İşverenlerin çalışanlarına tahsis ettiği kurumsal e-posta hesapları ve benzeri araçlar, işyerindeki iletişimin ve iş süreçlerinin yürütülmesinde önemli bir yere sahip. Ancak bu hesaplar yalnızca mesleki yazışmaları değil, çalışanların kişisel ilişkilerine, iletişim alışkanlıklarına ve kimi zaman özel hayatlarına ilişkin bilgileri de içerebiliyor.
Bu durum, işverenin kurumsal iletişim araçları üzerindeki denetim yetkisinin sınırlarını önemli bir hukuki mesele haline getiriyor. İşveren, kendisine ait bir e-posta hesabındaki bütün yazışmaları inceleyebilir mi? Çalışanın denetim konusunda önceden bilgilendirilmesi yeterli midir? Yazışmaların içeriğine hangi koşullarda erişilebilir?
Kişisel Verileri Koruma Kurulunun (Kurul) 8 Ekim 2026 tarihli Resmi Gazetede yayımlanan 16.09.2026 tarihli 2026/2035 sayılı İlke Kararı, işverenin yönetim ve denetim yetkisi ile çalışanın Anayasa’nın 20. ve 22. maddelerinde güvence altına alınan özel hayatının gizliliği, kişisel verilerinin korunmasını isteme hakkı ve haberleşme hürriyeti arasındaki sınırları somutlaştırıyor.
İlke Kararının arka planında ne var?
Kurul, şikayetler üzerine yaptığı incelemelerde çalışanlara tahsis edilen iletişim kanallarının ve özellikle kurumsal e-posta hesaplarının izlendiğini, yazışma içeriklerine erişildiğini, iletişim faaliyetlerine ilişkin trafik ve log kayıtlarının incelendiğini, filtreleme veya rutin denetimlerin gerçekleştirildiğini tespit ediyor. Bu yöntemlerle elde edilen verilerin disiplin süreçlerinde veya iş sözleşmesinin sona erdirilmesinde kullanıldığı, ancak çalışanların söz konusu veri işleme faaliyetlerinin amacı, kapsamı ve yöntemi hakkında yeterli, açık ve somut biçimde bilgilendirilmediği de tespitler arasında yer alıyor.
İşverenin bilgi güvenliğini sağlaması, işin düzenini koruması ve kurumsal kaynakların kullanımını denetlemesi meşru olabilir. Ancak iletişim aracının işverene ait olması, bu araç üzerinden gerçekleştirilen bütün iletişimin sınırsız biçimde izlenebileceği anlamına gelmiyor.
Burada iş amaçlı kullanım ile özel amaçlı kullanım arasındaki ayrım önem kazanıyor. İşveren, kurumsal iletişim araçlarının özel amaçlarla kullanılmasını yasaklayabilir veya belirli kurallara bağlayabilir. Ancak bu kuralların açık, anlaşılır ve çalışan tarafından bilinebilir olması gerekiyor. Üstelik özel kullanımın yasaklanması da ölçüsüz bir denetimi haklı çıkarmıyor. İş amaçlı kullanım ile özel kullanımın kesin çizgilerle birbirinden ayrılamadığı durumlarda ise işverenin denetim yetkisinin daha dar değerlendirilmesi gerekiyor.
Teknik erişim imkanı, hukuki erişim yetkisi değildir
İlke Kararının önemli ayrımlarından biri, işverenin teknik erişim imkanı ile hukuki erişim yetkisi arasında ortaya çıkıyor.
İşverenin kurumsal ağı yönetmesi, iş bilgisayarlarını tahsis etmesi veya sistemlere teknik olarak erişebilmesi, bu sistemlerdeki her yazışmayı inceleme hakkı vermiyor. Çalışanın kişisel e-posta, anlık mesajlaşma ve sosyal medya hesapları da yalnızca işyerindeki cihazlardan kullanıldıkları için işverenin serbestçe inceleyebileceği iletişim alanlarına dönüşmüyor.
Teknik olarak erişilebilir olmak ile hukuken erişmeye yetkili olmak, farklı kavramlar. İşverenin denetimin hukuki dayanağını, amacını, gerekliliğini ve çalışanların hakları üzerindeki etkilerini ayrıca değerlendirmesi gerekiyor. Bu ayrım, işverenin mülkiyet ve yönetim yetkisinin kişisel verilerin korunması bakımından tek başına bir hukuki gerekçe oluşturmadığını gösteriyor.
Önceden bilgilendirme ile aydınlatma yükümlülüğü aynı şey mi?
Denetimin hukuka uygunluğu açısından çalışanın neyi, ne zaman ve nasıl öğrendiği KVKK açısından belirleyici unsur olarak kabul ediliyor.
