Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının denetlenmesinde uyulması gereken usul ve esaslar belirlenmiştir. İlke Kararı, denetim faaliyetlerinin hukuki dayanağı, çalışanların aydınlatılması, denetimin sınırları ve iş ilişkisinin sona ermesinden sonra hesapların yönetilmesine ilişkin yükümlülükleri açıklığa kavuşturmaktadır.
İşverenin Denetim Yetkisinin Sınırları
İlke Kararı uyarınca, işveren, yönetim hakkı kapsamında iletişimi denetleyebilir fakat bu denetleme sırasında çalışanların; kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti gözetilmelidir. Denetimin meşru bir amaca dayanması ve müdahalenin ölçülü olması gereklidir.
İlke Kararı’nda, Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesinin konuya ilişkin kararlarına atıf yapılarak, yazışma içeriğine erişilmeksizin yalnızca trafik veya işlem kayıtlarının incelenmesinin dahi kişisel veri işleme faaliyeti olarak ele alındığı ve içeriğin denetlenmesinin “daha ağır bir gerekçe” gerektirdiği belirtilmiştir. Dolayısıyla bu faaliyetler, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) genel ilkelerine, veri işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabidir. İletişim araçlarının işverene ait olması, işverene sınırsız denetim yetkisi tanımamaktadır.
Denetimde Uyulması Gereken Temel Esaslar
Kurul Kararı’nda çalışanlara tahsis edilen kurumsal e-posta hesabının niteliğine yönelik: bir iletişim aracı olmasının ötesinde çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı olduğu vurgulanmıştır. İlke Kararı kapsamında işverenlerin denetim hakkına yönelik özellikle aşağıdaki hususları dikkate alması gerekmektedir
- Önceden ve Somut Aydınlatma: Çalışanlara denetimin hukuki sebebi, amacı, kapsamı, yöntemi, içeriğe erişilecek hâller, saklama süresi ve Kanun kapsamındaki hakları açıkça bildirilmelidir. Hesabın denetlenebileceğine ilişkin genel ifadeler yeterli değildir.
- Uygun Hukuki Dayanak: İş ilişkisindeki güç dengesizliği nedeniyle çalışanın açık rızası, kural olarak öncelikli hukuki dayanak olarak esas alınmamalıdır. Somut olayın koşullarına göre hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması ya da meşru menfaat şartlarına dayanılabilir.
- Özel Kullanımın Sınırları: İletişim araçlarının özel amaçlı kullanımına ilişkin kurallar açıkça duyurulmalıdır. Özel kullanıma izin verilmişse ve iş amaçlı iletişim ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalıdır. Teknik erişim imkânı, çalışanın kişisel hesaplarına hukuken erişilebileceği gelmemektedir.
- Kademeli ve Ölçülü Denetim: Daha az müdahaleci yöntemlere öncelik verilmelidir. İçerik denetimine ancak trafik 3 verisi incelemesinin yetersiz kaldığı, içeriğe erişimin zorunlu olduğu istisnai hâllerde; somut şüpheye dayanılarak ve iddiayla sınırlı biçimde başvurulmalıdır.
- Veri Güvenliği: Erişim, görevleri gereği yetkilendirilmiş sınırlı personelle sınırlandırılmalı; erişim kayıtları tutulmalı ve gizlilik sağlanmalıdır. Özel nitelikli kişisel veriler ile yazışmalardaki üçüncü kişi verileri ayrıca gözetilmelidir.
- Denetimin Hukuka Aykırı Sayılması Hali: Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar aracılığıyla yürütülen denetim hukuka aykırıdır. Bu kapsamda, çalışana bilgi verilmeksizin yazışmalarının izlenmesi veya bilgisayarındaki faaliyetlerin kaydedilmesi gibi uygulamalardan kaçınılmalı; denetim, çalışanın bilgisi dâhilinde ve kapsamı ile yöntemi önceden açıklanmış, öngörülebilir bir çerçevede gerçekleştirilmelidir.
Aydınlatma ve Önceden Bilgilendirme Ayrımı:
İlke Kararı’nda, çalışanın denetim hakkında önceden bilgilendirilmesi ile Kanun kapsamındaki aydınlatma yükümlülüğünün birbirinden farklı olduğu vurgulanmaktadır. Kanun’un 10. maddesindeki unsurları taşıyan ve denetimin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren, usulüne uygun bir aydınlatma metni, önceden bilgilendirme şartını da karşılayabilecektir. Buna karşılık, aydınlatmanın zorunlu unsurlarını içermeyen genel bir bilgilendirme, Kanun kapsamındaki yükümlülüğün yerine getirildiği anlamına gelmeyecektir.
İş İlişkisinin Sona Ermesi
İş ilişkisinin sona ermesinden sonra kurumsal e-posta hesabına ilişkin veri işlemenin hukuki dayanağı ayrıca değerlendirilmelidir. Kural olarak hesap çalışanın aktif kullanımına ve yeni erişimlere kapatılmalı, iletilerin ilgisiz kişilerce görüntülenmesi önlenmeli ve hukuki dayanağı kalmayan veriler imha edilmelidir. İş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılabilmesi veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilir. Bu uygulamalar sınırlı ve süreli olmalı, erişim yetkileri belirlenmeli ve kayıt altına alınmalıdır.
Sonuç ve Değerlendirme
İlke Kararı’nda işverenin denetim yetkisinin olmasının, çalışanların verilerine yönelik sınırsız bir denetim ve erişim hakkı olduğunu anlamına gelmediği vurgulanmaktadır. Bu çerçevede İlke Kararı’nın temel etkisinin, işverenlerin iletişim kanallarını denetleme yetkisinin sınırlarını belirginleştirmesi, çalışanların aydınlatılması ve önceden bilgilendirilmesine ilişkin esasları açıklığa kavuşturması ve iş ilişkisinin sona ermesinden sonra kurumsal e-posta hesaplarının yönetimine ilişkin yükümlülükleri ortaya koyması olarak özetlenebilir.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
