KVKK'dan İşverenlere Yeni Karar: Kurumsal E-Posta Denetimine Sınır
Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesaplarını ve iş amacıyla kullanılan diğer iletişim kanallarını denetlemesine ilişkin önemli bir ilke kararı yayımladı. 8 Ekim 2026 tarihli Resmî Gazete'de yayımlanan kararla, işverenlerin çalışanların elektronik yazışmalarını hangi koşullarda inceleyebileceği, önceden bilgilendirme yükümlülüğü, kişisel verilerin korunması ve denetim yetkisinin sınırları açıklandı. Kurallara aykırı hareket eden şirketler hakkında 6698 sayılı Kanun kapsamında işlem yapılabilecek.
Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı.
Karar, çalışanların kurumsal e-posta hesapları başta olmak üzere iş amacıyla kullandıkları iletişim araçlarının işveren tarafından denetlenmesine ilişkin temel ilkeleri ortaya koyuyor.
Kurul, çalışanlara ait yazışmaların incelenmesi, iletişim kayıtlarının kontrol edilmesi ve elde edilen bilgilerin disiplin süreçlerinde kullanılması gibi uygulamaların kişisel verilerin korunması mevzuatına uygun gerçekleştirilmesi gerektiğini vurguladı.
Düzenleme, özellikle insan kaynakları, bilgi teknolojileri, hukuk, iç denetim ve şirket yönetimi birimlerini yakından ilgilendiriyor.
İşverenlerin E-Posta Denetimi Yetkisi Sınırsız Değil
KVKK kararında öne çıkan temel husus, kurumsal e-posta hesabının işverene ait olmasının çalışanların bütün yazışmalarına sınırsız erişim hakkı vermemesi oldu.
İşverenler, işin yürütülmesi ve şirket kaynaklarının korunması amacıyla belirli denetimler gerçekleştirebilir.
Ancak bu denetimlerin hukuka uygun bir nedene dayanması, belirli bir amaç taşıması ve gerekli ölçülerle sınırlandırılması gerekiyor.
Çalışanın özel hayatının gizliliği, haberleşme özgürlüğü ve kişisel verilerinin korunması hakkı, işverenin yönetim yetkisiyle birlikte değerlendirilmeli.
Bu nedenle işverenlerin yalnızca teknik olarak erişebildikleri gerekçesiyle bütün elektronik yazışmaları incelemeleri hukuka uygun kabul edilmiyor.
Çalışanların Önceden Bilgilendirilmesi Gerekiyor
Yeni ilke kararında çalışanların denetim faaliyetleri hakkında önceden bilgilendirilmesinin önemi vurgulandı.
İşverenlerin kurumsal e-posta ve diğer iletişim sistemlerini hangi amaçlarla denetleyebileceğini çalışanlarına açık şekilde bildirmesi gerekiyor.
Bu bilgilendirmede denetimin kapsamı, yöntemi ve kişisel verilerin hangi hukuki gerekçeyle işleneceği anlaşılır biçimde belirtilmeli.
Ayrıca çalışanların iletişim içeriklerine hangi durumlarda erişilebileceğini önceden bilmesi önem taşıyor.
Kurul, yalnızca kurumsal e-postaların denetlenebileceğine ilişkin genel bir ifadenin her durumda yeterli olmayacağını belirtti.
Dolayısıyla şirketlerin mevcut personel aydınlatma metinlerini ve bilgi güvenliği politikalarını gözden geçirmesi gerekiyor.
Genel Nitelikli Aydınlatma Metinleri Yeterli Olmayabilir
İşletmelerde çalışanlara işe giriş sırasında çeşitli sözleşmeler ve kişisel veri aydınlatma metinleri imzalatılabiliyor.
Ancak ilke kararı, genel ifadeler içeren belgelerin denetim faaliyetlerini tek başına hukuka uygun hale getirmeyeceğini ortaya koyuyor.
Aydınlatma metinlerinde veri işlemenin amacı, kapsamı, yöntemi, hukuki sebebi ve saklama süresi gibi unsurların açıkça belirtilmesi gerekiyor.
Çalışanların kişisel verilerine ilişkin hakları konusunda da bilgilendirilmesi önem taşıyor.
Bu nedenle şirketlerin mevcut aydınlatma belgelerini yalnızca şeklen değil, içerik bakımından da değerlendirmesi gerekiyor.
Özel Amaçlı Yazışmalar İçin Daha Sıkı Sınırlar Bulunuyor
Kararda, iş amacıyla kullanılan iletişim kanalları ile çalışanların özel iletişim alanları arasında ayrım yapılması gerektiği belirtildi.
İşverenler, kurumsal sistemlerin kişisel amaçlarla kullanımına ilişkin belirli kurallar oluşturabilir.
