Kişisel Verileri Koruma Kurulu’nun Kurumsal E-Posta ve İş Amaçlı İletişim Kanallarının Denetimine İlişkin 2026/2035 Sayılı İlke Kararının Değerlendirilmesi

Konu                      : Kişisel Verileri Koruma Kurulu’nun Kurumsal E-Posta ve İş Amaçlı İletişim Kanallarının Denetimine İlişkin 2026/2035 Sayılı İlke Kararının Değerlendirilmesi

1.                            GİRİŞ

Kişisel Verileri Koruma Kurulu (“Kurul”), 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Karar”)[1] ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi sırasında uyulması gereken usul ve esasları belirlemiştir. İlke Karar, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır.

İlke Karar’ın önemi, kurumsal iletişim araçlarının işverene ait olmasının veya iş amacıyla kullanılmasının, bu araçlarda yer alan kişisel verilere sınırsız erişim ve denetim yetkisi vermediğinin açıkça ortaya konulmasıdır. Kurul, işverenin yönetim ve denetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı, özel hayatı ve haberleşme hürriyeti arasında somut olayın koşullarına uygun bir denge kurulmasını gerekli görmektedir.

Bu bültende İlke Karar’ın kapsamı ve öne çıkan ilkeleri değerlendirilmekte; işverenlerin mevcut uygulamalarını gözden geçirmelerine yardımcı olabilecek hukuki ve operasyonel uyum önerilerine yer verilmektedir.

2.                            İLKE KARARIN KAPSAMI VE HUKUKİ ÇERÇEVESİ

İlke Karar yalnızca kurumsal e-posta hesaplarını değil, kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, müşteri ilişkileri ve talep yönetim sistemlerini, toplantı platformlarındaki sohbet ve kayıt alanlarını ve somut olayın özelliklerine göre denetime konu olabilecek diğer iş amaçlı iletişim kanallarını da kapsamaktadır. İnceleme yapılırken hesabın işveren tarafından tahsis edilip edilmediği, iş veya özel amaçlı kullanımı, çalışanın makul mahremiyet beklentisi ve işyerindeki kullanım kuralları birlikte ele alınmalıdır.

Kurul’a göre işverenin yalnızca gönderici, alıcı, zaman ve benzeri trafik/log kayıtlarını incelemesi de kişisel veri işleme faaliyetidir. Dolayısıyla sadece mesaj içeriğinin okunması değil, içerikten bağımsız izleme faaliyetleri de 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 4’üncü maddesindeki genel ilkelere, 5’inci ve gerektiğinde 6’ncı maddelerindeki işleme şartlarına, 10’uncu maddesindeki aydınlatma ve 12’nci maddesindeki veri güvenliği yükümlülüklerine uygun olmalıdır.

3.                       İLKE KARARDA BENİMSENEN TEMEL ESASLAR

3.1.                  İş Amaçlı ve Özel Amaçlı Kullanımın Ayrılması

İşveren, yönetim hakkı kapsamında kurumsal iletişim araçlarının özel amaçlarla kullanımını yasaklayabilir, sınırlandırabilir veya belirli şartlarla serbest bırakabilir. Bununla birlikte kullanım kurallarının açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekmektedir. İşyerindeki özel kullanım kurallarının varlığı, denetimin hukuka uygunluğunun değerlendirilmesini doğrudan etkileyecektir.

Özel amaçlı kullanımın yasaklanmış olması dahi işverene otomatik ve sınırsız içerik inceleme yetkisi vermez. İhlal, örneğin içeriğe erişmeden yapılan teknik tespitlerle anlaşılabiliyorsa yazışma içeriğine ulaşılması gerekli ve orantılı kabul edilmeyebilir. İş ve özel amaçlı yazışmaların ayrıştırılabildiği durumlarda denetim iş amaçlı iletişimle sınırlandırılmalı; ayrıştırılamadığı durumlarda ise denetim yetkisi daha dar yorumlanmalıdır. Sürekli ve aralıksız gözetim, Kurul tarafından ölçülü bulunmamaktadır.

3.2.                  Önceden Bilgilendirme, Aydınlatma ve Hukuki Sebep

Denetim faaliyetinin hukuka uygunluğunda çalışanın denetimden önce bilgilendirilmiş olması belirleyici unsurlardan biridir. Ancak çalışanın kullanım politikası hakkında bilgilendirilmesi ile KVKK’nın 10’uncu maddesi uyarınca aydınlatılması aynı yükümlülük değildir. Denetimin amacı, kapsamı ve yöntemi hakkında önceden açık bilgi veren ve KVKK’nın 10’uncu maddesindeki unsurları da karşılayan bir aydınlatma, her iki gerekliliğin yerine getirilmesine katkı sağlayabilir.

