İşveren kurumsal e-postayı sınırsız izleyemez: KVKK 14 sınır çizdi

Kişisel Verileri Koruma Kurulunun 16 Eylül 2026 tarihli, 2026/2035 sayılı ve 14 başlıklı ilke kararı 8 Ekim 2026’da yayımlandı. Karar, işverenin kurumsal e-postayı ve iş için kullanılan diğer iletişim kanallarını denetlemesini belirli amaç, uygun hukuki dayanak, önceden aydınlatma ve ölçülü yöntem koşullarına bağlıyor. Hesabın işverene ait olması, yazışmaların sınırsız biçimde izlenmesine yetmiyor.

Türkiye’deki bu karar, çalışan şikâyetleri üzerine incelenen uygulamalara dayanıyor. İncelemelerde mesaj içeriklerine, trafik ve erişim kayıtlarına bakıldığı; filtreleme ve rutin denetim yapıldığı; elde edilen verilerin disiplin veya iş sözleşmesini sona erdirme süreçlerinde kullanıldığı, buna karşılık çalışanların yeterince açık ve somut biçimde bilgilendirilmediği tespit edildi. Erdem & Erdem’in değerlendirmesi, kapsamın somut olaya göre kurum içi mesajlaşmayı, müşteri ilişkileri ve talep yönetim sistemlerini, toplantı platformlarının sohbet alanlarını da içerebildiğini belirtiyor.

Genel izleme bildirimi neden yetmiyor?

Çalışanın yalnızca hesabının denetlenebileceğini bilmesi yeterli değil; denetimin ne amaçla, hangi yöntemle ve hangi kapsamda yapılacağını önceden anlayabilmesi gerekiyor. Aydınlatmada veri işlemenin hukuki sebebi, içeriğe hangi koşullarda erişilebileceği, verilerin ne kadar saklanacağı ve çalışanın kişisel verilerine ilişkin hakları açıkça anlatılmalı. İşe giriş belgesindeki kısa bir “e-postalar denetlenebilir” cümlesi bu bilgileri kendiliğinden sağlamıyor.

Önceden bilgilendirme ile kişisel verilerin korunması hukukundaki aydınlatma yükümlülüğü de aynı şey değil. Denetimi haber veren bir duyuru, gerekli unsurları içermiyorsa aydınlatma sayılmayabilir. Buna karşılık amacı, kapsamı ve yöntemi somut biçimde açıklayan usulüne uygun bir aydınlatma, çalışanın denetimden önceden haberdar olması şartını da karşılayabilir.

Varsayımsal olarak, şirketin bütün çalışanlarına yalnızca “kurumsal hesaplar izlenebilir” demesi, yöneticinin geçmiş yazışmaların tamamını açmasını haklı kılmaz. Çalışan bu ifadeden hangi olayda içerik okunacağını, incelemeyi kimin yapacağını veya verilerin ne kadar tutulacağını çıkaramaz. Ayrıntılı bir bildirim hazırlanması da tek başına yeterli değildir: Her denetimin ayrıca hukuki dayanağı ve amacıyla sınırlı bir kapsamı bulunmalıdır.

Hukuki dayanak, özel kullanım ve teknik erişim

İşveren önce hangi meşru amaç için hangi veriyi işlemesi gerektiğini belirlemeli. İş ilişkisindeki bağımlılık ve güç dengesi nedeniyle çalışanın açık rızası, e-posta denetiminde her durumda öncelikli dayanak kabul edilemiyor; rızaya dayanılıyorsa özgür iradeyle verilip verilmediği somut olayda değerlendiriliyor. Kanunda öngörülen başka bir işleme şartının bulunması da kapsamı belirsiz gözetimi serbest bırakmıyor.

Kurumsal iletişim aracının özel kullanımına ilişkin kuralları işveren koyabilir, ancak bu kurallar açık ve çalışan tarafından bilinebilir olmalı. Özel kullanım yasaklanmış olsa bile denetim ölçülü kalmalı. İş amaçlı mesajlar özel mesajlardan ayrılabiliyorsa inceleme iş iletişimiyle sınırlandırılmalı; ayrım yapılamıyorsa denetim yetkisi daha dar değerlendirilmeli.

Bir sistem yöneticisinin cihaza, ağa veya oturuma teknik olarak erişebilmesi ayrı bir konu. Bu imkân, çalışanın kişisel e-posta hesabındaki, özel mesajlaşma uygulamasındaki veya sosyal medya hesabındaki yazışmaları serbestçe okuma yetkisi vermiyor. Kurumsal cihazda açık bırakılmış kişisel bir hesap da yalnızca teknik olarak erişilebilir olduğu için iş iletişiminin parçası hâline gelmiyor.

İçerik incelemesine ne zaman geçilebilir?

Denetimde daha az müdahaleci yöntem amaca yetiyorsa daha ağır yönteme geçilmemeli. Gönderim zamanı, alıcı bilgisi ve erişim kaydı gibi trafik verilerini incelemek de kişisel veri işleme faaliyetidir; yine de mesaj gövdesini okumaktan farklı bir müdahale düzeyindedir. İşveren yalnızca belirli bir iletinin gönderilip gönderilmediğini araştırıyorsa bütün posta kutusunun içeriğine erişmenin neden gerekli olduğunu gerekçelendirmesi gerekir.

