KVKK’dan kurumsal e-posta denetimi için ilke kararı

Kişisel Verileri Koruma Kurulu, çalışanlara tahsis edilen kurumsal e-posta hesapları ile işin yürütülmesi amacıyla kullanılan diğer iletişim kanallarının denetlenmesine ilişkin 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararını yayımladı. Karar, Kişisel Verileri Koruma Kurumunun 8 Ekim 2026 tarihli kamuoyu duyurusuyla açıklandı.

Kurumun aldığı ihbar ve şikâyetlerin incelenmesi sonucunda, iletişim kanallarının izlenmesi, yazışma içeriklerine erişilmesi, trafik ve log kayıtlarının incelenmesi, filtreleme ve rutin denetim yapılması gibi uygulamalar değerlendirildi. Duyuruda, bu faaliyetler hakkında çalışanların yeterli, açık ve somut biçimde bilgilendirilmediği tespitlerine yer verildi.

Denetim yetkisi sınırsız değil

Kurul, kurumsal e-posta hesaplarının yalnızca bir iletişim aracı olmadığını; bu hesapların çalışanın mesleki ve bazı durumlarda kişisel ilişki ağına, çalışma düzenine, iletişim faaliyetlerine ve yazışma içeriklerine ilişkin kişisel veriler barındırabildiğini belirtti.

İşverenin yönetim hakkı ve iş sözleşmesinden kaynaklanan yetkileri ile çalışanın Anayasa’nın 20’nci ve 22’nci maddelerinde güvence altına alınan hakları arasında adil bir denge kurulması gerekiyor. İletişim aracının işverene ait olması veya işyerinde kullanılması, çalışanların iletişim faaliyetleri üzerinde sınırsız denetim yetkisi sağlamıyor.

Bilgilendirme ve ölçülülük şartı

Denetimin kapsamı belirlenirken iletişim aracının hangi amaçla tahsis edildiği ve kullanım kuralları dikkate alınmalı; iş amaçlı kullanım ile özel amaçlı kullanım arasında ayrım yapılmalı. Özel kullanıma ilişkin kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalı. Özel kullanım yasaklansa dahi denetim yetkisi ölçülülük ilkesiyle sınırlı kalmalı.

Çalışanların denetim hakkında önceden bilgilendirilmesi önem taşıyor. Kanun’un 10’uncu maddesi kapsamındaki aydınlatmada veri işlemenin hukuki sebebi, amacı, kapsamı ve yöntemi; iletişim içeriklerine hangi hallerde erişilebileceği, saklama süresi ve Kanun’un 11’inci maddesindeki haklar açık ve somut biçimde belirtilmeli. Yalnızca kurumsal e-posta hesabının denetlenebileceğine ilişkin genel bir bildirim yeterli olmayabiliyor.

İşverenin bir cihaz, oturum, ağ veya kurumsal sisteme teknik olarak erişebilmesi; kişisel e-posta, kişisel anlık mesajlaşma uygulaması, sosyal medya hesabı ya da benzeri özel iletişim alanlarındaki içeriklere hukuken serbestçe erişebileceği anlamına gelmiyor. Teknik erişim imkânı ile hukuki erişim yetkisinin birbirinden ayrılması gerekiyor.

İçerik incelemesi somut amaçla sınırlı tutulmalı

Denetim faaliyetleri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 4’üncü maddesindeki genel ilkelere uygun yürütülmeli; veriler belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli. Veriler gerekli süreden daha uzun süre saklanmamalı ve daha az müdahaleci yöntem mümkünse daha ağır denetim yöntemine başvurulmamalı.

Çalışana tahsis edilen e-posta ve diğer iletişim araçlarındaki içeriklerin incelenmesine, kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru bir amaç bulunduğunda ve denetimin amacıyla sınırlı kalacak şekilde başvurulmalı. Kapsamı belirsiz, genel ve sürekli içerik incelemelerinden kaçınılmalı.

İçeriklerde 6’ncı madde kapsamındaki özel nitelikli kişisel veriler ile iletişimin karşı taraflarına veya diğer üçüncü kişilere ait veriler bulunabileceği dikkate alınmalı. Elde edilen verilere erişim, görev ve yetki verilmiş sınırlı sayıdaki personelle sınırlandırılmalı; erişim kayıtları tutulmalı ve gizlilik yükümlülükleri güvence altına alınmalı.

İşverenler için kararın anlamı

Çalışanın açık rızası, iş ilişkisindeki bağımlılık ve güç dengesi nedeniyle e-posta denetimi bakımından her durumda öncelikli hukuki dayanak kabul edilemiyor. Geçerli bir açık rıza veya Kanun’daki başka bir veri işleme şartı bulunsa bile bu durum sınırsız denetim yetkisi sağlamıyor.

İş ilişkisinin sona ermesi de kurumsal e-posta hesabı ve bu hesap üzerinden elde edilen verilerin süresiz erişilebilir veya işlenebilir olduğu anlamına gelmiyor. İşverenlerin denetim süreçlerini hukuki dayanak, aydınlatma, veri güvenliği, erişim yetkilendirmesi, ölçülülük ve saklama süresi bakımından değerlendirmesi gerekiyor. Kurul, yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerine göre inceleme yapılacağını ve Kanun’un 18’inci maddesi uyarınca veri sorumluları hakkında işlem tesis edileceğini bildirdi.