KVKK'dan Kurumsal E-Posta ve İş İletişim Kanallarının Denetlenmesine İlişkin İlke Kararı
Kişisel Verileri Koruma Kurulu (“Kurul”), 08 Ekim 2026 tarihli Resmî Gazete’de yayımlanan 2026/2035 sayılı İlke Kararı ile işyerlerinde sıkça karşılaşılan bir uygulamaya açıklık getiriyor. Kurul, kurumsal e-posta hesapları başta olmak üzere iş iletişim kanallarının denetlenmesinin başlı başına bir kişisel veri işleme faaliyeti olduğunu ve işverenin bu konudaki yetkisinin sınırsız olmadığını vurguluyor.
Yazar: Stj. Av. Ada Ulutaş
Tarih: 08.10.2026
Kararın Özeti
Kurul, 16.09.2026 tarihli kararında; kurumsal e-posta hesapları, kurum içi mesajlaşma uygulamaları, anlık iletişim hesapları ve toplantı platformları gibi iş iletişim kanallarının denetlenmesini Anayasa'nın 20. ve 22. maddeleri bağlamında değerlendiriyor. İçeriğe erişilmeden yalnızca trafik/log kayıtlarının işlenmesi bile ayrı bir kişisel veri işleme faaliyeti sayılıyor. Bu nedenle her denetim KVKK'nın genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabidir. Denetim; önceden bilgilendirilmeye dayanmalı, meşru bir amaç taşımalı, amaçla sınırlı ve ölçülü olmalı, daha az müdahaleci yöntemleri öncelemelidir. Kurul ayrıca açık rızanın kural olarak öncelikli hukuki dayanak olmadığını, içerik denetiminin yalnızca somut şüphe hâlinde yapılabileceğini ve iş ilişkisi sona erdiğinde hesabın kapatılması gerektiğini belirtiyor.
İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı
Kurul, denetimin kapsamı belirlenirken "iş amaçlı kullanım" ve "özel amaçlı kullanım" ayrımının dikkate alınması gerektiğini ifade ediyor. İşveren özel kullanıma ilişkin kurallar belirleyebiliyor; ancak bu kurallar açık, anlaşılır ve çalışanın bilebileceği nitelikte olmalıdır. Özel kullanımın yasaklandığı hâllerde bile denetim ölçülülük ilkesiyle sınırlı kalıyor ve sürekli gözetim ölçülü kabul edilmiyor. Özel kullanıma izin verilen hâllerde ise iş ve özel iletişim ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalıdır. Ayrıca işverenin bir cihaz veya sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta veya mesajlaşma hesaplarına erişme hakkı vermiyor.
Çalışanın Önceden Bilgilendirilmesi
Kurul, çalışanın denetim hakkında önceden bilgilendirilmesini hukuka uygunluğun belirleyici unsurlarından biri sayıyor. Bu bilgilendirme, KVKK m. 10 kapsamında usulüne uygun bir aydınlatma olmalıdır. Aydınlatma soyut ifadelerle yetinmemeli; hukuki sebebi, amacı, denetimin trafik/log mu yoksa içerik denetimi mi olduğunu, içeriğe hangi hâllerde erişileceğini, saklama süresini ve çalışanın m. 11 kapsamındaki haklarını somut biçimde içermelidir. "Kurumsal e-posta hesabı işveren tarafından denetlenebilir" gibi genel bildirimler bu şartı karşılamıyor.
Denetimde Uyulması Gereken İlkeler
Denetimde kademelilik esastır. İşveren meşru amacına daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır yönteme başvuramıyor. İçeriğe erişim ancak trafik verisi denetiminin yetersiz kaldığı istisnai hâllerde gündeme gelebilir; bu da yalnızca somut şüphe varsa ve iddiayla sınırlı olarak yapılabilir. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar ise hukuka aykırı sayılıyor. Denetim sonucunda elde edilen verilere yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personel erişebilmeli, erişim kayıtları tutulmalı ve bu kişiler gizlilik yükümlülüğü altına alınmalıdır.
İş ilişkisi sona erdikten sonra, kural olarak hesap çalışanın kullanımına ve yeni erişimlere kapatılmalı, hukuki dayanağı kalmayan kişisel veriler imha edilmelidir. İş sürekliliği, savunma hakkının kullanılması veya mevzuattan doğan yükümlülüklerin yerine getirilmesi için ise sınırlı, süreli ve kayıt altına alınmış yönlendirme, otomatik cevap veya arşivleme uygulamaları somut olayın koşullarına göre değerlendirilebiliyor.
SONUÇ
Kurul'un 2026/2035 sayılı İlke Kararı, işverenin yönetim hakkının çalışanın özel hayatı ve haberleşme hürriyeti karşısında sınırsız olmadığını gösteriyor. Yükümlülüklere uyulmadığının tespiti hâlinde ise KVKK m. 18 uyarınca veri sorumluları hakkında idari işlem tesis edilecektir. Bu nedenle işverenlerin iş ve özel kullanımı düzenleyen yazılı bir iletişim politikası hazırlaması, somut bir aydınlatma metni sunması, uygun işleme şartını belirleyip belgelendirmesi ve çalışan ayrılışında hesabın kapatılması ile imhasına ilişkin prosedür oluşturmalıdır. Mevcut denetim uygulamalarının bu karar ışığında gözden geçirilmesi KVKK'ya uyum açısından önemlidir.
Yukarıdaki metin bilgilendirme amaçlı olup, hukuki tavsiye niteliğinde değildir.
