Kişisel Verileri Koruma Kurulunun 16/09/2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. "İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı" başlığını taşıyan karar, 6698 sayılı Kanunun 15 inci maddesinin altıncı fıkrasına dayanıyor. Bu hüküm, şikâyet üzerine veya re'sen yapılan inceleme sonucunda ihlalin yaygın olduğu tespit edilirse Kurulun ilke kararı almasını öngörüyor.
Kısaca
- İçeriğe erişilmeden yalnızca trafik ve log kayıtlarının incelenmesi de kişisel veri işleme faaliyeti.
- İletişim araçlarının işverene ait olması, sınırsız bir denetim yetkisi vermiyor.
- Çalışan önceden ve somut biçimde bilgilendirilmeli; genel nitelikli "denetlenebilir" uyarısı yeterli değil.
- Denetimde kademelilik esas; içeriğe erişim ancak trafik verisi denetimi yetersiz kaldığında ve zorunlu olduğunda.
- Açık rıza, iş ilişkisindeki güç dengesizliği nedeniyle kural olarak hukuki dayanak alınmamalı.
- Gizli izleme ve çalışanın tüm işlemlerini ayrımsız kaydeden araçlarla yapılan denetim hukuka aykırı sayılacak.
Hangi kanallar kapsamda?
Kurul, kurumsal e-posta hesabını çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı olarak niteliyor. Denetimin, işverenin yönetim hakkı ile çalışanın Anayasanın 20 ve 22 nci maddelerinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında denge gözetilmesini gerektirdiğini vurguluyor.
Kararın kapsamı kurumsal e-postayla sınırlı değil: kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilecek kanallar arasında sayılıyor.
Kurulun ortaya koyduğu ilkeler
İş amaçlı ve özel amaçlı kullanım ayrımı. Denetimin kapsamı belirlenirken iletişim araçlarının iş amaçlı mı özel amaçlı mı kullanıldığı dikkate alınacak. İşveren özel kullanıma ilişkin kurallar koyabilir; ancak bu kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalı ve çalışana açıkça duyurulmalı. Özel kullanımın yasaklandığı hâllerde dahi denetim yetkisi ölçülülük ilkesiyle sınırlı; sürekli ve aralıksız gözetim ölçülü kabul edilmeyecek. Özel kullanıma izin verilen ve iş yazışmalarının ayrılabildiği durumlarda denetim yalnızca iş amaçlı iletişimle sınırlı tutulacak ve çalışanın özel nitelikteki yazışmaları denetim dışında kalacak.
Teknik erişim, hukuki erişim değildir. İşverenin bir cihaz, oturum veya ağ üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta hesabına, kişisel anlık mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmiyor.
Önceden ve somut aydınlatma. Kurul, Anayasa Mahkemesi içtihadında aranan bilgilendirme ile 6698 sayılı Kanunun 10 uncu maddesindeki aydınlatma yükümlülüğünün aynı şey olmadığını belirtiyor. İşverenin aydınlatması; işlemenin hukuki sebebini, amacını, kapsamını, denetimin trafik ve log kayıtlarıyla mı yoksa içerik denetimiyle mi yapılacağını, içeriğe hangi hâllerde erişilebileceğini, verilerin saklama süresini ve çalışanın Kanunun 11 inci maddesindeki haklarını açık ve somut biçimde içermeli. Yalnızca "kurumsal e-posta hesabınız denetlenebilir" şeklindeki genel bildirimler bilgilendirme koşulunu karşılamayacak.
Açık rıza kural olarak dayanak değil. İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle e-posta denetiminde çalışanın açık rızası kural olarak öncelikli dayanak alınmamalı. Denetim; somut olayın koşullarına göre Kanunun 5 inci maddesinin ikinci fıkrasının (ç), (e) ve (f) bentlerindeki hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması ile meşru menfaat işleme şartlarına dayandırılabilecek; ancak bu şartların varlığı da sınırsız bir denetim yetkisi tanımayacak.
Kademelilik. İşveren meşru amacına daha az müdahaleci bir yolla ulaşabiliyorsa daha ağır yönteme başvuramayacak. İçeriğe erişim ancak trafik verisi denetiminin yetersiz kaldığı ve içeriğe erişimin zorunlu olduğu istisnai hâllerde gündeme gelebilecek. Kötüye kullanımın filtreleme, engelleme gibi teknik yollarla önlenebildiği durumlarda genel bir denetim hakkı doğmayacak. İçerik denetimine yalnızca somut şüphe bulunan hâllerde ve iddiayla sınırlı biçimde başvurulmalı; kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalı.
Gizli izleme yasak. Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ve çalışanın tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim hukuka aykırı sayılacak.
Erişimin sınırlandırılması. Elde edilen verilere yalnızca bu görevle yetkilendirilmiş sınırlı sayıda personel erişebilecek; erişim yetkileri görev tanımlarıyla belirlenecek, erişim kayıtları tutulacak ve verilere erişenler gizlilik yükümlülüğü altına alınacak. Yazışmalarda özel nitelikli kişisel verilerin ve üçüncü kişilere ait verilerin bulunabileceği de gözetilecek.
İş ilişkisi sona erdiğinde
İş ilişkisi sona eren çalışanın kurumsal e-posta hesabı kural olarak aktif kullanımdan ve yeni erişimlere kapatılacak, hesaba gelen iletilerin ilgisiz kişilerce görülmesine imkân verilmeyecek ve hukuki dayanağı kalmayan veriler imha edilecek. İşin sürekliliği, kurumsal iletişimin aksamaması, olası uyuşmazlıklarda savunma hakkı veya mevzuattan kaynaklanan yükümlülükler için ise sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilecek.
Yaptırım
Kurul, bu yükümlülüklere uyulmadığının tespiti hâlinde somut olayın özellikleri dikkate alınarak inceleme yapılacağını ve 6698 sayılı Kanunun 18 inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini kamuoyuna duyurdu. Karar, Resmî Gazete'nin yanı sıra Kurumun internet sitesinde de yayımlanıyor.