Çalışanlara Tahsis Edilen E-Posta Hesaplarının Denetlenmesine İlişkin KVKK İlke Kararı
Giriş
Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmi Gazete’de yayımlanmıştır. Söz konusu kararda, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin usul ve esaslar ortaya konulmuştur.
Kurul, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunması ve haberleşme hürriyeti arasındaki dengenin gözetilmesi gerektiğini vurgulamıştır. Bu kapsamda, işverenin iletişim araçları üzerindeki yönetim yetkisinin çalışanların iletişim içeriklerini sınırsız biçimde inceleme yetkisi vermediği belirtilmiştir.
Temel Değerlendirmeler
1. Kurumsal E-posta Hesaplarının Denetlenmesinin Kişisel Veri İşleme Faaliyeti Niteliği
Çalışanlara tahsis edilen kurumsal e-posta hesapları, yalnızca bir iletişim aracı olmayıp çalışanın mesleki ve zaman zaman kişisel ilişki ağına, çalışma düzenine ve yazışma içeriklerine ilişkin verileri barındırabilmektedir. Bu hesapların denetlenmesi, yalnızca trafik ve log kayıtlarının incelenmesi hâlinde dahi kişisel veri işleme faaliyeti niteliğindedir. Bu nedenle denetim faaliyetlerinin, 6698 sayılı Kişisel Verilerin Korunması Kanunu gereğince aydınlatma yükümlülüklerine uygun yürütülmesi gerekmektedir.
2. İşverenin Denetim Yetkisinin Sınırsız Olmaması
İşverenin kurumsal iletişim araçlarının sahibi olması veya bunları işyerinde çalışanlara tahsis etmesi, tek başına sınırsız bir denetim yetkisi sağlamaz. Denetimin meşru bir amaca dayanması, bu amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir.
Kurul denetim faaliyetleri belirlenirken işyeri iletişim araçlarının hangi amaçla tahsis edildiğinin ve işveren tarafından özel amaçlı kullanıma izin verilip verilmediğinin dikkate alınması gerektiğini belirtmiştir. İşverenin özel amaçla kullanımı yasaklamış olması dahi denetiminin her durumda sınırsız biçimde gerçekleştirilebileceği anlamına gelmemektedir.
3. Çalışanın Önceden Bilgilendirilmesi ve Aydınlatma Yükümlülüğü
Denetimin hukuka uygunluğunun değerlendirilmesinde, çalışanın denetim faaliyeti hakkında önceden bilgilendirilmiş olması belirleyici unsurlardan biridir. Bununla birlikte, yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceğine ilişkin genel bir bildirimin yapılması, 6698 sayılı Kanun’un 10’uncu maddesi kapsamındaki aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmemektedir.
İşveren tarafından yapılacak aydınlatmanın; denetimin hukuki sebebini, amacını, kapsamını, hangi yöntemlerle gerçekleştirileceğini, hangi verilere erişilebileceğini ve elde edilen verilerin ne kadar süreyle saklanacağını açıklayacak şekilde somut ve anlaşılır olması gerekmektedir.
4. Denetimin Ölçülülük ve Gereklilik İlkelerine Uygun Yürütülmesi
İşverenin meşru bir amacının bulunması, tek başına gerçekleştirilen denetimi hukuka uygun hâle getirmemektedir. Denetimin amacıyla kullanılan yöntem arasında orantılılık bulunmalı ve aynı amaca daha az müdahaleci yöntemlerle ulaşılması mümkünse bu yöntemler tercih edilmelidir. İçeriğe erişimin zorunlu olduğu hallerde ise incelemenin kapsamı ve süresi somut olayın gerektirdiği ölçülerle sınırlandırılmalıdır.
