08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de, Kişisel Verileri Koruma Kurulunun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı” (“İlke Kararı”) yayımlanmıştır.
İlke Kararı ile işverenlerin kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanalları üzerindeki denetim faaliyetlerinin kişisel verilerin korunması bakımından tabi olduğu esaslar açıklanmıştır. Kararda, işverenin yönetim ve denetim yetkisi ile çalışanların özel hayatına saygı, kişisel verilerinin korunmasını isteme ve haberleşme hürriyetleri arasında denge kurulması gerektiği vurgulanmıştır.
Denetimin Kapsamı ve Hukuki Niteliği
Kurul, kurumsal e-posta hesaplarının içeriklerine erişilmeksizin yalnızca trafik veya log kayıtlarının incelenmesinin dahi kişisel veri işleme faaliyeti olduğunu belirtmiştir. Bu nedenle gerek trafik verilerine gerekse iletişim içeriklerine yönelik denetimlerde 6698 sayılı Kişisel Verilerin Korunması Kanununun (“Kanun”) 4. maddesindeki genel ilkelere, 5. ve gerektiğinde 6. maddelerindeki işleme şartlarına, 10. maddesindeki aydınlatma yükümlülüğüne ve 12. maddesindeki veri güvenliği yükümlülüklerine uyulması gerekmektedir.
Denetim yalnızca kurumsal e-posta hesaplarıyla sınırlı değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ve toplantı platformlarındaki sohbet ve kayıt alanları da özelliklerine göre denetime konu olabilecektir. Bununla birlikte, iletişim araçlarının işverene ait olması veya işyerinde kullanılması, işverene sınırsız bir denetim yetkisi tanımamaktadır. İşverenin teknik erişim imkanı ile hukuken erişim yetkisi birbirinden ayrılmalıdır.
İş Amaçlı ve Özel Amaçlı Kullanımın Ayrıştırılması
İlke Kararında, iletişim araçlarının kullanım amacına göre “iş amaçlı kullanım” ve “özel amaçlı kullanım” ayrımının yapılması gerektiği belirtilmiştir. İşveren, işyeri iletişim araçlarının özel amaçlarla kullanımına ilişkin yasak veya sınırlamalar öngörebilecek olmakla birlikte, bunların açık, anlaşılır ve çalışanlar tarafından bilinebilir nitelikte olması gerekmektedir. Önceden belirlenmiş kuralların bulunup bulunmaması, denetimin hukuka uygunluğunun değerlendirilmesinde farklı sonuçlar doğurabilecektir.
Özel amaçlı kullanımın yasaklanmış olması ve bu yasağın ihlal edilmesi dahi işverene sınırsız bir içerik inceleme yetkisi vermemektedir. Böyle bir durumda da denetimin ölçülülük ilkesine uygun olması; özel kullanımın iş amaçlı iletişimden ayrıştırılabildiği hallerde incelemenin yalnızca iş amaçlı iletişimle sınırlı tutulması ve özel nitelikteki yazışmaların denetim dışında bırakılması gerekmektedir. İş amaçlı ve özel amaçlı iletişimin birbirinden ayrılamadığı hallerde ise işverenin denetim yetkisi daha dar yorumlanmalıdır. Sürekli ve aralıksız gözetim şeklindeki denetimler ölçülü kabul edilmeyecektir.
Çalışanların Önceden ve Açık Şekilde Bilgilendirilmesi ve Aydınlatma Yükümlülüğü
Çalışanların denetim faaliyetinden önceden haberdar edilmesi, denetimin hukuka uygunluğunun değerlendirilmesinde belirleyici unsurlardan biridir. Kurul, Anayasa Mahkemesi içtihadında aranan önceden bilgilendirme koşulu ile Kanunun 10. maddesindeki aydınlatma yükümlülüğünün birebir aynı kavramlar olmadığını; her bilgilendirmenin Kanun kapsamında aydınlatma sayılamayacağını, ancak usulüne uygun ve denetimin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren bir aydınlatmanın önceden bilgilendirme koşulunu da karşılayabileceğini belirtmiştir.
Bu kapsamda genel nitelikli bir “kurumsal e-posta hesabı işveren tarafından denetlenebilir” bildirimi yeterli değildir. İşverenin yapacağı aydınlatmada veri işlemenin hukuki sebebi, amacı ve kapsamı, denetimin trafik/log kayıtları üzerinden mi yoksa içerik incelemesi yoluyla mı yürütüleceği, içeriklere hangi hallerde erişilebileceği, verilerin saklama süresi ve Kanunun 11. maddesi kapsamındaki ilgili kişi hakları açık ve somut biçimde açıklanmalıdır.
Kurul, çalışanın denetim faaliyeti hakkında önceden bilgilendirilmediği ve Kanunun 10. maddesine uygun şekilde aydınlatılmadığı hallerde, kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağının gözetilmesi gerektiğini belirtmiştir. Ayrıca yalnızca genel nitelikli bildirimler ne önceden bilgilendirme koşulunu ne de aydınlatma yükümlülüğünü karşılayacaktır.
Denetimin Hukuki Dayanağı ve Açık Rızanın Yeri
İlke Kararında, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle çalışanın açık rızasının, kurumsal e-posta denetimlerinde kural olarak öncelikli hukuki dayanak olarak kullanılmaması gerektiği belirtilmiştir. Açık rızaya dayanılması halinde rızanın özgür iradeyle verilip verilmediği somut olayın özelliklerine göre değerlendirilecektir.
