WhatsApp Yazışmaları ve KVKK: İş Gruplarında Kişisel Veri Nasıl Korunur?
Departman grubunda paylaşılan bir izin listesi, müşteri numarası ya da sağlık raporu fotoğrafı da kişisel veridir. İş yazışmalarının WhatsApp'ta yürümesinin KVKK açısından doğurduğu soruları ve kurumların atabileceği adımları derledik.
SyncMessage Ekibi
Yazar
- Yayın
- Güncelleme
- Okuma
- 4 dk
İçindekiler
Bir departman grubunda paylaşılan vardiya listesi, satış ekibinin müşteri telefonlarını yazdığı mesaj ya da bir çalışanın gönderdiği sağlık raporu fotoğrafı: hepsi kişisel veridir. İş iletişimi WhatsApp gruplarında yürüdüğünde bu veriler kurumun kontrol edemediği bir ortamda, çalışanların kişisel telefonlarında birikir. WhatsApp yazışmaları ve KVKK ilişkisi, bu yüzden pek çok kurumun hukuk ve bilgi işlem birimlerinin ortak gündemidir.
İş yazışmaları neden kişisel veri içerir?
KVKK, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri sayar. Bir çalışanın adı ve telefon numarası, izin tarihleri, performans değerlendirmesi, bir müşterinin adresi ya da sipariş geçmişi bu tanıma girer. Sağlık bilgisi gibi bazı veriler ise özel nitelikli kişisel veri olarak daha sıkı kurallara tabidir. İş grubundaki sıradan görünen bir mesaj bile çoğu zaman bu verilerden birini taşır.
Veri sorumlusu kim?
Bir veriyi hangi amaçla ve hangi araçla işleyeceğine karar veren kişi ya da kurum veri sorumlusudur. Çalışanlar iş amacıyla yazışıyorsa, bu yazışmalardaki kişisel verilerin işlenmesinden genellikle işveren kurum sorumludur; kullanılan aracın çalışanın kişisel hesabı olması bu sorumluluğu ortadan kaldırmaz. Sorun da burada başlar: kurum, sorumlu olduğu veriye erişemez, saklama süresini uygulayamaz ve silinmesini sağlayamaz.
Yurt dışına aktarım boyutu
KVKK'nın kişisel verilerin yurt dışına aktarılmasını düzenleyen 9. maddesi, 7499 sayılı Kanun ile değiştirildi ve değişiklik 1 Haziran 2024'te yürürlüğe girdi. Yeni düzende aktarım; yeterlilik kararı, standart sözleşme gibi uygun güvenceler ya da yalnız arızi durumlar için sayılan istisnalar çerçevesinde yapılabiliyor. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilmesi gerekiyor. Uygulamanın ayrıntıları 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan yönetmelikle düzenlendi.
Sunucuları yurt dışında bulunan bir hizmet üzerinden iş yazışması yürüten kurumun, bu kullanımın aktarım hükümleri karşısındaki durumunu hukuk birimiyle değerlendirmesi gerekir. Sunucunun kurumun kendi altyapısında ya da yurt içinde kuruma ayrılmış bir sunucuda çalıştığı modelde bu soru büyük ölçüde ortadan kalkar.
Kurul'un WhatsApp kararı ne söylüyordu?
Kişisel Verileri Koruma Kurulu, 2021'de WhatsApp hakkında yürüttüğü re'sen inceleme sonucunda şirkete 1.950.000 TL idari para cezası verdiğini duyurdu. Karar, uygulamanın kullanıcı verisini işleme biçimine ve veri güvenliğine ilişkin tedbirlere yönelikti. Bu karar işverenlerin iş yazışmalarında WhatsApp kullanmasını doğrudan düzenlemez; ancak kurumların, kontrol etmediği bir hizmet üzerinden yürüyen iş yazışmalarındaki veri işleme sorumluluğunu yeniden düşünmesine yol açtı.