Kurul, iletişim içeriklerinin incelenmesinin çalışanın özel hayatına ve haberleşme hürriyetine yoğun müdahale oluşturduğunu kabul etmektedir. Bu nedenle içerik denetimi, yalnızca somut şüphenin bulunduğu ve incelemenin gerekli olduğu durumlarda gündeme gelmelidir. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılması; incelemenin somut bir amaçla sınırlandırılması ve üçüncü kişilere ait kişisel veriler üzerindeki etkilerin de dikkate alınması gerekmektedir. İşverenin teknik erişim imkanına sahip olması, çalışanların kişisel yazışmalarına sınırsız biçimde erişebileceği anlamına gelmemektedir.
5. İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı
İşveren tarafından kurumsal iletişim araçlarının özel amaçlı kullanımına izin verilmesi veya bu konuda açık bir düzenleme bulunmaması, denetimin hukuka uygunluğunun değerlendirilmesinde önem taşımaktadır. Çalışanın özel amaçlı kullanımına belirli ölçülerde izin verilmişse bu kullanımın sınırları açıkça belirlenmeli ve çalışanlara önceden duyurulmalıdır. İş amaçlı ve özel amaçlı kullanımın birbirinden ayrılmadığı durumlarda ise denetim yetkisinin daha dar yorumlanması gerekmektedir.
6. Özel İletişim Alanlarına Teknik Erişim İmkânının Sınırlı Etkisi
İşverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanların kişisel e-posta hesaplarına, anlık mesajlaşma uygulamalarına, sosyal medya mesaj kutularına veya benzeri özel iletişim alanlarına erişim hakkı sağlamaz.
Bu nedenle teknik erişim yetkisi ile hukuki erişim yetkisinin birbirinden ayrılması gerekmektedir. Denetimin hukuka uygunluğu, yalnızca işverenin teknik imkânlarına değil, somut olayın koşullarına ve ilgili mevzuatın öngördüğü şartlara göre değerlendirilmelidir.
7. İş İlişkisinin Sona Ermesinden Sonra Kurumsal E-posta Hesaplarına Erişim
İş ilişkisinin sona ermesinden sonra hesabın aktif kullanımının ve yeni iletilerin hesaba yönlendirilmesinin engellenmesi; mevcut verilerin ise somut hukuki ve işlevsel ihtiyaçlar çerçevesinde değerlendirilmesi gerekmektedir. Hukuki uyuşmazlıkların takibi, savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla verilerin muhafaza edilmesi söz konusu olabilecekse de erişim yetkilerinin sınırlı ve süreli olarak belirlenmesi, gereksiz verilerin silinmesi ve veri güvenliğinin sağlanması önem taşımaktadır.
Sonuç ve Değerlendirme
Kişisel Verileri Koruma Kurulunun yukarıda bahsedilen kararı, işverenlerin kurumsal e-posta hesapları ve işyerinde kullanılan iletişim kanalları üzerindeki denetim yetkisini kişisel verilerin korunması, haberleşme hürriyeti ve ölçülülük ilkeleri çerçevesinde değerlendirmektedir. İşbu karar doğrultusunda işverenlerin mevcut denetim politikalarını gözden geçirmeleri; kurumsal iletişim araçlarının kullanımına ilişkin kuralları açık, anlaşılır ve çalışanlar tarafından önceden bilinebilir şekilde belirlemeleri gerekmektedir. Bunun yanında, denetimin amacı ve kapsamı somutlaştırılmalı, öncelikle daha az müdahaleci yöntemler tercih edilmeli ve içerik incelemesi ancak gerekli olduğu durumlarda, sınırlı ve ölçülü biçimde gerçekleştirilmelidir.
Sonuç olarak, işverenin hakkı kapsamında gerçekleştirdiği denetim faaliyetlerinin hukuka uygunluğu, yalnızca meşru bir amacın varlığına değil, işleme şartlarının mevcut olmasına, çalışanın usulüne uygun bilgilendirilmesine, denetimin ölçülü ve yerinde oluşuna ve kişisel veri güvenliğinin sağlanmasına bağlıdır. Bu yükümlülüklere aykırılık halinde somut olayın özelliklerine göre 6698 sayılık Kanun kapsamından idari yaptırım riski doğacaktır.
Saygılarımızla,
Atabay Hukuk