Kurumsal e-postayı denetlemek: ‘Sistem bizim’ demek artık yetmiyor

Kişisel Verileri Koruma Kurulu’nun, işyerinde kullanılan iletişim kanallarının denetimine ilişkin 16 Eylül 2026 tarihli ve 2026/2035 sayılı kararı, 8 Ekim 2026 tarihli Resmi Gazete’de yayımlandı. Kurul, çalışanların kurumsal e-posta ve diğer iletişim kanallarındaki yazışmalarının denetlenmesi, log kayıtlarının incelenmesi ve elde edilen verilerin disiplin süreçlerinde kullanılması karşısında çalışanların yeterince bilgilendirilmemesi üzerinde durdu.

Karar; kurumsal e-posta hesaplarının yanı sıra mesajlaşma uygulamalarını, müşteri ilişkileri sistemlerini ve toplantı platformlarını da kapsıyor. TEKNİK ERİŞİM, HUKUKİ YETKİ DEMEK DEĞİLDİR Kurula göre kurumsal e-posta, bir iletişim aracından fazlası; çalışanın mesleki ve zaman zaman kişisel ilişki ağını, çalışma düzenini ve yazışma içeriklerini barındıran bir veri kaynağıdır.

Bu nedenle denetim, işverenin yönetim hakkı ile çalışanın Anayasa'nın 20 ve 22'nci maddelerindeki özel hayatın gizliliği, kişisel verilerin korunması ve haberleşme hürriyeti arasındaki denge kurmayı gerektirir. Kararın kapsamı yalnızca e-postayla da sınırlı değil.

Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri ve talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olaya göre denetime konu olabilecek kanallar arasında sayılıyor. Kararın işverenler açısından ana mesajı şu: Denetim yasak değildir, ancak kendiliğinden hukuka uygun da sayılmaz.

Her denetim faaliyeti; kanundaki veri işleme şartlarına, genel ilkelere, aydınlatma ve veri güvenliği yükümlülüklerine uygun olmalı, ayrıca belirli ve meşru bir amaçla sınırlı, ölçülü biçimde yürütülmeli. İŞVERENLERİN BİLMESİ GEREKEN TEMEL NOKTALAR * İş ve özel kullanım ayrılmalı.

İşverenin kullanım kuralları açık ve anlaşılır olmalı; özel kullanım yasak olsa dahi denetim ölçülü yürütülmeli. * Kişisel hesaplar korunmalı. Teknik erişim imkânı, kişisel e-posta, mesajlaşma veya sosyal medya hesaplarını inceleme yetkisi vermez. * Aydınlatma somut olmalı.

Genel bildirim yeterli değildir; hukuki sebep, amaç, kapsam, yöntem, erişim koşulları, saklama süresi ve KVKK m. 11 kapsamındaki haklar açıklanmalı. * Açık rıza sınırsız yetki sağlamaz. İş ilişkisindeki güç dengesizliği gözetilmeli; açık rıza denetimin tek veya öncelikli dayanağı olarak görülmemeli. * Denetim kademeli yürütülmeli.

Amaca daha hafif bir yöntemle ulaşılabiliyorsa daha müdahaleci yöntemlere başvurulmamalı. * Üçüncü kişiler ve hassas veriler gözetilmeli. Müşteri ve tedarikçi verileri ile sağlık gibi özel nitelikli kişisel verilerin korunmasına dikkat edilmeli. * Erişim ve saklama sınırlandırılmalı.

Verilere yalnızca yetkili kişiler erişmeli, erişimler kayıt altına alınmalı, uzun süreli tutulmamalı. * İş ilişkisinin sona ermesi, eski çalışanın hesabına süresiz erişim veya verilerini sınırsız işleme hakkı vermez. Sonuç Karar ile birlikte işyeri iletişim kanallarının denetimi, KVKK uyum programlarının doğrudan bir parçası haline geldi.

Kurul, yükümlülüklere uyulmadığının tespiti halinde somut olayın özelliklerine göre inceleme yapılacağını ve veri sorumluları hakkında işlem tesis edileceğini açıkça duyurdu.