Kişisel Verileri Koruma Kurulunun (“Kurul”) 16.09.2026 tarihli ve 2026/2035 sayılı “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı” (“İlke Kararı”), 08.10.2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır.
İlke Kararı ile işverenlerin çalışanlara tahsis ettikleri kurumsal e-posta hesapları ve işin yürütülmesinde kullanılan diğer iletişim kanalları üzerindeki denetim yetkisi, kişisel verilerin korunması ve çalışanların temel hakları çerçevesinde ele alınmış; bu kapsamda gerçekleştirilen kişisel veri işleme faaliyetlerinde uyulması gereken usul ve esaslar belirlenmiştir.
Bu yazıda, İlke Kararı ile ortaya konulan düzenlemeler kapsamında işverenin denetim yetkisinin sınırları, denetim faaliyetlerinin hukuka uygunluk koşulları ve işverenler bakımından doğan yükümlülükler incelenmektedir.
İlke Kararı ile Belirlenen Temel Esaslar
Kurul, işverenlerin kurumsal e-posta hesapları ve işin yürütülmesinde kullanılan diğer iletişim kanalları üzerindeki denetim yetkisini, kişisel verilerin korunması ve çalışanların temel hakları çerçevesinde değerlendirmiştir. İşverenin söz konusu iletişim araçlarını çalışanlara tahsis etmesi veya bu araçlara teknik olarak erişebilmesi, denetim faaliyetlerinin kendiliğinden hukuka uygun olduğu anlamına gelmemektedir. Nitekim yazışma içerikleri incelenmeksizin yalnızca trafik ve log kayıtlarına erişilmesi dahi kişisel veri işleme faaliyeti niteliğindedir. Bu nedenle denetimin hukuki dayanağının bulunması, belirli ve meşru bir amaçla gerçekleştirilmesi ve çalışanların haklarına yönelik müdahalenin gerekli olanla sınırlandırılması gerekmektedir.
Bu kapsamda İlke Kararında öne çıkan hususlar aşağıdaki şekilde özetlenebilir:
Kurumsal Hesapların Kullanım Amacı: İşverenler, kurumsal iletişim araçlarının iş amacı dışında kullanımına ilişkin kurallar belirleyebilir. Ancak bu kuralların çalışanlara açıkça bildirilmesi ve özel kullanımın sınırlandırıldığı durumlarda dahi denetimin ölçülülük ilkesine uygun yürütülmesi gerekmektedir. İş amaçlı ve özel yazışmaların birbirinden ayrılabildiği hâllerde denetim, iş amaçlı iletişimle sınırlandırılmalı; birbirinden ayrılamadığı hallerde ise işverenin denetim yetkisi daha dar yorumlanmalıdır.
Çalışanların Önceden Bilgilendirilmesi: Denetim faaliyetlerinin hukuka uygunluğunun değerlendirilmesinde, çalışanların önceden bilgilendirilmesi önem taşımaktadır. Ancak her bilgilendirme, KVKK’nın 10’uncu maddesi kapsamında aydınlatma yükümlülüğünün yerine getirildiği anlamına gelmemektedir. Çalışanın önceden bilgilendirilmediği veya usulüne uygun şekilde aydınlatılmadığı hâllerde, kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceğine ilişkin makul beklentisi dikkate alınmalıdır.
Aydınlatma Yükümlülüğünün Kapsamı: İşveren tarafından yapılacak aydınlatmada; veri işlemenin hukuki sebebi, amacı ve kapsamı, denetimin trafik/log kayıtlarıyla mı yoksa yazışma içeriklerine erişilerek mi gerçekleştirileceği, içeriklere erişim koşulları, verilerin saklama süresi ve çalışanın kanuni hakları somut ve anlaşılır biçimde açıklanmalıdır. Yalnızca kurumsal hesapların denetlenebileceğine ilişkin genel bir bildirim, aydınlatma yükümlülüğünün yerine getirilmesi için yeterli değildir.