İçerik incelemesi kural olarak somut şüpheye veya belirli bir olaya bağlı meşru amaçla, o amacın gerektirdiği sınırda gündeme gelir. Varsayımsal olarak, bir müşteri dosyasının yetkisiz kişiye gönderildiğine ilişkin belirli bir bildirim, ilgili iletişim ve dönemle sınırlı bir incelemeyi gerektirebilir. Aynı gerekçe, çalışanın bütün yazışma geçmişinin veya tüm çalışanların mesajlarının sürekli taranmasını haklı kılmaz.

Burhan Doğuş Ayparlar’ın hukuki değerlendirmesi, trafik verisiyle mesaj içeriği arasındaki ayrımın otomatik tarama araçları bakımından da önemli olduğunu açıklıyor. Bir araç mesaj gövdelerini okuyorsa işlemin kapsamı, onu çalıştıran kişinin ekrana tek tek bakmamasından dolayı daralmıyor. Karar belirli bir yazılım veya yapay zekâ aracı hakkında özel bir hüküm kurmuyor; değerlendirme, kullanılan yöntemin eriştiği veriye dayanıyor.

İzin verilen, yüksek riskli ve kaçınılması gereken uygulamalar

Kararın ilkeleri, işyerindeki denetim uygulamalarını üç düzeyde okumayı mümkün kılıyor:

• Koşulları sağlandığında mümkün: Önceden somut biçimde açıklanmış bir amaç için, uygun hukuki dayanakla ve gerekli veriyle sınırlı inceleme. Örneğin varsayımsal bir teslimat uyuşmazlığında, ilgili kurumsal iletinin gönderim kaydına bakılması içerik incelemesinden daha dar bir yöntem olabilir. Kayıtların incelenmesi de çalışan verisinin işlendiği gerçeğini değiştirmez.
• Yüksek riskli: Belirli bir olay nedeniyle mesaj içeriğinin açılması. Daha dar yöntemlerin neden yetmediği, hangi hesabın ve dönemin inceleneceği, bulgulara kimlerin erişeceği belirlenmeli. Yazışmanın karşı tarafına ait bilgiler ve eklerde bulunabilecek özel nitelikli veriler de incelemenin etkisini artırır.
• Kaçınılması gereken: Kapsamı belirsiz ve sürekli içerik taraması; genel bir izleme cümlesini bütün yazışmalara erişim izni saymak; iş cihazındaki kişisel hesapları kurumsal hesap gibi incelemek. Özel kullanım yasağı veya teknik erişim yetkisi bu yöntemleri kendiliğinden ölçülü hâle getirmez.

İçeriğe erişim gerektiğinde yetki, bu işle görevlendirilmiş sınırlı sayıdaki kişiyle tutulmalı. Yetkiler görev tanımlarına göre belirlenmeli, erişimler kaydedilmeli ve verilere ulaşan kişilerin gizlilik yükümlülüğü güvence altına alınmalı. Böylece denetim, ilk incelemenin ardından başka çalışanların yazışmalara gerekçesiz erişebildiği açık uçlu bir sürece dönüşmez.

Disiplin dosyası ve işten ayrılan çalışanın hesabı

İletişim denetiminden elde edilen bir bulgunun disiplin sürecinde kullanılması, verinin nasıl toplandığı sorusunu ortadan kaldırmıyor. Denetimin amacı ve yöntemi önceden açıklanmış olmalı; araştırılan iddia ile incelenen veri arasında bağ bulunmalı. Başlangıçtaki amaçtan koparak başka yazışmaların dosyaya eklenmesi, ölçülülük ve aydınlatma bakımından ayrıca sorun doğurabilir.

İş ilişkisi sona erdiğinde de hesabın ve içinde tutulan verilerin işlenmesine ilişkin hukuki dayanak yeniden değerlendirilmeli. Hesabın teknik olarak açık kalması, eski çalışanın yazışmalarına süresiz erişim veya verileri süresiz saklama yetkisi sağlamıyor. Saklama süresi, verinin gerekli olduğu amaçla bağlantılı kalmalı; erişim yetkisi de aynı sınır içinde değerlendirilmelidir.

Bu ilkeler, denetim sonucuna itiraz eden çalışan açısından da somut sorular doğuruyor: Hangi olay araştırıldı, neden içerik okundu, daha dar bir yöntem yeterli olur muydu ve bulgulara kim erişti? Yükümlülüklere aykırılık tespit edilirse veri sorumlusu hakkında, olayın koşullarına göre Kanun’un yaptırım hükümleri kapsamında işlem yapılabilecek.

Ayrıca okuyun:

• 2026’da içerik üreticisi vergi istisnası: sınır 5,3 milyon TL
• VERBİS istisnası KVKK yükümlülüklerini ortadan kaldırmıyor
• Grok Bot kurumsala açıldı: Aynı kullanıcının botları tek bilgisayarı paylaşıyor