KVKK’dan İşverenlere Kurumsal E-Posta Denetiminde Yeni Kurallar
Kişisel Verileri Koruma Kurulu, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş amacıyla kullanılan diğer iletişim kanallarını hangi şartlarda denetleyebileceğine ilişkin kapsamlı bir İlke Kararı yayımladı.
16 Eylül 2026 tarihli ve 2026/2035 sayılı Kurul Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlandı.
Kararla birlikte işverenlerin kurumsal e-posta hesabına sahip olmalarının veya çalışanlara şirket cihazı tahsis etmelerinin sınırsız bir denetim yetkisi vermediği açık biçimde ortaya konuldu. Çalışanların önceden bilgilendirilmesi, denetimin meşru bir amaca dayanması, ölçülü olması ve mümkün olduğunda daha az müdahaleci yöntemlere öncelik verilmesi gerekiyor.
Karar Yalnızca Kurumsal E-Postaları Kapsamıyor
KVKK’nın İlke Kararı sadece çalışanlara verilen kurumsal e-posta hesaplarıyla sınırlı değil.
İşin yürütülmesi amacıyla kullanılan kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre karar kapsamına girebilecek.
Dolayısıyla şirketlerin Teams, kurumsal mesajlaşma yazılımları, CRM sistemleri veya benzeri dijital iletişim araçlarında uyguladıkları izleme ve kayıt politikalarını da yeni esaslara göre değerlendirmesi gerekiyor.
İşverenin Sisteme Sahip Olması Sınırsız Yetki Vermiyor
Kurulun üzerinde özellikle durduğu noktalardan biri, işverenin teknik olarak erişebildiği her veriye hukuken de erişebileceği yönündeki yaklaşımın yanlış olması.
Bir bilgisayarın, sunucunun, e-posta hesabının veya ağ altyapısının işverene ait olması, çalışanların bütün yazışmalarının sınırsız biçimde görüntülenebileceği anlamına gelmiyor.
Teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden ayrılması gerekiyor.
Örneğin şirket bilgisayarında çalışan tarafından kullanılan kişisel e-posta hesabına teknik olarak ulaşılabiliyor olması, işverene bu hesaptaki mesajları serbestçe inceleme hakkı vermiyor.
Aynı yaklaşım kişisel mesajlaşma uygulamaları ve sosyal medya hesapları için de geçerli.
Çalışan Önceden Açık Şekilde Bilgilendirilmeli
İşverenlerin çalışan iletişimlerini denetlemeden önce kapsamlı bir bilgilendirme yapması gerekiyor.
Aydınlatmanın yalnızca “kurumsal e-posta hesapları denetlenebilir” şeklindeki genel bir ifadeden oluşması yeterli kabul edilmiyor.
Çalışanlara denetimin amacı, hukuki dayanağı, hangi iletişim kanallarının kontrol edileceği, ne tür verilere erişilebileceği, denetimin hangi yöntemle yapılacağı ve verilerin ne kadar süre saklanacağı açık şekilde anlatılmalı.
Ayrıca çalışanın kişisel verilerine ilişkin hakları konusunda da bilgilendirme yapılması gerekiyor.
Şirketlerin bu nedenle çalışan KVKK aydınlatma metinlerini, bilgi güvenliği politikalarını, personel yönetmeliklerini ve kurumsal cihaz kullanım prosedürlerini birlikte gözden geçirmesi önem taşıyor.
Log Kayıtlarının İncelenmesi Bile Kişisel Veri İşleme Sayılıyor
Kurul kararında önemli bir ayrım daha yapıldı.
İşverenin e-posta içeriğini hiç açmadan yalnızca trafik veya log kayıtlarını incelemesi de kişisel veri işleme faaliyeti olarak değerlendiriliyor.
Örneğin çalışanın hangi tarihte e-posta gönderdiği, hangi hesapla iletişim kurduğu veya sistem üzerinde hangi işlemleri gerçekleştirdiği gibi bilgiler kişisel veri kapsamında değerlendirilebiliyor.
Bu nedenle “mesajların içeriğini okumuyoruz, yalnızca log tutuyoruz” yaklaşımı şirketi KVKK yükümlülüklerinin dışında bırakmıyor.
Trafik ve log verilerinin işlenmesinde de hukuka uygunluk, belirli ve meşru amaç, veri minimizasyonu, ölçülülük, aydınlatma ve veri güvenliği yükümlülüklerine uyulması gerekiyor.
