Konu: İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı Yayımlandı

Kişisel Verileri Koruma Kurulunun (“Kurul”) 16 Eylül 2026 tarihli ve 2026/2035 sayılı “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı” (“İlke Kararı”), 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır. İşbu sirkülerde, İlke Kararı kapsamında işverenlerin iletişim kanallarını denetlerken uyması gereken usul ve esaslar ilgili başlıklar altında açıklanmaktadır.

1. İlke Kararı’nın Kapsamı ve Denetim Yetkisinin Sınırları

  • İlke Kararı, işverenin yönetim hakkı ile çalışanın kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin gözetilmesi gerektiğini vurgulamaktadır. Bu kapsamda:
  • Denetim yalnızca kurumsal e-posta hesaplarıyla sınırlı değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre kapsama girebilmektedir.
  • Kişisel kullanıma da elverişli uygulamalarda hesabın iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca değerlendirilmelidir.
  • İçeriğe erişilmeksizin yalnızca trafik/log kayıtlarının işlenmesi dahi kişisel veri işleme faaliyetidir. Denetim, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 4. maddesindeki genel ilkelere, 5. ve 6. maddelerindeki işleme şartlarına, 10. maddesindeki aydınlatma ve 12. maddesindeki veri güvenliği yükümlülüklerine tabidir.
  • İletişim araçlarının işverene ait olması veya işyerinde kullanılması sınırsız denetim yetkisi tanımaz. Bir cihaz, oturum, ağ veya kurumsal sisteme teknik erişim imkânı bulunması da çalışanın kişisel e-posta hesabına, kişisel mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişilebileceği anlamına gelmez. Teknik erişim imkânı ile hukuki erişim yetkisi birbirinden ayrılmalıdır.

2. İş Amaçlı ve Özel Amaçlı Kullanım Ayrımı

Denetimin kapsamı belirlenirken iletişim araçlarının iş amaçlı ve özel amaçlı kullanımı arasındaki ayrım dikkate alınmalıdır. İlke Kararı uyarınca:

  • İşveren, özel amaçlı kullanımı yasaklayabilir, sınırlandırabilir veya belirli zaman, kapsam ve yöntem koşullarına bağlayabilir. Bu kurallar açık, anlaşılır ve çalışan tarafından bilinebilir olmalı; çalışana açıkça duyurulmalıdır. Özel kullanımın yasaklanması, belirli sınırlar içinde serbest bırakılması veya bu konuda açık düzenleme bulunmaması, hukuka uygunluk değerlendirmesinde farklı sonuçlar doğurabilir.
  • Özel amaçlı kullanım yasaklanmış olsa dahi denetim ölçülülük ilkesiyle sınırlıdır. Sürekli ve aralıksız gözetim ölçülü kabul edilmez. Yasağın ihlali içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmesi gerekli ve orantılı sayılamaz.
  • Özel amaçlı kullanıma izin verildiğinde, iş amaçlı ve özel amaçlı iletişim ayrılabiliyorsa denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı ve çalışanın özel nitelikteki yazışmaları denetim dışında bırakılmalıdır. Bu ayrımın yapılamadığı hâllerde işverenin denetim yetkisi daha dar yorumlanmalıdır.

3. Önceden Bilgilendirme ve Aydınlatma Yükümlülüğü

Çalışanın denetim hakkında önceden bilgilendirilmesi, hukuka uygunluk değerlendirmesinde belirleyici unsurlardan biridir. Bu doğrultuda:

  • Anayasa Mahkemesi içtihadında aranan bilgilendirme ile Kanun’un 10. maddesindeki aydınlatma yükümlülüğü aynı kavramlar değildir. Her bilgilendirme aydınlatma sayılmaz. Bununla birlikte, Kanun’un 10. maddesindeki unsurları taşıyan ve denetimin amacı, kapsamı ve yöntemi hakkında açık bilgi içeren usulüne uygun aydınlatma, önceden bilgilendirme şartını da karşılayabilir.
  • Aydınlatma; veri işlemenin hukuki sebebini, amacını ve kapsamını, denetimin trafik/log kayıtları üzerinden mi yoksa içerik incelemesiyle mi yürütüleceğini, içeriğe hangi hâllerde erişilebileceğini, saklama süresini ve çalışanın Kanun’un 11. maddesi kapsamındaki haklarını açık, anlaşılır ve somut biçimde içermelidir.
  • Yalnızca “kurumsal e-posta hesabı denetlenebilir” şeklindeki genel bildirimler, bilgilendirme koşulunu sağlamaz ve aydınlatma yükümlülüğünün yerine getirildiği sonucunu doğurmaz. Önceden bilgilendirilmeyen ve usulüne uygun aydınlatılmayan çalışanın kişisel verilerine ve haberleşme hürriyetine müdahale edilmeyeceği yönünde makul bir beklenti taşıyacağı gözetilmelidir.