Örneğin kurumsal e-posta hesaplarının özel amaçlarla kullanılmasını yasaklayabilir veya belirli koşullara bağlayabilir.
Ancak bu kuralların çalışanlar tarafından önceden bilinebilir olması gerekiyor.
Üstelik özel kullanımın yasaklanmış olması, işverene bütün yazışmaları sınırsız şekilde inceleme hakkı tanımıyor.
İş amaçlı ve özel amaçlı kullanımın birbirinden kesin olarak ayrılamadığı durumlarda denetim yetkisinin daha dar değerlendirilmesi gerekiyor.
Kişisel E-Posta ve Mesajlaşma Hesaplarına Serbest Erişim Yok
KVKK, teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden farklı olduğunu vurguladı.
Bir çalışanın şirket bilgisayarını kullanması, o bilgisayardaki bütün kişisel hesapların işveren tarafından incelenebileceği anlamına gelmiyor.
Çalışanın kişisel e-posta hesabı, özel mesajlaşma uygulaması veya sosyal medya hesabı gibi alanlarda bulunan yazışmaları, sırf şirket cihazından erişilebildiği gerekçesiyle serbestçe denetlenemiyor.
Bu nedenle bilgi işlem birimlerinin sahip olduğu yönetici yetkilerinin hukuki sınırlar çerçevesinde kullanılması gerekiyor.
Şirketlerin çalışan cihazlarına erişim prosedürlerini oluştururken özel iletişim alanlarının korunmasına dikkat etmesi önem taşıyor.
E-Posta İçeriklerinin İncelenmesi İstisnai Olmalı
İlke kararına göre çalışanların iletişim içeriklerine erişim, daha sınırlı koşullarda gerçekleştirilebilecek.
Kurul, yazışma içeriklerinin incelenmesine kural olarak somut bir şüphe veya belirli bir olayla bağlantılı meşru amaç bulunması halinde başvurulması gerektiğini belirtti.
Denetimin kapsamı da incelemeyi gerektiren olayla sınırlı tutulmalı.
Örneğin belirli bir bilgi güvenliği ihlaline ilişkin somut bulguların bulunması halinde ilgili yazışmaların incelenmesi değerlendirilebilir.
Ancak bu durum, bütün çalışanların e-posta içeriklerinin sürekli ve kapsamı belirsiz biçimde kontrol edilebileceği anlamına gelmiyor.
Denetim yönteminin gerekliliği ve ölçülülüğü her somut olay bakımından ayrıca değerlendirilmelidir.
Önce Daha Az Müdahaleci Yöntemler Kullanılmalı
KVKK kararında kademeli denetim yaklaşımı da öne çıkarıldı.
Buna göre işverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşması mümkünse daha ağır bir denetim uygulamasına başvurulmaması gerekiyor.
Örneğin belirli bir sistem güvenliği sorunu, teknik erişim kayıtları üzerinden değerlendirilebiliyorsa doğrudan çalışanların bütün e-posta içeriklerinin incelenmesi gerekli olmayabilir.
Benzer şekilde belirli bir işlem hakkında bilgi edinmek için tüm yazışma geçmişinin kontrol edilmesi ölçülülük açısından sorun oluşturabilir.
Şirketlerin denetim yöntemlerini belirlerken amaç ile kullanılacak araç arasındaki dengeyi dikkate alması gerekiyor.
Log Kayıtları da Kişisel Veri İçerebilir
Kurumsal sistemlerde gerçekleştirilen işlemlere ilişkin erişim ve hareket kayıtları, uygulamada log kayıtları olarak adlandırılıyor.
Bu kayıtlar kullanıcı bilgisi, erişim zamanı, sistem hareketleri ve çeşitli teknik veriler içerebiliyor.
Söz konusu bilgiler kimliği belirli veya belirlenebilir kişilerle ilişkilendirilebildiğinde kişisel veri niteliği taşıyabiliyor.
Bu nedenle yalnızca e-posta içeriklerinin değil, çalışanlara ilişkin sistem kayıtlarının da kişisel veri işleme ilkeleri çerçevesinde değerlendirilmesi gerekiyor.
Şirketlerin hangi log kayıtlarını topladığını, ne kadar süre sakladığını ve bu kayıtlara kimlerin erişebileceğini belirlemesi önem taşıyor.
Çalışanın Açık Rızası Tek Başına Yeterli Değil
Kararda çalışanlardan alınan açık rızanın hukuki niteliği de ele alındı.
İşveren ile çalışan arasındaki bağımlılık ilişkisi ve güç farklılığı nedeniyle açık rızanın her durumda öncelikli hukuki dayanak olarak kabul edilmesi mümkün görülmüyor.