Yazışma İçeriğine Erişim Daha Ağır Şartlara Bağlı
KVKK, e-posta veya mesaj içeriklerinin incelenmesini daha müdahaleci bir denetim yöntemi olarak değerlendiriyor.
İşverenin ulaşmak istediği amaç trafik veya log kayıtlarının incelenmesiyle sağlanabiliyorsa doğrudan yazışma içeriğine erişilmemesi gerekiyor.
İçerik denetiminin ancak somut bir gerekçenin bulunduğu ve daha hafif yöntemlerin yeterli olmadığı durumlarda gündeme gelmesi bekleniyor.
Örneğin belirli bir şirket sırrının dışarı aktarılmış olabileceğine ilişkin somut şüphe bulunması halinde ilgili yazışmaların sınırlı şekilde incelenmesi farklı değerlendirilebilir.
Buna karşılık bütün çalışanların bütün e-postalarının sürekli olarak okunması veya kaydedilmesi ölçülülük ilkesiyle bağdaşmayabilir.
Sürekli ve Ayrım Gözetmeyen Gözetim Yapılamayacak
İlke Kararı, çalışanların sürekli ve kesintisiz biçimde izlenmesine de önemli sınırlamalar getiriyor.
Özel amaçlı kullanım şirket tarafından yasaklanmış olsa bile, bu durum işverenin çalışanı gün boyunca kesintisiz şekilde gözetleyebileceği anlamına gelmiyor.
Denetimin amaçla bağlantılı ve sınırlı olması gerekiyor.
Örneğin çalışanın kurumsal e-postayı kişisel amaçla kullandığı, yalnızca e-posta trafiği bilgilerinden anlaşılabiliyorsa doğrudan mesaj içeriğinin açılması her durumda gerekli ve orantılı kabul edilmeyebilir.
Bu nedenle şirketlerin otomatik izleme yazılımları kullanırken hangi veriyi neden topladığını ve veriye gerçekten ihtiyaç olup olmadığını değerlendirmesi gerekiyor.
Özel Kullanım Yasaklanabilir Ancak Kurallar Açık Olmalı
İşverenin yönetim hakkı kapsamında kurumsal e-posta veya diğer iletişim araçlarının kişisel kullanımını yasaklaması mümkün.
Ancak bu yasağın açık, anlaşılır ve çalışan tarafından önceden bilinebilir olması gerekiyor.
Şirket çalışanlarına verilen bilgisayarların veya e-posta hesaplarının yalnızca iş amacıyla kullanılacağı belirtiliyorsa bunun personel politikalarında, iş sözleşmelerinde veya ilgili bilgi güvenliği prosedürlerinde açıkça yer alması önem taşıyor.
Özel kullanım tamamen yasaklanabileceği gibi belirli sınırlar içinde serbest bırakılabilir.
Örneğin sınırlı kişisel kullanım, mesai dışı kullanım veya belirli uygulamaların kullanımına izin verilmesi mümkün.
Ancak şirket hangi modeli seçerse seçsin çalışanların hangi kurallara tabi olduğunu önceden bilmesi gerekiyor.
Özel Yazışmalar Mümkün Olduğunca Denetim Dışında Tutulacak
Şirket özel amaçlı kullanıma izin veriyorsa iş amaçlı iletişim ile kişisel iletişimin ayrılması önem kazanıyor.
Bu iki iletişim türü birbirinden ayrılabiliyorsa denetimin yalnızca işle ilgili bölümlerle sınırlı tutulması gerekiyor.
Çalışanın açıkça kişisel nitelikte olduğu belli olan yazışmalarının denetim dışında bırakılması gerekiyor.
İş ve özel iletişimin teknik olarak birbirinden ayrılamadığı durumlarda ise Kurul, işverenin denetim yetkisinin daha dar değerlendirilmesi gerektiğini belirtiyor.
Bu nedenle şirketlerin mümkünse kurumsal sistemleri kişisel ve iş amaçlı kullanımın teknik olarak ayrılabileceği şekilde yapılandırması yararlı olabilir.
Gizli Denetim Kural Olamayacak
Çalışanın hiçbir şekilde bilgilendirilmediği gizli izleme uygulamaları KVKK açısından önemli risk taşıyor.
Kurul kararında, çalışanların iletişim kanallarının hangi şartlarda denetlenebileceğine ilişkin önceden bilgilendirme yapılmasının temel koşullardan biri olduğu belirtiliyor.
