İşveren Sosyal Medya Şifremi İsteyebilir mi?
İş görüşmesinde veya çalışırken Instagram ve diğer kişisel hesaplarınızın şifresi istenirse ne yapabilirsiniz? KVKK, özel hayat ve iş hesabı ayrımını açıklıyoruz.
İşverenin kişisel Instagram, X, Facebook veya benzeri sosyal medya hesabınızın şifresini istemesi, bu şifreyi vermek zorunda olduğunuz anlamına gelmez. Türkiye'de işverenlere çalışanların ya da iş başvurusu yapanların özel sosyal medya hesaplarının şifrelerini genel olarak talep etme yetkisi veren bir kural yoktur. Böyle bir taleple kişisel verilere erişilmesi, özel hayatın gizliliği ve kişisel verilerin korunması bakımından ciddi sorunlar doğurabilir.
Ancak kişisel hesabınız ile işverenin size görev için tahsis ettiği kurumsal hesabı ayırmak gerekir. Aynı kelimeyle “sosyal medya hesabı” denilse de erişim yetkisi, hesabın kime ait olduğu ve hangi amaçla kullanıldığına göre değişir.
İş başvurusunda Instagram şifresi istenirse ne olur?
Bir işveren adayın mesleki deneyimini, iş için gerekli yeterliliğini veya kamuya açık mesleki paylaşımlarını değerlendirmek isteyebilir. Bunun için özel bir hesabın şifresini alarak kişinin özel mesajlarını, takip ettiği hesapları, kapalı paylaşımlarını ve iletişim çevresini incelemek aynı şey değildir.
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 4. maddesi, kişisel verilerin belirli, açık ve meşru amaçlar için; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini zorunlu kılar. İşe uygunluğu değerlendirmek için özel hesaptaki bütün içeriklere erişim istemek, çoğu durumda bu ölçülülük ilkesiyle bağdaşması güç bir taleptir.
Üstelik bir kişinin özel hesabı yalnız kendi verilerini içermez: Başkalarıyla yaptığı yazışmalar ve üçüncü kişilere ait bilgiler de bulunabilir. Şifrenin verilmesi, işverenin bu bilgilere de erişebilmesi anlamına gelebilir.
“Onay vermezsen işe alınmazsın” denirse açık rıza geçerli mi?
Açık rıza, yalnız bir kutucuğu işaretlemek veya sözlü olarak “tamam” demek değildir. Rızanın belirli bir konuda, bilgilendirmeye dayanarak ve özgür iradeyle verilmesi gerekir.
Kişisel Verileri Koruma Kurumunun Açık Rıza rehberi, özellikle işçi–işveren ilişkisinde güç dengesizliğine dikkat çeker: Kişiye gerçekten reddetme imkânı sunulmuyorsa veya reddetmenin olumsuz sonuçları olacaksa rızanın özgür iradeye dayanıp dayanmadığı ciddi biçimde sorgulanır.
Bu nedenle “Şifrenizi verin, yoksa sizi işe almayız” ya da “Şifreyi paylaşmazsanız işiniz tehlikeye girer” biçimindeki bir baskı, talebi sırf onay verilmiş diye hukuka uygun hale getirmez. Bununla birlikte her olayın hukuki sonucu; istenen bilginin kapsamına, erişimin amacına ve somut koşullara bağlıdır.
Şirketin yönettiğim sosyal medya hesabının şifresini istemesi farklı mı?
Evet. Örneğin bir işletmenin resmî Instagram hesabını yönetmek üzere işe alındıysanız, işin devamlılığı ve bilgi güvenliği için kurumun kurumsal hesabına erişimin yönetilmesi meşru bir iş ihtiyacı olabilir.
Fakat bu durum kişisel hesabınızın şifresini paylaşmanız gerektiği anlamına gelmez. Daha uygun yöntem, kurumsal hesaplar için tanımlanmış yetkilendirme sistemleri, rol bazlı erişim ve işten ayrılırken kurumsal erişimlerin devridir.
| Talep | Değerlendirme |
|---|---|
| Kişisel Instagram hesabınızın şifresi | Özel hayat ve KVKK yönünden ciddi sorunlar doğurur; otomatik bir paylaşma yükümlülüğü yoktur. |
| Herkese açık mesleki portföyünüzün bağlantısı | İşle ilgili ve ölçülü bir değerlendirme kapsamında istenebilir. |
| İşletmeye ait sosyal medya hesabının kurumsal erişimi | İşin niteliğine göre gerekli olabilir; kişisel hesabınızla karıştırılmamalıdır. |
| Kişisel hesabınızdaki özel mesajların gösterilmesi | Şifre paylaşılmasa bile özel yazışmalara erişim yönünden ayrıca değerlendirilmesi gereken müdahaleci bir taleptir. |
Şifre istendiğinde nasıl cevap verebilirsiniz?
İş görüşmesinde ya da çalışırken gereksiz bir tartışmaya girmeden hesabın kişisel olduğunu ve iş için gerekli bilgileri başka yollarla sağlayabileceğinizi söyleyebilirsiniz:
Kişisel sosyal medya hesabımın şifresini paylaşmıyorum. İşle ilgili çalışmalarımı, portföyümü veya kamuya açık mesleki hesaplarımı memnuniyetle paylaşabilirim.
Talep sürerse neden istendiğini, hangi verilere erişileceğini, bilgilerin nasıl kullanılacağını ve ne kadar saklanacağını yazılı sormak yerinde olur. İşverenin KVKK kapsamında aydınlatma ve uygun bir veri işleme dayanağı belirleme yükümlülükleri vardır.
Şifrenizi zaten paylaştıysanız hesabınızın parolasını değiştirmek, tüm açık oturumları gözden geçirmek ve iki aşamalı doğrulamayı etkinleştirmek hesabınızı korumak için uygulanabilecek adımlardır. İşverenin yaptığı işlemler bakımından ayrıca hukuki değerlendirme gerekebilir.
Kişisel verilerinizin hukuka aykırı işlendiğini düşünüyorsanız önce veri sorumlusu işverene KVKK kapsamında başvurabilirsiniz. Kurumun açıklamasına göre işverenin başvuruyu kural olarak en geç 30 gün içinde cevaplaması gerekir; cevap ve süre durumuna bağlı olarak Kişisel Verileri Koruma Kuruluna şikâyet yolu bulunur. İşe alınmama veya işten çıkarılma gibi bir uyuşmazlıkta kişisel veri meselesiyle iş hukuku yolları farklı değerlendirmeler gerektirebilir.
Kaynaklar: KVKK – Kişisel verilerin işlenmesinde temel ilkeler ve ölçülülük · KVKK – Açık Rıza Rehberi · KVKK – Şikâyet Hakkı