Kurumsal E-posta Denetimine İlişkin KVKK İlke Kararı Yayımlandı

İlke Kararı ne zaman yayımlandı?

Kişisel Verileri Koruma Kurulunun (Kurul) “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesinde Uyulması Gereken Usul ve Esaslar” hakkındaki 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Kişisel Verileri Koruma Kurumu (Kurum) da kararı aynı gün internet sitesinde duyurdu.

Kurum duyurusuna göre karar, işverenlerin kurumsal e-posta hesaplarını ve diğer iletişim kanallarını denetlemesine ilişkin ihbar ve şikâyetlerin incelenmesi sonucunda alındı. Kurul incelemelerde; e-posta hesaplarının izlendiğini, yazışma içeriklerine erişildiğini, trafik ve log kayıtlarının incelendiğini ve elde edilen verilerin disiplin ve iş sözleşmesinin sona erdirilmesi süreçlerinde kullanıldığını tespit etti. Çalışanların bu işlemler hakkında yeterli, açık ve somut biçimde bilgilendirilmediği de tespitler arasında yer aldı.

Kurul, denetimin işverenin yönetim hakkı ile çalışanın Anayasa'nın 20. ve 22. maddelerinde güvence altına alınan özel hayatın gizliliği, kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasında adil bir denge gerektirdiğini vurguluyor.

Hangi iletişim kanalları kapsamda?

Karar, kurumsal e-posta hesaplarını “başta olmak üzere” işin yürütülmesi amacıyla kullanılan tüm iletişim kanallarını kapsıyor. Uygulamada bu ifade; kurum içi mesajlaşma uygulamalarını, kurumsal anlık iletişim hesaplarını, müşteri ilişkileri ve talep yönetim sistemlerini ve toplantı platformlarındaki sohbet alanlarını da kapsayabilir. Hangi aracın kapsama girdiği somut olayın özelliklerine göre değerlendirilmelidir.

Kurul, kurumsal e-posta hesabının yalnızca bir iletişim aracı olmadığını belirtiyor. Hesap; çalışanın mesleki ve kimi zaman kişisel ilişki ağına, çalışma düzenine ve yazışma içeriklerine ilişkin pek çok kişisel veriyi barındıran bir veri kaynağıdır. Bu nedenle yazışma içeriği açılmadan yalnızca trafik ve log kayıtlarının incelenmesi de kişisel veri işleme faaliyetidir ve KVKK'nın genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine uygun yürütülmelidir.

Kurulun işverenlerden beklediği esaslar

Açık rıza neden öncelikli dayanak değil?

Kurul, iş ilişkisindeki bağımlılık hâli ve taraflar arasındaki güç dengesizliği nedeniyle çalışanın açık rızasının e-posta denetiminde kural olarak her durumda öncelikli hukuki dayanak kabul edilemeyeceğini belirtiyor. Açık rızaya dayanılıyorsa rızanın özgür iradeyle verilip verilmediği somut olayda ayrıca değerlendirilmelidir.

Kararın önemli bir vurgusu daha var: Geçerli bir açık rıza veya KVKK'daki başka bir işleme şartı bulunsa bile bu durum işverene sınırsız denetim yetkisi vermez. İşe girişte imzalatılan genel bir onay metni, sonraki her denetimi hukuka uygun hâle getirmez. Aydınlatma ile açık rızanın birbirine karıştırılmasının riskleri için Kurulun önceki uyarılarını da hatırlamakta yarar var.

İçerik incelemesi hangi hallerde yapılabilir?

Karara göre e-posta ve diğer iletişim araçlarındaki içeriklerin incelenmesine, kural olarak yalnızca somut bir şüphe veya belirli bir olayla bağlantılı meşru bir amaç varsa ve denetimin amacıyla sınırlı olacak şekilde başvurulmalıdır. Kapsamı belirsiz, genel ve sürekli içerik incelemelerinden kaçınılmalıdır.

Kademelilik ilkesi gereği önce güvenlik uyarıları, trafik ve erişim kayıtları gibi daha az müdahaleci yöntemler değerlendirilir. Örneğin bir veri sızıntısı şüphesinde önce hangi dosyanın hangi tarihte hangi alıcıya gönderildiğine log kayıtlarından bakılır; bu bilgi yeterliyse yazışmaların içeriği açılmaz.

İçerik incelemesinde yazışmalarda veya eklerinde KVKK md. 6 kapsamındaki özel nitelikli kişisel verilerin bulunabileceği dikkate alınmalıdır. Yazışmalar çoğu zaman karşı tarafa ve başka üçüncü kişilere ait veriler de içerir; denetimin bu kişiler üzerindeki etkisi de göz önünde bulundurulmalıdır.

Kararda önceden bilgilendirme, denetimin hukuka uygunluğunun unsurlarından biri sayılıyor. Bu nedenle çalışanın haberi olmadan yürütülen gizli izleme ve tüm işlemleri ayrım gözetmeden kaydeden araçlar, karar karşısında yüksek hukuki risk taşır.

İşten ayrılan çalışanın e-posta hesabı

Kurul, iş ilişkisi sona erdikten sonra çalışana tahsis edilen e-posta hesabı ve bu hesaptaki verilerle ilgili işlemlerin hukuki dayanağının ayrıca değerlendirilmesi gerektiğini belirtiyor. İş ilişkisinin sona ermesi, bu verilerin süresiz olarak erişilebilir veya işlenebilir olduğu anlamına gelmez.

Uygulamada hesap çalışanın aktif kullanımına ve yeni erişimlere kapatılmalı, iletilerin ilgisiz kişilerce görüntülenmesi önlenmelidir. İş sürekliliği için kullanılan otomatik yanıt, yönlendirme, arşivleme ve muhafaza işlemleri sınırlı, süreli ve kayıt altında yürütülmelidir. Eski çalışanın bütün posta kutusunun yöneticisine veya yerine gelen kişiye kendiliğinden açılması gibi uygulamalar gözden geçirilmelidir. Hukuki dayanağı kalmayan veriler imha edilmelidir.

Kurumlar şimdi ne yapmalı?

Sonuç

Kararda ayrı bir uyum veya geçiş süresi öngörülmüyor; esaslar yayım tarihinden itibaren denetim faaliyetlerine uygulanıyor. Yükümlülüklere uyulmadığı tespit edilirse Kurul, somut olayın özelliklerine göre inceleme yapacak ve KVKK'nın 18. maddesi kapsamında ilgili veri sorumluları hakkında işlem tesis edecek.

Bu çalışma yalnızca KVKK biriminin işi değildir. Hukuk, bilgi teknolojileri ve bilgi güvenliği ekipleri birlikte çalışmalı; çalışan bildirimi ve işten ayrılış süreçleri için insan kaynakları da sürece katılmalıdır. Yalnızca aydınlatma metnini değiştirmek yetmez: teknik ayarlar, erişim yetkileri ve günlük uygulama da metinde yazılanla uyumlu olmalıdır. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sık Sorulan Sorular