Aydınlatma metninde, yalnızca “kurumsal e-postalar denetlenebilir” şeklinde genel bir ifadeye yer verilmesi yeterli değildir. Denetimin hangi hukuki sebebe dayandığı, hangi amaçla yapıldığı, trafik/log kayıtlarıyla mı sınırlı kalacağı yoksa belirli şartlarda içerik incelemesi yapılıp yapılmayacağı, hangi verilere erişilebileceği, saklama süresi ve ilgili kişinin hakları somut, açık ve anlaşılır biçimde açıklanmalıdır. Yalnızca genel nitelikli bilgilendirmeyle yetinilmesi, Kurul’a göre aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmez.

İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rıza da e-posta denetiminde kural olarak ilk başvurulacak hukuki sebep değildir. Denetim somut olayın koşullarına göre KVKK’nın 5’inci maddesinin ikinci fıkrasının (ç), (e) veya (f) bentlerindeki işleme şartlarına dayanabilir; ancak bu şartların varlığı sınırsız izleme imkânı yaratmaz.

3.3.                  Denetimde Kademelilik, Somut Şüphe ve Ölçülülük

İlke Karar’ın en önemli yönlerinden biri, denetimde kademeliliği esas almasıdır. İşveren meşru amacına daha az müdahaleci yöntemlerle ulaşabiliyorsa daha ağır bir denetim yöntemine başvurmamalıdır. Örneğin güvenlik riskinin teknik filtreleme, erişim engelleme veya kapsamı dar bir trafik/log analiziyle giderilebildiği durumda doğrudan iletişim içeriğinin incelenmesine geçilmesi haklı görülemeyebilir.

İçerik incelemesi, trafik verilerinin denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai durumlarda gündeme gelebilir. Kurul, yazışma içeriğinin incelenmesi için genel ve soyut bir gerekçeyi yeterli görmemekte; somut şüpheye dayanan, iddiayla sınırlı ve güçlü bir meşru gerekçeyle desteklenen denetimi gerekli kabul etmektedir. Kapsamı belirsiz, genel veya süreklilik arz eden içerik incelemelerinden kaçınılmalıdır.

Denetim, belirli, açık ve meşru bir amaca dayanmalı; amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Elde edilen veriler yalnızca denetimin gerektirdiği süre boyunca muhafaza edilmelidir. İçeriğe erişim sırasında çalışanın veya yazışmanın karşı tarafındaki üçüncü kişilerin özel nitelikli kişisel verilerinin işlenme ihtimali ayrıca değerlendirilmeli; üçüncü kişilerin verileri üzerindeki etkiler de gözetilmelidir.

Çalışanın bilgisi dışında yürütülen gizli takip ve bütün işlemlerinin ayrım gözetilmeksizin kaydedilmesi İlke Karar’a göre hukuka aykırı sonuçlar doğurabilir. Bu nedenle denetimin çalışan tarafından öngörülebilir olması ve ancak gerekli müdahaleyi içeren belirli bir çerçevede yürütülmesi önem taşımaktadır.

3.4.                  Denetim Verilerine Erişim ve İş İlişkisinin Sona Ermesi

Denetim sonucunda elde edilen verilere erişim, yalnızca görevi gereği yetkilendirilmiş sınırlı sayıda personel ile sınırlandırılmalı; erişim yetkileri görev tanımlarına bağlanmalı, erişim kayıtları tutulmalı ve yetkili kişiler gizlilik yükümlülüğü altına alınmalıdır. Teknik erişim imkanının bulunması, tek başına hukuki erişim yetkisi olarak görülmemelidir.

İş ilişkisinin sona ermesinden sonra çalışanın kurumsal e-posta hesabına erişimin ve hesaba ilişkin işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. Kural, aktif kullanımın sonlandırılması, yeni erişimlerin kapatılması, verilerin ilgisiz kişilere gösterilmemesi ve hukuki dayanağı kalmayan verilerin silinmesidir. Bununla birlikte iş sürekliliği, kurumsal iletişimin aksamaması, uyuşmazlıklarda savunma hakkı veya kanuni yükümlülükler kapsamında süre, kapsam ve erişim yetkileri önceden belirlenmiş yönlendirme, otomatik yanıt, arşivleme ya da muhafaza tedbirleri somut olay özelinde değerlendirilebilir.

4.                            İŞVERENLER İÇİN UYUM VE RİSK AZALTMA ÖNERİLERİ

İlke Karar çerçevesinde şirketlerin kurumsal e-posta ve diğer iş amaçlı iletişim kanallarına yönelik mevcut uygulamalarını yalnızca teknik güvenlik perspektifinden değil, kişisel verilerin korunması ve iş hukuku boyutlarıyla birlikte gözden geçirmeleri uygun olacaktır. Bu kapsamda aşağıdaki adımların önceliklendirilmesini öneriyoruz:

(i) Yazılı kullanım ve denetim politikası oluşturulması: E-posta, kurumsal mesajlaşma ve benzeri sistemlerin iş/özel amaçlı kullanım kuralları; denetimin hangi sebeplerle ve hangi sınırlar içinde yapılacağı; sürekli izlemeden kaçınılacağı ve denetim prosedürleri açıkça düzenlenmelidir. Politika, çalışanlara erişilebilir ve anlaşılır şekilde duyurulmalıdır.