Kurul, Anayasa Mahkemesinin aradığı önceden bilgilendirme (Celal Oraj Altunörgü [1. B.], B. No: 2018/31036, 12/1/2021, § …) (E.Ü. [GK], B. No: 2016/13010, 17/9/2020, § …) ile KVKK’nın 10. maddesindeki aydınlatma yükümlülüğünü birbirinden ayırıyor. Bu iki kavram ilişkili olmakla birlikte aynı hukuki yükümlülüğü ifade etmiyor. Örneğin çalışana yalnızca “kurumsal e-postalar denetlenebilir” şeklinde genel bir bildirim yapılması, somut olayın özelliklerine göre önceden bilgilendirme bakımından yeterli olmayabileceği gibi KVKK kapsamındaki aydınlatma yükümlülüğünün de yerine getirildiğini göstermiyor.
İşverenin yapacağı aydınlatmada kişisel verilerin hangi hukuki sebeple ve amaçla işleneceğinin, denetimin kapsamının ve yönteminin, trafik ve log kayıtlarının hangi koşullarda inceleneceğinin, yazışma içeriklerine hangi hallerde erişilebileceğinin, verilerin saklama süresinin ve çalışanın KVKK’nın 11. maddesindeki haklarının açık ve somut biçimde belirtilmesi gerekiyor.
Kurul, usulüne uygun bir aydınlatmanın çalışanın denetim hakkında önceden bilgilendirilmesi koşulunu da karşılayabileceğini kabul ediyor. Bunun için aydınlatmanın yalnızca KVKK’nın 10. maddesindeki unsurları içermesi değil, denetimin amacı, kapsamı ve yöntemini de çalışan tarafından anlaşılabilir biçimde ortaya koyması gerekiyor.
İşverenin denetim yapabileceğini bildirmesi ile denetimin hangi koşullarda ve nasıl gerçekleştirileceğini açıklaması arasında hukuken önemli bir fark bulunuyor.
Çalışanın açık rızası denetimi hukuka uygun hale getirir mi?
Çalışanın açık rıza göstermesi de denetimi kendiliğinden hukuka uygun hale getirmiyor. Kurul, iş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rızanın özgür iradeyle verilip verilmediğinin somut olayın koşullarına göre değerlendirilmesi gerektiğini vurguluyor. Bu nedenle açık rızanın e-posta denetiminde her durumda öncelikli hukuki dayanak olarak kabul edilmesi mümkün görülmüyor.
Geçerli bir açık rızanın veya Kanun’da öngörülen başka bir veri işleme şartının bulunması da işverene sınırsız denetim yetkisi tanımıyor. Denetimin ayrıca KVKK’nın 4. maddesinde düzenlenen genel ilkelere uygun olması gerekiyor. Söz konusu maddeyle kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, bu amaçlarla bağlantılı, sınırlı ve ölçülü biçimde işlenmesi ve gerekli olandan uzun süre saklanmaması düzenleniyor.
E-posta denetiminde ölçülülük ve kademelilik
İlke Kararının temel ölçütlerinden biri de denetimde kademeli yaklaşımın benimsenmesi olarak öne çıkıyor. İşverenin amacına daha az müdahaleci yöntemlerle ulaşabileceği durumlarda bu yöntemleri tercih etmesi gerekiyor. Örneğin kötüye kullanımın filtreleme veya engelleme yoluyla önlenebildiği hâllerde doğrudan yazışma içeriklerine erişilmesi ölçülülük ilkesine aykırılık oluşturabilir.
Bu noktada denetimin meşru bir amaca dayanması tek başına yeterli değil. Seçilen yöntemin de ulaşılmak istenen amaç bakımından gerekli ve ölçülü olması gerekiyor. İşverenin denetim yetkisinin hukuka uygunluğu değerlendirilirken yalnızca neden denetim yaptığına değil, denetimi nasıl gerçekleştirdiğine de bakılıyor.
İşveren yazışmaların içeriğini hangi koşullarda inceleyebilir?
Yazışma içeriklerine erişilmesi, trafik veya log kayıtlarının incelenmesine kıyasla çalışanın özel hayatına ve haberleşme hürriyetine daha ağır bir müdahale oluşturuyor. Bu nedenle içerik denetiminde kural olarak somut şüphe veya belirli bir olayla bağlantılı meşru bir amaç aranıyor. İncelemenin bu amaçla sınırlı tutulması, kapsamı belirsiz, genel ve sürekli içerik denetimlerinden kaçınılması gerekiyor.
Çalışanların önceden bilgilendirilmediği gizli yöntemlerle bütün iletişimlerinin ayrım gözetilmeksizin kaydedilmesi de hukuka aykırılık oluşturuyor. Dolayısıyla içerik incelemesi, işverenin her durumda başvurabileceği olağan bir denetim yöntemi olarak değerlendirilemiyor. Somut olayın koşulları, denetimin amacı ve daha az müdahaleci yöntemlerin yeterli olup olmadığı birlikte ele alınıyor.
Denetim üçüncü kişilerin verilerine etkisi
Kurumsal e-posta hesaplarında yalnızca çalışana ait kişisel veriler bulunmuyor. Yazışmalar müşterilerin, iş ortaklarının ve diğer üçüncü kişilerin verilerini de içerebiliyor. Sağlık bilgileri gibi özel nitelikli kişisel verilerin yazışma içeriklerinde veya eklerinde bulunması da mümkün. Bu nedenle denetimin etkisi değerlendirilirken yalnızca işveren ile çalışan arasındaki ilişki değil, iletişimin karşı tarafındaki kişilerin haklarının ve özel nitelikli kişisel verilerin işlenmesine ilişkin risklerin de gözetilmesi gerekiyor.