Çalışanın bütün dijital faaliyetlerini farkında olmadan kayıt altına alan veya sürekli takip eden yazılımlar da ölçülülük açısından sorun oluşturabilir.
Bu nedenle işverenlerin kullandıkları personel takip yazılımları, ekran izleme sistemleri, e-posta güvenlik sistemleri ve log yönetim uygulamalarını karar doğrultusunda yeniden değerlendirmesi gerekebilir.
Açık Rıza Her Zaman Çözüm Değil
İşverenler açısından dikkat çekici başlıklardan biri de çalışanlardan alınan açık rızaya ilişkin.
Kurul, işçi ile işveren arasındaki güç dengesizliği nedeniyle açık rızanın her durumda güvenli ve öncelikli hukuki dayanak olarak kullanılamayacağını belirtiyor.
Çalışanın iş ilişkisi nedeniyle kendisini rıza vermek zorunda hissetmesi halinde rızanın özgür iradeyle verilip verilmediği tartışmalı hale gelebilir.
Bu nedenle şirketlerin “çalışandan açık rıza aldık, bütün e-postalarını kontrol edebiliriz” şeklinde bir yaklaşım benimsememesi gerekiyor.
Denetimin hukuki sebebi somut olayın koşullarına göre hukuki yükümlülük, bir hakkın tesisi veya korunması ya da veri sorumlusunun meşru menfaati gibi diğer veri işleme şartlarına dayanabilir.
Ancak hangi hukuki sebep kullanılırsa kullanılsın ölçülülük şartı devam ediyor.
İşten Ayrılan Çalışanın E-Postası da Sınırsız Kullanılamayacak
Karar, iş ilişkisi sona eren çalışanların kurumsal e-posta hesaplarını da kapsıyor.
Çalışanın işten ayrılması halinde hesabın aktif kullanımına ve yeni erişimlere kural olarak son verilmesi gerekiyor.
Hukuki dayanağı kalmayan kişisel verilerin ise KVKK hükümleri çerçevesinde silinmesi, yok edilmesi veya anonim hale getirilmesi gerekiyor.
Bununla birlikte iş sürekliliğinin sağlanması, devam eden hukuki uyuşmazlıklar veya yasal yükümlülükler gibi nedenlerle bazı kayıtların belirli süre korunması mümkün olabilir.
Şirketler işten ayrılan personele ilişkin e-posta hesaplarında otomatik cevap veya yönlendirme kullanacaksa bunun da sınırlı, süreli ve kayıt altına alınmış olması gerekiyor.
Eski Çalışanın E-Postası Başka Personele Sınırsız Devredilmemeli
Uygulamada sık karşılaşılan yöntemlerden biri, işten ayrılan çalışanın e-posta hesabının doğrudan başka bir personele açılması.
Yeni İlke Kararı bu tür uygulamalar açısından da şirketlerin daha dikkatli hareket etmesini gerektiriyor.
Eski çalışanın hesabında üçüncü kişilere ait kişisel veriler, özel yazışmalar veya görevle ilgisi olmayan bilgiler bulunabilir.
Bu nedenle iş sürekliliğinin sağlanması amacıyla ihtiyaç duyulan verilerin hangi yöntemle aktarılacağı ayrı değerlendirilmelidir.
E-posta hesabının tüm içeriğinin süresiz biçimde başka bir çalışana açılması veri minimizasyonu ve amaçla sınırlılık ilkeleri açısından sorun oluşturabilir.
Denetim Verilerine Herkes Erişemeyecek
Çalışan e-postaları veya iletişim kanallarının denetlenmesi sonucunda elde edilen verilere şirket içinde sınırsız erişim verilemeyecek.
Bu verilere yalnızca görev gereği erişmesi gereken yetkilendirilmiş kişilerin ulaşması gerekiyor.
Örneğin bilgi güvenliği, hukuk, iç denetim veya insan kaynakları birimlerinde görev yapan belirli kişilere kontrollü erişim tanımlanabilir.
Erişimlerin kayıt altına alınması ve ilgili personelin gizlilik yükümlülüğü altında olması gerekiyor.
Bu nedenle şirketlerin sistem yöneticilerinin ve bilgi işlem çalışanlarının erişim yetkilerini de yeniden gözden geçirmesi yararlı olabilir.
KVKK Aydınlatma Metinleri Tek Başına Yeterli Olmayabilir
Yeni İlke Kararı şirketlerin mevcut dokümantasyon yapısını da doğrudan ilgilendiriyor.
