KURUMSAL E-POSTA VE İLETİŞİM KANALLARININ DENETİMİNE İLİŞKİN KVKK İLKE KARARI YAYIMLANDI
8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı ile, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esaslar belirlendi. Karar, işverenin yönetim hakkı ile çalışanın özel hayatın gizliliği, kişisel verilerin korunması ve haberleşme hürriyeti arasında denge kurulmasını esas alıyor.
İletişim Aracının İşverene Ait Olması Sınırsız Denetim Yetkisi Vermiyor
Kurul, kurumsal e-posta hesapları ve diğer iş iletişim kanallarının denetlenmesinin kişisel veri işleme faaliyeti olduğunu vurguluyor. İletişim aracının işverene ait olması veya işyerinde kullanılması, çalışanların iletişim faaliyetleri üzerinde sınırsız denetim yetkisi sağlamıyor. Denetimin 6698 sayılı Kanun’daki veri işleme şartlarına, genel ilkelere, aydınlatma ve veri güvenliği yükümlülüklerine uygun yürütülmesi gerekiyor.
İş Amaçlı Kullanım, Özel Kullanım ve Teknik Erişim Birbirinden Ayrılmalı
Denetimin kapsamı belirlenirken iletişim aracının tahsis amacı ve kullanım kuralları dikkate alınmalı. Özel amaçlı kullanıma ilişkin kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalı. Özel kullanım yasaklansa dahi denetim ölçülülük ilkesiyle sınırlı. Ayrıca işverenin cihaz, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olması; çalışanın kişisel e-posta, anlık mesajlaşma, sosyal medya veya benzeri özel iletişim alanlarına hukuken serbestçe erişebileceği anlamına gelmiyor. Teknik erişim imkânı ile hukuki erişim yetkisi ayrılmalı.
Çalışanların Önceden Bilgilendirilmesi ve Aydınlatılması Gerekiyor
Aydınlatmada kişisel veri işleme faaliyetinin hukuki sebebi, amacı, kapsamı ve yöntemi; iletişim içeriklerine hangi hallerde erişilebileceği; saklama süresi ve çalışanların Kanun’un 11’inci maddesindeki hakları açık ve somut şekilde belirtilmeli. Yalnızca “kurumsal e-posta işveren tarafından denetlenebilir” şeklindeki genel bir bildirim yeterli kabul edilmiyor. İş ilişkisindeki güç dengesi nedeniyle açık rıza da her durumda öncelikli hukuki dayanak değil; geçerli bir açık rıza veya başka bir veri işleme şartı işverene sınırsız denetim yetkisi vermiyor.
Denetimde Ölçülülük ve Kademelilik Esas Alınmalı
Denetim belirli, açık ve meşru amaçlarla; amaçla bağlantılı, sınırlı ve ölçülü şekilde yürütülmeli. Meşru amaca daha az müdahaleci bir yöntemle ulaşılabiliyorsa daha ağır bir denetim yöntemine başvurulmamalı. İçerik incelemesi kural olarak yalnızca somut bir şüphe veya belirli bir olayla bağlantılı meşru amaç bulunduğunda ve bu amaçla sınırlı olarak yapılmalı; kapsamı belirsiz, genel ve sürekli içerik incelemelerinden kaçınılmalı.
Veri Güvenliği, Özel Nitelikli Veriler ve İş İlişkisinin Sona Ermesi
İçerik denetiminde özel nitelikli kişisel veriler ile üçüncü kişilere ait verilerle karşılaşılabileceği dikkate alınmalı. Elde edilen verilere erişim yalnızca görev ve yetki verilmiş sınırlı sayıdaki personelle sınırlandırılmalı, erişim kayıtları tutulmalı ve gizlilik yükümlülükleri güvence altına alınmalı. İş ilişkisinin sona ermesi halinde kurumsal e-posta hesabı ve bu hesap kapsamında tutulan verilerin işlenmesine ilişkin hukuki dayanak ayrıca değerlendirilmeli; iş ilişkisinin sona ermesi verilerin süresiz işlenebileceği anlamına gelmiyor.
İşverenler Açısından Uygulamada Dikkat Edilmesi Gerekenler
İşverenlerin kurumsal iletişim araçlarına ilişkin kullanım ve denetim politikalarını, çalışan aydınlatma metinlerini, denetimin amaç ve yöntemini, saklama sürelerini, erişim yetkilerini ve erişim kayıtlarını İlke Kararı doğrultusunda gözden geçirmeleri önem taşıyor. İçerik incelemesi yapılacak durumlar somut ve sınırlı belirlenmeli, mümkünse önce daha az müdahaleci yöntemler tercih edilmeli. Kurul, yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerine göre Kanun’un 18’inci maddesi kapsamında işlem tesis edilebileceğini belirtiyor.