Açık rızaya dayanılan durumlarda, rızanın gerçekten özgür iradeyle verilip verilmediğinin değerlendirilmesi gerekiyor.
Ayrıca geçerli bir açık rızanın bulunması, işverene sınırsız denetim hakkı sağlamıyor.
Bu nedenle şirketlerin kişisel veri işleme faaliyetlerini yalnızca personelden alınan genel nitelikli onaylara dayandırmaması önem taşıyor.
Denetim faaliyeti için 6698 sayılı Kanun'da öngörülen uygun işleme şartının bulunması ve genel ilkelere uyulması gerekiyor.
Disiplin Soruşturmalarında E-Posta Kayıtları Nasıl Kullanılacak?
İşverenler bazı durumlarda çalışanların kurumsal iletişim kayıtlarını disiplin incelemelerinde kullanabiliyor.
Ancak bu kayıtların elde edilmesi ve işlenmesi sırasında kişisel verilerin korunması mevzuatına uygun hareket edilmesi gerekiyor.
Karar, işverenin disiplin yetkisinin çalışanlara ait bütün iletişim kayıtlarına sınırsız erişim sağladığı şeklinde yorumlanamayacağını ortaya koyuyor.
Özellikle somut olayla ilgisi bulunmayan yazışmaların gereksiz biçimde incelenmesinden kaçınılmalı.
Denetim sonucunda elde edilen bilgilerin kullanım amacı ve saklama süresi de değerlendirilmelidir.
Hukuka aykırı yöntemlerle gerçekleştirilen veri işleme faaliyetleri, şirketler açısından ayrı hukuki riskler oluşturabilir.
İnsan Kaynakları Birimlerine Önemli Sorumluluklar Düşüyor
İlke kararı, şirketlerin insan kaynakları süreçlerini de ilgilendiriyor.
İşe giriş belgeleri, personel sözleşmeleri, kurumsal cihaz kullanım politikaları ve kişisel veri aydınlatma metinlerinin birbiriyle uyumlu olması gerekiyor.
Çalışanların hangi iletişim araçlarını ne şekilde kullanabilecekleri açık biçimde belirlenmeli.
Ayrıca denetim yapılabilecek durumlar, erişim yetkileri ve veri saklama uygulamaları hakkında çalışanlara yeterli bilgi verilmesi önem taşıyor.
İnsan kaynakları ve bilgi işlem birimlerinin bu süreçleri birlikte yönetmesi, uygulamada ortaya çıkabilecek hukuki sorunların azaltılmasına yardımcı olabilir.
Bilgi İşlem Birimlerinin Yetkileri Yeniden Değerlendirilmeli
Şirketlerde sistem yöneticileri teknik olarak kurumsal e-posta hesaplarına, sunuculara ve çeşitli iletişim kayıtlarına erişim sağlayabiliyor.
Ancak ilke kararı, teknik erişim yetkisinin hukuki denetim yetkisiyle aynı olmadığını vurguluyor.
Bu nedenle bilgi işlem personelinin sistemlere erişim yetkilerinin görev ve sorumluluklarla sınırlı tutulması gerekiyor.
Elde edilen kişisel verilere yalnızca yetkilendirilmiş personelin erişebilmesi önem taşıyor.
Ayrıca erişim işlemlerine ilişkin kayıtların tutulması ve yetkili personelin gizlilik yükümlülüklerinin güvence altına alınması gerekiyor.
Şirketlerin bilgi güvenliği politikalarını bu ilkeler doğrultusunda gözden geçirmesi yararlı olacaktır.
İşten Ayrılan Çalışanların E-Postaları da Koruma Altında
KVKK kararında iş ilişkisinin sona ermesinden sonraki veri işleme faaliyetlerine de yer verildi.
Bir çalışanın işten ayrılması, daha önce kullandığı kurumsal e-posta hesabındaki bütün verilere süresiz erişim sağlanabileceği anlamına gelmiyor.
İşverenin bu hesaplar üzerindeki veri işleme faaliyetlerinin hukuki dayanağını ayrıca değerlendirmesi gerekiyor.
Özellikle eski çalışanlara ait yazışmaların saklanması, incelenmesi veya başka kişilere aktarılması işlemlerinde hukuka uygunluk şartları dikkate alınmalı.
Şirketlerin işten ayrılma prosedürlerinde hesap kapatma, erişim yetkilerinin kaldırılması ve gerekli iş kayıtlarının korunması süreçlerini açık şekilde düzenlemesi önem taşıyor.
Üçüncü Kişilerin Verileri de Korunmalı
Kurumsal e-posta yazışmalarında yalnızca çalışanların değil, müşterilerin, tedarikçilerin ve diğer kişilerin bilgileri de bulunabiliyor.
