İşveren Her e-Postayı Okuyabilir mi? Kişisel Verileri Koruma Kurulundan Çalışanların Yazışmalarına İlişkin Önemli Koruma

İşverenin e-posta hesabını tahsis etmiş olması, çalışanın bütün yazışmalarını okuyabileceği anlamına gelmiyor. Kişisel Verileri Koruma Kurulunun ilke kararına göre, somut olayın şartları mevcut ise kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da denetime konu olabilecek. Ancak bunun için çalışanlara yalnızca bir denetim bildirimi yeterli değil; yazışmaların içeriğine erişmek için somut şüphe, zorunluluk ve ölçülülük gerekiyor. Çalışana önceden bilgi verilmeden yapılan gizli izleme ise hukuka aykırı.

Kişisel Verileri Koruma Kurulu, 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararıyla işverenlerin kurumsal e-posta ve iş amacıyla kullanılan diğer iletişim kanallarını denetlerken uyması gereken esasları belirledi. Karar, işverenin yönetim hakkı ile çalışanın T.C. Anayasası m.20 ve 22 uyarınca koruma altına alınan kişisel verilerinin korunması ve haberleşme özgürlüğü hakları arasında kurulması gereken dengeyi öne çıkarıyor.

“E-Postalarınız Denetlenebilir” Demek Yeterli Değil.

İş sözleşmesinde veya şirket politikasında yalnızca kurumsal e-postaların denetlenebileceğinin belirtilmesi, gerekli bilgilendirmeyi tek başına karşılamıyor.

Çalışana denetimin neden, nasıl ve hangi sınırlar içinde yapılacağı açık ve somut biçimde anlatılmalı. Bilgilendirmede özellikle şu hususlara yer verilmeli:

• Kişisel verilerin işlenmesinin hukuki sebebi ve amacı,
• Denetimin kapsamı,
• Yalnızca trafik ve log kayıtlarının mı, yoksa yazışma içeriklerinin de mi inceleneceği,
• Yazışma içeriğine hangi hâllerde erişileceği,
• Verilerin saklanma süresi,
• Çalışanın 6698 sayılı Kanun’un 11. maddesi kapsamında; kişisel verilerinin işlenip işlenmediğini öğrenme, verileri işlenmişse buna ilişkin bilgi talep etme, verilerin hangi amaçla işlendiğini ve bu amaca uygun kullanılıp kullanılmadığını öğrenme, verilerin yurt içinde veya yurt dışında hangi üçüncü kişilere aktarıldığını öğrenme, eksik veya yanlış işlenen verilerin düzeltilmesini isteme, verilerin silinmesini veya yok edilmesini isteme, düzeltme, silme veya yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda kendisi aleyhine ortaya çıkan sonuca itiraz etme, verilerin hukuka aykırı işlenmesi nedeniyle zarara uğramışsa zararın giderilmesini talep etme gibi haklara sahip olduğu.

Dolayısıyla genel ifadeler içeren bir denetim maddesi, her türlü incelemeye izin veren bir yetki olarak değerlendirilemez.

İşveren Yazışmaların İçeriğini Ne Zaman İnceleyebilir?

Kurulun benimsediği yaklaşımda kademelilik esas alınmıştır. Denetimin amacına daha az müdahaleci bir yöntemle ulaşılabiliyorsa yazışmaların içeriğine erişilmemelidir.

İçerik incelemesi için birlikte değerlendirilmesi gereken koşullar şunlardır:

• Somut bir şüphenin bulunması,
• Trafik verilerinin incelenmesinin yetersiz kalması,
• İçeriğe erişimin zorunlu olması,
• İncelemenin ilgili iddiayla sınırlı tutulması.

Örneğin özel kullanım yasağının ihlal edildiği, yazışma içeriği dışındaki verilerden anlaşılabiliyorsa içeriğin ayrıca okunması gerekmez. Kötüye kullanımın filtreleme veya engelleme gibi teknik tedbirlerle önlenebilmesi de genel bir içerik denetimi yetkisi doğurmayacaktır.

İnceleme sırasında yalnızca çalışanın değil, yazıştığı üçüncü kişilerin verileri ve iletilerde ya da eklerinde bulunabilecek özel nitelikli kişisel veriler de gözetilmelidir.

Gizli İzleme ve Kesintisiz Gözetim Hukuka Aykırı!

Çalışanın önceden bilgilendirilmediği gizli izleme ile bütün işlemleri ayrım gözetmeden kaydeden araçlarla yapılan denetim hukuka aykırı kabul ediliyor.

Sürekli ve aralıksız gözetim de ölçülü bir denetim olarak değerlendirilmiyor. İletişim araçlarının işverene ait olması veya işyerinde kullanılması, bu sınırları ortadan kaldırmıyor.

Kurum Bilgisayarlarındaki Kişisel Hesaplar da Koruma Altında.

İşverenin cihaz, ağ, oturum veya kurumsal sistem üzerinde teknik yetkiye sahip olması; çalışanın kişisel e-posta, anlık mesajlaşma ve sosyal medya yazışmalarına erişme yetkisi vermiyor.

Başka bir ifadeyle, şirket bilgisayarından kişisel hesaba giriş yapılmış olması, o hesaptaki yazışmaların işveren tarafından incelenebilmesi için yeterli görülmemiştir.

