KVKK ilke kararı: İşveren kurumsal e-postayı hangi şartlarla denetler?

Kişisel Verileri Koruma Kurulu, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere işin yürütülmesinde kullanılan iletişim kanallarının denetlenmesine ilişkin bir ilke kararı aldı. 16/09/2026 tarihli ve 2026/2035 sayılı karar, 8 Ekim 2026 tarihli Resmî Gazete'de yayımlandı.

Kararın özü şu: iletişim aracı işverene ait olsa da bu, işverene sınırsız ve mutlak bir denetim yetkisi vermiyor. Denetim yapılacaksa çalışan önceden ve kurallara uygun biçimde aydınlatılmalı, denetim meşru bir amaca dayanmalı, ölçülü olmalı ve önce daha az müdahaleci yollar denenmeli.

Karar hangi iletişim kanallarını kapsıyor?

Kurul, işyerinde kullanılan iletişim kanallarının yalnızca kurumsal e-postadan ibaret olmadığını vurguladı. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilecek kanallar arasında sayıldı.

Kurul'a göre kurumsal e-posta hesabı yalnızca bir iletişim aracı değil; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı. Bu nedenle denetim, işverenin yönetim hakkı ile çalışanın Anayasa'nın 20. ve 22. maddeleriyle güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında denge kurmayı gerektiriyor.

Kurul'un belirlediği temel ilkeler

• Log kaydı da kişisel veri işlemedir: İçeriğe erişilmeden yalnızca trafik/log kayıtlarının işlenmesi bile başlı başına kişisel veri işleme faaliyetidir ve Kanun'un genel ilkelerine (m.4), işleme şartlarına (m.5, m.6), aydınlatma (m.10) ve veri güvenliği (m.12) yükümlülüklerine tabidir.
• İş amaçlı ve özel amaçlı kullanım ayrımı: İşveren, işyeri iletişim araçlarının özel amaçlı kullanımına ilişkin açık, anlaşılır ve çalışanın bilebileceği kurallar koyabilir. Özel kullanım yasak olsa bile sürekli ve aralıksız gözetim ölçülü kabul edilmez; yasak içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmesi gerekli sayılmaz.
• Teknik erişim, hukuki yetki demek değildir: İşverenin bir cihaz veya sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-postasına, kişisel mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmez.
• Bilgilendirme ile aydınlatma aynı şey değildir: Her bilgilendirme Kanun anlamında aydınlatma sayılmaz. "Kurumsal e-posta hesabınız denetlenebilir" gibi genel ifadeler yeterli değildir. Aydınlatma; hukuki sebebi, amacı, kapsamı, denetimin log incelemesiyle mi içerik denetimiyle mi yapılacağını, içeriğe hangi hâllerde erişilebileceğini, saklama süresini ve çalışanın m.11'deki haklarını somut biçimde içermelidir.
• Açık rıza öncelikli dayanak değildir: İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rıza kural olarak esas alınmamalı. Somut olaya göre m.5/2'nin (ç), (e) ve (f) bentlerindeki şartlar dayanak olabilir; ancak bunlar da sınırsız yetki vermez.
• Kademelilik: Meşru amaca daha az müdahaleci bir yolla ulaşılabiliyorsa ağır denetim yöntemine başvurulamaz. İçeriğe erişim ancak trafik verisi denetimi yetersiz kaldığında ve zorunlu olduğu istisnai hâllerde gündeme gelebilir. Kötüye kullanım filtreleme veya engelleme gibi teknik yollarla önlenebiliyorsa genel bir denetim hakkı doğmaz.
• İçerik denetimi dar tutulmalı: Yalnız somut şüphe bulunan hâllerde ve iddiayla sınırlı yapılmalı; kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemelerinden kaçınılmalı. İletilerin gövdesinde ve eklerinde özel nitelikli kişisel veri bulunma riski ile yazışmalardaki üçüncü kişilerin verileri de gözetilmeli.
• Gizli izleme hukuka aykırıdır: Çalışanın önceden bilgilendirilmediği gizli yöntemlerle veya tüm işlemleri ayrım gözetmeksizin kaydeden araçlarla yapılan denetim hukuka aykırı sayılır.
• Erişim sınırlı olmalı: Elde edilen verilere yalnız görevlendirilmiş sınırlı personel erişmeli, yetkiler görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve erişenler gizlilik yükümlülüğü altına alınmalı.

