KVKK'dan işverenlere ilke kararı: kurumsal e-posta denetiminde sınırsız erişim yok

Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, 8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete'de yayımlandı. Karar, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesaplarını ve diğer iş yeri iletişim kanallarını hangi koşullarda denetleyebileceğine ilişkin çerçeveyi çiziyor.

Kararın temel ilkeleri

Kararla ilgili yayımlanan değerlendirmelere göre öne çıkan noktalar şöyle:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• İletişim aracının işverene ait olması, tek başına sınırsız denetim yetkisi vermiyor.
• İçeriğe hiç bakılmadan yalnızca trafik ve log kayıtlarının incelenmesi de kişisel veri işleme sayılıyor ve Kanun'daki yükümlülüklere tabi.
• Çalışanlar denetim konusunda önceden bilgilendirilmeli; "kurumsal e-posta denetlenebilir" gibi genel bir ifade aydınlatma yükümlülüğünü karşılamıyor. Aydınlatmada denetimin amacı, kapsamı ve yöntemi açıkça yer almalı.
• Özel kullanım yasaklanmış olsa bile sürekli gözetim yapılamıyor; daha az müdahaleci yöntemler önceliklendirilmeli.
• Yazışma içeriğine erişim, ancak somut bir şüphe ya da belirli bir olayla bağlantılı meşru ve zorunlu bir amaç varsa sınırlı ölçüde mümkün.

Kapsam yalnızca e-posta değil

Karar kurum içi anlık mesajlaşma uygulamaları ve kurumsal iletişim hesapları gibi diğer iş kanallarını da kapsıyor. Değerlendirmelerde, iş ilişkisindeki güç dengesizliği nedeniyle çalışanın açık rızasının bu tür denetimlerde kural olarak öncelikli hukuki dayanak olmaması gerektiğinin vurgulandığı; işverenin teknik erişiminin, çalışanın kişisel hesaplarındaki yazışmalara erişim hakkı vermediğinin altı çizildiği aktarılıyor. İşten ayrılan çalışanların hesaplarına ilişkin veri işlemenin hukuki dayanağının da ayrıca değerlendirilmesi gerekiyor.

Ne yapılmalı?

• Kurumlar, e-posta ve mesajlaşma denetimine ilişkin politikalarını karar ışığında güncellemeli; amaç, kapsam ve yöntemi açıkça yazmalıdır.
• Veri sızıntısı önleme (DLP) ve güvenlik izleme araçlarının hangi verileri işlediği belgelenmeli, içerik erişimi olay bazlı ve kayıt altında olmalıdır.
• İşten ayrılan çalışan hesaplarının kapatılması, yönlendirilmesi ve saklama süreleri için yazılı prosedür oluşturulmalıdır.
• Bağlayıcı metin için Resmî Gazete'deki karar esas alınmalıdır.