1. Giriş
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı (“Karar”) 8 Ekim 2026 tarihli ve 33394 sayılı Resmi Gazete’de yayımlanmıştır.
Kurul, işyerinde kullanılan iletişim kanallarının yalnızca kurumsal e-posta hesaplarıyla sınırlı olmadığını; kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanlarının da somut olayın özelliklerine göre denetime konu olabileceğini belirtmektedir. Bununla birlikte Kurul, iletişim aracının işverene ait olmasının veya işyerinde kullanılıyor olmasının, işverene çalışanların iletişim faaliyetlerini sınırsız biçimde denetleme yetkisi vermediğini vurgulamaktadır.
2. Denetim Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinin KVKK’ya Uygunluğu
Kurul tarafından yapılan incelemelerde; çalışanlara tahsis edilen iletişim kanallarının ve özellikle kurumsal e-posta hesaplarının izlendiği, bu kanallarda yer alan yazışma içeriklerine erişildiği, iletişim faaliyetlerine ilişkin trafik ve log kayıtlarının incelendiği, filtreleme veya rutin denetim uygulamalarının gerçekleştirildiği ve elde edilen verilerin disiplin süreçlerinde veya iş sözleşmesinin sona erdirilmesine ilişkin süreçlerde kullanıldığı, ancak söz konusu veri işleme faaliyetleri hakkında çalışanların yeterli, açık ve somut bir şekilde bilgilendirilmediği tespit edilmiştir.
Bu çerçevede, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerinin KVKK ve ilgili mevzuata uygun şekilde yürütülmesi için Kurul tarafından aşağıdaki hususların dikkate alınması gerektiği belirtilmiştir:
- Veri işleme faaliyetinin KVKK’ya uygun gerçekleştirilmesi: Kurumsal e-posta hesaplarının denetlenmesi, içeriğe erişilmeksizin yalnızca trafik/log kayıtlarının işlenmesinde dahi bir kişisel veri işleme faaliyeti oluşturmaktadır ve söz konusu veri işleme faaliyeti KVKK’nın veri işleme şartlarına, genel ilkelerine, aydınlatma ve veri güvenliği yükümlülüklerine tabidir.
- Denetim kapsamının “iş amaçlı kullanım” ve “özel amaçlı kullanım” dikkate alınarak gerçekleştirilmesi: Denetimin kapsamı belirlenirken iletişim aracının hangi amaçla tahsis edildiği ve kullanımına ilişkin kuralların neler olduğu dikkate alınmalıdır. Özel amaçlı kullanımın yasaklanmış ya da bu konuda açık bir düzenleme yapılmamış olması denetimin hukuka uygunluk değerlendirmesinde farklı sonuçlar doğurabilir.
- Özel amaçlı kullanıma ilişkin kuralların belirlenmesi: İşveren, yönetim hakkı kapsamında işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin kuralları belirleyebilir; ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekmektedir. Özel amaçlı kullanımın yasaklandığı durumlarda dahi işverenin denetim yetkisi ölçülülük ilkesiyle sınırlıdır. İş amaçlı kullanım ile özel amaçlı kullanımın birbirinden kesin olarak ayrılamadığı hallerde ise denetim yetkisinin kapsamı daha dar değerlendirilmelidir.
- Teknik erişim yetkisi ile hukuki erişim yetkisinin ayrılması: İşverenin belirli bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik erişim imkanına sahip olması, çalışanın kişisel e-posta hesabı, kişisel anlık mesajlaşma uygulaması, sosyal medya hesabı veya benzeri özel iletişim alanlarında bulunan yazışma içeriklerine serbestçe erişebileceği anlamına gelmemektedir.
- Çalışanın denetim faaliyeti hakkında önceden bilgilendirilmesi: Çalışanların gerçekleştirilecek denetim faaliyeti hakkında önceden bilgilendirilmiş olması, denetimin hukuka uygunluğunun tespitinde önem taşıyan unsurlardan biridir.
- İşveren tarafından yapılacak aydınlatmanın kapsamı: İşveren tarafından yapılacak aydınlatmada, (i) kişisel veri işleme faaliyetinin hukuki sebebi, (ii) amacı, (iii) kapsamı ve yöntemi ile (iv) iletişim içeriklerine hangi hallerde erişilebileceği, (v) verilerin saklama süresi ve (vi) ilgili kişilerin KVKK’nın 11’inci maddesi kapsamındaki hakları açık, anlaşılır ve somut biçimde ortaya konulmalıdır.
