KVKK'dan İşverenlere Kurumsal E-Posta Uyarısı: Çalışanların Yazışmaları Sınırsız Denetlenemeyecek

Kişisel Verileri Koruma Kurulu (KVKK), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve iş amaçlı iletişim kanallarını denetlerken uyması gereken kuralları açıkladı. 8 Ekim 2026 tarihli Resmî Gazete'de yayımlanan 2026/2035 sayılı İlke Kararı'na göre işverenler, kurumsal iletişim araçlarına sahip olmalarını gerekçe göstererek çalışanların bütün yazışmalarına sınırsız şekilde erişemeyecek.

Kararda, çalışanların denetim faaliyetleri hakkında önceden ve açık biçimde bilgilendirilmesi, denetimlerin meşru bir amaca dayanması ve kişisel verilerin korunması mevzuatına uygun hareket edilmesi gerektiği vurgulandı.

Özellikle kurumsal e-posta hesaplarının incelenmesi, iletişim kayıtlarının tutulması ve elde edilen bilgilerin disiplin süreçlerinde kullanılması konusunda işverenlerin dikkat etmesi gereken ayrıntılar belirlendi.

Düzenleme, insan kaynakları departmanlarını, şirket yöneticilerini, bilgi işlem ekiplerini ve çalışanların kişisel verilerini işleyen bütün işletmeleri yakından ilgilendiriyor.

KVKK'nin 2026/2035 Sayılı İlke Kararı Yayımlandı

Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı.

Karar, işverenlerin çalışanlara tahsis ettiği iletişim araçlarını denetlemesi sırasında gerçekleştirilen kişisel veri işleme faaliyetlerine odaklanıyor.

Kurul, kendisine ulaşan çeşitli ihbar ve şikâyetlerde, işverenlerin kurumsal e-posta hesaplarını ve diğer iletişim kanallarını incelemesinin hukuka aykırılık oluşturabileceği yönünde iddiaların bulunduğunu belirtti.

Yapılan incelemeler sonucunda, işverenlerin denetim yetkilerinin sınırlarına ilişkin açıklama yapılmasına ihtiyaç duyuldu.

Bu kapsamda işverenlerin kişisel veri işleme şartlarına, aydınlatma yükümlülüğüne ve veri güvenliği kurallarına uygun hareket etmesi gerektiği açıklandı.

İşveren Kurumsal E-Postaları Kontrol Edebilir mi?

KVKK kararına göre işverenlerin kurumsal iletişim kanallarını denetlemesi her durumda yasak değil.

Ancak bu denetimlerin belirli hukuki koşullara uygun olması gerekiyor.

İşverenin yönetim hakkı, işin yürütülmesi ve bilgi güvenliği gibi meşru amaçlar belirli denetim faaliyetlerini gerekli kılabilir.

Bununla birlikte kurumsal e-posta hesabının işverene ait olması, bu hesapta bulunan bütün kişisel verilere sınırsız erişim hakkı tanımıyor.

Denetim faaliyetinin amacı, kapsamı ve yöntemi somut biçimde değerlendirilmelidir.

İşverenin ulaşmak istediği sonuca daha az müdahaleci bir yöntemle ulaşabilmesi mümkünse, daha kapsamlı bir inceleme yapılmaması gerekiyor.

Çalışanlara Önceden Bilgi Verilmesi Gerekiyor

İlke Kararı'nın önemli başlıklarından biri, çalışanların önceden bilgilendirilmesi.

İşverenlerin kurumsal e-posta ve diğer iletişim kanallarını hangi amaçlarla denetleyebileceğini çalışanlara açık biçimde bildirmesi gerekiyor.

Bu bilgilendirmenin yalnızca genel ifadelerden oluşması yeterli olmayabilir.

Örneğin bir şirkette çalışanlara yalnızca "Kurumsal e-postalar işveren tarafından kontrol edilebilir" denilmesi, her durumda yeterli aydınlatma yapıldığı anlamına gelmiyor.

