Kişisel Verileri Koruma Kurulundan Çalışanların İletişim Kanallarının Denetlenmesine İlişkin İlke Kararı
Kişisel Verileri Koruma Kurulunun (“Kurul”) 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”), 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanmıştır. İlke Kararı; işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta hesapları ve diğer iletişim kanallarının denetlenmesi süreçlerinde uyulması gereken temel usul ve esaslar bakımından önem arz etmektedir.
Kurul; İlke Kararında işverenin yönetim hakkı ile çalışanın haberleşme hürriyeti ve kişisel verilerinin korunması hakkı arasında bir denge kurulması gerektiğini vurgulamıştır. Bu doğrultuda, iletişim araçlarının işverene ait olması sınırsız bir denetim yetkisi vermemekle beraber, denetim ancak önceden bilgilendirme, hukuki dayanak, gereklilik ve ölçülülük ilkelerine uygun olarak yapılabilir.
Söz konusu kararda işverenlerin denetim yetkisini kullanırken uyması gereken esaslar İlke Kararında ele alınmış olup bu kararda öne çıkan hususlara aşağıda yer verilmiştir.
Denetimin Kapsamı Kurumsal E-Posta Hesaplarıyla Sınırlı Tutulmamıştır.
İlke Kararı, kurumsal e-posta hesaplarının yanı sıra kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarının sohbet ve kayıt alanlarını da kapsamaktadır. Buna göre, denetimde hesabın tahsis amacı, kişisel kullanım durumu ve çalışanın makul mahremiyet beklentisi esas alınmalıdır.
Kurul ayrıca, yazışma içeriklerine erişilmeksizin yalnızca trafik veya log kayıtlarının incelenmesinin de kişisel veri işleme faaliyeti olduğunu belirtmiştir. Bu nedenle trafik verilerinin denetimi de Kanun’un genel ilkelerine, işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine tabidir.
İş Amaçlı Kullanım ile Özel Amaçlı Kullanım Ayrımı Denetimin Sınırlarını Belirleyecektir.
İlke Kararı uyarınca, işverenler, yönetim hakkı kapsamında işyeri iletişim araçlarının özel kullanımını yasaklayabilir veya kurallara bağlayabilir; ancak bu kuralların çalışanlara açıkça duyurulması zorunludur. Özel kullanımın yasaklanmış olması ise sürekli gözetimi haklı çıkarmaz ve ihlal durumunda içerik dışı veriler yeterliyse, yazışma içeriğine erişilmesi orantılı kabul edilmez. Özel kullanıma izin verilen durumlarda denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı, özel yazışmalar denetim dışı bırakılmalıdır. İş ve özel iletişimin ayrılamadığı durumlarda ise işverenin denetim yetkisi daha dar yorumlanmalıdır.
Teknik Erişim İmkânı ile Hukuki Erişim Yetkisinin Ayrılması Gerekmektedir.
İlke Kararında, işverenin bir cihaz, oturum, ağ veya kurumsal sistem üzerinde teknik yetkiye sahip olması ile bu sistemler üzerinden erişilebilen yazışmaları hukuken inceleyebilmesi arasında ayrım yapılmıştır. Bu doğrultuda, işverenin teknik yetkiye sahip olması, çalışanın kişisel e-posta hesabına, kişisel mesajlaşma uygulamasına veya sosyal medya mesaj kutusuna serbestçe erişebileceği anlamına gelmemektedir. Bu husus, özellikle kurumsal cihazlarda kişisel hesapların da kullanıldığı durumlarda erişim yetkilerinin hukuki sınırlar gözetilerek belirlenmesini gerektirmektedir.
Çalışanların Önceden Bilgilendirilmesi ve Aydınlatmanın Somutlaştırılması Gerekmektedir.
Kurul, Anayasa Mahkemesi içtihadındaki önceden bilgilendirme ile Kanun’un 10. maddesindeki aydınlatma yükümlülüğünün farklı olduğunu vurgulamıştır. Ancak Kanun'un aradığı unsurları taşıyan ve denetimin amacı, kapsamı ve yöntemini açıklayan kapsamlı bir aydınlatma; önceden bilgilendirme şartını karşılayabilecektir. Aydınlatmada; veri işlemenin sebebi, amacı, kapsamı, denetim yöntemi (log/içerik), erişim halleri, saklama süreleri ve çalışan hakları somut olarak belirtilmelidir. Buna göre, e-posta hesabının denetlenebileceği gibi genel ve soyut ifadeler yetersizdir. Ayrıca, gizli ve ayrım gözetmeyen sürekli izlemeler ise hukuka aykırıdır.
