GDPR’ın yürürlüğe girmesinin ardından ilk defa Almanya’da bir idare mahkemesi, araç takip ve telematik sistemlerine dair bir karar verdi. Karar, şirket çalışanlarına tahsis edilen araçların takip sistemleri ile izlenmesi konusunda önemli tespitler içermektedir.
Karara konu olan olayda, bir temizlik şirketinin çalışanları görev yerlerine ulaşmak için şirket tarafından tahsis edilen araçları kullanmaktadır. Bu araçların bir kısmının şahsi ihtiyaçlar için de kullanılmasına izin verilmektedir. Şirket araçları, aracın durumunu (çalışır durumda olup olmadığını) ve konumunu sürekli izleyen GPS sistemleri ile donatılmıştır. Konum verileri ve aracın kat ettiği mesafe 150 günlük bir süre boyunca saklanmaktadır.
Mahkeme’nin öncesinde bu konu Veri Koruma Otoritesi tarafından incelenmiş ve çalışanların konum verilerinin bu sistem tarafından toplanmasının ve işlenmesinin hukuka uygun olmadığına karar verilmişti. Otorite, araçların bu şekilde takibinin hırsızlık durumu söz konusu olmadığı sürece durdurulması gerektiğini belirtmişti. Bunun üzerine davacı, kararın iptali talebiyle idare mahkemesine başvurdu.
Mahkeme yaptığı incelemede, Otorite’nin kararının hukuka uygun olduğunu tespit etti. Mahkeme tarafından yapılan değerlendirmede öncelikle GDPR’ın 88. maddesine atıf yapan iç hukuktaki hüküm uyarınca; iş ilişkisinin yürütülmesi için gerekli olduğu ölçüde çalışanların kişisel verilerinin işveren tarafından işlenebileceği belirtildi. Fakat Mahkeme, çalışanın konum verilerinin işlenmesinin iş ilişkisi açısından gerekli bir işlem olmadığına karar verdi. Ayrıca bir diğer hukuki dayanak olabilecek açık rızanın da somut olayda mevcut olmadığını tespit etti.
Söz konusu davada Mahkeme; aşağıda yer alan sebeplerden dolayı GPS tabanlı takip sisteminin, özellikle de verilerin 150 gün boyunca saklanması göz önünde bulundurulduğunda, gerekli olmadığını savundu:
- Bazı araçların şahsi amaçlarla mesai dışında kullanılmasını önlemek için araçların izlenmesi gerekli değildir. Bu amaç çalışanlardan anahtarları işyerinde bırakmaları istenerek de gerçekleştirilebilir.
- Hırsızlığı önlemek veya çalınmış olan şirket araçlarını geri almak için konum verilerinin 150 gün boyunca saklanmasına gerek yoktur. Çünkü çalınmış olan araçların konum verilerine hırsızlık durumunda zaten erişilebilmektedir.
- Çalışanları ve araç dağıtımını koordine etmek amacıyla mesai saatleri içinde izleme yapılması da gerekli değildir. Bu bağlamda Mahkeme, temizlik hizmetlerinin lojistik veya yolcu taşımacılığı gibi zamanlamanın kritik olduğu bir sektör olmadığını da belirtmiştir. Ayrıca Mahkeme, temizlik şirketinin lokasyon sistemini yılda sadece 3-4 defa kullandığını da özellikle belirtmiştir.
Sonuç olarak Mahkeme; sistemin kullanımının işverenin temizlik hizmetlerini sağlayabilmesi için gerekli olduğuna ikna olmamış ve somut olayda iş sözleşmesinin ifası, bir hukuki yükümlülüğün yerine getirilmesi yahut işverenin meşru menfaatine dayalı olarak çalışanların verilerinin işlenemeyeceğine karar vermiştir.
Mahkeme aynı zamanda çalışanların kendilerine verilen bazı protokolleri kabul edip imzaladıkları için bu hususta rızalarının mevcut olup olmadığını da değerlendirmiştir. Çalışanlara imzalatılan metinlerin sadece bazılarının açık rıza unsurunu taşıdığını, geri kalanların ise aslında sadece veri işleme konusunda çalışanları genel olarak bilgilendiren metinler olduğu tespit edilmiştir. Özellikle ikinci gruptaki metinler bakımından açık rızanın şartlarından olan belirli bir konuya ilişkin olma koşulunun sağlanmadığı belirtilmiştir. Ayrıca açık rızanın bir diğer şartı olan yeterli şekilde bilgilendirilme koşulunun da yerine getirilmediğine hükmedilmiştir. Zira çalışanların işlemin tüm amaçları ve özellikle de rızalarını her zaman geri alma hakları olduğu konusunda yeterince bilgilendirilmediği belirtilmiştir. Ancak bu hususta önemli bir tartışma konusu olan işçi-işveren ilişkisinde işçinin konumu sebebiyle özgür bir iradeye sahip olarak rıza veremeyeceği yönündeki görüşe ilişkin herhangi bir değerlendirmede bulunulmamıştır. Sonuç olarak Mahkeme, belirtilen gerekçelerle çalışanlara imzalatılan protokollerin geçerli bir rızanın şartlarını taşımadığına karar vermiştir.
Söz konusu karar, çalışanlar tarafından kullanılan araçların işveren tarafından izlenmesi uygulamasının oldukça yaygın olması sebebiyle büyük önem taşımaktadır. Bu karar çerçevesinde takip sistemlerinin kullanımı için öncelikle açık bir ihtiyacın mevcut olup olmadığı detaylı bir şekilde incelenmelidir. Bu durumda takip sistemlerini devre dışı bırakma imkânının sunulması, saklama sürelerinin gözden geçirilmesi, mesai saati dışında izlemenin kapatılması gibi farklı seçenekler değerlendirilmelidir. Ayrıca izleme faaliyeti için en uygun hukuki sebep belirlenmeli ve açık rızanın tercih edilmesi halinde somut olayda geçerli bir rızanın koşullarının mevcut olup olmadığı önemle dikkate alınmalıdır.