8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan, 16/09/2026 tarih ve 2026/2035 sayılı Kişisel Verileri Koruma Kurulu (“Kurul”) İlke Kararı (“İlke Kararı”) ile işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin usul ve esaslar belirlenmiştir.
İşverenler açısından temel sonuç, denetimin 6698 sayılı Kişisel Verilerin Korunması Kanun (“KVKK”) uyarınca geçerli bir veri işleme şartına dayanması, çalışanın önceden aydınlatılması ve denetimin amaçla sınırlı, ölçülü şekilde yürütülmesidir.
İlke Kararı’nda yer alan ilkeler aşağıda özetlenmektedir:
- Kurumsal e-posta hesaplarının ve diğer iş amaçlı iletişim kanallarının denetlenmesi, sadece trafik/log kayıtlarının incelenmesi olsa dahi bir kişisel veri işleme faaliyetidir ve işverene sınırsız denetim yetkisi vermez.
- Denetimde iş amaçlı ve özel amaçlı kullanım ayrımı gözetilmeli; özel kullanım kuralları çalışana açıkça duyurulmalı ve denetim ölçülülük ilkesiyle sınırlı tutulmalıdır. Özel kullanım yasaklanmış olsa da bu sınır geçerlidir; iş amaçlı ve özel amaçlı kullanımın kesin olarak ayrılamadığı hâllerde denetimin kapsamı daha dar belirlenmelidir.
- İşverenin cihaz, ağ veya kurumsal sisteme teknik olarak erişebilmesi, çalışanın kişisel e-posta, mesajlaşma veya sosyal medya hesaplarındaki özel yazışmalarına serbestçe erişebileceği anlamına gelmez.
- Çalışan, denetimin amacı, kapsamı ve yöntemi konusunda KVKK’ya uygun şekilde önceden açıkça aydınlatılmalıdır. Aydınlatma; veri sorumlusunun kimliğini, işleme ve aktarım amaçlarını, verilerin aktarılabileceği kişileri, toplama yöntemini ve hukuki sebebi, içeriklere hangi hâllerde erişilebileceğini; saklama süresini ve KVKK’nın 11’inci maddesindeki hakları da açıklamalıdır. Genel nitelikli bir denetim bildirimi, aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmez.
- Denetim için KVKK’nın 5’inci maddesine uygun bir hukuki dayanak belirlenmelidir. İşveren ile çalışan arasındaki güç dengesizliği nedeniyle açık rıza her durumda öncelikli hukuki dayanak olarak kabul edilemez; açık rızaya dayanılıyorsa rızanın özgür iradeyle verildiği somut olayda değerlendirilmelidir. Geçerli bir açık rıza veya başka bir veri işleme şartı da sınırsız denetim yetkisi vermez.
- Denetim, KVKK’nın 4’üncü maddesindeki genel ilkelere uygun, kademeli ve ölçülü yürütülmeli; daha az müdahaleci yollarla amaca ulaşılabiliyorsa içerik denetimine başvurulmamalıdır. Veriler yalnızca belirli ve meşru amaçlarla, bu amaçlarla bağlantılı ve gerekli olduğu ölçüde işlenmeli; gerekenden uzun süre saklanmamalıdır.
- İçerik denetimi daha ağır bir müdahaledir; kural olarak yalnızca somut şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunması hâlinde ve denetimin amacıyla sınırlı olarak yapılmalıdır. Kapsamı belirsiz, genel ve sürekli nitelikte içerik incelemelerinden kaçınılmalıdır.
- İçerik ve eklerinde özel nitelikli kişisel veriler bulunabileceği dikkate alınmalı; bu verilerin işlenmesinde KVKK’nın 6’ncı maddesindeki şartlar ve Kurulun belirlediği yeterli önlemler gözetilmelidir. Yazışmalardaki üçüncü kişi verileri bakımından denetimin etkileri de değerlendirilmelidir.
- Elde edilen verilere erişim, görevleri doğrultusunda yetkilendirilmiş sınırlı sayıda personelle ve erişim kayıtları tutulmalı ve erişen kişilerin gizlilik yükümlülükleri güvence altına alınmalıdır.
- İş ilişkisi sona erdiğinde kurumsal e-posta hesabına ve hesaptaki verilere yönelik işlemenin hukuki dayanağı ayrıca değerlendirilmelidir. İş ilişkisinin sona ermesi, hesabın ve verilerin süresiz erişime açık tutulmasına veya işlenmesine dayanak oluşturmaz. İşleme şartları tamamen ortadan kalkan veriler, KVKK’ya uygun olarak silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
İlke Kararı’nda yer alan usul ve esaslara uyulmadığının tespiti hâlinde Kurul, somut olayın özelliklerini dikkate alarak inceleme ve değerlendirme yapacak; ilgili veri sorumluları hakkında KVKK’nın 18’inci maddesi uyarınca işlem tesis edilecektir.
Bu çerçevede işverenlerin kurumsal iletişim araçlarının kullanım ve denetimine ilişkin politikalarını, çalışan aydınlatma metinlerini ve işten ayrılma prosedürlerini gözden geçirmelerini; içerik incelemelerinde gerekçe, kapsam ve erişim yetkilerini önceden belirleyip kayıt altına almalarını öneriyoruz.
İlke Kararı’nın tam metnine buradan ulaşabilirsiniz.