WhatsApp gruplarında karşılaşılan pratik sorunlar
| KVKK açısından ihtiyaç | WhatsApp iş grubunda | Kurum kontrolündeki uygulamada |
|---|---|---|
| Saklama süresine göre imha | Kurum uygulayamaz; veri çalışanların telefonlarında kalır | Veri türüne göre süre belirlenir, süresi dolan kayıt otomatik silinir |
| İlgili kişi başvurusuna yanıt | Kurum veriyi toplayamaz ve dışa aktaramaz | Kişinin verisi dışa aktarılır, gerekirse anonimleştirilir |
| Ayrılan çalışanın erişimi | Yazışmalar ve gruplar onun telefonunda kalabilir | Hesap kapatılır, bütün oturumları sonlanır |
| Telefon numaralarının paylaşımı | Grup üyeleri birbirinin numarasını görür | Hesap numaraya bağlı değildir |
| İşlemlerin kanıtı | Kim neyi kime iletti bilinmez | İşlemler kayıt altındadır |
Kurumlar için yapılacaklar listesi
- Envanter çıkarın. İş yazışmalarının hangi araçlarda yürüdüğünü ve hangi kişisel verileri içerdiğini belirleyin.
- Politika yazın. Hangi bilginin hangi kanalda paylaşılabileceğini, kişisel uygulamaların iş için kullanımına ilişkin kuralı ve dış paydaşlarla iletişim yöntemini tanımlayın.
- Kurumsal bir kanal seçin. Hesapları kurumun yönettiği, verisi kurumun kontrolünde olan bir uygulamayı resmî kanal yapın.
- Saklama sürelerini belirleyin. Mesaj, dosya ve kayıt türleri için saklama ve imha politikasını araçta uygulanabilir hâle getirin.
- Aydınlatın. Çalışanlara iletişim aracında hangi verinin hangi amaçla işlendiğini anlatan aydınlatma metnini iletin.
- Eski grupları kapatın. Geçiş tarihinden sonra iş gruplarını yalnız okuma amaçlı bırakın, yeni yazışmayı kurumsal kanala taşıyın.
SyncMessage'ın Veri ve KVKK bölümündeki saklama, imha, başvuru ve anonimleştirme araçlarını KVKK ve şirket içi yazışmalar yazısında ayrıntılı anlattık. WhatsApp ile kurumsal mesajlaşmanın yan yana karşılaştırması kurumsal WhatsApp alternatifi sayfasında, kamu kurumlarına özgü çerçeve ise kamuda WhatsApp kullanımı yazısında yer alıyor.
İş gruplarına katılımın zorunlu olup olmadığı ve gruptan ayrılmanın sonuçları gibi iş ilişkisine dair soruları iş yerinde WhatsApp grubu zorunlu mu yazısında genel hatlarıyla ele aldık.
İş WhatsApp grubunda çalışan bilgisi paylaşmak KVKK ihlali mi?
Tek başına paylaşım ihlal anlamına gelmez; verinin hangi hukuki sebebe dayanılarak, hangi amaçla ve ne ölçüde işlendiğine bakılır. Ancak kurumun bu veriye erişememesi, saklama süresini uygulayamaması ve silinmesini sağlayamaması veri güvenliği yükümlülükleri açısından risk doğurur. Somut değerlendirmeyi hukuk biriminiz yapmalıdır.
WhatsApp mesajları KVKK kapsamında silinebilir mi?
Kurum, çalışanların kişisel telefonlarındaki WhatsApp yazışmalarını merkezi olarak silemez. Kurum kontrolündeki bir uygulamada ise saklama süresi dolan kayıtlar otomatik olarak imha edilebilir ve imha işlemi kayıt altına alınabilir.
Yurt dışına aktarım kuralları iş yazışmalarını etkiler mi?
KVKK'nın 9. maddesi 1 Haziran 2024'ten itibaren yeni bir düzenle uygulanıyor. Sunucuları yurt dışında bulunan hizmetlerle yürütülen iş yazışmalarının bu hükümler karşısındaki durumu kurumun hukuk birimince değerlendirilmelidir.
WhatsApp Business kullanmak KVKK sorununu çözer mi?
WhatsApp Business ağırlıklı olarak işletmenin müşterileriyle iletişimi için tasarlanmıştır. Çalışanlar arası yazışmalarda saklama süresi, merkezi hesap yönetimi ve ilgili kişi başvurularına yanıt gibi ihtiyaçları tek başına karşılamaz.