top of page
Ara

İşverenler Çalışanların E-Postalarını Denetleyebilir mi? KVKK’dan Yeni İlke Kararı

4 gün önce
3 dakikada okunur

8 Ekim 2026 tarihli Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 2026/2035 sayılı İlke Kararı (“İlke Kararı”), işverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesaplarını ve diğer iş iletişim kanallarını denetlerken 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında uymaları gereken usul ve esasları belirlemektedir.

Kurul tarafından yapılan incelemelerde, çalışanların kurumsal e-posta hesaplarının ve diğer iletişim kanallarının izlendiği, yazışma içeriklerine erişildiği ve trafik ve log kayıtlarının incelendiği tespit edilmiştir. Ayrıca, filtreleme ve rutin denetim uygulamalarıyla elde edilen verilerin disiplin süreçlerinde veya iş sözleşmesinin sona erdirilmesi süreçlerinde kullanıldığı; ancak çalışanların bu faaliyetler hakkında yeterli, açık ve somut biçimde bilgilendirilmediği belirlenmiştir.

İlke Kararının Öne Çıkan Hususları

Kurumsal e-posta ve diğer iş iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen veri işleme faaliyetlerinin KVKK’ya uygun şekilde yürütülmesi gerektiği belirtilmiştir. İletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız bir denetim yetkisi sağlamamaktadır. Anayasa’nın 20. ve 22. maddeleri kapsamında özel hayatın gizliliği ve haberleşme hürriyeti gözetilerek, Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi kararlarında da benimsendiği üzere, denetimin meşru bir amaca dayanması, çalışanın önceden ve açık biçimde bilgilendirilmesi ile denetimin amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir.

Bu kapsamda, iş amaçlı kullanım ile özel amaçlı kullanım ayrımının önceden belirlenmesi önem taşımaktadır. İşveren tarafından özel amaçlı kullanımın yasaklanması veya belirli şartlara bağlanması halinde bunun çalışana açık ve bilinebilir şekilde bildirilmesi, özel kullanıma izin verilmesi halinde ise denetimin kapsamının buna göre sınırlandırılması gerekmektedir.

İçerik Denetimi Bakımından Daha Sıkı Ölçülülük

İçerik denetiminin, kural olarak yalnızca somut bir şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması halinde ve bu amaçla sınırlı olarak gerçekleştirilmesi, kapsamı belirsiz, genel ve sürekli incelemelerden kaçınılması gerekmektedir. Denetim sırasında, iletilerde veya eklerinde yer alabilecek özel nitelikli kişisel veriler ile üçüncü kişilere ait kişisel veriler de dikkate alınmalı ve çalışanlar denetimin kapsamı ve yöntemi hakkında önceden açık ve somut şekilde bilgilendirilmelidir. Bu yaklaşım, Anayasa Mahkemesinin E.Ü. (B. No: 2016/13010, 17.09.2020) ve Celal Oraj Altunörgü (B. No: 2018/31036, 12.01.2021) kararlarında ortaya koyduğu, iletişim akışının denetlenmesi ile iletişim içeriklerinin incelenmesi arasında ayrım yapılması, içerik incelemesi için daha ciddi gerekçeler aranması ve müdahalenin kapsamı ile ölçülülüğünün değerlendirilmesi gerektiğine ilişkin ilkelerle paralellik göstermektedir.

KVKK Bakımından Uygulanacak İşleme Şartları

İşverenin çalışanının açık rızasına dayanması, iş ilişkilerindeki bağımlılık ve güç dengesi nedeniyle tek başına yeterli bir hukuki dayanak olarak değerlendirilmemelidir. Açık rızaya dayanılan durumlarda rızanın özgür iradeye dayanıp dayanmadığının ayrıca değerlendirilmesi, somut olayın koşullarına göre KVKK’nın 5’inci maddesinin ikinci fıkrasında yer alan diğer işleme şartlarının uygulanabilir olup olmadığının da belirlenmesi gerekmektedir.

Denetimin, KVKK’da yer alan genel ilkelere uygun olarak belirli, açık ve meşru bir amaçla bağlantılı, sınırlı ve ölçülü şekilde yürütülmesi ve elde edilen verilerin yalnızca gerekli olduğu süre boyunca muhafaza edilmesi gerekmektedir.

İş İlişkisinin Sona Ermesinden Sonra Kurumsal E-Posta Hesapları

İş ilişkisinin sona ermesinden sonra, çalışana tahsis edilen kurumsal e-posta hesabına ilişkin veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmeli; hesap kural olarak pasifleştirilmeli ve veriler yalnızca belirli ve meşru amaçların gerektirdiği ölçüde muhafaza edilmelidir.

Şirketler Açısından Sonuçları

Kurul’un İlke Kararı doğrultusunda şirketlerin, kurumsal e-posta ve diğer iş iletişim kanallarına ilişkin mevcut denetim uygulamalarını, çalışanlara yönelik aydınlatma metinlerini ve iç politika ve prosedürlerini gözden geçirmeleri önem taşımaktadır. Çalışanlara yalnızca kurumsal e-posta hesaplarının denetlenebileceğine ilişkin genel bir bildirimde bulunulması yeterli olmayıp denetimin amacı ve kapsamı, trafik ve log kayıtlarının mı yoksa yazışma içeriklerinin mi inceleneceği, içeriklere hangi hâllerde erişilebileceği ve verilerin saklama süresi gibi hususların açık ve somut biçimde belirtilmesi gerekmektedir. Ayrıca denetimin gerekli ve ölçülü şekilde yürütülmesi, mümkün olduğunda daha az müdahaleci yöntemlerin tercih edilmesi, erişim yetkilerinin sınırlandırılması ve verilerin gizliliğinin korunması önem taşımaktadır. Bu yükümlülüklere aykırılık hâlinde, KVKK’nın 18’inci maddesi kapsamında ilgili veri sorumluları hakkında idari işlem tesis edilebileceği dikkate alınmalıdır.

bottom of page