hukuku, iş hukuku ve ceza hukuku bakımından iç soruşturmalar kapsamında e-mail incelenmesi sürecinin nasıl yönetilmesi gerektiği değerlen dirilecektir.

Şirket çalışanlarının e-maillerinin incelenmesi ve bilgisayarın imajının alınması kişisel verilerin korunması bakımından da oldukça hassas bir konudur. Özellikle 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayınlanarak kişisel verilerin korunmasına bambaşka bir boyut getiren Kişisel Verilerin Korunması Kanunu’nun (“Kişisel Veri Kanunu”) yürürlüğe girmesiyle birlikte iç soruşturmalarda atılacak her bir adı­mın bu açıdan da hukuka uygun olduğundan emin olunması gerekmektedir.

Peki, e-mail incelemesine başlanmadan önce veri sahiplerinden onay alınması gerek­mekte midir?

Kişisel Veri Kanunu açısından bakıldığında, ilgili kişilerin e-mailleri ve kurumsal bilgisa­yarları kapsamında kişisel veri niteliğindeki hususların barınması olasılığı bir hayli yük­sek olduğundan, bu e-maillerin incelenmesi kişisel verilerin “işlenmesi” tanımı altında yer almaktadır. Asıl kural veri işlenmesi için veri sahibinden onay alınması olsa da, bu özel­likle iç soruşturmalarda her zaman mümkün olmamaktadır. Bu noktada, Kişisel Veri Ka­nunu’ndaki bir takım istisnalar devreye gire­cektir. Bir başka deyişle, bu istisnaların varlığı halinde veri sahibinden (işçiden) açıkça onay alınmasına gerek kalmayacaktır. Bu istisnalar arasında hassas olmayan kişisel veriler bakı­mından Kişisel Veri Kanunu’nun Madde 5/2 hükmü uyarınca, “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması,” kanun­larda açıkça öngörülmesi, bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması sayılmaktadır.

Ancak bu istisnaların varlığında dahi veri işle­me sırasında, Veri Koruması Kanunu Madde 4 hükmünde belirtildiği üzere, amaçla bağ­lantılı olma, sınırlı ve ölçülü olma, gerektiği süre kadar muhafaza etme ile belirli açık ve meşru amaçlar için işleme ilkelerine her zaman uyulması gerektiği unutulmamalıdır. Örneğin sadece e-maillerin incelenmesini ge­rektiren bir ihbar var ise, bu e-maillerin arşivlerden incelenmesi için bir çalışma yapılması mümkündür, dolayısıyla daha da ileriye gide­rek çalışanın bilgisayarının imajının alınarak dosyalarına bakılmasına ihtiyaç bulunma­maktadır. Diğer bir ifadeyle, gerekli olmadığı halde detaylı bir inceleme yapılması ölçülülük ilkesine aykırılık teşkil edecektir. Benzer şe­kilde uygulamada çoğu zaman e-maillerin avukat veya danışman gibi üçüncü taraf ko­numundaki kişiler tarafından incelendiği gö­rülmektedir. Bu halde, söz konusu e-mailler iç soruşturmanın kapatılması akabinde üçün­cü taraf hizmet sağlayıcılar tarafından imha edilmelidir, zira veri koruması hukukunda gerektiği süre kadar muhafaza etme ilkesi geçerlidir.

Yukarıda açıklandığı gibi, TBK’nın kişisel verilerin kullanılmasına ilişkin TBK’nın 419. maddesinde yer alan, “İşveren, işçiye ait kişisel verileri, ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir hükmünün geniş uygulanması sonucunda çalışanın e-mail yazışmalarının incelenmesi, “kanunda açıkça öngörülmesi” istisnası altında değerlendirile­bilecektir.

