8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan, Kişisel Verileri Koruma Kurulu’nun (Kurul) 16/09/2026 tarihli ve 2026/2035 Karar sayılı İlke Kararı ile işyerlerinde çalışanlara tahsis edilen kurumsal e-posta hesapları ve iletişim kanallarının işverenler tarafından denetlenmesine ilişkin çerçeve netleştirilmiştir. Kurul; iletişim araçlarının işverene ait olmasının işverene sınırsız denetim yetkisi vermediğini vurgulayarak, gizli izleme faaliyetlerini yasaklamış, somut bilgilendirme yapılması ve denetimde ölçülülük ilkelerine uyulması şartını getirmiştir.
1. Kararın Arka Planı ve Düzenlemenin Amacı
6698 sayılı Kişisel Verileri Koruma Kanunu’nun (KVKK) 15’inci ve 22’nci maddeleri uyarınca alınan bu ilke kararı, çalışanların kişisel verilerinin korunması hakkı ve haberleşme hürriyeti ile işverenin yönetim hakkı arasındaki dengenin kurulmasını amaçlamaktadır.
Kurul kararına göre; çalışanlara tahsis edilen kurumsal e-posta hesapları, kurum içi mesajlaşma uygulamaları, anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları denetime konu olabilen iletişim kanalları arasında yer almaktadır. İşverenin, e-postanın içeriğine erişmeksizin yalnızca trafik/log kayıtlarını işlemesi dahi başlı başına bir kişisel veri işleme faaliyeti teşkil etmektedir.
2. Kurul Tarafından Belirlenen Temel İlkeler ve Sınırlamalar
KVKK İlke Kararı uyarınca işverenlerin çalışan iletişim kanallarını denetlerken uymakla yükümlü olduğu temel kurallar şunlardır:
- Sınırsız Denetim Yetkisi Yoktur: İletişim araçlarının işverene ait olması veya işyerinde bulunması, işverene sınırsız ve mutlak bir denetim yetkisi vermez.
- İş ve Özel Kullanım Ayrımı: Denetim kapsamı belirlenirken “iş amaçlı kullanım” ve “özel amaçlı kullanım” ayrımı gözetilmelidir. Özel amaçlı kullanım yasaklanmış olsa dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır. Sürekli ve aralıksız gözetim ölçülü kabul edilemez. İhlal içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine erişilmesi orantısız sayılır.
- Teknik Yetki ile Hukuki Yetki Ayrımı: İşverenin belirli bir cihaz, oturum veya ağ üzerinde teknik erişim yetkisine sahip olması, çalışanın kişisel e-posta, kişisel mesajlaşma veya sosyal medya hesaplarındaki yazışmalara serbestçe erişebileceği anlamına gelmez.
- Aydınlatma ve Ön Bilgilendirme Şartı: Çalışanın denetim hakkında önceden bilgilendirilmesi zorunludur. Sadece “kurumsal e-postalar denetlenebilir” şeklindeki genel bildirimler yetersizdir. Aydınlatmada; denetimin hukuki sebebi, amacı, denetimin log kayıtlarıyla mı yoksa içerik denetimiyle mi yapılacağı, içeriğe hangi hallerde bakılacağı ve saklama süreleri açıkça belirtilmelidir.
- Açık Rıza ve İşleme Şartları: İş ilişkisindeki güç dengesizliği nedeniyle çalışanın açık rızası e-posta denetimi bakımından kural olarak öncelikli hukuki dayanak yapılamaz. Denetim faaliyetleri somut olayın şartlarına göre KVKK m. 5/2 kapsamındaki “meşru menfaat”, “hukuki yükümlülük” veya “hakkın tesisi/korunması” işleme şartlarına dayandırılmalıdır.
- Kademelilik ve Ölçülülük İlkeleri: İşverenin ulaşmak istediği amaca engelleme veya filtreleme gibi daha az müdahaleci yöntemlerle ulaşabildiği durumlarda genel denetim yapılamaz. İçerik denetimine ancak trafik verisi denetiminin yetersiz kaldığı somut şüphe hallerinde ve iddiayla sınırlı olarak başvurulabilir.
- Gizli İzleme Yasağı: Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden denetim araçları hukuka aykırıdır.
- Erişim Yetkisi ve Güvenlik: İletişim verilerine erişim yalnızca bu konuda yetkilendirilmiş sınırlı personel ile sınırlandırılmalı, erişim kayıtları (loglar) tutulmalı ve erişen kişiler gizlilik yükümlülüğü altına alınmalıdır.
- İşten Ayrılma Sonrası Kurumsal E-Postalar: İş ilişkisi sona eren çalışanın kurumsal e-posta hesabı kural olarak aktif kullanıma ve yeni erişimlere kapatılmalı, hukuki dayanağı kalmayan veriler imha edilmelidir. İş sürekliliği ve kurumsal iletişimin aksamaması amacıyla sınırlı ve süreli otomatik cevap veya yönlendirme uygulamaları somut olaya göre değerlendirilebilir.
3. Yaptırım ve İdari İşlemler
Kişisel Verileri Koruma Kurulu, belirlenen ilkeler ve yükümlülüklere aykırı hareket edildiğinin tespiti halinde, 6698 sayılı Kanun’un 18’inci maddesi uyarınca veri sorumlusu işverenler hakkında idari para cezası ve idari yaptırımlar tesis edeceğini açıkça hükme bağlamıştır.
Genç Avukatlık Bürosu Olarak Değerlendirmemiz:
KVKK’nın yayımladığı bu İlke Kararı, perakendecilikten finans sektörüne, bilişimden üretime kadar tüm işverenlerin İnsan Kaynakları ve Bilgi Teknolojileri (BT) politikalarını baştan aşağı revize etmelerini zorunlu kılmaktadır.
Çalışanların e-postalarının veya mesajlaşma sistemlerinin gizlice ya da soyut bildirimlerle izlenmesi, yalnızca KVKK kapsamında ağır idari para cezalarına yol açmakla kalmayacak; aynı zamanda iş hukuku boyutunda yapılan fesihlerin “haksız/geçersiz fesih” sayılmasına ve Anayasal düzeyde haberleşme hürriyetinin ihlali iddialarına zemin hazırlayacaktır.
İşveren Şirketlerin Acilen Atması Gereken Adımlar:
- Şirket içi BT ve İletişim Araçları Kullanım Prosedürlerinin güncellenmesi,
- Çalışanlara yönelik KVKK m. 10 uyarınca somut ve detaylı e-posta denetim aydınlatma metinlerinin tebliğ edilmesi,
- Gizli izleme yazılımlarının veya tüm ekranı/yazışmayı kesintisiz kaydeden araçların kullanımının derhal durdurulması,
- İşten ayrılan personelin kurumsal e-posta hesaplarının kapatılması ve yönlendirme süreçlerinin KVKK standartlarına uyarlanması.
Şirketinizin veri koruma ve İK süreçlerini bu yeni İlke Kararı’na tam uyumlu hale getirmek ve hukuki risk analizi gerçekleştirmek adına büromuzun uzman KVKK ve İş Hukuku departmanlarıyla iletişime geçebilirsiniz.