Açık Rıza Denetimin Öncelikli Hukuki Dayanağı Olarak Esas Alınmamalıdır.
İlke Kararında, iş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rızanın e-posta denetiminde kural olarak öncelikli hukuki dayanak alınmaması gerektiği; rızaya dayanılması hâlinde ise, bunun özgür iradeyle verilip verilmediğinin somut olaya göre değerlendirileceği belirtilmiştir. Denetim; hukuki yükümlülük, hakkın tesisi veya korunması ya da meşru menfaat gibi diğer şartlara dayandırılabilecektir. Ancak geçerli bir veri işleme şartının bulunması işverene sınırsız yetki vermez; denetimin her durumda Kanun’un genel ilkelerine uygun, amaçla bağlantılı, sınırlı ve ölçülü olması şarttır.
İçerik Denetimine Ancak Kademeli Denetimin Yetersiz Kaldığı İstisnai Hâllerde Başvurulabilecektir.
Kurul, İlke Kararında “denetimde kademelilik” ilkesini esas almıştır. Bu kapsamda, meşru amaca daha az müdahaleci yöntemlerle ulaşılabiliyorsa daha ağır denetimler uygulanamaz. Trafik verisi yeterliyse içerik incelemesine başvurulamayacağı gibi; içerik denetimi ancak zorunlu, istisnai ve somut şüphenin bulunduğu iddiayla sınırlı hallerde yapılabilir. Genel ve sürekli içerik incelemeleri ise, hukuka aykırı kabul edilmiştir.
Ayrıca kötüye kullanımın filtreleme veya engelleme gibi teknik yöntemlerle önlenebildiği durumlarda, bu durum işverene genel bir denetim hakkı vermemektedir.
Özel Nitelikli Kişisel Veriler ve Üçüncü Kişilere Ait Veriler Gözetilmelidir.
Denetlenen yazışma veya eklerde özel nitelikli kişisel veriler ile muhatap ya da üçüncü kişilere ait veriler bulunabileceği göz önünde bulundurularak Kanun’un 6. maddesindeki şartlar gözetilmeli ve denetimin bu kişiler üzerindeki etkileri değerlendirilmelidir. Elde edilen verilere erişim, yalnızca görevli sınırlı personelle sınırlandırılmalı; erişim kayıtları tutularak gizlilik yükümlülüğü sağlanmalıdır. Veriler sadece işleme amacının gerektirdiği süre boyunca muhafaza edilmelidir.
İş İlişkisinin Sona Ermesinden Sonraki Erişim ve Saklama Süreçleri Ayrıca Değerlendirilecektir.
İlke Kararında, iş ilişkisi sona erdiğinde kurumsal e-posta hesabındaki veri işleme faaliyetlerinin yeniden değerlendirilmesi gerektiği vurgulanmaktadır. Kural olarak hesap aktif kullanıma kapatılmalı, gelen iletilerin yetkisiz kişilerce görülmesi engellenmeli ve hukuki dayanağı kalmayan veriler imha edilmelidir.
Ancak iş sürekliliği, hukuki uyuşmazlıklarda savunma hakkı veya yasal yükümlülükler doğrultusunda; yönlendirme, otomatik yanıt veya arşivleme gibi uygulamalar sürdürülebilmektedir. Bu uygulamaların sınırlı, süreli, erişim yetkileri tanımlı ve kayıt altında tutulması zorunludur.
Sonuç
İlke Kararı, kurumsal iletişim denetimlerinin çalışanların temel hakları ve veri koruma ilkeleri çerçevesinde yürütülmesini zorunlu kılmaktadır. Bu doğrultuda işverenlerin politikalarını ve aydınlatma metinlerini güncelleyerek denetimin amacını, yöntemini ve yetkililerini açıkça somutlaştırmaları gerekir. İçerik incelemesi öncesinde daha az müdahaleci yöntemler değerlendirilmeli ve erişim yetkileri sınırlandırılmalıdır. Ayrıca işten ayrılan çalışanların erişim, yönlendirme, saklama gibi hesap süreçleri planlanmalı; uyum çalışmaları teknik yetkilendirme ve fiili uygulamaları kapsayacak şekilde yürütülmelidir. İlke Kararı’nda belirtilen yükümlülüklere uyulmaması durumunda, veri sorumluları hakkında Kanun’un 18. maddesi kapsamında idari yaptırım uygulanabilecektir.
YAZARLAR
Nuri Melih İnce
Sena Nur Temur