Çalışanların hangi verilerinin, hangi amaçla, hangi hukuki sebebe dayanılarak ve hangi yöntemlerle işlenebileceği açıklanmalı.

Ayrıca iletişim içeriklerine hangi durumlarda erişilebileceği, verilerin saklama süreleri ve çalışanların sahip olduğu haklar hakkında bilgi verilmesi gerekiyor.

İşverenin Teknik Erişimi Sınırsız Hukuki Yetki Anlamına Gelmiyor

Kurul, teknik erişim imkânıyla hukuki erişim yetkisinin birbirinden ayrılması gerektiğini vurguladı.

Bir şirketin çalışanına bilgisayar, telefon veya kurumsal e-posta hesabı tahsis etmesi, o cihazdaki bütün kişisel iletişim alanlarını istediği gibi inceleyebileceği anlamına gelmiyor.

Özellikle kişisel e-posta hesapları, özel mesajlaşma uygulamaları ve sosyal medya hesapları bakımından çalışanların mahremiyet hakları önem taşıyor.

İşverenin sistem yöneticisi yetkisine sahip olması da bu alanlara sınırsız erişim hakkı sağlamıyor.

Bu nedenle bilgi işlem birimlerinin teknik erişim yetkileri ile işverenin hukuken gerçekleştirebileceği veri işleme faaliyetleri ayrı değerlendirilmelidir.

İş Amaçlı ve Kişisel Yazışmalar Ayrılmalı

KVKK kararında çalışanların iletişim araçlarını iş amacıyla mı yoksa kişisel amaçlarla mı kullandığının önem taşıdığı belirtildi.

İşverenler, şirket tarafından tahsis edilen iletişim araçlarının özel amaçlı kullanımına ilişkin kurallar belirleyebiliyor.

Ancak bu kuralların açık, anlaşılır ve çalışanlar tarafından bilinebilir olması gerekiyor.

Özel amaçlı kullanımın yasaklanması da işverene sınırsız denetim yetkisi sağlamıyor.

İş ve özel amaçlı kullanımın birbirinden kesin olarak ayrılamadığı durumlarda ise denetim yetkisinin daha dar değerlendirilmesi gerekiyor.

Dolayısıyla şirketlerin yalnızca kullanım yasağı koymaları, bütün iletişim içeriklerine erişimi hukuka uygun hale getirmiyor.

E-Posta İçeriklerinin İncelenmesinde Somut Şüphe Önemli

Kurulun değerlendirmesine göre iletişim içeriklerinin doğrudan incelenmesi, çalışanların özel hayatına daha yoğun müdahale oluşturabiliyor.

Bu nedenle içerik denetiminin kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru amaç bulunması halinde yapılması gerekiyor.

Denetimin kapsamı da söz konusu amaçla sınırlı olmalı.

Benzinde ÖTV 1 Kasım'da Artacak! Yeni Tutarlar Belli

İçeriği Görüntüle

Örneğin belirli bir güvenlik olayının araştırılması için ihtiyaç duyulan veriler ile çalışanın bütün geçmiş yazışmalarının incelenmesi aynı kapsamda değerlendirilemez.

Kurul, kapsamı belirsiz, genel ve sürekli nitelikte içerik incelemelerinden kaçınılması gerektiğini belirtti.

Bu yaklaşım, işverenlerin denetimleri otomatik ve sınırsız içerik taraması şeklinde yürütmemesi gerektiğini gösteriyor.

Kademeli Denetim İlkesi Uygulanmalı

2026/2035 sayılı İlke Kararı'nda denetimin kademeli biçimde gerçekleştirilmesi gerektiği ifade edildi.

İşverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşması mümkünse öncelikle bu yöntemin değerlendirilmesi gerekiyor.

Örneğin belirli bir bilgi güvenliği olayında sistem kayıtlarının incelenmesi yeterli olabilecekse, doğrudan bütün e-posta içeriklerinin okunması ölçülülük bakımından sorun oluşturabilir.

Ancak hangi denetim yönteminin uygun olduğu, somut olayın koşullarına göre belirlenmeli.