Çalışanlara işe girişte genel nitelikte bir KVKK aydınlatma metni imzalatılması, e-posta denetimi açısından her zaman yeterli olmayabilir.
Denetimin amacı, yöntemi, kapsamı ve hangi durumlarda içerik kontrolüne geçileceği gibi hususların açık şekilde belirlenmesi gerekiyor.
Bu nedenle şirketlerin çalışan KVKK aydınlatma metni, bilgi güvenliği politikası, kurumsal cihaz kullanım politikası, e-posta kullanım prosedürü ve disiplin yönetmeliğinin birbiriyle uyumlu olup olmadığını kontrol etmesi önem taşıyor.
İnsan Kaynakları ve Bilgi İşlem Birlikte Hareket Etmeli
Yeni düzenleme yalnızca şirketlerin hukuk veya KVKK ekiplerini ilgilendirmiyor.
İnsan kaynakları birimleri çalışan politikalarının hazırlanmasından sorumluyken, bilgi işlem birimleri teknik izleme ve log sistemlerini yönetiyor.
İç denetim ve bilgi güvenliği ekipleri ise olası ihlal ve suistimallerin tespiti amacıyla çalışan sistemlerini inceleyebiliyor.
Bu nedenle yeni İlke Kararına uyum sağlanabilmesi için şirket içindeki ilgili birimlerin birlikte hareket etmesi gerekiyor.
Teknik sistemde toplanan veriler ile çalışanlara yapılan bilgilendirmenin birbirine uygun olması özellikle önem taşıyor.
İç Denetim ve Suistimal İncelemelerinde Somut Gerekçe Önemli
Şirketlerde hile, veri sızıntısı, ticari sır ihlali veya çalışan suistimali şüphesi bulunduğunda e-posta incelemeleri sık kullanılan yöntemlerden biri.
Yeni karar bu tür incelemeleri tamamen yasaklamıyor.
Ancak denetimin belirli bir somut şüpheye dayanması, yalnızca ilgili çalışan ve dönemle sınırlandırılması ve mümkün olan en az müdahaleci yöntemle yürütülmesi gerekiyor.
Örneğin bir çalışanın müşteri verilerini dışarı aktardığına yönelik somut kanıt varsa ilgili tarih aralığı ve iletişimler üzerinde kontrollü inceleme yapılabilir.
Buna karşılık herhangi bir şüphe olmaksızın bütün çalışanların geçmiş yazışmalarının sürekli taranması çok daha yüksek KVKK riski yaratıyor.
İşverenler Ne Yapmalı?
Çalışanlarına kurumsal e-posta veya dijital iletişim aracı sağlayan şirketlerin öncelikle mevcut denetim uygulamalarını envanter haline getirmesi gerekiyor.
Hangi sistemlerin log tuttuğu, e-posta içeriklerinin otomatik olarak taranıp taranmadığı, mesajların ne kadar süre saklandığı ve bu verilere kimlerin erişebildiği belirlenmeli.
Ardından çalışanlara yapılan mevcut bilgilendirmelerin gerçekten uygulanan denetim sistemlerini açıklayıp açıklamadığı kontrol edilmeli.
İçerik denetimi yapılıyorsa bunun hangi durumlarda devreye girdiği, daha az müdahaleci yöntemlerin neden yeterli olmadığı ve erişimin nasıl kayıt altına alındığı açık şekilde belirlenmeli.
İşten ayrılan çalışanların e-posta hesapları için de ayrı kapatma, yönlendirme, saklama ve silme prosedürleri oluşturulması yararlı olacaktır.
Uyumsuzluk Halinde İdari İşlem Uygulanabilecek
KVKK’nın İlke Kararı yalnızca tavsiye niteliğinde bir rehber değil.
Kurul, belirlenen esaslara aykırı kişisel veri işleme faaliyetlerinin tespit edilmesi halinde 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 18’inci maddesi kapsamında ilgili veri sorumluları hakkında idari işlem tesis edilebileceğini açıkça belirtti.
Bu nedenle kurumsal e-posta ve diğer iletişim sistemlerinin denetlenmesi artık şirketlerin KVKK uyum çalışmalarında ayrıca ele alınması gereken önemli bir başlık haline geldi.
8 Ekim 2026 tarihinde Resmî Gazete’de yayımlanan İlke Kararı, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunması ve haberleşme özgürlüğü arasında daha net bir denge kurulmasını amaçlıyor.
