Mersin İş Yerinde Kişisel Verinin WhatsApp Grubunda Paylaşılması
Kısa cevap
Kişisel veriyi hukuka aykırı olarak başkasına verme, yayma veya ele geçirme TCK m.136 kapsamındadır. İş amaçlı WhatsApp grubundaki paylaşımın hukuka aykırı olup olmadığı; geçerli işleme veya aktarım şartı, paylaşım amacı, veri kapsamı ve alıcıların yetkisi birlikte değerlendirilerek belirlenir. Ceza sorumluluğu TCK m.136-137’ye; idari süreç KVKK’ya dayanır. KVKK Kurulu süreci ceza soruşturmasının yerine geçmez.
TCK 136 hukuka aykırı verme, yayma veya ele geçirmeyi düzenler
TCK m.136/1; kişisel verileri hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişinin ceza sorumluluğunu düzenler. İşyerinde çalışanın adı, telefonu, adresi, kimlik bilgisi, maaş bilgisi, sağlık verisi veya performans kaydı somut olayda kişisel veri niteliği taşıyabilir.
Suçun merkezinde verinin kişisel veri olması yanında hukuka aykırı verme, yayma veya ele geçirme fiili bulunur. Bir verinin işyeri WhatsApp grubunda paylaşılması tek başına otomatik suç sonucu doğurmaz; paylaşımın hukuki dayanağı, amacı, alıcıları, kapsamı ve failin kastı birlikte incelenir.
WhatsApp grubunda paylaşımda grubun amacı ve üyeleri belirlenmelidir
İş için kurulmuş sınırlı bir grupta, görev gereği bilmesi gereken çalışanlara yalnız gerekli verinin aktarılması ile kişisel verinin ilgisiz kişilere veya geniş gruba yayılması aynı değildir. Grup üyelerinin kim olduğu, işlevleri ve veriye gerçekten ihtiyaç duyup duymadıkları belirlenmelidir.
Örneğin vardiya listesinde çalışan adı ve görev saatinin paylaşılması ile çalışanın sağlık raporunun, kimlik fotokopisinin veya özel hayatına ilişkin bilginin ilgisiz gruba gönderilmesi farklı hukuki değerlendirmeye tabidir. Veri minimizasyonu ve amaçla sınırlılık bu ayrımda önem taşır.
Hukuka aykırılık yalnız rıza yokluğuna indirgenemez
Kişisel veri işleme ve aktarımında açık rıza bazı durumlarda hukuki dayanak olabilir; ancak veri koruma hukukunda tek dayanak açık rıza değildir. Kanunda öngörülen diğer işleme veya aktarım şartları mevcutsa ayrıca değerlendirme yapılır. Bu nedenle “rıza yoksa her paylaşım suçtur” şeklinde genel kural kurulamaz.
Tersine, işverenin veriyi elinde bulundurması da her türlü paylaşımı hukuka uygun hâle getirmez. Yetki dışı erişim, amaç dışı yayma, gereksiz ayrıntının paylaşılması veya verinin üçüncü kişilere aktarılması somut hukuka aykırılık değerlendirmesine konu olur.
KVKK ihlali ile TCK 136 ceza sorumluluğu aynı şey değildir
6698 sayılı Kişisel Verilerin Korunması Kanunu; kişisel verilerin işlenme ilkeleri, işleme şartları, özel nitelikli veriler, aktarım ve veri güvenliği yükümlülüklerini düzenler. KVKK yönünden hukuka aykırılık veya idari yaptırım tespiti, TCK m.136’daki bütün ceza unsurlarının otomatik olarak oluştuğu anlamına gelmez.
Ceza soruşturmasında verinin ne olduğu, kimden elde edildiği, kime gönderildiği, paylaşımın hangi amaçla yapıldığı ve failin hukuka aykırı verme/yayma kastı belirlenir. KVKK hükümleri bu hukuka uygunluk değerlendirmesinde önemli normatif çerçeve sağlar.
Sağlık ve diğer özel nitelikli veriler daha sıkı korunur
KVKK m.6 kapsamındaki sağlık, biyometrik, genetik ve kanunda sayılan diğer özel nitelikli kişisel veriler bakımından işleme ve güvenlik şartları daha sıkıdır. Çalışanın hastalık tanısı, engellilik bilgisi, sağlık raporunun içeriği veya biyometrik kayıtları çalışma grubunda paylaşılacaksa gerçekten gerekli olup olmadığı ve kanuni dayanak özellikle incelenmelidir.