Denetimin Hukuki Dayanağı: Kişisel veri işleme faaliyetlerinin KVKK’da düzenlenen hukuka uygunluk şartlarından birine dayanması gerekmektedir. İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rıza, denetim faaliyetlerinde kural olarak öncelikli hukuki dayanak olarak kabul edilmemektedir. Denetimin hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması ya da meşru menfaat gibi diğer işleme şartlarına dayandırılması ise somut olayın koşullarına göre değerlendirilmelidir.
Denetimin Kapsamı ve Yöntemi: Denetim faaliyetlerinin belirli, açık ve meşru bir amaca dayanması; bu amaçla bağlantılı, sınırlı ve ölçülü şekilde yürütülmesi gerekmektedir. Trafik verilerinin denetlenmesinin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde içerik denetimine başvurulabilecektir. İçerik denetiminin ise somut ve güçlü bir meşru gerekçeye dayanması, ilgili iddiayla sınırlı tutulması ve genel, belirsiz veya sürekli nitelikte bir incelemeye dönüşmemesi gerekmektedir.
Kişisel Hesaplar ve Gizli İzleme Faaliyetleri: İşverenin çalışanlara tahsis ettiği cihaz veya sistemler üzerinde teknik erişim imkânına sahip olması, çalışanların kişisel e-posta, mesajlaşma ve benzeri özel iletişim hesaplarına serbestçe erişebileceği anlamına gelmemektedir. Ayrıca çalışanların önceden bilgilendirilmediği gizli izleme yöntemleri ile faaliyetlerinin ayrım gözetilmeksizin kaydedilmesine dayanan denetim uygulamaları hukuka aykırı kabul edilmektedir.
Veri Güvenliği ve Muhafaza: Denetim sonucunda elde edilen kişisel verilere erişim, görevleri gereği yetkilendirilmiş kişilerle sınırlandırılmalı ve erişim işlemleri kayıt altına alınmalıdır. Gerekli teknik ve idari tedbirler alınarak verilerin yalnızca işlenme amacının gerektirdiği süre boyunca muhafazası sağlanmalıdır.
İş İlişkisinin Sona Ermesi: Çalışanın işten ayrılması, kurumsal hesabındaki verilere süresiz erişim hakkı doğurmamaktadır. İş ilişkisinin sona ermesinin ardından hesabın aktif kullanıma ve yeni erişimlere kapatılması esas olup iş sürekliliğinin sağlanması veya hukuki yükümlülüklerin yerine getirilmesi amacıyla başvurulabilecek otomatik yanıt, yönlendirme ve arşivleme gibi işlemler, hukuki dayanakları ve somut olaya göre değerlendirilerek belirli bir amaç ve süreyle sınırlandırılmalıdır.
Sonuç
İlke Kararı ile işverenlerin kurumsal iletişim kanallarını denetleme yetkisinin, çalışanların kişisel verilerinin korunması ve temel haklarına saygı gösterilmesi yükümlülükleriyle birlikte değerlendirilmesi gerektiği ortaya konulmuştur. Bu doğrultuda işverenlerin mevcut kurumsal hesap kullanım politikalarını, çalışan aydınlatma metinlerini, denetim prosedürlerini ve veri güvenliği uygulamalarını belirlenen esaslar çerçevesinde gözden geçirmeleri önem arz etmektedir.
Bununla birlikte, kurumsal yazışmaların disiplin süreçlerinde veya iş sözleşmesinin feshine ilişkin uyuşmazlıklarda delil olarak kullanılması hâlinde, söz konusu verilere erişimin hukuka uygunluğu ayrıca değerlendirme konusu olabilecektir. Bu yönüyle İlke Kararı, kişisel verilerin korunmasının yanı sıra iş hukuku uygulamaları bakımından da önem taşımaktadır.
Kurul, İlke Kararında belirtilen yükümlülüklere aykırılık tespit edilmesi hâlinde, somut olayın özellikleri dikkate alınarak ilgili veri sorumluları hakkında 6698 sayılı Kanun’un 18’inci maddesi uyarınca işlem tesis edilebileceğini belirtmiştir.
Kaynak: Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 08.10.2026 tarihli ve 33394 sayılı Resmî Gazete.