8 Ekim 2026 tarihli ve 33394 sayılı Resmî Gazete’de yayımlanan Kişisel Verileri Koruma Kurulunun (“Kurul”) 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (“İlke Kararı”) ile işverenlerin çalışanlara tahsis edilen kurumsal e-posta hesapları ve işin yürütülmesi amacıyla kullanılan iletişim kanalları üzerinde gerçekleştirdikleri denetimlerde uymaları gereken usul ve esaslar belirlenmiştir. İlke Kararı’nda, iletişim araçlarının işverene ait olmasının sınırsız bir denetim yetkisi vermediği vurgulanmış; çalışanların önceden bilgilendirilmesi ve aydınlatılması, denetimin ölçülü ve kademeli yürütülmesi, içerik incelemesinin istisnai tutulması ve denetim sırasında elde edilen verilere erişimin sınırlandırılmasına ilişkin esaslar açıklanmıştır.
İlke Kararı’nın kapsamı yalnızca kurumsal e-posta hesaplarıyla sınırlı değildir. Kurum içi mesajlaşma uygulamaları, kurumsal anlık iletişim hesapları, müşteri ilişkileri veya talep yönetim sistemleri ile toplantı platformlarındaki sohbet ve kayıt alanları da somut olayın özelliklerine göre bu kapsamda değerlendirilebilecektir. Kişisel kullanıma da elverişli uygulamalarda ise hesabın işveren tarafından iş amacıyla tahsis edilip edilmediğinin, çalışanın kişisel hesabını kullanıp kullanmadığının ve makul mahremiyet beklentisinin ayrıca dikkate alınması gerekmektedir. İşverenin cihaz, ağ veya kurumsal sistem üzerinde teknik erişim imkânına sahip olması, çalışanın kişisel e-posta hesabı, kişisel mesajlaşma uygulaması veya sosyal medya mesaj kutusundaki yazışmalara erişme yetkisi bulunduğu anlamına gelmemektedir.
Kurul, e-posta içeriğine erişilmeksizin yalnızca trafik veya log kayıtlarının incelenmesinin dahi kişisel veri işleme faaliyeti olduğunu belirtmiştir. Bu nedenle denetim faaliyetlerinin her durumda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) genel ilkelerine, kişisel veri işleme şartlarına, aydınlatma ve veri güvenliği yükümlülüklerine uygun olarak yürütülmesi gerekmektedir. İş ilişkisindeki bağımlılık ve taraflar arasındaki güç dengesizliği nedeniyle çalışanın açık rızasının denetim için öncelikli hukuki dayanak olarak esas alınmaması gerektiği açıklanmıştır. Somut olayın koşullarına göre hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da meşru menfaat gibi işleme şartlarına dayanılması mümkün olmakla birlikte, bu şartların varlığı işverene sınırsız bir denetim yetkisi tanımamaktadır.
İlke Kararı ile denetim faaliyetleri bakımından özellikle aşağıdaki esaslar ortaya konulmuştur:
• Önceden bilgilendirme ve aydınlatma: Çalışanlara yapılacak aydınlatmanın genel ifadelerle sınırlı kalmaması; veri işlemenin hukuki sebebini, amacını, kapsamını, denetim yöntemini, içeriğe hangi hâllerde erişilebileceğini, saklama süresini ve Kanun kapsamındaki haklarını açık ve somut biçimde içermesi gerekmektedir. Yalnızca kurumsal e-posta hesabının denetlenebileceğine ilişkin genel bir bildirim yeterli kabul edilmemektedir.
• İş amaçlı ve özel amaçlı kullanım ayrımı: Özel kullanıma ilişkin yasak veya sınırlamalar açık, anlaşılır ve çalışan tarafından bilinebilir olmalıdır. Özel kullanıma izin verilen ve iş amaçlı iletişimle özel iletişimin ayrılabildiği durumlarda denetim yalnızca iş amaçlı iletişimle sınırlı tutulmalı; ayrımın yapılamadığı hâllerde denetim yetkisi daha dar yorumlanmalıdır.
• Kademeli ve ölçülü denetim: Meşru amaca daha az müdahaleci yöntemlerle ulaşılabiliyorsa daha ağır denetim yöntemlerine başvurulmamalıdır. Özel kullanım yasağının ihlali içerik dışı unsurlardan anlaşılabiliyorsa yazışma içeriğine ayrıca erişilmesi gerekli ve orantılı kabul edilmemektedir.
• İçerik denetiminin istisnai olması: İçeriğe erişim, trafik verisi denetiminin yetersiz kaldığı ve erişimin zorunlu olduğu istisnai hâllerde gündeme gelebilecektir. İçerik incelemesi somut şüpheye ve daha güçlü, somut bir meşru gerekçeye dayanmalı; iddiayla sınırlı tutulmalıdır.
• Gizli ve kesintisiz izlemeden kaçınılması: Çalışanın önceden bilgilendirilmediği gizli izleme yöntemleri ile tüm işlemlerini ayrım gözetmeksizin kaydeden araçlarla yürütülen denetim hukuka aykırı sayılacaktır. Sürekli ve aralıksız gözetim de ölçülü kabul edilmemektedir.
• Veri güvenliği ve erişim sınırlamaları: Denetim sırasında elde edilen verilere yalnızca yetkilendirilmiş sınırlı sayıdaki personel erişebilmeli; yetkiler görev tanımlarıyla belirlenmeli, erişim kayıtları tutulmalı ve erişen kişiler gizlilik yükümlülüğü altına alınmalıdır. İçerik incelemesinde özel nitelikli kişisel verilerin ve yazışmaların muhataplarına ait verilerin işlenmesi riski de gözetilmelidir.
İlke Kararı’nda iş ilişkisinin sona ermesinden sonraki uygulamalar da ele alınmıştır. Bu aşamada kurumsal e-posta hesabına ilişkin veri işlemenin hukuki dayanağı ayrıca değerlendirilmelidir. Kural olarak hesap çalışanın aktif kullanımına ve yeni erişimlere kapatılmalı, gelen iletilerin ilgisiz kişilerce görüntülenmesi önlenmeli ve hukuki dayanağı kalmayan kişisel veriler imha edilmelidir. İş sürekliliği, kurumsal iletişimin sürdürülmesi, savunma hakkının kullanılması veya mevzuattan doğan yükümlülükler nedeniyle yapılacak yönlendirme, otomatik cevap, arşivleme ve muhafaza uygulamaları ise somut olayın koşullarına göre sınırlı, süreli, erişim yetkileri belirlenmiş ve kayıt altına alınmış şekilde değerlendirilebilecektir.
Kurul, belirtilen yükümlülüklere uyulmadığının tespiti hâlinde gerekli incelemenin yapılacağını ve Kanun’un 18. maddesi uyarınca ilgili veri sorumluları hakkında idari işlem tesis edileceğini açıklamıştır. Bu nedenle işverenlerin kurumsal iletişim araçlarının kullanımına ve denetlenmesine ilişkin politikalarını, çalışan aydınlatma metinlerini, içerik inceleme süreçlerini, erişim yetkilerini ve işten ayrılma sonrası hesap yönetimi uygulamalarını İlke Kararı doğrultusunda gözden geçirmeleri önerilmektedir.
Kararın tamamına aşağıdaki bağlantı üzerinden ulaşabilirsiniz: https://www.resmigazete.gov.tr/eskiler/2026/10/20261008-6.pdf
Saygılarımızla,
Balay, Eryiğit & Erten Avukatlık Ortaklığı
