文章与分析

土耳其个人数据保护委员会对雇主监控企业电子邮件设定新限制

I. 引言 企业电子邮件账户和配发给员工的设备既用于日常工作，也保存着雇主在内部调查、信息安全检查和员工离职过程中可能需要查阅的信息。由于这些工具属于雇主，企业通常认为自己对其拥有不受限制的监控权限。然而，同样的工具也反映员工的通信往来，有时还涉及其私人关系网络。因此，雇主开展监控时，必须在自身的管理权与员工要求保护个人数据的权利及通信自由之间取得平衡。 土耳其个人数据保护委员会，以下简称“委员会”，通过2026年9月16日第2026/2035号原则决定，以下简称“决定”，明确了实现这一平衡的程序与原则。该决定于2026年10月8日在《官方公报》公布。根据决定，通信工具归雇主所有，或雇主在技术上能够访问这些工具，并不意味着雇主可以任意检查员工的通信。决定还明确指出，不遵守相关原则将导致对数据控制者采取行政措施。因此，雇主应当立即审查使用政策、隐私告知文本、内部调查方法以及对离职员工账户的处理方式。 II. 技术访问能力与监控权限 按照委员会的立场，雇主的监控权限源自第6698号《个人数据保护法》，以下简称“法律”，规定的条件。因此，即使完全不查看邮件内容，仅检查显示谁在何时向谁发送电子邮件的记录，也必须满足这些条件。委员会将通信流量数据和日志记录的处理本身视为个人数据处理活动，要求其遵守法律的一般原则、处理条件以及告知和数据安全义务。根据个案具体情况，决定的标准也将适用于其他工作渠道，例如内部即时通信工具、客户关系管理和请求管理系统，以及会议平台的聊天和录制功能。 对于可通过公司设备访问的个人账户，技术访问能力与监控权限之间的区别更加明显。委员会明确指出，雇主对设备、会话、网络或企业系统拥有技术权限，并不意味着其可以自由访问员工个人邮箱、个人即时通信应用或社交媒体收件箱中的通信。 III. 禁止私人使用与比例原则 决定承认，雇主可以依据管理权制定通信工具私人使用规则，但要求规则明确、易于理解，且员工能够知悉；有关禁止或限制也必须明确告知员工。然而，仅仅禁止私人使用，并不足以赋予雇主无限的监控权。 委员会指出，即使已明确禁止私人使用并履行相应告知，雇主的监控权限仍受比例原则约束，不得开展持续、不间断的监视。如果通过邮件内容以外的信息即可确认员工违反禁令，则额外访问邮件内容不被视为必要且符合比例。允许私人使用的雇主，其权限范围更窄。根据决定，如果工作通信与私人通信能够区分，监控必须限于工作通信；如果无法区分，则应当对雇主的监控权限作更严格的解释。 IV. 使用政策、隐私告知与明确同意 如果雇主在使用政策或隐私告知中仅表示企业邮箱可能受到监控，按照决定，这不足以构成对员工的充分告知。委员会认为，这类笼统表述既不能满足事先通知要求，也不能满足个人数据保护告知义务。告知文本必须具体说明监控的法律依据、目的与范围，是检查通信流量数据还是邮件内容，何种情况下可以访问内容，保存期限以及员工的权利。委员会还要求考虑，未获适当告知的员工会合理期待其个人数据和通信自由不受干预。因此，我们认为，告知文本不充分将使此后监控的合法性受到质疑。委员会直接认定，员工不知情的秘密监视，以及不加区分地记录员工全部活动的工具，均属违法。 要求员工明确同意，通常也不是解决办法。委员会指出，鉴于劳动关系中的依附性及双方权力不对等，明确同意原则上不应作为电子邮件监控的优先法律依据。根据个案情况，监控可以基于法定义务、权利的确立、行使或保护，或合法利益中的一项条件。但依赖其中某项条件，并不会消除对监控方式的限制。 V. 内容审查与内部调查 决定对雇主最具体的限制，是要求采取分级监控方式。委员会指出，如果雇主能够通过干预较小的途径实现合法目的，就不得采用干预更强的监控方法。如果可以通过过滤或阻止等技术措施预防通信工具被滥用，也不会由此产生一般性监控权。 因此，雇主因怀疑开展调查时，应当首先检查通信流量数据，而非扫描员工的整个邮箱。如果确有必要访问内容，则应将审查限于与该怀疑有关的通信。委员会将内容审查视为对员工私人生活和通信自由最强烈的干预。只有在通信流量数据不足、访问内容必不可少的例外情况下，且存在具体怀疑并将审查限于该怀疑范围时，才可查阅通信内容。委员会还要求，在审查中顾及特殊类别个人数据及通信对方的数据，仅允许少数获授权人员访问取得的数据，记录每次访问，并使这些人员承担保密义务。 VI. 离职员工的邮箱 雇主可能希望继续保留离职员工的邮箱，以跟进新收到的邮件。但决定将关闭账户视为原则，继续保留开放状态视为例外。劳动关系终止后，原则上应停止原员工使用该账户，并阻止对该账户的任何新的访问；收到的邮件不得向无关人员开放，已无合法依据的数据必须销毁。委员会指出，转发、自动回复、归档或保留措施，如果服务于业务连续性、企业通信正常运行、辩护权或法定义务，且范围有限、期限明确、访问权限已确定并有记录，则可以根据个案情况进行评估。这意味着，上述措施并非雇主可以普遍采用的做法，而是每个案件中都必须说明理由的例外。 VII. 综合评估 根据决定，雇主必须将通信监控作为事先设定条件的例外途径处理。使用政策应明确说明是否允许私人使用及其界限。隐私告知文本应更新，以包含委员会列明的内容。内部调查程序应预先确定，何种怀疑足以启动内容审查，由谁批准，以及审查范围。离职流程也应预先确定账户关闭时间和保留通信的销毁日期。考虑到委员会要求保留范围有限且期限明确，我们认为，无限期保持离职员工账户开放，与决定不符。 委员会指出，如查明未遵守决定，将依据法律第18条采取行政措施。该条对违反告知义务、数据安全义务和委员会决定分别规定了行政罚款。决定并未规定，通过监控取得的通信是否可以在劳动诉讼中作为证据使用，也未规定基于这些通信作出的解雇是否有效。不过，雇主如果依赖违反委员会标准的监控取得的通信，可能在证据使用和解雇效力两方面受到异议。因此，每个案件都应依据土耳其劳动法对这两个问题另行审查。 本译文仅供参考，可能与原文存在差异。