Bu nedenle bütün işletmeler için tek tip bir denetim yöntemi bulunduğu söylenemez.

Çalışanın Açık Rızası Her Durumda Yeterli Değil

KVKK kararında açık rıza konusuna da dikkat çekildi.

İş ilişkisinde işveren ile çalışan arasında ekonomik ve hukuki açıdan bir güç dengesi farklılığı bulunabiliyor.

Bu nedenle çalışanın açık rızasının her durumda öncelikli hukuki dayanak olarak kullanılması mümkün değil.

Açık rızanın özgür iradeyle verilip verilmediği somut olayın özelliklerine göre değerlendirilmeli.

Ayrıca geçerli açık rızanın bulunması, işverene sınırsız denetim yetkisi tanımıyor.

İşverenlerin kişisel veri işleme faaliyetlerinde uygun hukuki sebebi belirlemesi ve genel veri işleme ilkelerine uyması gerekiyor.

Disiplin ve İşten Çıkarma Süreçlerinde Dikkat Edilmeli

Kurul, işverenlerin kurumsal iletişim kanallarından elde ettikleri verileri zaman zaman disiplin süreçlerinde veya iş sözleşmesinin sona erdirilmesine yönelik işlemlerde kullandığını belirtti.

Ancak bu süreçlerde kullanılan verilerin hukuka uygun şekilde elde edilmesi önem taşıyor.

Bir çalışanın e-posta yazışmalarının işveren tarafından incelenmesi, kişisel verilerin korunması ve haberleşme özgürlüğü açısından değerlendirilmesi gereken bir işlem.

Bu nedenle işverenlerin iç soruşturmalar sırasında gerçekleştirdikleri veri işleme faaliyetlerinde amaç, kapsam ve hukuki dayanak konusunda dikkatli olmaları gerekiyor.

İlke Kararı, işverenin disiplin yetkisini tamamen ortadan kaldırmıyor; bu yetkinin kullanılması sırasında kişisel verilerin korunmasına ilişkin sınırları açıklıyor.

Çalışan İşten Ayrıldığında E-Posta Hesabı Ne Olacak?

Kararda iş ilişkisinin sona ermesinden sonraki veri işleme faaliyetlerine de yer verildi.

Bir çalışanın işten ayrılması, kendisine tahsis edilmiş kurumsal e-posta hesabındaki bütün verilerin süresiz olarak incelenebileceği anlamına gelmiyor.

İş ilişkisinin sona ermesinden sonra e-posta hesabına ve hesapta tutulan verilere ilişkin işlemlerin hukuki dayanağı ayrıca değerlendirilmeli.

Şirketlerin iş sürekliliğini sağlamak amacıyla ihtiyaç duydukları bilgilerle kişisel yazışmalar arasında ayrım yapması önem taşıyor.

Ayrıca verilerin gereğinden uzun süre saklanmaması gerekiyor.

Bilgi İşlem ve İnsan Kaynakları Birimleri İçin Yeni Uyarı

Kurul, denetim sonucunda elde edilen verilere erişimin yalnızca yetkilendirilmiş sınırlı sayıdaki personelle gerçekleştirilmesi gerektiğini belirtti.

Bu kapsamda erişim yetkileri görev tanımlarına göre oluşturulmalı.

Erişim işlemlerine ilişkin kayıtların tutulması ve verilere ulaşan personelin gizlilik yükümlülüklerinin güvence altına alınması gerekiyor.

Özellikle bilgi işlem birimlerinin kurumsal sistemlere erişim konusunda geniş teknik yetkilere sahip olması, hukuki sınırlamaların ortadan kalktığı anlamına gelmiyor.

İnsan kaynakları ve hukuk departmanlarının da e-posta denetimleri sırasında kullanılacak süreçleri kişisel verilerin korunması mevzuatıyla uyumlu hale getirmesi önem taşıyor.

Üçüncü Kişilerin Verileri de Korunmalı

Çalışanların e-posta ve diğer iletişim hesaplarında yalnızca kendilerine ait kişisel veriler bulunmayabiliyor.