Denetim kapsamında gerçekleştirilen kişisel veri işleme faaliyetleri, somut olayın koşullarına göre Kanunun 5. maddesinin 2. fıkrasındaki hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemenin zorunlu olması şartlarına dayandırılabilecektir. Ancak söz konusu işleme şartlarından birinin bulunması, işverene sınırsız denetim yetkisi vermeyecektir.
Kademelilik, Ölçülülük ve İçerik İncelemesinin Sınırları
Kurul, denetim faaliyetlerinin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlara dayalı, amaçla bağlantılı, sınırlı ve ölçülü şekilde yürütülmesi gerektiğini vurgulamıştır.
Bu kapsamda işverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşması mümkünse daha ağır denetim yöntemlerine başvurulmaması gerekmektedir.
Özellikle iletişim içeriklerine erişim, trafik ve log kayıtlarının incelenmesine göre çalışanın özel hayatına ve haberleşme hürriyetine daha ağır bir müdahale oluşturduğundan, yalnızca trafik verilerinin incelenmesinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hallerde gündeme gelebilecektir. Ayrıca çalışanlara tahsis edilen iletişim araçlarının kötüye kullanımının filtreleme veya engelleme gibi teknik yöntemlerle önlenebildiği hallerde işverenin genel bir içerik denetimi yapamayacağı belirtilmiştir.
İçerik denetimi daha güçlü ve somut bir meşru gerekçeye dayanmalı; yalnızca somut şüphe bulunan hallerde, ilgili iddiayla sınırlı olarak yürütülmelidir. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalıdır. Ayrıca yazışmaların gövdesinde veya eklerinde özel nitelikli kişisel verilerin ve üçüncü kişilere ait kişisel verilerin bulunabileceği dikkate alınmalıdır.
Gizli ve Sürekli İzleme ve Denetim Verilerine Erişim
Kurul, çalışanın önceden bilgilendirilmediği gizli izleme yöntemleriyle veya çalışanın bütün işlemlerini ayrım gözetmeksizin kaydeden araçlarla gerçekleştirilen denetimlerin hukuka aykırı olacağını belirtmiştir. Bu kapsamda denetimin çalışanların bilgisi dahilinde, önceden belirlenmiş amaç ve yöntemlerle, öngörülebilir bir çerçevede yürütülmesi gerekmektedir.
Denetim sonucunda elde edilen kişisel verilere erişim, yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personelle sınırlandırılmalı; erişim yetkileri görev tanımlarına göre belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altında bulunmalıdır.
İş İlişkisinin Sona Ermesinden Sonra Kurumsal E-Posta Hesapları
İlke Kararında, iş ilişkisinin sona ermesinden sonra çalışana tahsis edilmiş kurumsal e-posta hesabına ilişkin kişisel veri işleme faaliyetlerinin hukuki dayanağının ayrıca değerlendirilmesi gerektiği belirtilmiştir.
Kural olarak ilgili hesabın çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılması, hesaba gelen iletilerin ilgisiz kişiler tarafından görüntülenmesine imkan verilmemesi ve hukuki dayanağı kalmayan kişisel verilerin imha edilmesi gerekmektedir.
Bununla birlikte iş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla, somut olayın koşullarına göre hesabın erişim yetkileri belirlenmiş ve kayıt altına alınmış şekilde yönlendirilmesi, otomatik cevap verilmesi, arşivlenmesi veya muhafaza edilmesi değerlendirilebilecektir.
İlke Kararına Aykırılığın Sonuçları
Kurul, İlke Kararında belirtilen yükümlülüklere uyulmadığının tespit edilmesi halinde somut olayın özelliklerine göre gerekli incelemelerin yapılacağını ve Kanunun 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini belirtmiştir.
Değerlendirme ve Sonuç
İlke Kararı ile işverenlerin çalışanlarına tahsis ettikleri kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanalları üzerindeki denetim yetkisinin sınırları, kişisel verilerin korunması ve çalışanların temel hakları çerçevesinde açıklığa kavuşturulmuştur. İşverenin iletişim araçlarının sahibi olması veya bunlara teknik olarak erişebilmesi, söz konusu araçlar üzerinden gerçekleştirilen tüm yazışmaları sınırsız şekilde denetleyebileceği anlamına gelmemektedir.
Bu kapsamda, çalışanların denetim faaliyetleri hakkında önceden ve açık şekilde bilgilendirilmesi, denetimlerin belirli ve meşru amaçlarla sınırlı tutulması ve daha az müdahaleci yöntemlere öncelik verilmesi önem taşımaktadır. Özellikle trafik ve log kayıtlarının incelenmesi ile iletişim içeriklerine erişilmesi arasında ayrım yapılması; içerik denetimine ise yalnızca somut şüpheye dayanan, daha güçlü bir meşru gerekçenin bulunduğu ve daha az müdahaleci yöntemlerin yetersiz kaldığı istisnai hallerde başvurulması gerekmektedir.
Bu doğrultuda işverenlerin kurumsal e-posta ve diğer iletişim araçlarının kullanımına ilişkin iç politika ve prosedürlerini, denetim faaliyetlerinin hukuki dayanaklarını ve kapsamını, çalışanlara sunulan aydınlatma metinlerini ve içerik incelemesine ilişkin uygulamalarını İlke Kararı çerçevesinde gözden geçirmeleri önem taşımaktadır. Ayrıca denetim sonucunda elde edilen kişisel verilere erişim yetkilerinin sınırlandırılması, saklama ve imha süreçlerinin belirlenmesi ve iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesaplarının yönetimine ilişkin uygulamaların İlke Kararında belirtilen esaslarla uyumlu hale getirilmesi gerekmektedir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
