Çalışanların Kurumsal E-Posta ve İletişim Kanallarının Denetlenmesine İlişkin Yeni KVKK İlke Kararı
8 Ekim 2026 tarihli Resmî Gazete'de yayımlanan Kişisel Verileri Koruma Kurulunun ("Kurul") 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı ("Karar"), işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ve diğer iş amaçlı iletişim kanallarını denetlerken uyması gereken esasları ortaya koymaktadır.
Karar, bu konuda bütünüyle yeni bir hukuki yaklaşım getirmemektedir. Anayasa Mahkemesi, önceki kararlarında da kurumsal e-posta hesaplarının işverene ait olmasının, yazışmaların sınırsız biçimde denetlenebileceği anlamına gelmediğini ortaya koymuştur. Bu kapsamda denetimin meşru bir amaca dayanması, çalışanların önceden bilgilendirilmesi ve müdahalenin gerekli ve ölçülü olması gerektiği vurgulanmıştır.
Yeni İlke Kararı, bu yerleşik yaklaşımı değiştirmekten ziyade, söz konusu ilkeleri 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") çerçevesinde somutlaştırarak işverenlerin denetim uygulamaları bakımından daha açık bir çerçeve ortaya koymaktadır.
1- İşverenin Denetim Yetkisinin Sınırları
Kurul, işverenin çalışanlara tahsis ettiği iletişim araçlarının sahibi olmasının veya bu araçların iş amacıyla kullanılmasının, işverene sınırsız bir denetim yetkisi vermediğini vurgulamaktadır.
Denetim faaliyetlerinin belirli, açık ve meşru bir amaca dayanması; kapsamının ve yönteminin bu amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir.
Kararda, iletişim içeriklerine erişilmesi ile trafik ve log kayıtlarının incelenmesi arasında önemli bir ayrım yapılmaktadır. Yazışma içeriklerinin incelenmesi, çalışanların özel hayatına ve haberleşme hürriyetine daha ağır bir müdahale oluşturduğundan, öncelikle daha az müdahaleci yöntemlere başvurulmalıdır.
Bu doğrultuda içerik incelemesi, somut bir gerekçenin bulunması ve daha sınırlı yöntemlerin yetersiz kalması halinde değerlendirilmelidir. Genel, kapsamı belirsiz ve sürekli nitelikteki içerik incelemelerinden kaçınılmalıdır.
2- Çalışanların Önceden Aydınlatılması
Kararın öne çıkan başlıklarından biri, çalışanların denetim faaliyetleri hakkında önceden, açık ve somut biçimde bilgilendirilmesi yükümlülüğüdür.
Çalışanlara yalnızca kurumsal iletişim hesaplarının denetlenebileceğinin bildirilmesi yeterli değildir. Aydınlatmanın; denetimin hukuki sebebini, amacını, kapsamını ve yöntemini, hangi verilere hangi koşullarda erişilebileceğini, saklama sürelerini ve çalışanların KVKK kapsamındaki haklarını içermesi gerekmektedir.
Ayrıca iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği dikkate alındığında, çalışanların açık rızasının her durumda uygun bir hukuki dayanak oluşturmayacağı gözetilmelidir.
Bu nedenle işverenlerin denetim faaliyetlerini yalnızca genel nitelikteki sözleşme hükümlerine veya çalışanların rızasına dayandırmaları yeterli olmayacaktır.
3- Denetimin Kapsamı ve Veri Güvenliği
Karar, kurumsal e-posta hesaplarının yanı sıra kurum içi mesajlaşma uygulamaları ve işin yürütülmesinde kullanılan diğer dijital iletişim kanallarını da kapsamaktadır.
Denetim sırasında çalışanların özel yazışmalarına veya müşteriler, tedarikçiler ve diğer üçüncü kişilere ait kişisel verilere erişilmesi ihtimali dikkate alınmalıdır.
Bu kapsamda iletişim verilerine erişim yetkileri sınırlandırılmalı, erişimler kayıt altına alınmalı ve veriler yalnızca gerekli sürelerle sınırlı olarak saklanmalıdır.
İş ilişkisinin sona ermesinden sonra çalışanlara tahsis edilmiş kurumsal hesaplara erişim ve bu hesaplarda bulunan kişisel verilerin işlenmesi de ayrıca değerlendirilmelidir.
4- Sonuç ve Şirketler Açısından Öneriler
Yeni İlke Kararı, işverenlerin kurumsal iletişim araçlarını denetleme yetkisini ortadan kaldırmamakta; önceki içtihatlarda da benimsenen meşru amaç, gereklilik, ölçülülük ve önceden bilgilendirme ilkelerinin uygulanmasına ilişkin çerçeveyi somutlaştırmaktadır.
Bu doğrultuda şirketlerin özellikle aşağıdaki hususları gözden geçirmeleri önerilmektedir:
Politika ve aydınlatma metinleri: Kurumsal e-posta ve diğer iletişim araçlarının kullanımına ilişkin iç politikalar ile çalışan aydınlatma metinleri Karar doğrultusunda güncellenmelidir.
Denetim prosedürleri: Hangi durumlarda trafik ve log kayıtlarının incelenebileceği, hangi koşullarda yazışma içeriklerine erişilebileceği ve erişim yetkilerinin kimlere tanınacağı açıkça belirlenmelidir.
İç soruşturma ve disiplin süreçleri: Özellikle disiplin incelemeleri ve iş sözleşmesinin feshi kapsamında gerçekleştirilen denetimlerde somut gerekçe, gereklilik ve ölçülülük değerlendirmeleri yapılmalı ve belgelendirilmelidir.
Veri güvenliği: İletişim verilerine erişim sınırlandırılmalı, erişim kayıtları tutulmalı ve iş amaçlı iletişim ile özel iletişimin ayrıştırılmasına yönelik tedbirler değerlendirilmelidir.
İşten ayrılma prosedürleri: İşten ayrılan çalışanların kurumsal hesaplarına erişim, hesapların kapatılması ve iş sürekliliği için gerekli verilerin muhafazasına ilişkin süreçler düzenlenmelidir.
Sonuç olarak, yeni İlke Kararı, işverenler bakımından yeni bir denetim yasağı getirmekten ziyade, mevcut hukuki yükümlülüklerin kurumsal uygulamalara yansıtılması gerektiğini bir kez daha ortaya koymaktadır.
Bu nedenle şirketlerin yalnızca aydınlatma metinlerini güncellemeleri değil, denetim uygulamalarını da gereklilik, ölçülülük ve hesap verebilirlik ilkeleri doğrultusunda gözden geçirmeleri önem taşıyor.
Bu yükümlülüklere aykırılık, somut olayın koşullarına göre KVKK kapsamında idari yaptırımlara da yol açabilir.
Yazar
Ömer Faruk Çıkın