Müşteri, tedarikçi, iş ortağı ve diğer çalışanlara ait bilgiler de yazışmalarda yer alabiliyor.

Bu nedenle iletişim içeriklerinin incelenmesi, üçüncü kişilerin kişisel verilerinin işlenmesine de neden olabilir.

Ayrıca bazı yazışmalarda özel nitelikli kişisel veriler bulunabileceği göz önünde bulundurulmalı.

Kurul, denetim süreçlerinde bu verilerin korunmasına ilişkin yükümlülüklerin de dikkate alınması gerektiğini vurguladı.

Kurallara Uyulmaması Halinde Yaptırım Uygulanabilecek

KVKK, İlke Kararı'nda belirtilen yükümlülüklere uyulmadığının tespit edilmesi halinde gerekli inceleme ve değerlendirmelerin yapılacağını açıkladı.

Somut olayın özelliklerine bağlı olarak 6698 sayılı Kanun'un 18'inci maddesi kapsamında ilgili veri sorumluları hakkında işlem tesis edilebilecek.

Ancak karar, bütün işverenlere otomatik olarak belirli tutarda para cezası uygulandığı anlamına gelmiyor.

İdari yaptırım değerlendirmesi, ortaya çıkan ihlalin niteliğine ve yürürlükteki kanuni hükümlere göre gerçekleştirilecek.

Şirketler Hangi Önlemleri Almalı?

Yeni İlke Kararı doğrultusunda işletmelerin kurumsal iletişim araçlarına ilişkin mevcut uygulamalarını gözden geçirmesi önem taşıyor.

Özellikle çalışanların önceden bilgilendirilmesi, e-posta denetimlerinin hukuki dayanağının belirlenmesi ve denetim yetkilerinin sınırlandırılması gerekiyor.

Şirketler açısından değerlendirilebilecek başlıca konular şunlar:

• Kurumsal e-posta ve iletişim araçlarına ilişkin kullanım kurallarının açık biçimde belirlenmesi.

• Çalışanlara uygun kapsamda KVKK aydınlatması yapılması.

• Denetim faaliyetlerinde veri işleme şartının ve meşru amacın belirlenmesi.

• İçerik incelemelerinde ölçülülük ve kademeli denetim ilkelerine uyulması.

• Verilere erişebilecek personelin yetkilerinin sınırlandırılması.

• Erişim kayıtlarının tutulması ve saklama sürelerinin değerlendirilmesi.

• İşten ayrılan çalışanların hesaplarıyla ilgili süreçlerin ayrıca düzenlenmesi.

Bu önlemler, kararın temel ilkeleri doğrultusunda işletmelerin uyum süreçlerini değerlendirmelerine yardımcı olabilir.

KVKK İlke Kararının Temel Bilgileri

İşverenler İçin Kurumsal E-Posta Denetiminde Yeni Dönem

Kişisel Verileri Koruma Kurulunun 2026/2035 sayılı İlke Kararı, işverenlerin kurumsal e-posta hesaplarını ve diğer iş amaçlı iletişim kanallarını denetlerken uyması gereken hukuki sınırları ayrıntılı biçimde ortaya koydu.

Karara göre işverenler, yalnızca sistemlerin sahibi oldukları veya teknik erişim yetkisine sahip bulundukları gerekçesiyle çalışanların bütün iletişim içeriklerini sınırsız inceleyemeyecek.

Denetimlerin belirli bir hukuki dayanağa ve meşru amaca sahip olması, çalışanların önceden bilgilendirilmesi ve veri işleme faaliyetlerinin ölçülü biçimde yürütülmesi gerekiyor.

Özellikle e-posta içeriklerinin incelenmesi, disiplin süreçlerinde kullanılması ve işten ayrılan çalışanların hesaplarına erişilmesi konularında işletmelerin dikkatli hareket etmesi önem taşıyor.

KVKK, yükümlülüklerin ihlal edilmesi halinde somut olayın özelliklerine göre ilgili veri sorumluları hakkında idari işlem yapılabileceğini duyurdu.