Kişisel verilere erişebilen personele ilişkin sınırlamalar
Kurul, denetim sonucunda elde edilen verilere erişimin belirli sayıda yetkili personelle sınırlandırılmasını, erişim yetkilerinin görev tanımlarına göre belirlenmesini, erişim kayıtlarının tutulmasını ve gizlilik yükümlülüklerinin güvence altına alınmasını öngörüyor. Verilerin işleme amacı bakımından gerekli süreden uzun saklanmaması da bu yükümlülüklerin bir parçası.
İşten ayrılan çalışanın e-posta hesabına erişilebilir mi?
İş ilişkisinin sona ermesi, işverene eski çalışanın kurumsal e-posta hesabındaki verilere süresiz erişim hakkı tanımıyor. İlke Kararı, iş sözleşmesinin sona ermesinden sonra çalışanın e-posta hesabına ve hesap kapsamında elde edilmiş bilgilere ilişkin kişisel veri işleme faaliyetlerinin hukuki dayanağının ve saklama sürelerinin ayrıca değerlendirilmesi gerektiğini ortaya koyuyor.
Hukuka aykırı iletişim denetiminin iş sözleşmesinin feshine etkisi
Denetimden elde edilen bilgilerin disiplin süreçlerinde veya iş sözleşmesinin feshinde kullanılması, kişisel verilerin korunması hukukunun yanı sıra iş hukuku bakımından da önemli sonuçlar doğurabiliyor. Bu durumlarda öncelikle işverenin kişisel verileri elde etme ve işleme faaliyetinin KVKK’ya uygun olup olmadığının incelenmesi, ardından bu verilerin disiplin işleminde veya yargılamada delil olarak kullanılmasının hukuki koşullarının değerlendirilmesi gerekiyor.
Kurulun İlke Kararı, her hukuka aykırılığın otomatik olarak iş sözleşmesinin feshini geçersiz kılacağı veya delili kullanılamaz hale getireceği yönünde genel bir sonuç öngörmüyor. Bu meseleler somut olayın özelliklerine, ilgili iş hukuku hükümlerine ve yargılama kurallarına göre ayrıca incelenmeli. Özetle kurumsal yazışmaların iş sözleşmesinin feshinde kullanılması değerlendirilirken yalnızca yazışmaların içeriği değil, bu bilgilerin nasıl elde edildiği ve hangi hukuki dayanakla işlendiği de önem taşıyor.
İlke Kararına aykırılığın sonuçları
İlke Kararında ortaya konulan yükümlülüklere aykırılık halinde somut olayın özelliklerine göre KVKK’nın 18. maddesi kapsamında ilgili veri sorumluları hakkında işlem yapılabilecek.
Bu bakımdan işverenlerin kurumsal e-posta hesaplarının ve diğer iletişim kanallarının denetlenmesine ilişkin uygulamalarını yalnızca işyeri düzeni veya bilgi güvenliği açısından değil, kişisel verilerin korunması hukuku bakımından da değerlendirmesi gerekiyor. Denetimin hukuki sebebi ve amacı, çalışanların önceden bilgilendirilmesi, aydınlatma yükümlülüğünün kapsamı, kullanılacak denetim yöntemleri, içeriklere erişim koşulları, veri güvenliği tedbirleri ve saklama süreleri bu değerlendirmenin temel unsurlarını oluşturuyor.
Sonuç
- Kişisel Verileri Koruma Kurulunun 2026/2035 sayılı İlke Kararı, işverenin yönetim hakkı ile çalışanın temel hakları arasındaki sınırları kişisel verilerin korunması hukuku bakımından somutlaştırıyor.
- İşverenin kurumsal iletişim araçlarını denetleyebilmesi, bu araçlardaki bütün kişisel verilere sınırsız biçimde erişebileceği anlamına gelmiyor. Denetimin hukuki dayanağının bulunması, çalışanların yeterli ve somut biçimde bilgilendirilmesi, kişisel verilerin yalnızca meşru amaçlarla ve gerekli ölçüde işlenmesi gerekiyor.
- Karar, işverenlerin denetim uygulamalarını hukuki sebep, amaç, gereklilik ve ölçülülük bakımından değerlendirmesini; çalışanların ise hangi verilerinin ne amaçla ve hangi sınırlar içinde işlenebileceğini bilmesini esas alıyor.
İşverenin denetim yetkisinin sınırını, iletişim araçları üzerindeki teknik hâkimiyeti değil, hukuka uygunluk ve ölçülülük ilkeleri belirliyor. İletişim altyapısı işverene ait olabilir ancak çalışanın temel hakları işyerinin kapısından girmesiyle sona ermez.
Kaynak: Kişisel Verileri Koruma Kurulunun 16.09.2026 tarihli ve 2026/2035 sayılı İlke Kararı