İşten ayrılan çalışanın hesabı

Kurul, iş ilişkisi sona erdikten sonra kurumsal e-posta hesabındaki veri işlemenin hukuki dayanağının ayrıca değerlendirilmesi gerektiğini belirtti. Kural olarak hesap aktif kullanımdan kaldırılmalı ve yeni erişimlere kapatılmalı; gelen iletiler ilgisiz kişilerce görüntülenmemeli ve dayanağı kalmayan veriler imha edilmeli. Bununla birlikte iş sürekliliği, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan doğan yükümlülükler için sınırlı, süreli, yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olaya göre değerlendirilebilir.

Örnek senaryo

Bir şirket, satış ekibinden birinin müşteri listesini rakip firmaya gönderdiğinden şüpheleniyor. Şirketin politikasında yalnızca "kurumsal e-postalar denetlenebilir" cümlesi var. Bilgi işlem birimi, şüpheli çalışanın son bir yılda gönderdiği bütün e-postaları ve eklerini tek tek açıyor.

İlke kararına göre bu uygulama riskli: tek cümlelik bilgilendirme aydınlatma sayılmayabilir; şüphe somut olsa bile önce gönderilen adresler, tarihler ve ek boyutları gibi trafik verileriyle şüphenin doğrulanıp doğrulanamayacağına bakılmalı; içeriğe geçilecekse iddiayla, yani müşteri listesinin gönderildiği iddia edilen yazışmalarla sınırlı kalınmalı ve inceleme yetkili sınırlı personel tarafından kayıt altına alınarak yapılmalı. Daha güvenli yol, denetimin amacını, yöntemini ve saklama süresini somut biçimde anlatan bir aydınlatma metninin önceden çalışana bildirilmesi ve veri sızıntısının mümkünse teknik engellerle önlenmesidir.

Sık yapılan hatalar

• Genel bir politika cümlesini yeterli saymak. Kurul, soyut ve genel ifadelerin m.10'daki aydınlatma yükümlülüğünü karşılamayacağını açıkça belirtti.
• Çalışandan imza karşılığı açık rıza alıp her şeyi denetlemek. İş ilişkisindeki güç dengesizliği nedeniyle açık rıza kural olarak öncelikli dayanak değildir.
• Log incelemesini "veri işleme değil" sanmak. İçeriğe bakmadan yapılan trafik kaydı incelemesi de Kanun'a tabidir.
• Şirket bilgisayarındaki kişisel hesaplara girmek. Teknik erişim imkânı, çalışanın kişisel e-postasına veya mesajlarına erişim yetkisi vermez.
• Ayrılan çalışanın hesabını açık bırakmak. Hesap kapatılmalı; zorunlu yönlendirme veya arşivleme sınırlı ve süreli olmalıdır.

İşverenler ve avukatlar için kontrol listesi

İşveren müvekkillerin iç politikalarını bu karara göre gözden geçirmek, özellikle aydınlatma metinlerini, denetim prosedürlerini, erişim yetkilerini ve işten ayrılma süreçlerini yeniden yazmak gerekecek. Çalışan tarafında ise gizli izleme veya ölçüsüz içerik denetimi iddialarında bu ilke kararı somut bir dayanak sunuyor. Kurul, uyulmadığının tespiti hâlinde 6698 sayılı Kanun'un 18. maddesi uyarınca veri sorumluları hakkında idari işlem tesis edileceğini de hatırlattı. KVKK yükümlülüklerinin genel çerçevesi için avukatlar için KVKK yükümlülükleri ve ilgili kişi başvuruları için KVKK kapsamında başvuru hakkı yazılarımıza bakabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır; somut olayda kararın tam metni ve güncel mevzuat esas alınmalıdır.