KURUL KARARI
Kişisel Verileri Koruma Kurumundan:
İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta
Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi
Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken
Usul ve Esaslar Hakkında İlke Kararı
Karar No: 2026/2035 Karar Tarihi: 16/09/2026
Bilindiği üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (6698 sayılı Kanun) 15’inci maddesinin altıncı fıkrası “Şikâyet üzerine veya resen yapılan inceleme sonucunda, ihlalin yaygın olduğunun tespit edilmesi hâlinde Kurul, bu konuda ilke kararı alır ve bu kararı yayımlar…” hükmünü amirdir. Öte yandan 6698 sayılı Kanun’un Kişisel Verileri Koruma Kurulunun (Kurul) görev ve yetkilerini düzenleyen 22’nci maddesinin birinci fıkrasının (e), (f) ve (g) bentlerinde sırasıyla Kurulun görev alanı ile Kurumun işleyişine ilişkin konularda, veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla ve veri sorumlusu ve temsilcisinin görev, yetki ve sorumluluklarına ilişkin düzenleyici işlem yapma yetkisi düzenlenmiştir.
Bu çerçevede, işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları başta olmak üzere, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesi suretiyle gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin olarak Kurul tarafından aşağıdaki tespit ve değerlendirmelerde bulunulmuştur.
Çalışanlara tahsis edilen kurumsal e-posta hesabı, bir iletişim aracının ötesinde; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma örüntüsünü ve yazışma içeriklerini barındıran bir veri kaynağı niteliği taşımaktadır. Bu hesapların işveren tarafından denetlenmesi, işverenin yönetim hakkı ile çalışanın Anayasa’nın 20 ve 22’nci maddelerinde güvence altına alınan kişisel verilerin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki dengenin gözetilmesini gerektiren bir kişisel veri işleme faaliyetidir. Diğer taraftan, işyerinde kullanılan iletişim kanalları yalnızca kurumsal e-posta hesaplarından ibaret değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri, toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre denetime konu olabilecek iletişim kanalları arasında yer almaktadır. Öte yandan, kişisel kullanıma da elverişli uygulamalar bakımından, söz konusu hesabın işveren tarafından iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabı üzerinden kullanılıp kullanılmadığı ve çalışanın makul mahremiyet beklentisi ayrıca değerlendirilmelidir.
İşverenin E-Posta Denetim Yetkisi Sınırsız Değil
KVKK, kurumsal e-posta ve iş amacıyla kullanılan diğer iletişim kanallarının işverene ait olmasının tek başına sınırsız denetim hakkı vermediğini belirtiyor. Yapılacak denetimin meşru bir amaca dayanması, gerekli, sınırlı ve ölçülü olması gerekiyor. İş amaçlı ve özel amaçlı kullanımın birbirinden ayrılması da önem taşıyor.
Çalışan Denetimden Önceden Haberdar Edilmeli
Çalışanlara yalnızca “kurumsal e-posta denetlenebilir” şeklinde genel bir bildirim yapılması yeterli görülmüyor. İşverenin; denetimin hukuki sebebini, amacını, kapsamını, trafik/log kayıtlarının mı yoksa içeriğin mi inceleneceğini, verilere hangi durumlarda erişileceğini ve saklama süresini açık şekilde önceden bildirmesi gerekiyor.
Mesaj İçeriğinin İncelenmesi Son Çare Olmalı
Trafik veya log kayıtlarının incelenmesiyle amaca ulaşılabiliyorsa doğrudan yazışma içeriğine erişilmemesi gerekiyor. İçerik denetimi ancak daha hafif yöntemlerin yetersiz kaldığı, somut bir şüphe veya zorunluluk bulunan durumlarda ve inceleme konusu iddiayla sınırlı biçimde yapılabilecek. Gizli ve sürekli çalışan izleme yöntemleri ise hukuka aykırı sayılabilecek.
Kişisel Verilere Erişim ve İşten Ayrılma Süreçlerine Dikkat
Denetim sonucunda elde edilen verilere yalnızca görevli ve yetkilendirilmiş sınırlı personelin erişmesi, erişimlerin kayıt altına alınması ve gerekli güvenlik önlemlerinin uygulanması gerekiyor. Çalışanın işten ayrılması sonrasında da kurumsal e-posta hesabının aktif kullanımına ve yeni erişimlere kural olarak son verilmesi; yönlendirme, otomatik cevap veya arşivleme gibi işlemlerin ise somut ihtiyaca göre değerlendirilmesi gerekiyor. Kurallara aykırı uygulamalar KVKK kapsamında inceleme ve idari yaptırım sonucunu doğurabilecek.