Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 08.10.2026 tarihli Resmî Gazete’de yayımlandı.
Kararla birlikte işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarını denetlerken uyması gereken esaslar belirlendi.
1. İşverenin denetim yetkisi sınırsız değildir.
Kurumsal e-posta hesaplarının yanı sıra kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da denetim kapsamında değerlendirilebilir.
Ancak iletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız denetim yetkisi tanımaz. E-posta içeriklerine erişilmeksizin yalnızca trafik ve log kayıtlarının incelenmesi dahi kişisel veri işleme faaliyetidir ve KVKK hükümlerine tabidir.
2. İş amaçlı ve özel amaçlı kullanım ayrımı gözetilmelidir.
İşveren, iletişim araçlarının özel amaçlı kullanımını yasaklayabilir, sınırlandırabilir veya belirli koşullara bağlayabilir. Ancak bu kurallar açık, anlaşılır ve çalışanlar tarafından bilinebilir olmalıdır.
Özel kullanımın yasaklanması dahi sınırsız denetim hakkı doğurmaz. İhlalin içerik dışı verilerle tespit edilebildiği durumlarda yazışma içeriklerinin ayrıca incelenmesi ölçülü kabul edilmez.
Özel kullanıma izin verilen durumlarda iş ve özel iletişim birbirinden ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalıdır. Ayrımın yapılamadığı durumlarda ise denetim yetkisi daha dar yorumlanmalıdır.
Ayrıca işverenin bir cihaz veya kurumsal sistem üzerinde teknik erişim yetkisine sahip olması, çalışanın kişisel e-posta, mesajlaşma veya sosyal medya hesaplarındaki yazışmalara serbestçe erişebileceği anlamına gelmez.
3. Çalışanlar önceden, açık ve kapsamlı biçimde bilgilendirilmelidir.
Denetimin hukuka uygunluğunda çalışanın önceden bilgilendirilmesi temel unsurlardan biridir.
Ancak genel bir bilgilendirme, KVKK’nın 10. maddesi kapsamındaki aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmez.
Aydınlatmada veri işlemenin hukuki sebebi, amacı ve kapsamı; denetimin trafik/log kayıtları üzerinden mi yoksa içerik incelemesiyle mi yapılacağı; içeriklere hangi durumlarda erişilebileceği; saklama süreleri ve çalışanların KVKK kapsamındaki hakları açıkça belirtilmelidir.
Yalnızca kurumsal e-posta hesaplarının denetlenebileceğine ilişkin genel bir bildirim yeterli değildir. Önceden yeterli şekilde bilgilendirilmeyen çalışanın haberleşmesine ve kişisel verilerine müdahale edilmeyeceği yönündeki makul beklentisi dikkate alınmalıdır.
4. Denetimin hukuki dayanağı bulunmalı ve ölçülülük ilkesine uyulmalıdır.
İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanın açık rızası, e-posta denetiminde kural olarak öncelikli hukuki dayanak olarak esas alınmamalıdır.
Somut olayın koşullarına göre KVKK’nın 5. maddesinin ikinci fıkrasında düzenlenen hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da veri sorumlusunun meşru menfaati gibi işleme şartlarına dayanılabilir.
Bununla birlikte herhangi bir hukuki işleme şartının bulunması, işverene sınırsız denetim yetkisi vermez. Denetim belirli, açık ve meşru bir amaca dayanmalı; amaçla bağlantılı, sınırlı ve ölçülü olmalı, veriler yalnızca gerekli süre boyunca saklanmalıdır.
5. Denetimde daha az müdahaleci yöntemlere öncelik verilmelidir.
Denetimde kademelilik esastır. İşveren, amacına daha az müdahaleci yöntemlerle ulaşabiliyorsa daha ağır bir denetim yöntemine başvuramaz.
İletişim araçlarının kötüye kullanımının filtreleme veya engelleme gibi teknik önlemlerle önlenebildiği durumlarda genel bir denetim hakkı doğmaz.
Yazışma içeriklerine erişim ise ancak trafik verilerinin incelenmesinin yetersiz kaldığı, içerik incelemesinin zorunlu olduğu istisnai durumlarda ve somut şüpheyle bağlantılı olarak gündeme gelebilir.
Kapsamı belirsiz, genel ve sürekli içerik incelemelerinden kaçınılmalıdır.
6. Gizli izleme ve sınırsız kayıt uygulamaları hukuka aykırıdır.
Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemlerinin ayrım gözetilmeksizin kaydedildiği denetim uygulamaları hukuka aykırıdır.
Denetim, çalışanın bilgisi dâhilinde ve öngörülebilir bir çerçevede yürütülmelidir.
7. Kişisel verilerin güvenliği ve erişim sınırları korunmalıdır.
İçerik denetimi sırasında yazışmalarda yer alabilecek özel nitelikli kişisel veriler ile üçüncü kişilere ait kişisel verilerin korunması da gözetilmelidir.
Denetim sonucunda elde edilen verilere yalnızca yetkilendirilmiş sınırlı sayıdaki personel erişebilmelidir. Erişim yetkileri görev tanımlarına göre belirlenmeli, erişim kayıtları tutulmalı ve ilgili personelin gizlilik yükümlülükleri güvence altına alınmalıdır.
8. İş ilişkisinin sona ermesinden sonra da veri koruma yükümlülükleri devam eder.
İş ilişkisinin sona ermesiyle kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir.
Kural olarak hesap aktif kullanıma ve yeni erişimlere kapatılmalı, gelen iletilerin ilgisiz kişiler tarafından görüntülenmesi önlenmeli ve hukuki dayanağı kalmayan kişisel veriler imha edilmelidir.
Bununla birlikte iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya yasal yükümlülüklerin yerine getirilmesi amacıyla sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilir.
İşverenler açısından sonuç:
İlke Kararı, çalışanların kurumsal iletişim kanallarının denetlenmesinde işverenin yönetim hakkı ile çalışanların kişisel verilerinin korunmasını isteme hakkı ve haberleşme özgürlüğü arasında denge kurulması gerektiğini ortaya koymaktadır.
Bu kapsamda işverenlerin iletişim araçlarına ilişkin kullanım ve denetim politikalarını, çalışanlara yönelik aydınlatma metinlerini, veri güvenliği önlemlerini, erişim yetkilerini ve işten ayrılma süreçlerini gözden geçirmeleri önem taşımaktadır.
Belirtilen yükümlülüklere uyulmadığının tespiti hâlinde, somut olayın özellikleri dikkate alınarak gerekli inceleme yapılacak ve KVKK’nın 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edilecektir.
Kararı incelemek için Kişisel Verileri Koruma Kurulunun 16/09/2026 Tarihli ve 2026/2035 Sayılı Kararı adresini ziyaret edebilirsiniz.
Stj. Şebnem CAMADAN
TARLAN AVUKATLIK BÜROSU
AV. AYLİN TARLAN
