Kişisel Verileri Koruma Kurulunun “İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesaplarının Denetlenmesinde Uyulması İstenen Usul ve Esaslar” Hakkındaki İlke Kararı Resmi Gazetede Yayımlandı.
Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İşverenler Tarafından Çalışanlara Tahsis Edilen Kurumsal E-Posta Hesapları Başta Olmak Üzere, İşin Yürütülmesi Amacıyla Kullanılan İletişim Kanallarının Denetlenmesi Suretiyle Gerçekleştirilen Kişisel Veri İşleme Faaliyetlerinde Uyulması Gereken Usul ve Esaslar Hakkında İlke Kararı, 08.10.2026 tarihli Resmî Gazete’de yayımlandı.
Bu karar ile, kurumsal e-posta hesapları yanında işin yürütülmesinde kullanılan mesajlaşma uygulamaları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarının sohbet ve kayıt alanlarını da kapsamına alıyor. Ayrıca, kararda, iletişim araçlarının işverene ait olmasının sınırsız denetim yetkisi tanımadığı belirtildi.
Özet;
Kişisel Verileri Koruma Kurulunun, 2026/2035 sayılı ilke kararına göre çalışan önceden aydınlatılmalı, denetim meşru bir amaca dayanması, amaçla sınırlı ve ölçülü olmalı; içerik incelemesine yalnızca somut şüphe bulunan hallerde ve erişimin zorunlu olduğu durumlarda başvurulmalıdır. İşveren tarafından, kurumsal e-posta hesabı sınırsız biçimde denetlenemeyeceğine yer verilmiştir.
1- İşveren Çalışana Bilgi Verecek
-İşveren denetim başlamadan önce çalışanları açık, anlaşılır ve somut biçimde bilgilendirmesi gerekiyor. Bu bilgilendirmede denetimin amaç, hukuki sebep, kapsam, yöntem, verilerin saklama süresi ve çalışanın hakları yer verilecektir.
-Genel bilgilendirme yeterli sayılmayacak olup, denetimin trafik/log kayıtlarıyla mı yoksa içerik denetimiyle mi yürütüleceğini, yazışma içeriğine hangi durumlarda erişilebileceği de açıklanmalıdır.
2- İçerik Denetiminde Yalnızca Somut Şüphe Esas Alınacak
-Denetimde daha az müdahaleci yöntemlere öncelik verilecek. İşveren, amacına trafik verilerini inceleyerek ulaşabiliyorsa yazışma içeriğine erişemeyecektir.
-İçerik denetimine yalnızca somut şüphe bulunan durumlarda, iddiayla sınırlı biçimde başvurulabilecek. Kapsamı belirsiz, genel ve süreklilik arz eden içerik incelemesinden kaçınılacak.
3- Gizli İzleme Hukuka Aykırı Sayılıyor
-Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile çalışanın tüm işlemlerini ayrım gözetmeden kaydeden araçlar aracılığı ile yapılan denetim hukuka aykırı sayılacak.
-Özel amaçlı kullanımın yasaklanmış olduğu hallerde dahi işverenin denetim yetkisinin ölçülülük ilkesiyle sınırlıdır. Denetim sürekli ve aralıksız gözetim şeklinde yürütülemeyecek. İhlalin içerik dışındaki verilerden anlaşılması hâlinde yazışma içeriğine ayrıca erişilmesi gerekli ve orantılı kabul edilmeyecek.
4- Kişisel Hesaplarına Serbestçe Erişim Yetkisi Verilmeyecek
-İşverenin cihaz, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması, çalışanın kişisel e-posta hesabına, mesajlaşma uygulamasına veya sosyal medya mesajlarına serbestçe erişebileceği anlamı taşımıyor.
-Özel kullanıma izin verilen ve iş yazışmalarıyla kişisel yazışmaların ayrılabildiği durumlarda denetim yalnızca iş amaçlı iletişimle sınırlı tutulacak. Ayrım yapılamadığı durumlarda denetim yetkisi daha dar yorumlanması gerekiyor.
5- Açık Rıza Denetim İçin Yeterli ve Öncelikli Dayanak Olmayacak
-İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle çalışanın açık rızası, e-posta denetiminde kural olarak öncelikli hukuki dayanak olarak esas alınmayacak. Rızaya dayanılan durumlarda somut olay özelinde özgür iradenin bulunup bulunmadığı ayrıca değerlendirilecek.
-Veri işleme faaliyetleri, somut olayın koşullarına göre hukuki yükümlülük, bir hakkın tesisi veya korunması ya da meşru menfaat şartlarına dayanabilecek. Bu şartlar da sınırsız denetim yetkisi tanımıyor.
6- İşten Ayrılmış Olan Çalışanın Hesabı İçin Yapılacak Değerlendirme
-İş ilişkisi sona eren personelin kurumsal e-posta hesabına ilişkin veri işlemenin hukuki dayanağı değerlendirilecek. Kural olarak hesap çalışanın aktif kullanımına ve yeni erişimlere kapatılacak; hukuki dayanağı kalmayan kişisel veriler imha edilecek.
-Ayrıca, İş sürekliliğinin sağlanması, kurumsal iletişimin aksamaması, hukuki uyuşmazlıklar veya mevzuattan kaynaklanan yükümlülükleri için kurumsal e-posta hesabına sınırlı, süreli ve kayıt altına alınmış yönlendirme, otomatik cevap ve arşivleme veya muhafaza uygulamaları somut olayın koşullarına göre değerlendirilecek.
7- Belirtilen Yükümlülüklere Uyulmadığında İdari İşlem Uygulanması
-Kurul kararında belirtilen yükümlülüklere uyulmadığının tespiti halinde, somut olayın özellikleri dikkate alınarak gerekli incelemenin yapılacağı ve 6698 sayılı Kanun’un 18’inci maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edilecektir.