Kişisel kullanıma da elverişli uygulamalarda hesabın iş amacıyla tahsis edilip edilmediği, çalışanın kişisel hesabını kullanıp kullanmadığı ve makul mahremiyet beklentisi ayrıca değerlendirilmelidir.

Özel Kullanım Yasaklansa Bile Denetimin Sınırları Var

İş amaçlı kullanım ile özel kullanımın kuralları açıkça belirlenmeli ve çalışanlara duyurulmalı. Ancak özel kullanımın yasak olması, sınırsız içerik incelemesine izin vermiyor.

Özel kullanıma izin verilmişse denetim iş amaçlı iletişimle sınırlı tutulmalı; özel yazışmalar incelemenin dışında tutulmalıdır. İş ve özel yazışmaların birbirinden ayrılamadığı durumlarda ise işverenin denetim yetkisi daha dar yorumlanmalıdır.

“Çalışanın Rızası Var” Savunması Tek Başına Yeterli mi?

İş ilişkisindeki bağımlılık ve güç dengesizliği nedeniyle açık rıza, denetimin kural olarak öncelikli hukuki dayanağı olmamalı. Rızaya dayanılması hâlinde, bunun özgür iradeyle verilip verilmediği ayrıca incelenmelidir.

Somut olayın özelliklerine göre hukuki yükümlülük, bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat gibi veri işleme şartları gündeme gelebilir. Ancak söz konusu şartların varlığı da işverene sınırsız denetim yetkisi sağlamamaktadır.

Log Kayıtlarının İncelenmesi de KVKK Kapsamında.

Yazışma içeriği okunmasa bile trafik ve log kayıtlarının işlenmesi de bir kişisel veri işleme faaliyeti olarak ifade edilmiştir.

Bu nedenle yalnızca log incelemesi yapılan durumlarda da Kanun’un genel ilkelerine, veri işleme şartlarına, aydınlatma yükümlülüğüne ve veri güvenliği kurallarına uyulması gerekmektedir.

Denetimde elde edilen verilere yalnızca görevleri kapsamında yetkilendirilmiş sınırlı sayıda personel erişmeli. Erişim kayıtları tutulmalı, erişen kişiler gizlilik yükümlülüğü altında olmalı ve veriler yalnızca amacın gerektirdiği süre boyunca saklanmalıdır.

Çalışan İşten Ayrılınca E-Posta Hesabına Ne Olacak?

İşten ayrılan çalışanın hesabı kural olarak onun kullanımına ve yeni erişimlere kapatılmalıdır. Gelen iletiler ilgisiz kişilerin erişimine açılmamalı; işlenmesini gerektiren hukuki dayanağı kalmayan veriler imha edilmelidir.

İş sürekliliği, savunma hakkı veya mevzuattan kaynaklanan yükümlülükler nedeniyle yönlendirme, otomatik cevap, arşivleme ya da muhafaza gerekebilir. Ancak bu işlemler sınırlı ve süreli olmalı; erişim yetkileri belirlenerek kayıt altına alınmalı ve somut olayın özelliklerine göre değerlendirilmelidir.

Kurallara Aykırılık İdari İşleme Yol Açabilir!

İlke kararındaki esaslara uyulmadığının tespit edilmesi hâlinde Kurul tarafından inceleme yapılabilecek ve veri sorumlusu hakkında 6698 sayılı Kanun’un 18. maddesi uyarınca idari işlem tesis edilebilecek. Bu doğrultuda 2026 yılı güncel idari para cezaları kapsamında meydana gelebilecek ihlaller ve yaptırımlar aşağıdaki şekildedir:

İhlal	İdari para cezası
Aydınlatma yükümlülüğünün yerine getirilmemesi	85.437–1.709.200 TL
Veri güvenliği yükümlülüklerinin yerine getirilmemesi	256.357–17.092.242 TL
Kurul kararlarının yerine getirilmemesi	427.263–17.092.242 TL

 

Kamu kurumlarında ve kamu kurumu niteliğindeki meslek kuruluşlarında ise ilgili personel hakkında disiplin hükümlerine göre işlem yapılır; uygulanacak disiplin cezası personelin tabi olduğu mevzuata göre belirlenir.

Bu nedenle işverenlerin yalnızca iş sözleşmelerindeki denetim maddelerini değil; aydınlatma metinlerini, özel kullanım kurallarını, izleme araçlarını, erişim yetkilerini ve işten ayrılma süreçlerini de karar doğrultusunda değerlendirmesi gerekiyor.

Yasal Uyarı

Bu internet sitesinde yayımlanan makaleler, haberler ve dilekçe örnekleri genel bilgilendirme amacı taşımakta olup bağlayıcı hukuki görüş veya danışmanlık niteliğinde değildir. Hukuki değerlendirmeler, somut olayın özelliklerine, güncel mevzuata ve yargı kararlarına göre değişkenlik gösterebilir. Dilekçe örneklerinin her uyuşmazlığa doğrudan uygulanması uygun değildir. Hak kaybı yaşamamak ve durumunuza özgü detaylı hukuki bilgi edinmek için avukatınıza danışınız.