Fransa Veri Koruma Otoritesi (“CNIL”), çalışanlarını aşırı derecede izlediği gerekçesiyle bir işverene 40.000 Euro para cezası verdi. İşveren, çalışanların bilgisayar başındaki hareketsiz kaldığı varsayılan süreleri kaydeden ve düzenli olarak ekran görüntüsü alan bir yazılım kullanıyordu. Buna ek olarak, çalışanlar sürekli olarak kayda alınıyordu.

2022 yılında CNIL, bir gayrimenkul şirketinin (“veri sorumlusu”) çalışanları tarafından yapılan şikayetler aldı. Şikayetler, şirketin uyguladığı izleme yöntemleriyle ilgiliydi. Şikayetlerde GDPR ihlallerine dair somut kanıtlar yer almadığı için, CNIL bir soruşturma başlattı.

Soruşturma

CNIL’in yürüttüğü soruşturmada, şirketin çalışanlarını sürekli olarak iki kamera aracılığıyla hem görüntü hem ses kaydı yaparak izlediği tespit edildi. Bu kameralar yalnızca çalışma alanlarını değil, dinlenme alanlarını da kapsıyordu. Canlı kamera görüntülerine, yöneticinin cep telefonundaki bir mobil uygulama üzerinden erişilebiliyordu. Şirket, bir kapıya kamera simgesiyle birlikte “video ile izlenen alan” ifadesi bulunan bir uyarı işareti asmıştı. Ancak, çalışanlara bu konuda başka hiçbir bilgi verilmemişti.

Şirket ayrıca, çalışanlar evden çalışırken kullanılan bir yazılım da uygulamaya koymuştu. Bu yazılım, çalışma saatlerini sayıyor ve hareketsizlik dönemlerini tespit ediyordu. Yani, çalışan 3 ila 15 dakika boyunca klavye veya fare kullanmazsa, sistem bunu “hareketsizlik” olarak kaydediyordu. Bu hareketsizlik süreleri kaydediliyor ve “kayıp zaman” telafi edilmezse, çalışanların maaşlarından kesinti yapılıyordu.

Yazılım ayrıca çalışanların veri sorumlusu tarafından “verimli/üretken” ya da “verimsiz/üretken olmayan” sitelere girip girmediğini de kaydediyordu. Bu sınıflandırma, tamamen şirketin kendi tanımına göre belirlenmişti. Yazılım, her 3 ila 15 dakikada bir, çalışanların bilgisayar ekranlarının ekran görüntüsünü alıyordu.

Şirket, yazılımın yönetici hesabının birden fazla kişi tarafından ortaklaşa kullanılmasına izin veriyordu. Bu da, kimin ne zaman erişim sağladığını takip etmeyi imkânsız hale getiriyordu. Yönetici hesabı, geniş görüntüleme yetkilerine sahipti ve dolayısıyla büyük miktarda kişisel veriye erişilebiliyordu.

Veri Sorumlusunun Savunması

Veri sorumlusu, çalışanların isterlerse çalışma sürelerini manuel olarak da takip edebileceğini ve bunun çalışanlar açısından herhangi bir olumsuz sonucu olmayacağını öne sürdü. Ayrıca, çalışanlara yazılımın nasıl çalıştığını sözlü olarak açıkladığını belirtti. Şirket, bu yazılımı yalnızca iki buçuk ay kullandığını ve ardından kaldırdığını da ifade etti.

Kayıtlar

CNIL, kayıtların sürekli nitelikte olması ve sesin de kaydedilmesinin haksız/ölçüsüz olduğunu değerlendirdi. Bu nedenle, GDPR Madde 5(1)(c) hükmünün ihlal edildiğine karar verdi.

Bilgilendirme Eksikliği

Bunun ötesinde CNIL, veri sorumlusunun çalışanlarını video gözetimi hakkında yeterince bilgilendirmediğini tespit etti. Örneğin, uyarı işaretinin gözetimin amacı veya kayıtların saklama süresi gibi detayları içermediğini belirtti. Bu durum, GDPR Madde 12 ve Madde 13'ün ihlal edildiği anlamına gelmektedir.

Çalışanlara sözlü olarak yapılan bilgilendirmenin yazılımın gözetim işlevlerine dair yetersiz olduğu değerlendirilerek, bu durum da GDPR Madde 12’nin ihlali olarak değerlendirildi.

“Hareketsizlik” İzleme ve Ekran Görüntüleri

CNIL, sistemin kaydettiği hareketsizlik sürelerinin gerçek çalışma süresini yansıtmadığını belirtti. Bu nedenle, bu veri işleme faaliyeti için veri sorumlusunun geçerli bir hukuki dayanağa sahip olmadığını değerlendirdi.

Ayrıca, düzenli olarak alınan ekran görüntüsü uygulamasının son derece müdahaleci olduğunu ve hassas kişisel bilgilerin de bu şekilde kaydedilebileceğini belirtti. Bu nedenle, GDPR Madde 6’yı ihlal edilmiştir.

Yönetici Hesabı

CNIL, yazılımın yönetici hesabına birden fazla kişi tarafından ortak erişim sağlanmasının, bu hesabı fidye yazılım saldırılarına karşı savunmasız hale getirdiğini belirtti. Veri sorumlusunun bu durumu engellemesi gerektiği değerlendirildi. Bu nedenle veri sorumlusu tarafından, GDPR Madde 32’de ihlal edilmiştir.

Veri Koruma Etki Değerlendirmesi

Çalışanların sürekli gözetim altında tutulması, onların hak ve özgürlükleri açısından yüksek risk oluşturduğundan, veri sorumlusunun yazılımı kullanmadan önce bir Veri Koruma Etki Değerlendirmesi yapması gerektiği değerlendirildi. CNIL, bu yükümlülüğün yerine getirilmemesi nedeniyle GDPR Madde 35’in ihlal edildiğine karar verdi.

Para Cezası

CNIL, cezanın belirlenmesinde şirketin nispeten küçük ölçekli olması ve yıllık cirosunu dikkate aldı. Para cezası 40.000 Euro olarak belirlendi.

İlgili karara buradan ulaşabilirsiniz.