4. Kişisel Veri İşlemenin Hukuki Dayanağı

İlke Kararı’nda, iş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle açık rızanın e-posta denetiminde kural olarak öncelikli hukuki dayanak olarak esas alınmaması gerektiği belirtilmiştir. Bu kapsamda:

  • Açık rızaya dayanılması hâlinde rızanın özgür iradeyle açıklanıp açıklanmadığı somut olay özelinde ayrıca değerlendirilmelidir.
  • Denetim kapsamında veri işleme, somut olayın koşullarına göre Kanun’un 5. maddesinin ikinci fıkrasındaki; hukuki yükümlülüğün yerine getirilmesi için zorunluluk (ç), bir hakkın tesisi, kullanılması veya korunması için zorunluluk (e) ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunluluk (f) şartlarına dayandırılabilir. Bu şartların varlığı sınırsız denetim yetkisi tanımaz.

5. Ölçülülük, Kademelilik ve İçerik Denetimi

Denetim hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru bir amaca dayalı; amaçla bağlantılı, sınırlı ve ölçülü yürütülmelidir. Bu çerçevede:

  • Daha az müdahaleci bir yöntemle meşru amaca ulaşılabiliyorsa daha ağır bir denetim yöntemine başvurulamaz. İçeriğe erişim ancak trafik verisi denetiminin yetersiz kaldığı ve içerik erişiminin zorunlu olduğu istisnai hâllerde gündeme gelebilir.
  • İletişim araçlarının kötüye kullanımı filtreleme veya engelleme gibi teknik yöntemlerle önlenebiliyorsa işverenin genel bir denetim hakkı doğmaz.
  • İçerik denetimi, özel hayata ve haberleşme hürriyetine en yoğun müdahaleyi oluşturduğundan daha güçlü ve somut bir meşru gerekçe gerektirir. Yalnızca somut şüphe bulunan hâllerde ve iddiayla sınırlı olarak uygulanmalı; kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemesinden kaçınılmalıdır.
  • Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemlerini ayrım gözetmeksizin kaydeden araçlar üzerinden yürütülen denetim hukuka aykırı sayılır. Denetim çalışanın bilgisi dâhilinde ve öngörülebilir bir çerçevede yürütülmelidir.

6. Özel Nitelikli Veriler, Üçüncü Kişilerin Verileri ve Veri Güvenliği

Denetim sırasında elde edilen veriler bakımından aşağıdaki hususlar gözetilmelidir:

  • İletilerin gövdesinde veya eklerinde Kanun’un 6. maddesi kapsamında özel nitelikli kişisel verilerin işlenmesi riski dikkate alınmalıdır. Yazışmalar muhataplara ait kişisel verileri de içerebildiğinden, denetimin üçüncü kişilerin verileri üzerindeki etkisi ayrıca değerlendirilmelidir.
  • Verilere erişim, bu görevle yetkilendirilmiş sınırlı sayıda personelle sınırlandırılmalı; erişim yetkileri görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve verilere erişen kişiler gizlilik yükümlülüğü altına alınmalıdır.
  • Elde edilen veriler yalnızca denetim amacının gerektirdiği süre boyunca muhafaza edilmelidir.

7. İş İlişkisinin Sona Ermesinden Sonra Kurumsal E-Posta Hesapları

İş ilişkisinin sona ermesi, kurumsal e-posta hesabı üzerindeki veri işleme faaliyetlerinin sınırsız biçimde sürdürülebileceği anlamına gelmemektedir. İlke Kararı uyarınca:

  • İş ilişkisinin sona ermesinden sonra hesaba ilişkin veri işleme faaliyetlerinin hukuki dayanağı ayrıca değerlendirilmelidir. Kural olarak hesap çalışanın aktif kullanımına ve hesaba yeni erişimlere kapatılmalı, gelen iletilerin ilgisiz kişilerce görüntülenmesine imkân verilmemeli ve hukuki dayanağı kalmayan kişisel veriler imha edilmelidir.
  • İş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklarda savunma hakkının kullanılması veya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi amacıyla; sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış yönlendirme, otomatik cevap, arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilebilir.

8. Yükümlülüklere Aykırılık ve Uygulamaya İlişkin Değerlendirme

İlke Kararı’ndaki yükümlülüklere uyulmadığının tespiti hâlinde, somut olayın özellikleri dikkate alınarak gerekli inceleme yapılacağı ve Kanun’un 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceği belirtilmiştir.

  • İşverenlerin iletişim araçlarının kullanımına ilişkin politikalarını, çalışan aydınlatma metinlerini, denetim prosedürlerini, erişim yetkilerini ve saklama/imha süreçlerini İlke Kararı doğrultusunda gözden geçirmeleri önem taşımaktadır. İşten ayrılan çalışanların hesaplarına ilişkin yönlendirme, arşivleme ve erişim uygulamalarının da bu kapsamda değerlendirilmesi önerilmektedir.

İletişim:

Av. Tuğçe Gültekin

Şirket Ortağı
tugce.gultekin@tr.ey.com
(212) 315 30 00