İş göremezlik gününün planlama amacıyla bilinmesi ile rapordaki teşhis ve tedavi ayrıntılarının bütün gruba gönderilmesi aynı değildir. İş amacı, gereksiz sağlık ayrıntısının yayılması için genel yetki vermez.
Dijital delilde mesajın içeriği kadar alıcı listesi de önemlidir
WhatsApp mesajı, eklenen dosya veya fotoğraf, gönderim tarihi-saat, grup adı, grup üyeleri ve varsa mesajın silinme/düzenlenme durumu korunmalıdır. Verinin kaç kişiye ulaştığı ve alıcıların yetkili olup olmadığı “verme” veya “yayma” fiilinin niteliğini değerlendirmede önem taşır.
Ekran görüntüsü kırpılmışsa grubun tamamı ve önceki-sonraki mesajlar istenebilir. Mesajı gönderen hesabın kime ait olduğu ile fiilen kimin gönderdiği de ayrı incelenmelidir. Kurumsal telefonda ortak kullanım iddiası varsa cihaz ve kullanıcı kayıtları önem kazanır.
TCK 137 nitelikli hâlleri ayrıca kontrol edilir
TCK m.137, kişisel verilere ilişkin suçların kamu görevlisi tarafından görevin verdiği yetki kötüye kullanılmak suretiyle veya belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle işlenmesi hâllerini daha ağır yaptırıma bağlar. İşyerindeki kişinin görev ve mesleki erişimi bu nedenle ayrıca incelenebilir.
Çalışanın veriye iş gereği erişebilmesi, onu amaç dışı yayma yetkisi değildir. Ancak TCK m.137 uygulanabilmesi için maddede öngörülen nitelikli bağın somut olayda kurulması gerekir; yalnız kişinin bir meslek sahibi olması yeterli değildir.
Resmî kaynaklar ve ilgili içerikler
5237 sayılı TCK m.135-140 ile 6698 sayılı KVKK esas alınmalıdır. Kurul kararları ve güncel rehberler için Kişisel Verileri Koruma Kurumu resmî kaynağı kullanılmalıdır. Site içinde Mersin ceza hukuku, ifade ve gözaltı ve takipsizlik itirazı içerikleri tamamlayıcıdır.
Sık sorulan sorular
Çalışanın telefonunu WhatsApp grubunda paylaşmak suç mudur?
Otomatik olarak değil. Verinin paylaşım amacı, hukuki dayanak, grup üyelerinin yetkisi ve kapsamı TCK 136 ve KVKK bakımından birlikte değerlendirilir.
Rıza yoksa her veri paylaşımı TCK 136 mıdır?
Hayır. Açık rıza dışında kanunda öngörülen başka hukuki işleme ve aktarım şartları bulunabilir; ceza unsurları ayrıca değerlendirilir.
Sağlık raporu grupta paylaşılabilir mi?
Sağlık verileri özel nitelikli kişisel veridir; paylaşımın kanuni dayanağı, zorunluluğu, kapsamı ve alıcı yetkisi sıkı biçimde değerlendirilmelidir.
KVKK ihlali varsa otomatik ceza davası mı açılır?
KVKK idari yükümlülükleri ile TCK m.136’nın ceza unsurları aynı değildir; ceza sorumluluğu ayrıca ispatlanır.
Grup yöneticisi olmak tek başına sorumluluk doğurur mu?
Ceza sorumluluğu kişisel fiile dayanır; veriyi kimin paylaştığı ve diğer kişilerin somut katkısı belirlenmelidir.
Mesaj silinirse delil kaybolur mu?
Özgün cihaz, diğer grup üyelerinin kayıtları ve kurumsal sistemler incelenebilir; mevcut kayıtlar gecikmeden korunmalıdır.
İş için eriştiğim veriyi başka amaçla paylaşabilir miyim?
Görev nedeniyle erişim, amaç dışı veya yetkisiz yayım için genel yetki vermez.
Mesleki yetki kullanılarak veri paylaşılırsa ne olur?
Şartları varsa TCK m.137’deki nitelikli hâl ayrıca değerlendirilir.
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