Bunun yanı sıra şirket içinde yapılan so­ruşturmalar şirketin meşru menfaatle­ri çerçevesinde değerlendirilebilir, zira bu inceleme sayesinde şirkette oluşacak telafisi mümkün olmayan zararların önüne geçilmeye çalışılacaktır. Burada Kişisel Veri Kanunu’nun Madde 5/2’deki, “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla” cümlesi önem kazanmaktadır, zira her bir olay için bu değerlendirmenin ayrı ayrı yapılması gerekmektedir.

Bununla birlikte son olarak iş sözleşmesinin ifası kapsamında iç soruşturmada verilerin elde edilmesi halinde açık rıza alınmaksızın verilerin işlenebileceği düşünülebilir. Ancak bu istisnada önemli olan “doğrudan söz­leşmenin ifasıyla ilgili olması”dır. Bu hususun Veri Koruması Kanunu’nda öngörülen, Kişisel Verilerin Korun­ması Kurulu oluştuktan sonra daha da netleşeceği beklenmektedir.

Son olarak belirtmek gerekir ki, yukarıda sayılan istisnalar hassas olmayan kişisel veriler bakı­mından geçerli iken hassas (özel nitelikli) veriler bakımından yukarıdaki istisnaların iç soruşturmalara uygulanması mümkün görünmemektedir ve bu durum da uygulamada sorunlara yol açabilecektir. Özellikle iç soruşturma sırasında, özellikle çalışanların e-maillerini özel amaçla da kullanımın
a izin verilmişse, işçinin e-maillerinde “sağlık/hastalık” verisi ile karşılaşılması olasıdır. Sağlık verilerine ilişkin olarak 20 Ekim 2016 tarihinde 29863 sayılı Resmi Gazete’de yayınlanan Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması hakkında Yönetmelik uyarınca, sağlık verileri ancak  ilgili kişinin ayrıntılı bir şekilde bilgilendirilmesi, yazılı rızasının alınması ve bu rızanın muhafaza edilmesi hâlinde, rıza doğrultusunda işlenebilecek ve aktarılabilecektir ve bu kurala yukarıdakilere benzer herhangi bir istisna getirilmemiştir. Bu kapsamda şirketlerin özellikle iç soruşturma sırasında sağlık verisi elde edilmesi konusuna hassas yaklaşması gerekmekte olup, çalışanlardan özellikle sağlık verilerinin şirketin meşru amaçları doğrultusunda işlenebilmesine ilişkin olarak alınacak yazılı ve bilgilendirilmiş rıza önem arz eder. Bu yönde önceden alınabilecek genel bir rıza uygulamada pratik olsa da bu şekilde alınacak olan rızaların geçerliliği de tartışmaya açık bir konu haline gelebilir. Esasen yürütülen soruşturmalarda bu tip verilerin işlemeye konu olmaması, soruşturma kapsamında mümkünse kullanılmaması, bu konuda hassas davranılması gerekmektedir.

AVRUPA BİRLİĞİ’NDE BENİMSENEN KRİTERLER

Yukarıdaki açıklamalar ile birlikte yeni mevzuatımıza giren Kişisel Veri Kanunu’nun nasıl uygulanacağına ilişkin henüz çıkarılan bir yönetmelik veya kılavuz olmaması nede­niyle, veri koruması alanında çok uzun bir geçmişe sahip olan Avrupa Birliği uygulama­larının da dikkate alınmasında fayda bulun­maktadır.

Avrupa Birliği uygulamalarına bakıldığında iç soruşturma sürecinde e-maillerin ince­lenmesine ilişkin şeffaflığın benimsenmesi, meşru bir sebebin varlığı, verilerin güvenli­ğinin sağlanması, işlenen verilere ilişkin veri sahiplerinin taleplerinin hukuka uygun şekilde yönetilmesi sayılmaktadır. Bu ilkelerin benim­senmesi ile hukuka uygun bir e-mail inceleme sürecinin yapıldığı söylenebilecektir.

 CEZA HUKUKU BAKIMINDAN DEĞERLENDİRMELER