- Genel nitelikli bildirimlerin yeterli olmaması: Çalışanlara, yalnızca kurumsal e-posta hesabının işveren tarafından denetlenebileceğine ilişkin genel bir bildirimde bulunulması, somut olayın özelliklerine göre önceden bilgilendirme bakımından yeterli olmayacağı gibi, KVKK’nın 10’uncu maddesi kapsamındaki aydınlatma yükümlülüğünün de yerine getirildiği sonucunu kendiliğinden doğurmayacaktır.
- Çalışanın açık rızasının e-posta denetimi bakımından öncelikli hukuki dayanak olarak esas alınmaması gerektiği: İş ilişkisindeki bağımlılık hali ve taraflar arasındaki güç dengesi dikkate alındığında, çalışanın açık rızasının kural olarak e-posta denetimi bakımından her durumda öncelikli hukuki dayanak olarak kabul edilmesi mümkün değildir. Açık rızaya dayanılan durumlarda rızanın özgür iradeyle verilip verilmediği somut olayın koşulları çerçevesinde ayrıca değerlendirilmelidir.
- Denetimlerin genel ilkelere uygun ve ölçülü şekilde gerçekleştirilmesi: Denetim faaliyetleri, KVKK’nın 4’üncü maddesinde düzenlenen genel ilkelere uygun olarak; hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla ve bu amaçla bağlantılı, sınırlı ve ölçülü bir şekilde yürütülmelidir. Elde edilen kişisel veriler, işleme amacı bakımından gerekli olan süreden daha uzun süreyle muhafaza edilmemelidir.
- Kademeli denetim gerçekleştirilmesi: İşverenin ulaşmak istediği meşru amaca daha az müdahaleci bir yöntemle ulaşmasının mümkün olduğu hallerde, daha ağır bir denetim yöntemine başvurulmamalıdır.
- İçerik denetiminin gerçekleştirilme koşulları: Çalışanın özel hayatına ve haberleşme hürriyetine yönelen en yoğun müdahaleyi oluşturması sebebiyle içeriğin denetlenmesi daha güçlü ve somut bir meşru gerekçe gerektirmektedir; içerik denetimine yalnızca somut şüphe bulunan hallerde ve iddiayla sınırlı olacak biçimde başvurulmalıdır. Kapsamı belirsiz, genel ve sürekli nitelikte içerik incelemelerinden kaçınılması gerekmektedir.
- Özel nitelikli kişisel veriler ve üçüncü kişilere ait veriler: İçerik denetiminde, incelenen içerik veya eklerinde KVKK’nın 6’ncı maddesi kapsamında özel nitelikli kişisel verilerin bulunabileceği dikkate alınmalıdır. Bunun yanı sıra, çalışanların iletişimleri çoğu zaman iletişimin karşı taraflarına veya başka üçüncü kişilere ait kişisel veri de içerebileceğinden, denetimin bu kişiler bakımından doğurabileceği etkiler de göz önünde bulundurulmalıdır.
- Erişim yetkilendirmesi ve veri güvenliği: Kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarından elde edilen verilere erişim, yalnızca bu konuda görev ve yetki verilmiş belli sayıdaki personelle sınırlandırılmalıdır.
- İş ilişkisinin sona ermesi: İş ilişkisinin sona ermesinden sonra çalışana tahsis edilmiş kurumsal e-posta hesabı ve bu hesap kapsamında elde edilmiş veya tutulmakta olan verilere ilişkin gerçekleştirilen kişisel veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. İş ilişkisinin sona ermesi, söz konusu verilerin süresiz olarak erişilebilir veya işlenebilir olduğu anlamına gelmemektedir.
3. Sonuç
Karar’da, Kurul tarafından yukarıda yer alan yükümlülüklere uyulmadığının tespiti halinde, somut olayın özellikleri dikkate alınarak gerekli inceleme ve değerlendirmelerin yapılacağı ve KVKK’nın 18’inci maddesi hükümleri gereğince ilgili veri sorumluları hakkında işlem tesis edileceği belirtilmiştir. Bu çerçevede işverenlerin, çalışanlara tahsis edilen kurumsal e-posta hesapları ile işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarına ilişkin denetim uygulamalarını, aydınlatma metinlerini ve iç politikalarını Karar’da belirtilen usul ve esaslar doğrultusunda gözden geçirmesi, denetim kapsamının ölçülülük ilkesine uygun şekilde sınırlandırılması ve çalışanlara yönelik bilgilendirme süreçlerinin somut ve yeterli hale getirilmesi önerilmektedir.