(ii) Aydınlatma metinlerinin güncellenmesi: Çalışan aydınlatma metni ve ilgili iç düzenlemeler, fiilen uygulanan denetim yöntemleri ile tutarlı hale getirilmeli; hukuki sebep, işlenen veri kategorileri, erişim koşulları, saklama süreleri, veri sahiplerinin hakları ve varsa alıcı grupları somutlaştırılmalıdır. Bilgilendirme ve aydınlatmanın yapıldığını gösteren kayıtlar muhafaza edilmelidir.

(iii) Kademeli inceleme prosedürü benimsenmesi: Şüphe veya olay bildirimi alındığında öncelikle denetimin meşru amacı ve olgusal dayanağı kaydedilmeli; teknik önlemler ve dar kapsamlı trafik/log incelemesi gibi daha az müdahaleci seçenekler değerlendirilmelidir. İçeriğe erişim, yalnızca bu yöntemlerin neden yetersiz kaldığı ve erişimin niçin zorunlu olduğu gerekçelendirilebiliyorsa, önceden tanımlı bir onay ve hukuki değerlendirme sürecinden geçirilerek yapılmalıdır.

(iv) Yetkilendirme ve veri güvenliği tedbirleri alınması: Denetim kararını veren, incelemeyi yürüten ve bulgulara erişebilen kişiler belirlenmeli; rol bazlı erişim kontrolleri, işlem kayıtları, gizlilik yükümlülükleri ve saklama-imha kuralları uygulanmalıdır. İncelemenin amacı dışındaki yazışmaların ve üçüncü kişilere ait verilerin gereksiz şekilde görüntülenmesini önleyecek tedbirler tasarlanmalıdır.

(v) İşten ayrılma süreçlerinin yeniden ele alınması: Ayrılan çalışanın posta kutusunun kullanımının kapatılması, otomatik yanıt ve yönlendirme gerekliliği, iş sürekliliği için erişim ihtiyacı, arşivleme ve saklama süresi, ayrı bir prosedüre bağlanmalıdır. Posta kutusuna başka bir çalışana sınırsız erişim verilmesi yerine ihtiyaçla sınırlı ve kayıt altına alınan yöntemler tercih edilmelidir.

(vi) Denetim kararlarının belgelendirilmesi: Her somut olayda şüphenin kaynağı, denetimin amacı, alternatif tedbirlerin neden yeterli olmadığı, erişilecek veri kategorileri, tarih aralığı, yetkililer ve verilerin saklama-imha planı kayıt altına alınmalıdır. Böylece alınan kararın gerekliliği ve ölçülülüğü sonradan da denetlenebilir hale getirilecektir.

5.                            SONUÇ VE DEĞERLENDİRME

İlke Karar, işverenlerin işin yürütülmesi, bilgi güvenliğinin sağlanması ve meşru menfaatlerinin korunması amacıyla denetim yapabilme ihtimalini bütünüyle ortadan kaldırmamaktadır. Bununla birlikte kurumsal e-posta veya iletişim sistemi üzerinde teknik kontrol sahibi olmak, yazışmalar üzerinde koşulsuz hukuki denetim yetkisi anlamına gelmemektedir. Hukuka uygunluk; önceden yeterli bilgilendirme, geçerli işleme şartı, somut ve meşru amaç, kademeli inceleme, ölçülülük ve etkili veri güvenliği tedbirlerinin birlikte sağlanmasına bağlıdır.

İlke Karar’a aykırı uygulamaların tespit edilmesi halinde, somut olayın özellikleri dikkate alınarak KVKK’nın 18’inci maddesi kapsamında idari işlem tesis edilmesi gündeme gelebilecektir. Bu nedenle, özellikle içerik incelemesini veya çalışan faaliyetlerinin sistematik takibini içeren mevcut uygulamaların gözden geçirilmesi önem taşımaktadır.

Önemle vurgulamak isteriz ki, İlke Karar’da öngörülen kademelilik, somut şüphe, zorunluluk ve ölçülülük kriterleri her olayın kendine özgü koşullarına göre değerlendirilmelidir. Denetimin yalnızca trafik/log verileriyle sınırlandırılıp sınırlandırılamayacağı, hangi aşamada ve ne ölçüde yazışma içeriğine erişilebileceği veya işten ayrılan çalışanın hesabının hangi yöntemle incelenebileceği, önceden tek bir genel kuralla kesin olarak belirlenemez. Bu sebeple izleme veya iletişim içeriğinin incelenmesini gerektiren somut bir durum ortaya çıktığında, herhangi bir denetim faaliyeti başlatılmadan önce konunun hukuk birimi veya bir avukat tarafından değerlendirilmesini; denetimin hukuki dayanağının, gerekliliğinin, kapsamının ve yönteminin somut olay özelinde belirlenmesini tavsiye ederiz.

Av. Ece Akbaba