Bu nedenle çalışanların iletişim kayıtlarının denetlenmesi, üçüncü kişilere ait kişisel verilerin işlenmesine de yol açabiliyor.
Özellikle yazışmalarda sağlık bilgileri veya diğer özel nitelikli kişisel verilerin bulunması durumunda daha dikkatli değerlendirme yapılması gerekiyor.
Şirketlerin denetim kapsamını belirlerken bu verilerin korunmasına ilişkin yükümlülüklerini de dikkate alması önem taşıyor.
İç Denetim ve Bağımsız Denetim Süreçlerine Etkisi
Kurumsal e-posta sistemleri, iç denetim ve bazı bağımsız denetim çalışmalarında kullanılan bilgi kaynakları arasında bulunabiliyor.
Özellikle şirket içi onay süreçleri, finansal işlemler ve kontrol faaliyetlerine ilişkin yazışmalar denetim açısından önem taşıyabiliyor.
Ancak denetim amacıyla kişisel verilere erişilmesi, veri koruma yükümlülüklerinin ortadan kalktığı anlamına gelmiyor.
Denetim ekiplerinin bilgi taleplerinin belirli bir amaçla sınırlandırılması ve gerekli olmayan kişisel verilerin paylaşılmasından kaçınılması önem taşıyor.
Ayrıca denetim sırasında elde edilen bilgilerin güvenli biçimde saklanması ve yalnızca yetkili kişiler tarafından kullanılması gerekiyor.
Bu nedenle işletmelerin denetim prosedürleri ile kişisel veri koruma politikalarını birlikte değerlendirmesi yararlı olacaktır.
Kurallara Uyulmaması Halinde İdari Yaptırım Uygulanabilir
Kişisel Verileri Koruma Kurulu, ilke kararında belirtilen yükümlülüklere aykırılık tespit edilmesi halinde ilgili veri sorumluları hakkında işlem yapılabileceğini açıkladı.
Bu kapsamda 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18'inci maddesi hükümleri uygulanabilecek.
Ancak her denetim faaliyeti için otomatik olarak aynı tutarda ceza uygulanması söz konusu değil.
İhlalin niteliği, ilgili kanun hükmü ve somut olayın koşulları değerlendirilerek işlem yapılabilecek.
Bu durum, şirketlerin personel iletişim sistemlerine yönelik denetim uygulamalarını hukuki risk yönetiminin önemli bir parçası olarak ele almasını gerektiriyor.
Şirketler Ne Yapmalı?
8 Ekim 2026 tarihinde yayımlanan ilke kararı sonrasında şirketlerin mevcut iletişim sistemleri ve çalışan denetim prosedürlerini gözden geçirmesi önem taşıyor.
Öncelikle kurumsal e-posta, mesajlaşma sistemleri ve diğer dijital iletişim araçlarına ilişkin kullanım kuralları belirlenmeli.
Çalışanlara sunulan KVKK aydınlatma metinleri, gerçekleştirilen fiilî veri işleme faaliyetleriyle karşılaştırılmalı.
Denetim yapılabilecek durumlar, veri işleme amaçları ve erişim yetkileri açık biçimde tanımlanmalı.
E-posta içeriklerinin incelenmesi gereken durumlarda somut gerekçelerin bulunması ve denetimin ilgili olayla sınırlı tutulması sağlanmalı.
Ayrıca işten ayrılan çalışanların hesaplarına ilişkin erişim ve saklama prosedürleri gözden geçirilmeli.
İnsan kaynakları, hukuk, bilgi işlem ve iç denetim birimlerinin ortak bir uyum süreci yürütmesi, mevzuata aykırı uygulamaların önlenmesine katkı sağlayabilir.
Yeni İlke Kararı İşverenlerin Denetim Yetkisini Netleştirdi
Kişisel Verileri Koruma Kurulunun 2026/2035 sayılı kararı, işverenlerin kurumsal iletişim araçları üzerindeki denetim yetkisinin kişisel verilerin korunması ilkeleriyle sınırlı olduğunu ortaya koydu.
Kararla birlikte önceden bilgilendirme, ölçülülük, kademeli denetim, içeriklere erişimin sınırlandırılması ve veri güvenliği konuları ön plana çıktı.
İşverenlerin şirket sistemlerini koruma ve iş süreçlerini denetleme yetkileri devam ederken çalışanların özel hayatının ve kişisel verilerinin korunmasına yönelik yükümlülükler de geçerliliğini koruyor.
Bu nedenle şirketlerin mevcut iletişim ve bilgi güvenliği uygulamalarını yeni ilke kararı doğrultusunda değerlendirmesi önem taşıyor.
